'\" t
.\"     Title: apt-secure
.\"    Author: Jason Gunthorpe
.\" Generator: DocBook XSL Stylesheets v1.78.1 <http://docbook.sf.net/>
.\"      Date: 09\ \&czerwiec\ \&2012
.\"    Manual: APT
.\"    Source: APT 1.0.9.8.4
.\"  Language: Polish
.\"
.TH "APT\-SECURE" "8" "09\ \&czerwiec\ \&2012" "APT 1.0.9.8.4" "APT"
.\" -----------------------------------------------------------------
.\" * Define some portability stuff
.\" -----------------------------------------------------------------
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.\" http://bugs.debian.org/507673
.\" http://lists.gnu.org/archive/html/groff/2009-02/msg00013.html
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.ie \n(.g .ds Aq \(aq
.el       .ds Aq '
.\" -----------------------------------------------------------------
.\" * set default formatting
.\" -----------------------------------------------------------------
.\" disable hyphenation
.nh
.\" disable justification (adjust text to left margin only)
.ad l
.\" -----------------------------------------------------------------
.\" * MAIN CONTENT STARTS HERE *
.\" -----------------------------------------------------------------
.SH "NAZWA"
apt-secure \- Wsparcie APT dla autentykacji archiwum\&.
.SH "OPIS"
.PP
Począwszy od wersji 0\&.6
\fBapt\fR
zawiera kod sprawdzający sygnatury plik\('ow "Release" wszystkich archiw\('ow\&. Zapewnia to, że pakiety w archiwum nie mogą być zmieniane przez ludzi nie mających dostępu do klucza używanego do podpisywania plik\('ow "Release"\&.
.PP
Jeśli pakiet pochodzi z archiwum niemającego sygnatury lub mającego sygnaturę, dla kt\('orej APT nie ma klucza, to pakiet taki jest uznawany za niezaufany, a podczas jego instalacji zostanie wypisane ostrzeżenie\&. Obecnie
\fBapt\-get\fR
tylko wypisuje ostrzeżenia o niepodpisanych archiwach, przysz\(/le wydania mogą wymuszać, by wszystkie źr\('od\(/la by\(/ly zweryfikowane, zanim w og\('ole APT spr\('obuje z nich pobrać pakiety\&.
.PP
Nak\(/ladki na APT typu
\fBapt-get\fR(8),
\fBaptitude\fR(8)
i
\fBsynaptic\fR(8)
obs\(/lugują ten nowy spos\('ob autoryzacji pakiet\('ow\&.
.SH "ZAUFANE ARCHIWA"
.PP
\(/Lańcuch zaufania prowadzący z archiwum APT do użytkownika końcowego sk\(/lada się z kilku r\('ożnych krok\('ow\&.
\fBapt\-secure\fR
jest ostatnim z nich\&. Ufanie archiwum nie oznacza, że pakiety z tego archiwum nie zawierają z\(/lośliwego kodu, ale oznacza ufanie opiekunowi archiwum\&. Obowiązkiem opiekuna archiwum jest zapewnienie poprawności integralności archiwum\&.
.PP
apt\-secure nie sprawdza sygnatur na poziomie pakiet\('ow\&. Aby sprawdzać te rzeczy, powinno się przyjrzeć poleceniom
\fBdebsig\-verify\fR
i
\fBdebsign\fR
(dostarczanych odpowiednio w pakietach debsig\-verify i devscripts)\&.
.PP
\(/Lańcuch zaufania w Debianie zaczyna się od wgrania nowego pakietu lub nowej wersji pakietu przez jego opiekuna do archiwum Debiana\&. Dostarczony przez opiekuna pakiet musi być podpisany przez klucz opiekuna znajdujący się w sk\(/ladnicy kluczy opiekun\('ow Debiana (dostępnej w pakiecie debian\-keyring)\&. Klucze opiekun\('ow są podpisane przez innych opiekun\('ow, tak jak wymagają tego odpowiednie procedury używane w Debianie do identyfikacji posiadacza klucza\&.
.PP
Po tym jak dostarczony przez opiekuna pakiet zostanie zweryfikowany i do\(/lączony do archiwum, sygnatura opiekuna jest usuwana, a sumy kontrolne pakietu są wyliczane i umieszczane w pliku Packages\&. Sumy kontrolne wszystkich plik\('ow Packages są następnie wyliczane i umieszczane w pliku Release\&. Plik Release jest następnie podpisywany przy użyciu klucza archiwum tego wydania dystrybucji Debian i dystrybuowany wraz z pakietami i plikami Packages przez serwery lustrzane Debian\&. Klucze archiwum znajdują się w sk\(/ladnicy kluczy Debian dostępnej w pakiecie
debian\-archive\-keyring\&.
.PP
Użytkownicy końcowi mogą sprawdzić sygnaturę pliku Release, wydobyć z niego sumę kontrolną MD5 pakietu i por\('ownać ją z sumą kontrolną MD5 pobranego pakietu\&. Mogą też polegać na tym, że APT zrobi to automatycznie\&.
.PP
Proszę zauważyć, że jest to czym innym niż sprawdzanie sygnatur poszczeg\('olnych pakiet\('ow\&. Zosta\(/lo to zaprojektowane tak, aby uchronić przed dwoma możliwymi typami atak\('ow:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Ataki sieciowe "cz\(/lowiek pośrodku" (ang\&. "man in the middle")\&. Jeżeli sygnatury nie są sprawdzane, to ktoś z\(/lośliwy może wprowadzić siebie w proces pobierania pakiet\('ow i dostarczyć z\(/lośliwe oprogramowanie albo przez przejęcie kontroli elementu infrastruktury sieciowej (router, prze\(/lącznik itp\&.), albo przez przekierowanie ruchu do fa\(/lszywego serwera (przez rozsy\(/lanie fa\(/lszywych pakiet\('ow ARP lub DNS, ang\&. "ARP (DNS) spoofing")\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Z\(/lamanie zabezpieczeń sieci serwer\('ow lustrzanych (ang\&. "mirror network compromise")\&. Jeśli sygnatury nie są sprawdzane, to ktoś z\(/lośliwy może w\(/lamać się na serwer lustrzany, zmodyfikować tam pliki, co spowodowa\(/loby udostępnienie z\(/lośliwego oprogramowania wszystkim użytkownikom pobierającym pakiety z tego serwera\&.
.RE
.PP
Jednakże nie chroni przed z\(/lamaniem zabezpieczeń g\(/l\('ownego serwera Debiana (używanego do podpisywania pakiet\('ow) lub z\(/lamaniem zabezpieczeń klucza używanego do podpisywania plik\('ow Release\&. Mechanizm ten stanowi uzupe\(/lnienie dla sprawdzania sygnatur poszczeg\('olnych pakiet\('ow\&.
.SH "KONFIGURACJA UŻYTKOWNIKA"
.PP
\fBapt\-key\fR
jest programem s\(/lużącym do zarządzania listą kluczy używanych przez APT\&. Można go użyć do dodania lub usunięcia klucza, chociaż zainstalowanie bieżącego wydania automatycznie dostarczy domyślny klucz używany w repozytoriach pakiet\('ow Debiana do podpisywania archiw\('ow Debiana\&.
.PP
Aby dodać nowy klucz, należy go najpierw pobrać (używając zaufanego kana\(/lu komunikacji podczas pobierania), dodać go poleceniem
\fBapt\-key\fR
oraz uruchomić
\fBapt\-get update\fR, tak żeby APT mog\(/lo pobrać i zweryfikować pliki
InRelease
lub
Release\&.gpg
ze skonfigurowanych archiw\('ow\&.
.SH "KONFIGURACJA ARCHIWUM"
.PP
Aby do\(/lączyć sygnatury do archiwum, kt\('orym się opiekujesz, należy:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fIUtworzyć plik Release w katalogu najwyższego poziomu\fR, jeśli jeszcze nie istnieje\&. Można to zrobić używając
\fBapt\-ftparchive release\fR
(dostarczanego w pakiecie apt\-utils)\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fIPodpisać go\fR\&. Można to zrobić za pomocą poleceń
\fBgpg \-\-clearsign \-o InRelease Release\fR
i
\fBgpg \-abs \-o Release\&.gpg Release\fR\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fIOpublikować odcisk klucza (ang\&. "key fingerprint")\fR, tak żeby użytkownicy wiedzieli, kt\('ory klucz zaimportować, żeby m\('oc autoryzować plik\('ow w archiwum\&.
.RE
.PP
Po każdej zmianie zawartości archiwum (dodaniu lub usunięciu pakiet\('ow), opiekun archiwum musi wykonać pierwsze dwa z wymienionych powyżej krok\('ow\&.
.SH "ZOBACZ TAKŻE"
.PP
\fBapt.conf\fR(5),
\fBapt-get\fR(8),
\fBsources.list\fR(5),
\fBapt-key\fR(8),
\fBapt-ftparchive\fR(1),
\fBdebsign\fR(1),
\fBdebsig-verify\fR(1),
\fBgpg\fR(1)
.PP
Więcej informacji można znaleźć w rozdziale "\m[blue]\fBDebian Security Infrastructure\fR\m[]\&\s-2\u[1]\d\s+2" podręcznika "Securing Debian Manual" i w dokumencie "\m[blue]\fBStrong Distribution HOWTO\fR\m[]\&\s-2\u[2]\d\s+2" napisanym przez V\&. Alexa Brennena\&.
.SH "BUGS"
.PP
\m[blue]\fBStrona b\(/lęd\('ow APT\fR\m[]\&\s-2\u[3]\d\s+2\&. Aby zg\(/losić b\(/ląd w APT, proszę przeczytać
/usr/share/doc/debian/bug\-reporting\&.txt
lub opis polecenia
\fBreportbug\fR(1)\&.
.SH "AUTOR"
.PP
APT zosta\(/lo napisane przez zesp\('o\(/l APT
<apt@packages\&.debian\&.org>\&.
.SH "AUTORZY STRONY PODRĘCZNIKA"
.PP
Ta strona podręcznika jest oparta na pracy następujących os\('ob: Javier Fern\('andez\-Sanguino Pe\(~na, Isaac Jones, Colin Walters, Florian Weimer i Michael Vogt\&.
.SH "T\(/LUMACZENIE"
.PP
T\(/lumaczenie stron podręcznika: Robert Luberda
<robert@debian\&.org>, 2000\-2012\&. T\(/lumaczenie przewodnika offline: Krzysztof Fiertek
<akfedux@megapolis\&.pl>, 2004
.PP
Proszę zauważyć, że przet\(/lumaczony dokument może zawierać fragmenty nieprzet\(/lumaczone\&. Ma to na celu uniknięcie utracenia istotnych informacji, w przypadkach gdy orygina\(/l zostanie zaktualizowany, a t\(/lumaczenie \- nie\&.
.SH "AUTORZY"
.PP
\fBJason Gunthorpe\fR
.RS 4
.RE
.PP
\fBzesp\('o\(/l APT\fR
.RS 4
.RE
.SH "PRZYPISY"
.IP " 1." 4
Debian Security Infrastructure
.RS 4
\%http://www.debian.org/doc/manuals/securing-debian-howto/ch7
.RE
.IP " 2." 4
Strong Distribution HOWTO
.RS 4
\%http://www.cryptnet.net/fdp/crypto/strong_distro.html
.RE
.IP " 3." 4
Strona b\(/lęd\('ow APT
.RS 4
\%http://bugs.debian.org/src:apt
.RE
