Vir APT za VPN: kaj podeli in kako ga omejiti

Prenos odjemalca VPN je enkratna odločitev; dodajanje njegovega repozitorija APT ni. Drugo upravitelju paketov pove, od kod lahko prihaja prihodnja programska oprema, in to je trajen prenos pooblastil, ne prenos datoteke. To je lahko prava ureditev, ko ponudnik ustrezno vzdržuje repozitorij. Kljub temu si zasluži zavestno odločitev, in večina namestitvenih vodnikov to izpusti.

Podpis overi arhiv, ne njegove kode

APT preveri podpisane metapodatke repozitorija in nato zaupa kontrolnim vsotam v njih pri paketih, ki jih pridobi. To dokazuje, da arhiv ustreza temu, kar je objavil imetnik ključa, in ničesar o kodi v njem. Pravilno podpisan paket lahko še vedno vsebuje nevarne skripte vzdrževalca, in te skripte se izvajajo kot root med namestitvijo paketa. Priročnik apt-secure potegne natanko to mejo med overjanjem arhiva in pregledom programske opreme.

Zato koristno vprašanje ni, ali je podpis veljaven, saj zlomljen podpis namestitev vseeno ustavi. Vprašanje je, čigavemu podpisu se od zdaj naprej odločite zaupati. Ukraden podpisni ključ je slabši od ukradenega paketa, ker napadalec še dolgo po prvi slabi izdaji ustvarja veljavne metapodatke. Edino popravilo je rotacija ključa, in ta je odvisna od tega, ali ponudnik objavi nov ključ po kanalu, ki ga lahko neodvisno preverite.

Zato si identiteta ključa zasluži toliko pozornosti kot URL repozitorija. Ključ, vzet z naslova v starem odgovoru na forumu, ne dokaže ničesar o izdajatelju, medtem ko HTTPS ščiti prenos do tistega, ki je dvignil telefon. Varnost prenosa in identiteta izdajatelja sta ločeni vprašanji, in le prvo reši potrdilo.

Omejite ključ na vir, ne na sistem

Sodobni APT sprejme sklic Signed-By, ki je specifičen za vir. Ključ, ki ga upravlja operater, lahko živi v /etc/apt/keyrings/, in vnos vira navede ključ, ki sme overiti ta arhiv. To je ožje od metanja istega ključa v globalno zaupanja vreden nabor, kjer lahko jamči za vire, ki jih nikoli niste hoteli dovoliti. Sledite nameščeni različici APT in trenutnim navodilom ponudnika, namesto da bi mešali drobce iz različnih generacij vodnikov.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Nikoli ne popravljajte napake podpisa z izklopom preverjanja ali z označitvijo neznanega arhiva kot zaupanja vrednega. To zamenja vidno napako za nevidno, in nevidna traja, dokler nekdo ne pregleda seznama virov. Če se ključ ne ujema, je pravilno popravilo najti pravi ključ, ne odstraniti preverjanja.

Pridobite podrobnosti o repozitoriju in identiteto ključa od projekta ali od upravljanega skrbnika. Ključ, kopiran iz bloga, je trditev o avtorstvu, ne dokaz zanj. Ko ponudnik objavi kanal rotacije, ga zabeležite skupaj s ključem, ker prav ta kanal omogoča naslednjo rotacijo.

Pripetje vira ni seznam dovoljenih paketov

Omejitev ključa na en vir omejuje, kateri arhiv sme overiti, ne pa, katere pakete sme ta arhiv objaviti. Repozitorij lahko pošlje veliko več kot želeni odjemalec VPN, in o tem, katera ustrezna različica zmaga, odločata izbira kandidata in prioritete APT. Pred potrditvijo pregledajte predlagano transakcijo, vključno s seznamom odvisnosti, ker odvisnosti prihajajo iz istega arhiva. Obseg ključa ne more izraziti ’samo ta paket’.

Če potrebujete močnejši nadzor, ga izrazite kot politiko glede imen ali različic paketov in to politiko držite pod upravljanjem konfiguracije. Branje transakcije traja minuto; odkritje nepričakovanega paketa pol leta pozneje traja pregled.

Nepričakovani paketi so trenutek za ustavitev, ne za nadaljevanje, in vprašanje za lastnika arhiva je, zakaj so potrebni. Repozitorij, ki objavlja ducat paketov okoli enega odjemalca, je običajen pri ponudniku, ki dostavlja namizni paket. To je tudi večja površina, kot je nakazoval namestitveni vodnik, in prav ta del je vreden zapisa. Noben od obeh izidov ni razlog za nezaupanje podpisu; oba sta razlog, da zapišete, kaj ste sprejeli.

Zabeležite pooblastilo in kako ga odstraniti

Zapišite lastnika arhiva, podprto izdajo operacijskega sistema, kanal rotacije ključa in postopek odstranitve. Ta štiri dejstva potrebuje naslednik, ko se odjemalec umakne ali ponudnik zamenja svoj ključ. Brez njih naslednja oseba podeduje vrstico vira in datoteko s ključem brez vsake zgodbe.

Odstranitev je korak, ki se preskoči, zato ga zapišite ob namestitvi. Izbrišite vnos vira in njegov namenski ključ skupaj in preverite, ali se ta ključ omenja kje drugje, preden odstranite datoteko. Skupni ključ, izbrisan brez tega preverjanja, spremeni čiščenje v nepovezano prekinitev, kar je za rutinsko spremembo najslabši izid. Nato potrdite, da se običajne posodobitve po izginotju vnosa še vedno razrešijo.

Po odstranitvi repozitorija ostane ena stvar: vsak že nameščen paket iz njega deluje naprej, dokler ga nekaj ne nadomesti. Pošteno vprašanje je, katero pooblastilo ste dodali in kako ozko je bila izražena njegova vloga.