<div dir="ltr"><div class="gmail_extra"></div>On 25 August 2015 at 21:52, Richard Purdie &lt;<a href="mailto:richard.purdie@linuxfoundation.org">richard.purdie@linuxfoundation.org</a>&gt; wrote:<br>&gt; Some random thoughts. We could add the signature into the tarball using<br>&gt; something like the --use-compress-program option  (see<br>&gt; <a href="https://www.gnu.org/software/tar/manual/html_chapter/tar_8.html">https://www.gnu.org/software/tar/manual/html_chapter/tar_8.html</a> and the<br>&gt; gpg references). That would mean we have one less separate file to worry<br>&gt; about.<br>&gt;<br>&gt; Not sure which approach I prefer, just putting the idea out there...<br><br><br>Or alternatively stash the signature in the siginfo as another field in the data store.<br><br>Still not sure what I prefer either!<br><br>&gt; I&#39;d also probably make these callable functions, then others can<br>&gt; override them and use them as hooks if they want to.<br><br>FWIW, initially they were functions in the pre-extract and post-create functions, but error handling disappears that way and instead of shouting &quot;signature verification failed&quot; it just says that &quot;an error occured&quot;.    I can still factor them out but call them directly.<div><br>Ross<br></div></div>