6.6. Sjekking av pakkeautensitet

Sikkerheten er veldig viktig for Falcot Corps administratorer. Følgelig må de sørge for at de bare installerer pakker som er garantert å komme fra Debian uten å være tuklet med underveis. En som vil knekke en datamaskin (en cracker) kan prøve å legge ondsinnet kode til en ellers lovlig pakke. En slik pakke, hvis den er installert, kunne gjøre noe knekkeren utviklet det til å gjøre, inkludert for eksempel å avdekke passord eller konfidensiell informasjon. For å omgå denne risikoen gir Debian nye installasjoner en forsegling som det ikke kan kludres med, for å garantere at en pakke virkelig kommer fra dens offisielle vedlikeholder, og ikke er endret av en tredjepart.

The seal works with a chain of cryptographic hashes and a signature and is explained in detail in apt-secure(8). Starting with Debian 10 Buster the signed file is the InRelease file, provided by the Debian mirrors. There is also a legacy file called Release. Both contain a list of the Packages files (including their compressed forms, Packages.gz and Packages.xz, and the incremental versions), along with their SHA256 hashes, which ensures that the files haven't been tampered with. These Packages files contain a list of the Debian packages available on the mirror, along with their hashes, which ensures in turn that the contents of the packages themselves haven't been altered either. The difference between InRelease and Release is that the former is cryptographically signed in-line, whereas the latter provides a detached signature in the form of the file Release.gpg.

APT needs a set of trusted GnuPG public keys to verify signatures in the InRelease and Release.gpg files available on the mirrors. It gets them from files in /etc/apt/trusted.gpg.d/ and from the /etc/apt/trusted.gpg keyring (managed by the apt-key command). The official Debian keys are provided and kept up-to-date by the debian-archive-keyring package which puts them in /etc/apt/trusted.gpg.d/:

# ls /etc/apt/trusted.gpg.d/
debian-archive-bullseye-automatic.gpg
debian-archive-bullseye-security-automatic.gpg
debian-archive-bullseye-stable.gpg
debian-archive-buster-automatic.gpg
debian-archive-buster-security-automatic.gpg
debian-archive-buster-stable.gpg
debian-archive-stretch-automatic.gpg
debian-archive-stretch-security-automatic.gpg
debian-archive-stretch-stable.gpg

I PRAKSIS Å legge til klarerte nøkler

Når kilden til en tredjepartspakke legges til filen sources.list, så må APT bes om å stole på den tilhørende GPG-autoriseringsnøkkelen (ellers vil den klage på at den ikke kan bekrefte ektheten av pakkene som kommer fra dette pakkelageret). Det første trinnet er selvsagt å få tak i den offentlige nøkkelen. Som oftest vil nøkkelen gjøres tilgjengelig som en liten tekstfil, som vi vil kalle key.asc i eksemplene som følger.

To add the key to APT's trusted keyring, the administrator can just put it in a *.gpg file in /etc/apt/trusted.gpg.d/ (*.asc files are discouraged and can cause problems). This is supported since Debian Stretch. With older releases, you had to run apt-key add < key.asc, which is considered obsolete already.

Selv om dette er veldig vanlig oppførsel, lager det også et potensielt problem. APT ved ikke hvilken nøkkel som tilhører hvilket bibliotek. Hvis en av nøklene i APT sin nøkkelring samsvarer med signaturen til arkivet, vil APT anse arkivet som bekreftet. Når en nøkkel har blitt lagt til i den tiltrodde nøkkelringen, kan en ondsinnet angriper faktisk tilby sin egen «versjon» av et Debian-speil signert med samme nøkkel. Derfor kan det faktisk være bedre å putte nøkkelen som en *.gpg-fil inn i /usr/share/keyrings/ og bruke Signed-By-feltet i sources.list for tredjepartspakkebrønner (som vist i eksempelet nedenfor).

Imagine, that the Falcot Corp. runs their own public repository and you want to use it. They have signed it and provide a publicly available key(ring) as well to download. To restrict the key to the repository, you can simply do this:

$ sudo wget -O falcot-keyring.gpg -P /usr/share/keyrings https://packages.falcot.com/debian/repository.gpg

deb [ signed-by=/usr/share/keyrings/falcot-keyring.gpg ] https://packages.falcot.com/debian bullseye main

Ha i minnet at det å legge til og bruke tredjepartspakkebrønner alltid medfører økt sikkerhet- og stabilitetsrisiko!

Once the appropriate keys are in the keyring, APT will check the signatures before any risky operation, so that frontends will display a warning if asked to install a package whose authenticity can't be ascertained.

Merk at binærpakker vanligvis ikke er signerte. Integriteten for en pakke kan bekreftes ved å kontrollere sjekksummen mot en tiltrodd (og mulig signert) sjekksumskilde.

SPECIFIC CASE Unsigned repositories

Selv om usignerte pakkebrønner i hovedsak ikke skal brukere kan det hende at noen brukere trenger dem, for eksempel for å tilby noen lokalt bygde pakker. APT kan tvinges til å godta slike pakkebrønner ved å innlede pakkebrønns-nettadressen med allow-insecure=yes eller trusted=yes. Dette vil demonstreres ved å bruke eksempelet fra Seksjon 15.3, «Å lage en pakkebrønn for APT»:

deb [ trusted=yes ] http://packages.falcot.com/ updates/
deb [ trusted=yes ] http://packages.falcot.com/ internal/