VPN-ге арналған APT көзі: ол не береді және оны қалай шектеуге болады

VPN клиентін жүктеу — біржолғы шешім; оның APT қоймасын қосу олай емес. Екіншісі пакет менеджеріне болашақ бағдарламалық жасақтама қайдан келуі мүмкін екенін айтады, және бұл жүктеу емес, өкілеттіктің тұрақты берілуі. Жеткізуші қойманы тиісті түрде ұстаса, бұл дұрыс реттеу болуы мүмкін. Соған қарамастан ол саналы шешімге лайық, ал орнату нұсқаулықтарының көбісі оны өткізіп жібереді.

Қолтаңба мұрағатты куәландырады, оның кодын емес

APT қол қойылған қойма метадеректерін тексереді, содан кейін өзі әкелетін пакеттер үшін сол метадеректер ішіндегі бақылау қосындыларына сенеді. Бұл мұрағаттың кілт иесі жариялаған нәрсеге сәйкес келетінін дәлелдейді, ал ішіндегі код туралы ештеңе айтпайды. Дұрыс қол қойылған пакетте де қауіпті қызмет көрсетуші скрипттер болуы мүмкін, және олар пакет орнатылып жатқанда root ретінде орындалады. apt-secure нұсқаулығы мұрағатты куәландыру мен бағдарламалық жасақтаманы қарау арасындағы дәл осы шекараны сызады.

Сондықтан пайдалы сұрақ қолтаңбаның жарамды екендігі емес, өйткені бұзылған қолтаңба орнатуды бәрібір тоқтатады. Сұрақ — осыдан былай кімнің қолтаңбасына сенуді таңдайсыз. Ұрланған қол қою кілті ұрланған пакеттен жаман, өйткені шабуылдаушы алғашқы нашар шығарылымнан көп кейін де жарамды метадеректер жасауды жалғастырады. Тек кілтті ауыстыру ғана жөндеу болып табылады, және ол жеткізушінің өзіңіз дербес тексере алатын арна арқылы жаңа кілт жариялауына байланысты.

Сондықтан кілттің жеке басы қойма URL мекенжайы сияқты назарға лайық. Ескі форум жауабындағы мекенжайдан алынған кілт баспагер туралы ештеңе дәлелдемейді, ал HTTPS телефонға жауап берген адамға дейінгі тасымалды қорғайды. Тасымал қауіпсіздігі мен баспагердің жеке басы бөлек мәселелер, және тек біріншісі ғана сертификатпен шешіледі.

Кілтті жүйемен емес, көзбен шектеңіз

Заманауи APT көзге тән Signed-By сілтемесін қабылдайды. Оператор басқаратын кілт /etc/apt/keyrings/ астында тұра алады, ал көз жазбасы сол мұрағатты куәландыруға рұқсаты бар кілтті атайды. Бұл сол кілтті жаһандық сенімді жиынтыққа тастаудан тар — онда ол ешқашан рұқсат беруді ойламаған көздерге кепілдік бере алады. Әр түрлі буын нұсқаулықтарының үзінділерін араластырудың орнына орнатылған APT нұсқасын және жеткізушінің ағымдағы нұсқауларын орындаңыз.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Қолтаңба сәтсіздігін тексеруді өшірумен немесе белгісіз мұрағатты сенімді деп белгілеумен ешқашан түзетпеңіз. Бұл көрінетін қатені көрінбейтін қатемен алмастырады, ал көрінбейтіні біреу көздер тізімін тексергенге дейін жалғасады. Егер кілт сәйкес келмесе, дұрыс түзету — дұрыс кілтті табу, тексеруді алып тастау емес.

Қойма мәліметтері мен кілттің жеке басын жобадан немесе басқарылатын әкімшіден алыңыз. Блог жазбасынан көшірілген кілт — авторлық туралы мәлімдеме, оның дәлелі емес. Жеткізуші ауыстыру арнасын жариялағанда, оны кілтпен бірге жазып қойыңыз, өйткені келесі ауыстыруды дәл сол арна мүмкін етеді.

Көзді бекіту — пакеттердің рұқсат тізімі емес

Кілтті бір көзбен шектеу оның қай мұрағатты куәландыра алатынын шектейді, ал сол мұрағаттың қандай пакеттерді жариялай алатынын емес. Қойма сіз қалаған VPN клиентінен әлдеқайда көп жібере алады, және қай қолайлы нұсқа жеңетінін APT-тің кандидат таңдауы мен басымдықтары шешеді. Растамас бұрын ұсынылған транзакцияны, оның ішінде тәуелділіктер тізімін қарап шығыңыз, өйткені тәуелділіктер сол мұрағаттан келеді. Кілт аумағы «тек осы пакет» деп айта алмайды.

Неғұрлым мықты бақылау қажет болса, оны пакет атаулары немесе нұсқалары бойынша саясат ретінде білдіріңіз және сол саясатты конфигурацияны басқару астында ұстаңыз. Транзакцияны оқу бір минут алады; алты айдан кейін күтпеген пакетті табу бір қарауды алады.

Күтпеген пакеттер — жалғастыру емес, тоқтау сәті, ал қойма иесіне қойылатын сұрақ: олар неге қажет. Бір клиенттің айналасында ондаған пакет жариялайтын қойма жұмыс үстелі жиынтығын жеткізетін компания үшін қалыпты. Бұл сондай-ақ орнату нұсқаулығы меңзегеннен үлкенірек бет, және дәл осы бөлігі жазып қоюға тұрарлық. Екі нәтиженің ешқайсысы қолтаңбаға сенімсіздік себебі емес; екеуі де қабылдағаныңызды жазуға себеп.

Өкілеттікті және оны қалай жою керектігін жазыңыз

Қойма иесін, қолдау көрсетілетін операциялық жүйе шығарылымын, кілтті ауыстыру арнасын және жою рәсімін жазыңыз. Осы төрт дерек мұрагерге клиент қызметтен шыққанда немесе жеткізуші кілтін ауыстырғанда қажет. Оларсыз келесі адам ешқандай тарихсыз көз жолын және кілт файлын мұраға алады.

Жою — өткізіп жіберілетін қадам, сондықтан оны орнату кезінде жазыңыз. Көз жазбасын және оның арнайы кілтін бірге жойыңыз, ал файлды жоюдан бұрын сол кілтке басқа жерде сілтеме бар-жоғын тексеріңіз. Осы тексерусіз жойылған ортақ кілт тазалауды байланыссыз іркіліске айналдырады, бұл күнделікті өзгеріс үшін ең нашар нәтиже. Содан кейін жазба кеткеннен кейін де қарапайым жаңартулар шешілетінін растаңыз.

Қойма жойылғаннан кейін бір нәрсе қалады: одан бұрын орнатылған кез келген пакет бірдеңе оны алмастырғанша жұмысын жалғастырады. Адал сұрақ — қандай өкілеттік қосқаныңыз және оның рөлі қаншалықты тар болып білдірілгені.