☰

"add-apt-repository"는 악성 네트워크("MITM")로부터 안전합니까?

tag-icon • tag-icon ubuntu security apt
"add-apt-repository"는 악성 네트워크("MITM")로부터 안전합니까?

실행하면 출력이 약간 이상해집니다.

# add-apt-repository -y ppa:ansible/ansible
gpg: keyring `/tmp/tmp85zwje4_/secring.gpg' created
gpg: keyring `/tmp/tmp85zwje4_/pubring.gpg' created
gpg: requesting key 7BB9C367 from hkp server keyserver.ubuntu.com
gpg: /tmp/tmp85zwje4_/trustdb.gpg: trustdb created
gpg: key 7BB9C367: public key "Launchpad PPA for Ansible, Inc." imported
gpg: Total number processed: 1
gpg:               imported: 1  (RSA: 1)
OK

충돌하는 키 ID가 발견될 수 있으므로 짧은 문자열로 키를 식별해서는 안 됩니다.5초 이내.

답변1

이 출력에 대해 걱정하지 마십시오.

GPG는 오래된 키 ID를 인쇄하지만 apt-add-repository는 실제로 160비트 지문을 사용하여 키를 얻습니다. (지문은 HTTPS를 통해 얻은 것으로 보입니다.)

https://bazaar.launchpad.net/~ubuntu-core-dev/software-properties/main/annotate/head:/softwareproperties/ppa.py#L163

def verify_keyid_is_v4(signing_key_fingerprint):
    """Verify that the keyid is a v4 fingerprint with at least 160bit"""
    return len(signing_key_fingerprint) >= 160/8


class AddPPASigningKey(object):
    " thread class for adding the signing key in the background "

    GPG_DEFAULT_OPTIONS = ["gpg", "--no-default-keyring", "--no-options"]

    def __init__(self, ppa_path, keyserver=None):
        self.ppa_path = ppa_path
        self.keyserver = (keyserver if keyserver is not None
                          else DEFAULT_KEYSERVER)

    def _recv_key(self, keyring, secret_keyring, signing_key_fingerprint, keyring_dir):
        try:
            # double check that the signing key is a v4 fingerprint (160bit)
            if not verify_keyid_is_v4(signing_key_fingerprint):
                print("Error: signing key fingerprint '%s' too short" %
                    signing_key_fingerprint)
                return False

관련 정보