VPN-ის APT წყარო: რას იძლევა და როგორ შემოვზღუდოთ

VPN კლიენტის ჩამოტვირთვა ერთჯერადი გადაწყვეტილებაა; მისი APT საცავის დამატება არა. მეორე პაკეტების მმართველს ეუბნება, საიდან შეიძლება მოვიდეს მომავალი პროგრამული უზრუნველყოფა, და ეს უფლებამოსილების მუდმივი გადაცემაა და არა ჩამოტვირთვა. ეს შეიძლება სწორი წყობა იყოს, როცა მომწოდებელი საცავს სათანადოდ ინახავს. მაინც იმსახურებს გააზრებულ გადაწყვეტილებას, და ინსტალაციის სახელმძღვანელოების უმეტესობა გამოტოვებს მას.

ხელმოწერა არქივს ადასტურებს და არა მის კოდს

APT ამოწმებს საცავის ხელმოწერილ მეტამონაცემებს და შემდეგ ენდობა მათში არსებულ საკონტროლო ჯამებს იმ პაკეტებისთვის, რომლებსაც იღებს. ეს ამტკიცებს, რომ არქივი ემთხვევა იმას, რაც გასაღების მფლობელმა გამოაქვეყნა, და არაფერს მის შიგნით არსებულ კოდზე. სწორად ხელმოწერილ პაკეტს მაინც შეიძლება ჰქონდეს სახიფათო მომსახურე სკრიპტები, და ეს სკრიპტები root-ის უფლებებით მუშაობს პაკეტის ინსტალაციის დროს. apt-secure-ის სახელმძღვანელო ზუსტად ამ ზღვარს ხაზავს არქივის დადასტურებასა და პროგრამული უზრუნველყოფის განხილვას შორის.

ამიტომ სასარგებლო კითხვა არ არის, ძალაშია თუ არა ხელმოწერა, რადგან დაზიანებული ხელმოწერა მაინც აჩერებს ინსტალაციას. კითხვა ისაა, ვის ხელმოწერას ირჩევთ ენდოთ ამიერიდან. მოპარული ხელმოწერის გასაღები უარესია ვიდრე მოპარული პაკეტი, რადგან თავდამსხვამელი აგრძელებს სწორი მეტამონაცემების წარმოებას პირველი ცუდი გამოშვებიდან დიდი ხნის შემდეგ. ერთადერთი შეკეთება გასაღების შეცვლაა, და ეს დამოკიდებულია იმაზე, გამოაქვეყნებს თუ არა მომწოდებელი ახალ გასაღებს არხით, რომლის დამოუკიდებლად შემოწმებაც შეგიძლიათ.

ამიტომ გასაღების იდენტურობა იმდენივე ყურადღების ღირსია, რამდენიც საცავის URL. ძველი ფორუმის პასუხში მოცემული მისამართიდან აღებული გასაღები გამომცემლის შესახებ არაფერს ამტკიცებს, მაშინ როცა HTTPS იცავს ტრანსპორტს იმ ადამიანამდე, ვინც ტელეფონზე უპასუხა. ტრანსპორტის უსაფრთხოება და გამომცემლის იდენტურობა ცალკეული კითხვებია, და მხოლოდ პირველს წყვეტს სერტიფიკატი.

შემოსაზღვრეთ გასაღები წყაროთი და არა სისტემით

თანამედროვე APT იღებს წყაროსთვის სპეციფიკურ Signed-By მითითებას. ოპერატორის მიერ მართული გასაღები შეიძლება იყოს /etc/apt/keyrings/-ის ქვეშ, და წყაროს ჩანაწერი ასახელებს გასაღებს, რომელსაც ამ არქივის დადასტურების უფლება აქვს. ეს უფრო ვიწროა, ვიდრე იგივე გასაღების გლობალურ სანდო ნაკრებში ჩაგდება, სადაც ის შეიძლება იძლეოდეს გარანტიას წყაროებზე, რომელთა დაშვებასაც არასოდეს აპირებდით. მიჰყევით დაყენებულ APT ვერსიას და მომწოდებლის მიმდინარე მითითებებს, ნაცვლად იმისა, რომ სხვადასხვა თაობის სახელმძღვანელოების ნატეხები აურიოთ.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

არასოდეს შეაკეთოთ ხელმოწერის ჩავარდნა შემოწმების გამორთვით ან უცნობი არქივის სანდოდ მონიშვნით. ეს ხილულ შეცდომას უხილავით ცვლის, და უხილავი გრძელდება მანამ, სანამ ვინმე წყაროების სიას შეამოწმებს. თუ გასაღები არ ემთხვევა, სწორი გამოსწორება სწორი გასაღების პოვნაა და არა შემოწმების მოხსნა.

მიიღეთ საცავის დეტალები და გასაღების იდენტურობა პროექტისგან ან მართული ადმინისტრატორისგან. ბლოგის პოსტიდან კოპირებული გასაღები ავტორობის შესახებ მტკიცებაა და არა მისი მტკიცებულება. როცა მომწოდებელი აქვეყნებს გასაღების შეცვლის არხს, ჩაწერეთ ის გასაღებთან ერთად, რადგან სწორედ ეს არხი ხდის შესაძლებელს შემდეგ შეცვლას.

წყაროს მიმაგრება პაკეტების ნებადართული სია არ არის

გასაღების ერთ წყაროთი შემოზღვუდვა ზღუდავს, რომელ არქივს შეუძლია მისი დადასტურება და არა იმას, რომელი პაკეტები შეიძლება გამოაქვეყნოს ამ არქივმა. საცავს შეუძლია გამოგზავნოს გაცილებით მეტი, ვიდრე სასურველი VPN კლიენტი, და სწორედ APT-ის კანდიდატების შერჩევა და პრიორიტეტები წყვეტენ, რომელი შესაფერისი ვერსია გაიმარჯვებს. დადასტურებამდე გადახედეთ შემოთავაზებულ ტრანზაქციას, დამოკიდებულებების სიის ჩათვლით, რადგან დამოკიდებულებები იმავე არქივიდან მოდის. გასაღების ფარგლები ვერ გამოხატავს „მხოლოდ ეს პაკეტი“.

თუ უფრო ძლიერი კონტროლი გჭირდებათ, გამოხატეთ ის პაკეტების სახელებზე ან ვერსიებზე პოლიტიკის სახით და შეინახეთ ეს პოლიტიკა კონფიგურაციის მართვის ქვეშ. ტრანზაქციის წაკითხვას ერთი წუთი სჭირდება; ექვსი თვის შემდეგ მოულოდნელი პაკეტის აღმოჩენას ერთი განხილვა.

მოულოდნელი პაკეტები გაჩერების მომენტია და არა გაგრძელების, და კითხვა საცავის მფლობელს არის, რატომ არის ისინი საჭირო. საცავი, რომელიც ერთი კლიენტის გარშემო ათეულ პაკეტს აქვეყნებს, ნორმალურია სამუშაო მაგიდის კრებულის მომწოდებლისთვის. ეს ასევე უფრო დიდი ზედაპირია, ვიდრე ინსტალაციის სახელმძღვანელო მიანიშნებდა, და სწორედ ეს ნაწილი ღირს ჩაწერად. არც ერთი შედეგი არ არის ხელმოწერისადმი უნდობის მიზეზი; ორივე არის იმის მიზეზი, რომ ჩაწეროთ, რა მიიღეთ.

ჩაწერეთ უფლებამოსილება და როგორ მოიხსნას ის

ჩაწერეთ საცავის მფლობელი, მხარდაჭერილი ოპერაციული სისტემის გამოშვება, გასაღების შეცვლის არხი და მოხსნის პროცედურა. ეს ოთხი ფაქტია ის, რაც მემკვიდრეს სჭირდება, როცა კლიენტი პენსიაზე გადის ან მომწოდებელი ცვლის გასაღებს. მათ გარეშე შემდეგი ადამიანი მემკვიდრეობით იღებს წყაროს სტრიქონს და გასაღების ფაილს ყოველგვარი ისტორიის გარეშე.

მოხსნა ის ნაბიჯია, რომელსაც გამოტოვებენ, ამიტომ დაწერეთ ის ინსტალაციის დროს. წაშალეთ წყაროს ჩანაწერი და მისი გამოყოფილი გასაღები ერთად, და სანამ ფაილს წაშლით, შეამოწმეთ, ხომ არ არის ამ გასაღებზე მითითება სხვაგან. ამ შემოწმების გარეშე წაშლილი საერთო გასაღები დალაგებას უკავშირო გათიშვად აქცევს, და ეს რუტინული ცვლილებისთვის ყველაზე ცუდი შედეგია. შემდეგ დაადასტურეთ, რომ ჩვეულებრივი განახლებები ჩანაწერის გაქრობის შემდეგაც წყდება.

საცავის მოხსნის შემდეგ ერთი რამ რჩება: იქიდან უკვე დაყენებული ნებისმიერი პაკეტი აგრძელებს მუშაობას, სანამ რამე შეცვლის მას. გულახდილი კითხვა ისაა, რა უფლებამოსილება დაამატეთ და რამდენად ვიწროდ იყო გამოხატული მისი როლი.