HTTPS u VPN mhux qed jawtentikaw il-pakkett li tinstalla

Aġġornament jonqos, u s-suġġeriment fil-ħajt isegwi linja magħrufa: it-traffiku jgħaddi minn VPN, mela t-tniżżil irid ikun affidabbli, u l-verifika tal-firma tittaffa biex tgħaddi l-iżball. Żewġ ideat separati ngħaqdu f’sentenza waħda. L-encryption tipproteġi triq bejn żewġ trufijiet; l-awtentikazzjoni tiddeċiedi jekk il-bytes ġewx mill-pubblikatur li kellek f’moħħok. Mina tipprovdi l-ewwel u ma tgħid xejn dwar it-tieni.

Is-sintomu normalment ikun żball ta’ verifika fuq host wieħed, f’repożitorju wieħed, waqt li kollox jitġedded b’mod normali. Dak il-forma diġà tgħid li t-triq tan-netwerk taħdem u li l-argument huwa dwar il-fiduċja.

Żewġ kontrolli li jwieġbu mistoqsijiet differenti

Is-sigurtà tat-trażmissjoni twieġeb min qiegħed fit-tarf l-ieħor ta’ din il-konnessjoni u jekk xi ħadd fit-triq jistax jaqrah jew ibiddlu. L-awtentikazzjoni tal-pakkett twieġeb jekk dan l-artefatt ġiex ippubblikat mill-awtorità li kkonfigurajti, u trid iddum mat-tniżżil permezz ta’ mera li ma tikkontrollax.

Dawk il-mistoqsijiet jaqblu biss fit-truf. Ċertifikat korrett fuq mera jipprova li l-mera hija l-mera; ma jipprovax li l-mera żżomm kontenut tal-pubblikatur mhux mibdul. Pakkett iffirmat jipprova li l-pubblikatur iffirmah; ma jgħidlekx li n-netwerk wassal l-aktar verżjoni ġdida jew li r-repożitorju li indikajt huwa dak li approvat l-organizzazzjoni tiegħek.

Il-modalità tal-falliment li n-nies joħolqu billi jitfu l-verifiki hija telf permanenti tat-tieni garanzija, bi skambju għal tniżżil wieħed li jirnexxi. Dak l-iskambju huwa inviżibbli sa dak il-jum meta jgħodd.

X’jawtentika apt fil-fatt

Il-mudell ta’ APT hija katina ta’ arkiv awtentikat. Metadejt tal-ħruġ iffirmati jwasslu permezz ta’ checksum għall-indiċi tal-pakketti, u dawk l-indiċi jwasslu permezz ta’ checksum għall-fajls individwali tal-pakketti. Il-verifika tal-katina hija dik li tagħmel mera mhux affidabbli iżda użabbli: il-mera tista’ sservi dak li trid, u l-firma tal-metadejt tiddeċiedi jekk APT taċċettahx.

Dan deliberatament mhuwiex l-istess bħall-verifika tal-firma ta’ min iżomm il-pakkett fuq kull pakkett installat, u din id-differenza tispjega għaliex «il-pakkett huwa ffirmat» u «l-arkivju huwa awtentikat» jintużaw flimkien fir-rapporti tal-bugs meta jfissru affarijiet differenti.

apt-get update
apt-cache policy
apt-config dump | grep -iE 'AllowInsecure|AllowDowngrade'

Aqra l-output tal-aġġornament, mhux biss il-kodiċi tal-ħruġ. APT isemmi r-repożitorju li l-metadejt tiegħu falla, u dak l-isem huwa l-fruntiera li trid tiġi investigata. Repożitorju mmarkat bħala affidabbli mingħajr verifika tal-firma, jew override għal repożitorju mhux sigur, hija deċiżjoni ta’ konfigurazzjoni li ħaddieħor ħa u li għandu jkun jista’ jispjegaha.

Il-freskezza hija għal darb’oħra proprjetà separata. Fajl tal-metadejt iffirmat b’mod validu jista’ jkun eqdem minn dak li rajt il-ġimgħa li għaddiet, għalhekk il-metadejt tal-ħruġ iġorr data ta’ skadenza u għalhekk problema tal-arloġġ fuq il-klijent tista’ tipproduċi żbalji ta’ verifika li jixbħu problemi ta’ ċavetta.

X’jivverifika dnf5 b’mod separat

In-naħa RPM toffri żewġ swiċċijiet differenti, u li tħallathom tipproduċi l-istess klassi ta’ żball fid-direzzjoni l-oħra. Wieħed jikkontrolla jekk il-fajls tal-pakkett għandhomx iġorru firma valida; l-ieħor jikkontrolla jekk il-metadejt tar-repożitorju għandux ikun iffirmat. Jistgħu jiġu stabbiliti b’mod indipendenti, u sistema tista’ tkun stretta f’wieħed u tolleranti fl-ieħor.

dnf5 config-manager --dump 2>/dev/null | grep -iE 'gpgcheck|repo_gpgcheck'
rpm -q --qf '%{NAME} %{SIGPGP:pgpsig}\n' bash

It-talba tal-pakkett turi kif jidher il-metadejt tal-firma tal-kopja installata, li hija verifika tar-realtà utli kontra fajl ta’ konfigurazzjoni li jiddikjara stretezza. Dak li ma tgħidlekx hija l-politika appoġġata tad-distribuzzjoni, u dik għandek issegwi minflok struzzjoni ġenerali «ixgħel GPG» minn forum.

Fejn iż-żewġ maniġers differenti, id-differenza hija arkitettonika u mhux sinjal li wieħed huwa aktar dgħajjef. It-tnejn jawtentikaw il-kontenut tal-pubblikatur; huma jqiegħdu l-firma f’punti differenti tal-katina.

X’iżżid il-mina u x’ma iżżidx

VPN tista’ tipprovdi rotta meħtieġa, iżżomm it-traffiku tal-aġġornamenti barra minn netwerk ta’ aċċess mhux affidabbli u tnaqqas dak li jara osservatur lokali. Dawn huma benefiċċji operattivi reali, u ħadd minnhom mhuwa awtentikazzjoni tal-pubblikatur.

HTTPS iżżid il-garanzija tagħha stess, u hija eħqar milli tidher. Tawtentika t-tarf TLS li qbadt miegħu. Jekk dak it-tarf hija mera, awtentikajt il-mera, mhux il-kontenut tal-arkivju li sservi. Dan huwa eżattament il-każ li għalih teżisti l-katina tal-metadejt iffirmat.

L-ebda waħda miż-żewġ kontrolli ma twiegħed disponibbiltà. Netwerk jista’ jirrifjuta l-kunsinna, u oġġett awtentikat mhuwiex awtomatikament l-aktar ġdid. Uża l-politika tal-freskezza tal-maniġer tal-pakketti stess minflok ma tiddeduċiha mill-preżenza ta’ ikona ta’ serratura.

Iddijanjostika l-fruntiera li falliet

Semmi l-istadju qabel ma tbiddel xejn: riżoluzzjoni DNS, il-proxy jew ir-rotta, l-identità tat-tarf TLS, l-awtentikazzjoni tal-arkivju, il-verifiki tal-firma tal-pakkett, jew l-installazzjoni. Kull wieħed għandu forma ta’ żball u propjetarju differenti.

It-tiswija ta’ triq tan-netwerk qatt m’għandha tinvolvi li tiddikjara ċavetta tal-firma mhux magħrufa bħala affidabbli, li tinjora ċertifikati, jew li taċċetta konfigurazzjoni ta’ repożitorju li ma tlabtx. Jekk ċavetta tassew iddawret, id-distribuzzjoni jew il-proprjetarju tar-repożitorju jippubblika ċ-ċavetta l-ġdida permezz ta’ kanal li tista’ tivverifika, u dik hija l-korrezzjoni li trid tiġi applikata.

Ikteb liema fruntiera falliet u min huwa l-propjetarju tagħha. Il-falliment tal-aġġornament li jmiss se jkun f’fruntiera oħra, u li jkollok il-lista jagħmilha dijanjosi ta’ ħames minuti minflok argument ieħor dwar jekk il-mina tagħmilx l-aġġornamenti siguri.