2019年8月12日
独自のaptサーバー - その3 - aptの信頼システム
目次: apt
Packagesには各Debianパッケージのハッシュ値が記述されていて、悪意ある者がDebianパッケージを改変しても検知できるようになっています。ReleaseにはPackagesのハッシュ値が記述されていて、Packagesを改変されても検知できるようになっています。
Releaseの改変に対しては、サーバーの作成者が署名を付け、Releaseが作成時から改変されていないことを保証します。
パッケージ（*.deb） <--(ハッシュ値)-- Packages <--(ハッシュ値)-- Release <--(署名)-- InReleaseもしくはRelease.gpg
保証の関係を図示すると上記のとおりです。前回のapt-get updateのエラーメッセージはInReleaseもしくはRelease.gpgが存在しない、もしくは、あっても信頼できない署名だと言って怒っているのです。
秘密鍵、公開鍵の作成
最初からapt-getに信頼されている鍵は公式サーバーが使っている鍵ですが、当然ながら私は知りません。ですので、
- 秘密鍵、公開鍵を作成
- 自作した鍵をaptに信用してもらう
- 自作した鍵でReleaseファイルに署名
という手順を取ります。
自分用の秘密鍵、公開鍵を作成
# gpg --gen-key gpg (GnuPG) 2.2.12; Copyright (C) 2018 Free Software Foundation, Inc. This is free software: you are free to change and redistribute it. There is NO WARRANTY, to the extent permitted by law. Note: Use "gpg --full-generate-key" for a full featured key generation dialog. GnuPG needs to construct a user ID to identify your key. Real name: ...
名前やメールアドレスを聞かれるので適宜答えてください。途中でパスフレーズを聞かれます。今回はテストなので、名前はTest User、パスフレーズはabcd1234にしました。
自作した鍵をaptに信用してもらう
自作した鍵をaptに信用してもらうには、公開鍵（秘密鍵ではありません）をaptの信頼済み鍵束に登録します。
自分用の公開鍵をエクスポートしaptに登録
# gpg --list-keys
/root/.gnupg/pubring.kbx
------------------------
pub rsa3072 2019-08-11 [SC] [expires: 2021-08-10]
A24D479395FF7F2B4A787D29439D445DCA4AF8F6 ★このIDを指定する
uid [ultimate] Test User
sub rsa3072 2019-08-11 [E] [expires: 2021-08-10]
# mkdir /var/www/linux/debian/gpg
# gpg --export A24D479395FF7F2B4A787D29439D445DCA4AF8F6 > /var/www/linux/debian/gpg/public.key
# curl http://192.168.1.1/linux/debian/gpg/public.key | apt-key add -
# apt-key list
/etc/apt/trusted.gpg
--------------------
pub rsa3072 2019-08-11 [SC] [expires: 2021-08-10]
A24D 4793 95FF 7F2B 4A78 7D29 439D 445D CA4A F8F6 ★自作の鍵が追加された
uid [ unknown] Test User
sub rsa3072 2019-08-11 [E] [expires: 2021-08-10]
/etc/apt/trusted.gpg.d/debian-archive-buster-automatic.gpg
----------------------------------------------------------
pub rsa4096 2019-04-14 [SC] [expires: 2027-04-12]
80D1 5823 B7FD 1561 F9F7 BCDD DC30 D7C2 3CBB ABEE
uid [ unknown] Debian Archive Automatic Signing Key (10/buster) <ftpmaster@debian.org>
sub rsa4096 2019-04-14 [S] [expires: 2027-04-12]
/etc/apt/trusted.gpg.d/debian-archive-buster-security-automatic.gpg
-------------------------------------------------------------------
pub rsa4096 2019-04-14 [SC] [expires: 2027-04-12]
5E61 B217 265D A980 7A23 C5FF 4DFA B270 CAA9 6DFA
uid [ unknown] Debian Security Archive Automatic Signing Key (10/buster) <ftpmaster@debian.org>
sub rsa4096 2019-04-14 [S] [expires: 2027-04-12]
...
自分で作った鍵ペアのうち、公開鍵をgpg --exportでファイルにエクスポートし、HTTPサーバーに配置します。公開鍵ファイルをapt-key addで信頼済みの鍵束に追加します。
今回作成した鍵はテストが終わったら不要なのでapt-key del ’キーID’ で削除してください。apt-key listで出てきたキーIDをコピペすれば良いです（スペースもそのまま入れてOK）。
自作した鍵でReleaseファイルに署名する
最後にReleaseファイルに署名します。Releaseファイルの署名には2種類あって、署名をReleaseファイルと一緒に書くInReleaseファイルと、署名だけを別に書くRelease.gpgファイルがあります。
InReleaseだけ作成すれば機能するようですが、とりあえず両方の作り方を紹介しておきます。
Releaseの署名を作成する
### GnuPGでReleaseファイルに署名
# echo -n "abcd1234" | gpg --batch --passphrase-fd 0 --pinentry-mode loopback --clearsign -o InRelease Release
# echo -n "abcd1234" | gpg --batch --passphrase-fd 0 --pinentry-mode loopback -abs -o Release.gpg Release
# chmod 644 Release InRelease Release.gpg
署名が完了したらapt-get updateしてみましょう。
Releaseの署名を作成する
# apt-get update Get:1 http://192.168.1.1/linux/debian buster InRelease [3941 B] Hit:2 http://ftp.jp.debian.org/debian testing InRelease Get:3 http://192.168.1.1/linux/debian buster/stable amd64 Packages [1752 B] Get:4 http://192.168.1.1/linux/debian buster/stable amd64 Contents (deb) [1242 B] Fetched 6935 B in 0s (25.7 kB/s) Reading package lists... Done
うまくいきました。apt-get install docker-ceを実行すると、、、
apt-getを実行
# apt-get install docker-ce Reading package lists... Done Building dependency tree Reading state information... Done Package docker-ce is not available, but is referred to by another package. This may mean that the package is missing, has been obsoleted, or is only available from another source However the following packages replace it: docker-ce-cli E: Package 'docker-ce' has no installation candidate
どうやら依存関係を無視してDockerのパッケージを1つしか登録しなかったため、依存関係のエラーが出てしまったようです。
他のパッケージ（docker-ce_cli, container.io）もダウンロードしましょう。pool/stable/amd64の下に追加し、apt-ftparchiveと署名をやり直します。
依存するパッケージを追加
linux
|-- conf
| |-- apt_generate_debian_buster.conf
| `-- apt_release_debian_buster.conf
`-- debian
|-- dists
| `-- buster
| |-- InRelease
| |-- Release
| |-- Release.gpg
| |-- packages-amd64.db
| |-- pool
| | `-- stable
| | `-- amd64
| | |-- containerd.io_1.2.6-3_amd64.deb
| | |-- docker-ce-cli_19.03.1~3-0~debian-buster_amd64.deb
| | `-- docker-ce_19.03.1~3-0~debian-buster_amd64.deb
| `-- stable
| |-- Contents-amd64
| |-- Contents-amd64.bz2
| |-- Contents-amd64.gz
| `-- binary-amd64
| |-- Packages
| |-- Packages.bz2
| `-- Packages.gz
`-- gpg
`-- public.key
10 directories, 16 files
以上のようなディレクトリ構成になるはずです。もう一度apt-get install docker-ceしてみましょう。
再びapt-getを実行
# apt-get install docker-ce Reading package lists... Done Building dependency tree Reading state information... Done The following additional packages will be installed: aufs-dkms aufs-tools cgroupfs-mount containerd.io docker-ce-cli Suggested packages: aufs-dev The following NEW packages will be installed: aufs-dkms aufs-tools cgroupfs-mount containerd.io docker-ce docker-ce-cli 0 upgraded, 6 newly installed, 0 to remove and 0 not upgraded. Need to get 0 B/88.0 MB of archives. After this operation, 390 MB of additional disk space will be used. Do you want to continue? [Y/n] Selecting previously unselected package aufs-dkms. (Reading database ... 325385 files and directories currently installed.) Preparing to unpack .../0-aufs-dkms_4.19+20190211-1_all.deb ... Unpacking aufs-dkms (4.19+20190211-1) ... Selecting previously unselected package aufs-tools. Preparing to unpack .../1-aufs-tools_1%3a4.14+20190211-1_amd64.deb ... Unpacking aufs-tools (1:4.14+20190211-1) ... Selecting previously unselected package cgroupfs-mount. Preparing to unpack .../2-cgroupfs-mount_1.4_all.deb ... Unpacking cgroupfs-mount (1.4) ... Selecting previously unselected package containerd.io. Preparing to unpack .../3-containerd.io_1.2.6-3_amd64.deb ... Unpacking containerd.io (1.2.6-3) ... Selecting previously unselected package docker-ce-cli. Preparing to unpack .../4-docker-ce-cli_5%3a19.03.1~3-0~debian-buster_amd64.deb ... Unpacking docker-ce-cli (5:19.03.1~3-0~debian-buster) ... Selecting previously unselected package docker-ce. Preparing to unpack .../5-docker-ce_5%3a19.03.1~3-0~debian-buster_amd64.deb ... Unpacking docker-ce (5:19.03.1~3-0~debian-buster) ... Setting up aufs-tools (1:4.14+20190211-1) ... Setting up containerd.io (1.2.6-3) ... Created symlink /etc/systemd/system/multi-user.target.wants/containerd.service -> /lib/systemd/system/containerd.service. Setting up docker-ce-cli (5:19.03.1~3-0~debian-buster) ... Setting up aufs-dkms (4.19+20190211-1) ... Loading new aufs-4.19+20190211 DKMS files... Building for 4.19.0-5-amd64 Building initial module for 4.19.0-5-amd64 Done. ...
以上のようにapt-getもうまくいきました。良かった良かった。
編集者:すずき(2021/08/05 12:12)
コメント一覧
- コメントはありません。
この記事にコメントする
| < | 2019 | > | ||||
| << | < | 08 | > | >> | ||
| 日 | 月 | 火 | 水 | 木 | 金 | 土 |
| - | - | - | - | 1 | 2 | 3 |
| 4 | 5 | 6 | 7 | 8 | 9 | 10 |
| 11 | 12 | 13 | 14 | 15 | 16 | 17 |
| 18 | 19 | 20 | 21 | 22 | 23 | 24 |
| 25 | 26 | 27 | 28 | 29 | 30 | 31 |
最近のコメント5件
最近の記事20件
-
24年4月17日
すずき (04/18 22:44)
「[VSCodeとMarkdownとPlantUMLのローカルサーバー] 目次: LinuxVSCodeのPlantUML Ex...」 -
23年4月10日
すずき (04/18 22:30)
「[Linux - まとめリンク] 目次: Linuxカーネル、ドライバ関連。Linuxのstruct pageって何？Linu...」 -
20年2月22日
すずき (04/17 02:22)
「[Zephyr - まとめリンク] 目次: Zephyr導入、ブート周りHello! Zephyr OS!!Hello! Ze...」 -
24年4月16日
すずき (04/17 02:05)
「[Zephyr SDKのhosttoolsは移動してはいけない、その2 - インストール時のバイナリ書き換え] 目次: Zep...」 -
24年4月15日
すずき (04/17 01:47)
「[Zephyr SDKのhosttoolsは移動してはいけない、その1 - 移動させると動かなくなる] 目次: ZephyrZ...」 -
24年4月11日
すずき (04/17 00:37)
「[VScodeとAsciiDocとKrokiローカルサーバー] 目次: LinuxAsciiDoc ExtensionはAsc...」 -
24年4月12日
すずき (04/16 00:12)
「[台湾東部沖地震に寄付] ささやかではありますが台湾東部沖地震に寄付しました。日本の赤十字社→台湾の赤十字（正式名称...」 -
22年9月3日
すずき (04/16 00:08)
「[MarkDownのその向こう] 目次: Linux簡単なドキュメントやメモはMarkDownで書くことが多いですが、気合を入...」 -
22年9月4日
すずき (04/16 00:08)
「[Asciidocをさらに活用] 目次: Linux前回（2022年9月3日の日記参照）、Asciidocのプレビュー環境の設...」 -
24年3月19日
すずき (04/16 00:07)
「[モジュラージャックの規格] 目次: Arduino古くは電話線で、今だとEthernetで良く見かけるモジュラージャックとい...」 -
23年6月2日
すずき (04/16 00:07)
「[Arduino - まとめリンク] 目次: Arduino一覧が欲しくなったので作りました。 M5Stackとesp32とA...」 -
24年4月9日
すずき (04/12 12:44)
「[初めて作ったボード動作せず（手で直した）] 目次: Arduino以前（2024年3月24日の日記参照）発注して、全く動ない...」 -
24年4月2日
すずき (04/12 11:00)
「[KiCadが動かなくなったのでビルド] 目次: ArduinoDebian Testingなマシンをapt-get upgr...」 -
24年4月3日
すずき (04/12 11:00)
「[初めて作ったボード動作せず（燃えた）] 目次: Arduino以前（2024年3月24日の日記参照）発注したPCBが届いたの...」 -
24年3月24日
すずき (04/12 11:00)
「[PCBを設計して注文] 目次: Arduinoシューティングの練習でいつもお世話になっているTARGET-1秋葉原店に、6つ...」 -
24年3月25日
すずき (03/26 03:20)
「[Might and Magic Book One TASのその後] 目次: Might and Magicファミコン版以前（...」 -
21年10月4日
すずき (03/26 03:14)
「[Might and Magicファミコン版 - まとめリンク] 目次: Might and Magicファミコン版TASに挑...」 -
24年3月18日
すずき (03/19 11:47)
「[画面のブランクを無効にする] 目次: LinuxROCK 3 model CのDebian bullseyeイメージは10分...」 -
24年3月3日
すずき (03/19 11:07)
「[解像度の設定を保存する] 目次: LinuxRaspberry Pi 3 Model B (以降RasPi 3B)のHDMI...」 -
24年3月14日
すずき (03/16 23:03)
「[JavaとM5Stamp C3とBluetooth LE - Bluetoothデバイスとの通信] 目次: ArduinoM...」
こんてんつ
wiki Linux JM Java API過去の日記
2002年 2003年 2004年 2005年 2006年 2007年 2008年 2009年 2010年 2011年 2012年 2013年 2014年 2015年 2016年 2017年 2018年 2019年 2020年 2021年 2022年 2023年 2024年 過去日記についてその他の情報
アクセス統計 サーバ一覧 サイトの情報
合計:
本日:
最終更新: 04/18 22:44
管理者: Katsuhiro Suzuki(katsuhiro( a t )katsuster.net)
This is Simple Diary 1.0
Copyright(C) Katsuhiro Suzuki 2006-2023.
Powered by PHP 8.2.15.
using GD bundled (2.1.0 compatible)(png support.)