HTTPS болон VPN нь таны суулгаж буй багцыг баталгаажуулдаггүй

Шинэчлэлт бүтэлгүйтэж, урсгал дахь зөвлөмж танил замаар явна: урсгал VPN-ээр дамждаг тул татан авалт найдвартай байх ёстой гэж үзээд алдааг давахын тулд гарын үсгийн шалгалтыг сулруулдаг. Хоёр өөр санаа нэг өгүүлбэрт нийлсэн байна. Шифрлэлт нь хоёр төгсгөлийн хоорондох замыг хамгаалдаг; баталгаажуулалт нь байтууд таны санаж байсан нийтлэгчээс ирсэн эсэхийг шийддэг. Туннель эхнийхийг өгдөг бөгөөд хоёр дахь тухай юу ч хэлдэггүй.

Шинж тэмдэг нь ихэвчлэн нэг хост, нэг санд шалгалтын алдаа гарч, бусад нь хэвийн шинэчлэгддэг. Энэ хэлбэр нь сүлжээний зам ажиллаж байгаа, маргаан итгэлцэл тухай гэдгийг аль хэдийн хэлж байна.

Өөр асуултад хариулдаг хоёр хяналт

Тээврийн аюулгүй байдал нь энэ холболтын нөгөө төгсгөлд хэн байгаа, замд хэн нэгэн үүнийг уншиж эсвэл өөрчилж чадах эсэхийг хариулна. Багц баталгаажуулалт нь энэ артефактыг таны тохируулсан эрх мэдэл нийтэлсэн эсэхийг хариулж, таны хянадаггүй толь дамжуулан татан авахад тэсвэрлэх ёстой.

Эдгээр асуулт зөвхөн зах дээр давхцдаг. Толь дээрх зөв гэрчилгээ нь толь нь толь гэдгийг батална; толь дотор өөрчлөгдөөгүй нийтлэгчийн агуулга байгааг батлахгүй. Гарын үсэг зурсан багц нь нийтлэгч гарын үсэг зурсныг батална; сүлжээ хамгийн сүүлийн хувилбарыг хүргэсэн эсвэл таны заасан сан байгууллагын тань зөвшөөрсөн сан мөн эсэхийг хэлэхгүй.

Хүмүүс шалгалтыг унтрааж бий болгодог бүтэлгүйтлийн горим нь хоёр дахь баталгааг бүрмөсөн алдах, оронд нь нэг амжилттай татан авалт. Энэ солилцоо нь чухал болох өдөр хүртэл үл үзэгдэнэ.

apt үнэндээ юуг баталгаажуулдаг вэ

APT-ийн загвар нь баталгаажсан архивын гинжин хэлхээ юм. Гарын үсэг зурсан хувилбарын мета өгөгдөл шалгах нийлбэрээр багцын индексүүд рүү хөтөлж, тэдгээр индексүүд шалгах нийлбэрээр тус тусын багц файлууд руу хөтөлдөг. Гинжийг шалгах нь толийг итгэмжлэхүйц боловч ашиглах боломжтой болгодог: толь хүссэн зүйлээ өгч болно, мета өгөгдлийн гарын үсэг APT үүнийг хүлээн авах эсэхийг шийддэг.

Энэ нь санаатайгаар суулгасан багц бүр дээр засварлагчийн гарын үсгийг шалгахтай ижил биш бөгөөд энэ ялгаа нь алдааны тайланд «багц гарын үсэгтэй» ба «архив баталгаажсан» гэсэн ойлголтууд өөр утгатай байтал харилцан солигдон хэрэглэгддэгийг тайлбарладаг.

apt-get update
apt-cache policy
apt-config dump | grep -iE 'AllowInsecure|AllowDowngrade'

Шинэчлэлтийн гаралтыг уншина уу, зөвхөн гарах код биш. APT мета өгөгдөл нь бүтэлгүйтсэн санг нэрлэдэг бөгөөд тэр нэр нь шалгах хил юм. Гарын үсгийн шалгалтгүйгээр итгэмжлэгдсэн гэж тэмдэглэсэн сан, эсвэл аюулгүй бус санд зориулсан давамгайлал нь хэн нэгний гаргасан тохиргооны шийдвэр бөгөөд тэр үүнийг тайлбарлаж чадах ёстой.

Шинэлэг байдал нь дахин тусдаа шинж чанар. Хүчинтэй гарын үсэг зурсан мета өгөгдлийн файл өнгөрсөн долоо хоногт харсанаас хуучин байж болно, тиймээс хувилбарын мета өгөгдөл хугацаа дуусах огноотой бөгөөд тиймээс клиент дээрх цагийн асуудал түлхүүрийн асуудал мэт харагдах шалгалтын алдаа үүсгэж болно.

dnf5 юуг тусдаа шалгадаг вэ

RPM тал нь хоёр өөр шилжүүлэгчийг санал болгодог бөгөөд тэдгээрийг андуурвал эсрэг чиглэлд ижил төрлийн алдаа гарна. Нэг нь багц файлууд хүчинтэй гарын үсэгтэй байх ёстой эсэхийг, нөгөө нь сангийн мета өгөгдөл гарын үсэгтэй байх ёстой эсэхийг хянадаг. Тэдгээрийг бие даан тохируулж болох бөгөөд систем нэг дээр хатуу, нөгөө дээр зөөлөн байж болно.

dnf5 config-manager --dump 2>/dev/null | grep -iE 'gpgcheck|repo_gpgcheck'
rpm -q --qf '%{NAME} %{SIGPGP:pgpsig}\n' bash

Багцын асуулга нь суулгасан хуулбарын гарын үсгийн мета өгөгдөл хэрхэн харагдахыг харуулдаг бөгөөд энэ нь хатуу байдлыг мэдэгддэг тохиргооны файлтай харьцуулахад ашигтай бодит шалгалт юм. Үүний хэлдэггүй зүйл бол түгээлтийн дэмжигдсэн бодлого бөгөөд форумын ерөнхий «GPG-г идэвхжүүл» заавраас илүү түүнийг дагах ёстой.

Хоёр менежер ялгаатай газарт ялгаа нь архитектурынх бөгөөд нэг нь сул гэсэн дохио биш. Хоёулаа нийтлэгчийн агуулгыг баталгаажуулдаг; тэд гарын үсгийг гинжин хэлхээний өөр цэгүүдэд байрлуулдаг.

Туннель юу нэмдэг, юу нэмдэггүй вэ

VPN шаардлагатай маршрутыг өгч, шинэчлэлтийн урсгалыг итгэмжлэхгүй хандалтын сүлжээнээс гадуур байлгаж, орон нутгийн ажиглагчийн хардагийг багасгаж чадна. Эдгээр нь бодит үйл ажиллагааны давуу тал бөгөөд тэдгээрийн аль нь ч нийтлэгчийн баталгаажуулалт биш.

HTTPS өөрийн баталгааг нэмдэг бөгөөд энэ нь мэдрэгдэхээс нарийн. Энэ нь таны холбогдсон TLS төгсгөлийг баталгаажуулдаг. Хэрэв тэр төгсгөл нь толь бол та толийг баталгаажуулсан, түүний үйлчилдэг архивын агуулгыг биш. Энэ нь яг гарын үсэг зурсан мета өгөгдлийн гинж байгаа шалтгаан болсон тохиолдол юм.

Аль ч хяналт хүртээмжийг амладаггүй. Сүлжээ хүргэлтээс татгалзаж болох бөгөөд баталгаажсан объект автоматаар хамгийн шинэ нь биш. Цоожны дүрс байгаагаас дүгнэх биш, багц менежерийн өөрийн шинэлэг байдлын бодлогыг ашиглана уу.

Бүтэлгүйтсэн хилийг оношлоорой

Ямар нэг зүйлийг өөрчлөхөөс өмнө үе шатыг нэрлэ: DNS шийдвэрлэлт, прокси эсвэл маршрут, TLS төгсгөлийн таних тэмдэг, архивын баталгаажуулалт, багцын гарын үсгийн шалгалт, эсвэл суулгалт. Тус бүр өөрийн алдааны хэлбэр, өөрийн эзэнтэй.

Сүлжээний замыг засварлах нь үл мэдэгдэх гарын үсгийн түлхүүрийг итгэмжлэгдсэн гэж зарлах, гэрчилгээг үл тоомсорлох, эсвэл таны хүсээгүй сангийн тохиргоог хүлээн авахыг хэзээ ч агуулж болохгүй. Хэрэв түлхүүр үнэхээр эргэлдсэн бол түгээлт эсвэл сангийн эзэн шинэ түлхүүрийг таны шалгаж болох сувгаар нийтэлдэг бөгөөд энэ нь хэрэглэх ёстой засвар юм.

Аль хил бүтэлгүйтсэн, түүний эзэн хэн болохыг бичээрэй. Дараагийн шинэчлэлтийн бүтэлгүйтэл өөр хил дээр болно, жагсаалт байгаа нь түүнийг туннель шинэчлэлтийг аюулгүй болгодог эсэх тухай дахин нэг маргаан биш таван минутын оношлогоо болгоно.