La page de manuel Ubuntu pour apt-key inclut la note suivante concernant apt-key add :

Remarque :Au lieu d'utiliser cette commande, un trousseau de clés doit être placé
directement dans le répertoire /etc/apt/trusted.gpg.d/ avec un
nom descriptif et "gpg" ou "asc" comme fichier extension.

Je ne pense pas avoir déjà vu ce conseil ailleurs. La plupart des projets qui hébergent leurs propres référentiels disent de télécharger leur fichier de clé et de l'ajouter avec apt-key .

1. Quelle est la motivation derrière ce conseil ?
2. Est-ce un Ubuntu-isme, ou s'applique-t-il à n'importe quelle distribution basée sur APT ?

Réponse acceptée :

Ces projets ont des instructions obsolètes. Je le sais parce que je publie un référentiel Debian et j'ai mis à jour mes instructions lorsque j'ai découvert les changements dans Debian 9 APT. En effet, cette partie du manuel est maintenant obsolète, car ce n'est pas le bon répertoire.

Cela n'a pas vraiment à voir avec .d répertoires et plus à voir avec la prévention d'une vulnérabilité intersites dans APT. L'ancien système utilisait des fichiers de trousseau de clés séparés pour plus de commodité, mais c'est maintenant une nécessité pour la sécurité; votre sécurité.

C'est la vulnérabilité. Considérez deux éditeurs de référentiels, A et B. Dans le monde de Debian 8 et avant, les clés des deux éditeurs se trouvaient dans le trousseau de clés global unique sur les machines des utilisateurs. Si l'éditeur A pouvait d'une manière ou d'une autre s'arranger pour supplanter le site WWW du référentiel de l'éditeur B, alors A pourrait publier des packages subversifs, signés avec la propre clé de A , qu'APT accepterait et installerait avec plaisir. La clé de A est, après tout, approuvée globalement pour tous les référentiels.

L'atténuation consiste pour les utilisateurs à utiliser des trousseaux de clés distincts pour les éditeurs individuels , et de référencer ces porte-clés avec un Signed-By individuel paramètres dans leurs définitions de référentiel. Plus précisément, la clé de l'éditeur A n'est utilisée que dans le champ Signed-By du référentiel A et la clé de l'éditeur B est uniquement utilisée dans le Signed-By du référentiel B. De cette façon, si l'éditeur A supplante le référentiel de l'éditeur B, APT n'acceptera pas les packages subversifs de celui-ci car eux et le référentiel sont signés par la clé de l'éditeur A et non par celle de l'éditeur B.

Le /etc/apt/trusted.gpg.d Le mécanisme à portée de main est une maison de transition quelque peu imparfaite d'un pauvre homme plus âgé vers cela, depuis environ 2005, ce n'est pas tout à fait assez bon. Il configure le trousseau de clés dans un fichier séparé, afin qu'il puisse être empaqueté et simplement installé en une seule étape par un gestionnaire de paquets (ou téléchargé avec fetch /curl /wget ) comme n'importe quel autre fichier. (Le gestionnaire de packages gère la prévention du porte-clés spécial this-is-my-repository-keyring de l'éditeur A package de l'installation sur l'éditeur B, de la manière normale dont il gère les conflits de fichiers entre les packages en général.) Mais il l'ajoute toujours à l'ensemble de clés qui est globalement approuvé pour tous les référentiels. Le mécanisme complet qui existe désormais utilise des éléments distincts, non fichiers de porte-clés de confiance mondiale dans /usr/share/keyrings/ .

Mes instructions sont déjà là. ☺ Il y a des mouvements en cours pour déplacer les propres référentiels de Debian vers ce mécanisme, afin qu'ils n'utilisent plus non plus de clés de confiance globales. Vous voudrez peut-être avoir un mot avec ces "la plupart des projets" que vous avez trouvés. Après tout, ils vous demandent actuellement de leur céder l'accès global à APT sur votre machine.

En relation :Slack – raccourci ou commande pour démarrer un fil dans Slack ?

Autres lectures

• Daniel Kahn Gillmor (2017-05-02). Veuillez expédier les clés spécifiques à la version séparément en dehors de /etc/apt/trusted.gpg.d/ . Bogue Debian #861695.
• Daniel Kahn Gillmor (2017-07-27). debian sources.list les entrées doivent avoir des options de signature pointant vers des clés spécifiques . Bogue Debian #877012.
• "Entrée de la liste des sources". Instructions pour se connecter à un référentiel tiers . Wiki Debian. 2018.
• Pourquoi l'ajout à sources.list ne présente-t-il pas un risque pour la sécurité ?
• Debian 9, APT et "Erreur GPG :… InRelease :les signatures suivantes n'étaient pas valides :"