VPN APT avots: ko tas piešķir un kā to ierobežot

VPN klienta lejupielāde ir vienreizējs lēmums; tā APT krātuves pievienošana nav. Otrais pasaka pakotņu pārvaldniekam, no kurienes var nākt turpmākā programmatūra, un tā ir pastāvīga pilnvaru nodošana, nevis lejupielāde. Tas var būt pareizais risinājums, ja piegādātājs krātuvi pienācīgi uztur. Tomēr tas ir pelnījis apzinātu lēmumu, un lielākā daļa instalēšanas rokasgrāmatu to izlaiž.

Paraksts autentificē arhīvu, nevis tā kodu

APT pārbauda parakstītos krātuves metadatus un pēc tam uzticas šo metadatu iekšienē esošajām kontrolsummām pakotnēm, ko tā iegūst. Tas pierāda, ka arhīvs atbilst tam, ko publicējis atslēgas īpašnieks, un neko par tajā esošo kodu. Pareizi parakstīta pakotne joprojām var saturēt nedrošas uzturētāja skriptus, un šie skripti darbojas kā root pakotnes instalēšanas laikā. apt-secure rokasgrāmata novelk tieši šo robežu starp arhīva autentifikāciju un programmatūras pārskatīšanu.

Tātad lietderīgais jautājums nav, vai paraksts ir derīgs, jo bojāts paraksts instalēšanu apturēs tik un tā. Jautājums ir, kura parakstam jūs no šī brīža izvēlaties uzticēties. Nozagta parakstīšanas atslēga ir sliktāka par nozagtu pakotni, jo uzbrucējs turpina radīt derīgus metadatus vēl ilgi pēc pirmā sliktā izlaiduma. Vienīgais labojums ir atslēgas nomaiņa, un tā ir atkarīga no tā, vai piegādātājs publicē jaunu atslēgu kanālā, ko varat pārbaudīt patstāvīgi.

Tāpēc atslēgas identitāte ir pelnījusi tikpat lielu uzmanību kā krātuves URL. Atslēga, kas ņemta no adreses vecā foruma atbildē, neko nepierāda par izdevēju, savukārt HTTPS aizsargā pārvadi līdz tam, kurš atbildēja uz tālruni. Pārvades drošība un izdevēja identitāte ir atsevišķi jautājumi, un tikai pirmo atrisina sertifikāts.

Ierobežojiet atslēgu ar avotu, nevis sistēmu

Mūsdienu APT pieņem avotam raksturīgu atsauci Signed-By. Operatora pārvaldīta atslēga var atrasties /etc/apt/keyrings/ mapē, un avota ieraksts nosauc atslēgu, kurai atļauts autentificēt šo arhīvu. Tas ir šaurāk nekā iemest to pašu atslēgu globāli uzticamā kopā, kur tā var galvot par avotiem, kurus nekad neesat gribējis atļaut. Sekojiet instalētajai APT versijai un piegādātāja pašreizējiem norādījumiem, nevis jauciet fragmentus no dažādu paaudžu rokasgrāmatām.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Nekad nelabojiet paraksta kļūdu, izslēdzot pārbaudi vai atzīmējot nezināmu arhīvu kā uzticamu. Tas apmaina redzamu kļūdu pret neredzamu, un neredzamā ilgst, līdz kāds pārbauda avotu sarakstu. Ja atslēga neatbilst, pareizais labojums ir atrast pareizo atslēgu, nevis noņemt pārbaudi.

Iegūstiet krātuves informāciju un atslēgas identitāti no projekta vai pārvaldīta administratora. No emuāra ieraksta nokopēta atslēga ir apgalvojums par autorību, nevis tās pierādījums. Kad piegādātājs publicē nomaiņas kanālu, pierakstiet to kopā ar atslēgu, jo tieši šis kanāls padara iespējamu nākamo nomaiņu.

Avota piespraušana nav pakešu atļauto saraksts

Atslēgas ierobežošana ar vienu avotu ierobežo to, kuru arhīvu tā var autentificēt, nevis to, kuras pakotnes šis arhīvs drīkst publicēt. Krātuve var nosūtīt daudz vairāk nekā vēlamo VPN klientu, un to, kura piemērotā versija uzvarēs, nosaka APT kandidātu atlase un prioritātes. Pirms apstiprināšanas pārskatiet piedāvāto darījumu, tostarp atkarību sarakstu, jo atkarības nāk no tā paša arhīva. Atslēgas tvērums nevar izteikt „tikai šī pakotne”.

Ja nepieciešama stingrāka kontrole, izsakiet to kā politiku par pakešu nosaukumiem vai versijām un turiet šo politiku konfigurācijas pārvaldībā. Darījuma izlasīšana aizņem minūti; negaidītas pakotnes atklāšana pēc pusgada aizņem pārskatīšanu.

Negaidītas pakotnes ir apstāšanās, nevis turpināšanas brīdis, un jautājums krātuves īpašniekam ir, kāpēc tās ir vajadzīgas. Krātuve, kas publicē duci pakešu ap vienu klientu, ir normāla piegādātājam, kurš piegādā darbvirsmas komplektu. Tā ir arī lielāka virsma, nekā norādīja instalēšanas rokasgrāmata, un tieši šo daļu ir vērts pierakstīt. Neviens no abiem iznākumiem nav iemesls neuzticēties parakstam; abi ir iemesls pierakstīt, ko esat pieņēmis.

Pierakstiet pilnvaras un to, kā tās noņemt

Pierakstiet krātuves īpašnieku, atbalstīto operētājsistēmas laidienu, atslēgas nomaiņas kanālu un noņemšanas procedūru. Šie četri fakti ir tas, kas pēctecim vajadzīgs, kad klients tiek izņemts vai piegādātājs nomaina savu atslēgu. Bez tiem nākamais cilvēks manto avota rindu un atslēgas failu bez jebkādas vēstures.

Noņemšana ir solis, kas tiek izlaists, tāpēc pierakstiet to instalēšanas laikā. Dzēsiet avota ierakstu un tā īpašo atslēgu kopā, un pirms faila dzēšanas pārbaudiet, vai uz šo atslēgu kaut kur citur nav atsauces. Koplietota atslēga, kas dzēsta bez šīs pārbaudes, pārvērš uzkopšanu nesaistītā traucējumā, un tas ir sliktākais iznākums rutīnas izmaiņām. Pēc tam apstipriniet, ka parastie atjauninājumi joprojām tiek atrisināti, kad ieraksts ir pazudis.

Viena lieta paliek pēc krātuves noņemšanas: jebkura jau no tās instalētā pakotne turpina darboties, līdz kaut kas to aizstāj. Godīgais jautājums ir, kādas pilnvaras jūs pievienojāt un cik šauri tika izteikta to loma.