<div dir="ltr"><div dir="auto" style="word-wrap:break-word;line-break:after-white-space"><div><div style="color:rgb(0,0,0);font-family:Verdana;font-size:12px"><br></div><div style="color:rgb(0,0,0);font-family:Verdana;font-size:12px">Hi Scott</div><div style="color:rgb(0,0,0);font-family:Verdana;font-size:12px"><br></div><div style="color:rgb(0,0,0);font-family:Verdana;font-size:12px">After adding a plugin (pgpverify-maven-plugin) which checks dependency signatures, I have to agree. </div><div style="color:rgb(0,0,0);font-family:Verdana;font-size:12px">The build failed when due to invalid dependency signatures </div><div style="color:rgb(0,0,0);font-family:Verdana;font-size:12px"><a href="https://ci-builds.apache.org/blue/organizations/jenkins/Sling%2Fmodules%2Fsling-org-apache-sling-auth-saml2/detail/PR-1/2/pipeline" target="_blank">https://ci-builds.apache.org/blue/organizations/jenkins/Sling%2Fmodules%2Fsling-org-apache-sling-auth-saml2/detail/PR-1/2/pipeline</a><br></div><div style="color:rgb(0,0,0);font-family:Verdana;font-size:12px"><div><br><div>[ERROR] net.shibboleth.utilities:java-support:pom:8.0.0 PGP Signature INVALID</div><div>KeyId: 0x51B52DC5DD452F92BE342CC2858FC4C4F43856A3 UserIds: [J. Daniel Kulp <<a href="mailto:dan@kulp.com" target="_blank">dan@kulp.com</a>>, J. Daniel Kulp <<a href="mailto:dkulp@apache.org" target="_blank">dkulp@apache.org</a>>, J. Daniel Kulp <<a href="mailto:dkulp@progress.com" target="_blank">dkulp@progress.com</a>>, J. Daniel Kulp <<a href="mailto:dkulp@talend.com" target="_blank">dkulp@talend.com</a>>, J. Daniel Kulp <<a href="mailto:dan.kulp@sopera.com" target="_blank">dan.kulp@sopera.com</a>>]</div></div><div><br></div><div>It's clear that having both the shib repo and signature validation are valuable. I can make that case to the project committee.</div><div><br></div><div>The plugin provides a warning...</div><div>No keysmap specified in configuration or keysmap contains no entries. PGPVerify will only check artifacts against their signature. File corruption will be detected. However, without a keysmap as a reference for trust, valid signatures of any public key will be accepted.<br></div><div><br></div><div>So, I would actually like to provide a key mapping for the OpenSAML library and clear that warning. </div><div><br></div><div>Do you have a list of public key fingerprints for devs that sign your artifacts?</div><div>I would like to build this file</div><div><a href="https://www.simplify4u.org/pgpverify-maven-plugin/keysmap-format.html">https://www.simplify4u.org/pgpverify-maven-plugin/keysmap-format.html</a><br></div><div><br></div><div>Thanks</div></div><span style="color:rgb(0,0,0);font-family:Verdana;font-size:12px;font-style:normal;font-variant-caps:normal;font-weight:normal;letter-spacing:normal;text-align:start;text-indent:0px;text-transform:none;white-space:normal;word-spacing:0px;text-decoration:none;float:none;display:inline!important">Cris</span></div>
<div style="direction:ltr"><br><blockquote type="cite"><div>On Apr 23, 2021, at 3:54 PM, Cantor, Scott <<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>> wrote:</div><br><div><div>On 4/23/21, 3:43 PM, "dev on behalf of Cris Rockwell" <<a href="mailto:dev-bounces@shibboleth.net" target="_blank">dev-bounces@shibboleth.net</a> on behalf of <a href="mailto:cmrockwe@umich.edu" target="_blank">cmrockwe@umich.edu</a>> wrote:<br><br><blockquote type="cite">   It's a super valuable conversation. You are absolutely right about the need to defend against supply attacks.In<br>terms of what "Apache needs to understand," I hope I didn't give the wrong impression.<br> After all, I am just an individual committer to one of their projects. <br></blockquote><br>Yes, but ultimately you have a voice there and I don't, and you engaged and they didn't, so I'm just making the case for why we have a problem with how Central is used. Putting our artifacts there just doesn't end up getting people to do the right thing, so we don't.<br><br><blockquote type="cite">   What I think might work is adding this plugin to our project build<br></blockquote><br>There are a lot of complexities that go into it, and my understanding is that no existing plugin "just works" to do this correctly but honestly...I haven't kept up and we haven't picked up the thread here to look at it lately so I don't know what state it's in.<br><br>But yes, that's the general idea.<br><br><blockquote type="cite">   Seems to verify signatures for all the dependencies.<br></blockquote><br>And the latter one is ours, yes.<br><br>An issue with using Central fundamentally is that we are not putting anything there and we don't update it when we release new versions, including security releases.<br><br>I think the PMC is misguided in their philosophy and don't believe that "one place to get everything" is a workable model for anything, and that applies as much or more to GitHub, which has become just as bad. But that said, if their argument is that they have no reason to trust our repo, I can accept that except for the part where they're trusting one that's self-evidently not trustworthy (e.g., our artifacts are there, nobody but us has the "right" to put them there, yet they're there, ergo Central's model is fatally flawed).<br><br>-- Scott<br><br><br>-- <br>To unsubscribe from this list send an email to <a href="mailto:dev-unsubscribe@shibboleth.net" target="_blank">dev-unsubscribe@shibboleth.net</a><br></div></div></blockquote></div><br></div><input name="virtru-metadata" type="hidden" value="{"email-policy":{"state":"closed","expirationUnit":"days","disableCopyPaste":false,"disablePrint":false,"disableForwarding":false,"enableNoauth":false,"persistentProtection":false,"expandedWatermarking":false,"expires":false,"isManaged":false},"attachments":{},"compose-id":"5","compose-window":{"secure":false}}"></div>