HTTPS-ը և VPN-ը չեն վավերացնում ձեր տեղադրած փաթեթը

Թարմացումը ձախողվում է, և թեմայում առաջարկը գնում է ծանոթ գծով՝ երթևեկությունն անցնում է VPN-ով, ուրեմն ներբեռնումը պետք է վստահելի լինի, և ստորագրության ստուգումը թուլացվում է՝ սխալը շրջանցելու համար։ Երկու առանձին գաղափար միաձուլվել է մեկ նախադասության մեջ։ Գաղտնագրումը պաշտպանում է ուղին երկու ծայրերի միջև, վավերացումը որոշում է՝ արդյոք բայթերը եկել են այն հրատարակչից, որին նկատի ունեիք։ Թունելը տալիս է առաջինը և ոչինչ չի ասում երկրորդի մասին։

Ախտանիշը սովորաբար ստուգման սխալ է մեկ հոստի վրա, մեկ պահոցում, մինչդեռ մնացած ամեն ինչ նորմալ թարմացվում է։ Այդ ձևն արդեն ասում է, որ ցանցային ուղին աշխատում է, և տարաձայնությունը վստահության մասին է։

Երկու վերահսկողություն, որոնք պատասխանում են տարբեր հարցերի

Տրանսպորտի անվտանգությունը պատասխանում է՝ ով է այս կապի մյուս ծայրում և արդյոք ուղու վրա ինչ-որ մեկը կարող է կարդալ կամ փոփոխել այն։ Փաթեթի վավերացումը պատասխանում է՝ արդյոք այս արտեֆակտը հրապարակել է ձեր կարգավորած իշխանությունը, և այն պետք է դիմանա ներբեռնմանը ձեր չվերահսկած հայելու միջով։

Այդ հարցերը հատվում են միայն եզրերում։ Հայելու վրա ճիշտ վկայականը ապացուցում է, որ հայելին հայելին է, այն չի ապացուցում, որ հայելին պարունակում է անփոփոխ հրատարակչական բովանդակություն։ Ստորագրված փաթեթը ապացուցում է, որ հրատարակիչը ստորագրել է այն, այն ձեզ չի ասում, որ ցանցը հասցրել է ամենավերջին տարբերակը կամ որ ձեր նշած պահոցը ձեր կազմակերպության հաստատածն է։

Ձախողման այն ռեժիմը, որ մարդիկ ստեղծում են ստուգումներն անջատելով, երկրորդ երաշխիքի մշտական կորուստն է՝ մեկ հաջող ներբեռնման դիմաց։ Այդ փոխանակումն անտեսանելի է մինչև այն օրը, երբ այն նշանակություն ունի։

Ինչ է իրականում վավերացնում apt-ը

APT-ի մոդելը վավերացված արխիվային շղթա է։ Ստորագրված թողարկման մետատվյալները ստուգիչ գումարով տանում են փաթեթների ինդեքսներին, և այդ ինդեքսները ստուգիչ գումարով տանում են առանձին փաթեթային ֆայլերին։ Հենց շղթայի ստուգումն է հայելին դարձնում անվստահելի, բայց օգտագործելի՝ հայելին կարող է մատուցել ինչ ուզի, և մետատվյալների ստորագրությունն է որոշում՝ APT-ն կընդունի՞ այն։

Սա դիտավորյալ նույնը չէ, ինչ յուրաքանչյուր տեղադրված փաթեթի վրա սպասարկողի ստորագրությունը ստուգելը, և այդ տարբերությունը բացատրում է, թե ինչու սխալի հաշվետվություններում «փաթեթը ստորագրված է» և «արխիվը վավերացված է» օգտագործվում են միմյանց փոխարեն, թեև տարբեր բաներ են նշանակում։

apt-get update
apt-cache policy
apt-config dump | grep -iE 'AllowInsecure|AllowDowngrade'

Կարդացեք թարմացման ելքը, ոչ միայն ելքի կոդը։ APT-ն նշում է այն պահոցը, որի մետատվյալները ձախողվել են, և այդ անունը հետազոտելու սահմանն է։ Առանց ստորագրության ստուգման վստահելի նշված պահոցը կամ անապահով պահոցի համար վերագրանցումը որևէ մեկի կայացրած կարգավորման որոշում է, և նա պետք է կարողանա բացատրել այն։

Թարմությունը կրկին առանձին հատկություն է։ Վավեր ստորագրված մետատվյալների ֆայլը կարող է ավելի հին լինել, քան անցյալ շաբաթ տեսածը, դրա համար թողարկման մետատվյալները ժամկետ ունեն, և դրա համար հաճախորդի ժամացույցի խնդիրը կարող է առաջացնել ստուգման սխալներ, որոնք նման են բանալու խնդիրների։

Ինչ է առանձին ստուգում dnf5-ը

RPM կողմը տալիս է երկու տարբեր անջատիչ, և դրանք շփոթելը նույն դասի սխալ է առաջացնում հակառակ ուղղությամբ։ Մեկը վերահսկում է՝ արդյոք փաթեթային ֆայլերը պետք է կրեն վավեր ստորագրություն, մյուսը՝ արդյոք պահոցի մետատվյալները պետք է ստորագրված լինեն։ Դրանք կարելի է սահմանել անկախ, և համակարգը կարող է խիստ լինել մեկում և զիջող՝ մյուսում։

dnf5 config-manager --dump 2>/dev/null | grep -iE 'gpgcheck|repo_gpgcheck'
rpm -q --qf '%{NAME} %{SIGPGP:pgpsig}\n' bash

Փաթեթի հարցումը ցույց է տալիս, թե ինչ տեսք ունեն տեղադրված պատճենի ստորագրության մետատվյալները, ինչը օգտակար իրականության ստուգում է խստություն պնդող կարգավորման ֆայլի դեմ։ Ինչ այն ձեզ չի ասում, դա տարածման աջակցվող քաղաքականությունն է, և հենց դրան պետք է հետևել ֆորումից եկած ընդհանուր «միացրեք GPG»-ի հրահանգի փոխարեն։

Այնտեղ, որտեղ երկու կառավարիչները տարբերվում են, տարբերությունը ճարտարապետական է, ոչ թե նշան, որ մեկը թույլ է։ Երկուսն էլ վավերացնում են հրատարակչի բովանդակությունը, նրանք ստորագրությունը դնում են շղթայի տարբեր կետերում։

Ինչ է ավելացնում թունելը և ինչ ոչ

VPN-ը կարող է տրամադրել անհրաժեշտ երթուղի, թարմացումների երթևեկությունը պահել անվստահելի մուտքի ցանցից դուրս և նվազեցնել այն, ինչ տեսնում է տեղական դիտորդը։ Դրանք իրական գործառնական առավելություններ են, և դրանցից ոչ մեկը հրատարակչի վավերացում չէ։

HTTPS-ը ավելացնում է իր երաշխիքը, և այն ավելի նեղ է, քան թվում է։ Այն վավերացնում է այն TLS ծայրը, որին դուք միացել եք։ Եթե այդ ծայրը հայելի է, դուք վավերացրել եք հայելին, ոչ թե նրա մատուցած արխիվի բովանդակությունը։ Սա հենց այն դեպքն է, որի համար գոյություն ունի ստորագրված մետատվյալների շղթան։

Վերահսկողություններից ոչ մեկը հասանելիություն չի խոստանում։ Ցանցը կարող է մերժել առաքումը, և վավերացված օբյեկտն ինքնաբերաբար ամենանորը չէ։ Օգտագործեք փաթեթների կառավարչի սեփական թարմության քաղաքականությունը՝ կողպեքի պատկերակի առկայությունից ենթադրելու փոխարեն։

Ախտորոշեք ձախողված սահմանը

Անվանեք փուլը նախքան որևէ բան փոխելը՝ DNS լուծում, փոխանցիչը կամ երթուղին, TLS ծայրի ինքնությունը, արխիվի վավերացումը, փաթեթի ստորագրության ստուգումները կամ տեղադրումը։ Յուրաքանչյուրն ունի առանձին սխալի ձև և առանձին սեփականատեր։

Ցանցային ուղու վերանորոգումը երբեք չպետք է ներառի անհայտ ստորագրման բանալու վստահելի հռչակում, վկայականների անտեսում կամ ձեր չպահանջած պահոցի կարգավորում ընդունելը։ Եթե բանալին իսկապես պտտվել է, տարածումը կամ պահոցի սեփականատերը նոր բանալին հրապարակում է ձեր ստուգելի ալիքով, և դա է կիրառելի ուղղումը։

Գրեք, թե որ սահմանը ձախողվեց և ով է դրա սեփականատերը։ Հաջորդ թարմացման ձախողումը կլինի այլ սահմանի վրա, և ցանկն ունենալը այն դարձնում է հինգ րոպեի ախտորոշում՝ թունելը թարմացումները անվտանգ դարձնո՞ւմ է, թե ոչ նոր վեճի փոխարեն։