GPG 키 서버는 항상 신뢰할 수 없나요?

2024-6-7 • tag-icon

나는 수년 동안 가장 작은 것(pass, yadm 등)에 gpg를 사용해 왔으며 항상 주목한 한 가지는 주요 서버(mit, ubuntu 등)의 응답 시간이 다음과 같은 경우 매우 느리다는 것입니다. 포털을 통해 액세스합니다(검색에는 확실히 시간이 걸립니다). 영원히).

최근에 yay키를 가져오는 데 문제가 있는 것 같습니다 . No Name사람들은 이 오류에 자주 직면하는 것 같으며 해결책은 항상 키를 수동으로 가져오는 것입니다. 지난 주에 1password와 에서 이런 일이 두 번이나 일어났습니다 spotify. 바로가기를 수동으로 가져오는 대신 장기적인 솔루션을 모색해 보았고, 한 가지 제안은 키 서버를 수동으로 설정하는 것이었지만 /etc/pacman.d/gnupg/gpg.conf문제가 해결되지 않았습니다. 나는 그것을 실행 pacman-key --refresh-keys했고 작동했지만 오류가 발생하기 쉬운 것 같습니다. 최종 출력 스냅샷은 다음과 같습니다.

==> ERROR: Could not update key: B9113D1ED21E1A55
gpg: error retrieving '[email protected]' via WKD: General error
gpg: error reading key: General error
gpg: error retrieving '[email protected]' via WKD: General error
gpg: error reading key: General error
gpg: error retrieving '[email protected]' via WKD: General error
gpg: error reading key: General error
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: refreshing 1 key from hkps://hkps.pool.sks-keyservers.net
gpg: keyserver refresh failed: No name
==> ERROR: Could not update key: 6D1A9E70E19DAA50
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: refreshing 1 key from hkps://hkps.pool.sks-keyservers.net
gpg: keyserver refresh failed: No name
==> ERROR: Could not update key: 3A726C6170E80477
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: refreshing 1 key from hkps://hkps.pool.sks-keyservers.net
gpg: keyserver refresh failed: No name
==> ERROR: Could not update key: 81AF739EC0711BF1
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: WARNING: unacceptable HTTP redirect from server was cleaned up
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: WARNING: unacceptable HTTP redirect from server was cleaned up
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: refreshing 1 key from hkps://hkps.pool.sks-keyservers.net
gpg: keyserver refresh failed: No name
==> ERROR: Could not update key: CF7037A4F27FB7DA
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: refreshing 1 key from hkps://hkps.pool.sks-keyservers.net
gpg: keyserver refresh failed: No name
==> ERROR: Could not update key: 73B8ED52F1D357C1
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: refreshing 1 key from hkps://hkps.pool.sks-keyservers.net
gpg: keyserver refresh failed: No name
==> ERROR: Could not update key: EA6836E1AB441196
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: refreshing 1 key from hkps://hkps.pool.sks-keyservers.net
gpg: keyserver refresh failed: No name
==> ERROR: Could not update key: 7FB1A3800C84C0A5
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: WARNING: unacceptable HTTP redirect from server was cleaned up
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: WARNING: unacceptable HTTP redirect from server was cleaned up
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: refreshing 1 key from hkps://hkps.pool.sks-keyservers.net
gpg: keyserver refresh failed: No name
==> ERROR: Could not update key: F9E712E59AF5F22A
gpg: error retrieving '[email protected]' via WKD: Connection refused
gpg: error reading key: Connection refused
gpg: error retrieving '[email protected]' via WKD: No name
gpg: error reading key: No name
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: refreshing 1 key from hkps://hkps.pool.sks-keyservers.net
gpg: keyserver refresh failed: No name
==> ERROR: Could not update key: C8880A6406361833
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: refreshing 1 key from hkps://hkps.pool.sks-keyservers.net
gpg: keyserver refresh failed: No name
==> ERROR: Could not update key: E711306E3C4F88BC
gpg: error retrieving '[email protected]' via WKD: General error
gpg: error reading key: General error
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: error retrieving '[email protected]' via WKD: General error
gpg: error reading key: General error
gpg: refreshing 1 key from hkps://hkps.pool.sks-keyservers.net
gpg: keyserver refresh failed: No name
==> ERROR: Could not update key: 39E4F17F295AFBF4
gpg: WARNING: unacceptable HTTP redirect from server was cleaned up
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: refreshing 1 key from hkps://hkps.pool.sks-keyservers.net
gpg: keyserver refresh failed: No name
==> ERROR: Could not update key: 097D629E437520BD
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: refreshing 1 key from hkps://hkps.pool.sks-keyservers.net
gpg: keyserver refresh failed: No name
==> ERROR: Could not update key: 5CED81B7C2E5C0D2
gpg: error retrieving '[email protected]' via WKD: No data
gpg: error reading key: No data
gpg: error retrieving '[email protected]' via WKD: General error
gpg: error reading key: General error
gpg: refreshing 1 key from hkps://hkps.pool.sks-keyservers.net
gpg: keyserver refresh failed: No name
==> ERROR: Could not update key: 1F0CD4921ECAA030
gpg: key 4DC95B6D7BE9892E: "David Runge (Arch Linux Master Key) <[email protected]>" not changed
gpg: Total number processed: 1
gpg:              unchanged: 1
pub   ed25519 2021-04-26 [SC]
      2AC0A42EFB0B5CBC7A0402ED4DC95B6D7BE9892E
uid           [  full  ] David Runge (Arch Linux Master Key) <[email protected]>
sub   cv25519 2021-04-26 [E]

gpg: key 25EA6900D9EA5EBC: "George Rawlinson <[email protected]>" 1 new signature
gpg: Total number processed: 1
gpg:         new signatures: 1
pub   ed25519 2016-11-03 [C]
      034D823DA2055BEE6A6BF0BB25EA6900D9EA5EBC
uid           [ unknown] George Rawlinson <[email protected]>
uid           [  full  ] George Rawlinson <[email protected]>
sub   ed25519 2016-11-03 [S]
sub   ed25519 2016-11-04 [A]
sub   cv25519 2016-11-04 [E]

gpg와 키서버에서는 항상 그런가요? 손으로 수입하는 것이 삶의 일부일 뿐인가요? 이러한 주요 서버는 왜 그렇게 불안정합니까?

참고: Arch wiki에서는 다음과 같은 가능한 문제를 제안합니다.

더 이상 사용되지 않는 Archlinux-keyring 패키지.
날짜가 잘못되었습니다.
ISP가 PGP 키를 가져오는 데 사용되는 포트를 차단합니다.
팩맨 캐시에는 이전에 시도한 서명되지 않은 패키지의 복사본이 포함되어 있습니다.
dirmngr이 올바르게 구성되지 않았습니다.
오랫동안 업그레이드하지 않았습니다. gpg/pacman이 제대로 처리하지 못합니다.

하지만 매일 업그레이드하고 ISP가 포트를 차단하지 않으며(수동으로 가져올 수 있음) 날짜도 정확합니다. 나는 최근에 팩맨과 야이 캐시도 지웠다고 확신합니다(사람들이 실제로 그렇게 하지 말라고 조언하는 것 같습니다). 뭔가 문제가 있는 것 같아요키서버 자체가 불안정합니다.

제가 틀렸습니다. 여기가 키서버인가요? 그렇지 않다면 왜 그렇게 고르지 않습니까? 내가 틀렸다면 팩맨/야이 경험을 개선하여 더 원활하게 만들고 이러한 문제점을 제거하기 위해 무엇을 할 수 있습니까?

답변1

적어도 일부 키 서버에서는 키 서버 문제가 발생할 수 있습니다.

WKD는 본질적으로신뢰할 수 없거나 적어도 예측할 수 없음: 키를 가져오려는 모든 도메인의 지원이 필요하므로 다양한 도메인의 특정 사용자 ID(이메일 주소) 세트에 대해 성공보다 실패할 가능성이 더 높습니다(예제 사례에서처럼). OpenPGP 사용자가 많은 도메인이 있습니다.지원하다(Debian, Gentoo 및 Linux 커널 포함), 이 경우 WKD가 작동할 것으로 예상됩니다.

SKS 풀은 더 이상 사용되지 않습니다.그리고 사용해서는 안됩니다. 바라보다sks-keyservers가 사라졌습니다. 대신 무엇을 사용해야합니까?가능한 대안을 위해.

내 경험에 따르면 keys.openpgp.org이는 신뢰할 수 있지만 서비스를 통해 키를 확인한 사용자에게만 키를 제공하므로 제한적입니다. MIT의 주요 서버는 오랫동안 가용성이 일관되지 않았습니다.

실제로 패키지 인증을 위해 OpenPGP 키가 필요한 대부분의 사용자에게 가장 신뢰할 수 있는 키 서버는 배포 키 서버이며, 자체 키 서버를 유지하는 배포의 경우(예를 들어데비안 또는 우분투). 이는 거의 항상 접근 가능하고 실용적입니다. 목적에 따라 배포 관련 키만 있을 수도 있지만 항상 시도해 볼 가치가 있습니다.

답변1

관련 정보