HTTPS eta VPN batek ez dute instalatzen duzun paketea autentifikatzen

Eguneratze batek huts egiten du, eta hariko iradokizunak ohiko bidetik jarraitzen du: trafikoa VPN batetik igarotzen da, beraz deskargak fidagarria izan behar du, eta sinadura-egiaztapena biguntzen da erroreaz gainditzeko. Bi ideia bereizi esaldi bakarrean fusionatu dira. Zifratzeak muturren arteko bidea babesten du; autentifikazioak erabakitzen du byteak nahi zenituen argitaratzailetik etorri ote ziren. Tunel batek lehenengoa ematen du eta ez du ezer esaten bigarrenaz.

Sintoma normalean egiaztatze-errorea izaten da ostalari bakarrean, biltegi bakarrean, beste guztia normaltasunez eguneratzen den bitartean. Forma horrek dagoeneko esaten du sare-bidea funtzionatzen ari dela eta desadostasuna konfiantzazkoa dela.

Galdera desberdinei erantzuten dieten bi kontrol

Garraio-segurtasunak erantzuten du nor dagoen konexio honen beste muturrean eta bidean norbaitek irakurri edo aldatu ote dezakeen. Paketearen autentifikazioak erantzuten du artefaktu hau konfiguratu duzun autoritateak argitaratu ote zuen, eta kontrolatzen ez duzun ispilu baten bidezko deskargari eusteko gai izan behar du.

Galdera horiek ertzetan soilik gainezartzen dira. Ispilu bateko ziurtagiri zuzen batek frogatzen du ispilua ispilua dela; ez du frogatzen ispiluak argitaratzailearen eduki aldatu gabea duenik. Pakete sinatu batek frogatzen du argitaratzaileak sinatu zuela; ez dizu esaten sareak bertsiorik berriena entregatu zuenik edo seinalatu zenuen biltegia zure erakundeak onartutakoa denik.

Jendeak egiaztapenak desgaitzean sortzen duen hutsegite-modua bigarren bermearen galera iraunkorra da, deskarga arrakastatsu baten truke. Truke hori ikusezina da axola duen egunera arte.

Zer autentifikatzen duen apt-ek benetan

APTren eredua artxibo-kate autentifikatu bat da. Argitalpen-metadatu sinatuek kontrol-batuketaren bidez pakete-indizeetara daramatzate, eta indize horiek kontrol-batuketaren bidez pakete-fitxategi indibidualetara. Katea egiaztatzea da ispilua fidagaitza baina erabilgarria egiten duena: ispiluak nahi duena zerbitza dezake, eta metadatuen sinadurak erabakitzen du APTk onartzen duen.

Hori nahita ez da pakete instalatu bakoitzean mantentzailearen sinadura egiaztatzearen berbera, eta bereizketak azaltzen du zergatik erabiltzen diren trukagarri «paketea sinatuta dago» eta «artxiboa autentifikatuta dago» errore-txostenetan gauza desberdinak esan nahi dituztenean.

apt-get update
apt-cache policy
apt-config dump | grep -iE 'AllowInsecure|AllowDowngrade'

Irakurri eguneratzearen irteera, irteera-kodea soilik ez. APTk metadatuek huts egin zuten biltegiaren izena ematen du, eta izen hori da ikertzeko muga. Sinadura-egiaztapenik gabe fidagarri gisa markatutako biltegia, edo biltegi ez-seguru baterako gainidazketa, norbaitek hartutako konfigurazio-erabakia da eta azaldu ahal izan beharko luke.

Freskotasuna beste propietate bereizi bat da berriz. Balioz sinatutako metadatu-fitxategi bat joan den astean ikusitakoa baino zaharragoa izan daiteke, horregatik argitalpen-metadatuek iraungitze-data daramate eta horregatik bezeroan erloju-arazo batek gako-arazoen antza duten egiaztatze-erroreak sor ditzake.

dnf5-ek bereizita zer egiaztatzen duen

RPM aldeak bi etengailu desberdin erakusten ditu, eta horiek nahasteak beste norabidean akats-klase bera eragiten du. Batek kontrolatzen du pakete-fitxategiek baliozko sinadura izan behar duten; besteak kontrolatzen du biltegiko metadatuek sinatuta egon behar duten. Independenteki ezar daitezke, eta sistema bat zorrotza izan daiteke batekin eta permissiboa bestearekin.

dnf5 config-manager --dump 2>/dev/null | grep -iE 'gpgcheck|repo_gpgcheck'
rpm -q --qf '%{NAME} %{SIGPGP:pgpsig}\n' bash

Pakete-kontsultak instalatutako kopiaren sinadura-metadatuek nolako itxura duten erakusten du, eta hori errealitate-egiaztapen erabilgarria da zorroztasuna aldarrikatzen duen konfigurazio-fitxategi baten aurrean. Esaten ez dizuna banaketaren politika onartua da, eta horri jarraitu beharko zenioke foro bateko «aktibatu GPG» jarraibide orokor baten ordez.

Bi kudeatzaileak desberdintzen diren tokian, aldea arkitektonikoa da, ez bat ahulagoa delako seinale. Biek argitaratzailearen edukia autentifikatzen dute; sinadura kateko puntu desberdinetan jartzen dute.

Zer gehitzen duen tunelek eta zer ez

VPN batek beharrezko ibilbidea eman dezake, eguneratze-trafikoa sarbide-sare fidagaitzetik kanpo eduki dezake eta tokiko behatzaileak ikusten duena murriztu. Benetako eragiketa-onurak dira, eta horietako bat ere ez da argitaratzailearen autentifikazioa.

HTTPSk bere bermea gehitzen du, eta uste baino estuagoa da. Konektatu zinen TLS muturra autentifikatzen du. Mutur hori ispilu bat bada, ispilua autentifikatu duzu, ez zerbitzatzen duen artxiboaren edukia. Hori da, hain zuzen, metadatu sinatuen katea existitzen den kasua.

Bi kontrol horietako batek ere ez du erabilgarritasuna agintzen. Sare batek entrega uka dezake, eta autentifikatutako objektu bat ez da automatikoki berriena. Erabili pakete-kudeatzailearen freskotasun-politika, kandatuaren ikonoa egoteagatik ondorioztatu beharrean.

Diagnostikatu huts egin zuen muga

Izenda ezazu etapa ezer aldatu aurretik: DNS ebazpena, proxy edo ibilbidea, TLS muturraren identitatea, artxiboaren autentifikazioa, paketearen sinadura-egiaztapenak edo instalazioa. Bakoitzak errore-forma eta jabe desberdinak ditu.

Sare-bide bat konpontzeak ez luke inoiz barne hartu behar sinadura-gako ezezagun bat fidagarri izendatzea, ziurtagiriak alde batera uztea edo eskatu ez zenuen biltegi-konfigurazio bat onartzea. Gako bat benetan biratu bada, banaketak edo biltegiaren jabeak gako berria egiazta dezakezun kanal baten bidez argitaratzen du, eta hori da aplikatu beharreko zuzenketa.

Idatzi zein mugak huts egin zuen eta noren jabea den. Hurrengo eguneratze-hutsegitea beste muga batean izango da, eta zerrenda edukitzeak bost minutuko diagnostiko bihurtzen du, tunelek eguneratzeak seguru egiten ote dituen beste eztabaida baten ordez.