Manjaro Linux 17.1.8
==========
Enviamos, desde a introdução do pacote de assinatura de chaves privadas estáticas nas nossas mídias de instalação, um invasor que é capaz de obter ou adivinhar essas chaves podem assinar pacotes que o pacman vai aceitar como válidos. Essas chaves estáticas tem gerados durante a criação de nossas mídias de instalação pelo ManjaroISO. Isso não deve comprometer, mas afeta a segurança de seus discos de instalação. O risco que você tem é iniciado durante a usar essas teclas, uma vez que eles são conhecidos pelo público.
Criamos um pacote chamado
pacman-init, baseado no código encontrado em ArchISO. É um serviço para systemd que inicializa uma nova chave GnuPG aleatória a cada inicialização. /etc/pacman.d/gnupg agora é armazenado na memória RAM usando tmpfs e para os mesmos não persistente. Com essa mudança, o par de chaves PGP armazenado lá é exclusivo para sua máquina. Essa correção já é adicionada no ManjaroISO e serão automaticamente aplicada em nosso sistema com a próxima atualização de pacote, você deve fazer em breve.Recomendamos atualizar o seu sistema ou regenerar suas chaves gpg com:
- Código: Selecionar todos
$ rm -rf /etc/pacman.d/gnupg
$ pacman-key --init
$ pacman-key --populate archlinux manjaro
Certifique-se de chaves PGP pacman em
/etc/pacmac.d/gnupg são aleatórias e permanecem em segredo.Sem Pierre Schmitz, o criador do ArchISO, teríamos esse risco de segurança por muito tempo. Nós não somos prefeito – essas coisas não devem acontecer em todos. Uma vez que muitos de nossos usuários já geraram essas chaves por conta própria, o risco deve ser mínimo e não deve afetar muito a nossa comunidade.
==========
aqui atualizei e foi instalado o pacote
pacman-init-4.1.0-2, então, é só atualizar com- Código: Selecionar todos
sudo pacman -Syyu
ps: in Pacma-int fixes security risk.
vlw fwi, Holmes
