VPN APT మూలం: అది ఏమి అనుమతిస్తుంది, దాన్ని ఎలా పరిమితం చేయాలి

VPN క్లయింట్‌ను డౌన్‌లోడ్ చేయడం ఒకసారి తీసుకునే నిర్ణయం; దాని APT నిల్వను జోడించడం అలా కాదు. రెండోది భవిష్యత్ సాఫ్ట్‌వేర్ ఎక్కడి నుండి రావచ్చో ప్యాకేజీ నిర్వాహకుడికి చెబుతుంది, అది డౌన్‌లోడ్ కాదు, అధికారం యొక్క శాశ్వత బదిలీ. విక్రేత నిల్వను సరిగ్గా నిర్వహిస్తున్నప్పుడు అది సరైన ఏర్పాటు కావచ్చు. అయినా అది స్పృహతో తీసుకునే నిర్ణయానికి అర్హం, చాలా ఇన్‌స్టాల్ మార్గదర్శకాలు దాన్ని దాటవేస్తాయి.

సంతకం ఒక ఆర్కైవ్‌ను ధృవీకరిస్తుంది, దాని కోడ్‌ను కాదు

APT సంతకం చేసిన నిల్వ మెటాడేటాను ధృవీకరించి, ఆ తర్వాత తాను తెచ్చే ప్యాకేజీల కోసం ఆ మెటాడేటా లోని చెక్‌సమ్‌లను నమ్ముతుంది. అది నిరూపించేది ఆర్కైవ్ కీ హోల్డర్ ప్రచురించిన దానితో సరిపోతుందని మాత్రమే, లోపలి కోడ్ గురించి ఏమీ కాదు. సరిగ్గా సంతకం చేసిన ప్యాకేజీలో కూడా అసురక్షిత నిర్వహణ స్క్రిప్ట్‌లు ఉండవచ్చు, అవి ప్యాకేజీ ఇన్‌స్టాల్ అయ్యేటప్పుడు root గా నడుస్తాయి. apt-secure మాన్యువల్ ఆర్కైవ్ ధృవీకరణకు, సాఫ్ట్‌వేర్ సమీక్షకు మధ్య సరిగ్గా ఈ గీతను గీస్తుంది.

కాబట్టి ఉపయోగకరమైన ప్రశ్న సంతకం చెల్లుతుందా అని కాదు, విరిగిన సంతకం ఏమైనా ఇన్‌స్టాల్‌ను ఆపుతుంది. ప్రశ్న ఏమిటంటే ఇకపై మీరు ఎవరి సంతకాన్ని నమ్మాలని ఎంచుకుంటున్నారు. దొంగిలించబడిన సంతకం కీ దొంగిలించబడిన ప్యాకేజీ కంటే దారుణం, ఎందుకంటే మొదటి చెడు విడుదల తర్వాత కూడా దాడికి పాల్పడేవాడు చాలా కాలం చెల్లుబాటు మెటాడేటాను ఉత్పత్తి చేస్తూనే ఉంటాడు. కీ మార్పిడి మాత్రమే పరిహారం, అది మీరు స్వతంత్రంగా ధృవీకరించగల మార్గం ద్వారా విక్రేత కొత్త కీని ప్రచురించడంపై ఆధారపడి ఉంటుంది.

అందుకే కీ గుర్తింపు నిల్వ URL కంటే తక్కువ కాదు. పాత ఫోరమ్ సమాధానంలోని చిరునామా నుండి తీసుకున్న కీ ప్రచురకుడి గురించి ఏమీ నిరూపించదు, కానీ HTTPS ఫోన్ ఎత్తిన వ్యక్తి వరకు రవాణాను రక్షిస్తుంది. రవాణా భద్రత, ప్రచురకుడి గుర్తింపు వేర్వేరు ప్రశ్నలు, మొదటిది మాత్రమే ధృవపత్రంతో పరిష్కారమవుతుంది.

కీని వ్యవస్థకు కాదు, మూలానికి పరిమితం చేయండి

ఆధునిక APT మూలానికి నిర్దిష్టమైన Signed-By సూచనను అంగీకరిస్తుంది. ఆపరేటర్ నిర్వహించే కీ /etc/apt/keyrings/ కింద ఉండవచ్చు, మూల నమోదు ఆ ఆర్కైవ్‌ను ధృవీకరించడానికి అనుమతి ఉన్న కీని పేర్కొంటుంది. అదే కీని ప్రపంచవ్యాప్త నమ్మకమైన సమితిలో వేయడం కంటే ఇది సన్నగా ఉంటుంది, అక్కడ అది మీరు ఎప్పుడూ అనుమతించాలని అనుకోని మూలాలకు హామీ ఇవ్వవచ్చు. వేర్వేరు తరాల మార్గదర్శకాల ముక్కలను కలపకుండా, ఇన్‌స్టాల్ అయిన APT సంస్కరణను, విక్రేత ప్రస్తుత సూచనలను అనుసరించండి.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

ధృవీకరణను ఆఫ్ చేయడం ద్వారా లేదా తెలియని ఆర్కైవ్‌ను నమ్మకమైనదిగా గుర్తించడం ద్వారా సంతకం వైఫల్యాన్ని ఎప్పుడూ సరిచేయకండి. అది కనిపించే లోపాన్ని కనిపించని లోపంతో మారుస్తుంది, కనిపించనిది ఎవరైనా మూలాల జాబితాను పరిశీలించే వరకు కొనసాగుతుంది. కీ సరిపోకపోతే, సరైన సవరణ సరైన కీని కనుగొనడం, ధృవీకరణను తీసివేయడం కాదు.

నిల్వ వివరాలను, కీ గుర్తింపును ప్రాజెక్ట్ నుండి లేదా నిర్వహించబడే నిర్వాహకుడి నుండి పొందండి. బ్లాగ్ పోస్ట్ నుండి కాపీ చేసిన కీ రచయితృత్వం గురించిన వాదన, దానికి రుజువు కాదు. విక్రేత మార్పిడి మార్గాన్ని ప్రచురించినప్పుడు దాన్ని కీతో పాటే నమోదు చేయండి, ఎందుకంటే తదుపరి మార్పిడిని సాధ్యం చేసేది ఆ మార్గమే.

మూల పిన్నింగ్ ప్యాకేజీ అనుమతి జాబితా కాదు

ఒక కీని ఒక మూలానికి పరిమితం చేయడం అది ఏ ఆర్కైవ్‌ను ధృవీకరించగలదో పరిమితం చేస్తుంది, ఆ ఆర్కైవ్ ఏ ప్యాకేజీలను ప్రచురించగలదో కాదు. నిల్వ మీరు కోరుకున్న VPN క్లయింట్ కంటే చాలా ఎక్కువ పంపగలదు, ఏ అర్హత కలిగిన సంస్కరణ గెలుస్తుందో APT యొక్క అభ్యర్థి ఎంపిక, ప్రాధాన్యతలు నిర్ణయిస్తాయి. నిర్ధారించే ముందు ప్రతిపాదిత లావాదేవీని, ఆధార జాబితాతో సహా సమీక్షించండి, ఎందుకంటే ఆధారాలు అదే ఆర్కైవ్ నుండి వస్తాయి. కీ పరిధి ’ఈ ప్యాకేజీ మాత్రమే’ అని చెప్పలేదు.

బలమైన నియంత్రణ కావాలంటే దాన్ని ప్యాకేజీ పేర్లు లేదా సంస్కరణలపై విధానంగా వ్యక్తపరచి, ఆ విధానాన్ని కాన్ఫిగరేషన్ నిర్వహణ కింద ఉంచండి. లావాదేవీని చదవడానికి ఒక నిమిషం పడుతుంది; ఆరు నెలల తర్వాత ఊహించని ప్యాకేజీని కనుగొనడానికి ఒక సమీక్ష పడుతుంది.

ఊహించని ప్యాకేజీలు ముందుకు వెళ్లడానికి కాదు, ఆగడానికి సమయం, నిల్వ యజమానికి ప్రశ్న ఏమిటంటే అవి ఎందుకు అవసరం. ఒక క్లయింట్ చుట్టూ డజను ప్యాకేజీలను ప్రచురించే నిల్వ డెస్క్‌టాప్ సూట్ పంపే విక్రేతకు సాధారణం. అది ఇన్‌స్టాల్ మార్గదర్శకం సూచించిన దాని కంటే పెద్ద ఉపరితలం కూడా, ఈ భాగమే నమోదు చేయదగినది. రెండు ఫలితాల్లో ఏదీ సంతకంపై అనుమానానికి కారణం కాదు; రెండూ మీరు ఏమి అంగీకరించారో రాయడానికి కారణం.

అధికారాన్ని, దాన్ని తొలగించే విధాన్ని నమోదు చేయండి

నిల్వ యజమాని, మద్దతు ఉన్న ఆపరేటింగ్ సిస్టమ్ విడుదల, కీ మార్పిడి మార్గం, తొలగింపు విధానం రాయండి. ఆ నాలుగు వాస్తవాలే వారసుడికి అవసరం, క్లయింట్ విరమణ చేసినప్పుడు లేదా విక్రేత తన కీని మార్చినప్పుడు. అవి లేకుండా తదుపరి వ్యక్తి ఎటువంటి కథ లేకుండా మూల పంక్తిని, కీ ఫైలును వారసత్వంగా పొందుతాడు.

తొలగింపే దాటవేయబడే దశ, కాబట్టి దాన్ని ఇన్‌స్టాల్ సమయంలోనే రాయండి. మూల నమోదును, దాని ప్రత్యేక కీని కలిపి తొలగించండి, ఫైలును తీసివేసే ముందు ఆ కీ మరెక్కడైనా ప్రస్తావించబడిందో లేదో తనిఖీ చేయండి. ఆ తనిఖీ లేకుండా తొలగించిన పంచుకున్న కీ శుభ్రతను అసంబద్ధ అంతరాయంగా మారుస్తుంది, ఇది సాధారణ మార్పుకు అత్యంత దుర్భర ఫలితం. తర్వాత నమోదు పోయిన తర్వాత కూడా సాధారణ నవీకరణలు పరిష్కారమవుతాయని నిర్ధారించండి.

నిల్వను తొలగించిన తర్వాత ఒక విషయం మిగులుతుంది: దాని నుండి ఇప్పటికే ఇన్‌స్టాల్ అయిన ఏ ప్యాకేజీనైనా ఏదో దాన్ని భర్తీ చేసే వరకు నడుస్తూనే ఉంటుంది. నిజాయితీ ప్రశ్న ఏమిటంటే మీరు ఏ అధికారాన్ని జోడించారు, దాని పాత్ర ఎంత సన్నగా వ్యక్తపరచబడింది.