Hi, gestern erntete ich von Ubuntu eine eindringliche Warnung:
Die auf https://josm.openstreetmap.de/wiki/De%3ADownload nach wie vor einzig angegebene Methode, den Signierschlüssel per **apt-key add - ** in den allgemeinen keyring zu installieren, ist schon seit längerer Zeit deprecated und wird demnächst (will sagen: voraussichtlich in der jeweils nächsten Stable von Debian und Ubuntu, siehe manpage zu apt-key(8)) komplett abgeschafft. Das hat auch gute Gründe – wenn alle Schlüssel im selben keyring liegen, ist kleine klare Zuordnung gegeben, jeder Schlüssel ist auf jedes Repository anwendbar, das ist ein Sicherheitsrisiko.
Künftig (also jetzt schon, wenn man’s richtig macht) wird der Signierschlüssel als eigener Schlüsselring (etwa josm-archive.gpg) in ein lokales Verzeichnis gelegt (üblich sind /usr/share/keyrings/ oder /usr/local/share/keyrings/) und in der Quellen-URL mit [signed-by=/usr/share/keyrings/josm-archive.gpg] referenziert. (Und diese Quelle sollte, was in der Anleitung nur als “Alternative” angegeben wird, nicht in der /etc/apt/sources.list eingetragen, sondern als Datei unter /etc/apt/sources.d/ abgelegt werden, aber das nur am Rande.)
Wo kann man anstoßen, dass das in der Anleitung geändert wird?