VPN-APT-fonto: kion ĝi donas kaj kiel limigi ĝin

Elŝuti VPN-klienton estas unufoja decido; aldoni ĝian APT-deponejon ne estas. La dua diras al la paka administranto, de kie povas veni estonta programaro, kaj tio estas konstanta transdono de aŭtoritato, ne elŝuto. Tio povas esti la ĝusta aranĝo, kiam la vendanto prizorgas deponejon konvene. Ĝi tamen meritas konscian decidon, kaj la plej multaj instalaj gvidiloj preterlasas ĝin.

Subskribo aŭtentikigas arkivon, ne ĝian kodon

APT kontrolas subskribitajn deponejajn metadatumojn kaj poste fidas la kontrolsumojn ene de tiuj metadatumoj por la pakaĵoj, kiujn ĝi akiras. Tio pruvas, ke la arkivo kongruas kun tio, kion publikigis la ŝlosilposedanto, kaj nenion pri la kodo interne. Ĝuste subskribita pakaĵo ankoraŭ povas enhavi nesekurajn prizorgajn skriptojn, kaj tiuj skriptoj ruliĝas kiel root dum la pakaĵo instaliĝas. La manlibro apt-secure strekas ĝuste tiun linion inter arkiva aŭtentikigo kaj revizio de la programaro.

Do la utila demando ne estas, ĉu la subskribo validiĝas, ĉar rompita subskribo ĉesigas la instaladon ĉiuokaze. Ĝi estas, kies subskribon vi elektas fidi de nun. Ŝtelita subskriba ŝlosilo estas pli malbona ol ŝtelita pakaĵo, ĉar la atakanto daŭre produktas validajn metadatumojn longe post la unua malbona eldono. Rotacio estas la sola riparo, kaj ĝi dependas de tio, ke la vendanto publikigu novan ŝlosilon per kanalo, kiun vi povas sendepende kontroli.

Tial la identeco de la ŝlosilo meritas tiom da atento kiom la URL de la deponejo. Ŝlosilo prenita el adreso en malnova forumrespondo pruvas nenion pri la eldonanto, dum HTTPS protektas la transporton al tiu, kiu respondis la telefonon. Transporta sekureco kaj eldonanta identeco estas apartaj demandoj, kaj nur la unuan solvas atestilo.

Limigu la ŝlosilon al la fonto, ne al la sistemo

Moderna APT akceptas font-specifan referencon Signed-By. Ŝlosilo administrata de la portanto povas loĝi sub /etc/apt/keyrings/, kaj la fonta ero nomas la ŝlosilon, kiu rajtas aŭtentikigi tiun arkivon. Tio estas pli mallarĝa ol ĵeti la saman ŝlosilon en tutmondan fidatajn aron, kie ĝi povas garantii por fontoj, kiujn vi neniam intencis permesi. Sekvu la instalitan version de APT kaj la aktualajn instrukciojn de la vendanto anstataŭ miksi fragmentojn el malsamaj generacioj de gvidiloj.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Neniam riparu subskriban malsukceson per malŝalto de kontrolado aŭ per marko de nekonata arkivo kiel fidinda. Tio interŝanĝas videblan eraron kontraŭ nevidebla, kaj la nevidebla daŭras ĝis iu revizias la fontliston. Se la ŝlosilo ne kongruas, la ĝusta ripeto estas trovi la ĝustan ŝlosilon, ne forigi la kontrolon.

Akiru la deponejajn detalojn kaj la ŝlosilan identecon de la projekto aŭ de administrata administranto. Ŝlosilo kopiita el blogaĵo estas aserto pri aŭtoreco, ne pruvo de ĝi. Kiam vendanto publikigas rotacian kanalon, notu ĝin samtempe kun la ŝlosilo, ĉar tiu kanalo ebligas la sekvan rotacion.

Fontfiksado ne estas pakaĵa permeslisto

Limigi ŝlosilon al unu fonto limigas, kiun arkivon ĝi povas aŭtentikigi, ne kiujn pakaĵojn tiu arkivo rajtas publikigi. La deponejo povas liveri multe pli ol la dezirata VPN-kliento, kaj la kandidata elekto kaj prioritatoj de APT decidas, kiu taŭga versio venkas. Reviziu la proponitan transakcion antaŭ ol konfirmi ĝin, inkluzive de la dependeca listo, ĉar dependecoj venas el la sama arkivo. Ŝlosila amplekso ne povas esprimi ’nur ĉi tiu pakaĵo’.

Se vi bezonas pli fortan kontrolon, esprimu ĝin kiel politikon pri pakaĵaj nomoj aŭ versioj kaj tenu tiun politikon sub agorda administrado. Legi transakcion daŭras minuton; malkovri neatenditan pakaĵon ses monatojn poste daŭras revizion.

Neatenditaj pakaĵoj estas la momento halti anstataŭ daŭrigi, kaj la demando al la arkiva posedanto estas, kial ili necesas. Deponejo, kiu publikigas dekduon da pakaĵoj ĉirkaŭ unu kliento, estas normala por vendanto liveranta labortablan supon. Ĝi ankaŭ estas pli granda surfaco ol sugestis la instala gvidilo, kaj tio estas la parto inda je notado. Neniu el la du rezultoj estas kialo malfidi la subskribon; ambaŭ estas kialoj skribi, kion vi akceptis.

Notu la aŭtoritaton kaj kiel forigi ĝin

Skribu la arkivan posedanton, la subtenatan eldonon de la operaciumo, la ŝlosilan rotacian kanalon kaj la forigan proceduron. Tiuj kvar faktoj estas tio, kion posteulo bezonas, kiam la kliento retiriĝas aŭ la vendanto rotacias sian ŝlosilon. Sen ili la sekva persono heredas fontlinion kaj ŝlosilan dosieron sen iu ajn historio.

Forigo estas la paŝo, kiu estas preterlasata, do skribu ĝin dum la instalado. Forigu la fontan eron kaj ĝian dediĉitan ŝlosilon kune, kaj kontrolu, ĉu tiu ŝlosilo estas referencata aliloke antaŭ ol forigi la dosieron. Komuna ŝlosilo forigita sen tiu kontrolo transformas purigadon en nerilatan interrompon, kio estas la plej malbona rezulto por rutina ŝanĝo. Poste konfirmu, ke ordinaraj ĝisdatigoj ankoraŭ solviĝas post kiam la ero malaperis.

Unu afero restas post la forigo de la deponejo: ĉiu pakaĵo jam instalita el ĝi daŭre funkcias, ĝis io anstataŭigos ĝin. La honesta demando estas, kiun aŭtoritaton vi aldonis, kaj kiom mallarĝe ĝia rolo estis esprimita.