HTTPS va VPN siz o'rnatadigan paketni autentifikatsiya qilmaydi

Yangilanish muvaffaqiyatsiz tugaydi va mavzudagi taklif tanish yo'nalishni davom ettiradi: trafik VPN orqali o'tadi, demak yuklab olish ishonchli bo'lishi kerak, va xatoni chetlab o'tish uchun imzo tekshiruvi yumshatiladi. Ikki alohida fikr bitta gapga qo'shilib ketgan. Shifrlash ikki uchi orasidagi yo'lni himoya qiladi; autentifikatsiya baytlar siz nazarda tutgan nashriyotdan kelganini hal qiladi. Tunnel birinchisini beradi va ikkinchisi haqida hech narsa demaydi.

Alomat odatda bitta xostda, bitta omborda tekshiruv xatosi bo'lib, qolgan hamma narsa normal yangilanadi. Bu shakl tarmoq yo'li ishlayotganini va kelishmovchilik ishonch haqida ekanini allaqachon aytadi.

Turli savollarga javob beradigan ikkita nazorat

Transport xavfsizligi bu ulanishning narigi uchida kim borligini va yo'lda kimdir uni o'qiy yoki o'zgartira olishini javob beradi. Paket autentifikatsiyasi bu artefakt siz sozlagan organ tomonidan nashr etilganini javob beradi va u siz nazorat qilmaydigan ko'zgu orqali yuklab olishga bardosh berishi kerak.

Bu savollar faqat chekkalarda kesishadi. Ko'zgudagi to'g'ri sertifikat ko'zgu ko'zgu ekanini isbotlaydi; ko'zguda o'zgartirilmagan nashriyot mazmuni borligini isbotlamaydi. Imzolangan paket nashriyot unga imzo qo'yganini isbotlaydi; tarmoq eng yangi versiyani yetkazganini yoki siz ko'rsatgan ombor tashkilotingiz tasdiqlagan ombor ekanini aytmaydi.

Odamlar tekshiruvlarni o'chirib yaratadigan nosozlik rejimi ikkinchi kafolatning butunlay yo'qolishi, evaziga bitta muvaffaqiyatli yuklab olish. Bu almashinuv muhim bo'lgan kungacha ko'rinmaydi.

apt aslida nimani autentifikatsiya qiladi

APT modeli autentifikatsiya qilingan arxiv zanjiridir. Imzolangan nashr metama'lumotlari nazorat summasi orqali paket indekslariga olib boradi, va o'sha indekslar nazorat summasi orqali alohida paket fayllariga olib boradi. Zanjirni tekshirish ko'zgularni ishonchsiz, ammo foydalanishga yaroqli qiladi: ko'zgu xohlagan narsasini taqdim etishi mumkin, va metama'lumot imzosi APT uni qabul qilishini hal qiladi.

Bu ataylab har bir o'rnatilgan paketda qo'llab-quvvatlovchining imzosini tekshirish bilan bir xil emas, va bu farq xato hisobotlarida «paket imzolangan» va «arxiv autentifikatsiya qilingan» iboralari turli ma'noni bildirsa ham bir-birining o'rnida ishlatilishini tushuntiradi.

apt-get update
apt-cache policy
apt-config dump | grep -iE 'AllowInsecure|AllowDowngrade'

Yangilanish chiqishini o'qing, faqat chiqish kodini emas. APT metama'lumotlari muvaffaqiyatsiz bo'lgan ombor nomini aytadi, va o'sha nom tekshiriladigan chegara. Imzo tekshiruvisiz ishonchli deb belgilangan ombor yoki xavfsiz bo'lmagan ombor uchun bekor qilish — kimdir qabul qilgan va tushuntirib bera olishi kerak bo'lgan konfiguratsiya qarori.

Yangilik yana alohida xususiyat. To'g'ri imzolangan metama'lumot fayli o'tgan hafta ko'rganingizdan eskiroq bo'lishi mumkin, shuning uchun nashr metama'lumotlarida amal qilish muddati bor va shuning uchun mijozdagi soat muammosi kalit muammolariga o'xshash tekshiruv xatolarini keltirib chiqarishi mumkin.

dnf5 alohida nimani tekshiradi

RPM tomoni ikkita alohida kalitni taqdim etadi, va ularni aralashtirish qarama-qarshi yo'nalishda bir xil xato sinfini keltiradi. Biri paket fayllarida haqiqiy imzo bo'lishi kerakligini, ikkinchisi ombor metama'lumotlari imzolangan bo'lishi kerakligini nazorat qiladi. Ularni mustaqil o'rnatish mumkin, va tizim birida qat'iy, ikkinchisida yumshoq bo'lishi mumkin.

dnf5 config-manager --dump 2>/dev/null | grep -iE 'gpgcheck|repo_gpgcheck'
rpm -q --qf '%{NAME} %{SIGPGP:pgpsig}\n' bash

Paket so'rovi o'rnatilgan nusxaning imzo metama'lumotlari qanday ko'rinishini ko'rsatadi, bu qat'iylikni da'vo qiluvchi konfiguratsiya fayliga qarshi foydali voqelik tekshiruvi. U aytmaydigan narsa — tarqatishning qo'llab-quvvatlanadigan siyosati, va forumdagi umumiy «GPG ni yoqing» ko'rsatmasi o'rniga shunga amal qilish kerak.

Ikki menejer farq qiladigan joyda farq me'moriy, biri zaifroq degan belgi emas. Ikkalasi ham nashriyot mazmunini autentifikatsiya qiladi; ular imzoni zanjirning turli nuqtalariga qo'yadi.

Tunnel nima qo'shadi va nima qo'shmaydi

VPN kerakli marshrutni taqdim etishi, yangilanish trafigini ishonchsiz kirish tarmog'idan tashqarida ushlab turishi va mahalliy kuzatuvchi ko'radigan narsani kamaytirishi mumkin. Bular haqiqiy operatsion afzalliklar, va ularning hech biri nashriyot autentifikatsiyasi emas.

HTTPS o'z kafolatini qo'shadi, va u sezilganidan torroq. U siz ulangan TLS uchini autentifikatsiya qiladi. Agar o'sha uchi ko'zgu bo'lsa, siz ko'zguni autentifikatsiya qildingiz, uning taqdim etadigan arxiv mazmunini emas. Imzolangan metama'lumot zanjiri aynan shu holat uchun mavjud.

Ikkala nazoratning hech biri mavjudlikni va'da qilmaydi. Tarmoq yetkazib berishdan bosh tortishi mumkin, va autentifikatsiya qilingan obyekt avtomatik ravishda eng yangisi emas. Qulf belgisi borligidan xulosa chiqarish o'rniga paket menejerining o'z yangilik siyosatidan foydalaning.

Muvaffaqiyatsiz bo'lgan chegarani aniqlang

Biror narsani o'zgartirishdan oldin bosqichni nomlang: DNS hal qilish, proksi yoki marshrut, TLS uchi identitysi, arxiv autentifikatsiyasi, paket imzo tekshiruvlari yoki o'rnatish. Har birining o'z xato shakli va o'z egasi bor.

Tarmoq yo'lini tuzatish hech qachon noma'lum imzo kalitini ishonchli deb e'lon qilishni, sertifikatlarni e'tiborsiz qoldirishni yoki siz so'ramagan ombor konfiguratsiyasini qabul qilishni o'z ichiga olmasligi kerak. Agar kalit haqiqatan almashtirilgan bo'lsa, tarqatish yoki ombor egasi yangi kalitni siz tekshira oladigan kanal orqali e'lon qiladi, va bu qo'llanilishi kerak bo'lgan tuzatish.

Qaysi chegara muvaffaqiyatsiz bo'lganini va uning egasi kimligini yozing. Keyingi yangilanish nosozligi boshqa chegarada bo'ladi, va ro'yxatning borligi uni tunnel yangilanishlarni xavfsiz qiladimi degan yana bir bahs o'rniga besh daqiqalik tashxisga aylantiradi.