[Momonga-devel.ja:02298] Re: cvs, quickml, xfsdumpの rebuildに失敗(cvs)

["Masahiro Takahata" <takahata@xxxxxxxxx>]

たかはたです。

まず初めにkrb5ですが、以前MITのページにはアメリカおよびカナダ国民以外は
ダウンロードしないでくれという注意書き(実際にはダウンロードできた)
があったため、Momongaのレポジトリには入っていませんでした。
そのため、kerberos v5を使った認証が出来ていませんでした。

cvsのパッケージの元になっているRedHatのspecファイルには、
--with-gssapi --enable-encryption 付きでビルドするようになっていました
がMomongaのレポジトリには含まれていなかったため、このオプションは
取り外されていました。

先ごろ、ようやく輸出規制が解除されていると確認が取れましたので、
krb5をpkgsに入れました。これはsamba3.0での認証を念頭においています。

で、件のcvsですが、ローカルにkrb5がインストールされていると、
自動的に探して有効にするのがdefaultの挙動です。

ただし、自動的には--enable-encryptionが有効にならないので、指定する
必要があります。

というわけで想定している挙動としては、
--with-gssapi --enable-encryption 付きでビルドする
というのが正しい挙動です。

件のパッチは、1.11.2の時にimportされたものを、多少いじって
commitされていましたが、当時krb5がpkgsに入っていませんでしたので
その間違いに気づかなかったようです。
近日中に修正を行いたいと思います。

セキュリティ云々という部分については、私はよくわからないので
どこがどうなった場合に、何がどうまずいのかを今後の参考にさせて頂き
たいと思いますので、詳しくご教授頂ければ幸いです。

また、要望があるなしに関わらずメンテナに権限がありますので、
メンテナがこうしたいと言う方向に採用される事が多いです。

もし、時間があってある方向性へ動かしたいという事であれば
是非ともプロジェクトへ参加していただき、commitしてもらうのが
Projectとdevel.jaの参加者双方の利益になると思います。

ご報告ありがとうございました。

----- Original Message ----- 
From: "ToshiOkada" <to1107@xxxxxxxxxxxxxxxxx>
To: <devel.ja@xxxxxxxxxxxxxxxxx>
Sent: Tuesday, November 11, 2003 10:59 PM
Subject: [Momonga-devel.ja:02295] Re: cvs, quickml, xfsdumpの rebuildに失敗
(cvs)


> こんにちは，Toshi(O)です。
>
> On Tue, 11 Nov 2003 11:33:27 +0900 (JST)
> Hiromasa YOSHIMOTO <yosimoto@xxxxxxxxxxxxxxxxxxxxxx> wrote:
>
> >  吉本です．
> (snip)
> >  エラーの直接的な原因は cvs-1.11.5-IPv6.patch にある
> >  Cの文法的な間違いだと思います．
> >
> >  とりあえずコンパイルが通るようにするための patch を書きましたので添付し
> >  ます．ただし正しくkrb5が利用できるかは確認していません．
>
> 　試してみましたところ，確かに makeが通るようになりました。ありがとうご
> ざいます。
> 　HAVE_GSSAPIが有効にならないと件の syntax errorを通らないんで，それで今
> まで大丈夫だったんですね(笑
>
> 　ってことは今まで Momongaの cvsは "krb5が無い環境" が正当な Build環境だっ
> たってことですよね?。
>
> 　IPv6パッチを修正することによって Buildが通るようになったのはイィのです
> が，さて Momongaの cvsパケジとして krb5(gssapi)を有効にしたモノ／無効に
> したモノ，どちらをデフォルトにするのでしょう ??　＞ Projectのみなさま
>
> 　今まで cvsで gssapiが無効のままで何も要望が無かったところを見ると，
> cvsで krb5(gssapi)を使った認証機能は現在誰も使っていないとも言えますよね?
> 　今後使いたいという要望がどなたかからあれば別ですが，そうでなければ
> IPv6パッチの修正は行うとしても[ %configure --without-gssapi ]として今ま
> でどおりの設定で makeさせた方が，セキュリティを考えた場合，個人的にはよ
> いようにも思います。
> # 　こういった認証機能を "無意識" に追加実装するのはセキュリティ的に好ま
> # しいとは思えませんし(笑
>
> と，cvsに関してはそう言う疑問も含めて投稿したわけです。