Dotaz: MX-16

[Hulenka]

Příloha:

• Snímek obrazovky.jpg (139464 bytů)

Dobrý den,

Používám Linux MX-16. Při pokusu o aktualizaci se vypisuje varování: následující balíky nemohou být autentizovány Live-usb-maker-gui smxi-inxi- antix.

Jak postupovat dále?

Děkuji

Odpovědi

[NN]

Jestli je chces nainstalovat staci dat 'y' a instalovat je bez overeni, to neni problem.

[Pepa]

I bez ověření se aktualizace nenainstalují - nebylo možno stáhnout aktualizace.

Jak to opravit?

[smok]

Vyzerá to tak, že problém je momentálne na strane repozitárov. Niektoré sú momentálne nedostupné. Skúste synaptic a "obnoviť" a uvidíte ktoré zdroje to sú.

[Hulenka]

Po zadání příkazu v terminálu : apt-get update to vypisuje tuto chybu:

Načítají se seznamy balíků… Hotovo W: Chyba GPG: http://nl.mxrepo.com jessie Release: Následující podpisy jsou neplatné: KEYEXPIRED 1489359573 KEYEXPIRED 1489359573 KEYEXPIRED 1489359573 KEYEXPIRED 1489359573 KEYEXPIRED 1489359573

V apt-get dist update se zobrazuje toto:

VAROVÁNÍ: Následující balíky nemohou být autentizovány! antix-libs system-config-printer-udev system-config-printer python-cupshelpers partition-info yad cli-shell-utils live-usb-maker live-usb-maker-gui antix-archive-keyring smxi-inxi-antix file-roller Instalovat tyto balíky bez ověření? [y/N]

Jak lze tuto chybu opravit?

Vadí hodně, když by se nainstalovaly tyto baliky bez ověření?

Děkuji za radu

[smok]

Tu máte riešenie: https://mxlinux.org/gpg-error-and-solutions

A tie balíky môžte inštalovať bez obáv, je to len problém overovania GPG kľúčov.

Pripomeniem, že vyšiel nový MX Antix 17 "Horizon" a možno jednoduchšie bude nainštalovať priamo ten. Je myslím lepší.

Osobne po nainštalovaní Antixu, úpravách vzhľadu podľa svojho, doinštalovaní niektorých programov (wine, gnome-commander, fslint, cherrytree, UNetbootin, pidgin, skype, prípadne ďalších) po úprave menu cez menu-editor (treba doinštalovať menulibre) a po vyčistení od zbytočností cez Bleachbit (treba doinštalovať), si vytvorím snapshot, (vytvorenie snapshotu (cez NXTools) trvá mne asi pätnásť minút), ktorý cez Unetbootin uložím na USB kľúč, z ktorého nová inštalácia, pokiaľ dôjde k nejakému problému mi trvá asi tak päť minút, rovnako ako inštalácia na iný disk, či iný počítač. Systém mám vždy na jednej partícii, dáta na druhej, takže preinštalovanie do pôvodného stavu, či inštalácia na iný disk, alebo počítač, trvá akurát tých päť minút (a to nemám nijak výkonný počítač).

[Peter Golis]

To overovanie podpisu cez GPG je na to, aby sa zaručilo že nikto dané balíky nepozmenil a že sú z dôveryhodných zdrojov.

Ak nevyžaduješ dôveru, tak si počkaj na mňamky z warezu.

[smok]

Písal som tie balíky, a asi to warez na oficiálnom webe repozitára sotva bude. A predtým som dal návod, ktorý by daný problém riešil, a až pokiaľ by to nepomohlo tak by to bola ďalšia možnosť. Škoda, že ste nedali nič lepšie k samotnému problému.

[Peter Golis]

Ktorékoľvek.

Ak v MX menili nové kľúče, tak sa o tom asi zmienili aj s návodom. A ak nie, tak je solídna pravdepodobnosť že chytil man in the middle attack. Možnosť že to jednoducho zmenili a vykašlali sa na informovanie užívateľov síce nevylučujem, ale ani nepredpokladám.

[smok]

Mali ste si predsa len pozrieť ten návod, (tam v takom prípade dokonca odporúčajú inštalovať balík antix-archive-keyring bez overovania). Zvlášť v súvislosti s tým, že pred pár dňami bol problém s prístupnosťou niektorých depozitárov, tam začal ten problém (mal som ho aj ja, ale vedel som dôvod, a že stačí počkať). Takže pravdepodobnosť že ide o "man in the middle attack" sa blíži k nule.

[Peter Golis]

Máš preklep vo vete: Takže pravdepodobnosť že kvôli tomu návodu odhalíš "man in the middle attack" sa blíži k nule.

GPG kľúče sa distribuujú cez dôveryhodné servery, a overuje sa ich odtlačok. Neinštalujú sa nejakým balíkom ktorého pôvod sa nedá a ani neodporúča overiť.

Ale ak ti vyhovuje bezpečnostný koncept bez overenia dôveryhodnosti, tak ho používaj.

[smok]

1. Nikde som netvrdil, "že kvôli tomu návodu odhalím "man in the middle attack"". Takže žiaden preklep.

2. A môžte nám konečne ukázať ako by ste podobný problém riešili Vy?

Stačí v synapticu odinštalovať GPG kľúče a ukázať ako ich tam dostanete späť, inak už z repozitárov nikdy nič nenainštalujete, a to pri dodržaní práve tých Vašich podmienok o overiteľných zdrojoch.

Zvlášť bude podnetné ako ich budete overovať práve bez tých kľúčov.

P.S.: Pokiaľ Vám tá distribúcia kľúčov funguje cez dôveryhodné servery, ako viete, že nimi sú? Pokiaľ stačí v hlavičke https, tak to má v hlavičke aj ten zdroj, ktorý som uviedol, a ktorý už za dôveryhodný nepovažujete, a teda to zjavne nestačí.

[Peter Golis]

Ty sa snažíš ten MITM utajiť pomocou nevhodného návodu. Distribúcie ktoré nehazardujú s bezpečnosťou užívateľov majú v sebe vstavané nástroje na vyradenie kľúčov, alebo pridanie kľúčov aj s možnosťou overenia ich odtlačku. Ale to sa asi zbytočne zamotávam. Skús si pozrieť niečo o príkaze apt-key a nepleť si to s nejakým https. Aj https požiadavky sa bežne dajú falšovať, a deje sa to.

PS: Dôveryhodnosť sa dá overiť napríklad pomocou toho odtlačku získaného postranným kanálom.

[smok]

Neodpovedali ste.

Lebo to čo ste dali sotva niekomu pomôže pri riešení problému obyčajného užívateľa sediaceho doma pri postaršom počítači na ktorom má jedinú distribúcia a ktorá mu vyhadzuje tú chybu?

Nože prezraďte kde tam má ten postranný kanál, ako sa do neho dostane a ako získa tie odtlačky a aj to ako ich použije. Dajte konkrétny návod na riešenie konkrétneho problému. Inak je to len trolling.

[Peter Golis]

Keď si to pozrieš, tak pochopíš čo je na tvojej rade zlého.

[Michal]

Problém je, že tady žádná snadná rada není. Tvoje rada je ve stylu "když ti chybí peníze, tak běž vyloupit banku" - vede to rychle k cíli ale je nebezpečné a hloupé.

[smok]

Máte nejakú lepšiu radu? Keď už sú ten troll žiadnu nedal, len stále omieľa to isté.

Každá inštalácia nejakej distribúcie je založená na určitej dôvere. Rozdiel medzi stiahnutím celej distribúcie, čo pritom preferujem, ak ste si toho nevšimli, a nejakej jej časti z toho istého zdroja (!), neexistuje. Ak áno tak v čom?

Ak niekto klikne na trebárs https://linuxmint.com/ (čo je pritom dosť obľúbená distribúcia) tak určite nie s pocitom, že predsa aj https je možné sfalšovať a že sa práve rozhodol nainštalovať si nejaký warez. Rozhodol sa považovať tú stránku za dôveryhodnú a pravdepodobnosť, že sa rozhodol správne, je na jeho strane.

Pokiaľ chcete naznačiť, že stiahnuť akúkoľvek distribúciu je nebezpečné, nie je predsa možnosť overiť to cez nejaké postranné kanály, tak za takú radu ďakujem. Ešte k tomu výraz postranné kanály sa vzťahuje viac k slabinám kryptovania, cez postranné kanály sa zvyčajne vedú útoky, nie overovanie dôveryhodnosti. Ale vyzerá to dobre, len sa nesmie konkretizovať.

Vlastne jediné čo tu ešte chýba je odporúčanie kúpiť si krabicovú verziu Windows 10 a odložiť si doklad zo zárukou. To už asi dosť bezpečné bude.

[Pavel 'TIGER' Růžička]

Osobně si myslím, že pokud dojde ke změně klíčů, tak by to uživatel neměl ani poznat. Prostě s aktualizací se ona změna automaticky provede. To, že je do toho uživatel zatažen a ještě tímto, poměrně nešťastným způsobem, dává oprávněné důvody k velkému podezření. Ale jsou pouhé dva způsoby používání jakéhokoliv systému. Bezpečné a nebezpečné. A věřte, že lidí, kteří se snaží používat systém bezpečně je znatelně, ale opravdu znatelně méně. A rada? Pokud vyšla nová verze a nejsou v ní obsaženy tyto problémy s klíči, tak bych systém přeinstaloval novou verzí. Pokud jsou obsažené i v nejnovější verzi, začal bych pokukovat po jiné distribuci.

[Peter Golis]

Ak mali kompromitované kľúče a potrebovali ich čím skôr nahradiť, tak mohlo dôjsť k situácii že starý kľúč už neplatil a nový ešte u užívateľov nebol prijatý. Ale v tom prípade by zverejnili odtlačok nového kľúča. To, že len prehlásili aby si užívatelia balík s kľúčmi bez overenia vysvetľuje ako tento problém vznikol.

Ale ak by potrebovali vymeniť kľúče za novšie tak ako sa to deje každých pár rokov, tak si ich balíčkovací systém overí a stiahne sám v dobe keď ešte platia staré kľúče. A vtedy s tým žiaden problém nie je. Na prípravu periodickej údržby tohoto typu je obvykle niekoľko desiatok mesiacov.

PS: V poslednej dobe čítam strašne veľa chvály na Antix/MX. Ani by som sa nedivil keby v tej distribúcii chýbal SystemD.

[Pavel 'TIGER' Růžička]

  Přiznám se, že jsem nečetl, jak k situaci došlo, ale na nutnou výměnu klíčů se dá upozornit mnoha způsoby. Hlavně by to mělo viset hodně dlouho na úvodní stránce webu. Vzpomeňme třeba problém s podsunututími iso soubory Mintu. Problém byl v CMS, že by i tady nastal podobný problém?

  Svého času jsem četl hodně chvály na Greenie Linux, bohužel mne to přesvědčilo o tom, že čím dál více je třeba rozlišovat propagandu a realitu. systemd MX Linux skutečně postrádá, stejně jako jiné distribuce. Je to cesta, nemusí být špatná, ale na tu propagandu pozor, někdy může napáchat více škody, než užitku.