Dovrebbe essere condivisa la chiave GPG di un repository debian tra i suoi gestori?

Sto seguendo questo tutorial per impostare un repository debian

https://wiki.debian.org/SettingUpSignedAptRepositoryWithReprepro

Questo repository sarà gestito da me e dai miei colleghi. Vogliamo firmare i pacchetti e il repo stesso, quindi ho bisogno di un tasto GPG. Naturalmente non dovrei usare la mia chiave GPG, altrimenti i miei colleghi non possono gestire il repo. Pensavo quindi di creare una nuova chiave GPG appositamente per questo repository e poi condividere la chiave privata con i miei colleghi.

È questo il modo giusto per avere un repo gestito da molte persone? Non mi piace l'idea di condividere una chiave privata (e penso che non sarebbe scalata bene per i repos gestiti da molte persone), ma d'altra parte non vedo un altro modo per farlo.

Penso che ci sia una soluzione semplice ma la mia mancanza di esperienza su questo tipo di server non sta aiutando.

Modifica: la condivisione di una chiave privata è stata menzionata qui http://irtfweb.ifa.hawaii.edu/~lockhart/gpg/ (utilizza il caso 2 in fondo)

One Solution collect form web for “Dovrebbe essere condivisa la chiave GPG di un repository debian tra i suoi gestori?”

Non ho fatto questo con i pacchetti Debian, ma ecco cosa abbiamo fatto con RPM in un lavoro precedente: abbiamo fatto un server di firma che detiene la chiave privata e nessuno ha avuto accesso direttamente. (Beh, tranne quelli di noi che erano sisthemes in quel sistema, a seconda delle vostre esigenze di sicurezza potresti rendere più forte questo firewall.)

Il server di firma ha un'area dropbox. Puoi limitarla con chiavi ssh o password o qualsiasi altra cosa, oppure, a causa del passo successivo, puoi anche lasciarlo aperto al mondo.

Monitorare l'area dropbox per i nuovi file. Quando vengono visualizzati, verificare che siano firmati con una chiave valida di uno dei gestori . Se non lo sono, eliminarli. Quindi verificare se sono file di pacchetti validi con qualunque altro controllo che si desidera, copiarli in un'area di gestione in un account utente riservato al servizio di firma. Dopo aver superato la validation, il server di firma rassegna i pacchetti con la propria chiave (che, di nuovo, non è direttamente leggibile).

E perché è conveniente, abbiamo avuto lo stesso server effettivamente eseguire gli strumenti di creazione del repository. Poiché, a differenza di RPM, il tuo repository è firmato, questo sembra particolarmente conveniente, perché puoi aggiungere che la firma qui, di nuovo con la chiave privata che nessuno ha accesso diretto.

Una versione leggermente più forte di questo rimuove il pick-up automatico e i firmatari digitano la passphrase della chiave segreta each volta. In questo modo, le persone che mantengono il sistema potrebbero non essere nemless in grado di firmare i pacchetti mediante il trucco e l'accesso direttamente. (Ovviamente, potrebbero fare del trojan il sistema, ma lasciamo quel grado di paranoia per un argomento diverso. Oppure puoi decidere di sapere che devi comunque fidarsi degli sysadmin e farne rispettare questo per la politica, lasciando la comodità del drop- approccio a scatola.)

Suggerimenti per Linux e Windows Server, quali Ubuntu, Centos, Apache, Nginx, Debian e argomenti di rete.