VPN uchun APT manbasi: nima beradi va uni qanday cheklash kerak

VPN mijozi yuklab olish bir martalik qaror; uning APT omborini qo’shish esa unday emas. Ikkinchisi paket menejeriga kelajakdagi dasturiy ta’minot qayerdan kelishi mumkinligini aytadi, va bu yuklab olish emas, vakolatning doimiy o’tkazilishi. Yetkazib beruvchi omborni to’g’ri saqlasa, bu to’g’ri tartib bo’lishi mumkin. Shunga qaramay u ongli qarorga loyiq, va ko’pchilik o’rnatish qo’llanmalari buni o’tkazib yuboradi.

Imzo arxivni tasdiqlaydi, uning kodini emas

APT imzolangan ombor metama’lumotlarini tekshiradi, so’ng olib keladigan paketlar uchun o’sha metama’lumotlar ichidagi nazorat summalariga ishonadi. Bu arxiv kalit egasi e’lon qilgan narsaga mos kelishini isbotlaydi, ichidagi kod haqida hech narsa emas. To’g’ri imzolangan paket ham xavfli xizmat skriptlarini olib yurishi mumkin, va ular paket o’rnatilayotganda root sifatida ishlaydi. apt-secure qo’llanmasi arxiv tasdiqlash va dasturiy ta’minotni ko’rib chiqish o’rtasidagi aynan shu chegarani chizadi.

Shuning uchun foydali savol imzo haqiqiymi degani emas, chunki buzilgan imzo o’rnatishni baribir to’xtatadi. Savol — bundan buyon kimning imzosiga ishonishni tanlashingiz. O’g’irlangan imzo kaliti o’g’irlangan paketdan yomonroq, chunki hujumchi birinchi yomon chiqarishdan keyin ham uzoq vaqt haqiqiy metama’lumot ishlab chiqaradi. Faqat kalitni almashtirish tuzatish bo’lib, u yetkazib beruvchi o’zingiz mustaqil tekshira oladigan kanal orqali yangi kalit e’lon qilishiga bog’liq.

Shuning uchun kalitning shaxsi ombor URL manzili kabi e’tiborga loyiq. Eski forum javobidagi manzildan olingan kalit nashriyotchi haqida hech narsa isbotlamaydi, HTTPS esa telefonni ko’targan odamgacha bo’lgan uzatishni himoya qiladi. Uzatish xavfsizligi va nashriyotchi shaxsi alohida savollar, va faqat birinchisini sertifikat hal qiladi.

Kalitni tizim bilan emas, manba bilan cheklang

Zamonaviy APT manbaga xos Signed-By havolasini qabul qiladi. Operator boshqaradigan kalit /etc/apt/keyrings/ ostida turishi mumkin, va manba yozuvi shu arxivni tasdiqlashga ruxsat berilgan kalitni nomlaydi. Bu xuddi shu kalitni global ishonchli to’plamga tashlashdan torroq, u yerda u hech qachon ruxsat berishni o’ylamagan manbalarga kafolat bera oladi. Turli avlod qo’llanmalarining bo’laklarini aralashtirish o’rniga o’rnatilgan APT versiyasi va yetkazib beruvchining joriy ko’rsatmalariga amal qiling.

curl -fsSL https://repo.example.com/vpn-key.gpg -o /etc/apt/keyrings/vpn.gpg
echo "deb [signed-by=/etc/apt/keyrings/vpn.gpg] https://repo.example.com/debian stable main" > /etc/apt/sources.list.d/vpn.list

Imzo muvaffaqiyatsizligini tekshirishni o’chirish yoki noma’lum arxivni ishonchli deb belgilash bilan hech qachon tuzatmang. Bu ko’rinadigan xatoni ko’rinmaydigan xato bilan almashtiradi, va ko’rinmaydigani kimdir manbalar ro’yxatini tekshirgunga qadar davom etadi. Agar kalit mos kelmasa, to’g’ri tuzatish to’g’ri kalitni topish, tekshirishni olib tashlash emas.

Ombor tafsilotlari va kalit shaxsini loyihadan yoki boshqariladigan administratordan oling. Blog postidan ko’chirilgan kalit mualliflik haqida da’vo, uning isboti emas. Yetkazib beruvchi almashtirish kanalini e’lon qilsa, uni kalit bilan birga yozib qo’ying, chunki keyingi almashtirishni aynan shu kanal mumkin qiladi.

Manbani mahkamlash paketlarning ruxsat ro’yxati emas

Kalitni bitta manba bilan cheklash uning qaysi arxivni tasdiqlay olishini cheklaydi, o’sha arxiv qaysi paketlarni e’lon qilishini emas. Ombor siz xohlagan VPN mijozidan ancha ko’pini yuborishi mumkin, va qaysi mos versiya g’alaba qozonishini APT ning nomzod tanlovi va ustuvorliklari hal qiladi. Tasdiqlashdan oldin taklif qilingan tranzaksiyani, bog’liqliklar ro’yxati bilan birga ko’rib chiqing, chunki bog’liqliklar o’sha arxivdan keladi. Kalit doirasi «faqat shu paket» deb ayta olmaydi.

Agar kuchliroq nazorat kerak bo’lsa, uni paket nomlari yoki versiyalari bo’yicha siyosat sifatida ifodalang va o’sha siyosatni konfiguratsiyani boshqarish ostida saqlang. Tranzaksiyani o’qish bir daqiqa oladi; olti oydan keyin kutilmagan paketni topish bir ko’rib chiqishni oladi.

Kutilmagan paketlar oldinga borish emas, to’xtash momentidir, va ombor egasiga savol — ular nima uchun kerak. Bitta mijoz atrofida o’nlab paket e’lon qiladigan ombor ish stoli to’plamini yuboradigan kompaniya uchun odatiy. Bu o’rnatish qo’llanmasi ishora qilganidan kattaroq yuza ham, va aynan shu qism yozib qo’yishga arziydi. Ikki natijaning hech biri imzoga ishonchsizlik sababi emas; ikkisi ham qabul qilganingizni yozish sababi.

Vakolatni va uni qanday o’chirishni yozib qo’ying

Ombor egasini, qo’llab-quvvatlanadigan operatsion tizim chiqarilishini, kalit almashtirish kanalini va o’chirish tartibini yozing. Bu to’rt fakt vorisga mijoz iste’foga chiqqanda yoki yetkazib beruvchi kalitini almashtirganda kerak bo’ladi. Ularsiz keyingi odam hech qanday hikoyasiz manba satri va kalit faylini meros oladi.

O’chirish — o’tkazib yuboriladigan qadam, shuning uchun uni o’rnatish vaqtida yozing. Manba yozuvini va uning maxsus kalitini birga o’chiring, va faylni olib tashlashdan oldin bu kalitga boshqa joyda havola bor-yo’qligini tekshiring. Bu tekshiruvsiz o’chirilgan umumiy kalit tozalashni aloqasiz uzilishga aylantiradi, bu esa kundalik o’zgarish uchun eng yomon natija. Keyin yozuv ketgandan keyin ham oddiy yangilanishlar hal bo’lishini tasdiqlang.

Ombor olib tashlangandan keyin bir narsa qoladi: undan allaqachon o’rnatilgan har qanday paket biror narsa uni almashtirmaguncha ishlaydi. Halol savol — qanday vakolat qo’shdingiz va uning roli qanchalik tor ifodalangan.