Sicherheit
Wie Sie Sicherheitsprobleme melden
Um sensible Sicherheitslücken in Guix selbst oder den bereitgestellten Paketen zu melden, können Sie eine Nachricht an die private Mailing-Liste guix-security@gnu.org schicken. Diese Liste wird von einer kleinen Gruppe von Guix-Entwicklern beobachtet.
Wenn Sie es bevorzugen, Ihre Meldung in einer mit OpenPGP verschlüsselten E-Mail zu übermitteln, senden Sie diese bitte einem der folgenden Guix-Entwickler unter Nutzung des entsprechenden OpenPGP-Schlüssels:
- Leo Famulari
- Tobias Geerinckx-Rice
- John Kehayias
Signaturen der Veröffentlichungen
Veröffentlichungen von Guix werden mit einem der folgenden OpenPGP-Schlüssel signiert:
- 27D5 86A4 F890 0854 329F F09F 1260 E464 82E6 3562
- Maxim Cournoyer
- 3CE4 6455 8A84 FDC6 9DB4 0CFB 090B 1199 3D9A EBB5
- Ludovic Courtès
Benutzer sollten heruntergeladene Dateien verifizieren, bevor sie diese entpacken oder ausführen.
Sicherheitsaktualisierungen
Wenn Sicherheitslücken in Guix oder den von Guix bereitgestellten Paketen gefunden werden, werden wir schnell Sicherheitsaktualisierungen ausliefern, mit minimaler Beeinträchtigung für die Nutzer. Wenn es angemessen ist, wird ein Sicherheitshinweis auf dem Blog veröffentlicht, der als Sicherheitshinweis eingeordnet ist, sowie eine Nachricht an die Mailing-Liste info-guix versendet. Der Hinweis kann auch mit guix pull --news angezeigt werden.
Guix verfolgt ein Rolling-Release-Modell. Jeder Patch, der eine Sicherheitslücke beseitigt, wird direkt auf den „master“-Branch gepusht. Es gibt keinen „stable“-Branch, der nur Sicherheitsaktualisierungen erhält.