VPN APT iturria: zer ematen duen eta nola mugatu

VPN bezero bat deskargatzea behin betiko erabakia da; haren APT biltegia gehitzea ez. Bigarrenak pakete-kudeatzaileari esaten dio etorkizuneko softwarea nondik etor daitekeen, eta hori autoritatearen transferentzia iraunkorra da, ez deskarga bat. Konponbide egokia izan daiteke saltzaileak biltegia behar bezala mantentzen duenean. Hala ere, erabaki kontzientea merezi du, eta instalazio-gida gehienek alde batera uzten dute.

Sinadura batek artxiboa egiaztatzen du, ez haren kodea

APTk biltegiko metadatu sinatuak egiaztatzen ditu eta gero metadatu horien barneko kontrol-batuketetan fidatzen da eskuratzen dituen paketeentzat. Horrek frogatzen du artxiboa gakoaren jabeak argitaratu zuenarekin bat datorrela, eta ezer ez barneko kodeari buruz. Behar bezala sinatutako pakete batek mantentzaile-script ez-seguruak izan ditzake oraindik, eta script horiek root gisa exekutatzen dira paketea instalatzen ari denean. apt-secure eskuliburuak artxiboa egiaztatzearen eta softwarearen berrikuspenaren arteko muga zehatz hori marrazten du.

Beraz, galdera erabilgarria ez da sinadurak balio duen ala ez, sinadura hautsia gertaerak instalazioa geldiarazten baitu. Hau da: hemendik aurrera norena sinadurari fidatzea aukeratzen duzun. Lapurtutako sinadura-gako bat lapurtutako pakete bat baino okerragoa da, erasotzaileak baliozko metadatuak ekoizten jarraitzen duelako lehen argitalpen txarraren ondoren luze. Errotazioa da konponbide bakarra, eta saltzaileak modu independentean egiaztatu dezakezun kanal baten bidez gako berri bat argitaratzearen mende dago.

Horregatik gakoaren identitateak biltegiko URLak adina arreta merezi du. Foroko erantzun zahar bateko helbide batetik hartutako gako batek ezer frogatzen ez du argitaratzaileari buruz, HTTPSk telefonoari erantzun zionarenganako garraioa babesten duen bitartean. Garraio-segurtasuna eta argitaratzailearen identitatea galdera bereiziak dira, eta lehenengoa bakarrik konpontzen da ziurtagiri batekin.

Mugatu gakoa iturrira, ez sistemara

APT modernoak iturrirako berariazko Signed-By erreferentzia onartzen du. Operadoreak kudeatutako gako bat /etc/apt/keyrings/ azpian egon daiteke, eta iturriaren sarrerak artxibo hori egiaztatzeko baimena duen gakoa izendatzen du. Hori estuagoa da gako bera modu globalean fidagarria den multzo batera botatzea baino, non inoiz baimendu nahi ez zenituen iturrien aldeko abala eman baitezakete. Jarraitu instalatutako APT bertsioa eta saltzailearen uneko argibideak, belaunaldi ezberdinetako giden zatiak nahasi beharrean.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Ez ezazu inoiz sinadura-hutsegitea konpondu egiaztapena desgaituta edo artxibo ezezagun bat fidagarri gisa markatuta. Horrek ikusgai dagoen errore bat ikusezin baterako trukatzen du, eta ikusezinak irauten du norbaitek iturrien zerrenda ikuskatzen duen arte. Gakoa bat ez badator, konponbide zuzena gako egokia aurkitzea da, ez egiaztapena kentzea.

Lortu biltegiko xehetasunak eta gakoaren identitatea proiektutik edo administratzaile kudeatu batetik. Blogeko sarrera batetik kopiatutako gakoa egiletasunari buruzko aldarrikapena da, ez haren froga. Saltzaileak errotazio-kanal bat argitaratzen duenean, gakoarekin batera idatz ezazu, kanal horrek egiten baitu hurrengo errotazioa posible.

Iturria finkatzea ez da paketeen baimen-zerrenda

Gako bat iturri bakarrera mugatzeak zein artxibo egiazta dezakeen mugatzen du, ez artxibo horrek zein pakete argitaratu ditzakeen. Biltegiak nahi zenituen VPN bezeroa baino askoz gehiago bidal dezake, eta APTren hautagai-hautaketak eta lehentasunek erabakitzen dute zein bertsio egoki irabazten duen. Berrikusi proposatutako transakzioa berretsi aurretik, mendekotasunen zerrenda barne, mendekotasunak artxibo beretik iristen baitira. Gako baten irismenak ezin du ’pakete hau soilik’ adierazi.

Kontrol sendoagoa behar baduzu, adierazi paketeen izen edo bertsioen inguruko politika gisa eta eduki politika hori konfigurazio-kudeaketaren pean. Transakzio bat irakurtzeak minutu bat eskatzen du; sei hilabete geroago ustekabeko pakete bat aurkitzeak berrikuspen bat eskatzen du.

Ustekabeko paketeak gelditzeko unea dira, ez aurrera egiteko, eta artxiboaren jabearentzako galdera zera da: zergatik dira beharrezkoak. Bezero baten inguruan dozena bat pakete argitaratzen dituen biltegia normala da mahaigaineko suite bat banatzen duen saltzailearentzat. Instalazio-gidak iradokitakoa baino gainazal handiagoa ere bada, eta hori da erregistratzea merezi duen zatia. Bi emaitzetako bat ere ez da sinadurari ez fidatzeko arrazoi; biak dira onartu duzuna idazteko arrazoi.

Erregistratu autoritatea eta nola kendu

Idatzi artxiboaren jabea, onartutako sistema eragilearen bertsioa, gakoaren errotazio-kanala eta kentzeko prozedura. Lau datu horiek dira oinordeko batek behar dituena bezeroa erretiratzen denean edo saltzaileak gakoa errotatzen duenean. Haiek gabe, hurrengo pertsonak iturri-lerro bat eta gako-fitxategi bat heredatzen ditu istorio barik.

Kentzea da alde batera uzten den urratsa, beraz idatzi instalazioan. Ezabatu iturriaren sarrera eta haren gako esklusiboa batera, eta egiaztatu gako horri beste nonbait erreferentzia egiten zaion fitxategia kendu aurretik. Egiaztapen hori gabe ezabatutako gako partekatu batek garbiketa erlaziorik gabeko etendura bihurtzen du, eta hori da errutinazko aldaketa baterako emaitzarik okerrena. Ondoren egiaztatu ohiko eguneratzeek oraindik ebazten dutela sarrera desagertu ondoren.

Gauza bat geratzen da biltegia kendu ondoren: handik instalatuta dagoen edozein paketek lanean jarraitzen du zerbait ordezkatzen duen arte. Galdera zintzoa da zein autoritate gehitu zenuen eta haren rola zein estu adierazi zen.