HTTPS və VPN quraşdırdığınız paketi təsdiqləmir

Yeniləmə uğursuz olur və mövzudakı təklif adi xətlə gedir: trafik VPN-dən keçir, deməli endirmə etibarlı olmalıdır, və imza yoxlaması xətanı keçmək üçün yumşaldılır. İki ayrı fikir bir cümlədə birləşdirilib. Şifrələmə son nöqtələr arasındakı yolu qoruyur; təsdiqləmə isə baytların nəzərdə tutduğunuz nəşriyyatçıdan gəlib-gəlmədiyini həll edir. Tunel birincini təmin edir və ikinci barədə heç nə demir.

Simptom adətən bir hostda, bir repozitoriyada doğrulama xətasıdır, halbuki qalan hər şey normal yenilənir. Bu forma artıq deyir ki, şəbəkə yolu işləyir və fikir ayrılığı etibarla bağlıdır.

Fərqli suallara cavab verən iki nəzarət

Nəqliyyat təhlükəsizliyi bu bağlantının digər ucunda kimin olduğunu və yolda kimsə onu oxuya və ya dəyişdirə biləcəyini cavablandırır. Paket təsdiqləməsi isə bu artefaktın sizin konfiqurasiya etdiyiniz orqan tərəfindən nəşr edilib-edilmədiyini cavablandırır və nəzarət etmədiyiniz güzgü vasitəsilə endirilməyə davam etməlidir.

Bu suallar yalnız kənarlarda üst-üstə düşür. Güzgüdəki düzgün sertifikat güzgünün güzgü olduğunu sübut edir; güzgünün dəyişdirilməmiş nəşriyyatçı məzmunu saxladığını sübut etmir. İmzalanmış paket nəşriyyatçının onu imzaladığını sübut edir; şəbəkənin ən yeni versiyanı çatdırdığını və ya hədəflədiyiniz repozitoriyanın təşkilatınızın təsdiqlədiyi biri olduğunu sizə demir.

İnsanların yoxlamaları söndürməklə yaratdığı uğursuzluq rejimi ikinci zəmanətin daimi itkisidir, bir uğurlu endirmə müqabilində. Bu mübadilə vacib olduğu günə qədər görünməzdir.

apt həqiqətən nəyi təsdiqləyir

APT modeli təsdiqlənmiş arxiv zənciridir. İmzalanmış buraxılış metadatası yoxlama cəmi ilə paket indekslərinə aparır, həmin indekslər də yoxlama cəmi ilə ayrı paket fayllarına aparır. Zəncirin yoxlanması güzgünü etibarsız, lakin istifadə edilə bilən edir: güzgü istədiyini təqdim edə bilər və metadatanın imzası APT-nin onu qəbul edib-etmədiyini həll edir.

Bu qəsdən hər quraşdırılmış paketdə baxıcının imzasını yoxlamaqla eyni şey deyil və bu fərq niyə səhv hesabatlarında «paket imzalanmışdır» ilə «arxiv təsdiqlənmişdir» ifadələrinin bir-birinin yerinə işlədildiyini izah edir, halbuki onlar fərqli şeylər deməkdir.

apt-get update
apt-cache policy
apt-config dump | grep -iE 'AllowInsecure|AllowDowngrade'

Yeniləmə çıxışına baxın, yalnız çıxış koduna deyil. APT metadatası uğursuz olan repozitoriyanın adını çəkir və bu ad araşdırılmalı olan sərhəddir. İmza yoxlaması olmadan etibarlı kimi işarələnmiş repozitoriya və ya etibarsız repozitoriya üçün verilmiş üstünlük, kiminsə verdiyi və izah edə bilməli olduğu konfiqurasiya qərarıdır.

Təzəlik yenə ayrı bir xassədir. Düzgün imzalanmış metadata faylı keçən həftə gördüyünüzdən köhnə ola bilər, buna görə buraxılış metadatası son istifadə tarixi daşıyır və buna görə müştəridə saat problemi açar problemlərinə bənzəyən doğrulama xətaları yarada bilər.

dnf5 nəyi ayrıca yoxlayır

RPM tərəfi iki fərqli açar təqdim edir və onları qarışdırmaq digər istiqamətdə eyni səhv sinfini yaradır. Biri paket fayllarının etibarlı imza daşımalı olub-olmadığını idarə edir; digəri repozitoriya metadatasının imzalanmalı olub-olmadığını idarə edir. Onlar ayrıca tənzimlənə bilər və sistem birində sərt, digərində mülayim ola bilər.

dnf5 config-manager --dump 2>/dev/null | grep -iE 'gpgcheck|repo_gpgcheck'
rpm -q --qf '%{NAME} %{SIGPGP:pgpsig}\n' bash

Paket sorğusu quraşdırılmış nüsxənin imza metadatasının necə göründüyünü göstərir, bu da sərtlik iddia edən konfiqurasiya faylına qarşı faydalı reallıq yoxlamasıdır. Bildirmədiyi şey distributivin dəstəklədiyi siyasətdir və forumdan gələn ümumi «GPG-ni aktivləşdir» təlimatı yerinə məhz ona əməl etməlisiniz.

İki idarəedici fərqləndiyi yerdə fərq memarlıqdır, birinin zəif olmasının əlaməti deyil. Hər ikisi nəşriyyatçı məzmununu təsdiqləyir; imzanı zəncirin müxtəlif nöqtələrinə qoyurlar.

Tunelin əlavə etdiyi və etmədiyi şeylər

VPN tələb olunan marşrutu təmin edə, yeniləmə trafikini etibarsız giriş şəbəkəsindən kənarda saxlaya və yerli müşahidəçinin gördüklərini azalda bilər. Bunlar real əməliyyat faydalarıdır və heç biri nəşriyyatçı təsdiqi deyil.

HTTPS öz zəmanətini əlavə edir və bu, hiss olunduğundan dardır. O, qoşulduğunuz TLS son nöqtəsini təsdiqləyir. Əgər həmin son nöqtə güzgüdürsə, güzgünü təsdiqləmisiniz, onun təqdim etdiyi arxiv məzmununu yox. Bu, imzalanmış metadata zəncirinin məhz mövcud olduğu haldır.

Nəzarətlərin heç biri mövcudluğu vəd etmir. Şəbəkə çatdırılmanı rədd edə bilər və təsdiqlənmiş obyekt avtomatik ən yeni deyil. Kilid ikonunun mövcudluğundan nəticə çıxarmaq əvəzinə paket idarəedicisinin öz təzəlik siyasətindən istifadə edin.

Uğursuz olan sərhədi diaqnoz et

Heç nəyi dəyişməzdən əvvəl mərhələni adlandırın: DNS həlli, proksi və ya marşrut, TLS son nöqtəsinin şəxsiyyəti, arxiv təsdiqi, paket imza yoxlamaları və ya quraşdırma. Hər birinin fərqli xəta forması və fərqli sahibi var.

Şəbəkə yolunu bərpa etmək heç vaxt naməlum imza açarını etibarlı elan etməyi, sertifikatları görməməzliyə vurmağı və ya istəmədiyiniz repozitoriya konfiqurasiyasını qəbul etməyi əhatə etməməlidir. Əgər açar həqiqətən dəyişdirilibsə, distributiv və ya repozitoriya sahibi yeni açarı yoxlaya biləcəyiniz kanal vasitəsilə dərc edir və tətbiq edilməli düzəliş budur.

Hansı sərhədin uğursuz olduğunu və kimin sahib olduğunu yazın. Növbəti yeniləmə uğursuzluğu başqa sərhəddə olacaq və siyahının olması onu tunelin yeniləmələri təhlükəsiz edib-etmədiyi barədə daha bir mübahisə yerinə beş dəqiqəlik diaqnoza çevirir.