Door Anoniem: Door Anoniem: Je laat nu alleen maar je onkunde zien voor het werkelijke probleem dat PyPi heeft met gesignde packages. Dat heeft allemaal niks te maken met wat je hier beschrijft als gebruiks mogelijkheden. Terwijl het artikel al een paar prima links had naar uitleg met _wat_ er niet werkt, en waarom "hetzelfde als wat Linux distro's doen" voor hen geen oplossing is. Lees dat eens, en roep dan nog eens wat ze 'gewoon' moeten doen . Ik heb een van de links gelezen waarop de keuze voor het verlaten van PGP is gebaseerd, en het lijkt wel of het geschreven is door ChatGPT. De auteur lijkt niets van PGP te snappen. Wat zijn 'binding signatures'? In PGP heb je geen CA, dat is de kracht van PGP. Een PGP sleutel hoeft ook niet naar een persoon te wijzen. Iets als "Ubuntu CD Image Automatic Signing Key" is genoeg. Ja - wanneer je - net als Ubuntu - een heel build & maintain team hebt dat al die programma's die ze mee packagen ophaalt, build en valideert dat ze de echte source van de echte auteur ...