Serveranmeldedaten¶

By default all certificates trusted by the system (see ca-certificates package) are used for the verification of the server certificate. An alternative certificate authority (CA) can be configured with the Acquire::https::CAInfo option and its host-specific option Acquire::https::host::CAInfo. The CAInfo option specifies a file made up of CA certificates (in PEM format) concatenated together to create the chain which APT should use to verify the path from your self-signed root certificate. If the remote server provides the whole chain during the exchange, the file need only contain the root certificate. Otherwise, the whole chain is required. If you need to support multiple authorities, the only way is to concatenate everything.

A custom certificate revocation list (CRL) can be configured with the options Acquire::https::CRLFile and Acquire::https::host::CRLFile. As with the previous option, a file in PEM format needs to be specified.

Sicherheit deaktivieren¶

Wenn bei der Authentifizierung des Servers die Prüfung des Zertifikats aus irgendeinem Grund fehlschlägt (abgelaufen, zurückgezogen, Mann in der Mitte, usw.) scheitert der Verbindungsaufbau. Dies ist offenkundig das, was Sie auf jeden Fall wollen und der Vorgabewert (»true«) der Option Acquire::https::Verify-Peer und was ihre rechnerspezifische Variante bereitstellt. Falls Sie genau wissen, was Sie tun, ermöglicht Ihnen das Setzen dieser Variable auf »false«, die Prüfung des Partnerzertifikats zu überspringen und den Austausch erfolgreich durchzuführen. Nochmals – diese Option dient nur der Fehlersuche und zu Testzwecken, da sie alle durch die Verwendung von HTTPS bereitgestellte Sicherheit entfernt.

Ebenso kann die Option Acquire::https::Verify-Host und ihre rechnerspezifischen Variante zum Deaktivieren einer Sicherheitsfunktionalität verwendet werden: Das vom Server bereitgestellte Zertifikat enthält die Identität des Servers, der dem DNS-Namen entsprechen sollte, der zum Zugriff darauf benutzt wird. Standardmäßig wird, wie von RFC 2818 verlangt, der Name des Spiegelservers mit der im Zertifikat gefundenen Identität geprüft. Dieses Standardverhalten ist sicher und sollte nicht geändert werden, falls Sie jedoch wissen, dass der Server, den Sie verwenden, einen DNS-Namen hat, der nicht der Identität in seinem Zertifikat entspricht, können Sie die Option auf »false« setzen, wodurch das Vergleichen verhindert wird.

Client-Authentifizierung¶

Abseits der unterstützten passwortbasierten Authentifizierung (siehe apt_auth.conf(5)) unterstützt HTTPS auch die Authentifizierung auf Basis von Client-Zertifikaten mittels Acquire::https::SSLCert und Acquire::https::SSLKey. Sie sollten jeweils auf den Dateinamen des X.509-Client-Zertifikats und des zugehörigen (unverschlüsselten) privaten Schlüssels gesetzt werden, beide im PEM-Format. In der Praxis wird die Verwendung der rechnerspezifischen Varianten der beiden Optionen wärmstens empfohlen.