VPN APT-boarne: wat it jout en hoe’t jo it beheine

It downloaden fan in VPN-klant is in ienmalige beslissing; it tafoegjen fan syn APT-opslach is dat net. It twadde fertelt de pakketbehearder wêr’t takomstige software wei komme mei, en dat is in bliuwende oerdracht fan gesach yn stee fan in download. Dat kin de goede regeling wêze as de leveransier in opslach goed ûnderhâldt. Dochs fertsjinnet it in bewuste beslissing, en de measte ynstallaasjegidsen slane it oer.

In hantekening autentisearret in argyf, net syn koade

APT ferifiearret ûndertekene opslachmetadata en fertrout dan de kontrôlesommen yn dy metadata foar de pakketten dy’t it hellet. Wat dat bewissiget, is dat it argyf oerienkomt mei wat de kaaieigner publisearre, en neat oer de koade deryn. In korrekt ûndertekene pakket kin noch hieltyd ûnfeilige ûnderhâlderskripten befetsje, en dy skripten rinne as root wylst it pakket ynstallearret. De apt-secure-hânlieding lûkt krekt dy grins tusken argyfferifikaasje en in beoardieling fan de software.

Dat de nuttige fraach is net oft de hantekening jildich is, want in brutsen hantekening stopet de ynstallaasje dochs. It is waans hantekening jo fan no ôf fertrouwe wolle. In stellen ûndertekenkaai is slimmer as in stellen pakket, want de oanfaller bliuwt jildige metadata produsearjen lang nei de earste minne útjefte. Rotaaasje is de iennige reparaasje, en it hinget derfan ôf dat de leveransier in nije kaai publisearret fia in kanaal dat jo ûnôfhinklik ferifiearje kinne.

Dêrom fertsjinnet de identiteit fan ’e kaai likefolle oandacht as de URL fan ’e opslach. In kaai út in adres yn in âld forumantwurd fêstiget neat oer de útjouwer, wylst HTTPS it ferfier beskermet nei wa’t de telefoan beantwurde. Ferfiersfeiligens en útjouweridentiteit binne aparte fragen, en allinnich de earste wurdt oplost troch in sertifikaat.

Behein de kaai ta de boarne, net ta it systeem

Moderne APT akseptearret in boarnespesifike Signed-By-ferwizing. In troch de operator behearder kaai kin ûnder /etc/apt/keyrings/ wêze, en de boarneynfier neamt de kaai dy’t dat argyf autentisearje mei. Dat is smeller as deselde kaai yn in wrâldwiid fertroud set te smiten, dêr’t er boarch stean kin foar boarnen dy’t jo nea tastean wolden. Folgje de ynstallearre APT-ferzje en de aktuele ynstruksjes fan ’e leveransier yn stee fan fragminten út ferskate generaasjes gidsen te mingelen.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Reparearje nea in hantekeningflater troch ferifikaasje út te setten of in ûnbekend argyf as fertroud te markearjen. Dat ruilet in sichtbere flater foar in ûnsichtbere, en de ûnsichtbere duorret oant immen de boarnelist kontrolearret. As de kaai net past, is de goede oplossing de goede kaai fine, net de kontrôle fuorthelje.

Helje de opslachdetails en de kaai-identiteit by it projekt of by in beheard behearder. In kaai kopiearre út in blogberjocht is in bewearing oer auteurskip, gjin bewiis derfan. As in leveransier in rotaasjekanaal publisearret, skriuw it dan tagelyk mei de kaai op, want dat kanaal is wat de folgjende rotaasje mooglik makket.

Boarnefêstiging is gjin pakket-witelist

It beheinen fan in kaai ta ien boarne beheint hokker argyf er autentisearje kin, net hokker pakketten dat argyf publisearje mei. De opslach kin folle mear leverje as de VPN-klant dy’t jo woene, en APT syn kandidatenseleksje en prioriteiten beslisse hokker geskikte ferzje wint. Besjoch de foarstelde transaksje foar’t jo befêstigje, ynklusyf de ôfhinklikheidslist, want ôfhinklikheden komme út itselde argyf. In kaaibelik kin ’allinnich dit pakket’ net útdrukke.

As jo sterker kontrôle nedich hawwe, druk it dan út as belied oer pakketnammen of -ferzjes en hâld dat belied ûnder konfiguraasjebehear. In transaksje lêze kostet in minút; in ûnferwachts pakket seis moannen letter ûntdekke kostet in beoardieling.

Ûnferwachte pakketten binne it momint om te stopjen yn stee fan troch te gean, en de fraach foar de argyfeigner is wêrom’t se nedich binne. In opslach dy’t in tsiental pakketten om ien klant hinne publisearret, is normaal foar in leveransier dy’t in buroblêdsuite leveret. It is ek in grutter oerflak as de ynstallaasjegids suggerearre, en dat is it diel dat wurdich is om op te skriuwen. Gjin fan beide útkomsten is in reden om de hantekening te wantrouwen; beide binne redens om op te skriuwen wat jo akseptearre hawwe.

Skriuw it gesach op en hoe’t jo it fuorthelje

Skriuw de argyfeigner op, de stipe operaasjesysteemferzje, it kaai-rotaasjekanaal en de fuorthelproseduere. Dy fjouwer feiten binne wat in opfolger nedich hat as de klant ôfrint of de leveransier syn kaai rotearret. Sûnder har erft de folgjende persoan in boarneline en in kaaitriem sûnder ferhaal.

Fuortheljen is de stap dy’t oerslein wurdt, dus skriuw it by de ynstallaasje. Wiskje de boarneynfier en syn wijdde kaai tagelyk, en kontrolearje oft dy kaai earne oars neamd wurdt foar’t jo it bestân fuorthelje. In dielde kaai dy’t sûnder dy kontrôle wiske wurdt, feroaret in opromming yn in net besibbe steuring, en dat is de minste útkomst foar in rûtineferoaring. Befêstigje dan dat gewoane bywurkingen noch oplost wurde as de ynfier fuort is.

Ien ding bliuwt oer nei’t de opslach fuorthelje is: elk pakket dat der al út ynstallearre is, bliuwt rinnen oant iets it ferfangt. De earlike fraach is hokker gesach jo tafoege hawwe, en hoe smel syn rol útdrukt waard.