Ders 5.45: APT depo güveni ve sabitleme
Eklediğin her APT deposu makinedeki herhangi bir paketi değiştirebilir; çünkü APT bulduğu en yüksek öncelikli ve en yeni sürümü kurar. [trusted=yes] ile işaretlenmiş bir depo imza denetimini tamamen atlar ve trusted.gpg.d'ye bırakılmış bir anahtar aynı anda her depo için güvenilir sayılır. Laboratuvarda tek bir izleme ajanı için eklenmiş bir üretici deposu sessizce kendi nginx ve openssl'ini sunuyor. İmzasız kaynağı buluyor, anahtarını signed-by ile yalnızca o depoya bağlıyor ve depoyu yalnızca kendi ajanını sağlayabilecek şekilde sabitliyorsun.
18 dk
Bu derste öğreneceklerin
- trusted=yes ve trusted.gpg.d'nin neden tehlikeli olduğunu açıklamak
- apt-cache policy'yi okumak: öncelikler, adaylar ve sürüm tabloları
- Bir depo anahtarını signed-by ile bağlamak
- Üçüncü taraf bir depoyu APT sabitlemesiyle sınırlamak
- Değişiklikten sonra aday sürümleri doğrulamak
Temel terimler
- trusted=yes
- APT'nin depoyu geçerli bir imza olmadan kabul etmesini sağlayan kaynak seçeneği.
- signed-by
- Bir depoyu tek bir anahtar dosyasına bağlar; anahtar başka hiçbir kaynak için güvenilir sayılmaz.
- trusted.gpg.d
- Eski genel anahtarlık dizini: oradaki bir anahtar her depo için kabul edilir.
- Sabitleme önceliği
- APT'nin sürümler arasında seçim yaparken kullandığı sayı: 500 varsayılan, 100 kurulu, 990 hedef sürüm, 1000 üstü sürüm düşürmeye izin verir.
- Aday (Candidate)
- apt install ya da upgrade'in şu anda seçeceği sürüm.
← Darboğazı bulmak · Tüm dersler · OpenSCAP ile bir ölçüte karşı tarama →