VPN-i APT-allikas: mida see annab ja kuidas seda piirata

VPN-kliendi allalaadimine on ühekordne otsus; selle APT-hoidla lisamine ei ole. Viimane ütleb paketihaldurile, kust tulevane tarkvara võib tulla, ja see on püsiv volituse üleandmine, mitte allalaadimine. See võib olla õige korraldus, kui tarnija haldab hoidlat korralikult. See väärib siiski teadlikku otsust ja enamik paigaldusjuhendeid jätab selle vahele.

Allkiri tõendab arhiivi, mitte selle koodi

APT kontrollib allkirjastatud hoidla metaandmeid ja usaldab seejärel nende metaandmete sees olevaid kontrollsummasid hangitavate pakettide puhul. See tõestab, et arhiiv vastab võtmehoidja avaldatule, ja mitte midagi selle sees oleva koodi kohta. Korrektselt allkirjastatud pakett võib siiski sisaldada ohtlikke haldaja skripte ja need skriptid töötavad juurkasutajana paketi paigaldamise ajal. apt-secure käsiraamat tõmbab täpselt selle piiri arhiivi tõendamise ja tarkvara ülevaatamise vahele.

Seega kasulik küsimus ei ole, kas allkiri valideerub, sest katkine allkiri peatab paigaldamise nagunii. See on, kelle allkirja te edaspidi usaldada valite. Varastatud allkirjavõti on hullem kui varastatud pakett, sest ründaja jätkab kehtivate metaandmete tootmist kaua pärast esimest halba väljaannet. Ainus parandus on rotatsioon ja see sõltub sellest, kas tarnija avaldab uue võtme kanali kaudu, mida saate iseseisvalt kontrollida.

Seepärast väärib võtme identiteet sama palju tähelepanu kui hoidla URL. Vanas foorumivastuses olevast aadressist võetud võti ei tõenda avaldaja kohta midagi, samas kui HTTPS kaitseb transporti selle isikuni, kes telefonile vastas. Transpordi turvalisus ja avaldaja identiteet on eraldi küsimused ning ainult esimese lahendab sertifikaat.

Piira võti allikaga, mitte süsteemiga

Kaasaegne APT aktsepteerib allikapõhist viidet Signed-By. Operaatori hallatav võti võib asuda /etc/apt/keyrings/ all ja allikakirje nimetab võtme, mis tohib seda arhiivi tõendada. See on kitsam kui sama võtme viskamine üleilmselt usaldatud kogumisse, kus see võib garanteerida allikaid, mida te ei kavatsenudki lubada. Järgige paigaldatud APT-i versiooni ja tarnija praeguseid juhiseid, selle asemel et segada katkendeid eri põlvkondade juhenditest.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Ärge kunagi parandage allkirja tõrget kontrollimise väljalülitamisega ega tundmatu arhiivi usaldusväärseks märkimisega. See vahetab nähtava vea nähtamatu vastu ja nähtamatu püsib seni, kuni keegi allikate nimekirja auditeerib. Kui võti ei sobi, on õige parandus leida õige võti, mitte kontroll eemaldada.

Hankige hoidla üksikasjad ja võtme identiteet projektist või hallatavalt administraatorilt. Blogipostitusest kopeeritud võti on väide autorluse kohta, mitte selle tõestus. Kui tarnija avaldab rotatsioonikanali, kirjutage see üles koos võtmega, sest just see kanal teeb järgmise rotatsiooni võimalikuks.

Allika kinnitamine ei ole pakettide lubatud nimekiri

Võtme piiramine ühe allikaga piirab, millist arhiivi see saab tõendada, mitte seda, milliseid pakette see arhiiv tohib avaldada. Hoidla võib tarnida palju enamat kui soovitud VPN-klient ja APT-i kandidaadivalik ning prioriteedid otsustavad, milline sobiv versioon võidab. Vaadake pakutav tehing enne kinnitamist üle, sealhulgas sõltuvuste nimekiri, sest sõltuvused tulevad samast arhiivist. Võtme ulatus ei suuda väljendada ’ainult see pakett’.

Kui vajate tugevamat kontrolli, väljendage seda poliitikana pakettide nimede või versioonide kohta ja hoidke seda poliitikat konfiguratsioonihalduse all. Tehingu lugemine võtab minuti; ootamatu paketi avastamine kuus kuud hiljem võtab ülevaatamise.

Ootamatud paketid on hetk peatuda, mitte edasi minna, ja küsimus arhiivi omanikule on, miks neid vaja on. Hoidla, mis avaldab ühe kliendi ümber tosin paketti, on tavalisele töölauapaketti tarnivale ettevõttele normaalne. See on ka suurem pind kui paigaldusjuhend vihjas, ja just see osa tasub üles kirjutada. Kumbki tulemus ei ole põhjus allkirja mitte usaldada; mõlemad on põhjused kirja panna, mida te aktsepteerisite.

Kirjuta üles volitus ja kuidas seda eemaldada

Kirjutage üles arhiivi omanik, toetatud operatsioonisüsteemi väljaanne, võtme rotatsioonikanal ja eemaldamise protseduur. Need neli fakti on see, mida järeltulija vajab, kui klient lõpetatakse või tarnija oma võtit roteerib. Ilma nendeta pärib järgmine inimene allikarea ja võtmefaili ilma igasuguse loo.

Eemaldamine on samm, mis jäetakse vahele, seega kirjutage see paigaldamise ajal. Kustutage allikakirje ja selle spetsiaalne võti koos ning kontrollige enne faili eemaldamist, kas sellele võtmele viidatakse mujal. Ilma selle kontrollita kustutatud jagatud võti muudab koristamise seotuks mitteolevaks katkestuseks, mis on rutiinse muudatuse jaoks halvim tulemus. Seejärel kinnitage, et tavalised uuendused lahenevad endiselt pärast kirje kadumist.

Üks asi jääb pärast hoidla eemaldamist: iga juba sealt paigaldatud pakett töötab edasi, kuni miski selle asendab. Aus küsimus on, millise volituse te lisasite ja kui kitsalt selle roll oli väljendatud.