Manter chave privada para local de arquivo de pacotes reprepro remoto

Question

Atualmente estou usando reprepro e inoticoming para manter um arquivo de pacotes Debian em uma máquina remota.

O repositório é configurado com este arquivo de distribuição:

Origin: ...
Label: ...
Codename: squeeze
Architectures: i386 amd64 armhf source
Components: main
Description: ...
Log: /home/apt/log/reprepro.log

O daemon está sendo executado com:

inoticoming \
  --logfile /home/apt/log/upload.log \
  /home/apt/incoming \
  --stdout-to-log \
  --stderr-to-log \
  --suffix .changes \
  reprepro -Vb /home/apt --waitforlock 1000 processincoming default {} \;

Estou construindo e assinando meus pacotes localmente e, em seguida, carrego com dupload . No entanto, quando tento instalar um pacote desse arquivo, recebo:

WARNING: The following packages cannot be authenticated!

Existe uma maneira de fazer as assinaturas funcionarem? Eu absolutamente não quero compartilhar minha chave GPG privada com a máquina remota. Existem outras ferramentas ou um fluxo de trabalho mais adequado?

    

Answer 1

As assinaturas dos usos do apt estão no repositório como um todo (especificamente no arquivo "Release", não nos pacotes individuais. Portanto, eles precisam ser gerados como parte do processo de adicionar pacotes ao repositório.

Normalmente, uma pessoa cria uma chave especificamente para assinar o repositório e a mantém na máquina usada para gerenciar o repositório.

Outra opção seria gerenciar o repositório localmente em sua máquina e, em seguida, usar uma ferramenta como o rsync para transferi-lo para o servidor.

Outra coisa que pode funcionar seria baixar o arquivo de lançamento e criar a assinatura manualmente após cada atualização do repositório, mas eu não tentei isso sozinho.