orange @[email protected]

だから今回の文脈では「アップストリームは信用することにして」「『本物』は『アップストリームが意図した生成物を指す」という想定で話をしています

distro の公式が信用できないというのはまあ、そういう人もいるよねわかるよ、という気持ちです

で、それが素で発生している(いた)のが、かつての Windows と野良 exe (あるいはインストーラ) の状況というわけ

ただ、現実的に考えるなら、リテラシの十分でないユーザが野良 apk を利用しようとするなら、適当にググって何らかのホスティングサイト (本物を配布しているとは言ってない) からよく確認もせずﾀﾞｳﾝﾖｯﾖしてそのままｲﾝｽｺしてしまうのだろうという諦観はある

その観点で話すと、野良 apk のｲﾝｽｺそれ自体は、 **アップストリームでアナウンスされている手段で真正のデータを落としてこられるなら** 実際のところ OK ではある。

ただしユーザが無闇に信用ならないソフトウェアをインストールせず、かつ悪意あるソフトウェアのインストールが勝手に試みられた場合にユーザがちゃんとそれを拒否できる場合に限るんだけど。
まあこれが無理だから一律で禁止しようという話になるのよね

今回はソフトウェア自体に悪意があるか否かという話はしていなくて、「アップストリームからエンドユーザへのソフトウェア流通経路の中で、どれだけ悪意が入り込む余地があるか」という話をしています

これはホスティングサイトについての愚痴

ソフトウェアのミラー配布するなら、わざわざランディングページやダウンロードページを経由することを強要したりせず、素直にファイルへのアクセスを露出しろという話なんだよな

個人ソフト作者にとってのデジタル署名とは
https://www.officedaytime.com/tips/codesigning.html

2011-08 の記事か

最近のｲﾝﾄﾞｯｽﾞではどうにかなってるんだろうか？ (デバドラが署名必要になったみたいな話は聞いたけど)

や、署名検証の方法は存在しているんだろうけど、開発者が使わないようでは何の意味もない

もっと正確に言うなら、バイナリ配布文化というよりは、ソフトウェアのインストールにおける統合された署名検証の方法

ｲﾝﾄﾞｯｽﾞのバイナリ配布文化、そういう危険なところがある

や、 sourceforge も広告とか胡散臭さでは大概だったけど、あそこはまもなプロジェクトのアップストリームが多数ホストされていたうえ本家がやらかしたという最悪のアレなので殿堂入り

ｿﾌﾄﾍﾟﾃﾞｬなんか使わなければいけない状況がおかしい (正論)