Ffynhonnell APT VPN: beth mae’n ei ganiatáu, a sut i’w chyfyngu

Mae lawrlwytho cleient VPN yn benderfyniad unwaith ac am byth; nid yw ychwanegu ei ystorfa APT felly. Mae’r ail yn dweud wrth y rheolwr pecynnau o ble y gall meddalwedd yn y dyfodol ddod, sef trosglwyddiad parhaol o awdurdod yn hytrach na lawrlwythiad. Gall hynny fod y trefniant cywir pan fydd y gwerthwr yn cynnal ystorfa’n briodol. Mae’n haeddu penderfyniad bwriadol o hyd, ac mae’r rhan fwyaf o ganllawiau gosod yn ei hepgor.

Mae llofnod yn dilysu archif, nid ei chod

Mae APT yn gwirio metadata llofnodedig yr ystorfa ac yna’n ymddiried yn y swm gwirio o fewn y metadata hwnnw ar gyfer y pecynnau y mae’n eu nôl. Yr hyn a brofir yw bod yr archif yn cyfateb i’r hyn a gyhoeddwyd gan ddeiliad yr allwedd, ac nid oes dim am y cod ynddi. Gall pecyn a lofnodwyd yn gywir o hyd fod â sgriptiau cynnal peryglus, ac mae’r sgriptiau hynny’n rhedeg fel root wrth osod y pecyn. Mae llawlyfr apt-secure yn tynnu’r union linell hon rhwng dilysu archif ac adolygiad o’r meddalwedd.

Felly’r cwestiwn defnyddiol yw nid a yw’r llofnod yn dilysu, gan fod llofnod toredig yn atal y gosodiad beth bynnag. Y cwestiwn yw llofnod pwy yr ydych yn dewis ymddiried ynddo o hyn ymlaen. Mae allwedd llofnodi wedi’i dwyn yn waeth na phecyn wedi’i ddwyn, oherwydd mae’r ymosodwr yn parhau i gynhyrchu metadata dilys ymhell ar ôl y rhyddhau drwg cyntaf. Cylchdroi yw’r unig atgyweiriad, ac mae’n dibynnu ar y gwerthwr yn cyhoeddi allwedd newydd drwy sianel y gallwch ei gwirio’n annibynnol.

Dyna pam mae hunaniaeth yr allwedd yn haeddu cymaint o sylw â URL yr ystorfa. Nid yw allwedd a gymerwyd o gyfeiriad mewn hen ateb ar fforwm yn sefydlu dim am y cyhoeddwr, tra bod HTTPS yn gwarchod y cludiant at pwy bynnag a atebodd y ffôn. Mae diogelwch cludiant a hunaniaeth cyhoeddwr yn gwestiynau ar wahân, a dim ond yr cyntaf a ddatryswyd gan dystysgrif.

Cyfyngwch yr allwedd i’r ffynhonnell, nid i’r system

Mae APT modern yn derbyn cyfeirnod Signed-By sy’n benodol i ffynhonnell. Gall allwedd a reolir gan weithredwr fyw o dan /etc/apt/keyrings/, ac mae cofnod y ffynhonnell yn enwi’r allwedd a gaiff ddilysu’r archif honno. Mae hynny’n gulach na gollwng yr un allwedd i set a ymddiriedir yn fyd-eang, lle y gall warantu ffynonellau na fuoch erioed am eu caniatáu. Dilynwch y fersiwn APT sydd wedi’i osod a chyfarwyddiadau cyfredol y gwerthwr yn hytrach na chymysgu darnau o wahanol genedlaethau o ganllawiau.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Peidiwch byth â thrwsio methiant llofnod drwy analluogi gwirio neu drwy farcio archif anhysbys fel un y gellir ymddiried ynddi. Mae hynny’n cyfnewid gwall gweladwy am un anweladwy, ac mae’r anweladwy yn para nes bydd rhywun yn archwilio’r rhestr ffynonellau. Os nad yw’r allwedd yn cyfateb, y cywiriad cywir yw dod o hyd i’r allwedd gywir, nid tynnu’r gwiriad.

Cewch fanylion yr ystorfa a hunaniaeth yr allwedd gan y prosiect neu gan weinyddwr a reolir. Mae allwedd a gopïwyd o bost blog yn haeriad am awduraeth, nid yn dystiolaeth ohoni. Pan fydd gwerthwr yn cyhoeddi sianel gylchdroi, cofnodwch hi ar yr un pryd â’r allwedd, oherwydd honno sy’n gwneud y cylchdro nesaf yn bosibl.

Nid yw pinio ffynhonnell yn rhestr caniatáu pecynnau

Mae cyfyngu allwedd i un ffynhonnell yn cyfyngu pa archif y gall ei dilysu, nid pa becynnau y caiff yr archif honno eu cyhoeddi. Gall yr ystorfa gludo llawer mwy na’r cleient VPN a oeddech ei eisiau, a dewis ymgeiswyr a blaenoriaethau APT sy’n penderfynu pa fersiwn gymwys sy’n ennill. Adolygwch y trafodiad arfaethedig cyn ei gadarnhau, gan gynnwys y rhestr ddibyniaethau, oherwydd daw dibyniaethau o’r un archif. Ni all cwmpas allwedd fynegi ’dim ond y pecyn hwn’.

Os oes angen rheolaeth gryfach arnoch, mynegwch hi fel polisi ar enwau neu fersiynau pecynnau a chadwch y polisi hwnnw o dan reolaeth ffurfweddiad. Mae darllen trafodiad yn cymryd munud; mae darganfod pecyn annisgwyl chwe mis yn ddiweddarach yn cymryd adolygiad.

Mae pecynnau annisgwyl yn foment i stopio yn hytrach nag i fwrw ymlaen, a’r cwestiwn i berchennog yr archif yw pam eu bod yn angenrheidiol. Mae ystorfa sy’n cyhoeddi dwsin o becynnau o amgylch un cleient yn normal i werthwr sy’n cludo swît bwrdd gwaith. Mae hefyd yn arwynebedd mwy nag a awgrymodd y canllaw gosod, a dyna’r rhan sy’n werth ei chofnodi. Nid yw’r un o’r ddau ganlyniad yn rheswm i ddrwgdybio’r llofnod; mae’r ddau yn rheswm i ysgrifennu beth a dderbyniasoch.

Cofnodwch yr awdurdod a sut i’w dynnu

Ysgrifennwch berchennog yr archif, y rhyddhau system weithredu a gefnogir, sianel gylchdroi’r allwedd a’r weithdrefn dynnu. Y pedwar ffaith hynny yw’r hyn sydd ei angen ar olynydd pan fydd y cleient yn ymddeol neu’r gwerthwr yn cylchdroi ei allwedd. Hebddyn nhw, mae’r person nesaf yn etifeddu llinell ffynonellau a ffeil allwedd heb unrhyw stori.

Tynnu yw’r cam a hepgorir, felly ysgrifennwch ef ar amser gosod. Dilëwch y cofnod ffynhonnell a’i allwedd bwrpasol gyda’i gilydd, a gwiriwch a oes cyfeiriad at yr allwedd honno yn rhywle arall cyn tynnu’r ffeil. Mae allwedd a rennir ac a ddilëir heb y gwiriad hwnnw’n troi glanhau yn amhariad digyswllt, sef y canlyniad gwaethaf i newid arferol. Yna cadarnhewch fod diweddariadau cyffredin yn dal i ddatrys ar ôl i’r cofnod fynd.

Mae un peth yn aros ar ôl tynnu’r ystorfa: mae unrhyw becyn sydd eisoes wedi’i osod ohoni yn parhau i redeg nes bydd rhywbeth yn ei ddisodli. Y cwestiwn gonest yw pa awdurdod a ychwanegwyd gennych, a pha mor gul y mynegwyd ei rôl.