The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

В пакетном менеджере APT 2.9.15 прекращено использование apt-key

29.11.2024 07:39

Опубликован выпуск инструментария для управления пакетами APT 2.9.15 (Advanced Package Tool). Ветка 2.9.x является экспериментальной и используется для разработки функциональности будущей стабильной версии APT 3.0, которая после стабилизации будет интегрирована в Debian Testing и войдёт в следующий значительный релиз Debian, а также будет добавлена в пакетную базу Ubuntu.

Ключевым изменением в новой версии стало окончательное прекращение использования утилиты apt-key для управления ключами, применяемыми для верификации цифровых подписей пакетов. Утилита apt-key несколько лет назад была объявлена устаревшей в связи с уходом от старой модели проверки целостности пакетов, в которой использовалось общее хранилище ключей (/etc/apt/trusted.gpg) и отсутствовала привязка ключей к репозиториям, т.е. ключ, добавленный для какого-то стороннего репозитория, подходил для проверки пакетов во всех репозиториях. Пришедший на смену apt-key метод работы с ключами подразумевает разделение хранилищ ключей для каждого репозитория (/etc/apt/trusted.gpg.d/ или /etc/apt/keyrings/).

Другие изменения:

  • В список путей для вызова gpg добавлена написанная на языке Rust утилита gpg-sq, принимающая те же аргументы, что и утилита gpg, но имитирующая её работу через Sequoia, реализацию OpenPGP на языке Rust. Вызов gpg-sq является более приоритетным, чем gpg, т.е. для использования gpg-sq вместо gpg достаточно установить соответствующий пакет.
  • Обеспечена привязка типов ключей к расширениям файлов: расширение ".asc" связано с ascii-armored ключами, ".gpg" - всегда с бинарными ключами, а все остальные файловые расширения вызовут ошибку "The key(s) in the keyring ... are ignored as the file has an unsupported filetype". Например, при использовании файла с ключом "/etc/apt/keyrings/winehq-archive.key", его нужно будет переименовать в "/etc/apt/keyrings/winehq-archive.gpg" и исправить путь в файле в "/etc/apt/sources.list.d/".
  • Многие функции переведены на использование класса "std::string" вместо "const char *" (определённый в стандарте С++17 класс std::string_view, более эффективно работающий со строками за счёт использования ссылок на существующие данные и исключения лишнего копирования данных, пока не задействован в коде).
  • Реализована поддержка самостоятельной проверки хранилищ ключей (keyring) и выполнения операции dearmor (преобразование ключа в формате ASCII-armored в бинарный формат) без обращения к apt-key.
  • Добавлена функция Base64Decode.


  1. Главная ссылка к новости (https://salsa.debian.org/apt-t...)
  2. OpenNews: Началось тестирование переработанного интерфейса пакетного менеджера APT 3.0
  3. OpenNews: Выпуск инструментария для поддержания локальных зеркал apt-mirror2 4
  4. OpenNews: В пакетном менеджере APT 2.7 реализована поддержка снапшотов
  5. OpenNews: Выпуск пакетного менеджера APT 2.6
  6. OpenNews: Релиз Sequoia 1.0, реализации OpenPGP на языке Rust
Автор новости: Аноним
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/62312-apt
Ключевые слова: apt, debian
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (38) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 08:28, 29/11/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Давно пора
     
  • 1.2, Аноним (2), 08:43, 29/11/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • –8 +/
    А никого не смущает что целый пакетный менеджер, который в дистре  запускается рано или поздно в каждой системе пишут какие-то му не васяныи ещё пытаются приплести Раст. Чтобы самому это собрать было сложнее и при сборке Раст принес что-то что хотят создатели раста?
     
     
  • 2.4, Карлос Сношайтилис (ok), 08:53, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +12 +/
    Смущает только твой бессвязный комментарий, а не вспомогательная утилита на расте, наличие которой зависит от желания пользователя
     
     
  • 3.9, Аноним (2), 09:17, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +/
    За этим дело не встанет. Сегодня опциональная. А завтра добровольно принудительная.
     
     
  • 4.20, Аноним (20), 11:25, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > А завтра добровольно принудительная.

    Как страшно жить!

    Правильно: разрабы *бесплатной* оси должны лично консультироваться с каждым использующим ее дармоедом по поводу технических решений!

     
     
  • 5.30, Аноним (2), 14:01, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Так зачем же они делают свою бесплатную ось пусть делают платную. А с лопата ты давай сам.
     
  • 4.41, Аноним (-), 14:51, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Значит делай сам!
    Вон "разработчики" Дивана выпили системд, значит и ты сможешь.
    Мы всем опеннетом в тебя верим и поддерживаем твои начинания!
     
  • 2.8, Аноним (8), 09:15, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Раст даже если не был, но он есть и будет есть.
     
     
  • 3.10, Аноним (2), 09:17, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Это-то и пугает.
     
  • 2.17, Аноним (20), 11:19, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Чтобы самому это собрать было сложнее

    Накой тебе его самому собирать? Тем более когда бинари есть в репе? Тебе делать нечего?

     
     
  • 3.33, Аноним (2), 14:03, 29/11/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 2.24, freehck (ok), 13:01, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +/
    > А никого не смущает что целый пакетный менеджер, который в дистре  
    > запускается рано или поздно в каждой системе пишут какие-то му не
    > васяныи ещё пытаются приплести Раст.

    С точки зрения эксплуатации -- абсолютно всё равно, на каком языке написан инструмент, если он обеспечивает и поддерживает стабильный интерфейс взаимодействия с ним.

     
     
  • 3.34, Антилопатник (?), 14:04, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Типичная позиция лопатного опустошителя
     

  • 1.3, Zenitur (ok), 08:45, 29/11/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • –8 +/
    Почему-то думал, что это убунтовская утилита. В Дебиане ни разу не пришлось запускать.
     
  • 1.6, Аноним (6), 08:54, 29/11/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    gpg - самая неудобная хрень на свете. Какой-то глобальный $GPG_HOME млять, нескриптующийся cli. Да-да, заскриптовать в принципе можно, но надо снаряжать экспедицию со свистоплясками вокруг gpg ephemeral home и прочими дикостями. Но на самом деле проще ssh-ключами все делать, или при помощи openssl, у которого ненаркоманский cli, в отличие от. Короче, все отказываются от gpg -- либо от его оригинальной наркоманской реализации, либо от самого концепта в целом. И это здорово.
     
     
  • 2.7, мяв (?), 09:07, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    так от gpg никто не отказался в новости..
     
  • 2.40, Аноним (40), 14:45, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Нет, makefilы и automake - на много порядков неудобнее.
     

  • 1.13, Аноним (13), 09:25, 29/11/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Очередная unix утилита медленно, но верно превращается в комбайн. Потому что так "проще" ... в начале, а в конце будет как всегда с комбайнами - большой, тяжёлый, глючный, никто не знает как он в целом работает надо будет срочно переписывать, а всего-то лишь не надо превращать утилиты в комбайны.
     
     
  • 2.14, Аноним (2), 09:31, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Как тогда заработать на поддержке? Комбайну всегда нужен комбайнер. А матыге нет.
     
  • 2.18, Аноним (20), 11:21, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > а всего-то лишь не надо превращать утилиты в комбайны.

    Интересно, почему раньше никто не додумался до такого простого и эффективного решения?

     
  • 2.23, Bottle (?), 12:26, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Оказывается, что я реальном мире, а не обосранных фантазёров-вимеров, людям нужно больше функций в ПО, а не меньше.
    И городить ненадёжные конструкции из тысячи утилит, которые сломаются, если заменить одну на другую, никто не хочет.
     
     
  • 3.35, Антилопатник (?), 14:06, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +/
    А ещё людям нужна более быстрая лошадь вместо машины.
     

  • 1.15, Аноним (2), 09:33, 29/11/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • –3 +/
    Короче все идёт к тому что не будет такой опции установить приложение компании будет вместо тебя решать что тебе нужно на основе ИИ.
     
     
  • 2.21, eugener (ok), 11:33, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > вместо тебя решать что тебе нужно на основе ИИ

    Только установил убунточку — а ИИ тебе сразу и снап выпилил, и репу файрфокса с packages.mozilla.org подключил, всё как ты любишь.

     
     
  • 3.27, Аноним (2), 13:59, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • –1 +/
    И понизил тебе социальный рейтинг потому что чего удумал сторонний браузер ставить.
     
  • 2.25, nume (ok), 13:28, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Снова комментарий не как ни связанный с новостью, вам бы лечиться...
     
     
  • 3.28, Аноним (2), 14:00, 29/11/2024 Скрыто ботом-модератором     [к модератору]
  • +1 +/
     

  • 1.16, Аноним (16), 10:52, 29/11/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Вот только операции через apt-key с добавлением ключей были удобней, чем текущие через dearmor.
     
     
  • 2.29, Аноним (40), 14:01, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Ну там есть встроенная поддержка asc-ключей. Только по спеке - ключи должны быть бинарными. ASCII-armored ключи могут уплыть в любой момент. Только одно не понятно - нафига ломать совместимость, прибивая гвоздями к расширению, если тип ключа можно легко детектировать по содержимому файла. Ежели же ломать совместимость, то предпочтительнее просто упразднить поддержку ascii-armored ключей полностью, а не городить цирк с детектом расширения. А то бинарные ключи в соответствии со спекой сломали, а обёрнутые в нарушение спеки с base64 -- оставили.

     

  • 1.19, Аноним (19), 11:24, 29/11/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Слишком сложно: все эти ключи от репозиториев, пакеты, пересборка и прочая лабуда. Дистрописатели должны сделать всё для домохозяек и гуманитариев, и вот тогда бабло польётся рекой к ним, как и майкрософт.
     
     
  • 2.31, Аноним (40), 14:01, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Да, установка пакетов по аккаунту через привязку мобильного телефона!
     

  • 1.26, nume (ok), 13:28, 29/11/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А downgrade они не хотят реализовать как в arch например или ненужОн?
     
  • 1.32, Аноним (32), 14:02, 29/11/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >В список путей для вызова gpg добавлена написанная на языке Rust

    Это тот же самый дебиан, не осилившйи собрать утилиты для bcachefs или какой-то другой?

     
  • 1.36, Аноним (40), 14:06, 29/11/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >gpg-sq

    -rwxr-xr-x 1 root root  11M ноя 25 22:29 /usr/bin/gpg-sq
    -rwxr-xr-x 1 root root  19M окт 20 19:26 /usr/bin/sq

    -rwxr-xr-x 1 root root 1.2M ноя  1 14:49 /usr/bin/gpg
    lrwxrwxrwx 1 root root    3 ноя  1 14:49 /usr/bin/gpg2 -> gpg
    -rwxr-xr-x 1 root root 414K ноя  1 14:49 /usr/bin/gpg-agent
    -rwxr-xr-x 1 root root 947K ноя  1 14:49 /usr/bin/gpgcompose
    -rwxr-xr-x 1 root root 159K ноя  1 14:49 /usr/bin/gpgconf
    -rwxr-xr-x 1 root root 143K ноя  1 14:49 /usr/bin/gpg-connect-agent
    -rwxr-xr-x 1 root root  35K ноя  1 14:49 /usr/bin/gpgparsemail
    -rwxr-xr-x 1 root root 572K ноя  1 14:49 /usr/bin/gpgsm
    -rwxr-xr-x 1 root root  79K ноя  1 14:49 /usr/bin/gpgsplit
    -rwxr-xr-x 1 root root 136K ноя  1 14:49 /usr/bin/gpgtar
    -rwxr-xr-x 1 root root 479K ноя  1 14:49 /usr/bin/gpgv
    -rwxr-xr-x 1 root root 191K ноя  1 14:49 /usr/bin/gpg-wks-server
    -rwxr-xr-x 1 root root 3.5K ноя  1 14:49 /usr/bin/gpg-zip


    Далеко не вся суть раста и его статической линковки.

     
     
  • 2.37, Аноним (40), 14:12, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +/
    А, да, забыл, gpg всё-таки не совсем монолит, и таки использует shared-либы.

    -rw-r--r-- 1 root root 167K сен 16 19:06 /usr/lib/x86_64-linux-gnu/libgpg-error.so.0.37.0
    -rw-r--r-- 1 root root 459K ноя 13 19:47 /usr/lib/x86_64-linux-gnu/libgpgmepp.so.6.21.0
    -rw-r--r-- 1 root root 352K ноя 13 19:47 /usr/lib/x86_64-linux-gnu/libgpgme.so.11.33.0


    inb4: жалкие оправдания вида "заварите в чай свою кору дуба"

     
  • 2.38, Аноним (38), 14:23, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Статическая линковка как раз имеет смысл в случае базовых утилит управления дистра.
     
     
  • 3.39, Аноним (40), 14:34, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Имеет смысл иметь полностью статически слинкованный par2 в составе базовой системы (он либ кроме стандартных не использует, там чистая математика и io:
    ldd /usr/bin/par2
            linux-vdso.so.1 (0x00007fe35b48f000)
            libstdc++.so.6 => /lib/x86_64-linux-gnu/libstdc++.so.6 (0x00007fe35b000000)
            libgomp.so.1 => /lib/x86_64-linux-gnu/libgomp.so.1 (0x00007fe35b38a000)
            libgcc_s.so.1 => /lib/x86_64-linux-gnu/libgcc_s.so.1 (0x00007fe35b35d000)
            libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007fe35ae0a000)
            libm.so.6 => /lib/x86_64-linux-gnu/libm.so.6 (0x00007fe35b277000)
            /lib64/ld-linux-x86-64.so.2 (0x00007fe35b491000)
    ), и набор файлов избыточности для критических компонентов. А статическая линковка всего подряд лишь плодит уязвимости, блоатварь и невозможность обновлений, контроля и аудита. Напоминаю: у Rustа гигантские деревья нерелевантных зависимостей, каждая из которых может содержать код, исполняемый во время сборки. И теперь эту потенциальную малварь предлагают впихивать на место gpg, который почему-то пакетным менеджером исполняется от рута, хотя всю установку пакетов можно было бы сделать вообще от относительно непривелигированного пользователя.
     
     
  • 4.42, Аноним (-), 14:57, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Ваше мнение очень важно для нас, оставайтесь на линии (с)

    > Напоминаю: у Rustа гигантские деревья нерелевантных зависимостей, каждая из которых может содержать код, исполняемый во время сборки.

    Звучало бы очень страшно, если бы не было примеров бекдора ХЗ прямо из официальной репы.
    Но выход есть - переписать все эти либы на раст, положить в крейты и пусть авторы подписывают своим паспортом или через OpenID.
    Тогда цепочки поставок станут надежными!
    Правда будут вопить всякие ананоны и борцуны за щвободьность.


     
  • 3.43, freehck (ok), 15:36, 29/11/2024 [^] [^^] [^^^] [ответить]  
  • +/
    > Статическая линковка как раз имеет смысл в случае базовых утилит управления дистра.

    Это трейдофф между скоростью доставки обновлений безопасности и скоростью восстановления системы в случае аварии. И обновления нужны на порядок чаще, так что имеет смысл по умолчанию линковать именно динамически, и лишь для особых случаев каких-либо специфических систем -- отдельно ставить статически слинкованные бинари типа того же busybox-а.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру