Paketkällor

Paketkällor är arkiv eller register som ett operativsystems paketförvaltare använder för att hämta, installera och uppdatera mjukvara. De innehåller färdigbyggda paket samt metadata som beskriver versioner, beroenden, arkitektur och licenser. Paketkällor signeras vanligtvis med kryptografiska nycklar för att säkerställa integritet och äkthet, så att mottagaren kan verifiera att paketen kommer från en betrodd källa.

Källorna kan vara officiella och underhållna av distributionslösningen själva eller community- och tredje parts-projekt. De kan vara centrala servrar eller speglar runt om i världen, och de kan erbjudas i olika kanaler eller grenar som stabil, test eller utveckling. Beroenden och kompatibilitet är ofta inbyggda i metadata så att paketförvaltaren kan garantera en fungerande installation.

Användningen varierar mellan olika system, men generellt konfigureras en eller flera paketkällor i systemets paketförvaltare. Exempelvis använder Debian- och Ubuntu-system apt och konfigureras via filer som sade sources.list och filer i submappen sources.list.d, medan Arch Linux använder pacman och konfigureras i pacman.conf. Paketförvaltaren hämtar först indexfiler som listar tillgängliga paket och deras metadata, verifierar signering och checksums, löser beroenden och hämtar sedan de begärda paketen från de valda källorna.

Säkerhet är central: användning av betrodda källor, hantering av kryptonycklar och nyckelrotation, samt regelbundna uppdateringar minskar risken för komprometterad mjukvara. Källor bör också följa licens- och säkerhetspolicyer och hanteras i enlighet med organisationens policyer. Exempel på välkända paketkällor är officiella arkiv i Debian/Ubuntu, RPM/YUM/DNF-repositories i Red Hat-baserade system och pacman-samlningar i Arch. Runt om i världen används även språk-specifika registries som npm-registry eller PyPI.