Pinagmulan ng APT para sa VPN: ano ang ipinagkakaloob at paano ito limitahan

Ang pag-download ng kliyente ng VPN ay minsanang desisyon; ang pagdaragdag ng APT repository nito ay hindi. Sinasabi ng pangalawa sa tagapamahala ng pakete kung saan maaaring magmula ang software sa hinaharap, at iyon ay permanenteng paglilipat ng awtoridad, hindi download. Maaaring ito ang tamang kaayusan kapag maayos na pinapanatili ng vendor ang repository. Gayunpaman, karapat-dapat pa rin ito sa sinadyang desisyon, at nilalaktawan ito ng karamihan ng gabay sa pag-install.

Ang lagda ay nagpapatotoo sa isang archive, hindi sa code nito

Binibigyang-verify ng APT ang mga lagda ng metadata ng repository at pagkatapos ay nagtitiwala sa mga checksum sa loob ng metadata na iyon para sa mga paketeng hinihila nito. Ang pinapatunayan nito ay tumutugma ang archive sa inilathala ng may-ari ng susi, at wala tungkol sa code sa loob nito. Ang isang tamang lagda na pakete ay maaari pa ring magdala ng hindi ligtas na mga script ng tagapangalaga, at ang mga script na iyon ay tumatakbo bilang root habang ini-install ang pakete. Ang manwal ng apt-secure ay gumuhit ng eksaktong linyang ito sa pagitan ng pagpapatotoo ng archive at pagsusuri ng software.

Kaya ang kapaki-pakinabang na tanong ay hindi kung balido ang lagda, dahil humihinto pa rin ang pag-install sa sirang lagda. Ito ay kung kaninong lagda ang pipiliin mong pagkatiwalaan mula ngayon. Ang ninakaw na susi sa paglagda ay mas masama kaysa ninakaw na pakete, dahil patuloy na gumagawa ang attacker ng balidong metadata matagal pagkatapos ng unang masamang release. Ang pag-ikot ng susi ang tanging pag-aayos, at nakadepende ito sa paglalathala ng vendor ng bagong susi sa pamamagitan ng channel na maaari mong i-verify nang mag-isa.

Ito ang dahilan kung bakit ang pagkakakilanlan ng susi ay karapat-dapat sa atensyong katulad ng URL ng repository. Ang susi na kinuha mula sa isang address sa lumang sagot sa forum ay walang pinapatunayan tungkol sa publisher, samantalang pinoprotektahan ng HTTPS ang transport papunta sa sumagot sa telepono. Ang seguridad ng transport at pagkakakilanlan ng publisher ay magkaibang tanong, at ang una lamang ang nasosolusyunan ng sertipiko.

Limitahan ang susi sa pinagmulan, hindi sa sistema

Tumatanggap ang modernong APT ng sanggunian na Signed-By na partikular sa pinagmulan. Ang susi na pinamamahalaan ng operator ay maaaring nasa ilalim ng /etc/apt/keyrings/, at pinapangalanan ng entry ng pinagmulan ang susing pinapayagang magpatotoo sa archive na iyon. Iyon ay mas makitid kaysa itapon ang parehong susi sa pandaigdigang pinagkakatiwalaang set, kung saan maaari itong mangako para sa mga pinagmulang hindi mo kailanman sinadyang payagan. Sundin ang naka-install na bersyon ng APT at ang kasalukuyang tagubilin ng vendor sa halip na paghalo-haluin ang mga piraso mula sa iba’t ibang henerasyon ng gabay.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Huwag kailanman ayusin ang pagkabigo ng lagda sa pamamagitan ng pag-off ng verification o pagmarka ng hindi kilalang archive bilang pinagkakatiwalaan. Ipinagpapalit nito ang nakikitang error sa hindi nakikitang error, at ang hindi nakikita ay tumatagal hanggang may mag-audit ng listahan ng pinagmulan. Kung hindi tumutugma ang susi, ang tamang pagwawasto ay hanapin ang tamang susi, hindi alisin ang pagsusuri.

Kunin ang mga detalye ng repository at pagkakakilanlan ng susi mula sa proyekto o sa pinamamahalaang administrator. Ang susi na kinopya mula sa blog post ay pag-aangkin tungkol sa pagiging may-akda, hindi patunay nito. Kapag naglathala ang vendor ng channel ng pag-ikot, itala ito kasama ng susi, dahil ang channel na iyon ang nagpapangyari sa susunod na pag-ikot.

Ang pag-pin ng pinagmulan ay hindi listahan ng pinapayagang pakete

Ang paghihigpit ng susi sa isang pinagmulan ay naghihigpit kung aling archive ang maaari nitong patotohanan, hindi kung aling mga pakete ang maaaring ilathala ng archive na iyon. Ang repository ay maaaring magpadala ng higit pa sa kliyenteng VPN na gusto mo, at ang pagpili ng kandidato at mga prayoridad ng APT ang nagpapasya kung aling karapat-dapat na bersyon ang mananalo. Suriin ang iminungkahing transaksyon bago ito kumpirmahin, kasama ang listahan ng dependency, dahil nagmumula ang mga dependency sa parehong archive. Ang saklaw ng susi ay hindi maipahayag ang ’paketeng ito lamang’.

Kung kailangan mo ng mas matibay na kontrol, ipahayag ito bilang patakaran sa mga pangalan o bersyon ng pakete at panatilihin ang patakarang iyon sa ilalim ng pamamahala ng configuration. Ang pagbasa ng transaksyon ay tumatagal ng isang minuto; ang pagtuklas ng hindi inaasahang pakete makalipas ang anim na buwan ay tumatagal ng isang pagsusuri.

Ang mga hindi inaasahang pakete ay ang sandali upang huminto at hindi upang magpatuloy, at ang tanong sa may-ari ng archive ay bakit kailangan ang mga ito. Ang repository na naglalathala ng dose-dosenang pakete sa paligid ng isang kliyente ay normal para sa vendor na nagpapadala ng desktop suite. Ito rin ay mas malaking ibabaw kaysa sa ipinahiwatig ng gabay sa pag-install, at iyon ang bahaging sulit itala. Wala sa dalawang resulta ang dahilan upang hindi pagkatiwalaan ang lagda; pareho silang dahilan upang isulat ang tinanggap mo.

Itala ang awtoridad at kung paano ito aalisin

Isulat ang may-ari ng archive, ang sinusuportahang release ng operating system, ang channel ng pag-ikot ng susi at ang pamamaraan ng pag-alis. Ang apat na katotohanang iyon ang kailangan ng kahalili kapag nagretiro ang kliyente o nag-ikot ang vendor ng susi nito. Kung wala ang mga iyon, mamanahin ng susunod na tao ang isang linyang pinagmulan at file ng susi na walang anumang kuwento.

Ang pag-alis ang hakbang na nilalaktawan, kaya isulat ito sa oras ng pag-install. Burahin ang entry ng pinagmulan at ang nakalaang susi nito nang sabay, at tingnan kung ang susing iyon ay tinutukoy sa ibang lugar bago alisin ang file. Ang isang nakabahaging susi na binura nang walang pagsusuring iyon ay ginagawang hindi kaugnay na pagkagambala ang isang paglilinis, na siyang pinakamasamang resulta para sa rutinang pagbabago. Pagkatapos ay kumpirmahin na ang mga ordinaryong update ay nalulutas pa rin kapag wala na ang entry.

Isang bagay ang natitira pagkatapos alisin ang repository: anumang paketeng naka-install na mula rito ay patuloy na tumatakbo hanggang may pumalit dito. Ang tapat na tanong ay anong awtoridad ang idinagdag mo, at gaano kakitid na naipahayag ang papel nito.