APT извор за VPN: што дозволува и како да го ограничите

Преземањето на VPN клиент е еднократна одлука; додавањето на неговото APT складиште не е. Второто му кажува на менаџерот на пакети од каде може да доаѓа иден софтвер, а тоа е постојан пренос на овластување, а не преземање. Тоа може да биде правилно уредување кога продавачот правилно го одржува складиштето. Сепак заслужува свесна одлука, а повеќето упатства за инсталација го прескокнуваат.

Потписот заверува архив, не неговиот код

APT ги проверува потпишаните метаподатоци на складиштето и потоа им верува на контролните суми внатре во тие метаподатоци за пакетите што ги презема. Тоа докажува дека архивата одговара на она што го објавил сопственикот на клучот, и ништо за кодот внатре во неа. Правилно потпишан пакет сепак може да носи небезбедни скрипти на одржувачот, и тие скрипти се извршуваат како root додека пакетот се инсталира. Упатството apt-secure ја повлекува токму оваа граница помеѓу заверувањето на архивата и прегледот на софтверот.

Значи корисното прашање не е дали потписот е валиден, бидејќи скршен потпис сепак ја запира инсталацијата. Прашањето е на чиј потпис избирате да му верувате отсега. Украден клуч за потпишување е полош од украден пакет, бидејќи напаѓачот продолжува да произведува валидни метаподатоци долго по првото лошо издание. Ротацијата е единствената поправка, и таа зависи од тоа дали продавачот ќе објави нов клуч преку канал што можете самостојно да го проверите.

Затоа идентитетот на клучот заслужува исто внимание како URL-адресата на складиштето. Клуч земен од адреса во стар одговор на форум не докажува ништо за издавачот, додека HTTPS го штити преносот до тој што одговорил на телефон. Безбедноста на преносот и идентитетот на издавачот се одделни прашања, и само првото се решава со сертификат.

Ограничете го клучот на изворот, не на системот

Современиот APT прифаќа референца Signed-By специфична за изворот. Клуч управуван од операторот може да живее под /etc/apt/keyrings/, а записот на изворот го именува клучот што смее да ја заверува таа архива. Тоа е потесно отколку да се фрли истиот клуч во глобално доверлив сет, каде што може да гарантира за извори што никогаш не сте сакале да ги дозволите. Следете ја инсталираната верзија на APT и тековните упатства на продавачот, наместо да мешате фрагменти од различни генерации упатства.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Никогаш не поправајте неуспех на потпис со исклучување на проверката или со означување на непозната архива како доверлива. Тоа заменува видлива грешка со невидлива, а невидливата трае додека некој не ја провери листата на извори. Ако клучот не се совпаѓа, правилната поправка е да го најдете правилниот клуч, а не да ја отстраните проверката.

Добијте ги деталите за складиштето и идентитетот на клучот од проектот или од управуван администратор. Клуч копиран од блог-објава е тврдење за авторство, а не доказ за него. Кога продавачот објавува канал за ротација, запишете го заедно со клучот, бидејќи токму тој канал ја овозможува следната ротација.

Прицврстувањето на изворот не е список на дозволени пакети

Ограничувањето на клуч на еден извор ограничува која архива може да ја заверува, а не кои пакети таа архива смее да ги објавува. Складиштето може да испорача многу повеќе од посакуваниот VPN клиент, а изборот на кандидати и приоритетите на APT одлучуваат која соодветна верзија победува. Прегледајте ја предложената трансакција пред да ја потврдите, вклучително и списокот на зависности, бидејќи зависностите доаѓаат од истата архива. Опфатот на клучот не може да изрази „само овој пакет“.

Ако ви треба построга контрола, изразете ја како политика за имињата или верзиите на пакетите и држете ја таа политика под управување со конфигурација. Читањето на трансакција трае една минута; откривањето на неочекуван пакет шест месеци подоцна трае еден преглед.

Неочекуваните пакети се моментот да застанете, а не да продолжите, а прашањето за сопственикот на архивата е зошто се потребни. Складиште што објавува десетина пакети околу еден клиент е нормално за продавач што испорачува десктоп-пакет. Тоа е и поголема површина отколку што навестуваше упатството за инсталација, и токму тој дел вреди да се запише. Ниту еден од двата исхода не е причина да не му се верува на потписот; двата се причина да се запише што сте прифатиле.

Запишете го овластувањето и како да го отстраните

Запишете го сопственикот на архивата, поддржаното издание на оперативниот систем, каналот за ротација на клучот и постапката за отстранување. Тие четири факти се она што му треба на наследникот кога клиентот се повлекува или продавачот го ротира својот клуч. Без нив следниот човек наследува линија за извор и датотека со клуч без никаква приказна.

Отстранувањето е чекорот што се прескокнува, затоа запишете го при инсталацијата. Избришете го записот на изворот и неговиот посветен клуч заедно, и проверете дали тој клуч се споменува на друго место пред да ја избришете датотеката. Споделен клуч избришан без таа проверка го претвора чистењето во неповрзан прекин, што е најлошиот исход за рутинска промена. Потоа потврдете дека обичните ажурирања сѐ уште се решаваат откако записот ќе исчезне.

Едно останува откако складиштето е отстрането: секој пакет веќе инсталиран од него продолжува да работи додека нешто не го замени. Искреното прашање е какво овластување додадовте и колку тесно беше изразена неговата улога.