"Software nestahovat z náhodného výsledku vyhledávání jen proto, že stránka vypadá povědomě. Ověřit oficiální web projektu ...
"
Jak poznám officiální web projektu?
"u důležitých nástrojů kontrolovat podpisy nebo alespoň kontrolní součty.
"
Přiznám se, že tohle jsem taky nikdy nepochopil.
Pokud pochybuju o právě staženém balíčku, proč bych měl věřit kontrolnímu součtu nebo otisku klíče který je na té samé stránce?
2. 6. 2026, 07:25 editováno autorem komentáře
Mozete sa pozriet ci Karel Vomáčka je majitelom aj github repozitara. No dolezitejsie je ine, ked nastane problem (malware, kradnutie dat). Tak mozete Karla Vomáčku zazalovat, lebo to uz nie je nahodny typek na intenete pod kryptickym nikom, ale konkretny clovek - certifikacna autorita ma poznacene jeho udaje z realnych dokladov.
A jak víte, že ta aplikace má vůbec github repo, a to zrovna tohle? A že to github repo není nějaký její fork?
Ne, jediné co podepsaná binárka dodává je o krok navíc s false sense of security (a případně drobná překážka pro pachatele)
A ve finále, GL s žalobou na homelessáka Karla Vomáčku, na jehož občanku si za flašku krabicáku neznámý pachatel sehnal code signing certificate. (případně skutečného majitele, který o něj přišel)
> A jak víte, že ta aplikace má vůbec github repo, a to zrovna tohle?
To neviem, a realne trapi ma to?
> A že to github repo není nějaký její fork?
To ma netrapi, codesigning hovori o autorstve/distributorovi - zodpovednej osobe alebo organizacii.
> A ve finále, GL s žalobou na homelessáka Karla Vomáčku, na jehož občanku si za flašku krabicáku neznámý pachatel sehnal code signing certificate.
Tak to by bol dost slusny reputacny problem pre certifikacnu autoritu. Ale stale tam mate ten certifikat a mozete sa rozhodnut ci mu doverujete - napriklad na zaklade inych projektov. Atd..
A ake rienie navrhujete vy? Ak mate lepsie ako codesigning tak sem s nim.
Moment, to, že CA vydá certifikát nějaké osobě, pokud si řádně ověří, že to je ta osoba není reputačním problémem, ale jádrem jejího businessu.
Není její povinností (ani právem) lustrovat majetkové poměry toho žadatele, a i to, co s tím certem (a klíčem k němu) udělá je na jeho odpovědnost.
Navíc ani samotný podpis nezaručuje nic, v naší branži se opravdu nic, jako zodpovědnost nenosí, ta v nejlepším případě končí na ceně jedné kopie SW díla, a v drtivé většině případů, pokud není škodič úplně hloupý, tak funguje plausible deniality. (já tam žádný backdoor nedal, nemůžu za to, že ta litellm byla nedůvěryhodná, ...)
Řešení? Jediným je velmi důsledná izolace jednotlivých aplikací (což přiznejme si také nefunguje 100%, viz mobilní telefony které touhle cestou šly) a kombinace přístupů.
Takhle - codesigning (nebo obecněji nějaký digitální signing) má nepochybně svojí roli. Ale tím, že pokrývá jen malou část celého řetězce trustu, tak rozhodně není samospasitelné.
Logicky to nemůže řešit codesign. Jakýkoliv opensource můžete stáhnout z mnoha zdrojů a klidně si můžete stáhnout podepsané oficiální binárky a klidně můžete stáhnout podepsané binárky obsahující další SW (kdysi třeba Adobe do Readeru přibalovali SW od McAffee a člověk ho musel pokaždé v instalaci zaškrtnout, že ho nechce ultra-mega-giga-vopruz). Jediné co by mohlo pomoci, že prohlížeč a systém bude trasovat původ souboru a ověřovat, že digitální podpis nějak obsahuje vazbu na doménu, ze které byl stažen. Apple tomuhle systému jde hodně naproti, ale dokonalé to zdaleka není. Obejít to jde lehce a zpřísnit to tak, aby to dávalo smysl, je velmi ošemetné.