HTTPS және VPN сіз орнататын пакетті аутентификацияламайды

Жаңарту сәтсіз аяқталады, ал ағындағы ұсыныс таныс бағытты ұстанады: трафик VPN арқылы өтеді, демек жүктеу сенімді болуы керек, және қатені айналып өту үшін қолтаңба тексерісі босаңсытылады. Екі бөлек идея бір сөйлемге біріктіріліп кеткен. Шифрлау екі шеттің арасындағы жолды қорғайды; аутентификация байттардың сіз көздеген баспагерден келгенін шешеді. Тоннель біріншісін береді және екіншісі туралы ештеңе айтпайды.

Симптом әдетте бір хостта, бір қоймада тексеру қатесі болып, қалғаны қалыпты жаңарады. Бұл пішін желі жолының жұмыс істеп тұрғанын және келіспеушілік сенімге қатысты екенін әлдеқашан айтып тұр.

Әртүрлі сұрақтарға жауап беретін екі бақылау

Көлік қауіпсіздігі осы байланыстың екінші ұшында кім тұрғанын және жолдағы біреу оны оқи алатынын не өзгерте алатынын жауаптайды. Пакет аутентификациясы бұл артефактіні сіз конфигурациялаған орган шығарғанын жауаптайды, және ол сіз бақыламайтын айна арқылы жүктеуге төтеп беруі керек.

Бұл сұрақтар тек шеттерде қабысады. Айнадағы дұрыс сертификат айнаның айна екенін дәлелдейді; ол айнада өзгермеген баспагер мазмұны бар екенін дәлелдемейді. Қол қойылған пакет баспагер оған қол қойғанын дәлелдейді; ол желі ең жаңа нұсқаны жеткізгенін немесе сіз көрсеткен қойма ұйымыңыз мақұлдаған қойма екенін айтпайды.

Адамдар тексерістерді өшіру арқылы жасайтын ақау режимі екінші кепілдікті біржола жоғалту, оның орнына бір сәтті жүктеу. Бұл айырбас ол маңызды болған күнге дейін көрінбейді.

apt шын мәнінде нені аутентификациялайды

APT моделі — аутентификацияланған мұрағат тізбегі. Қол қойылған шығарылым метадеректері бақылау сомасы арқылы пакет индекстеріне апарады, ал сол индекстер бақылау сомасы арқылы жеке пакет файлдарына апарады. Дәл тізбекті тексеру айнаны сенімсіз, бірақ пайдалануға жарамды етеді: айна өзі қалағанды ұсына алады, ал метадеректер қолтаңбасы APT оны қабылдайтынын шешеді.

Бұл әрбір орнатылған пакетте тексерушінің қолтаңбасын тексерумен әдейі бірдей емес, және бұл айырмашылық қате есептерінде «пакетке қол қойылған» мен «мұрағат аутентификацияланған» неге бірін-бірі алмастыратынын түсіндіреді, ал олар әртүрлі нәрсені білдіреді.

apt-get update
apt-cache policy
apt-config dump | grep -iE 'AllowInsecure|AllowDowngrade'

Жаңарту шығысын оқыңыз, тек шығу кодын емес. APT метадеректері сәтсіз болған қойманың атын атайды, және сол ат тергелетін шекара. Қолтаңба тексерілісіз сенімді деп белгіленген қойма немесе қауіпсіз емес қойма үшін қайта анықтау — біреудің қабылдаған конфигурациялық шешімі, ол оны түсіндіре алуы керек.

Жаңалық тағы бөлек қасиет. Жарамды қол қойылған метадеректер файлы өткен аптада көргеннен ескі болуы мүмкін, сондықтан шығарылым метадеректерінің мерзімі болады және сондықтан клиенттегі сағат мәселесі кілт мәселесіне ұқсайтын тексеру қателерін тудыруы мүмкін.

dnf5 жеке нені тексереді

RPM жағы екі бөлек ажыратқыш ұсынады, және оларды шатастыру қарсы бағытта сол қате класын туғызады. Біреуі пакет файлдарында жарамды қолтаңба болуы керектігін басқарады; екіншісі қойма метадеректерінің қол қойылуын басқарады. Оларды тәуелсіз орнатуға болады, және жүйе біреуінде қатал, екіншісінде жұмсақ болуы мүмкін.

dnf5 config-manager --dump 2>/dev/null | grep -iE 'gpgcheck|repo_gpgcheck'
rpm -q --qf '%{NAME} %{SIGPGP:pgpsig}\n' bash

Пакет сұранысы орнатылған көшірменің қолтаңба метадеректерінің қандай екенін көрсетеді, бұл қаталдықты мәлімдейтін конфигурация файлына қарсы пайдалы шындық тексерісі. Ол айтпайтыны — таратудың қолдайтын саясаты, және форумның жалпы «GPG қосыңыз» нұсқауының орнына соған жүгіну керек.

Екі басқарушы айырмашылығы бар жерде айырмашылық сәулеттік, біреуі әлсіз деген белгі емес. Екеуі де баспагер мазмұнын аутентификациялайды; олар қолтаңбаны тізбектің әртүрлі нүктелеріне қояды.

Тоннель нені қосады және нені қоспайды

VPN қажетті бағытты бере алады, жаңарту трафигін сенімсіз кіру желісінен тыс ұстай алады және жергілікті бақылаушы көретін нәрсені азайта алады. Бұлар нақты операциялық пайдалар, және олардың ешқайсысы баспагер аутентификациясы емес.

HTTPS өз кепілдігін қосады, және ол сезілгеннен тар. Ол сіз қосылған TLS ұшын аутентификациялайды. Егер сол ұш айна болса, сіз айнаны аутентификацияладыңыз, оның ұсынатын мұрағат мазмұнын емес. Бұл дәл қол қойылған метадеректер тізбегі бар болуының себебі болған жағдай.

Екі бақылаудың ешқайсысы қолжетімділікке уәде бермейді. Желі жеткізуден бас тарта алады, ал аутентификацияланған нысан автоматты түрде ең жаңасы емес. Құлып белгішесінің болуынан қорытынды жасаудың орнына пакет менеджерінің өз жаңалық саясатын қолданыңыз.

Сәтсіз болған шекараны диагностикалаңыз

Бірдеңені өзгертуден бұрын кезеңді атаңыз: DNS шешу, прокси немесе бағыт, TLS ұшының бірегейлігі, мұрағат аутентификациясы, пакет қолтаңбасын тексерулер немесе орнату. Әрқайсысының жеке қате пішіні мен жеке иесі бар.

Желі жолын жөндеу ешқашан белгісіз қолтаңба кілтін сенімді деп жариялауды, сертификаттарды елемеуді немесе сіз сұрамаған қойма конфигурациясын қабылдауды қамтымауы керек. Егер кілт шынымен ауыстырылса, тарату немесе қойма иесі жаңа кілтті сіз тексере алатын арна арқылы жариялайды, және бұл қолданылуы тиіс түзету.

Қай шекара сәтсіз болғанын және оның иесі кім екенін жазыңыз. Келесі жаңарту сәтсіздігі басқа шекарада болады, ал тізімнің болуы оны тоннель жаңартуларды қауіпсіз ете ме деген тағы бір дау емес, бес минуттық диагностикаға айналдырады.