Fonte APT de VPN: o que concede e como limitá-la

Baixar um cliente VPN é uma decisão única; adicionar o seu repositório APT não é. O segundo informa ao gerenciador de pacotes de onde pode vir software futuro, e isso é uma transferência permanente de autoridade, não um download. Pode ser o arranjo correto quando o fornecedor mantém o repositório devidamente. Ainda assim, merece uma decisão consciente, e a maioria dos guias de instalação a omite.

Uma assinatura autentica um arquivo, não o seu código

O APT verifica os metadados assinados do repositório e depois confia nas somas de verificação dentro desses metadados para os pacotes que busca. O que isso prova é que o arquivo corresponde ao que o detentor da chave publicou, e nada sobre o código dentro dele. Um pacote assinado corretamente ainda pode trazer scripts de mantenedor inseguros, e esses scripts são executados como root enquanto o pacote é instalado. O manual do apt-secure traça exatamente essa linha entre a autenticação do arquivo e uma revisão do software.

Então a pergunta útil não é se a assinatura é válida, já que uma assinatura quebrada interrompe a instalação de qualquer forma. É de quem você escolhe confiar na assinatura a partir de agora. Uma chave de assinatura roubada é pior que um pacote roubado, porque o atacante continua produzindo metadados válidos muito depois da primeira versão ruim. A rotação é o único reparo, e depende de o fornecedor publicar uma nova chave por um canal que você possa verificar de forma independente.

Por isso a identidade da chave merece tanta atenção quanto a URL do repositório. Uma chave tirada de um endereço numa resposta antiga de fórum não estabelece nada sobre o editor, enquanto o HTTPS protege o transporte até quem atendeu o telefone. Segurança do transporte e identidade do editor são questões separadas, e só a primeira é resolvida por um certificado.

Limite a chave à fonte, não ao sistema

O APT moderno aceita uma referência Signed-By específica da fonte. Uma chave gerida pelo operador pode ficar em /etc/apt/keyrings/, e a entrada da fonte nomeia a chave que pode autenticar esse arquivo. Isso é mais estreito do que jogar a mesma chave num conjunto de confiança global, onde ela pode abonar fontes que você nunca quis permitir. Siga a versão do APT instalada e as instruções atuais do fornecedor em vez de misturar fragmentos de gerações diferentes de guias.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Nunca conserte uma falha de assinatura desativando a verificação ou marcando um arquivo desconhecido como confiável. Isso troca um erro visível por um invisível, e o invisível dura até alguém auditar a lista de fontes. Se a chave não corresponde, a correção certa é encontrar a chave certa, não remover a verificação.

Obtenha os detalhes do repositório e a identidade da chave do projeto ou de um administrador gerenciado. Uma chave copiada de um post de blog é uma afirmação sobre a autoria, não uma prova dela. Quando um fornecedor publica um canal de rotação, registre-o junto com a chave, porque é esse canal que torna a próxima rotação possível.

Fixar a fonte não é uma lista branca de pacotes

Restringir uma chave a uma fonte limita qual arquivo ela pode autenticar, não quais pacotes esse arquivo pode publicar. O repositório pode enviar muito mais do que o cliente VPN que você queria, e a seleção de candidatos e as prioridades do APT decidem qual versão elegível vence. Revise a transação proposta antes de confirmá-la, incluindo a lista de dependências, porque as dependências vêm do mesmo arquivo. O escopo de uma chave não pode expressar ’apenas este pacote’.

Se precisar de controle mais forte, expresse-o como política sobre nomes ou versões de pacotes e mantenha essa política sob gestão de configuração. Ler uma transação leva um minuto; descobrir um pacote inesperado seis meses depois leva uma revisão.

Pacotes inesperados são o momento de parar em vez de continuar, e a pergunta para o dono do arquivo é por que eles são necessários. Um repositório que publica uma dúzia de pacotes em torno de um cliente é normal para um fornecedor que distribui uma suíte de desktop. Também é uma superfície maior do que o guia de instalação implicava, e essa é a parte que vale a pena registrar. Nenhum dos dois resultados é motivo para desconfiar da assinatura; ambos são motivos para escrever o que você aceitou.

Registre a autoridade e como removê-la

Escreva o dono do arquivo, a versão do sistema operacional suportada, o canal de rotação da chave e o procedimento de remoção. Esses quatro fatos são o que um sucessor precisa quando o cliente é descontinuado ou o fornecedor roda a sua chave. Sem eles, a próxima pessoa herda uma linha de fontes e um arquivo de chave sem qualquer história.

A remoção é o passo que se pula, então escreva-o no momento da instalação. Apague a entrada da fonte e a sua chave dedicada juntas, e verifique se essa chave é referenciada em outro lugar antes de remover o arquivo. Uma chave compartilhada apagada sem essa verificação transforma uma limpeza numa indisponibilidade não relacionada, que é o pior resultado para uma mudança de rotina. Depois confirme que as atualizações comuns ainda se resolvem quando a entrada desapareceu.

Uma coisa permanece após a remoção do repositório: qualquer pacote já instalado a partir dele continua funcionando até que algo o substitua. A pergunta honesta é que autoridade você adicionou, e com que estreiteza o seu papel foi expresso.