Vlákno názorů k článku Reprodukovatelná kompilace aneb Debian proti CIA od Trubicoid2 - Fedory se to týká samozřejmě taky, jen oni...

Balíčky v Debianu jsou také podepsané, v článku je to zmíněno.

Samotné balíčky v Debianu podepsané nejsou (a nikdy nebyly). Podepsané jsou jen checksumy balíčků.

Ale hlavně reprodukovatelnost buildů s podpisy binárních balíků vůbec nesouvisí. Myslím, že je to v článku poměrně dobře vysvětleno.

[Argumentační fauly si příště prosím nechte do hospody nad pivo...]

Ten rozdíl je poměrně zásadní. Zatímco RPM balíček jde ověřit samostatně (rpm -L <package>.rpm), tak v Debianu jsou balíky podepsané jen v případě, že jsou *součástí repozitáře*, a to ještě jen checksum checksumů - viz obsah /var/lib/apt/lis­ts/.

V případě, že balíky do repozitáře nahrávám, tak je podepsaný .dsc a .changes soubor, ale individuální balíky podepsané nejsou.

Což mimo jiné znamená, že když si stáhnu někde RPMko z náhodného webu, tak si můžu ověřit jeho digitální podpis. V případě DEB balíku to můžu udělat jen v tom případě, že použiji celý repozitář jako zdroj do APT. Integrita DEB balíků mimo použité repozitáře se tak ručně ověřuje mnohem hůře než v případě RPM.