Из Cargo убрали экспериментальный механизм подписи пакетов

Из Cargo удалён экспериментальный флаг асимметричной подписи пакетов и связанная с ним переменная окружения. Механизм признан устаревшим, а задачу безопасности решили иначе.

Что за задача решалась

Формат пакета позволяет положить ключ для проверки подписи в текстовую часть. Это часть пакета, доступная читателю, — а значит, ключ тоже читаем. Схема с подписью полагалась на то, что пара «ключ в открытом виде, проверка по закрытому» устойчива к подмене, и на ню опирались как на защиту.

Почему отказались

Правильный ответ на вопрос «кому мы доверяем» — не подпись в пакете, а отказ от хранения секретов рядом с публикуемым кодом. Именно это и сделано: публикация переведена на получение прав от инфраструктуры сборки, а постоянные токены в настройках больше не являются путём публикации.

То есть задачу решили устранением причины, а не усилением схемы подписи.

Что это значит

Пользователи ночных сборок, использовавшие этот флаг, получат ошибку при сборке. Путь, которым они пользовались, больше не работает; правильный способ тот же, что и у всех остальных.

Оригинал

remove -Zasymmetric-token / cargo:paseto