HTTPS жана VPN сиз орноткон пакетти аутентификациялабайт

Жаңыртуу ишке ашпайт, ал эми темадагы сунуш тааныш сызыкты улантат: трафик VPN аркылуу өтөт, демек жүктөө ишенимдүү болушу керек, жана катаны айланып өтүү үчүн кол тамганы текшерүү бошотулат. Эки өзүнчө ой бир сүйлөмгө бириктирилип кеткен. Шифрлөө эки четтин ортосундагы жолду коргойт; аутентификация байттар сиз көздөгөн басмаканадан келгенин чечет. Туннель биринчисин берет жана экинчиси жөнүндө эч нерсе айтпайт.

Симптом көбүнчө бир хостод, бир кампада текшерүү катасы болуп, калганы кадимкидей жаңыртылат. Бул форма тармак жолу иштеп жатканын жана келишпестик ишенимге байланыштуу экенин айтып турат.

Ар башка суроолорго жооп берген эки көзөмөл

Транспорт коопсуздугу бул байланыштын экинчи учуда ким тураанын жана жолдогу бирөө аны окуй алабы же өзгөртө алабы дегенди жооптойт. Пакетти аутентификациялоо бул артефактты сиз конфигурациялаган орган чыгарганын жооптойт, жана ал сиз көзөмөлдөбөгөн күзгү аркылуу жүктөөгө туруштук бериши керек.

Бул суроолор четтеринде гана кесилишет. Күзгүдөгү туура сертификат күзгүнүн күзгү экенин далилдейт; ал күзгүдө өзгөртүлбөгөн басмакана мазмуну бар экенин далилдебейт. Кол коюлган пакет басмакана ага кол койгонун далилдейт; ал тармак эң жаңы версияны жеткиргенин же сиз көрсөткөн кампа уюмуңуз жактырган кампа экенин айтпайт.

Адамдар текшерүүлөрдү өчүрүү менен жараткан ишке ашпоо режими экинчи кепилдиктин түбөлүк жоготуусу, анын ордуна бир ийгиликтүү жүктөө. Бул алмашуу ал маанилүү болгон күнгө чейин көрүнбөйт.

apt чындыгында эмнени аутентификациялайт

APTнин модели — аутентификацияланган архив тизмеги. Кол коюлган чыгарылыш метаберилиштери текшерүү суммасы аркылуу пакет индекстерине алып барат, ал эми ошол индекстер текшерүү суммасы аркылуу жеке пакет файлдарына алып барат. Дал тизмекти текшерүү күзгүнү ишенимсиз, бирок колдонууга жарактуу кылат: күзгү каалаган нерсени бере алат, жана метаберилиштердин кол тамгасы APT аны кабыл алабы дегенди чечет.

Бул ар бир орнотулган пакетте тейлөөчүнүн кол тамгасын текшерүү менен атайын бирдей эмес, жана бул айырма ката отчетторунда «пакетке кол коюлган» жана «архив аутентификацияланган» бири-биринин ордуна колдонулушунун себебин түшүндүрөт, ал эми алар башка нерсени билдирет.

apt-get update
apt-cache policy
apt-config dump | grep -iE 'AllowInsecure|AllowDowngrade'

Жаңыртуунун чыгарылышын окуңуз, жалгыз чыгуу кодун эмес. APT метаберилиштери ишке ашпаган кампанын атын атайт, жана ошол ат иликтенүүчү чек. Кол тамга текшерүүсүз ишенимдүү деп белгиленген кампа же кооптуу эмес кампа үчүн кайра аныктоо — бирөөнүн кабыл алган конфигурациялык чечими, ал аны түшүндүрө алышы керек.

Жаңылык дагы өзүнчө касиет. Жарактуу кол коюлган метаберилиш файлы өткөн жума көргөнүңүздөн эски болушу мүмкүн, ошондуктан чыгарылыш метаберилиштеринин мөөнөтү бар жана ошондуктан кардардагы саат көйгөйү ачкыч көйгөйүнө окшош текшерүү каталарын жаратышы мүмкүн.

dnf5 өзүнчө эмнени текшерет

RPM тарабы эки башка которгуч сунуштайт, жана аларды чаташтыруу карама-каршы багытта ошол эле ката классын жаратат. Бири пакет файлдарында жарактуу кол тамга болушу керекпи дегенди башкарат; экинчиси кампанын метаберилиштери кол коюлушу керекпи дегенди башкарат. Аларды көз карандысыз орнотууга болот, жана система биринде катуу, экинчисинде жумшак болушу мүмкүн.

dnf5 config-manager --dump 2>/dev/null | grep -iE 'gpgcheck|repo_gpgcheck'
rpm -q --qf '%{NAME} %{SIGPGP:pgpsig}\n' bash

Пакет суроосу орнотулган көчүрмөнүн кол тамга метаберилиштери кандай экенин көрсөтөт, бул катуулукту билдирген конфигурация файлына каршы пайдалуу чындык текшерүүсү. Ал айтпаган нерсе — таратуунун колдоого алынган саясаты, жана форумдун жалпы «GPGни күйгүзүңүз» нускамасынын ордуна ошого таянуу керек.

Эки башкаруучу айырмаланган жерде айырма архитектуралык, бири алсыз деген белги эмес. Экөө тең басмакана мазмунун аутентификациялайт; алар кол тамганы тизмектин ар башка чекиттерине коюшат.

Туннель эмнени кошот жана эмнени кошпойт

VPN керектүү маршрутту бере алат, жаңыртуу трафигин ишенимсиз кирүү тармагынан тышкары кармай алат жана жергиликтүү байкоочу көргөн нерсени азайта алат. Булар реалдуу операциялык пайдалар, жана алардын эч бири басмакана аутентификациясы эмес.

HTTPS өз кепилдигин кошот, жана ал сезилгенден тар. Ал сиз туташкан TLS учунун аутентификациялайт. Эгер ошол уч күзгү болсо, сиз күзгүнү аутентификацияладыңыз, анын сунуштаган архив мазмунун эмес. Бул дал кол коюлган метаберилиштер тизмеги бар болушунун себеби болгон учур.

Эки көзөмөлдүн эч бири жеткиликтүүлүккө убада бербейт. Тармак жеткирүүдөн баш тарта алат, жана аутентификацияланган объект автоматтык түрдө эң жаңысы эмес. Кулпу белгисинин бар экенинен корутунду чыгаруунун ордуна пакет менеджеринин өз жаңылык саясатын колдонуңуз.

Ишке ашпаган чекти диагностикалаңыз

Бир нерсени өзгөртүүдөн мурун этапты атаңыз: DNS чечүү, прокси же маршрут, TLS учунун инсандыгы, архив аутентификациясы, пакет кол тамгасын текшерүүлөр же орнотуу. Ар биринин өзүнчө ката формасы жана өзүнчө ээси бар.

Тармак жолун оңдоо эч качан белгисиз кол тамга ачкычын ишенимдүү деп жарыялоону, сертификаттарды этибарга албоону же сиз сурабаган кампа конфигурациясын кабыл алууну камтыбашы керек. Эгер ачкыч чын эле алмаштырылса, таратуу же кампанын ээси жаңы ачкычты сиз текшере ала турган канал аркылуу жарыялайт, жана бул колдонулушу керек болгон оңдоо.

Кайсы чек ишке ашпаганын жана анын ээси ким экенин жазыңыз. Кийинки жаңыртуу ишке ашпоосу башка чекте болот, жана тизме болсо аны туннель жаңыртууларды коопсуз кылабы деген дагы бир талаштын ордуна беш мүнөттүк диагностикага айландырат.