HTTPS ve VPN, kurduğunuz paketi doğrulamaz

Bir güncelleme başarısız olur ve dizideki öneri tanıdık bir çizgiyi izler: trafik bir VPN'den geçiyor, öyleyse indirme güvenilir olmalı, ve hatayı aşmak için imza denetimi gevşetilir. İki ayrı fikir tek bir cümlede birleştirilmiştir. Şifreleme iki uç arasındaki yolu korur; kimlik doğrulama baytların amaçladığınız yayıncıdan gelip gelmediğine karar verir. Tünel birincisini sağlar ve ikincisi hakkında hiçbir şey söylemez.

Belirti genellikle tek bir ana makinede, tek bir depoda doğrulama hatasıdır, oysa her şey normal güncellenir. Bu biçim ağ yolunun çalıştığını ve anlaşmazlığın güvenle ilgili olduğunu zaten söyler.

Farklı sorulara yanıt veren iki denetim

Taşıma güvenliği bu bağlantının diğer ucunda kimin olduğunu ve yoldaki birinin onu okuyup değiştirebileceğini yanıtlar. Paket kimlik doğrulaması bu yapıtı yapılandırdığınız otoritenin yayımlayıp yayımlamadığını yanıtlar ve denetlemediğiniz bir aynadan indirilmeye dayanmalıdır.

Bu sorular yalnızca kenarlarda örtüşür. Aynadaki doğru sertifika aynanın ayna olduğunu kanıtlar; aynanın değiştirilmemiş yayıncı içeriği tuttuğunu kanıtlamaz. İmzalı paket yayıncının onu imzaladığını kanıtlar; ağın en yeni sürümü teslim ettiğini veya işaret ettiğiniz deponun kuruluşunuzun onayladığı depo olduğunu söylemez.

İnsanların denetimleri kapatarak yarattığı arıza kipi, ikinci güvencenin kalıcı kaybıdır, karşılığında tek bir başarılı indirme. Bu değiş tokuş önemli olduğu güne kadar görünmez.

apt gerçekte neyi doğrular

APT'nin modeli kimliği doğrulanmış bir arşiv zinciridir. İmzalı sürüm üst verisi sağlama toplamı üzerinden paket dizinlerine götürür ve bu dizinler sağlama toplamı üzerinden tek tek paket dosyalarına götürür. Zincirin doğrulanması aynayı güvenilmez ama kullanılabilir kılan şeydir: ayna istediğini sunabilir ve üst verinin imzası APT'nin bunu kabul edip etmeyeceğine karar verir.

Bu kasıtlı olarak her kurulu pakette paket bakıcısının imzasını denetlemekle aynı şey değildir ve bu ayrım, hata raporlarında «paket imzalı» ile «arşiv kimliği doğrulanmış» ifadelerinin farklı anlamlara geldiği hâlde birbirinin yerine kullanılmasını açıklar.

apt-get update
apt-cache policy
apt-config dump | grep -iE 'AllowInsecure|AllowDowngrade'

Güncellemenin çıktısını okuyun, yalnızca çıkış kodunu değil. APT üst verisi başarısız olan depoyu adlandırır ve o ad araştırılacak sınırdır. İmza doğrulaması olmadan güvenilir diye işaretlenmiş bir depo veya güvensiz depo için bir geçersiz kılma, birinin aldığı ve açıklayabilmesi gereken bir yapılandırma kararıdır.

Tazelik yine ayrı bir özelliktir. Geçerli biçimde imzalanmış bir üst veri dosyası geçen hafta gördüğünüzden daha eski olabilir, bu yüzden sürüm üst verisi bir son kullanma tarihi taşır ve bu yüzden istemcideki bir saat sorunu anahtar sorunlarına benzeyen doğrulama hataları üretebilir.

dnf5 ayrı olarak neyi denetler

RPM tarafı iki ayrı anahtar sunar ve bunları karıştırmak diğer yönde aynı hata sınıfını üretir. Biri paket dosyalarının geçerli bir imza taşıması gerekip gerekmediğini, diğeri depo üst verisinin imzalı olması gerekip gerekmediğini denetler. Bağımsız olarak ayarlanabilirler ve bir sistem birinde katı, diğerinde hoşgörülü olabilir.

dnf5 config-manager --dump 2>/dev/null | grep -iE 'gpgcheck|repo_gpgcheck'
rpm -q --qf '%{NAME} %{SIGPGP:pgpsig}\n' bash

Paket sorgusu kurulu kopyanın imza üst verisinin nasıl göründüğünü gösterir, bu da katılık iddia eden bir yapılandırma dosyasına karşı yararlı bir gerçeklik denetimidir. Söylemediği şey dağıtımın desteklenen politikasıdır ve bir forumdan gelen genel «GPG'yi etkinleştir» talimatı yerine ona uyulmalıdır.

İki yöneticinin ayrıldığı yerde fark mimaridir, birinin daha zayıf olduğunun işareti değildir. İkisi de yayıncı içeriğini doğrular; imzayı zincirin farklı noktalarına yerleştirirler.

Tünel neyi ekler, neyi eklemez

Bir VPN gerekli bir yolu sağlayabilir, güncelleme trafiğini güvenilmez bir erişim ağından uzak tutabilir ve yerel bir gözlemcinin gördüğünü azaltabilir. Bunlar gerçek işletim yararlarıdır ve hiçbiri yayıncı kimlik doğrulaması değildir.

HTTPS kendi güvencesini ekler ve bu, hissedilenden dardır. Bağlandığınız TLS ucunu doğrular. O uç bir ayna ise aynayı doğruladınız, sunduğu arşiv içeriğini değil. İmzalı üst veri zinciri tam olarak bu durum için vardır.

İki denetimin hiçbiri kullanılabilirlik vaat etmez. Ağ teslimatı reddedebilir ve kimliği doğrulanmış bir nesne otomatik olarak en yeni değildir. Kilit simgesinin varlığından çıkarsamak yerine paket yöneticisinin kendi tazelik politikasını kullanın.

Başarısız olan sınırı teşhis edin

Herhangi bir şeyi değiştirmeden önce aşamayı adlandırın: DNS çözümlemesi, vekil sunucu veya yol, TLS ucunun kimliği, arşiv kimlik doğrulaması, paket imza denetimleri veya kurulum. Her birinin ayrı bir hata biçimi ve ayrı bir sahibi vardır.

Bir ağ yolunu onarmak hiçbir zaman bilinmeyen bir imza anahtarını güvenilir ilan etmeyi, sertifikaları yok saymayı veya istemediğiniz bir depo yapılandırmasını kabul etmeyi içermemelidir. Bir anahtar gerçekten döndürüldüyse, dağıtım veya depo sahibi yeni anahtarı doğrulayabileceğiniz bir kanaldan yayımlar ve uygulanacak düzeltme budur.

Hangi sınırın başarısız olduğunu ve sahibinin kim olduğunu yazın. Bir sonraki güncelleme arızası başka bir sınırda olacak ve listeye sahip olmak bunu tünelin güncellemeleri güvenli kılıp kılmadığına dair bir tartışma yerine beş dakikalık bir teşhise dönüştürür.