Instalando o Pacman 4

Hoje foi disponibilizado no repositório core, o pacman 4. Esta nova versão traz diversas novas funcionalidades para o gerenciamento de pacotes do Arch Linux, porém a que mais se destaca é a assinatura GPG (GNU Privacy Guard) de pacotes, que garante a integridade e a confiabilidade dos pacotes e/ou repositórios para essa distribuição. É fato que essa funcionalidade já existia há algum tempo em outras distribuições GNU/Linux, como o Debian e derivados. Entretanto, no Arch Linux ainda estava em fase de testes e só podia ser obtida ativando o repositório testing ou compilando o mesmo através do AUR (ou utilizando a ferramenta yaourt).

O Arch Linux, diferente de outras distribuições, sempre se esforça para tornar mais suave qualquer processo migratório. E nenhuma grande mudança é “enfiada goela a baixo do usuário” do usuário. Assim sendo, esta funcionalidade vem desabilitada por padrão nesta atualização. Mas mesmo com todo o cuidado do mundo, uma mudança significativa pode exigir certo nível de intervenção manual, e esta atualização não é uma exceção. Quando tentei atualizar o pacman hoje, recebi a seguinte mensagem:

Para resolver esse problema, basta que o usuário remova alguns pacotes anteriormente instalados (package-query, pacman-color e yoaurt) e, em seguida, efetue novamente (e de modo forçado) a atualização do pacman:

Em seguida podemos reinstalar os programas removidos anteriormente:

Após esta atualização, mesmo que não seja útil em seu ambiente de trabalho o uso de chaves GPG, é interessante que você inicie (pelo menos) o uso do keyring do pacman. O motivo para essa ativação é já preparar o ambiente do usuário para utilizar as chaves GPG, pois em breve será padrão em todas as distribuições Linux. Para isso utilize o seguinte comando:

Após inicializar o keyring, renomeie o novo arquivo de configuração que foi instalado junto com a atualização do pacman:

Este novo arquivo de configuração para o pacman possui uma nova (e melhorada) sintaxe para os repositórios de pacotes do Arch Linux. E uma das novidades é o uso de uma chave do tipo SigLevel, criada para controlar a verificação das chaves GPG para cada repositório ativo. Esta chave pode ter os seguinte valores:

• Required: Força a verificação de assinaturas;
• Optional (valor padrão): Irá verificar as assinaturas caso elas existam, mas também podrá aceitar pacotes sem assinaturas;
• Never: Desabilita a verificação de assinaturas (não é aconselhável);

Vale lembrar que o uso do Never não é aconselhável em um ambiente de produção. Porém, caso você não queira utilizar as assinaturas, basta editar o arquivo /etc/pacman.conf trocando o valor de SigLevel para Never.

Caso você deseje utilizar a verificação de chaves GPG (o mais aconselhável) você verá algumas mensagens como esta abaixo:

Como podemos ver, o próprio pacman nos questiona se desejamos importar esta chave porém, logo em seguida, falha informando que a assinatura da chave é desconhecida. A assinatura da chave só pode ser realizada manualmente através do seguinte comando:

No início, as chaves GPG podem ser bastante chatas de se manusear. Isso se deve pelo constante questionamento do sistema durante as diversas etapas do processo de ativação das chaves dentro de seu ambiente de trabalho (para todos os pacotes e programas envolvidos). Porém, após a inclusão de todas as chaves necessárias para a segurança de seu sistema, essas mensagens não mais aparecerão em sua tela.

Para o futuro, será extremamente recomendado à todos os usuários Arch Linux que sempre utilizem a verificação de chaves GPG em seus sistemas. Ela será a garantia de que o pacote utilizado em seu ambiente de produção esteja sendo realmente distribuído por uma fonte confiável.

Porém, nos dias de hoje, uma boa (porém temporária) pratica seria manter o nível de verificação de chaves como Optional, já que existem muitos pacotes dentro dos diversos repositórios para o Arch Linux que ainda não estão assinados.

Assim sendo, com o tempo — quando a prática de assinatura de pacotes estiver completamente difundida na distribuição, abrangendo todos os seus repositórios (oficiais e de terceiros) — você poderá efetuar a troca permanente do nível de verificação, de Optional para Required, garantindo assim maior nível de segurança para o seu ambiente de trabalho.