Nid yw HTTPS a VPN yn dilysu’r pecyn rydych yn ei osod

Mae diweddariad yn methu, ac mae’r awgrym yn yr edefyn yn dilyn llinell gyfarwydd: mae’r traffig yn mynd trwy VPN, felly rhaid i’r lawrlwytho fod yn ddibynadwy, ac mae’r gwiriad llofnod yn cael ei lacio i fynd heibio’r gwall. Mae dau syniad ar wahân wedi’u huno mewn un frawddeg. Mae amgryptio yn gwarchod llwybr rhwng penau; mae dilysu yn penderfynu a ddaeth y beitiau o’r cyhoeddwr y bwriadwyd. Mae twnnel yn darparu’r cyntaf ac yn dweud dim am yr ail.

Y symptom fel arfer yw gwall dilysu ar un gwesteiwr, mewn un storfa, tra bod popeth arall yn diweddaru’n normal. Mae’r siâp hwnnw eisoes yn dweud bod y llwybr rhwydwaith yn gweithio a bod yr anghytundeb yn ymwneud ag ymddiriedaeth.

Dau reolydd sy’n ateb cwestiynau gwahanol

Mae diogelwch cludiant yn ateb pwy sydd ar ben arall y cysylltiad hwn ac a all rhywun ar y llwybr ei ddarllen neu ei addasu. Mae dilysu pecyn yn ateb a gyhoeddwyd yr arteffact hwn gan yr awdurdod a ffurfweddwyd gennych, ac mae’n rhaid iddo oroesi lawrlwytho trwy ddrych nad ydych yn ei reoli.

Dim ond ar yr ymylon y mae’r cwestiynau hynny’n gorgyffwrdd. Mae tystysgrif gywir ar ddrych yn profi mai’r drych yw’r drych; nid yw’n profi bod y drych yn dal cynnwys cyhoeddwr heb ei addasu. Mae pecyn llofnodedig yn profi bod y cyhoeddwr wedi’i lofnodi; nid yw’n dweud wrthych fod y rhwydwaith wedi darparu’r fersiwn diweddaraf nac mai’r storfa a bwyntiwyd gennych yw’r un a gymeradwywyd gan eich sefydliad.

Y modd methu y mae pobl yn ei greu drwy analluogi gwiriadau yw colled barhaol o’r ail warant, yn gyfnewid am un lawrlwytho llwyddiannus. Mae’r cyfnewid hwnnw’n anweledig tan y diwrnod y mae’n bwysig.

Beth mae apt yn ei ddilysu mewn gwirionedd

Model APT yw cadwyn archif ddilysedig. Mae metaddata rhyddhau llofnodedig yn arwain drwy swm gwirio at y mynegeion pecyn, ac mae’r mynegeion hynny’n arwain drwy swm gwirio at y ffeiliau pecyn unigol. Dilysu’r gadwyn sy’n gwneud drych yn annibynadwy ond yn ddefnyddiadwy: gall y drych wasanaethu unrhyw beth a fynno, a llofnod y metaddata sy’n penderfynu a yw APT yn ei dderbyn.

Yn fwriadol nid yw hyn yr un peth â gwirio llofnod cynhaliwr ar bob pecyn a osodwyd, ac mae’r gwahaniaeth yn esbonio pam y defnyddir «mae’r pecyn wedi’i lofnodi» a «mae’r archif wedi’i dilysu» yn gyfnewidiol mewn adroddiadau nam pan fyddant yn golygu pethau gwahanol.

apt-get update
apt-cache policy
apt-config dump | grep -iE 'AllowInsecure|AllowDowngrade'

Darllenwch allbwn y diweddariad, nid y cod allan yn unig. Mae APT yn enwi’r storfa y methodd ei metaddata, a’r enw hwnnw yw’r ffin i’w harchwilio. Mae storfa wedi’i marcio’n ddibynadwy heb wirio llofnod, neu orddefnydd ar gyfer storfa anniogel, yn benderfyniad ffurfweddu y gwnaeth rhywun ef ac y dylai allu ei esbonio.

Mae ffresni’n briodwedd arall eto. Gall ffeil metaddata a lofnodwyd yn ddilys fod yn hŷn na’r un a welwyd yr wythnos diwethaf, a dyna pam mae metaddata rhyddhau yn cario dyddiad dod i ben a pham y gall problem cloc ar y cleient gynhyrchu gwallau dilysu sy’n edrych fel problemau allwedd.

Beth mae dnf5 yn ei wirio ar wahân

Mae ochr RPM yn datgelu dau swits gwahanol, ac mae eu cymysgu yn cynhyrchu’r un dosbarth o gamgymeriad i’r cyfeiriad arall. Mae un yn rheoli a oes rhaid i ffeiliau pecyn gario llofnod dilys; mae’r llall yn rheoli a oes rhaid llofnodi metaddata storfa. Gellir eu gosod yn annibynnol, a gall system fod yn llym am un ac yn oddefgar am y llall.

dnf5 config-manager --dump 2>/dev/null | grep -iE 'gpgcheck|repo_gpgcheck'
rpm -q --qf '%{NAME} %{SIGPGP:pgpsig}\n' bash

Mae’r ymholiad pecyn yn dangos sut olwg sydd ar fetaddata llofnod y copi a osodwyd, sy’n wiriad realiti defnyddiol yn erbyn ffeil ffurfweddu sy’n honni llymder. Yr hyn nad yw’n ei ddweud wrthych yw polisi cefnogol y dosbarthiad, a dyna ddylech ei ddilyn yn lle cyfarwyddyd cyffredinol «galluogi GPG» o fforwm.

Lle mae’r ddau reolwr yn wahanol, mae’r gwahaniaeth yn bensaernïol yn hytrach nag yn arwydd bod un yn wannach. Mae’r ddau yn dilysu cynnwys cyhoeddwr; maent yn gosod y llofnod ar bwyntiau gwahanol yn y gadwyn.

Beth mae’r twnnel yn ei ychwanegu a beth nad yw

Gall VPN ddarparu llwybr gofynnol, cadw traffig diweddaru oddi ar rwydwaith mynediad annibynadwy, a lleihau’r hyn y mae arsylwr lleol yn ei weld. Mae’r rhain yn fanteision gweithredol go iawn, ac nid oes yr un ohonynt yn ddilysiad cyhoeddwr.

Mae HTTPS yn ychwanegu ei warrant ei hun, ac mae’n gulach nag y mae’n teimlo. Mae’n dilysu’r pen TLS y cysylltwyd ag ef. Os yw’r pen hwnnw’n ddrych, rydych wedi dilysu’r drych, nid cynnwys yr archif y mae’n ei wasanaethu. Dyma’n union yr achos y mae’r gadwyn metaddata llofnodedig yn bodoli ar ei gyfer.

Nid yw’r un o’r ddau reolyn yn addo argaeledd. Gall rhwydwaith wrthod cyflenwi, ac nid yw gwrthrych dilysedig yn awtomatig yr un diweddaraf. Defnyddiwch bolisi ffresni’r rheolwr pecynnau ei hun yn lle ei gasglu o bresenoldeb eicon clo.

Diagnoswch y ffin a fethodd

Enwch y cam cyn newid unrhyw beth: datrysiad DNS, y dirprwy neu’r llwybr, hunaniaeth pen TLS, dilysu archif, gwiriadau llofnod pecyn, neu osodiad. Mae gan bob un siâp gwall ac perchennog gwahanol.

Ni ddylai trwsio llwybr rhwydwaith byth gynnwys datgan bod allwedd llofnodi anhysbys yn ddibynadwy, anwybyddu tystysgrifau, nac derbyn ffurfwedd storfa na ofynnoch amdani. Os cylchdrodd allwedd o ddifrif, mae’r dosbarthiad neu berchennog y storfa yn cyhoeddi’r allwedd newydd drwy sianel y gallwch ei dilysu, a dyna’r cywiriad i’w gymhwyso.

Ysgrifennwch pa ffin a fethodd a phwy sy’n berchen arni. Bydd y methiant diweddaru nesaf ar ffin wahanol, ac mae cael y rhestr yn ei wneud yn ddiagnosis pum munud yn lle dadl arall ynghylch a yw’r twnnel yn gwneud diweddariadau’n ddiogel.