VPN APT स्रोत: ते काय परवानगी देते आणि ते कसे मर्यादित करावे

VPN क्लायंट डाउनलोड करणे हा एकदाचा निर्णय आहे; त्याचे APT संचय जोडणे तसा नाही। दुसरे पॅकेज व्यवस्थापकाला सांगते की भविष्यातील सॉफ्टवेअर कुठून येऊ शकते, आणि हे डाउनलोड नसून अधिकाराचे कायमस्वरूपी हस्तांतरण आहे। विक्रेता संचय योग्यरीत्या सांभाळत असेल तर ही योग्य व्यवस्था असू शकते। तरीही ती जाणीवपूर्वक निर्णयास पात्र आहे, आणि बहुतेक स्थापना मार्गदर्शक ती वगळतात।

सही संग्रहाची प्रमाणित करते, त्याच्या कोडची नाही

APT स्वाक्षरी केलेला संचय मेटाडेटा तपासते आणि नंतर ते आणते त्या पॅकेजसाठी त्या मेटाडेटामधील चेकसमवर विश्वास ठेवते। हे सिद्ध करते की संग्रह किल्लीधारकाने प्रकाशित केलेल्याशी जुळतो, आणि आतल्या कोडबद्दल काहीही नाही। योग्यरीत्या स्वाक्षरी केलेल्या पॅकेजमध्येही असुरक्षित देखभाल स्क्रिप्ट असू शकतात, आणि पॅकेज स्थापित होत असताना त्या स्क्रिप्ट root म्हणून चालतात। apt-secure मार्गदर्शक संग्रह प्रमाणीकरण आणि सॉफ्टवेअरच्या पुनरावलोकनामधली नेमकी हीच रेषा ओढते।

म्हणून उपयुक्त प्रश्न सही वैध आहे का हा नाही, कारण तुटलेली सही स्थापना तरीही थांबवते। प्रश्न असा आहे की यापुढे तुम्ही कोणाच्या सहीवर विश्वास ठेवणे निवडता। चोरलेली स्वाक्षरी किल्ली चोरलेल्या पॅकेजपेक्षा वाईट आहे, कारण हल्लेखोर पहिल्या वाईट आवृत्तीनंतरही बराच काळ वैध मेटाडेटा तयार करत राहतो। फक्त किल्ली फिरवणे हाच उपाय आहे, आणि तो विक्रेत्याने तुम्ही स्वतंत्रपणे पडताळू शकता अशा माध्यमातून नवीन किल्ली प्रकाशित करण्यावर अवलंबून आहे।

म्हणूनच किल्लीची ओळख संचयाच्या URL इतकीच लक्ष देण्यास पात्र आहे। जुन्या फोरम उत्तरातील पत्त्यावरून घेतलेली किल्ली प्रकाशकाबद्दल काहीही सिद्ध करत नाही, तर HTTPS फोन घेतलेल्यापर्यंतच्या वहनाचे रक्षण करते। वहन सुरक्षा आणि प्रकाशक ओळख या वेगवेगळ्या प्रश्न आहेत, आणि फक्त पहिलाच प्रमाणपत्राने सुटतो।

किल्ली सिस्टमपुरती नाही, स्रोतापुरती मर्यादित करा

आधुनिक APT स्रोत-विशिष्ट Signed-By संदर्भ स्वीकारते। ऑपरेटरने व्यवस्थापित किल्ली /etc/apt/keyrings/ खाली राहू शकते, आणि स्रोत नोंद त्या संग्रहाचे प्रमाणीकरण करू शकणारी किल्ली नावाने सांगते। हे त्याच किल्लीला जागतिक विश्वासार्ह संचात टाकण्यापेक्षा अरुंद आहे, जिथे ती तुम्ही कधीही परवानगी देऊ न इच्छित असलेल्या स्रोतांची जबाबदारी घेऊ शकते। वेगवेगळ्या पिढ्यांतील मार्गदर्शकांचे तुकडे मिसळण्याऐवजी स्थापित APT आवृत्ती आणि विक्रेत्याच्या सध्याच्या सूचना पाळा।

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

पडताळणी बंद करून किंवा अनोळखी संग्रह विश्वासार्ह म्हणून चिन्हांकित करून सहीचा अपयश कधीही दुरुस्त करू नका। हे दिसणाऱ्या त्रुटीची जागा न दिसणाऱ्या त्रुटीने घेते, आणि न दिसणारी त्रुटी कोणी स्रोत यादीचा लेखाजोखा करेपर्यंत टिकते। किल्ली जुळत नसेल, तर योग्य उपाय योग्य किल्ली शोधणे आहे, पडताळणी काढून टाकणे नाही।

संचयाचे तपशील आणि किल्लीची ओळख प्रकल्पाकडून किंवा व्यवस्थापित प्रशासकाकडून घ्या। ब्लॉग पोस्टमधून कॉपी केलेली किल्ली लेखकत्वाबद्दलचा दावा आहे, त्याचा पुरावा नाही। विक्रेत्याने फिरवण्याचे माध्यम प्रकाशित केल्यास ते किल्लीसोबतच नोंदवा, कारण पुढील फिरवणे शक्य करणारे तेच माध्यम आहे।

स्रोत पिनिंग ही पॅकेज परवानगी यादी नाही

किल्ली एका स्रोतापुरती मर्यादित करणे म्हणजे ती कोणत्या संग्रहाचे प्रमाणीकरण करू शकते हे मर्यादित करणे, तो संग्रह कोणती पॅकेज प्रकाशित करू शकतो हे नाही। संचय तुम्हाला हव्या असलेल्या VPN क्लायंटपेक्षा खूप जास्त पाठवू शकतो, आणि कोणती पात्र आवृत्ती जिंकेल हे APTची उमेदवार निवड आणि प्राधान्ये ठरवतात। मंजूर करण्यापूर्वी सुचवलेला व्यवहार, अवलंबित्व यादीसह तपासा, कारण अवलंबित्वे त्याच संग्रहातून येतात। किल्लीची व्याप्ती ’फक्त हे पॅकेज’ असे सांगू शकत नाही।

तुम्हाला अधिक मजबूत नियंत्रण हवे असल्यास ते पॅकेज नावे किंवा आवृत्त्यांवरील धोरण म्हणून मांडा आणि ते धोरण संरचना व्यवस्थापनाखाली ठेवा। व्यवहार वाचण्यास एक मिनिट लागते; सहा महिन्यांनंतर अनपेक्षित पॅकेज शोधण्यास एक पुनरावलोकन लागते।

अनपेक्षित पॅकेज पुढे जाण्याचा नाही, थांबण्याचा क्षण आहेत, आणि संग्रहाच्या मालकाला प्रश्न असा की ती का आवश्यक आहेत। एका क्लायंटभोवती डझनभर पॅकेज प्रकाशित करणे डेस्कटॉप संच पाठवणाऱ्या विक्रेत्यासाठी सामान्य आहे। ते स्थापना मार्गदर्शकाने सुचवलेल्यापेक्षा मोठी पृष्ठभागही आहे, आणि हाच भाग नोंदवण्यासारखा आहे। दोन्हीपैकी कोणताही निकाल सहीवर अविश्वासाचे कारण नाही; दोन्हीही तुम्ही काय स्वीकारले हे लिहिण्याचे कारण आहेत।

अधिकार आणि तो कसा काढावा हे नोंदवा

संग्रहाचा मालक, समर्थित ऑपरेटिंग सिस्टम आवृत्ती, किल्ली फिरवण्याचे माध्यम आणि काढण्याची प्रक्रिया लिहा। ही चार तथ्ये उत्तराधिकाऱ्याला तेव्हा लागतात जेव्हा क्लायंट निवृत्त होतो किंवा विक्रेता आपली किल्ली फिरवतो। ती नसल्यास पुढच्या व्यक्तीला कोणत्याही कथेशिवाय स्रोत ओळ आणि किल्ली फाइल वारसा मिळते।

काढणे हीच पायरी वगळली जाते, म्हणून ती स्थापनेच्या वेळीच लिहा। स्रोत नोंद आणि तिची समर्पित किल्ली एकत्र पुसा, आणि फाइल काढण्यापूर्वी त्या किल्लीचा उल्लेख दुसरीकडे आहे का ते तपासा। ती तपासणी न करता पुसलेली सामायिक किल्ली स्वच्छतेचे असंबंधित खंडात रूपांतर करते, जे नेहमीच्या बदलासाठी सर्वात वाईट परिणाम आहे। नंतर नोंद गेल्यावरही सामान्य अद्यतने सुटतात याची खात्री करा।

संचय काढल्यानंतर एक गोष्ट राहते: त्यातून आधीच स्थापित केलेले कोणतेही पॅकेज काहीतरी ते बदलेपर्यंत चालू राहते। प्रामाणिक प्रश्न असा की तुम्ही कोणता अधिकार जोडला, आणि त्याची भूमिका किती अरुंदपणे मांडली गेली।