HTTPS en in VPN autentisearje it pakket dat jo ynstallearje net

In bywurking mislearret, en de suggestje yn ’e tried folget in bekende line: it ferkear giet troch in VPN, dus moat de download betrouber wêze, en de hantekeningkontrôle wurdt fersoepene om foarby de flater te kommen. Twa aparte ideeën binne yn ien sin gearfoege. Fersifering beskermet in paad tusken einpunten; autentikaasje beslút oft de bytes fan de útjouwer kamen dy’t jo bedoelden. In tunnel leveret it earste en seit neat oer it twadde.

It symptoom is meastentiids in ferifikaasjeflater op ien host, yn ien opslach, wylst al it oare normaal bywurket. Dy foarm seit al dat it netwurkpaad wurket en dat it skeel oer fertrouwen giet.

Twa kontrôles dy’t ferskate fragen beantwurdzje

Ferfiersfeiligens beantwurdet wa’t oan ’e oare kant fan dizze ferbining is en oft immen op it paad it lêze of feroarje kin. Pakketautentikaasje beantwurdet oft dit artefakt publisearre is troch de autoriteit dy’t jo konfigurearre hawwe, en it moat in download troch in spegel dy’t jo net behearskje oerlibje.

Dy fragen oerlaapje inoar allinnich oan ’e rânen. In korrekt sertifikaat op in spegel bewiist dat de spegel de spegel is; it bewiist net dat de spegel ûnferoare ynhâld fan de útjouwer hat. In ûndertekene pakket bewiist dat de útjouwer it ûndertekene hat; it fertelt jo net dat it netwurk de nijste ferzje levere hat of dat de opslach dy’t jo oanwiisden dejinge is dy’t jo organisaasje goedkard hat.

De flatermodus dy’t minsken meitsje troch kontrôles út te setten is in permanint ferlies fan de twadde garânsje, yn ruil foar ien slagge download. Dy ruil is ûnsichtber oant de dei dat it telt.

Wat apt eins autentisearret

It model fan APT is in autentisearre argyfkeatling. Undertekene metadaten fan de útjefte liede fia kontrôlesom nei de pakketindeksen, en dy indeksen liede fia kontrôlesom nei de yndividuele pakketbestannen. It ferifiearjen fan ’e keatling is wat in spegel net betrouber mar brûkber makket: de spegel kin tsjinje wat er wol, en de hantekening fan ’e metadaten beslút oft APT it akseptearret.

Dat is bewust net itselde as it kontrolearjen fan in ûnderhâldershantekening op elk ynstallearre pakket, en it ûnderskied ferklearret wêrom’t «it pakket is ûndertekene» en «it argyf is autentisearre» trochinoar brûkt wurde yn flaterrapporten wylst se ferskillende dingen betsjutte.

apt-get update
apt-cache policy
apt-config dump | grep -iE 'AllowInsecure|AllowDowngrade'

Lês de útfier fan ’e bywurking, net allinnich de útgongskoade. APT neamt de opslach wêrfan’t de metadaten mislearren, en dy namme is de grins om te ûndersykjen. In opslach dy’t as betrouber markearre is sûnder hantekeningferifikaasje, of in oerskriuwing foar in ûnfeilige opslach, is in konfiguraasjebeslút dat immen naam hat en ferklearje kinne moat.

Farskens is wer in apart eigenskip. In jildich ûndertekene metadatabestân kin âlder wêze as dat jo ferline wike seagen, dêrom drage metadaten fan ’e útjefte in ferfaldatum en dêrom kin in klokprobleem op ’e kliïnt ferifikaasjeflaters jouwe dy’t op kaaiproblemen lykje.

Wat dnf5 apart kontrolearret

De RPM-kant biedt twa ferskillende skeakels, en se trochinoar helje jout deselde klasse flater yn ’e oare rjochting. Ien kontrolearret oft pakketbestannen in jildige hantekening drage moatte; de oare oft metadaten fan ’e opslach ûndertekene wêze moatte. Se kinne ûnôfhinklik ynsteld wurde, en in systeem kin strang wêze oer ien en tolerint oer de oare.

dnf5 config-manager --dump 2>/dev/null | grep -iE 'gpgcheck|repo_gpgcheck'
rpm -q --qf '%{NAME} %{SIGPGP:pgpsig}\n' bash

De pakketfraach lit sjen hoe’t de hantekeningmetadaten fan ’e ynstallearre kopy der útsjen, wat in nuttige realiteitskontrôle is tsjin in konfiguraasjebestân dat strangens beweart. Wat it jo net fertelt, is it stipe belied fan ’e distribúsje, en dat is wat jo folgje moatte ynstee fan in algemiene «skeakel GPG yn»-ynstruksje fan in foarum.

Dêr’t de twa behearders ferskille, is it ferskil arsjitektonysk en net in teken dat ien swakker is. Beide autentisearje ynhâld fan ’e útjouwer; se pleatse de hantekening op ferskillende plakken yn ’e keatling.

Wat de tunnel tafoeget en wat net

In VPN kin in ferplichte rûte leverje, bywurkingsferkear bûten in net-betrouber tagongsnetwurk hâlde en ferminderje wat in pleatslike waarnimmer sjocht. Dat binne echte operasjonele foardielen, en gjinien fan harren is autentikaasje fan ’e útjouwer.

HTTPS foeget syn eigen garânsje ta, en dy is smeller as it fielt. It autentisearret it TLS-einpunt dêr’t jo mei ferbûn binne. As dat einpunt in spegel is, hawwe jo de spegel autentisearre, net de argyfynhâld dy’t it tsjinnet. Dat is krekt it gefal dêr’t de keatling fan ûndertekene metadaten foar bestiet.

Gjin fan beide kontrôles ûnthjit beskikberens. In netwurk kin levering wegerje, en in autentisearre objekt is net automatysk it nijste. Brûk it farskensbelied fan ’e pakketbehearder sels ynstee fan it ôf te lieden út ’e oanwêzigens fan in slotpykje.

Diagnostisearje de grins dy’t mislearre

Neam de stap foardat jo eat feroarje: DNS-oplossing, de proxy of rûte, de identiteit fan it TLS-einpunt, argyfautentikaasje, hantekeningkontrôles fan pakketten, of ynstallaasje. Elk hat in eigen flaterfoarm en in eigen eigner.

It reparearjen fan in netwurkpaad moat nea omfetsje it ferklearjen fan in ûnbekende hantekeningkaai as betrouber, it negearjen fan sertifikaten, of it akseptearjen fan in opslachkonfiguraasje dy’t jo net fregen. As in kaai echt rotearre is, publisearret de distribúsje of de eigner fan ’e opslach de nije kaai fia in kanaal dat jo ferifiearje kinne, en dat is de korreksje dy’t tapast wurde moat.

Skriuw op hokker grins mislearre en wa’t der eigner fan is. De folgjende bywurkingsflater sil op in oare grins wêze, en de list hawwe makket it in diagnoaze fan fiif minuten ynstee fan noch in diskusje oer oft de tunnel bywurkings feilich makket.