ポケットを空にして。

■ 今日のDebian作業

• バグ潰した x2
• バグ潰した x1
• バグ直ってるのを確認して閉じた x2
• CVEのパッチをupstreamのgitでとってきて当ててビルド出きるのを確認してパッケージのgitにpush、メンテナにその旨連絡した
• upstreamが脆弱性を直したバージョンを出しているのを確認、アナウンスからsqueeze,wheezyには影響がない旨を得たのでsecurity-trackerをアップデートしてBTSに影響範囲のバージョンタグなどを打ち直した
• でupstream releaseをimportしてビルドしようとしたらビルドエラーになるので途方に暮れている…
• 雑誌記事を書いていて念のため動作検証したらjdのbackportsがちゃんとwheezy環境でビルドで来てなかったのを発見 orz
  →バージョンをあげてビルドし直してdput

OSCいって家に帰ってきてからの作業にしては上出来かな。

■ まだRCバグ潰しとかやってる

果てしなき道。いや、何とかした方がいいと思ってはいるんだけど。

■ NEW queue放り込み作戦

放置してたbirdfontのcopyrightまわりの更新ができた＆その間に出た新しいバージョンも取り込んでパッチも更新したのでアップロードした。

goocanvasは最初adoptしてからにしろ、とお達しいただいたので変更して再度。
あ、入ったらrepositoryをruby-extrasに移動しないとね。。。

■ systemdとかいいからRCバグを潰すんだ

• Bug#707903、delayed 7 へアップロード
• Bug#718647、delayed 7 へアップロード
• Bug#707901、死亡してるんじゃない？と意見
• Bug#738597、登録。
• Bug#707900、大体作業終わりだけど、testの部分がpostgresqlのinitdb呼んでるのだが、Debian特有の事情でinitdbないんだよね。ということでこの部分は書き直しなりなんなり必要。
• Bug#738407、delayed 7 へアップロード
• Bug#713193、delayed 7 へアップロード
• Bug#723789、最初のFTBFSを潰したら他のが出てきたのでそこまでをメモ、retitleしておいた
• Bug#725579、delayed 7 へアップロード
• Bug#735785、upstreamの新しいバージョンでは直ってるのでその旨とfixed-upstreamタグをつけておいた（バージョンが上がると色々ややこしそうだったのでそこで止めておいた）
  →もう新しいバージョンのは別パッケージとしてリポジトリにあるよ、ときた
  →問題箇所が特定できたのでパッチ作って送っておいた（CMakeだと勘どころが全く分からなかった…）
• Bug#738371、直してアップロードした
• Bug#718647、新しいバージョンをアップロード

■ GPG署名をdebianのuscanでちゃんとチェックする方法

guile-pgというソフトのアーカイブディレクトリを見たら.sigで署名のファイルもおいてたので、ちゃんとチェックするようにしようと思い立つ。

Googleさんでメールアーカイブを検索して、リリースアナウンスでGPGサインしているのを見つけた。キーは4C807502らしい。

$ gpg --recv-keys 4C807502 

したんだけど失敗。普段使っている pgp.nic.ad.jpには情報がないっぽいので、多分pgp.mit.eduとかでとれるんじゃないかなーと指定しなおし

$ gpg --keyserver pgp.mit.edu --recv-keys 4C807502 
gpg: 鍵4C807502をhkpからサーバーpgp.mit.eduに要求
gpg: 鍵4C807502: 公開鍵“Thien-Thi Nguyen (software signing) ”を読み込みました
gpg:     処理数の合計: 1
gpg:           読込み: 1

取得できた。

$ wget http://download.savannah.gnu.org/releases/guile-pg/guile-pg-0.46.tar.xz.sig -O /tmp/guile-pg-0.46.tar.xz.sig
$ gpg --verify /tmp/guile-pg-0.46.tar.xz.sig 
gpg: 署名されたデータがありません
gpg: can't hash datafile: ファイルのオープン・エラー

sigファイルと比較するファイルが無いのでwgetで取得して同じディレクトリに置いて、再度--verify

$ wget http://download.savannah.gnu.org/releases/guile-pg/guile-pg-0.46.tar.xz -O /tmp/guile-pg-0.46.tar.xz
(snip)
$ gpg --verify /tmp/guile-pg-0.46.tar.xz.sig 
gpg: 2013年03月14日 19時26分17秒 JSTにDSA鍵ID 4C807502で施された署名
gpg: “Thien-Thi Nguyen (software signing) ”からの正しい署名
gpg:                 別名“Thien-Thi Nguyen ”
gpg: 警告: この鍵は信用できる署名で証明されていません!
gpg:       この署名が所有者のものかどうかの検証手段がありません。
主鍵の指紋: 748E A0E8 1CB8 A748 9BFA  6CE4 6703 2224 4C80 7502

guile-pg-0.46.tar.xzは4C807502で署名されていることがわかったので、鍵をdebian/upstream/signing-key.ascに放り込む。
注意点としては現時点ではdebian/upstream-signing-key.{asc,pgp}でやっとかないとlintianがエラーと判定するのだけど、これは私の予想ではバグなのでBTSしておいた。回避策はdebian/source/lintian-overridesにエラー内容を記述して無視すること。

$ gpg -a --export 4C807502 > debian/upstream/signing-key.asc

で、debian/watchファイルにpgpsigurlmangleオプションを指定。

version=3
　
opts="pgpsigurlmangle=s/$/.sig/" \
http://download.savannah.gnu.org/releases/guile-pg/guile-pg-(.*).tar.xz

これで準備完了。

$ uscan
guile-pg: Newer version (0.46) available on remote site:
  http://download.savannah.gnu.org/releases/guile-pg/guile-pg-0.46.tar.xz
  (local version is 0.16)
gpgv: 2013年03月14日 19時26分17秒 JSTにDSA鍵ID 4C807502で施された署名
gpgv: “Thien-Thi Nguyen (software signing) ”からの正しい署名
gpgv:                 別名“Thien-Thi Nguyen ”
guile-pg: Successfully downloaded updated package guile-pg-0.46.tar.xz
    and symlinked guile-pg_0.46.orig.tar.xz to it

ということでちゃんと署名チェックしたtarballが取得できるようになった

■ goocanvasをNMUしてみた

goocanvas (2.0.2-0.1) experimental; urgency=medium
　
  * Non-Maintainer Upload
  * New upstream release (Closes: #588177)
  * update debian/source/format "3.0 (quilt)" (Closes: #670694)
  * debian/patches
    - convert all dpatch to quilt
    - drop unnecessary all patches
  * debian/control
    - drop unnecessary quilt from Build-Depends
    - set "Standards-Version: 3.9.5"
    - add "Build-Depends: libgtk-3-dev" and drop libgtk2.0-dev
    - add "Build-Depends: libcairo2-dev (>= 1.10)"
    - update "Build-Depends: libglib2.0-dev (>= 2.28)"
    - drop dpkg-dev from Build-Depends
    - set debhelper (>= 9)
    - make it Multi-Arch ready
    - drop cdbs from Build-Depends
    - change package name from libgoocanvas* to libgoocanvas-2.0*
    - use collabmaint repository for git repository
    - add "Build-Depends: libgirepository1.0-dev" to install
      gobject-introspection bindings
    - introduce gir1.2-goocanvas-2.0 package
  * debian/rules
    - convert from cdbs to dh7
  * debian/compat
    - set 9
  * debian/*.install
    - update to install libgoocanvas-2.0.so*
  * debian/*.install
    - move gtk-doc from -dev to -common
    - add libgoocanvas-2.0-dev.install
  * debian/*.links
    - move from -dev to -common
  * debian/watch
    - update to track .xz tarball. upstream doesn't provide gz or bz2 anymore
　
 -- Hideki Yamane   Fri, 10 Jan 2014 14:44:29 +0900

3週間も放置してたので、「なぜこのパッケージの作業をしようと思ったのか」がさっぱり思い出せない…

■ Bugふわけなど

• 新しいバージョンで直ってたりするのかな？というping。
  しかし、how to reproduceとscreenshotがやっぱり欲しいよね…という気がする
  →いちいちパッケージ側で追加するのか、それともfontパッケージの場合は自動的に追加するとかにするか（できるか）などを考えた
• fonts-motoya-l-{cedar,maruberi}ソースパッケージを削除しようか、という提案
• しかし、fonts-androidは他のttfを追加して何か悪いのか？という

■ uscanの挙動が変わったようだ

  uscan now looks for upstream's keyring under debian/upstream/ as either
  signing-key.pgp or, for an armored keyring, signing-key.asc.  The previously
  used location, debian/upstream-signing-key.pgp, will be checked as a last
  resort for a transition period.

■ 未来日記（別名todo）

• goocanvasの手当てをする
• ruby-gnome2のビルドでruby1.9.1の場合をちゃんと調べる
• ひたすらfont-package-not-multi-arch-foreignの修正

■ 今日の作業

バグ整理は続く。

• Bug#163473（およびマージされていた163472）をclose
• Bug#618568は新しいバージョン待ちなので、そちらのblockバグにした
• Bug#642596の調査。どうやらupstreamが移転→再度CTANに戻った、という感じのようだ。問題はパッケージ名だけど、どうしよう、ということでチームに相談メールを出した。
• Bug#671739を処理。

■ jdのbuild-depends修正→不要だった

libgcryptが上がっているようなのでそっちを。

あーlibgnutls-devの方から引っ張ってるのでそっちが上がったら、ですね。

■ 今日の作業

• Bug#731922をclose

■ 未来日記（別名todo）→結果

• fonts-sawarabi-minchoの更新を実施。
• jcodingsが他の人が手当てをしていたのをちゃんとマージする
  →とりあえず不格好ながらできた。

■ 未来日記（別名todo）→結果

• xgridfitの更新→done
  lintian errorが追加されていてちょっと戸惑った＆gitに四苦八苦してた（svnからコンバートしてgit repoも作っといた）
• Bug#688387 の調査
  →done
• fonts-mikachanをgit repoにいれて、multi-arch修正、Vcs-*修正
  →やっぱりmultiple upstream sourceを取り扱えないのでとりあえずmulti-arch対処だけ。
• fonts-unfonts-extraをmulti-arch修正
  →done
• fonts-kacstをput
  →done
• その他直せそうなlintian warningを修正
  →むりぽ