security - Nexus Pro 如何自动验证下载 Artifact 的真实性？

Question

我对 Maven 中央存储库的安全性做了一些研究，特别是交叉构建注入(inject)攻击(XBI)。我阅读了一些链接，如下所示:

http://www.sonatype.com/people/2010/01/how-to-generate-pgp-signatures-with-maven/

http://maven.apache.org/guides/mini/guide-central-repository-upload.html

Verification of dependency authenticy in Maven POM based automated build systems

以下是我理解的要点

1. 所有上传到中央存储库都需要对 Artifact 进行签名由开源发布管理器拥有的 PGP 私钥项目。
2. 公钥应提交给 key 服务器，例如作为 MIT key 服务器
3. 手动验证下载的 Artifact 很麻烦。
4. 存储库管理器(例如 Nexus Pro)提供自动验证下载项目签名的功能。

但是，Nexus Pro 是如何进行自动验证的呢？ Nexus 是否维护 Maven Central 托管的所有开源项目的 PGP keyid 存储库？ sonatype是否验证并签署开源项目上传到 key 服务器的PGP公钥？有谁知道内部原理吗？

Answer 1

所有 GPG key 都在公钥服务器上可用，并且 Nexus 会根据每个下载组件的 key 进行验证。每次上传到 Central 都需要一个已知的、注册的和批准的 key 。

有关该过程的更多详细信息，请访问 https://docs.sonatype.org/display/Repository/Sonatype+OSS+Maven+Repository+Usage+Guide