cygwin の setup.exe が更新されたが、オレオレパッケージを配布する側ではちょっと面倒なことになっている。
今までの setup.exe では不正なミラーからのパッケージをインストールできてしまっていたため、今回から .sig を確認するような実装になっている。
これにより、ミラーサイト管理者は特にすることはないが、非ミラーサイトでカスタムパッケージを配布している場合は setup.exe が .sig を見つけられないためにパッケージのダウンロードをしてくれなくなる。
そのため、今のままでは新しい setup.exe を使うと、ミラーサイト以外で配布されているパッケージを直接インストールをすることができない。
ML では対策として
- 配布者が setup.{ini,bz2} の .sig を用意する。
- 利用者が古い setup.exe を使用する。(新しい setup.exe を使用しない。)
- 利用者が setup.exe の起動時に -X (--no-verify) オプションを指定することで .sig がなくても、パッケージをダウンロードするようにする。(今までと同じ動作)
のいずれかが挙げられている。
正直な話、配布者が .sig を用意するべきであるが、今まで作っているものがそこまでして配布したいものでもないため、gpg について調べようかどうか迷っている。
