VPN үчүн APT булагы: ал эмне берет жана аны кантип чектөө керек

VPN кардарын жүктөө — бир жолку чечим; анын APT кампасын кошуу андай эмес. Экинчиси пакет менеджерине келечектеги программалык камсыздоо кайдан келиши мүмкүн экенин айтат, жана бул жүктөө эмес, ыйгарым укуктун туруктуу өткөрүлүшү. Жеткирүүчү кампаны татыктуу кармаса, бул туура тартип болушу мүмкүн. Ошентсе да ал аң-сезимдүү чечимге татыктуу, ал эми орнотуу нускамаларынын көбү аны өткөрүп жиберет.

Кол тамга архивди күбөлөндүрөт, анын кодун эмес

APT кол коюлган кампа метаберилиштерин текшерет, анан алып келген пакеттери үчүн ошол метаберилиштердин ичиндеги текшерүү суммаларына ишенет. Бул архив ачкыч ээси жарыялаган нерсеге дал келерин далилдейт, ичиндеги код жөнүндө эч нерсе айтпайт. Туура кол коюлган пакетте да кооптуу тейлөө скрипттери болушу мүмкүн, жана алар пакет орнотулуп жатканда root катары иштейт. apt-secure нускамасы архивди күбөлөндүрүү менен программалык камсыздоону карап чыгуунун ортосунда дал ушул чекти тартат.

Ошондуктан пайдалуу суроо кол тамга жарактуубу дегенде эмес, анткени бузулган кол тамга орнотууну баары бир токтотот. Суроо — ушул тарта кимдин кол тамгасына ишенүүнү тандайсыз. Уурдалган кол коюу ачкычы уурдалган пакеттен жаман, анткени чабуулчу биринчи жаман чыгарылыштан кийин да узак убакыт жарактуу метаберилиштерди өндүрө берет. Ачкычты алмаштыруу гана оңдоо болуп саналат, жана ал жеткирүүчүнүн өзүңүз көз карандысыз текшере ала турган канал аркылуу жаңы ачкыч жарыялашына байланыштуу.

Ошондуктан ачкычтын инсандыгы кампа URL дареги сыяктуу эле көңүл бурууга татыктуу. Эски форум жообундагы даректен алынган ачкыч басмакана жөнүндө эч нерсе далилдебейт, ал эми HTTPS телефонго жооп берген адамга чейинки ташууну коргойт. Ташуу коопсуздугу жана басмакананын инсандыгы өзүнчө маселелер, жана биринчисин гана сертификат чечет.

Ачкычты система менен эмес, булак менен чектеңиз

Заманбап APT булакка таандык Signed-By шилтемесин кабыл алат. Оператор башкарган ачкыч /etc/apt/keyrings/ астында тура алат, ал эми булак жазуусу ошол архивди күбөлөндүрүүгө укугу бар ачкычты атайт. Бул ошол эле ачкычты дүйнөлүк ишенимдүү топтомго таштоодон тар — анда ал эч качан уруксат берүүнү ойлогон эмес булактарга кепилдик бере алат. Ар кайсы муундагы нускамалардын үзүндүлөрүн аралаштыруунун ордуна орнотулган APT версиясын жана жеткирүүчүнүн учурдагы нускамаларын аткарыңыз.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Кол тамганын ишке ашпай калышын текшерүүнү өчүрүү же белгисиз архивди ишенимдүү деп белгилөө менен эч качан оңдобоңуз. Бул көрүнгөн катаны көрүнбөгөн катага алмаштырат, ал эми көрүнбөгөнү бирөө булактар тизмесин текшергенге чейин уланат. Эгер ачкыч дал келбесе, туура оңдоо — туура ачкычты табуу, текшерүүнү алып салуу эмес.

Кампанын чоо-жайын жана ачкычтын инсандыгын долбоордон же башкарылуучу администратордон алыңыз. Блог жазуусунан көчүрүлгөн ачкыч — авторлук тууралуу билдирүү, анын далили эмес. Жеткирүүчү алмаштыруу каналын жарыялаганда, аны ачкыч менен бирге жазып коюңуз, анткени кийинки алмаштырууну дал ошол канал мүмкүн кылат.

Булакты бекемдөө — пакеттердин уруксат тизмеси эмес

Ачкычты бир булак менен чектөө анын кайсы архивди күбөлөндүрө аларын чектейт, ал эми ошол архивдин кайсы пакеттерди жарыялай аларын эмес. Кампа сиз каалаган VPN кардарынан алда канча көп жөнөтө алат, жана кайсы ылайыктуу версия жеңерин APTтин талапкер тандоосу жана артыкчылыктары чечет. Тастыктоодон мурун сунушталган транзакцияны, анын ичинде көз карандылыктар тизмесин карап чыгыңыз, анткени көз карандылыктар ошол эле архивден келет. Ачкычтын аймагы «ушул пакет гана» деп айта албайт.

Эгер күчтүүрөөк көзөмөл керек болсо, аны пакет аттары же версиялары боюнча саясат катары билдириңиз жана ошол саясатты конфигурацияны башкаруу астында кармаңыз. Транзакцияны окуу бир мүнөт алат; алты айдан кийин күтүлбөгөн пакетти табуу бир карап чыгууну алат.

Күтүлбөгөн пакеттер — улантуу эмес, токтоо учуру, ал эми кампа ээсине суроо: алар эмне үчүн керек. Бир кардардын айланасында ондогон пакет жарыялаган кампа жумуш үстөлүндөгү топтомду жеткирген компания үчүн кадимки. Бул ошондой эле орнотуу нускамасы кыйыткандан чоңураак бет, жана дал ушул бөлүгү жазып коюуга татыктуу. Эки жыйынтыктын экөө тең кол тамгага ишенбөөчүлүккө себеп эмес; экөө тең кабыл алганыңызды жазууга себеп.

Ыйгарым укукту жана аны кантип өчүрүүнү жазыңыз

Кампа ээсин, колдоого алынган операциялык система чыгарылышын, ачкычты алмаштыруу каналын жана өчүрүү жол-жобосун жазыңыз. Ушул төрт факт мураскерге кардар кызматтан кеткенде же жеткирүүчү ачкычын алмаштырганда керек. Аларсыз кийинки адам эч кандай тарыхсыз булак сабын жана ачкыч файлын мураска алат.

Өчүрүү — өткөрүп жиберилүүчү кадам, ошондуктан аны орнотуу учурунда жазыңыз. Булак жазуусун жана анын атайын ачкычын чогуу жок кылыңыз, ал эми файлды өчүрүүдөн мурун ошол ачкычка башка жерде шилтеме бар-жогун текшериңиз. Ушул текшерүүсүз өчүрүлгөн жалпы ачкыч тазалоону байланышсыз ириңдүүгө айландырат, бул күнүмдүк өзгөртүү үчүн эң начар жыйынтык. Андан кийин жазуу кеткенден кийин да кадимки жаңыртуулар чечилерин тастыктаңыз.

Кампа өчүрүлгөндөн кийин бир нерсе калат: андан мурда орнотулган кандайдыр бир пакет бир нерсе аны алмаштырганга чейин иштей берет. Ак ниеттүү суроо — кандай ыйгарым укук кошконуңуз жана анын ролу канчалык тар билдирилгени.