VPN-ի APT աղբյուրը՝ ինչ է այն տալիս և ինչպես սահմանափակել այն

VPN-ի հաճախորդ ներբեռնելը մեկանգամյա որոշում է, իսկ նրա APT պահոցն ավելացնելը՝ ոչ։ Երկրորդը փաթեթների կառավարչին ասում է, թե որտեղից կարող է գալ ապագա ծրագրակազմը, և դա լիազորության մշտական փոխանցում է, ոչ թե ներբեռնում։ Դա կարող է ճիշտ կարգավորում լինել, երբ մատակարարը պահոցը պատշաճ է պահում։ Այնուամենայնիվ այն արժանի է գիտակցված որոշման, և տեղադրման ուղեցույցների մեծ մասը բաց է թողնում այն։

Ստորագրությունը վավերացնում է արխիվը, ոչ նրա կոդը

APT-ն ստուգում է ստորագրված պահոցային մետատվյալները, ապա վստահում է այդ մետատվյալների ներսի ստուգիչ գումարներին՝ բերվող փաթեթների համար։ Դա ապացուցում է, որ արխիվը համապատասխանում է բանալու տիրոջ հրապարակածին, և ոչինչ՝ դրա ներսի կոդի մասին։ Ճիշտ ստորագրված փաթեթը դեռ կարող է կրել վտանգավոր սպասարկող սկրիպտներ, և այդ սկրիպտները գործարկվում են որպես root փաթեթի տեղադրման ընթացքում։ apt-secure ձեռնարկը հենց այդ սահմանն է քաշում արխիվի վավերացման և ծրագրակազմի ստուգման միջև։

Այսպիսով օգտակար հարցը ոչ թե այն է, թե արդյոք ստորագրությունը վավեր է, քանի որ կոտրված ստորագրությունն ամեն դեպքում կանգնեցնում է տեղադրումը։ Այլ այն է, թե ում ստորագրությանն եք ընտրում վստահել այսուհետ։ Գողացված ստորագրության բանալին ավելի վատ է, քան գողացված փաթեթը, որովհետև հարձակվողը շարունակում է վավեր մետատվյալներ արտադրել առաջին վատ թողարկումից շատ հետո։ Փոխարկումը միակ վերանորոգումն է, և դա կախված է նրանից, որ մատակարարը նոր բանալի հրապարակի ձեր ինքնուրույն ստուգելի ալիքով։

Այդ պատճառով բանալու ինքնությունը նույնքան ուշադրության է արժանի, որքան պահոցի URL-ը։ Հին ֆորումի պատասխանի հասցեից վերցված բանալին ոչինչ չի հաստատում հրատարակչի մասին, մինչդեռ HTTPS-ը պաշտպանում է փոխադրումը մինչև նա, ով պատասխանել է հեռախոսին։ Փոխադրման անվտանգությունը և հրատարակչի ինքնությունը առանձին հարցեր են, և միայն առաջինն է լուծվում վկայագրով։

Սահմանափակեք բանալին աղբյուրով, ոչ թե համակարգով

Ժամանակակից APT-ն ընդունում է աղբյուրին հատուկ Signed-By հղում։ Օպերատորի կողմից կառավարվող բանալին կարող է լինել /etc/apt/keyrings/ ներքո, և աղբյուրի գրառումը նշում է այն բանալին, որն իրավունք ունի վավերացնել այդ արխիվը։ Սա ավելի նեղ է, քան նույն բանալին գլոբալ վստահելի հավաքածուի մեջ գցելը, որտեղ այն կարող է երաշխավորել աղբյուրներ, որոնք երբեք չեք ուզել թույլատրել։ Հետևեք տեղադրված APT տարբերակին և մատակարարի ընթացիկ հրահանգներին՝ տարբեր սերունդների ուղեցույցների բեկորներ խառնելու փոխարեն։

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Երբեք մի վերանորոգեք ստորագրության ձախողումը՝ անջատելով ստուգումը կամ անհայտ արխիվը վստահելի նշելով։ Դա տեսանելի սխալը փոխանակում է անտեսանելիով, և անտեսանելին տևում է այնքան, մինչև ինչ-որ մեկը ստուգի աղբյուրների ցանկը։ Եթե բանալին չի համապատասխանում, ճիշտ լուծումը ճիշտ բանալին գտնելն է, ոչ թե ստուգումը հեռացնելը։

Ստացեք պահոցի մանրամասները և բանալու ինքնությունը նախագծից կամ կառավարվող ադմինիստրատորից։ Բլոգի գրառումից պատճենված բանալին հեղինակության մասին պնդում է, ոչ թե դրա ապացույց։ Երբ մատակարարը հրապարակում է փոխարկման ալիք, գրանցեք այն բանալու հետ միասին, որովհետև հենց այդ ալիքն է հնարավոր դարձնում հաջորդ փոխարկումը։

Աղբյուրի ամրագրումը փաթեթների թույլատրելի ցանկ չէ

Բանալին մեկ աղբյուրով սահմանափակելը սահմանափակում է, թե որ արխիվը կարող է վավերացնել, ոչ թե այն, թե այդ արխիվը որ փաթեթները կարող է հրապարակել։ Պահոցը կարող է ուղարկել շատ ավելին, քան ցանկացած VPN հաճախորդը, և հենց APT-ի թեկնածուների ընտրությունն ու առաջնահերթություններն են որոշում, թե որ համապատասխան տարբերակը կհաղթի։ Վերանայեք առաջարկվող գործարքը հաստատելուց առաջ՝ ներառյալ կախվածությունների ցանկը, որովհետև կախվածությունները գալիս են նույն արխիվից։ Բանալու ծավալը չի կարող արտահայտել «միայն այս փաթեթը»։

Եթե ավելի ուժեղ վերահսկողություն է պետք, արտահայտեք այն որպես քաղաքականություն փաթեթների անունների կամ տարբերակների վերաբերյալ և պահեք այդ քաղաքականությունը կազմաձևման կառավարման ներքո։ Գործարք կարդալը տևում է մեկ րոպե, անսպասելի փաթեթ վեց ամիս անց հայտնաբերելը՝ մեկ վերանայում։

Անսպասելի փաթեթները կանգ առնելու պահն են, ոչ թե առաջ գնալու, և հարցը պահոցի տիրոջն է՝ ինչու են դրանք անհրաժեշտ։ Մեկ հաճախորդի շուրջ մեկ տասնյակ փաթեթ հրապարակող պահոցը սովորական է աշխատասեղանային փաթեթ մատակարարող ընկերության համար։ Այն նաև ավելի մեծ մակերես է, քան ակնարկում էր տեղադրման ուղեցույցը, և հենց այդ մասն արժե գրառել։ Արդյունքներից ոչ մեկը ստորագրությանը չվստահելու պատճառ չէ, երկուսն էլ պատճառ են գրելու, թե ինչ եք ընդունել։

Գրառեք լիազորությունը և ինչպես հեռացնել այն

Գրեք պահոցի տիրոջը, աջակցվող օպերացիոն համակարգի թողարկումը, բանալու փոխարկման ալիքը և հեռացման ընթացակարգը։ Այդ չորս փաստերն են, ինչ պետք է հաջորդին, երբ հաճախորդը դուրս է գալիս կամ մատակարարը փոխարկում է իր բանալին։ Առանց դրանց հաջորդ մարդը ժառանգում է աղբյուրի տող և բանալու ֆայլ՝ առանց որևէ պատմության։

Հեռացումը հենց այն քայլն է, որը բաց է թողնվում, այնպես որ գրեք այն տեղադրման ժամանակ։ Ջնջեք աղբյուրի գրառումը և նրա հատուկ բանալին միասին, և նախքան ֆայլը հեռացնելը ստուգեք, թե արդյոք այդ բանալուն այլ տեղ հղում կա։ Առանց այդ ստուգման ջնջված ընդհանուր բանալին մաքրումը վերածում է անկապ խափանման, ինչը սովորական փոփոխության համար ամենավատ արդյունքն է։ Ապա հաստատեք, որ գրառումը գնալուց հետո սովորական թարմացումները դեռ լուծվում են։

Պահոցը հեռացնելուց հետո մեկ բան մնում է՝ դրանից արդեն տեղադրված ցանկացած փաթեթ շարունակում է աշխատել, մինչև ինչ-որ բան փոխարինի այն։ Անկեղծ հարցն այն է, թե ինչ լիազորություն ավելացրիք և որքան նեղ արտահայտվեց նրա դերը։