HTTPS an e VPN authentifizéieren de Pak net deen Dir installéiert

En Update schléit fehl, an den Virschlag am Thread follegt enger bekannter Linn: den Traffic geet duerch eng VPN, also muss den Download vertrauenswierdeg sinn, an d’Signaturkontroll gëtt gelockert fir de Fehler ze iwwerfuerderen. Zwee getrennte Iddien sinn an engem Saz verschmolz. Verschlësselung schützt en Wee tëscht Endpunkten; Authentifikatioun entscheet ob d’Byten vum Härgeber kommen deen Dir gemengt hutt. En Tunnel gëtt dat Éischt an seet näischt iwwer dat Zweet.

De Symptom ass meeschtens e Verifikatiounsfehler op engem Host, an engem Repository, wärend alles anescht normal update gëtt. Dës Form seet schonn datt de Netzwierkwee funktionnéiert an datt den Dissens ëm Vertrauen geet.

Zwee Kontrollen déi verschidde Froen beäntweren

Transportsécherheet beäntwert wien um aneren Enn vun dëser Verbindung ass an ob een um Wee se liesen oder änneren kann. Pakauthentifikatioun beäntwert ob dësen Artefakt vun der Autoritéit verëffentlecht gouf déi Dir konfiguréiert hutt, an et muss en Download duerch e Spigel iwwerstoen deen Dir net kontrolléiert.

Dës Froen iwwerlappen sech nëmmen un de Ränner. En korrekt Zertifikat op engem Spigel beweist datt de Spigel de Spigel ass; et beweist net datt de Spigel onverännert Härgeberinhalt hält. En ënnerschriwwene Pak beweist datt den Härgeber en ënnerschriwwen huet; et seet Iech net datt d’Netzwierk déi neist Versioun geliwwert huet oder datt de Repository deen Dir uginn hutt deen ass deen Är Organisatioun guttgeheescht huet.

De Fehlermodus deen d’Leit duerch d’Ausschalte vu Kontrollen entstoe loossen ass e permanente Verloscht vun der zweeter Garantie, am Austausch fir een erfollegräichen Download. Dësen Austausch ass onsiichtbar bis zu deem Dag wou en zielt.

Wat apt tatsächlech authentifizéiert

D’Modell vun APT ass eng authentifizéiert Archivketten. Ënnerschriwwen Release-Metadaten féieren iwwer Checksum zu de Pakindizes, an déi Indizes féieren iwwer Checksum zu deenen eenzelen Pakdateien. D’Verifikatioun vun der Kette mécht e Spigel onvertrauenswierdeg awer brauchbar: de Spigel kann zerwéieren wat en wëll, an d’Signatur vun de Metadaten entscheet ob APT et acceptéiert.

Dat ass bewosst net datselwecht wéi eng Maintainer-Signatur op all installéierte Pak ze kontrolléieren, an den Ënnerscheed erkläert firwat «de Pak ass ënnerschriwwen» an «d’Archiv ass authentifizéiert» a Fehlerberichter duercherneen benotzt ginn obwuel se verschiddent bedeiten.

apt-get update
apt-cache policy
apt-config dump | grep -iE 'AllowInsecure|AllowDowngrade'

Liest d’Ausgab vum Update, net nëmmen den Exit-Code. APT nennt de Repository deem seng Metadaten feelgeschloen sinn, an deen Numm ass d’Grenz déi z’ënnersichen ass. E Repository deen ouni Signaturverifikatioun als vertrauenswierdeg markéiert ass, oder eng Iwwerschreiwung fir en onséchere Repository, ass eng Konfiguratiounsentscheedung déi een geholl huet an déi en erkläre kënne sollt.

Frëschheet ass erëm eng eegen Eegenschaft. Eng gülteg ënnerschriwwen Metadateien-Datei kann méi al sinn wéi déi déi Dir d’lescht Woch gesinn hutt, dofir droen Release-Metadaten en Ofleefdatum an dofir kann e Auerproblem um Client Verifikatiounsfehler ervirbréngen déi wéi Schlësselproblemer ausgesinn.

Wat dnf5 getrennt kontrolléiert

D’RPM-Säit bitt zwee verschidde Schalter, an se ze verwiesselen produzéiert déiselwecht Klass vu Fehler an déi aner Richtung. Een kontrolléiert ob Pakdateien eng gülteg Signatur mussen droen; deen aneren ob Repository-Metadaten ënnerschriwwen musse sinn. Si kënnen onofhängeg agestallt ginn, an e System kann bei engem streng an beim aneren nostéisseg sinn.

dnf5 config-manager --dump 2>/dev/null | grep -iE 'gpgcheck|repo_gpgcheck'
rpm -q --qf '%{NAME} %{SIGPGP:pgpsig}\n' bash

D’Pakufro weist wéi d’Signaturmetadaten vun der installéierter Kopie ausgesinn, wat eng nëtzlech Realitéitskontroll géint eng Konfiguratiounsdatei ass déi Strängheet behaapt. Wat se Iech net seet ass déi ënnerstëtzt Politik vun der Distributioun, an där sollt Dir nolauschteren amplaz vun enger allgemenger «aktivéiert GPG»-Uweisung aus engem Forum.

Wou déi zwee Verwalter sech ënnerscheeden, ass den Ënnerscheed architektonesch an net en Zeeche datt een méi schwaach ass. Béid authentifizéieren Härgeberinhalt; si setzen d’Signatur op verschidde Punkten an der Kette.

Wat den Tunnel bäisetzt a wat net

Eng VPN kann eng noutwenneg Route liwweren, den Update-Traffic aus engem net vertrauenswierdegen Zougangsnetz eraushalen an reduzéieren wat en lokalen Observateur gesäit. Dat sinn richteg operationell Virdeeler, an keen dovun ass Härgeberauthentifikatioun.

HTTPS setzt seng eege Garantie bäi, an si ass méi enk wéi se sech ufillt. Et authentifizéiert den TLS-Endpunkt mat deem Dir verbonne sidd. Wann deen Endpunkt e Spigel ass, hutt Dir de Spigel authentifizéiert, net den Archivinhalt deen en zerwéiert. Dëst ass genee de Fall fir deen d’Kette vun ënnerschriwwene Metadaten existéiert.

Keng vun deenen zwou Kontrollen versprécht Disponibilitéit. En Netz kann d’Liwwerung verweigeren, an en authentifizéierten Objet ass net automatesch deen Neisten. Benotzt d’Frëschheetspolitik vum Pakverwalter selwer amplaz se aus dem Presenz vun engem Schlass-Icon ofzeleeden.

Diagnostizéiert d’Grenz déi feelgeschloen ass

Nennt d’Etapp éier Dir eppes ännert: DNS-Opléisung, de Proxy oder d’Route, d’Identitéit vum TLS-Endpunkt, d’Archivauthentifikatioun, d’Pak-Signaturkontrollen oder d’Installatioun. Jiddereen huet eng eege Fehlerform an en eegene Besëtzer.

D’Reparatur vun engem Netzwierkwee soll ni ëmfaassen en onbekannte Signaturschlëssel als vertrauenswierdeg z’erklären, Zertifikater z’ignoréieren oder eng Repository-Konfiguratioun z’acceptéieren déi Dir net gefrot hutt. Wann e Schlëssel wierklech rotéiert ass, verëffentlecht d’Distributioun oder den Eegentemer vum Repository den neie Schlëssel iwwer e Kanal deen Dir verifizéiere kënnt, an dat ass de Korrektur deen unzewenden ass.

Schreift op wéi eng Grenz feelgeschloen ass a wien hire Besëtzer ass. Den nächsten Update-Feeler wäert op enger anerer Grenz sinn, an d’Lëscht ze hunn mécht en zu enger Diagnos vu fënnef Minutten amplaz nach enger Diskussioun doriwwer ob den Tunnel Updates sécher mécht.