VPN APT kaynağı: ne verir ve nasıl sınırlanır

Bir VPN istemcisini indirmek tek seferlik bir karardır; APT deposunu eklemek değildir. İkincisi paket yöneticisine gelecekteki yazılımın nereden gelebileceğini söyler ve bu bir indirme değil, kalıcı bir yetki devridir. Satıcı depoyu düzgün biçimde sürdürdüğünde bu doğru düzenleme olabilir. Yine de bilinçli bir kararı hak eder ve çoğu kurulum kılavuzu bunu atlar.

Bir imza arşivi doğrular, kodunu değil

APT imzalı depo üstverisini doğrular ve ardından getirdiği paketler için o üstverinin içindeki sağlama toplamlarına güvenir. Bunun kanıtladığı, arşivin anahtar sahibinin yayımladığıyla eşleştiğidir; içindeki kod hakkında hiçbir şey değil. Doğru imzalanmış bir paket yine de güvenli olmayan bakımcı betikleri taşıyabilir ve bu betikler paket kurulurken root olarak çalışır. apt-secure kılavuzu arşiv doğrulaması ile yazılımın gözden geçirilmesi arasındaki tam bu çizgiyi çizer.

Yani faydalı soru imzanın geçerli olup olmadığı değildir, çünkü bozuk bir imza kurulumu zaten durdurur. Soru, bundan sonra kimin imzasına güvenmeyi seçtiğinizdir. Çalınan bir imza anahtarı çalınan bir paketten daha kötüdür, çünkü saldırgan ilk kötü sürümden çok sonra bile geçerli üstveri üretmeyi sürdürür. Tek onarım anahtar döndürmesidir ve bu, satıcının yeni anahtarı bağımsız olarak doğrulayabileceğiniz bir kanaldan yayımlamasına bağlıdır.

Bu yüzden anahtarın kimliği, depo URL’si kadar dikkat hak eder. Eski bir forum yanıtındaki adresten alınan anahtar yayıncı hakkında hiçbir şey kanıtlamaz; HTTPS ise telefonu açan kişiye kadar olan taşımayı korur. Taşıma güvenliği ile yayıncı kimliği ayrı sorulardır ve yalnızca ilkini bir sertifika çözer.

Anahtarı sisteme değil, kaynağa sınırlayın

Modern APT, kaynağa özgü bir Signed-By başvurusunu kabul eder. Operatör tarafından yönetilen bir anahtar /etc/apt/keyrings/ altında bulunabilir ve kaynak girdisi o arşivi doğrulamaya izinli anahtarı adlandırır. Bu, aynı anahtarı küresel olarak güvenilen bir kümeye atmaktan daha dardır; orada hiç izin vermek istemediğiniz kaynaklar için kefil olabilir. Farklı kuşak kılavuzlarından parçaları karıştırmak yerine kurulu APT sürümünü ve satıcının güncel talimatlarını izleyin.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Bir imza hatasını asla doğrulamayı kapatarak ya da bilinmeyen bir arşivi güvenilir olarak işaretleyerek onarmayın. Bu, görünür bir hatayı görünmez bir hatayla değiştirir ve görünmez olan, biri kaynak listesini denetleyene kadar sürer. Anahtar uyuşmuyorsa doğru düzeltme doğru anahtarı bulmaktır, denetimi kaldırmak değil.

Depo ayrıntılarını ve anahtarın kimliğini projeden veya yönetilen bir yöneticiden alın. Bir blog yazısından kopyalanan anahtar, yazarlık hakkında bir iddiadır, onun kanıtı değil. Satıcı bir döndürme kanalı yayımladığında, onu anahtarla birlikte not edin, çünkü sonraki döndürmeyi mümkün kılan o kanaldır.

Kaynak sabitleme bir paket izin listesi değildir

Bir anahtarı tek kaynağa sınırlamak, hangi arşivi doğrulayabileceğini sınırlar; o arşivin hangi paketleri yayımlayabileceğini değil. Depo, istediğiniz VPN istemcisinden çok daha fazlasını gönderebilir ve hangi uygun sürümün kazanacağına APT’nin aday seçimi ve öncelikleri karar verir. Onaylamadan önce önerilen işlemi, bağımlılık listesi dahil gözden geçirin, çünkü bağımlılıklar aynı arşivden gelir. Bir anahtarın kapsamı ’yalnızca bu paket’ ifadesini veremez.

Daha güçlü bir denetime ihtiyacınız varsa bunu paket adları veya sürümleri üzerine bir ilke olarak ifade edin ve o ilkeyi yapılandırma yönetimi altında tutun. Bir işlemi okumak bir dakika alır; altı ay sonra beklenmedik bir paketi keşfetmek bir inceleme alır.

Beklenmedik paketler ilerleme değil durma anıdır ve arşiv sahibine soru bunların neden gerekli olduğudur. Tek bir istemci çevresinde bir düzine paket yayımlayan depo, masaüstü paketi gönderen bir satıcı için normaldir. Bu aynı zamanda kurulum kılavuzunun ima ettiğinden daha büyük bir yüzeydir ve kaydetmeye değer kısım burasıdır. İki sonucun hiçbiri imzaya güvensizlik için gerekçe değildir; ikisi de neyi kabul ettiğinizi yazmak için gerekçedir.

Yetkiyi ve nasıl kaldırılacağını kaydedin

Arşiv sahibini, desteklenen işletim sistemi sürümünü, anahtar döndürme kanalını ve kaldırma yordamını yazın. Bu dört olgu, istemci kullanımdan kalktığında veya satıcı anahtarını döndürdüğünde bir halefin ihtiyaç duyduğu şeydir. Bunlar olmadan sonraki kişi, hiçbir hikâyesi olmayan bir kaynak satırı ve anahtar dosyası devralır.

Kaldırma atlanan adımdır, bu yüzden kurulum sırasında yazın. Kaynak girdisini ve ona ayrılmış anahtarı birlikte silin ve dosyayı kaldırmadan önce o anahtara başka bir yerde atıf olup olmadığını denetleyin. Bu denetim olmadan silinen paylaşılan bir anahtar, bir temizliği ilgisiz bir kesintiye dönüştürür; bu da rutin bir değişiklik için en kötü sonuçtur. Ardından girdi gittikten sonra olağan güncellemelerin hâlâ çözüldüğünü doğrulayın.

Depo kaldırıldıktan sonra bir şey kalır: ondan zaten kurulmuş her paket, bir şey onun yerini alana kadar çalışmaya devam eder. Dürüst soru, hangi yetkiyi eklediğiniz ve rolünün ne kadar dar ifade edildiğidir.