6.6. Comprovació de l'autenticitat d'un paquet
La seguretat és molt important per als administradors de Falcot Corp. Per tant, han d'assegurar-se que només instal·len paquets que estiguin garantits que provenen de Debian sense cap mena de manipulació pel camí. Un «cracker» d'ordinadors podria intentar afegir codi maliciós a un paquet d'altra banda legítim. Aquest paquet, si s'instal·la, podria fer qualsevol cosa per a la qual el «cracker» l'hagi dissenyat, incloent, per exemple, la revelació de contrasenyes o d'informació confidencial. Per evitar aquest risc, Debian proporciona un segell a prova de manipulació per garantir — en el moment d'instal·lació — que un paquet prové del seu mantenidor oficial i no ha estat modificat per un tercer.
El segell funciona amb una cadena de resums («hashes») criptogràfics i una signatura, i s'explica en detall a apt-secure(8). A partir de Debian 10 Buster, el fitxer signat és InRelase, proporcionat pels miralls de Debian. També hi ha un fitxer antic anomenat Release. Tots dos contenen una llista dels fitxers Packages (incloent-hi les seves formes comprimides, Packages.gz i Packages.xz, i les versions incrementals), juntament amb els corresponents resums («hashes») SHA256, que asseguren que els fitxers no han estat manipulats. Aquests fitxers Packages contenen una llista dels paquets Debian disponibles al mirall, juntament amb els seus “hashes”, que garanteixen al seu torn que el contingut dels mateixos paquets no ha estat alterat. La diferència entre InRelease i Release és que el primer està signat criptogràficament en línia, mentre que el segon proporciona una signatura separada en la forma del fitxer Release.gpg.
APT necessita un conjunt de claus públiques de GnuPG de confiança per verificar signatures als fitxers InRelease i Release.gpg disponibles als miralls. Els obté dels fitxers de /etc/apt/trusted.gpg.d i de l'anell de claus /etc/apt/trusted.gpg (gestionat per l'ordre apt-key). Les claus oficials de Debian són proporcionades i mantingudes al dia pel paquet de debian-archive-keyring que les posa a /etc/apt/trusted.gpg.d/:
# ls /etc/apt/trusted.gpg.d/
debian-archive-bullseye-automatic.gpg
debian-archive-bullseye-security-automatic.gpg
debian-archive-bullseye-stable.gpg
debian-archive-buster-automatic.gpg
debian-archive-buster-security-automatic.gpg
debian-archive-buster-stable.gpg
debian-archive-stretch-automatic.gpg
debian-archive-stretch-security-automatic.gpg
debian-archive-stretch-stable.gpg
Un cop les claus apropiades estan a l'anell de claus, APT comprovarà les signatures abans de qualsevol operació arriscada, de manera que els «frontends» mostraran un avís si se'ls demana que instal·lin un paquet l'autenticitat del qual no es pot determinar.
Tingueu en compte que els paquets binaris normalment no estan signats. La integritat d'un paquet només es pot confirmar comprovant les seves sumes de verificació contra una font de sumes de verificació de confiança (i possiblement signada).
