Burimi APT për VPN: çfarë jep dhe si ta kufizosh

Shkarkimi i një klienti VPN është vendim i njëhershëm; shtimi i depove APT të tij nuk është. I dyti i thotë menaxherit të paketave nga mund të vijë software-i i ardhshëm, dhe ky është një transferim i përhershëm i autoritetit, jo një shkarkim. Ky mund të jetë rregullimi i duhur kur furnizuesi e mban depon si duhet. Gjithsesi meriton një vendim të vetëdijshëm, dhe shumica e udhëzuesve të instalimit e anashkalojnë.

Një nënshkrim vërteton një arkiv, jo kodin e tij

APT verifikon metadatat e nënshkruara të depos dhe pastaj u beson shumave kontrolluese brenda atyre metadave për paketat që merr. Kjo dëshmon se arkivi përputhet me atë që publikoi zotëruesi i çelësit, dhe asgjë për kodin brenda tij. Një paketë e nënshkruar saktë mund të mbajë ende skripte të pasigurta mirëmbajtësi, dhe ato skripte ekzekutohen si root gjatë instalimit të paketës. Manuali apt-secure tërheq pikërisht këtë kufi midis vërtetimit të arkivit dhe një rishikimi të software-it.

Pra pyetja e dobishme nuk është nëse nënshkrimi është i vlefshëm, pasi një nënshkrim i thyer e ndal instalimin gjithsesi. Është se kujt nënshkrimi zgjedh të besosh që tani e tutje. Një çelës nënshkrimi i vjedhur është më keq se një paketë e vjedhur, sepse sulmuesi vazhdon të prodhojë metadata të vlefshme shumë kohë pas versionit të parë të keq. Rrotullimi është i vetmi riparim, dhe varet nga publikimi i një çelësi të re nga furnizuesi përmes një kanali që mund ta verifikosh në mënyrë të pavarur.

Kjo është arsyeja pse identiteti i çelësit meriton po aq vëmendje sa URL-ja e depos. Një çelës i marrë nga një adresë në një përgjigje të vjetër forumi nuk vërteton asgjë për botuesin, ndërsa HTTPS mbron transportin deri te ai që u përgjigj në telefon. Siguria e transportit dhe identiteti i botuesit janë pyetje të ndara, dhe vetëm e para zgjidhet nga një certifikatë.

Kufizo çelësin te burimi, jo te sistemi

APT modern pranon një referencë Signed-By specifike për burimin. Një çelës i menaxhuar nga operatori mund të jetë nën /etc/apt/keyrings/, dhe zëri i burimit emërton çelësin që mund të vërtetojë atë arkiv. Kjo është më e ngushtë sesa të hedhësh të njëjtin çelës në një grup globalisht të besuar, ku mund të garantojë për burime që nuk ke dashur kurrë t’i lejosh. Ndiq versionin e instaluar të APT dhe udhëzimet aktuale të furnizuesit, në vend që të përziesh copëza nga breza të ndryshëm udhëzuesish.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Kurrë mos e rregullo një dështim nënshkrimi duke çaktivizuar verifikimin ose duke shënuar një arkiv të panjohur si të besuar. Kjo ndërron një gabim të dukshëm me një të padukshëm, dhe i padukshmi zgjat derisa dikush të auditojë listën e burimeve. Nëse çelësi nuk përputhet, rregullimi i saktë është të gjesh çelësin e saktë, jo të heqësh kontrollin.

Merr detajet e depos dhe identitetin e çelësit nga projekti ose nga një administrator i menaxhuar. Një çelës i kopjuar nga një postim blogu është një pretendim për autorësinë, jo provë e saj. Kur furnizuesi publikon një kanal rrotullimi, shënoje bashkë me çelësin, sepse ai kanal është ai që bën të mundshëm rrotullimin e radhës.

Fiksimi i burimit nuk është listë e lejuar e paketave

Kufizimi i një çelësi në një burim kufizon cilin arkiv mund të vërtetojë, jo cilat paketa mund të publikojë ai arkiv. Depoja mund të dërgojë shumë më tepër sesa klienti VPN që doje, dhe përzgjedhja e kandidatëve dhe prioritetet e APT vendosin cili version i kualifikuar fiton. Rishiko transaksionin e propozuar para se ta konfirmosh, përfshirë listën e varësive, sepse varësitë vijnë nga i njëjti arkiv. Shtrirja e çelësit nuk mund të shprehë ’vetëm kjo paketë’.

Nëse të duhet kontroll më i fortë, shprehe si politikë mbi emrat ose versionet e paketave dhe mbaje atë politikë nën menaxhimin e konfigurimit. Leximi i një transaksioni merr një minutë; zbulimi i një pakete të papritur gjashtë muaj më vonë merr një rishikim.

Paketat e papritura janë momenti për të ndaluar dhe jo për të vazhduar, dhe pyetja për pronarin e arkivit është pse nevojiten. Një depo që publikon një duzinë paketash rreth një klienti është normale për një furnizues që dërgon një suitë desktopi. Është gjithashtu një sipërfaqe më e gjerë sesa nënkuptonte udhëzuesi i instalimit, dhe pikërisht kjo pjesë ia vlen të shënohet. Asnjëri prej dy rezultateve nuk është arsye për të mos i besuar nënshkrimit; të dyja janë arsye për të shkruar çfarë pranove.

Shëno autoritetin dhe si të hiqet

Shkruaj pronarin e arkivit, versionin e sistemit operativ të mbështetur, kanalin e rrotullimit të çelësit dhe procedurën e heqjes. Këto katër fakte janë ato që i duhen një pasardhësi kur klienti tërhiqet ose furnizuesi rrotullon çelësin e tij. Pa to, personi tjetër trashëgon një rresht burimi dhe një skedar çelësi pa asnjë histori.

Heqja është hapi që anashkalohet, ndaj shkruaje në kohën e instalimit. Fshi zërin e burimit dhe çelësin e tij të dedikuar bashkë, dhe kontrollo nëse ai çelës referohet diku tjetër para se të heqësh skedarin. Një çelës i përbashkët i fshirë pa atë kontroll e kthen pastrimin në një ndërprerje të palidhur, që është rezultati më i keq për një ndryshim rutinë. Pastaj konfirmo se përditësimet e zakonshme ende zgjidhen pasi zëri të jetë larguar.

Një gjë mbetet pasi depoja hiqet: çdo paketë e instaluar tashmë prej saj vazhdon të punojë derisa diçka ta zëvendësojë. Pyetja e ndershme është çfarë autoriteti shtove, dhe sa ngushtë u shpreh roli i tij.