VPN APT-kjelde: kva ho gir, og korleis du avgrensar ho

Å laste ned ein VPN-klient er eit eingongsvedtak; å leggje til APT-lageret hans er det ikkje. Det andre fortel pakkehandsamaren kvar framtidig programvare kan kome frå, og det er ei varig overføring av mynde snarare enn ei nedlasting. Det kan vere den rette ordninga når leverandøren held ved like eit lager skikkeleg. Det fortener likevel eit medvite vedtak, og dei fleste installasjonsrettleiingane hoppar over det.

Ein signatur stadfester eit arkiv, ikkje koden i det

APT stadfester signerte lagermetadata og lit deretter på kontrollsummane i desse metadataa for pakkane han hentar. Det beviser at arkivet svarar til det nøkkelhavaren publiserte, og ingenting om koden inni. Ein korrekt signert pakke kan framleis innehalde utrygge vedlikehaldsskript, og desse skripta køyrer som root medan pakken vert installert. apt-secure-handboka dreg nettopp denne grensa mellom arkivstadfesting og ei gjennomgåing av programvara.

Så det nyttige spørsmålet er ikkje om signaturen validerer, sidan ein broten signatur stoggar installasjonen uansett. Det er kven sin signatur du frå no av vel å lite på. Ein stolen signeringsnøkkel er verre enn ein stolen pakke, fordi åtakkaren held fram med å produsere gyldige metadata lenge etter den første dårlege utgjevinga. Rotasjon er den einaste reparasjonen, og han er avhengig av at leverandøren publiserer ein ny nøkkel gjennom ein kanal du kan stadfeste sjølvstendig.

Difor fortener nøkkelidentiteten like mykje merksemd som URL-en til lageret. Ein nøkkel henta frå ein adresse i eit gammalt forumssvar fastslår ingenting om utgjevaren, medan HTTPS verner transporten til den som svara på telefonen. Transporttryggleik og utgjevaridentitet er skilde spørsmål, og berre det første vert løyst av eit sertifikat.

Avgrens nøkkelen til kjelda, ikkje til systemet

Moderne APT godtek ei kjeldespesifikk Signed-By-tilvising. Ein operatørstyrt nøkkel kan liggje under /etc/apt/keyrings/, og kjeldeoppføringa namngjev nøkkelen som kan stadfeste det arkivet. Det er trongare enn å kaste den same nøkkelen i eit globalt klarert sett, der han kan gå god for kjelder du aldri meinte å tillate. Følg den installerte APT-versjonen og dei gjeldande instruksjonane til leverandøren i staden for å blande fragment frå ulike generasjonar av rettleiingar.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Reparer aldri ein signaturfeil ved å slå av stadfestinga eller merke eit ukjent arkiv som klarert. Det byter ein synleg feil mot ein usynleg, og den usynlege varer til nokon går gjennom kjeldelista. Viss nøkkelen ikkje passar, er den rette løysinga å finne den rette nøkkelen, ikkje å fjerne kontrollen.

Få lagerdetaljane og nøkkelidentiteten frå prosjektet eller ein administrert administrator. Ein nøkkel kopiert frå eit blogginnlegg er ein påstand om forfattarskap, ikkje prov for det. Når ein leverandør publiserer ein rotasjonskanal, noter han saman med nøkkelen, fordi den kanalen er det som gjer den neste rotasjonen mogleg.

Kjeldepinning er ikkje ei pakke-tillatingsliste

Å avgrense ein nøkkel til éi kjelde avgrensar kva lager han kan stadfeste, ikkje kva pakkar det lageret kan publisere. Lageret kan levere mykje meir enn VPN-klienten du ønskte, og kandidatvalet og prioritetane til APT avgjer kva kvalifisert versjon som vinn. Gå gjennom den føreslåtte transaksjonen før du stadfester han, inkludert avhengigheitslista, fordi avhengigheiter kjem frå same lageret. Ei nøkkelramme kan ikkje uttrykke ’berre denne pakken’.

Viss du treng sterkare kontroll, uttrykk det som policy for pakkenamn eller -versjonar og hald den policyen under konfigurasjonsstyring. Å lese ein transaksjon tek eitt minutt; å oppdage ein uventa pakke seks månader seinare tek ei gjennomgåing.

Uventa pakkar er augneblinken for å stoppe snarare enn å halde fram, og spørsmålet til lagereigaren er kvifor dei er naudsynte. Eit lager som publiserer eit dusin pakkar rundt éin klient, er normalt for ein leverandør som leverer ein skrivebordssuite. Det er òg ei større flate enn installasjonsrettleiinga antyda, og det er den delen som er verd å notere. Ingen av dei to utfalla er grunn til å mistru signaturen; begge er grunnar til å skrive ned kva du godtok.

Noter myndet og korleis det vert fjerna

Skriv ned lagereigaren, den støtta operativsystemutgjevinga, nøkkelrotasjonskanalen og fjerningsprosedyren. Dei fire fakta er det ein etterfylgjar treng når klienten vert fasa ut eller leverandøren roterer nøkkelen sin. Utan dei arvar den neste personen ei kjeldelinje og ei nøkkelfil utan noka historie.

Fjerning er steget som vert hoppa over, så skriv det ned ved installasjonen. Slett kjeldeoppføringa og den særskilde nøkkelen hennar saman, og sjekk om nøkkelen er nemnd andre stader før du fjernar fila. Ein delt nøkkel sletta utan den kontrollen gjer ein opprydding til eit urelatert avbrot, som er det verste utfallet for ei rutineendring. Stadfest deretter at vanlege oppdateringar framleis løyser seg når oppføringa er borte.

Éin ting står att etter at lageret er fjerna: kvar pakke som alt er installert derfrå, held fram med å køyre til noko erstattar han. Det ærlege spørsmålet er kva mynde du la til, og kor trongt rolla hans vart uttrykt.