VPN APT mənbəyi: nəyə icazə verir və onu necə məhdudlaşdırmaq olar

VPN müştərisini yükləmək birdəfəlik qərardır; onun APT deposunu əlavə etmək isə deyil. İkincisi paket menecerinə gələcək proqramların haradan gələ biləcəyini bildirir, bu isə yükləmə deyil, daimi səlahiyyət ötürülməsidir. Satıcı deponu düzgün saxladıqda bu, doğru təşkilat ola bilər. Yenə də düşünülmüş qərar tələb edir və əksər quraşdırma təlimatları bunu atlayır.

İmza arxivi təsdiqləyir, onun kodunu yox

APT imzalanmış depo metadatasını yoxlayır və sonra gətirdiyi paketlər üçün həmin metadatanın içindəki yoxlama cəmlərinə etibar edir. Bunun sübut etdiyi, arxivin açar sahibinin yayımladığı ilə uyğun olmasıdır, içindəki kodla bağlı heç nə deyil. Düzgün imzalanmış paket yenə də təhlükəli baxıcı skriptləri daşıya bilər və bu skriptlər paket quraşdırılarkən kök kimi işləyir. apt-secure təlimatı məhz bu sərhədi arxiv təsdiqi ilə proqramın nəzərdən keçirilməsi arasında çəkir.

Yəni faydalı sual imzanın doğrulanıb-doğrulanmaması deyil, çünki pozulmuş imza quraşdırmanı onsuz da dayandırır. Sual bundan sonra kimin imzasına etibar etməyi seçdiyinizdir. Oğurlanmış imza açarı oğurlanmış paketdən pisdir, çünki hücumçu ilk pis buraxılışdan çox sonra da etibarlı metadata istehsal etməyə davam edir. Yeganə düzəliş açarın dəyişdirilməsidir və bu, satıcının yeni açarı müstəqil yoxlaya bildiyiniz kanalla yayımlamasından asılıdır.

Buna görə açarın kimliyi depo URL-i qədər diqqətə layiqdir. Köhnə forum cavabındakı ünvandan götürülmüş açar nəşriyyatçı haqqında heç nə sübut etmir, HTTPS isə telefona cavab verənə qədər nəqli qoruyur. Nəqliyyat təhlükəsizliyi və nəşriyyatçı kimliyi ayrı suallardır və yalnız birincisi sertifikatla həll olunur.

Açarı sistemə deyil, mənbəyə bağlayın

Müasir APT mənbəyə xas Signed-By istinadını qəbul edir. Operatorun idarə etdiyi açar /etc/apt/keyrings/ altında yerləşə bilər və mənbə qeydi həmin arxivi təsdiqləyə bilən açarı adlandırır. Bu, həmin açarı qlobal etibarlı dəstə atmaqdan daha dardır, çünki orada heç vaxt icazə vermək istəmədiyiniz mənbələrə zəmanət verə bilər. Fərqli nəsil təlimatlardan fraqmentləri qarışdırmaq əvəzinə quraşdırılmış APT versiyasına və satıcının cari təlimatlarına əməl edin.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

İmza uğursuzluğunu heç vaxt yoxlamanı söndürməklə və ya naməlum arxivi etibarlı kimi işarələməklə düzəltməyin. Bu, görünən xətanı görünməyən biri ilə dəyişir və görünməyən xəta kimsə mənbələr siyahısını audit edənə qədər davam edir. Açar uyğun gəlmirsə, düzgün həll düzgün açarı tapmaqdır, yoxlamanı silmək deyil.

Depo təfərrüatlarını və açar kimliyini layihədən və ya idarə olunan administratorndan alın. Bloq yazısından kopyalanmış açar müəlliflik barədə iddiadır, onun sübutu deyil. Satıcı açar dəyişdirmə kanalı yayımladıqda onu açar ilə eyni vaxtda qeyd edin, çünki növbəti dəyişdirməni məhz həmin kanal mümkün edir.

Mənbənin bərkidilməsi paket icazə siyahısı deyil

Açarı bir mənbə ilə məhdudlaşdırmaq onun hansı arxivi təsdiqləyə biləcəyini məhdudlaşdırır, o arxivin hansı paketləri yayımlaya biləcəyini yox. Depo istədiyiniz VPN müştərisindən qat-qat çoxunu göndərə bilər və hansı uyğun versiyanın qalib gələcəyini APT-in namizəd seçimi və prioritetləri müəyyən edir. Təklif olunan əməliyyatı təsdiqləməzdən əvvəl asılılıq siyahısı da daxil olmaqla nəzərdən keçirin, çünki asılılıqlar eyni arxivdən gəlir. Açar əhatəsi ’yalnız bu paket’ ifadəsini verə bilməz.

Daha güclü nəzarət lazımdırsa, onu paket adları və ya versiyaları üzrə siyasət kimi ifadə edin və həmin siyasəti konfiqurasiya idarəetməsi altında saxlayın. Əməliyyatı oxumaq bir dəqiqə çəkir; altı ay sonra gözlənilməz paket aşkar etmək bir nəzərdən keçirmə çəkir.

Gözlənilməz paketlər davam etmək deyil, dayanmaq anıdır və arxiv sahibinə sual budur ki, onlar niyə tələb olunur. Bir müştəri ətrafında onlarla paket yayımlayan depo masaüstü dəsti göndərən satıcı üçün normaldır. Bu həm də quraşdırma təlimatının ima etdiyindən daha böyük səthdir və qeyd edilməyə dəyər hissə budur. Nəticələrin heç biri imzaya etimadsızlıq üçün səbəb deyil; hər ikisi qəbul etdiyinizi yazmaq üçün səbəbdir.

Səlahiyyəti və onu necə silməyi qeyd edin

Arxiv sahibini, dəstəklənən əməliyyat sistemi buraxılışını, açar dəyişdirmə kanalını və silmə prosedurunu yazın. Bu dörd fakt müştəri təqaüdə çıxdıqda və ya satıcı açarını dəyişdirdikdə varisinə lazım olan şeydir. Onlarsız növbəti şəxs heç bir hekayəsi olmayan mənbə sətri və açar faylı miras alır.

Silinmə atlanan addımdır, ona görə onu quraşdırma zamanı yazın. Mənbə qeydini və onun ayrılmış açarını birlikdə silin və faylı silməzdən əvvəl həmin açarın başqa yerdə istinad edilib-edilmədiyini yoxlayın. Bu yoxlama olmadan silinən ortaq açar təmizliyi əlaqəsiz kəsintiyə çevirir, bu isə adi dəyişiklik üçün ən pis nəticədir. Sonra qeyd getdikdən sonra adi yeniləmələrin hələ də həll olunduğunu təsdiqləyin.

Depo silindikdən sonra bir şey qalır: ondan artıq quraşdırılmış hər hansı paket nə isə onu əvəz edənə qədər işləməyə davam edir. Dürüst sual hansı səlahiyyəti əlavə etdiyiniz və onun rolunun nə qədər dar ifadə olunduğudur.