Chanzo cha APT cha VPN: kinaipa nini na jinsi ya kukizuia

Kupakua mteja wa VPN ni uamuzi wa mara moja; kuongeza hazina yake ya APT sivyo. Ya pili inamwambia msimamizi wa vifurushi software ijayo inaweza kutoka wapi, na hiyo ni uhamisho wa kudumu wa mamlaka, si upakuaji. Hiyo inaweza kuwa mpangilio sahihi pale muuzaji anapohudumia hazina ipasavyo. Hata hivyo inastahili uamuzi wa kufahamu, na miongozo mingi ya usakinishaji huiacha.

Sahihi huthibitisha hazina, si msimbo wake

APT huthibitisha metadata ya hazina iliyotiwa sahihi kisha huamini checksum zilizo ndani ya metadata hiyo kwa vifurushi inavyovileta. Hilo linathibitisha kuwa hazina inaendana na kile mmiliki wa ufunguo alichochapisha, na hakuna kuhusu msimbo uliomo ndani. Kifurushi kilichotiwa sahihi ipasavyo kinaweza kubeba skripti za mtunzaji zisizo salama, na skripti hizo huendeshwa kama root wakati kifurushi kinasakinishwa. Mwongozo wa apt-secure huchora mstari huo hasa kati ya uthibitisho wa hazina na ukaguzi wa software.

Kwa hiyo swali lenye manufaa si kama sahihi ni halali, kwa kuwa sahihi iliyovunjika husimamisha usakinishaji hata hivyo. Swali ni sahihi ya nani unachagua kuiamini kuanzia sasa. Ufunguo wa kutia sahihi ulioibwa ni mbaya kuliko kifurushi kilichoibwa, kwa sababu mshambuliaji huendelea kutoa metadata halali muda mrefu baada ya toleo baya la kwanza. Ubadilishaji wa ufunguo ndio tiba pekee, na inategemea muuzaji kuchapisha ufunguo mpya kupitia njia unayoweza kuthibitisha kwa kujitegemea.

Ndiyo sababu utambulisho wa ufunguo unastahili umakini sawa na URL ya hazina. Ufunguo uliochukuliwa kutoka anwani katika jibu la jukwaa la zamani hauthibitishi chochote kuhusu mchapishaji, ilhali HTTPS hulinda usafirishaji hadi kwa aliyelijibu simu. Usalama wa usafirishaji na utambulisho wa mchapishaji ni maswali tofauti, na ya kwanza pekee hutatuliwa na cheti.

Weka ufunguo kwenye chanzo, si kwenye mfumo

APT ya kisasa inakubali rejeleo la Signed-By maalum kwa chanzo. Ufunguo unaosimamiwa na mwendeshaji unaweza kuwa chini ya /etc/apt/keyrings/, na ingizo la chanzo hutaja ufunguo unaoruhusiwa kuthibitisha hazina hiyo. Hiyo ni nyembamba kuliko kutupa ufunguo huo huo kwenye seti inayoaminika kimataifa, ambapo unaweza kudhamini vyanzo ambavyo hukuwahi kutaka kuruhusu. Fuata toleo la APT lililosakinishwa na maagizo ya sasa ya muuzaji badala ya kuchanganya vipande kutoka vizazi tofauti vya miongozo.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Kamwe usirekebishe kushindwa kwa sahihi kwa kuzima uthibitishaji au kwa kutia alama hazina isiyojulikana kuwa inayoaminika. Hilo hubadilisha hitilafu inayoonekana kwa isiyoonekana, na isiyoonekana hudumu hadi mtu akague orodha ya vyanzo. Ikiwa ufunguo hauwiani, marekebisho sahihi ni kupata ufunguo sahihi, si kuondoa ukaguzi.

Pata maelezo ya hazina na utambulisho wa ufunguo kutoka kwa mradi au msimamizi anayesimamiwa. Ufunguo ulionakiliwa kutoka chapisho la blogu ni madai kuhusu uandishi, si uthibitisho wake. Muuzaji anapochapisha njia ya ubadilishaji, iandike pamoja na ufunguo, kwa sababu njia hiyo ndiyo inayowezesha ubadilishaji unaofuata.

Kubandika chanzo si orodha ya vifurushi inayoruhusiwa

Kuweka ufunguo kwenye chanzo kimoja hupunguza hazina gani unaweza kuthibitisha, si vifurushi gani hazina hiyo inaweza kuchapisha. Hazina inaweza kutuma mengi zaidi ya mteja wa VPN uliyemtaka, na uteuzi wa wagombea na vipaumbele vya APT huamua toleo linalofaa lipi litashinda. Pitia muamala unaopendekezwa kabla ya kuuthibitisha, ukiwemo orodha ya vitegemezi, kwa sababu vitegemezi hutoka kwenye hazina hiyo hiyo. Upeo wa ufunguo hauwezi kueleza ’kifurushi hiki pekee’.

Ikiwa unahitaji udhibiti mkali zaidi, ueleze kama sera juu ya majina au matoleo ya vifurushi na uweke sera hiyo chini ya usimamizi wa usanidi. Kusoma muamala huchukua dakika moja; kugundua kifurushi kisichotarajiwa baada ya miezi sita huchukua ukaguzi.

Vifurushi visivyotarajiwa ni wakati wa kusimama badala ya kuendelea, na swali kwa mmiliki wa hazina ni kwa nini vinahitajika. Hazina inayochapisha vifurushi kadhaa kuzunguka mteja mmoja ni kawaida kwa muuzaji anayesafirisha suite ya kompyuta ya mezani. Pia ni uso mpana zaidi kuliko ulivyodokeza mwongozo wa usakinishaji, na sehemu hiyo ndiyo inayostahili kuandikwa. Hakuna matokeo yoyote kati ya mawili ni sababu ya kutoamini sahihi; yote mawili ni sababu ya kuandika ulichokubali.

Andika mamlaka na jinsi ya kuiondoa

Andika mmiliki wa hazina, toleo la mfumo wa uendeshaji linalotumika, njia ya ubadilishaji wa ufunguo na utaratibu wa kuondoa. Mambo hayo manne ndiyo anayohitaji mrithi pale mteja anastaafu au muuzaji anabadilisha ufunguo wake. Bila hayo mtu anayefuata hurithi mstari wa chanzo na faili ya ufunguo bila hadithi yoyote.

Kuondoa ni hatua inayorukwa, kwa hiyo iandike wakati wa usakinishaji. Futa ingizo la chanzo na ufunguo wake maalum pamoja, na uangalie kama ufunguo huo umetajwa mahali pengine kabla ya kuondoa faili. Ufunguo wa pamoja uliofutwa bila ukaguzi huo hugeuza usafishaji kuwa usumbufu usiohusiana, ambao ni matokeo mabaya zaidi kwa mabadiliko ya kawaida. Kisha thibitisha kuwa masasisho ya kawaida bado hutatuliwa baada ya ingizo kuondoka.

Kitu kimoja hubaki baada ya hazina kuondolewa: kifurushi chochote kilichosakinishwa tayari kutoka humo huendelea kufanya kazi hadi kitu kingine kikibadilishe. Swali la uaminifu ni mamlaka gani uliongeza, na jinsi jukumu lake lilivyoelezwa kwa ufinyu.