HTTPS na VPN hazithibitishi kifurushi unachosakinisha

Sasisho linashindikana, na pendekezo katika uzi linafuata mstari unaojulikana: trafiki inapita VPN, kwa hiyo upakuaji lazima uwe wa kuaminika, na ukaguzi wa sahihi unalegezwa ili kupita hitilafu. Mawazo mawili tofauti yameunganishwa katika sentensi moja. Usimbaji fiche hulinda njia kati ya ncha mbili; uthibitishaji huamua kama baiti zilitoka kwa mchapishaji uliyekusudia. Handaki hutoa la kwanza na halisemi chochote kuhusu la pili.

Dalili kwa kawaida ni hitilafu ya uthibitishaji kwenye mwenyeji mmoja, katika hazina moja, wakati kila kitu kingine kinasasishwa kawaida. Umbo hilo tayari linasema kuwa njia ya mtandao inafanya kazi na kwamba mzozo ni kuhusu uaminifu.

Vidhibiti viwili vinavyojibu maswali tofauti

Usalama wa usafirishaji hujibu ni nani aliye upande wa pili wa muunganisho huu na kama mtu yeyote njiani anaweza kuusoma au kuubadilisha. Uthibitishaji wa kifurushi hujibu kama kifaa hiki kilichapishwa na mamlaka uliyoisanidi, na lazima kistahimili upakuaji kupitia kioo usichokidhibiti.

Maswali hayo yanaingiliana pembezoni tu. Cheti sahihi kwenye kioo huthibitisha kuwa kioo ni kioo; hakithibitishi kuwa kioo kina maudhui ya mchapishaji yasiyobadilishwa. Kifurushi kilichotiwa sahihi huthibitisha kuwa mchapishaji alikisaini; hakikuambii kuwa mtandao ulileta toleo jipya zaidi au kwamba hazina uliyoielekeza ndiyo iliyoidhinishwa na shirika lako.

Hali ya kushindwa ambayo watu huizalisha kwa kuzima ukaguzi ni upotevu wa kudumu wa dhamana ya pili, badala ya upakuaji mmoja uliofaulu. Kubadilishana huko hakuonekani hadi siku ambayo ni muhimu.

apt huthibitisha nini kwa kweli

Mfano wa APT ni mnyororo wa kumbukumbu uliothibitishwa. Metadata ya toleo iliyotiwa sahihi huongoza kwa njia ya cheksamu hadi faharasa za vifurushi, na faharasa hizo huongoza kwa njia ya cheksamu hadi faili za kifurushi kibinafsi. Ukaguzi wa mnyororo ndio hufanya kioo kisiwe cha kuaminika lakini kitumike: kioo kinaweza kutoa chochote kinachotaka, na sahihi ya metadata huamua kama APT itakikubali.

Hii kwa makusudi si sawa na kukagua sahihi ya mhudumu kwenye kila kifurushi kilichosakinishwa, na tofauti hii inaeleza kwa nini «kifurushi kimetiwa sahihi» na «kumbukumbu imethibitishwa» hutumika badala ya kimoja katika ripoti za hitilafu wakati zinamaanisha mambo tofauti.

apt-get update
apt-cache policy
apt-config dump | grep -iE 'AllowInsecure|AllowDowngrade'

Soma matokeo ya sasisho, si msimbo wa kutoka tu. APT hutaja hazina ambayo metadata yake ilishindikana, na jina hilo ndilo mpaka wa kuchunguza. Hazina iliyowekwa alama ya kuaminika bila uthibitishaji wa sahihi, au ubatilishaji kwa hazina isiyo salama, ni uamuzi wa usanidi ambao mtu alichukua na anapaswa kuweza kuueleza.

Ubichi ni sifa tofauti tena. Faili ya metadata iliyotiwa sahihi kwa uhalali inaweza kuwa ya zamani zaidi kuliko ile uliyoiona wiki iliyopita, ndiyo sababu metadata ya toleo hubeba tarehe ya mwisho na ndiyo sababu tatizo la saa kwa mteja linaweza kuzalisha hitilafu za uthibitishaji zinazofanana na matatizo ya ufunguo.

dnf5 hukagua nini kando

Upande wa RPM hufichua swichi mbili tofauti, na kuzichanganya huzalisha aina hiyo hiyo ya hitilafu kwa upande mwingine. Moja hudhibiti kama faili za vifurushi lazima ziwe na sahihi halali; nyingine kama metadata ya hazina lazima iwe imetiwa sahihi. Zinaweza kuwekwa kwa uhuru, na mfumo unaweza kuwa mkali kwa moja na mlegevu kwa nyingine.

dnf5 config-manager --dump 2>/dev/null | grep -iE 'gpgcheck|repo_gpgcheck'
rpm -q --qf '%{NAME} %{SIGPGP:pgpsig}\n' bash

Ombi la kifurushi linaonyesha jinsi metadata ya sahihi ya nakala iliyosakinishwa inavyoonekana, ambayo ni ukaguzi wa ukweli wenye manufaa dhidi ya faili ya usanidi inayodai ukali. Isiyokuambia ni sera inayoungwa mkono ya usambazaji, na ndiyo unapaswa kuifuata badala ya maagizo ya jumla «washa GPG» kutoka kwa jukwaa.

Pale wasimamizi wawili wanatofautiana, tofauti ni ya usanifu na si ishara kwamba mmoja ni dhaifu. Wote huthibitisha maudhui ya mchapishaji; wanaweka sahihi katika sehemu tofauti za mnyororo.

Handaki huongeza nini na haiongezi nini

VPN inaweza kutoa njia inayohitajika, kuweka trafiki ya sasisho nje ya mtandao wa ufikiaji usioaminika na kupunguza kile mwangalizi wa ndani anachokiona. Hizi ni faida halisi za uendeshaji, na hakuna hata moja iliyo uthibitishaji wa mchapishaji.

HTTPS huongeza dhamana yake mwenyewe, na ni nyembamba kuliko inavyohisiwa. Huthibitisha ncha ya TLS uliyounganisha nayo. Ikiwa ncha hiyo ni kioo, umethibitisha kioo, si maudhui ya kumbukumbu inayotoa. Hii ndiyo hasa kesi ambayo mnyororo wa metadata iliyotiwa sahihi upo kwa ajili yake.

Hakuna kati ya vidhibiti hivyo vinavyoahidi upatikanaji. Mtandao unaweza kukataa uwasilishaji, na kitu kilichothibitishwa si kipya zaidi kiotomatiki. Tumia sera ya ubichi ya msimamizi wa vifurushi yenyewe badala ya kuikisia kutokana na uwepo wa ikoni ya kufuli.

Gundua mpaka ulioshindikana

Taja hatua kabla ya kubadilisha chochote: utatuzi wa DNS, proksi au njia, utambulisho wa ncha ya TLS, uthibitishaji wa kumbukumbu, ukaguzi wa sahihi ya kifurushi, au usakinishaji. Kila moja ina umbo la hitilafu na mmiliki tofauti.

Kutengeneza njia ya mtandao hakupraswi kamwe kuhusisha kutangaza ufunguo wa sahihi usiojulikana kuwa wa kuaminika, kupuuza vyeti, au kukubali usanidi wa hazina ambao hukuiomba. Ikiwa ufunguo ulizungushwa kweli, usambazaji au mmiliki wa hazina huchapisha ufunguo mpya kupitia chaneli unayoweza kuthibitisha, na hiyo ndiyo marekebisho yanayopaswa kutumika.

Andika ni mpaka upi ulioshindikana na nani anamiliki. Kushindwa kwa sasisho lijalo kutakuwa kwenye mpaka mwingine, na kuwa na orodha hufanya hilo liwe uchunguzi wa dakika tano badala ya mjadala mwingine kuhusu kama handaki hufanya masasisho kuwa salama.