6.6. Проверка подлинности пакета
Безопасность очень важна для администраторов Falcot Corp. Соответственно, им необходимо убедиться, что они устанавливают только те пакеты, которые гарантированно получены из Debian, без каких-либо изменений в пути. Компьютерный взломщик может попытаться добавить вредоносный код в вполне законный пакет. Такой пакет, если он установлен, может делать всё, для чего его задумал взломщик, включая, например, раскрытие паролей или конфиденциальной информации. Чтобы обойти этот риск, Debian обеспечивает защиту от несанкционированного доступа, чтобы гарантировать — во время установки — что пакет действительно исходит от его официального сопровождающего и не был изменён третьей стороной.
Печать работает с цепочкой криптографических хэшей и подписью и подробно объясняется в apt-secure(8). Начиная с Debian 10 Buster подписанный файл - это InRelease файл, предоставляемый зеркалами Debian. Существует также устаревший файл под названием Release. Оба содержат список файлов Packages (включая сжатую форму Packages.gz и инкрементные версии), а также их хэши SHA256, гарантирующие, что файлы не были подделаны. Эти файлы Packages хранят список пакетов Debian, доступных на зеркале, вместе с их хэшами, что, в свою очередь, гарантирует, что содержимое самих пакетов также не было изменено. Разница междуInRelease и Release заключается в том, что первый имеет встроенную криптографическую подпись, тогда как второй обеспечивает отдельную подпись в виде файла Release.gpg.
APT необходим набор доверенных открытых ключей GnuPG для проверки подписей в файлах InRelease и Release.gpg, доступных на зеркалах. Он получает их из файлов в папке /etc/apt/trusted.gpg.d/ и из набора ключей /etc/apt/trusted.gpg (управляемого командой apt-key). Официальные ключи Debian предоставляются и обновляются с помощью пакета debian-archive-keyring, который помещает их в /etc/apt/trusted.gpg.d/:
# ls /etc/apt/trusted.gpg.d/
debian-archive-bullseye-automatic.gpg
debian-archive-bullseye-security-automatic.gpg
debian-archive-bullseye-stable.gpg
debian-archive-buster-automatic.gpg
debian-archive-buster-security-automatic.gpg
debian-archive-buster-stable.gpg
debian-archive-stretch-automatic.gpg
debian-archive-stretch-security-automatic.gpg
debian-archive-stretch-stable.gpg
Once the appropriate keys are in the keyring, APT will check the signatures before any risky operation, so that frontends will display a warning if asked to install a package whose authenticity can't be ascertained.
Обратите внимание, что бинарные пакеты обычно не подписываются. Целостность пакета можно подтвердить только путем проверки его хеш-суммы с надежным (и, возможно, подписанным) источником хеш-суммы.
