Re: security announcement

[NAKANO Takeo <nakano@xxxxxxxxxxxxxxxx>]

中野です。

# 前の意見と変わってきてます。　ごめんなさい(^^;

<8766hum8xo.wl@xxxxxxxxxxxxxxx>の記事において
ukai@debian.or.jpさんは書きました。

> えーと 話がまざってきているので整理しましょう。
> 
> * debian-announce@debian.or.jp を使うか
>   それとも新たに debian-security-announce@debian.or.jp を作り
>   そちらにながすか?
> 
>   debian-doc:02341 の中野さんの意見は、これをどうするかについて
>   「高々 10〜20/年のオーダーだし、」 debian-security-announce@jp
>   作らなくても debian-announce@jp を使えばいいのでは という
>   話ですよね?
>
>   今までの意見をみると「debian-security-announce@debian.or.jpを
>   わけないとだめ/わけるべき」というのはあんまりなかったようなので
>   debian-announce@debian.or.jp を使うというあたりでいいでしょうか?

　考えてみれば、もともとの DSA@org のメールには
GPG でサインしてあるわけだから、@jp の ML サーバ
であらためて認証する必要は無いんですよね。

　で、翻訳版のメールをこの GPG sign されたメール
へのフォローとして出すことにすれば、「URL などが
改竄されていないかどうかはもとのメールを確認して
ください」と言っておけばいいですね。

　だから、結局 DSA の原文・訳文を流す ML に、
認証の機能はなくても良いのですね。　するとかねこ
さんがおっしゃっていたように、-announce@jp を
使うより DSA@jp を作っちゃったほうが、結果的には
楽になるかもしれませんね。

> * 翻訳はどうするか?
>   これは
> 
> 	セキュリティ情報はやはりできるだけ早く広める方がいい。
> 	debian-security-announce@lists.debian.org
> 	に流れたのは(GnuPGの署名チェックくらいはして)
> 	英語だけでもいいから、そのまま機械的に転送すべき。
> 
> 	翻訳はその後で がんばっておいつく(〜10日くらい?)
> 	で、翻訳版もメールでながした方がいいでしょうか?
> 
>    というあたりですかね?

　はい、「原文とりあえず転送、後追いで訳文」という
のには合意が取れていると考えます。

-- 
中野＠成蹊大