VPN-ийн APT эх сурвалж: юу олгож байгаа, хэрхэн хязгаарлах вэ

VPN клиент татан авах нь нэг удаагийн шийдвэр; түүний APT санг нэмэх нь тийм биш. Хоёр дахь нь багц менежерт ирээдүйн программ хангамж хаанаас ирж болохыг хэлдэг бөгөөд энэ нь татан авалт биш, эрх мэдлийн байнгын шилжүүлэг юм. Нийлүүлэгч санг зохих ёсоор арчвал энэ нь зөв зохицуулалт байж болно. Гэсэн хэдий ч энэ нь ухамсартай шийдвэр хүлээх ёстой бөгөөд ихэнх суулгах заавар үүнийг алгасдаг.

Гарын үсэг архив, түүний код биш

APT нь гарын үсэг зурсан сангийн мета өгөгдлийг шалгаад дараа нь татдаг багцуудын хувьд тэр мета өгөгдлийн доторх хяналтын нийлбэрт итгэдэг. Энэ нь архив түлхүүрийн эзэн нийтэлсэнтэй тохирч байгааг нотолдог бөгөөд доторх кодын тухай юу ч хэлэхгүй. Зөв гарын үсэг зурсан багц ч аюултай засварлагчийн скрипт агуулж болох бөгөөд тэдгээр скрипт багц суулгагдах үед root эрхээр ажилладаг. apt-secure гарын авлага архив баталгаажуулалт ба программын хяналтын хооронд яг энэ хил хязгаарыг татдаг.

Тиймээс ашигтай асуулт нь гарын үсэг хүчинтэй эсэх биш, учир нь эвдэрсэн гарын үсэг суулгацыг ямар ч байсан зогсоодог. Асуулт нь одооноос хэний гарын үсэгт итгэхээ сонгож байгаа явдал юм. Хулгайлагдсан гарын үсгийн түлхүүр нь хулгайлагдсан багцаас дор, учир нь халдагч эхний муу хувилбараас хойш ч удаан хугацаанд хүчинтэй мета өгөгдөл үйлдвэрлэсээр байдаг. Зөвхөн түлхүүрийг солих нь засвар бөгөөд энэ нь нийлүүлэгч таны бие даан шалгаж болох сувгаар шинэ түлхүүр нийтлэхээс хамаарна.

Тиймээс түлхүүрийн таних тэмдэг нь сангийн URL-тэй адил анхаарал хандуулах ёстой. Хуучин форумын хариулт дахь хаягаас авсан түлхүүр нийтлэгчийн тухай юу ч батлахгүй, харин HTTPS нь утсыг авсан хүртэлх дамжуулалтыг хамгаалдаг. Дамжуулалтын аюулгүй байдал ба нийтлэгчийн таних тэмдэг нь тусдаа асуудал бөгөөд зөвхөн эхнийхийг нь гэрчилгээ шийддэг.

Түлхүүрийг системээр бус, эх сурвалжаар хязгаарла

Орчин үеийн APT нь эх сурвалжид тусгайлсан Signed-By лавлагааг хүлээн авдаг. Операторын удирддаг түлхүүр /etc/apt/keyrings/ дор байж болох бөгөөд эх сурвалжийн бичлэг тэр архивыг баталгаажуулах эрхтэй түлхүүрийг нэрлэдэг. Энэ нь ижил түлхүүрийг дэлхийн итгэмжлэгдсэн багцад хаяхыг бодвол нарийн, учир нь тэнд тэр нь та хэзээ ч зөвшөөрөхөөр санаагүй эх сурвалжид батлан дааж чадна. Өөр өөр үеийн зааврын хэсгүүдийг хольж биш, суулгасан APT хувилбар болон нийлүүлэгчийн одоогийн зааврыг дага.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Гарын үсгийн алдааг шалгалтыг унтраах эсвэл үл мэдэгдэх архивыг итгэмжлэгдсэн гэж тэмдэглэх замаар хэзээ ч засаж болохгүй. Энэ нь харагдах алдааг үл харагдах алдаагаар сольж, үл харагдах нь хэн нэгэн эх сурвалжийн жагсаалтыг шалгах хүртэл үргэлжилнэ. Түлхүүр тохирохгүй бол зөв засвар нь зөв түлхүүрийг олох бөгөөд шалгалтыг хасах биш.

Сангийн дэлгэрэнгүй мэдээлэл болон түлхүүрийн таних тэмдгийг төсөл эсвэл удирдлагатай администратороос ав. Блогын нийтлэлээс хуулсан түлхүүр нь зохиогчийн тухай мэдэгдэл бөгөөд түүний нотолгоо биш. Нийлүүлэгч солих суваг нийтлэх үед түүнийг түлхүүрийн хамт тэмдэглэ, учир нь дараагийн солилтыг яг тэр суваг боломжтой болгодог.

Эх сурвалжийг бэхлэх нь багцын зөвшөөрлийн жагсаалт биш

Түлхүүрийг нэг эх сурвалжаар хязгаарлах нь тэр аль архивыг баталгаажуулж болохыг хязгаарладаг бөгөөд тэр архив ямар багц нийтэлж болохыг биш. Сан нь хүссэн VPN клиентээс хамаагүй илүүг илгээж чадна, аль тохирох хувилбар ялахыг APT-ийн нэр дэвшигчийн сонголт ба тэргүүлэх чиглэл шийддэг. Баталгаажуулахаас өмнө санал болгож буй гүйлгээг, түүний дотор хамаарлын жагсаалтыг хянаарай, учир нь хамаарлууд ижил архиваас ирдэг. Түлхүүрийн хамрах хүрээ „зөвхөн энэ багц“ гэж илэрхийлж чадахгүй.

Хэрэв илүү хатуу хяналт хэрэгтэй бол багцын нэр эсвэл хувилбарын бодлого хэлбэрээр илэрхийлж, тэр бодлогыг тохиргооны удирдлагын дор байлга. Гүйлгээ уншихад нэг минут зарцуулагдана; зургаан сарын дараа гэнэтийн багц илрүүлэхэд нэг хяналт зарцуулагдана.

Гэнэтийн багцууд нь үргэлжлүүлэх биш, зогсох мөч бөгөөд сангийн эзэнд тавих асуулт нь тэдгээр яагаад хэрэгтэй вэ гэдэг. Нэг клиентийн эргэн тойронд арван гаруй багц нийтэлдэг сан нь ширээний багц нийлүүлдэг компанид хэвийн. Энэ нь мөн суулгах зааварт сануулснаас илүү өргөн гадаргуу бөгөөд яг энэ хэсэг нь тэмдэглэх үнэ цэнэтэй. Хоёр үр дүнгийн аль нь ч гарын үсэгт итгэхгүй байх шалтгаан биш; хоёулаа юу хүлээн авснаа бичих шалтгаан.

Эрх мэдэл болон түүнийг хэрхэн устгахыг тэмдэглэ

Сангийн эзэн, дэмжигдсэн үйлдлийн системийн хувилбар, түлхүүр солих суваг, устгах журам зэргийг бич. Тэр дөрвөн баримт нь залгамжлагчид клиент тэтгэвэрт гарах эсвэл нийлүүлэгч түлхүүрээ солих үед хэрэгтэй зүйл юм. Тэдгээргүйгээр дараагийн хүн ямар ч түүхгүй эх сурвалжийн мөр, түлхүүрийн файлыг өвлөнө.

Устгах нь алгасагддаг алхам тул суулгах үед бичээрэй. Эх сурвалжийн бичлэг болон түүний тусгай түлхүүрийг хамт устгаж, файлыг устгахаас өмнө тэр түлхүүр өөр газар дурдагдсан эсэхийг шалга. Тэр шалгалтгүйгээр устгасан хуваалцсан түлхүүр цэвэрлэгээг хамааралгүй тасалдал болгох бөгөөд энэ нь ердийн өөрчлөлтөд хамгийн муу үр дүн юм. Дараа нь бичлэг алга болсны дараа ч энгийн шинэчлэлтүүд шийдэгдсээр байгааг батал.

Санг устгасны дараа нэг зүйл үлддэг: түүнээс аль хэдийн суулгасан аливаа багц ямар нэг зүйл түүнийг орлуулах хүртэл ажилласаар байна. Шударга асуулт нь та ямар эрх мэдэл нэмсэн, түүний үүрэг хэр нарийн илэрхийлэгдсэн бэ.