无意间发现 CNNIC 也出了开源镜像站

[jsou]

今天下载 tomcat,一看下载链接有 cnnic.cn 几个字，打开进去一看， 几个大字： 中国互联网络信息中心开源镜像站

[xvx]

敢用？

[cocochan]

@xvx 每个文件都有数字签名的 为啥不能用

[SourceMan]

@xvx 请告知不敢用的原因

[skylancer]

这类东西要么有签名要么有 checksum, 实在不知道不敢用的原因在哪

[xvx]

@cocochan
@SourceMan 只因为 CNNIC 。

[Ouyangan]

为啥不上官网下载

[linux40]

眼瞎，没有看到。。。

[imlonghao673]

@Ouyangan 官网下载？

[cnZary]

@Ouyangan http://tomcat.apache.org/download-70.cgi?Preferred=http%3A%2F%2Fmirrors.cnnic.cn%2Fapache%2F
就是官网

@xvx mirrors 有提供 pgp md5 sha1

[linbiaye]

ccnic 签过 github 的证书，再签一个 apace 证书也可以。

[SourceMan]

@xvx #5 V2EX 已经过了为黑而黑的时代了
不信的话，把你这个观点发给贴，看看楼下大家评论的观点。

[imlonghao673]

@linbiaye 没记错的话 这是 WoSign
https://crt.sh/?id=29647048

[bubuyu]

只有 apache 的...

[rssf]

cnnic 天生自带邪恶标签

[linbiaye]

@imlonghao673 多谢指正， ccnic 签的是 google 。反正这 2 个都不信任。

[mazyi]

CNNIC 洗不白的，注定只是一个互联网上的小丑。

那么多地方可以安全放心的下，为何要去一个曾经卖过假药还害死了人还被发现的地方去下呢？

[Systemd]

CNNIC 还有 CT （证书透明度）服务器呢

虽说不敢用…

[squid157]

PGP 签名过的，为什么不敢用。
只是我觉得速度不会比网易 /阿里 /各个高校的镜像强多少

[RqPS6rhmP3Nyn3Tm]

包管理都要校验 gpg 签名或 checksum 的，请告知我不敢用的理由
gpg 本身就是 Web of Trust

[wizardoz]

@mazyi 说的对，卖过假药的人，我一辈子不会找他买药。