
<html><head><meta http-equiv="Content-Type" content="text/html charset=utf-8"></head><body style="word-wrap: break-word; -webkit-nbsp-mode: space; -webkit-line-break: after-white-space;" class=""><br class=""><div><blockquote type="cite" class=""><div class="">On Dec 30, 2014, at 9:29 PM, Richard Jones <<a href="mailto:richard@python.org" class="">richard@python.org</a>> wrote:</div><br class="Apple-interchange-newline"><div class="">Thanks for the clarification, guys.<div class=""><br class=""></div><div class="">Donald, I'm not sure what you mean by "<span style="line-height:19.7999992370605px" class="">a compromise of the CDN for *uploading*”.</span><br class=""></div></div></blockquote><br class=""></div><div>PyPI trusts the CDN to give it the correct bits, without a signature from the author that is being verified uploading just relies on TLS again. The other PEP should close that gap though I believe.</div><div><br class=""></div><div>Note: I have yet to read these PEPs so I’m just going by a casual glance of them.</div><br class=""><div class="">

<div style="color: rgb(0, 0, 0); letter-spacing: normal; orphans: auto; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; widows: auto; word-spacing: 0px; -webkit-text-stroke-width: 0px; word-wrap: break-word; -webkit-nbsp-mode: space; -webkit-line-break: after-white-space;" class=""><div style="color: rgb(0, 0, 0); letter-spacing: normal; orphans: auto; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; widows: auto; word-spacing: 0px; -webkit-text-stroke-width: 0px; word-wrap: break-word; -webkit-nbsp-mode: space; -webkit-line-break: after-white-space;" class=""><div class="">---</div><div class="">Donald Stufft</div><div class="">PGP: 7C6B 7C5D 5E2B 6356 A926 F04F 6E3C BCE9 3372 DCFA</div></div></div>

</div>

<br class=""></body></html>