HTTPS in VPN ne preverjata paketa, ki ga nameščate

Posodobitev spodleti in predlog v niti sledi znani liniji: promet gre skozi VPN, zato mora biti prenos zaupanja vreden, in preverjanje podpisa se omili, da bi se izognili napaki. Dve ločeni zamisli sta se zlili v en stavek. Šifriranje ščiti pot med končnima točkama; overjanje odloča, ali so bajti prišli od izdajatelja, ki ste ga imeli v mislih. Predor daje prvo in o drugem ne pove nič.

Simptom je običajno napaka pri preverjanju na enem gostitelju, v enem skladišču, medtem ko se vse drugo posodablja normalno. Ta oblika že pove, da pot v omrežju deluje in da se nesoglasje nanaša na zaupanje.

Dva nadzora, ki odgovarjata na različni vprašanji

Varnost prenosa odgovarja, kdo je na drugem koncu te povezave in ali jo lahko kdo na poti bere ali spreminja. Overjanje paketa odgovarja, ali je ta izdelek objavila ustanova, ki ste jo nastavili, in mora prestati prenos prek zrcala, ki ga ne nadzorujete.

Ti vprašanji se prekrivata le na robovih. Pravilno potrdilo na zrcalu dokazuje, da je zrcalo zrcalo; ne dokazuje, da zrcalo vsebuje nespremenjeno vsebino izdajatelja. Podpisan paket dokazuje, da ga je izdajatelj podpisal; ne pove vam, da je omrežje dostavilo najnovejšo različico ali da je skladišče, na katero ste pokazali, tisto, ki ga je odobrila vaša organizacija.

Način odpovedi, ki ga ljudje ustvarijo z izklopom preverjanj, je trajna izguba drugega jamstva v zameno za en uspešen prenos. Ta menjava je nevidna do dneva, ko je pomembna.

Kaj apt dejansko overi

Model APT je veriga overjenega arhiva. Podpisani metapodatki izdaje vodijo prek kontrolne vsote do kazal paketov, ti kazala pa prek kontrolne vsote do posameznih datotek paketov. Prav preverjanje verige naredi zrcalo nezanesljivo, a uporabno: zrcalo lahko streže, kar hoče, in podpis metapodatkov odloči, ali APT to sprejme.

To namerno ni isto kot preverjanje podpisa vzdrževalca na vsakem nameščenem paketu, in ta razlika pojasnjuje, zakaj se v poročilih o napakah «paket je podpisan» in «arhiv je overjen» uporabljata zamenljivo, čeprav pomenita različne stvari.

apt-get update
apt-cache policy
apt-config dump | grep -iE 'AllowInsecure|AllowDowngrade'

Preberite izpis posodobitve, ne le izhodne kode. APT navede skladišče, katerega metapodatki so spodleteli, in to ime je meja, ki jo je treba raziskati. Skladišče, označeno kot zaupanja vredno brez preverjanja podpisa, ali prepis za nezanesljivo skladišče, je konfiguracijska odločitev, ki jo je nekdo sprejel in bi jo moral znati pojasniti.

Svežina je spet ločena lastnost. Veljavno podpisana datoteka metapodatkov je lahko starejša od tiste, ki ste jo videli prejšnji teden, zato metapodatki izdaje nosijo rok veljavnosti in zato lahko težava z uro na odjemalcu povzroči napake pri preverjanju, ki izgledajo kot težave s ključem.

Kaj dnf5 preverja ločeno

Stran RPM ponuja dve različni stikali, in njuna zamenjava ustvari isti razred napake v nasprotno smer. Eno nadzoruje, ali morajo datoteke paketov nositi veljaven podpis; drugo, ali morajo biti metapodatki skladišča podpisani. Nastaviti jih je mogoče neodvisno, sistem pa je lahko strog pri enem in popustljiv pri drugem.

dnf5 config-manager --dump 2>/dev/null | grep -iE 'gpgcheck|repo_gpgcheck'
rpm -q --qf '%{NAME} %{SIGPGP:pgpsig}\n' bash

Poizvedba o paketu pokaže, kako izgledajo metapodatki podpisa nameščene kopije, kar je koristno preverjanje resničnosti proti konfiguracijski datoteki, ki trdi strogost. Česa ne pove, je podprta politika distribucije, in tej bi morali slediti namesto splošnega navodila «omogočite GPG» s foruma.

Kjer se upravitelja razlikujeta, je razlika arhitekturna in ne znak, da je eden šibkejši. Oba overjata vsebino izdajatelja; podpis postavljata na različne točke v verigi.

Kaj predor doda in česa ne

VPN lahko zagotovi potrebno pot, obdrži promet posodobitev zunaj nezanesljivega dostopnega omrežja in zmanjša, kar vidi lokalni opazovalec. To so resnične operativne prednosti in nobena od njih ni overjanje izdajatelja.

HTTPS doda svoje jamstvo in to je ožje, kot se zdi. Overi končno točko TLS, s katero ste se povezali. Če je ta končna točka zrcalo, ste overili zrcalo, ne vsebine arhiva, ki jo streže. To je natanko tisti primer, za katerega obstaja veriga podpisanih metapodatkov.

Noben nadzor ne obljublja razpoložljivosti. Omrežje lahko zavrne dostavo in overjen predmet ni samodejno najnovejši. Uporabite lastno politiko svežine upravitelja paketov, namesto da bi jo sklepali iz prisotnosti ikone ključavnice.

Diagnosticirajte mejo, ki je spodletela

Poimenujte stopnjo, preden karkoli spremenite: razreševanje DNS, posrednik ali pot, identiteto končne točke TLS, overjanje arhiva, preverjanja podpisa paketa ali namestitev. Vsaka ima svojo obliko napake in svojega lastnika.

Popravilo omrežne poti nikoli ne bi smelo vključevati razglasitve neznanega podpisnega ključa za zaupanja vrednega, ignoriranja potrdil ali sprejemanja konfiguracije skladišča, ki je niste zahtevali. Če je bil ključ res zamenjan, distribucija ali lastnik skladišča objavi novi ključ po kanalu, ki ga lahko preverite, in to je popravek, ki ga je treba uporabiti.

Zapišite, katera meja je spodletela in kdo jo ima v lasti. Naslednja odpoved posodobitve bo na drugi meji, in seznam naredi iz nje petminutno diagnozo namesto še ene razprave o tem, ali predor naredi posodobitve varne.