secure apt: authenticatie van packages

Posted by Paul Verreth Tue, 30 Jan 2007 11:23:00 GMT

Authenticatiefout

Soms komt er de mededeling:

Warning: The following packages cannot be authenticated!

 ... ... ...

Install these packages without verification [y/N] ?

Dit komt omdat recente packages kunnen getest worden op een geldige signature.

Je kan de melding negeren, en gewoon verder gaan. Of je kan het verifiëren uitschakelen door een extra optie mee te geven met apt-get.

apt-get --allow-unauthenticated install ...

Ook is het mogelijk een extra lijn toe te voegen in /etc/apt/apt.conf:

APT::Get:AllowUnauthenticated 1;

Signature Checking

Maar nog beter, om corrupte packages te vermijden, is deze te verifiëren tegen een public key.

• gnupg moet reeds geïnstalleerd zijn
• ziyi_key_JJJJ.asc downloaden van de debian webstek onder releases
• volgende commando’s uitvoeren:

cat ziyi_key_JJJJ.asc | gpg --import

gpg --list-keys

apt-key list

gpg -a --export [keycode] | apt-key add -

apt-key list

Voor ubuntu

Voor ubuntu kunnen de keyfiles gedownload worden, ook voor de meeste third-party repositories.

Om zo’n key in te brengen in de APT trusted keys database:

wget http://dl.ivtvdriver.org/ubuntu/80DF6D58.gpg -O- | sudo apt-key add -

Zie ook de manpage van wget maar -O- wil zeggen: schrijven naar STDOUT.

Synaptic: Je kan de keyfile ook gewoon downloaden en dan inbrengen met synaptic -> settings -> repositories -> Authentication tab.