Что является ключевым хранилищем под Ubuntu и как они работают?

Большая часть времени, просто добавив репозиторий пакетов позволяют загружать и устанавливать пакеты без ключа репозитория. Кроме того, некоторые Хранилища отображать их ключ рядом с их информацией, чтобы они легко найти. Но

• Почему нам нужно добавить ключи, если мы можем установить пакеты без них?
• Как они работают под Ubuntu?

Я нашел хорошее объяснение от Ubuntu Community Help Wiki .

• Что такое хранилища?

«Ключи аутентификации», как правило, получает из сопровождающего репозитория. Сопровождающий часто помещает копию ключа аутентификации на сервере открытых ключей, таких как www.keyserver.net. Затем ключ можно получить с помощью команды.

Apt Authentication

Apt-get управления пакетами используют криптографию с открытым ключом для проверки подлинности загруженных пакетов.

• Debian делает отличную работу по объяснению Secure склонного на этой странице вики.

Ниже приводится краткое описание процесса получения и проверки ключа, которое можно найти на вики-странице Debian.

Основные понятия криптографии с открытым ключом на основе пар ключей, A public keyи private key. должны храниться в секрете. Любой, имеющий открытый ключ, может зашифровать сообщение, чтобы его мог прочитать только тот, кто обладает закрытым ключом. Также можно использовать закрытый ключ для подписи файла, а не для его шифрования. Если для подписи файла используется закрытый ключ, то любой, у кого есть открытый ключ, может проверить, что файл был подписан этим ключом. Никто, у кого нет закрытого ключа, не может подделать такую ​​подпись.public keyprivate key

GPG (GNU Privacy Guard) является инструментом, используемым в безопасной склонны подписывать файлы и проверить свои подписи.

Брелока хранится в файле /etc/apt/trusted.gpg (не следует путать с родственными , но не очень интересно /etc/apt/trustdb.gpg). apt-key может использоваться для отображения ключей в связке ключей, а также для добавления или удаления ключа.

Каждый раз , когда вы добавляете другое меткое репозиторий /etc/apt/sources.list, вы также должны дать склонной свой ключ , если вы хотите , склонны доверять. Получив ключ, вы можете проверить его, проверив отпечаток ключа, а затем подписав этот открытый ключ своим закрытым ключом. Затем можно добавить ключ к АПП KeyRing сapt-key add <key>

Вам нужны ключи репозитория, чтобы вы могли проверить, получили ли вы пакет от человека, от которого, по вашему мнению, его получили.

Это, чтобы держать человек от инъекционной плохих пакетов в ваши обновления.

Вы должны добавить ключи хранилища всякий раз, когда вы можете.