Sors APT tal-VPN: x’jagħti u kif tillimitah

Inniżżil ta’ klijent VPN hija deċiżjoni ta’ darba; iż-żieda tar-repożitorju APT tiegħu mhijiex. It-tieni tgħid lill-maniġer tal-pakketti minn fejn jista’ jiġi softwer futur, u dan huwa trasferiment permanenti ta’ awtorità u mhux tniżżil. Dan jista’ jkun l-arranġament it-tajjeb meta l-fornitur iżomm repożitorju kif suppost. Xorta waħda jistħoqqlu deċiżjoni konxja, u l-biċċa l-kbira tal-gwidi tal-installazzjoni jaqbżuh.

Firma tawtentika arkivju, mhux il-kodiċi tiegħu

APT jivverifika metadejta ffirmata tar-repożitorju u mbagħad jafda l-checksums ġewwa dik il-metadejta għall-pakketti li jiġbed. Dan juri li l-arkivju jaqbel ma’ dak li ppubblika d-detentur taċ-ċavetta, u xejn dwar il-kodiċi ġewwa fih. Pakkett iffirmat b’mod korrett xorta jista’ jġorr skripts tal-manutenzjoni mhux sikuri, u dawk l-iskripts jaħdmu bħala root waqt li l-pakkett jiġi installat. Il-manwal apt-secure jiġbed eżatt din il-linja bejn l-awtentikazzjoni tal-arkivju u reviżjoni tas-softwer.

Mela l-mistoqsija utli mhijiex jekk il-firma tivvalida, għax firma miksura twaqqaf l-installazzjoni xorta. Hija ta’ min tagħżel li tafda l-firma tiegħu minn issa ’l quddiem. Ċavetta tal-firma misruqa hija agħar minn pakkett misruq, għax l-attakkant ikompli jipproduċi metadejta valida ħafna wara l-ewwel rilaxx ħażin. Ir-rotazzjoni hija l-unika tiswija, u tiddependi mill-fornitur li jippubblika ċavetta ġdida permezz ta’ kanal li tista’ tivverifika b’mod indipendenti.

Huwa għalhekk li l-identità taċ-ċavetta jistħoqqilha l-istess attenzjoni bħall-URL tar-repożitorju. Ċavetta meħuda minn indirizz fi tweġiba antika ta’ forum ma tistabbilixxi xejn dwar il-pubblikatur, filwaqt li HTTPS jipproteġi t-trasport sa min wieġeb it-telefon. Is-sigurtà tat-trasport u l-identità tal-pubblikatur huma mistoqsijiet separati, u t-trasport biss jiġi solvut b’ċertifikat.

Illimita ċ-ċavetta għas-sors, mhux għas-sistema

APT modern jippermetti referenza Signed-By speċifika għas-sors. Ċavetta mmaniġġjata mill-operatur tista’ tkun taħt /etc/apt/keyrings/, u d-dħul tas-sors isemmi ċ-ċavetta li tista’ tawtentika dak l-arkivju. Dan huwa eqreb milli tħott l-istess ċavetta fi ġabra fdati globali, fejn tista’ tiggarantixxi għal sorsi li qatt ma ridt tippermetti. Segwi l-verżjoni APT installata u l-istruzzjonijiet attwali tal-fornitur minflok tħallat frammenti minn ġenerazzjonijiet differenti ta’ gwidi.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Qatt ma ssewwi falliment ta’ firma billi titfi l-verifika jew timmarka arkivju mhux magħruf bħala fdat. Dan ibiddel żball viżibbli ma’ wieħed inviżibbli, u dak inviżibbli jdum sakemm xi ħadd jaċċerta l-lista tas-sorsi. Jekk iċ-ċavetta ma taqbilx, it-tiswija korretta hija li ssib iċ-ċavetta t-tajba, mhux li tneħħi l-verifika.

Ikseb id-dettalji tar-repożitorju u l-identità taċ-ċavetta mill-proġett jew minn amministratur immaniġġjat. Ċavetta kkupjata minn kitba fuq blog hija talba dwar l-awtur, mhux prova tagħha. Meta fornitur jippubblika kanal ta’ rotazzjoni, innotah flimkien maċ-ċavetta, għax dak il-kanal huwa li jagħmel ir-rotazzjoni li jmiss possibbli.

L-irbit tas-sors mhijiex lista bajda tal-pakketti

Li tillimita ċavetta għal sors wieħed jillimita liema arkivju tista’ tawtentika, mhux liema pakketti jista’ jippubblika dak l-arkivju. Ir-repożitorju jista’ jibgħat ħafna iktar mill-klijent VPN li ridt, u l-għażla tal-kandidati u l-prijoritajiet tal-APT jiddeċiedu liema verżjoni eliġibbli tirbaħ. Irrevedi t-tranżazzjoni proposta qabel ma tikkonfermaha, inkluża l-lista tad-dipendenzi, għax id-dipendenzi jiġu mill-istess arkivju. L-ambitu taċ-ċavetta ma jistax jesprimi ’dan il-pakkett biss’.

Jekk għandek bżonn kontroll aktar b’saħħtu, esprimih bħala politika dwar ismijiet jew verżjonijiet tal-pakketti u żomm dik il-politika taħt il-ġestjoni tal-konfigurazzjoni. Li taqra tranżazzjoni tieħu minuta; li tiskopri pakkett mhux mistenni sitt xhur wara tieħu reviżjoni.

Pakketti mhux mistennija huma l-mument li tieqaf u mhux li tkompli, u l-mistoqsija lill-proprjetarju tal-arkivju hija għaliex huma meħtieġa. Repożitorju li jippubblika tużżana pakketti madwar klijent wieħed huwa normali għal fornitur li jibgħat suite desktop. Huwa wkoll wiċċ ikbar minn dak li indikat il-gwida tal-installazzjoni, u dan huwa l-parti li tiswa li tiġi rrekordjata. L-ebda wieħed miż-żewġ riżultati mhu raġuni biex tiddubita l-firma; it-tnejn huma raġuni biex tikteb dak li aċċettajt.

Irreġistra l-awtorità u kif tneħħiha

Ikteb il-proprjetarju tal-arkivju, ir-rilaxx tas-sistema operattiva appoġġjat, il-kanal tar-rotazzjoni taċ-ċavetta u l-proċedura tat-tneħħija. Dawk l-erba’ fatti huma dak li għandu bżonn suċċessur meta l-klijent jirtira jew il-fornitur idawwar iċ-ċavetta tiegħu. Mingħajrhom, il-persuna li jmiss tiret linja tas-sorsi u fajl taċ-ċavetta mingħajr ebda storja.

It-tneħħija hija l-pass li jinqabeż, għalhekk iktibha waqt l-installazzjoni. Ħassar id-dħul tas-sors u ċ-ċavetta ddedikata tiegħu flimkien, u ċċekkja jekk dik iċ-ċavetta hijiex referenzjata x’imkien ieħor qabel ma tneħħi l-fajl. Ċavetta kondiviża mħassra mingħajr dak l-iċċekkjar tibdel tindif fi tfixkil mhux relatat, li huwa l-agħar riżultat għal bidla rutina. Imbagħad ikkonferma li aġġornamenti ordinarji għadhom jiġu solvuti ladarba d-dħul ikun telaq.

Ħaġa waħda tibqa’ wara li jitneħħa r-repożitorju: kwalunkwe pakkett diġà installat minnu jibqa’ jaħdem sakemm xi ħaġa tissostitwih. Il-mistoqsija onesta hija liema awtorità żidt, u kemm kien espress dejjaq ir-rwol tagħha.