apt atjauninājums neizdodas ar NO_PUBKEY pēc VPN krātuves pievienošanas

Jūsu VPN piegādātāja apt avots salauza pakotņu pārvaldnieku, un labojums ir lēmums, nevis komanda. NO_PUBKEY, vai sūdzība, ka krātuvē nav Release faila, nozīmē, ka apt atteicās uzticēties šim avotam, tāpēc katra nākamā pakotņu darbība turpina drukāt to pašu brīdinājumu. Pats tunelis, iespējams, ir nevainīgs. Atbildiet uz trim jautājumiem, vai jums joprojām vajag šo avotu, un pareizais labojums seko gandrīz mehāniski.

Vispirms ievietojiet kļūmi pareizajā kategorijā

Uzticēšanās kļūda nosauc avota failu un vai nu trūkstošo atslēgu, vai neesošo Release failu. Pārsūtīšanas kļūda izskatās citādi: TLS sertifikāta kļūdas, atteikts savienojums, taimauti vai starpniekserveris, kas atsaka CONNECT. Šī atšķirība nosaka, kuru rakstu jūs lasāt, jo VPN, kas pārtver TLS vai bloķē piegādātāja resursdatoru, rada pārsūtīšanas, nevis paraksta kļūdas.

Palaidiet sudo apt update vienu pašu un izlasiet beigas, ignorējot kešatmiņā saglabātos rezultātus augstāk. Svarīgā rinda nosauc /etc/apt/sources.list.d/ un pasaka, kuru failu atvērt.

Ja kļūda parādās pēc tuneļa pacelšanas, pārbaudiet ar nolaistu tuneli un ar DNS, kas atrisināts ar sistēmas atrisinātāju. Avots, kas darbojas bez VPN, ir maršrutēšanas vai pārtveršanas jautājums, un nekāda atslēgu pārvaldība to nelabos.

Trīs jautājumi, kas izvēlas ceļu

Vai jūs joprojām instalējat vai atjaunināt pakotnes no šī avota? Ja klients tiek aktīvi lietots, labojiet uzticēšanos. Ja klientu instalējāt vienreiz un tagad NetworkManager importējat parastu profilu, avots ir lieks smagums, un noņemšana ir godīgais labojums.

Otrkārt, vai piegādātājs publicē atslēgu un pirksta nospiedumu, ko varat pārbaudīt ārpus kanāla? Treškārt, kas pārvalda atslēgas šajā resursdatorā: distribūcija vai jūs? Avots, kas parakstīts ar atslēgu, kuru nevarat pārbaudīt, ir atjaunināšanas pilnvaras, kuras jums nevajadzētu piešķirt.

Nē uz pirmo jautājumu beidz analīzi. Jā uz visiem trim punktiem ved pie signed-by labojuma, kas ir vienīgā kārtība, kas gan darbojas, gan paliek auditējama. Abu ceļu sajaukšana, paturot avotu un piespiedu kārtā to izspiežot, ir vienīgā iespēja, ko ir vērts skaidri izslēgt.

Kāpēc trusted=yes izskatās pēc labojuma un nav

Lapa sources.list rokasgrāmatā par to ir tieša. Opciju Trusted iestatot uz yes apt pieņems avotu arī tad, ja autentifikācija neizdosies, kas izslēdz apt-secure šai krātuvei. Lapa to patur vietējam kontekstam, ja to vispār lieto.

Šī nav šaurāka uzticēšanās piegādātājam versija. Tā noņem jautājumu par to, kas parakstīja indeksu, tāpēc ikviens, kas var atbildēt par šo resursdatora nosaukumu, var dot jūsu mašīnai pakotnes, kas instalējas kā root.

Labošanas ceļš: iegūstiet atslēgu, pēc tam piespraudiet to

Iegūstiet atslēgu no vietas, ko dokumentē piegādātājs, un izpakot to administratora pārvaldītā atslēgu saistīšanā, pēc tam novirziet krātuves rindu uz šo failu, lai uzticēšanās nevarētu noslīdēt.

1. Izlasiet neizdevušos rindu, lai iegūtu atslēgas ID un avota faila nosaukumu.
2. Lejupielādējiet piegādātāja ASCII bruņoto atslēgu un palaidiet gpg --dearmor uz /etc/apt/keyrings/vendor-name.gpg.
3. Pievienojiet [signed-by=/etc/apt/keyrings/vendor-name.gpg] tā piegādātāja .list faila ierakstam.
4. Palaidiet sudo apt update un apstipriniet, ka avots iegūst indeksu, nevis atkārto paraksta brīdinājumu.

Dodiet priekšroku /usr/share/keyrings atslēgām, kas nāk ar pakotni, un /etc/apt/keyrings atslēgām, ko ievietojat ar roku. Šis dalījums nav kosmētisks: tas pasaka nākamajam administratoram, kuras atslēgas pārdzīvos pakotnes atjauninājumu un kurām vajag cilvēku.

Pārbaudiet pirksta nospiedumu pret piegādātāja publicēto vērtību, pirms tam uzticaties. Atslēgas ID, kas ielīmēts no foruma ieraksta, ir veids, kā mašīna sāk uzticēties atjaunināšanas pilnvarām, ko neviens nevar nosaukt.

Noņemšanas ceļš, un kāpēc kļūda var atgriezties

Paskatieties, ko instalētājs faktiski ierakstīja, jo vairāki faili var minēt vienu un to pašu piegādātāju, un viens no tiem parasti ir atlikuša kopija.

grep -r . /etc/apt/sources.list.d/
sudo rm /etc/apt/sources.list.d/vendor.list

apt no šīs direktorijas lasa tikai .list un .sources failus, tāpēc .save vai .distUpgrade kopija jau tiek ignorēta; tomēr to izdzēšot, vēlāks lasītājs to nejauši neatjaunos. Avota noņemšana neko neatinstalē, un apt pēc tam var raksturot instalēto VPN pakotni kā lokāli instalētu vai vairs nav pieejamu, kas ir pakotnes stāvokļa ziņojums, nevis uzticēšanās kļūdas atgriešanās.

Atkārtotais gadījums ir vecāka instrukcija, kas atslēgas instalēja ar apt-key globālajā uzticības gredzenā. Šis ceļš ir novecojis, un laidiena atjauninājums var atstāt atslēgu nomestu vai vienkārši neuzjautātu, un tieši tāpēc kļūda, kas gadu bija klusa, parādās nedēļā, kad jūs atjaunināt. Pārbaudiet /etc/apt/trusted.gpg.d/, pēc tam pārvietojiet uzticēšanās lēmumu uz krātuves rindu, kur tam vieta. Ja piegādātājs joprojām drukā apt-key instrukcijas, tomēr izmantojiet signed-by; tā ir kārtība, ko dokumentē rokasgrāmata, un tā, kas pārdzīvo atjauninājumu.