VPN-APT-Quell: wat se erlaabt a wéi ee se begrenzt

En VPN-Client erofzelueden ass eng eemoleg Entscheedung; säin APT-Repository dobäizesetzen net. Dat zweet seet dem Pakmanager, wouhier zukünfteg Software komme kann, an dat ass eng dauerhaft Iwwerdroung vun Autoritéit anstatt en Download. Dat kann déi richteg Reegelung sinn, wann den Hiersteller e Repository richteg ënnerhält. Et verdéngt awer eng bewosst Entscheedung, an déi meescht Installatiounsguide sprangen dat iwwer.

Eng Ënnerschrëft authentifizéiert en Archiv, net säi Code

APT iwwerpréift ënnerschriwwen Repository-Metadaten an vertraut duerno de Checksummen an dëse Metadaten fir d’Paketen, déi et erofsicht. Dat beweist, datt den Archiv deem entsprécht, wat de Schlësselbesëtzer publizéiert huet, an näischt iwwer de Code dobannen. En richteg ënnerschriwwent Pak kann nach ëmmer onsécher Mainteiner-Skripten droen, an déi Skripte lafen als root, wärend d’Pak installéiert gëtt. Den apt-secure-Handbuch zitt genau dës Grenz tëscht der Authentifikatioun vum Archiv an enger Iwwerpréiwung vun der Software.

Déi nëtzlech Fro ass also net, ob d’Ënnerschrëft valabel ass, well eng gebrochen Ënnerschrëft d’Installatioun souwisou stoppt. Si ass, wiem seng Ënnerschrëft dir vun elo un vertraut. E geklaute Signaturschlëssel ass méi schlëmm wéi e geklaute Pak, well den Ugräifer nach laang no der éischter schlechter Verëffentlechung valabel Metadaten produzéiert. Nëmmen d’Schlësselrotatioun reparéiert dat, an si hänkt dovun of, datt den Hiersteller en neie Schlëssel iwwer e Kanal publizéiert, deen dir onofhängeg iwwerpréiwe kënnt.

Dofir verdéngt d’Identitéit vum Schlëssel esouvill Opmierksamkeet wéi d’URL vum Repository. E Schlëssel, deen aus enger Adress an enger aler Forumsäntwert geholl gouf, beweist näischt iwwer den Editeur, wärend HTTPS den Transport bis zu deem schützt, deen den Telefon beäntwert huet. Transportsécherheet an Editeursidentitéit si getrennt Froen, an nëmmen déi éischt gëtt duerch en Zertifikat geléist.

Begrenzt de Schlëssel op d’Quell, net op d’System

Modern APT akzeptéiert eng quellspezifesch Signed-By-Referenz. En Schlëssel, deen den Operateur verwalt, kann ënner /etc/apt/keyrings/ leien, an den Quellentrag nennt de Schlëssel, deen dësen Archiv authentifizéiere darf. Dat ass méi enk wéi deeselwechte Schlëssel an eng global vertraut Grupp ze geheien, wou en fir Quelle bierge kann, déi dir ni wollt erlaben. Follegt der installéierter APT-Versioun an den aktuelle Instruktioune vum Hiersteller, amplaz Fragmenter aus verschiddene Generatiounen Guide ze mëschen.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Reparéiert ni eng Signaturfehler, andeems dir d’Iwwerpréiwung ausschalt oder en onbekannten Archiv als vertraut markéiert. Dat tauscht e siichtbare Fehler géint en onsichtbaren, an den onsichtbaren dauert, bis een d’Quelllëscht auditréiert. Wann de Schlëssel net passt, ass déi richteg Léisung de richtege Schlëssel ze fannen, net d’Kontroll ewechzehuelen.

Kritt d’Repository-Detailer an d’Identitéit vum Schlëssel vum Projet oder vun engem verwalteten Administrateur. E Schlëssel, deen aus engem Blogpost kopéiert gouf, ass eng Behauptung iwwer d’Auteuren, keen Beweis dofir. Wann en Hiersteller e Rotatiounskanal publizéiert, notéiert en zesumme mam Schlëssel, well dee Kanal ass et, deen déi nächst Rotatioun méiglech mécht.

Quellpinning ass keng Pak-Erlaabneslëscht

E Schlëssel op eng Quell ze begrenzen, begrenzt wéichen Archiv en authentifizéiere kann, net wéi eng Paken dësen Archiv publizéiere darf. De Repository kann vill méi schécken wéi de gewënschten VPN-Client, an d’Kandidatenauswiel an d’Prioritéite vun APT entscheeden, wéi eng zoulässeg Versioun gewënnt. Iwwerpréift déi proposéiert Transaktioun, ier dir se confirméiert, inklusiv d’Lëscht vun den Ofhängegkeeten, well d’Ofhängegkeeten aus demselwechten Archiv kommen. De Schlësselberäich kann ’nëmmen dës Pak’ net ausdrécken.

Wann dir eng méi staark Kontroll braucht, dréckt se als Politik iwwer Paknimm oder -versioune aus an haalt déi Politik ënner Konfiguratiounsverwaltung. Eng Transaktioun ze liesen dauert eng Minutt; eng onerwaart Pak sechs Méint méi spéit z’entdecken dauert eng Iwwerpréiwung.

Onerwaart Pake sinn de Moment fir ze stoppen an net virun ze goen, an d’Fro un den Archivbesëtzer ass, firwat se noutwendeg sinn. En Repository, deen eng Dosen Paken ëm ee Client publizéiert, ass normal fir en Hiersteller, deen eng Desktop-Suite liwwert. Et ass och eng méi grouss Uewerfläch wéi den Installatiounsguide implizéiert huet, an dat ass deen Deel, deen et wäert ass opzeschreiwen. Keng vun den zwou Resultater ass e Grond, der Ënnerschrëft ze misstrauen; béid si Grënn opzeschreiwen, wat dir akzeptéiert hutt.

Notéiert d’Autoritéit a wéi een se entfernt

Schreift den Archivbesëtzer op, déi ënnerstëtzt Betribssystemversioun, de Schlësselrotatiounskanal an d’Prozedur vum Entfernen. Déi véier Fakten sinn dat, wat en Nofolger brauch, wann de Client opgeet oder den Hiersteller säi Schlëssel rotéiert. Ouni si ierft déi nächst Persoun eng Quelllinn an eng Schlësseldatei ouni all Geschicht.

D’Entfernen ass dee Schrëtt, deen iwwersprong gëtt, also schreift en beim Installéieren op. Läscht den Quellentrag a säi speziellen Schlëssel zesummen, a kontrolléiert, ob dee Schlëssel soss nach referenzéiert gëtt, ier dir d’Datei läscht. E gedeelte Schlëssel, deen ouni déi Kontroll geläscht gëtt, mécht eng Botz zu enger onnéideger Stéierung, wat dat schlechtst Resultat fir eng Routinännerung ass. Bestätegt duerno, datt gewéinlech Aktualiséierungen nach opgeléist ginn, nodeems den Entrag fort ass.

Eng Saach bleift, nodeems de Repository ewechgeholl ass: all Pak, dat schonn dovun installéiert ass, leeft weider, bis eppes et ersetzt. Déi éierlech Fro ass, wéi eng Autoritéit dir derbäigesat hutt, a wéi enk hir Roll ausgedréckt war.