SysWiki - Вклад [ru]

FAQ/Резервное копирование всех баз данных для MariaDB

2024-03-19T10:09:21Z

Editor:

Для копирования всех баз в файл с именем, зависящем от текущей даты и времени (от пользователя root, без указания пароля): <br>
<code>mysqldump --routines --single-transaction --all-databases | gzip > db_$(date +%Y%m%d-%H%M%S).sql.gz</code>
[[Категория:FAQ]]

FAQ/Резервное копирование всех баз данных для MariaDB

2024-03-19T10:07:43Z

Editor:

FAQ/Резервное копирование всех баз данных для MariaDB

2024-03-19T10:05:08Z

Editor:

Для копирования всех баз в файл с именем, зависящем от текущей даты и времени: <br>
<code>mysqldump -u user -ppassword --routines --single-transaction --all-databases | gzip > db_$(date +%Y%m%d-%H%M%S).sql.gz</code>

FAQ/Резервное копирование всех баз данных для MariaDB

2024-03-19T10:04:42Z

Editor: Новая страница: «Для копирования всех баз в файл с именем, зависящем от текущей даты и времени: <code>mysqldump -u user -ppassword --routines --single-transaction --all-databases | gzip > db_$(date +%Y%m%d-%H%M%S).sql.gz</code>»

Для копирования всех баз в файл с именем, зависящем от текущей даты и времени:

<code>mysqldump -u user -ppassword --routines --single-transaction --all-databases | gzip > db_$(date +%Y%m%d-%H%M%S).sql.gz</code>

OpenSSH

2024-03-01T22:05:55Z

Editor: доработка раздела про ssh-keygen и создание раздела про вопросы безопасности

OpenSSH — набор приложений для защищённой передачи данных, включающий в себя и клиентскую, и серверную часть. Является фактическим стандартом для Linux и многих других UNIX-подобных операционных систем.

== Установка ==
Как правило, OpenSSH устанавливается при установке системы. В случае его отсутствия он может быть установлен следующей командой (на примере Debian GNU/Linux, установка и клиентской и серверной части):

apt install openssh-client openssh-server

== Приложения, входящие в состав OpenSSH ==
В состав OpenSSH в частности входят следующие приложения:

* sshd — сервер
* ssh — клиент
* ssh-keygen — утилита для генерирования ключей и управления ими
* ssh-agent — приложение для хранения расшифрованных ключей в памяти
* ssh-add — утилита для добавления ключа для использования в ssh-agent
* scp — утилита для безопасного копирования файлов, аналогичная утилите копирования cp
* sftp — утилита для безопасной передачи файлов, аналогичная ftp-клиенту

=== sshd ===
Программа sshd является сервером SSH. Как правило, запускается автоматически. Основной конфигурационный файл сервера — это обычно <code>/etc/ssh/sshd_config</code>. Ошибки в конфигурации sshd могут привести к потере возможности подключения к удалённому серверу, редактировать этот файл при удалённом подключении следует с осторожностью, хотя обычно, при перезапуске OpenSSH с новым конфигурационным файлом старые соединения сохраняются, это, с одной стороны, даёт возможность исправить ошибку, а, с другой, следует помнить, что работа текущего соединения после перезапуска сервера не означает, что конфигурация правильная, следует убедиться, возможны ли новые подключения.

=== ssh ===
Программа ssh является клиентом для подключения к SSH-серверу. Кроме предоставления доступа к командной оболочке удалённого сервера она также позволяет создавать защищённые туннели.

Обычный пример использования программы ssh:

ssh user@example.com

Данный пример показывает обычный сценарий работы, подключение к серверу example.com от имени пользователя user.

При первом подключении приложение сообщит информацию об отпечатке ключа сервера и предложит подтвердить подключение (если вы заботитесь о безопасности, у вас должен быть отпечаток ключа сервера, его можно получить от администратора, также, к примеру, многие хостинг-провайдеры, предоставляющие доступ по ssh, публикуют информацию об отпечатках используемых ключей на своих сайтах).

Далее приложение ssh попытается осуществить аутентификацию. Обычный порядок действий такой: сначала будет осуществлена попытка использовать ключи, которые предоставит ssh-agent и ключи, находящиеся по стандартным именам (например, ~/.ssh/id_ed25519, ~/.ssh/id_rsa), в случае, если ни один ключ не будет принят сервером, то будет выдан запрос на ввод пароля.

Вы можете указать ключ, который ssh должен использовать, при помощи опции -i:

ssh -i ~/.ssh/id_ed25519 user@example.com

Это может быть полезно в том случае, если ключ находится по нестандартному пути, а также в ситуации, когда настройки сервера требуют прерывать соединение при нескольких неудачных попытках соединения, и ssh, перебирая ключи, не успевает дойти до правильного. В таких ситуациях выводится сообщение «Too many authentication failures», и решить проблему можно указав нужный ключ при помощи опции -i.

Такая же ошибка может возникнуть в ситуации, когда у вас нет ключа, подходящего для сервера, вам нужно зайти туда при помощи пароля, но ssh, перебирая имеющиеся ключи, просто не даёт дойти до парольной аутентификации, поскольку сервер отключается раньше, и вы получаете сообщение об ошибке «Too many authentication failures». Чтобы указать ssh, что при данном подключении не нужно использовать ключи, что требуется использовать только аутентификацию по паролю, можно использовать следующий вариант:

ssh -o PreferredAuthentications=password user@example.com

<code>PreferredAuthentications</code> — это имя параметра из конфигурационного файла ssh, определяющего предпочтительные методы аутентификации, а при помощи опции командной строки -o можно устанавливать такие параметры для отдельных соединений, не меняя файл настроек, в данном случае можно установить его в <code>password</code>, что укажет ssh, что нужно использовать только аутентификацию по паролю.

=== ssh-keygen ===
Программа ssh-keygen предназначена для генерирования криптографических пар ключей, используемых для аутентификации вместо паролей. Пример генерации криптографической пары ключей:

ssh-keygen -t ed25519 -C 'My personal key'

Здесь при помощи параметра -t указан тип ключа, при помощи параметра -C указан комментарий, который будет добавлен в открытый ключ.

После запуска приложение запросит имя файла для сохранения секретного ключа. В данном примере это будет файл .ssh/id_ed25519 в домашнем каталоге пользователя (т..е полный путь может выглядеть примерно так: /home/user/.ssh/id_ed25519), обычно нет необходимости его менять (если только уже не существует другой ключ, находящийся в том файле). Далее будет запрошен пароль и, далее, подтверждение пароля. Пароль будет невозможно сбросить, если вы его забудете, при этом хорошим тоном является установка стойкого к подбору пароля достаточной длины. Рядом с файлом секретного ключа будет создан файл с публичным ключом, отличающийся от него расширением .pub.

Содержимое файла публичного ключа нужно добавить в файл authorized_keys в подкаталоге .ssh домашнего каталога пользователя, от имени которого вы должны входить в систему. Этот файл содержит строки вида:
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIDFsStlpvJs9a+/R+B5YKPkTm0KmTOJ1YSBjne+iO1NQ My personal key
Сначала идёт тип ключа, далее идёт открытый ключ и, далее, комментарий. Также эти строки могут содержать дополнительные опции подключения.

Также утилита ssh-keygen позволяет посмотреть отпечаток ключа сервера. Когда вы впервые подключаетесь к серверу SSH, то клиентское приложение показывает вам отпечаток ключа сервера, и вам следует сравнить его с реальным отпечатком ключа сервера, во избежание атаки типа [[MITM]]. Администратор сервера может посмотреть отпечаток ключа командой вида:

ssh-keygen -l -f /etc/ssh/ssh_host_ed25519_key.pub

В этой команде первый ключ -l означает просмотр отпечатка, после ключа -f идёт путь к открытому ключу, они по умолчанию имеют имена вида /etc/ssh/ssh_host_TYPE_key.pub, где вместо TYPE стоит тип ключа (rsa, ed25519 и т.д.).

Иногда клиентское приложение выводит отпечаток ключа не в том виде, в котором вы его ожидаете увидеть. Например, отпечаток вы ожидаете увидеть как непрерывную строку алфавитно-цифровых символов, а клиент SSH показывает строку байт в шестнадцатеричном виде, разделённых двоеточиями. В таких случаях нужно выбрать формат, в котором программа выдаст информацию об отпечатке ключа, это делается при помощи ключа -E. Вот например как выглядит команда получения информации о ключе RSA, с выводом отпечатка ключа, полученного по алгоритму MD5:

ssh-keygen -l -f /etc/ssh/ssh_host_rsa_key.pub -E md5

=== ssh-agent и ssh-add ===
При аутентификации по ключу используется криптографическая пара ключей, открытый ключ известен серверу, а закрытый находится на стороне пользователя, подключающегося к серверу. Закрытый ключ, в целях безопасности, рекомендуется защищать паролем, но это означает, что, без использования дополнительных средств, пользователю придётся вводить пароль каждый раз, когда он будет подключаться к серверу. Это не очень удобно, при этом убирать пароль не рекомендуется из соображений безопасности. При работе в Linux в графическом интерфейсе пароль может потребоваться вводить только один раз (до выхода пользователя из системы), то есть, задача обычно решается автоматически, без дополнительной настройки системы. При работе из консоли соответствующий результат можно получить при помощи пары утилит: ssh-agent и ssh-add. Сначала запускается ssh-agent, этот процесс будет хранить информацию о ключах, и, далее, при помощи ssh-add туда передаётся информация о ключе (на этом этапе нужно будет ввести пароль от него), и, далее, ssh сможет многократно использовать этот ключ без дополнительного запроса пароля.

==== ssh-agent ====
Утилита ssh-agent служит для сохранения открытого ключа в расшифрованном виде между подключениями. Данное приложение запускается не совсем обычным образом (в примере предполагается использование командной оболочки bash):

eval $(ssh-agent -s)

Смысл этой конструкции в следующем. При вызове ssh-agent -s программа запускает фоновый процесс для работы с ключами, информация для подключения к нему выводится в виде текста, содержащего команды оболочки, устанавливающие должным образом значения нескольких переменных, например:

SSH_AUTH_SOCK=/tmp/ssh-43fFGNj1mMxC/agent.284145; export SSH_AUTH_SOCK;
SSH_AGENT_PID=284146; export SSH_AGENT_PID;
echo Agent pid 284146;

А при помощи конструкции eval $(...) полученный код выполняется в контексте текущей командной оболочки. Конечным результатом является установка в текущем сеансе переменных SSH_AGENT_PID и SSH_AUTH_SOCK, содержащих данные для подключения к ssh-agent. Эти данные будут нужны утилите ssh-add.

==== ssh-add ====
Утилита ssh-add добавляет данные заданного ключа в фоновый процесс ssh-agent (который должен быть запущен ранее). Утилита обычно используется в таком формате:

ssh-add ~/.ssh/id_ed25519

Команда запросит пароль к заданному ключу. После чего ключ можно будет использовать без ввода пароля (до завершения процесса ssh-agent или удаления из него информации о ключе).

=== scp ===
Утилита scp служит для копирования файлов по защищённому протоколу SCP между системами. Пример использования:

scp -p file.txt user@example.com:/home/user/tmp

В данном примере копируется файл file.txt на сервер example.com, в каталог /home/user/tmp, подключаясь к серверу под именем пользователя user. Ключ -p означает, что у скопированных файлов время модификации и доступа будут совпадать с исходными (иначе они будут соответствовать времени копирования).

scp -pr directory user@example.com:/home/user/tmp

В данном примере копируется каталог directory со всем его содержимым (за что отвечает ключ -r, означающий рекурсивное копирование).

Обратите внимание, что результат копирования будет разный в зависимости от того, существует последний элемент пути назначения или нет. Допустим, в последнем примере в каталоге directory находится файл file.txt. И, если бы на сервере в каталоге /home/user не было бы каталога tmp, то он был бы создан, а содержимое directory было бы скопировано в него, то есть, на сервере появился бы файл /home/user/tmp/file.txt, или это можно сформулировать так, что каталог directory был бы скопирован на сервер под новым именем tmp. А если бы каталог tmp там уже существовал, то внутрь него был бы скопирован каталог directory вместе со всем содержимым, то есть, появился бы файл /home/user/tmp/directory/file.txt.

=== sftp ===
Утилита sftp предназначена для копирования файлов между системами по защищённому протоколу. Работа с нею осуществляется иначе, чем с утилитой scp — пользователь подключается к удалённому серверу, может просматривать содержимое его каталогов и вводить команды для копирования файлов на сервер или с него.

== Основные вопросы безопасности при использовании OpenSSH ==
OpenSSH является фактическим стандартном для предоставления удалённого доступа к командной оболочке в UNIX-подобных операционных системах, много лет обеспечивая защиту множества систем во всём мире. При этом неправильное использование даже надёжного криптографического программного обеспечения может предоставить злоумышленникам возможность взломать систему. В случае с OpenSSH пользователь и администратор системы могут совершить следующие ошибки:

* не проверить отпечаток ключа сервера (это создаст условия для атаки типа [[MITM]]);
* не проверить подлинность открытого ключа, отправленного, в частности, по электронной почте (злоумышленник может отправить свой ключ под видом ключа легального пользователя);
* отправить закрытый ключ вместо открытого (администратор системы, которому по ошибке переслали закрытый ключ, может получить техническую возможность подключения к другим системам от имени данного пользователя);
* не использовать пароль для закрытого ключа (взлом или заражение системы могут привести к утечке ключа и заражению множества других систем);
* использовать ключ устаревшего типа или недостаточной длины (в OpenSSH периодически добавляется поддержка ключей новых типов, при этом использование старых по умолчанию отключается);
* использовать слабый пароль (если вы посмотрите логи системы, подключённой к Интернет, то скорее всего увидите там множественные попытки подбора пароля для SSH).

Для уменьшения вероятности взлома часто рекомендуют изменить настройки сервера SSH для работы на нестандартном порту, однако само по себе это малоэффективно, поскольку порт будет найден при сканировании портов системы, но это может дать дополнительную защиту в сочетании с автоматической блокировкой адресов, с которых осуществляется попытка соединения на стандартный порт сервера SSH.

OpenSSH

2024-02-24T15:23:43Z

Editor: уточнены данные про scp и добавлено очень краткое описание работы с sftp

OpenSSH — набор приложений для защищённой передачи данных, включающий в себя и клиентскую, и серверную часть. Является фактическим стандартом для Linux и многих других UNIX-подобных операционных систем.

== Установка ==
Как правило, OpenSSH устанавливается при установке системы. В случае его отсутствия он может быть установлен следующей командой (на примере Debian GNU/Linux, установка и клиентской и серверной части):

apt install openssh-client openssh-server

== Приложения, входящие в состав OpenSSH ==
В состав OpenSSH в частности входят следующие приложения:

* sshd — сервер
* ssh — клиент
* ssh-keygen — утилита для генерирования ключей и управления ими
* ssh-agent — приложение для хранения расшифрованных ключей в памяти
* ssh-add — утилита для добавления ключа для использования в ssh-agent
* scp — утилита для безопасного копирования файлов, аналогичная утилите копирования cp
* sftp — утилита для безопасной передачи файлов, аналогичная ftp-клиенту

=== sshd ===
Программа sshd является сервером SSH. Как правило, запускается автоматически. Основной конфигурационный файл сервера — это обычно <code>/etc/ssh/sshd_config</code>. Ошибки в конфигурации sshd могут привести к потере возможности подключения к удалённому серверу, редактировать этот файл при удалённом подключении следует с осторожностью, хотя обычно, при перезапуске OpenSSH с новым конфигурационным файлом старые соединения сохраняются, это, с одной стороны, даёт возможность исправить ошибку, а, с другой, следует помнить, что работа текущего соединения после перезапуска сервера не означает, что конфигурация правильная, следует убедиться, возможны ли новые подключения.

=== ssh ===
Программа ssh является клиентом для подключения к SSH-серверу. Кроме предоставления доступа к командной оболочке удалённого сервера она также позволяет создавать защищённые туннели.

Обычный пример использования программы ssh:

ssh user@example.com

Данный пример показывает обычный сценарий работы, подключение к серверу example.com от имени пользователя user.

При первом подключении приложение сообщит информацию об отпечатке ключа сервера и предложит подтвердить подключение (если вы заботитесь о безопасности, у вас должен быть отпечаток ключа сервера, его можно получить от администратора, также, к примеру, многие хостинг-провайдеры, предоставляющие доступ по ssh, публикуют информацию об отпечатках используемых ключей на своих сайтах).

Далее приложение ssh попытается осуществить аутентификацию. Обычный порядок действий такой: сначала будет осуществлена попытка использовать ключи, которые предоставит ssh-agent и ключи, находящиеся по стандартным именам (например, ~/.ssh/id_ed25519, ~/.ssh/id_rsa), в случае, если ни один ключ не будет принят сервером, то будет выдан запрос на ввод пароля.

Вы можете указать ключ, который ssh должен использовать, при помощи опции -i:

ssh -i ~/.ssh/id_ed25519 user@example.com

Это может быть полезно в том случае, если ключ находится по нестандартному пути, а также в ситуации, когда настройки сервера требуют прерывать соединение при нескольких неудачных попытках соединения, и ssh, перебирая ключи, не успевает дойти до правильного. В таких ситуациях выводится сообщение «Too many authentication failures», и решить проблему можно указав нужный ключ при помощи опции -i.

Такая же ошибка может возникнуть в ситуации, когда у вас нет ключа, подходящего для сервера, вам нужно зайти туда при помощи пароля, но ssh, перебирая имеющиеся ключи, просто не даёт дойти до парольной аутентификации, поскольку сервер отключается раньше, и вы получаете сообщение об ошибке «Too many authentication failures». Чтобы указать ssh, что при данном подключении не нужно использовать ключи, что требуется использовать только аутентификацию по паролю, можно использовать следующий вариант:

ssh -o PreferredAuthentications=password user@example.com

<code>PreferredAuthentications</code> — это имя параметра из конфигурационного файла ssh, определяющего предпочтительные методы аутентификации, а при помощи опции командной строки -o можно устанавливать такие параметры для отдельных соединений, не меняя файл настроек, в данном случае можно установить его в <code>password</code>, что укажет ssh, что нужно использовать только аутентификацию по паролю.

=== ssh-keygen ===
Программа ssh-keygen предназначена для генерирования криптографических пар ключей, используемых для аутентификации вместо паролей. Пример генерации криптографической пары ключей:

ssh-keygen -t ed25519 -C 'My personal key'

Здесь при помощи параметра -t указан тип ключа, при помощи параметра -C указан комментарий, который будет добавлен в открытый ключ.

После запуска приложение запросит имя файла для сохранения секретного ключа, это будет файл .ssh/id_ed25519 в домашнем каталоге пользователя (т..е полный путь может выглядеть примерно так: /home/user/.ssh/id_ed25519), обычно нет необходимости его менять (если только уже не существует другой ключ, находящийся в том файле). Далее будет запрошен пароль и, далее, подтверждение пароля. Пароль будет невозможно сбросить, если вы его забудете, при этом хорошим тоном является установка стойкого к подбору пароля достаточной длины.

Также эта утилита позволяет посмотреть отпечаток ключа сервера. Когда вы впервые подключаетесь к серверу SSH, то клиентское приложение показывает вам отпечаток ключа сервера, и вам следует сравнить его с реальным отпечатком ключа сервера, во избежание атаки типа [[MITM]]. Администратор сервера может посмотреть отпечаток ключа командой вида:

ssh-keygen -l -f /etc/ssh/ssh_host_ed25519_key.pub

В этой команде первый ключ -l означает просмотр отпечатка, после ключа -f идёт путь к открытому ключу, они по умолчанию имеют имена вида /etc/ssh/ssh_host_TYPE_key.pub, где вместо TYPE стоит тип ключа (rsa, ed25519 и т.д.).

Иногда клиентское приложение выводит отпечаток ключа не в том виде, в котором вы его ожидаете увидеть. Например, отпечаток вы ожидаете увидеть как непрерывную строку алфавитно-цифровых символов, а клиент SSH показывает строку байт в шестнадцатеричном виде, разделённых двоеточиями. В таких случаях нужно выбрать формат, в котором программа выдаст информацию об отпечатке ключа, это делается при помощи ключа -E. Вот например как выглядит команда получения информации о ключе RSA, с выводом отпечатка ключа, полученного по алгоритму MD5:

ssh-keygen -l -f /etc/ssh/ssh_host_rsa_key.pub -E md5

=== ssh-agent и ssh-add ===
При аутентификации по ключу используется криптографическая пара ключей, открытый ключ известен серверу, а закрытый находится на стороне пользователя, подключающегося к серверу. Закрытый ключ, в целях безопасности, рекомендуется защищать паролем, но это означает, что, без использования дополнительных средств, пользователю придётся вводить пароль каждый раз, когда он будет подключаться к серверу. Это не очень удобно, при этом убирать пароль не рекомендуется из соображений безопасности. При работе в Linux в графическом интерфейсе пароль может потребоваться вводить только один раз (до выхода пользователя из системы), то есть, задача обычно решается автоматически, без дополнительной настройки системы. При работе из консоли соответствующий результат можно получить при помощи пары утилит: ssh-agent и ssh-add. Сначала запускается ssh-agent, этот процесс будет хранить информацию о ключах, и, далее, при помощи ssh-add туда передаётся информация о ключе (на этом этапе нужно будет ввести пароль от него), и, далее, ssh сможет многократно использовать этот ключ без дополнительного запроса пароля.

==== ssh-agent ====
Утилита ssh-agent служит для сохранения открытого ключа в расшифрованном виде между подключениями. Данное приложение запускается не совсем обычным образом (в примере предполагается использование командной оболочки bash):

eval $(ssh-agent -s)

Смысл этой конструкции в следующем. При вызове ssh-agent -s программа запускает фоновый процесс для работы с ключами, информация для подключения к нему выводится в виде текста, содержащего команды оболочки, устанавливающие должным образом значения нескольких переменных, например:

SSH_AUTH_SOCK=/tmp/ssh-43fFGNj1mMxC/agent.284145; export SSH_AUTH_SOCK;
SSH_AGENT_PID=284146; export SSH_AGENT_PID;
echo Agent pid 284146;

А при помощи конструкции eval $(...) полученный код выполняется в контексте текущей командной оболочки. Конечным результатом является установка в текущем сеансе переменных SSH_AGENT_PID и SSH_AUTH_SOCK, содержащих данные для подключения к ssh-agent. Эти данные будут нужны утилите ssh-add.

==== ssh-add ====
Утилита ssh-add добавляет данные заданного ключа в фоновый процесс ssh-agent (который должен быть запущен ранее). Утилита обычно используется в таком формате:

ssh-add ~/.ssh/id_ed25519

Команда запросит пароль к заданному ключу. После чего ключ можно будет использовать без ввода пароля (до завершения процесса ssh-agent или удаления из него информации о ключе).

=== scp ===
Утилита scp служит для копирования файлов по защищённому протоколу SCP между системами. Пример использования:

scp -p file.txt user@example.com:/home/user/tmp

В данном примере копируется файл file.txt на сервер example.com, в каталог /home/user/tmp, подключаясь к серверу под именем пользователя user. Ключ -p означает, что у скопированных файлов время модификации и доступа будут совпадать с исходными (иначе они будут соответствовать времени копирования).

scp -pr directory user@example.com:/home/user/tmp

В данном примере копируется каталог directory со всем его содержимым (за что отвечает ключ -r, означающий рекурсивное копирование).

Обратите внимание, что результат копирования будет разный в зависимости от того, существует последний элемент пути назначения или нет. Допустим, в последнем примере в каталоге directory находится файл file.txt. И, если бы на сервере в каталоге /home/user не было бы каталога tmp, то он был бы создан, а содержимое directory было бы скопировано в него, то есть, на сервере появился бы файл /home/user/tmp/file.txt, или это можно сформулировать так, что каталог directory был бы скопирован на сервер под новым именем tmp. А если бы каталог tmp там уже существовал, то внутрь него был бы скопирован каталог directory вместе со всем содержимым, то есть, появился бы файл /home/user/tmp/directory/file.txt.

=== sftp ===
Утилита sftp предназначена для копирования файлов между системами по защищённому протоколу. Работа с нею осуществляется иначе, чем с утилитой scp — пользователь подключается к удалённому серверу, может просматривать содержимое его каталогов и вводить команды для копирования файлов на сервер или с него.

OpenSSH

2024-02-24T15:11:41Z

Editor: добавлено краткое описание работы с scp

OpenSSH — набор приложений для защищённой передачи данных, включающий в себя и клиентскую, и серверную часть. Является фактическим стандартом для Linux и многих других UNIX-подобных операционных систем.

== Установка ==
Как правило, OpenSSH устанавливается при установке системы. В случае его отсутствия он может быть установлен следующей командой (на примере Debian GNU/Linux, установка и клиентской и серверной части):

apt install openssh-client openssh-server

== Приложения, входящие в состав OpenSSH ==
В состав OpenSSH в частности входят следующие приложения:

* sshd — сервер
* ssh — клиент
* ssh-keygen — утилита для генерирования ключей и управления ими
* ssh-agent — приложение для хранения расшифрованных ключей в памяти
* ssh-add — утилита для добавления ключа для использования в ssh-agent
* scp — утилита для безопасного копирования файлов, аналогичная утилите копирования cp
* sftp — утилита для безопасной передачи файлов, аналогичная ftp-клиенту

=== sshd ===
Программа sshd является сервером SSH. Как правило, запускается автоматически. Основной конфигурационный файл сервера — это обычно <code>/etc/ssh/sshd_config</code>. Ошибки в конфигурации sshd могут привести к потере возможности подключения к удалённому серверу, редактировать этот файл при удалённом подключении следует с осторожностью, хотя обычно, при перезапуске OpenSSH с новым конфигурационным файлом старые соединения сохраняются, это, с одной стороны, даёт возможность исправить ошибку, а, с другой, следует помнить, что работа текущего соединения после перезапуска сервера не означает, что конфигурация правильная, следует убедиться, возможны ли новые подключения.

=== ssh ===
Программа ssh является клиентом для подключения к SSH-серверу. Кроме предоставления доступа к командной оболочке удалённого сервера она также позволяет создавать защищённые туннели.

Обычный пример использования программы ssh:

ssh user@example.com

Данный пример показывает обычный сценарий работы, подключение к серверу example.com от имени пользователя user.

При первом подключении приложение сообщит информацию об отпечатке ключа сервера и предложит подтвердить подключение (если вы заботитесь о безопасности, у вас должен быть отпечаток ключа сервера, его можно получить от администратора, также, к примеру, многие хостинг-провайдеры, предоставляющие доступ по ssh, публикуют информацию об отпечатках используемых ключей на своих сайтах).

Далее приложение ssh попытается осуществить аутентификацию. Обычный порядок действий такой: сначала будет осуществлена попытка использовать ключи, которые предоставит ssh-agent и ключи, находящиеся по стандартным именам (например, ~/.ssh/id_ed25519, ~/.ssh/id_rsa), в случае, если ни один ключ не будет принят сервером, то будет выдан запрос на ввод пароля.

Вы можете указать ключ, который ssh должен использовать, при помощи опции -i:

ssh -i ~/.ssh/id_ed25519 user@example.com

Это может быть полезно в том случае, если ключ находится по нестандартному пути, а также в ситуации, когда настройки сервера требуют прерывать соединение при нескольких неудачных попытках соединения, и ssh, перебирая ключи, не успевает дойти до правильного. В таких ситуациях выводится сообщение «Too many authentication failures», и решить проблему можно указав нужный ключ при помощи опции -i.

Такая же ошибка может возникнуть в ситуации, когда у вас нет ключа, подходящего для сервера, вам нужно зайти туда при помощи пароля, но ssh, перебирая имеющиеся ключи, просто не даёт дойти до парольной аутентификации, поскольку сервер отключается раньше, и вы получаете сообщение об ошибке «Too many authentication failures». Чтобы указать ssh, что при данном подключении не нужно использовать ключи, что требуется использовать только аутентификацию по паролю, можно использовать следующий вариант:

ssh -o PreferredAuthentications=password user@example.com

<code>PreferredAuthentications</code> — это имя параметра из конфигурационного файла ssh, определяющего предпочтительные методы аутентификации, а при помощи опции командной строки -o можно устанавливать такие параметры для отдельных соединений, не меняя файл настроек, в данном случае можно установить его в <code>password</code>, что укажет ssh, что нужно использовать только аутентификацию по паролю.

=== ssh-keygen ===
Программа ssh-keygen предназначена для генерирования криптографических пар ключей, используемых для аутентификации вместо паролей. Пример генерации криптографической пары ключей:

ssh-keygen -t ed25519 -C 'My personal key'

Здесь при помощи параметра -t указан тип ключа, при помощи параметра -C указан комментарий, который будет добавлен в открытый ключ.

После запуска приложение запросит имя файла для сохранения секретного ключа, это будет файл .ssh/id_ed25519 в домашнем каталоге пользователя (т..е полный путь может выглядеть примерно так: /home/user/.ssh/id_ed25519), обычно нет необходимости его менять (если только уже не существует другой ключ, находящийся в том файле). Далее будет запрошен пароль и, далее, подтверждение пароля. Пароль будет невозможно сбросить, если вы его забудете, при этом хорошим тоном является установка стойкого к подбору пароля достаточной длины.

Также эта утилита позволяет посмотреть отпечаток ключа сервера. Когда вы впервые подключаетесь к серверу SSH, то клиентское приложение показывает вам отпечаток ключа сервера, и вам следует сравнить его с реальным отпечатком ключа сервера, во избежание атаки типа [[MITM]]. Администратор сервера может посмотреть отпечаток ключа командой вида:

ssh-keygen -l -f /etc/ssh/ssh_host_ed25519_key.pub

В этой команде первый ключ -l означает просмотр отпечатка, после ключа -f идёт путь к открытому ключу, они по умолчанию имеют имена вида /etc/ssh/ssh_host_TYPE_key.pub, где вместо TYPE стоит тип ключа (rsa, ed25519 и т.д.).

Иногда клиентское приложение выводит отпечаток ключа не в том виде, в котором вы его ожидаете увидеть. Например, отпечаток вы ожидаете увидеть как непрерывную строку алфавитно-цифровых символов, а клиент SSH показывает строку байт в шестнадцатеричном виде, разделённых двоеточиями. В таких случаях нужно выбрать формат, в котором программа выдаст информацию об отпечатке ключа, это делается при помощи ключа -E. Вот например как выглядит команда получения информации о ключе RSA, с выводом отпечатка ключа, полученного по алгоритму MD5:

ssh-keygen -l -f /etc/ssh/ssh_host_rsa_key.pub -E md5

=== ssh-agent и ssh-add ===
При аутентификации по ключу используется криптографическая пара ключей, открытый ключ известен серверу, а закрытый находится на стороне пользователя, подключающегося к серверу. Закрытый ключ, в целях безопасности, рекомендуется защищать паролем, но это означает, что, без использования дополнительных средств, пользователю придётся вводить пароль каждый раз, когда он будет подключаться к серверу. Это не очень удобно, при этом убирать пароль не рекомендуется из соображений безопасности. При работе в Linux в графическом интерфейсе пароль может потребоваться вводить только один раз (до выхода пользователя из системы), то есть, задача обычно решается автоматически, без дополнительной настройки системы. При работе из консоли соответствующий результат можно получить при помощи пары утилит: ssh-agent и ssh-add. Сначала запускается ssh-agent, этот процесс будет хранить информацию о ключах, и, далее, при помощи ssh-add туда передаётся информация о ключе (на этом этапе нужно будет ввести пароль от него), и, далее, ssh сможет многократно использовать этот ключ без дополнительного запроса пароля.

==== ssh-agent ====
Утилита ssh-agent служит для сохранения открытого ключа в расшифрованном виде между подключениями. Данное приложение запускается не совсем обычным образом (в примере предполагается использование командной оболочки bash):

eval $(ssh-agent -s)

Смысл этой конструкции в следующем. При вызове ssh-agent -s программа запускает фоновый процесс для работы с ключами, информация для подключения к нему выводится в виде текста, содержащего команды оболочки, устанавливающие должным образом значения нескольких переменных, например:

SSH_AUTH_SOCK=/tmp/ssh-43fFGNj1mMxC/agent.284145; export SSH_AUTH_SOCK;
SSH_AGENT_PID=284146; export SSH_AGENT_PID;
echo Agent pid 284146;

А при помощи конструкции eval $(...) полученный код выполняется в контексте текущей командной оболочки. Конечным результатом является установка в текущем сеансе переменных SSH_AGENT_PID и SSH_AUTH_SOCK, содержащих данные для подключения к ssh-agent. Эти данные будут нужны утилите ssh-add.

==== ssh-add ====
Утилита ssh-add добавляет данные заданного ключа в фоновый процесс ssh-agent (который должен быть запущен ранее). Утилита обычно используется в таком формате:

ssh-add ~/.ssh/id_ed25519

Команда запросит пароль к заданному ключу. После чего ключ можно будет использовать без ввода пароля (до завершения процесса ssh-agent или удаления из него информации о ключе).

=== scp ===
Утилита scp служит для копирования файлов по защищённому протоколу SCP между системами. Пример использования:

scp -p file.txt user@example.com:/home/user/tmp

В данном примере копируется файл file.txt на сервер example.com, в каталог /home/user/tmp, подключаясь к серверу под именем пользователя user. Ключ -p означает, что у скопированных файлов время модификации и доступа будут совпадать с исходными (иначе они будут соответствовать времени копирования).

scp -pr directory user@example.com:/home/user/tmp

В данном примере копируется каталог directory со всем его содержимым (за что отвечает ключ -r, означающий рекурсивное копирование).

Обратите внимание, что результат копирования будет разный в зависимости от того, существует последний элемент пути назначения или нет. Допустим, во втором примере, в каталоге directory находится файл file.txt. И, если бы на сервере в каталоге /home/user не было бы каталога tmp, то он был бы создан, а содержимое directory было бы скопировано в него, то есть, на сервере появился бы файл /home/user/tmp/file.txt. А если бы каталог tmp там существовал, то внутрь него был бы скопирован каталог directory вместе со всем содержимым, то есть, появился бы файл /home/user/tmp/directory/file.txt.

=== sftp ===

OpenSSH

2024-02-24T14:38:34Z

Editor: /* ssh-agent */

OpenSSH

2024-02-24T11:38:02Z

Editor: /* ssh */

OpenSSH

2024-02-23T19:16:08Z

Editor: /* ssh */

OpenSSH

2024-02-23T18:53:28Z

Editor: подробнее описана работа ssh-agent, изменено форматирование

OpenSSH

2024-02-23T18:42:20Z

Editor: /* ssh-agent и ssh-add */

OpenSSH

2024-02-18T21:53:01Z

Editor: подробнее описана работа с ssh-agent и ssh-add

OpenSSH

2024-02-18T21:20:04Z

Editor: подробнее описана работа с ssh-keygen

OpenSSH

2024-02-11T08:52:20Z

Editor: добавлена информация о ряде приложений, входящих в состав OpenSSH

OpenSSH

2024-02-10T21:42:13Z

Editor: создание заготовки страницы

OpenSSH — приложение для работы по протоколу SSH, включающее в себя и клиентскую, и серверную часть. Является фактическим стандартом для Linux и многих других UNIX-подобных операционных систем.

SSH

2024-02-10T21:39:05Z

Editor: доработка текста

'''SSH''' — сетевой криптографический протокол, предназначенный для безопасного доступа к удалённой командной оболочке, а также для создания защищённых туннелей.

Протокол SSH основан на клиент-серверной архитектуре, работает по протоколу TCP, стандартный порт для сервера SSH — 22. Он является основным вариантом для удалённого администрирования UNIX-подобных операционных систем, предоставляя защищённый доступ к командной оболочке по незащищённой сети. Аутентификация при работе по SSH обычно осуществляется при помощи логина и пароля или при помощи алгоритмов электронной подписи с открытым ключом, хотя существует вариант аутентификации по IP-адресу.

== Аутентификация при подключении к серверу SSH ==

=== Аутентификация по паролю ===
Наиболее простой вариант аутентификации для SSH — это использование логина и пароля. Обычно это те же логин и пароль, которые используются при входе в систему (на сервере). При этом для пользователя root аутентификация по паролю в SSH часто отключена из соображений безопасности.

=== Аутентификация с использованием алгоритмов электронной подписи с открытым ключом ===
Данный вариант считается более безопасным и удобным, чем вариант с аутентификацией по паролю. Для его использования необходимо сгенерировать пару ключей, обычно это делается приложением, которое идёт в комплекте с SSH-клиентом. Закрытый ключ пользователь должен хранить в тайне от остальных (более того, при генерации ключевой пары будет предложено задать пароль, чтобы закрытый ключ хранился зашифрованным), а открытый ключ нужно передать администратору удалённой машины для того, чтобы администратор добавил открытый ключ в список разрешённых для SSH-сервера (это может делаться, например, добавлением ключа в файл .ssh/authorized_keys в домашнем каталоге пользователя на сервере). Для пользователя установление связи с удалённой машиной выглядит примерно так же, как в предыдущем варианте, но, в случае успешной аутентификации по ключу, пароль не запрашивается.

Данные открытого ключа выглядят следующим образом: это строка, в начале которой идёт информация о типе ключа (например, «ssh-ed25519» или «ssh-rsa»), далее, через пробел, идёт сам ключ в виде последовательности символов (размер которой зависит от типа ключа и его длины), далее, опять же, через пробел, может идти комментарий.

Пример открытого ключа:

<code>ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIE5rD/4RXDAsVtB4aVUJdFpfCiKIbFGrYxyKpk6php/F My personal key</code>

Иногда, по ошибке, администратору удалённой машины пересылается не открытый ключ, а закрытый (обычно он хранится в файле с похожим названием), что является грубой ошибкой: один и тот же ключ может использоваться для доступа к разным серверам, и администратор одного из них, получив ошибочно высланный ключ, получит техническую возможность подключаться от имени пользователя к другим серверам. Отправлять третьим лицам закрытый ключ не следует, при этом отправка открытого ключа может считаться безопасной.

Некоторые приложения для генерации ключей могут разбивать длинную строку на несколько более коротких строк, при этом на сервере может потребоваться привести его к описанному выше виду.

== Предотвращение атак типа MITM ==
Для предотвращения атак типа [[MITM]] при первом подключении к серверу клиетская программа показывает удалённому пользователю отпечаток ключа сервера. Пользователь должен иметь возможность получить для сравнения этот отпечаток другим путём, и подтверждать подключение только убедившись в подлинности сервера. При повторном подключении запрос на подтверждение не выводится, пока открытый ключ сервера не поменяется.

При игнорировании этой проверки существует техническая возможность перехватить пароль и другую информацию, передаваемую между клиентом и сервером: злоумышленник, имеющий возможность перехватывать пакеты, пересылаемые между клиентом и сервером, может создать свой сервер SSH, отвечающий вместо настоящего, который получит таким образом введённые пользователем логин и пароль, далее установит соединение с настоящим сервером с учётными данными легального пользователя, и будет передавать команды пользователя на настоящий сервер, возвращая пользователю ответы настоящего сервера. При этом для пользователя и для настоящего сервера соединение будет выглядеть защищённым. Однако у сервера злоумышленника будет своя пара криптографических ключей, и, если пользователь проверит отпечаток, то увидет несоответствие и обнаружит атаку.

Если отпечаток ключа сервера был проверен, но, при очередном подключении, неожиданно снова был выдан запрос на подтверждение, это означает, что либо администратор системы поменял ключ сервера, либо происходит попытка атаки типа MITM.

== Приложения для работы по протоколу SSH ==

=== Клиентские приложения ===

* ssh ([[OpenSSH]])
* [[PuTTY]]

=== Серверные приложения ===
* sshd (OpenSSH)

== См. также ==

* [https://datatracker.ietf.org/doc/html/rfc4251 RFC 4251 «The Secure Shell (SSH) Protocol Architecture»]

Less

2024-02-10T15:17:45Z

Editor: исправлен текст и добавлен раздел про поиск

'''less''' — утилита для постраничного вывода информации.

== Общие сведения ==
Утилита less предназначена для постраничного показа на экране терминала содержимого текстовых файлов или потока вывода другой программы. Утилита является продвинутым аналогом программы more, которая обладает достаточно ограниченным функционалом (например, не позволяет осуществлять прокрутку текста назад).

=== Простейшие примеры вызова программы ===
less file.txt — постранично покажет содержимое файла file.txt

ls /home/user | less — постранично покажет вывод команды ls /home/user (то есть, список файлов в домашнем каталоге пользователя user)

== Опции командной строки и команды ==
Как и многие другие программы, при вызове утилиты less можно указывать опции командной строки, также в процессе работы ею можно управлять через команды, но при этом команды можно передать как опции командной строки (с предшествующим символом «+»), и наоборот, многие опции командной строки можно ввести как команды в процессе работы программы (просто набирая их на клавиатуре). К примеру, опция «-i» делает поиск нечувствительным к регистру (если шаблон для поиска набран в нижнем регистре), но, если эта опция не была добавлена при вызове, то, в процессе работы с less можно просто набрать символы «-i» в качестве команды, и переключить режим поиска, и, обратный пример, если после вызова less нужно попасть в самый конец файла, что делается командой G, можно, вместо ручного ввода команды, запустить less таким образом: less +G.

Обычно программа less используется для просмотра одного файла (или передаваемой ей на стандартный ввод информации), но также она может показывать (по очереди) содержимое нескольких файлов. В последнем случае, при указании команды в командной строке, префикс «+» означает, что команда будет выполнена только для первого файла, если же она должна быть выполнена для каждого из файлов, нужно использовать префикс «++». Например, чтобы открыть два файла и перейти в конец каждого из них, команда less может быть вызвана таким образом:

less ++G file0.txt file1.txt

== Полезные опции и команды ==
Полный список опций и команд программы less достаточно обширен и может быть просмотрен при помощи команды <code>man less</code>. Ниже будет представлен небольшой набор полезных или важных опций и команд. При этом, как уже было сказано выше, многие опции командной строки могут быть использованы как команды, и наоборот.

=== Опции командной строки ===
{| class="wikitable"
|+
!Опция
!Назначение
|-
| -i или --ignore-case
|При поиске игнорировать регистр символов, если шаблон набран в нижнем регистре (например, строки «test» и «Test» попадут под шаблон «test», но под шаблон «Test» попадёт только вторая из них).
|-
| -I или --IGNORE-CASE
|При поиске полностью игнорировать регистр символов.
|-
| -N или --LINE-NUMBERS
|Показывать номера строк.
|-
| +
|Рассматривать последующие символы (до разделителя) как команду, которая должна быть выполнена после открытия файла (только для первого файла, если открывается несколько файлов).
|-
| ++
|Аналогично +, но команда будет выполнена для всех открытых в less файлов.
|}

=== Команды ===
{| class="wikitable"
|+
!Команда
!Назначение
|-
|h или H
|Вывод справки по командам.
|-
|q
|Выход из less
|-
|/
|Поиск вперёд. После символа / должен быть введён шаблон, который рассматривается как регулярное выражение, но, если после / (и до ввода шаблона) нажать комбинацию клавиш Ctrl-R, то будет осуществлён простой текстовой поиск.
|-
|?
|Аналогично /, но поиск идёт в обратном направлении.
|-
|g
|Переход в начало файла. Если перед командой набрать номер строки, будет осуществлён переход к ней (например, 10g означает переход к десятой строке.
|-
|G
|Переход в конец файла. Если перед командой набрать номер строки, будет осуществлён переход к ней, как и в случае команды g.
|-
|F
|Перейти в конец отображаемого файла и ожидать добавления в него новых данных, показывая их по мере появления. Это полезная опция для просмотра, например, файлов логов, она позволяет видеть изменения сразу, не перезапуская программу.
|-
|=
|Показать информацию о файле в последней строке.
|-
|:n
|Переход к следующему файлу (если при вызове less в числе параметров было передано больше одного имени файла).
|-
|:p
|Переход к предыдущему файлу (если при вызове less в числе параметров было передано больше одного имени файла).
|-
|v
|Вызвать текстовый редактор.
|-
|!
|Запустить командную оболочку.
|}

== Поиск ==
Важной составляющей команды less является поиск по содержимому файлов. Шаблон для поиска может рассматриваться как обычный текст и как регулярное выражение, что даёт более широкие возможности для поиска. Для поиска служит команда / (для поиска от текущего положения к началу файла используется команда ?), после команды нужно ввести шаблон для поиска. Например, если нужно найти строку, содержащую слово «user», нужно будет набрать следующую последовательность:

/user

После нажатия на клавишу перевода строки, less покажет первую строку, в которой есть такая подстрока.

Для перехода к следующему результату поиска нужно нажать <code>n</code>, для перехода к предыдущему — нажать <code>N</code>.

По умолчанию предполагается поиск регулярных выражений, что может привести к неожиданному результату для тех, кто не работал с ними. Например, если шаблон для поиска содержит обычную точку, то она будет рассматриваться как любой символ, поэтому, например, по шаблону «abc.» будет найдено не только точное соответствие, под него попадёт, например, и строка, содержащая «abcd», «abc9», «abc!» и т.п. Если вам нужен поиск по простому текстовому соответствию, то, после команды / (или, соответственно, ?) нужно нажать комбинацию клавиш Ctrl-R, для индикации того, что режим поиска переключён, перед приглашением для ввода шаблона появится уведомление: «Regex-off».

== Вопросы безопасности ==
Команда less позволяет выполнять команды оболочки. Если в процессе выполнения команды less нажать символ «!», то далее можно ввести команду оболочки, например, запустить интерпретатор bash. Чтобы запретить такое поведение, нужно установить переменную окружения LESSSECURE в значение 1. Это может быть актуально например для скриптов, выполняемых через sudo: если в таком скрипте пользователю, при помощи less, постранично показывается некий текст, то пользователь может получить повысить свои привилегии в системе, если переменная LESSSECURE не будет установлена в 1.

Less

2024-02-08T22:39:47Z

Editor: дано простое описание работы с less

'''less''' — утилита для постраничного вывода информации.

== Общие сведения ==
Утилита less предназначена для постраничного показа на экране терминала содержимого текстовых файлов или потока вывода другой программы. Утилита является продвинутым аналогом программы more, которая обладает достаточно ограниченным функционалом (например, не позволяет осуществлять прокрутку текста назад).

=== Простейшие примеры вызова программы ===
less file.txt — постранично покажет содержимое файла file.txt

ls /home/user | less — постранично покажет вывод команды ls /home/user (то есть, список файлов в домашнем каталоге пользователя user)

== Опции командной строки и команды ==
Как и многие другие программы, при вызове утилиты less можно указывать опции командной строки, также в процессе работы ею можно управлять через команды, но при этом команды можно передать как опции командной строки (с предшествующим символом «+»), и наоборот, многие опции командной строки можно ввести как команды в процессе работы программы (просто набирая их на клавиатуре). К примеру, опция «-i» делает поиск нечувствительным к регистру (если шаблон для поиска набран в нижнем регистре), но, если эта опция не была добавлена при вызове, то, в процессе работы с less можно просто набрать символы «-i» в качестве команды, и переключить режим поиска, и, обратный пример, если после вызова less нужно попасть в самый конец файла, что делается командой G, можно, вместо ручного ввода команды, запустить less таким образом: less +G.

Обычно программа less используется для просмотра одного файла (или передаваемой ей на стандартный ввод информации), но также она может показывать (по очереди) содержимое нескольких файлов. В последнем случае, при указании команды в командной строке, префикс «+» означает, что команда будет выполнена только для первого файла, если же она должна быть выполнена для каждого из файлов, нужно использовать префикс «++». Например, чтобы открыть два файла и перейти в конец каждого из них, команда less может быть вызвана таким образом:

less ++G file0.txt file1.txt

== Полезные опции и команды ==
Полный список опций и команд программы less достаточно обширен и может быть просмотрен при помощи команды <code>man less</code>. Ниже будет представлен небольшой набор возможно наиболее полезных или важных опций. Как уже было сказано выше, многие опции командной строки могут быть

=== Опции командной строки ===
{| class="wikitable"
|+
!Опция
!Назначение
|-
| -i или --ignore-case
|При поиске игнорировать регистр символов, если шаблон набран в нижнем регистре (например, строки «test» и «Test» попадут под шаблон «test», но под шаблон «Test» попадёт только вторая из них).
|-
| -I или --IGNORE-CASE
|При поиске полностью игнорировать регистр символов.
|-
| -N или --LINE-NUMBERS
|Показывать номера строк.
|-
| +
|Рассматривать последующие символы (до разделителя) как команду, которая должна быть выполнена после открытия файла (только для первого файла, если открывается несколько файлов).
|-
| ++
|Аналогично +, но команда будет выполнена для всех открытых в less файлов.
|}

=== Команды ===
{| class="wikitable"
|+
!Команда
!Назначение
|-
|h или H
|Вывод справки по командам.
|-
|q
|Выход из less
|-
|/
|Поиск вперёд. После символа / должен быть введён шаблон, который рассматривается как регулярное выражение, но, если после / (и до ввода шаблона) нажать комбинацию клавиш Ctrl-R, то будет осуществлён простой текстовой поиск.
|-
|?
|Аналогично /, но поиск идёт в обратном направлении.
|-
|g
|Переход в начало файла. Если перед командой набрать номер строки, будет осуществлён переход к ней (например, 10g означает переход к десятой строке.
|-
|G
|Переход в конец файла. Если перед командой набрать номер строки, будет осуществлён переход к ней, как и в случае команды g.
|-
|=
|Показать информацию о файле в последней строке.
|-
|:n
|Переход к следующему файлу (если при вызове less в числе параметров было передано больше одного имени файла).
|-
|:p
|Переход к предыдущему файлу (если при вызове less в числе параметров было передано больше одного имени файла).
|-
|v
|Вызвать текстовый редактор.
|-
|!
|Запустить командную оболочку.
|}

== Вопросы безопасности ==
Команда less позволяет выполнять команды оболочки. Если в процессе выполнения команды less нажать символ «!», то далее можно ввести команду оболочки, например, запустить интерпретатор bash. Чтобы запретить такое поведение, нужно установить переменную окружения LESSSECURE в значение 1. Это может быть актуально например для скриптов, выполняемых через sudo: если в таком скрипте пользователю, при помощи less, постранично показывается некий текст, то пользователь может получить повысить свои привилегии в системе, если переменная LESSSECURE не будет установлена в 1.

Less

2024-02-05T23:02:07Z

Editor: добавлена небольшая часть информации

'''less''' — утилита для постраничного вывода информации.

== Общие сведения ==

== Примеры использования ==

== Вопросы безопасности ==
Команда less позволяет выполнять команды оболочки. Если в процессе выполнения команды less нажать символ «!», то далее можно ввести команду оболочки, например, запустить интерпретатор bash. Чтобы запретить такое поведение, нужно установить переменную окружения LESSSECURE в значение 1.

Список открытых ключей для проверки подлинности дистрибутивов программного обеспечения

2024-02-05T22:45:08Z

Editor: исправление ссылки с http на https

В таблице со списком открытых ключей ряда проектов, кроме ссылок непосредственно на ключи, в целях безопасности, даны ссылки на страницы на сайтах этих проектов, содержащих данную информацию, рекомендуется использовать эти ссылки чтобы видеть, что вы скачиваете открытые ключи именно с соответствующих сайтов.
{| class="wikitable"
|+ Список открытых ключей
|-
! Проект !! Ссылки на страницы загрузки ключей (или с информацией об отпечатках)
!Прямые ссылки на файлы открытых ключей (при наличии)
|-
|[[Apache|Apache HTTP Server]]
|https://httpd.apache.org/dev/verification.html
|https://downloads.apache.org/httpd/KEYS
|-
|Arch Linux
|https://wiki.archlinux.org/title/Installation_guide#Verify_signature
|
|-
| rowspan="2" | [[Debian]]|| rowspan="2" | https://ftp-master.debian.org/keys.html
|https://ftp-master.debian.org/keys/archive-key-12.asc
|-
|https://ftp-master.debian.org/keys/archive-key-12-security.asc
|-
| [https://fedoraproject.org/ Fedora]|| https://fedoraproject.org/security
|
|-
| [https://www.mozilla.org/ru/firefox/ Firefox]|| https://blog.mozilla.org/security/2023/05/11/updated-gpg-key-for-signing-firefox-releases/
|http://releases.mozilla.org/pub/firefox/releases/122.0/KEY
|-
|Gentoo
|https://www.gentoo.org/downloads/signatures/
|
|-
|Linux Mint
|https://linuxmint-installation-guide.readthedocs.io/en/latest/verify.html
|
|-
|[[MariaDB]]
|https://mariadb.com/kb/en/gpg/
|
|-
|[[Nginx]]
|http://nginx.org/en/pgp_keys.html
|
|-
| [https://nodejs.org/ Node.js]|| https://github.com/nodejs/node?tab=readme-ov-file#release-keys
|
|-
|[[PHP]]
|https://www.php.net/downloads.php#gpg-8.3
|
|-
| rowspan="7" | [[Python]] || rowspan="7" | https://www.python.org/downloads/
|https://github.com/Yhg1s.gpg
|-
|https://keybase.io/pablogsal/pgp_keys.asc?fingerprint=a035c8c19219ba821ecea86b64e628f8d684696d
|-
|https://keybase.io/stevedower/pgp_keys.asc?fingerprint=7ed10b6531d7c8e1bc296021fc624643487034e5
|-
|https://keybase.io/ambv/pgp_keys.asc?fingerprint=e3ff2839c048b25c084debe9b26995e310250568
|-
|https://keybase.io/nad/pgp_keys.asc?fingerprint=0d96df4d4110e5c43fbfb17f2d347ea6aa65421d
|-
|https://keybase.io/nad/pgp_keys.asc?fingerprint=c9b104b3dd3aa72d7ccb1066fb9921286f5e1540
|-
|https://keybase.io/bp/pgp_keys.asc?fingerprint=c01e1cad5ea2c4f0b8e3571504c367c218add4ff
|-
|[[Ubuntu]]
|https://ubuntu.com/tutorials/how-to-verify-ubuntu#4-retrieve-the-correct-signature-key
|
|-
|VLC
|https://download.videolan.org/pub/videolan/keys/
|
|-
|Ядро Linux
|https://kernel.org/category/signatures.html
|
|}
[[Категория:Криптография]]
[[Категория:Безопасность]]

Список открытых ключей для проверки подлинности дистрибутивов программного обеспечения

2024-02-05T22:43:00Z

Editor: добавлена ссылка для VLC

В таблице со списком открытых ключей ряда проектов, кроме ссылок непосредственно на ключи, в целях безопасности, даны ссылки на страницы на сайтах этих проектов, содержащих данную информацию, рекомендуется использовать эти ссылки чтобы видеть, что вы скачиваете открытые ключи именно с соответствующих сайтов.
{| class="wikitable"
|+ Список открытых ключей
|-
! Проект !! Ссылки на страницы загрузки ключей (или с информацией об отпечатках)
!Прямые ссылки на файлы открытых ключей (при наличии)
|-
|[[Apache|Apache HTTP Server]]
|https://httpd.apache.org/dev/verification.html
|https://downloads.apache.org/httpd/KEYS
|-
|Arch Linux
|https://wiki.archlinux.org/title/Installation_guide#Verify_signature
|
|-
| rowspan="2" | [[Debian]]|| rowspan="2" | https://ftp-master.debian.org/keys.html
|https://ftp-master.debian.org/keys/archive-key-12.asc
|-
|https://ftp-master.debian.org/keys/archive-key-12-security.asc
|-
| [https://fedoraproject.org/ Fedora]|| https://fedoraproject.org/security
|
|-
| [https://www.mozilla.org/ru/firefox/ Firefox]|| https://blog.mozilla.org/security/2023/05/11/updated-gpg-key-for-signing-firefox-releases/
|http://releases.mozilla.org/pub/firefox/releases/122.0/KEY
|-
|Gentoo
|https://www.gentoo.org/downloads/signatures/
|
|-
|Linux Mint
|https://linuxmint-installation-guide.readthedocs.io/en/latest/verify.html
|
|-
|[[MariaDB]]
|https://mariadb.com/kb/en/gpg/
|
|-
|[[Nginx]]
|http://nginx.org/en/pgp_keys.html
|
|-
| [https://nodejs.org/ Node.js]|| https://github.com/nodejs/node?tab=readme-ov-file#release-keys
|
|-
|[[PHP]]
|https://www.php.net/downloads.php#gpg-8.3
|
|-
| rowspan="7" | [[Python]] || rowspan="7" | https://www.python.org/downloads/
|https://github.com/Yhg1s.gpg
|-
|https://keybase.io/pablogsal/pgp_keys.asc?fingerprint=a035c8c19219ba821ecea86b64e628f8d684696d
|-
|https://keybase.io/stevedower/pgp_keys.asc?fingerprint=7ed10b6531d7c8e1bc296021fc624643487034e5
|-
|https://keybase.io/ambv/pgp_keys.asc?fingerprint=e3ff2839c048b25c084debe9b26995e310250568
|-
|https://keybase.io/nad/pgp_keys.asc?fingerprint=0d96df4d4110e5c43fbfb17f2d347ea6aa65421d
|-
|https://keybase.io/nad/pgp_keys.asc?fingerprint=c9b104b3dd3aa72d7ccb1066fb9921286f5e1540
|-
|https://keybase.io/bp/pgp_keys.asc?fingerprint=c01e1cad5ea2c4f0b8e3571504c367c218add4ff
|-
|[[Ubuntu]]
|https://ubuntu.com/tutorials/how-to-verify-ubuntu#4-retrieve-the-correct-signature-key
|
|-
|VLC
|http://download.videolan.org/pub/videolan/keys/
|
|-
|Ядро Linux
|https://kernel.org/category/signatures.html
|
|}
[[Категория:Криптография]]
[[Категория:Безопасность]]

Список открытых ключей для проверки подлинности дистрибутивов программного обеспечения

2024-02-05T22:37:37Z

Editor: перенос ссылки в другую колонку

В таблице со списком открытых ключей ряда проектов, кроме ссылок непосредственно на ключи, в целях безопасности, даны ссылки на страницы на сайтах этих проектов, содержащих данную информацию, рекомендуется использовать эти ссылки чтобы видеть, что вы скачиваете открытые ключи именно с соответствующих сайтов.
{| class="wikitable"
|+ Список открытых ключей
|-
! Проект !! Ссылки на страницы загрузки ключей (или с информацией об отпечатках)
!Прямые ссылки на файлы открытых ключей (при наличии)
|-
|[[Apache|Apache HTTP Server]]
|https://httpd.apache.org/dev/verification.html
|https://downloads.apache.org/httpd/KEYS
|-
|Arch Linux
|https://wiki.archlinux.org/title/Installation_guide#Verify_signature
|
|-
| rowspan="2" | [[Debian]]|| rowspan="2" | https://ftp-master.debian.org/keys.html
|https://ftp-master.debian.org/keys/archive-key-12.asc
|-
|https://ftp-master.debian.org/keys/archive-key-12-security.asc
|-
| [https://fedoraproject.org/ Fedora]|| https://fedoraproject.org/security
|
|-
| [https://www.mozilla.org/ru/firefox/ Firefox]|| https://blog.mozilla.org/security/2023/05/11/updated-gpg-key-for-signing-firefox-releases/
|http://releases.mozilla.org/pub/firefox/releases/122.0/KEY
|-
|Gentoo
|https://www.gentoo.org/downloads/signatures/
|
|-
|Linux Mint
|https://linuxmint-installation-guide.readthedocs.io/en/latest/verify.html
|
|-
|[[MariaDB]]
|https://mariadb.com/kb/en/gpg/
|
|-
|[[Nginx]]
|http://nginx.org/en/pgp_keys.html
|
|-
| [https://nodejs.org/ Node.js]|| https://github.com/nodejs/node?tab=readme-ov-file#release-keys
|
|-
|[[PHP]]
|https://www.php.net/downloads.php#gpg-8.3
|
|-
| rowspan="7" | [[Python]] || rowspan="7" | https://www.python.org/downloads/
|https://github.com/Yhg1s.gpg
|-
|https://keybase.io/pablogsal/pgp_keys.asc?fingerprint=a035c8c19219ba821ecea86b64e628f8d684696d
|-
|https://keybase.io/stevedower/pgp_keys.asc?fingerprint=7ed10b6531d7c8e1bc296021fc624643487034e5
|-
|https://keybase.io/ambv/pgp_keys.asc?fingerprint=e3ff2839c048b25c084debe9b26995e310250568
|-
|https://keybase.io/nad/pgp_keys.asc?fingerprint=0d96df4d4110e5c43fbfb17f2d347ea6aa65421d
|-
|https://keybase.io/nad/pgp_keys.asc?fingerprint=c9b104b3dd3aa72d7ccb1066fb9921286f5e1540
|-
|https://keybase.io/bp/pgp_keys.asc?fingerprint=c01e1cad5ea2c4f0b8e3571504c367c218add4ff
|-
|[[Ubuntu]]
|https://ubuntu.com/tutorials/how-to-verify-ubuntu#4-retrieve-the-correct-signature-key
|
|-
|Ядро Linux
|https://kernel.org/category/signatures.html
|
|}
[[Категория:Криптография]]
[[Категория:Безопасность]]

Список открытых ключей для проверки подлинности дистрибутивов программного обеспечения

2024-02-04T14:27:07Z

Editor: изменение оформления

В таблице со списком открытых ключей ряда проектов, кроме ссылок непосредственно на ключи, в целях безопасности, даны ссылки на страницы на сайтах этих проектов, содержащих данную информацию, рекомендуется использовать эти ссылки чтобы видеть, что вы скачиваете открытые ключи именно с соответствующих сайтов.
{| class="wikitable"
|+ Список открытых ключей
|-
! Проект !! Ссылки на страницы загрузки ключей (или с информацией об отпечатках)
!Прямые ссылки на файлы открытых ключей (при наличии)
|-
|[[Apache|Apache HTTP Server]]
|https://httpd.apache.org/dev/verification.html
|https://downloads.apache.org/httpd/KEYS
|-
|Arch Linux
|https://wiki.archlinux.org/title/Installation_guide#Verify_signature
|
|-
| rowspan="2" | [[Debian]]|| rowspan="2" | https://ftp-master.debian.org/keys.html
|https://ftp-master.debian.org/keys/archive-key-12.asc
|-
|https://ftp-master.debian.org/keys/archive-key-12-security.asc
|-
| [https://fedoraproject.org/ Fedora]|| https://fedoraproject.org/security
|
|-
| [https://www.mozilla.org/ru/firefox/ Firefox]|| https://blog.mozilla.org/security/2023/05/11/updated-gpg-key-for-signing-firefox-releases/
|http://releases.mozilla.org/pub/firefox/releases/122.0/KEY
|-
|Gentoo
|https://www.gentoo.org/downloads/signatures/
|
|-
|Linux Mint
|https://linuxmint-installation-guide.readthedocs.io/en/latest/verify.html
|
|-
|[[MariaDB]]
|
|https://mariadb.com/kb/en/gpg/
|-
|[[Nginx]]
|http://nginx.org/en/pgp_keys.html
|
|-
| [https://nodejs.org/ Node.js]|| https://github.com/nodejs/node?tab=readme-ov-file#release-keys
|
|-
|[[PHP]]
|https://www.php.net/downloads.php#gpg-8.3
|
|-
| rowspan="7" | [[Python]] || rowspan="7" | https://www.python.org/downloads/
|https://github.com/Yhg1s.gpg
|-
|https://keybase.io/pablogsal/pgp_keys.asc?fingerprint=a035c8c19219ba821ecea86b64e628f8d684696d
|-
|https://keybase.io/stevedower/pgp_keys.asc?fingerprint=7ed10b6531d7c8e1bc296021fc624643487034e5
|-
|https://keybase.io/ambv/pgp_keys.asc?fingerprint=e3ff2839c048b25c084debe9b26995e310250568
|-
|https://keybase.io/nad/pgp_keys.asc?fingerprint=0d96df4d4110e5c43fbfb17f2d347ea6aa65421d
|-
|https://keybase.io/nad/pgp_keys.asc?fingerprint=c9b104b3dd3aa72d7ccb1066fb9921286f5e1540
|-
|https://keybase.io/bp/pgp_keys.asc?fingerprint=c01e1cad5ea2c4f0b8e3571504c367c218add4ff
|-
|[[Ubuntu]]
|https://ubuntu.com/tutorials/how-to-verify-ubuntu#4-retrieve-the-correct-signature-key
|
|-
|Ядро Linux
|https://kernel.org/category/signatures.html
|
|}
[[Категория:Криптография]]
[[Категория:Безопасность]]

Список открытых ключей для проверки подлинности дистрибутивов программного обеспечения

2024-02-04T14:24:21Z

Editor: изменение оформления

В таблице со списком открытых ключей ряда проектов, кроме ссылок непосредственно на ключи, в целях безопасности, даны ссылки на страницы на сайтах этих проектов, содержащих данную информацию, рекомендуется использовать эти ссылки чтобы видеть, что вы скачиваете открытые ключи именно с соответствующих сайтов.
{| class="wikitable"
|+ Список открытых ключей
|-
! Проект !! Ссылки на страницы загрузки ключей (или с информацией об отпечатках)
!Прямые ссылки на файлы открытых ключей (при наличии)
|-
|[[Apache|Apache HTTP Server]]
|https://httpd.apache.org/dev/verification.html
|https://downloads.apache.org/httpd/KEYS
|-
|Arch Linux
|https://wiki.archlinux.org/title/Installation_guide#Verify_signature
|
|-
| rowspan="2" | [[Debian]]|| rowspan="2" | https://ftp-master.debian.org/keys.html
|https://ftp-master.debian.org/keys/archive-key-12.asc
|-
|https://ftp-master.debian.org/keys/archive-key-12-security.asc
|-
| [https://fedoraproject.org/ Fedora]|| https://fedoraproject.org/security
|
|-
| [https://www.mozilla.org/ru/firefox/ Firefox]|| https://blog.mozilla.org/security/2023/05/11/updated-gpg-key-for-signing-firefox-releases/
|http://releases.mozilla.org/pub/firefox/releases/122.0/KEY
|-
|Gentoo
|https://www.gentoo.org/downloads/signatures/
|
|-
|Linux Mint
|https://linuxmint-installation-guide.readthedocs.io/en/latest/verify.html
|
|-
|[[MariaDB]]
|
|https://mariadb.com/kb/en/gpg/
|-
|[[Nginx]]
|http://nginx.org/en/pgp_keys.html
|
|-
| [https://nodejs.org/ Node.js]|| https://github.com/nodejs/node?tab=readme-ov-file#release-keys
|
|-
|[[PHP]]
|https://www.php.net/downloads.php#gpg-8.3
|
|-
| rowspan="7" | [[Python]] || rowspan="7" | https://www.python.org/downloads/ (раздел «OpenPGP Public Keys»)
|https://github.com/Yhg1s.gpg
|-
|https://keybase.io/pablogsal/pgp_keys.asc?fingerprint=a035c8c19219ba821ecea86b64e628f8d684696d
|-
|https://keybase.io/stevedower/pgp_keys.asc?fingerprint=7ed10b6531d7c8e1bc296021fc624643487034e5
|-
|https://keybase.io/ambv/pgp_keys.asc?fingerprint=e3ff2839c048b25c084debe9b26995e310250568
|-
|https://keybase.io/nad/pgp_keys.asc?fingerprint=0d96df4d4110e5c43fbfb17f2d347ea6aa65421d
|-
|https://keybase.io/nad/pgp_keys.asc?fingerprint=c9b104b3dd3aa72d7ccb1066fb9921286f5e1540
|-
|https://keybase.io/bp/pgp_keys.asc?fingerprint=c01e1cad5ea2c4f0b8e3571504c367c218add4ff
|-
|[[Ubuntu]]
|https://ubuntu.com/tutorials/how-to-verify-ubuntu#4-retrieve-the-correct-signature-key
|
|-
|Ядро Linux
|https://kernel.org/category/signatures.html
|
|}
[[Категория:Криптография]]
[[Категория:Безопасность]]

Список открытых ключей для проверки подлинности дистрибутивов программного обеспечения

2024-02-04T14:19:37Z

Editor: добавлены данные о ключах для Gentoo

В таблице со списком открытых ключей ряда проектов, кроме ссылок непосредственно на ключи, в целях безопасности, даны ссылки на страницы на сайтах этих проектов, содержащих данную информацию, рекомендуется использовать эти ссылки чтобы видеть, что вы скачиваете открытые ключи именно с соответствующих сайтов.
{| class="wikitable"
|+ Список открытых ключей
|-
! Проект !! Ссылки на страницы загрузки ключей (или с информацией об отпечатках)
!Прямые ссылки на файлы открытых ключей (при наличии)
|-
|[[Apache|Apache HTTP Server]]
|https://httpd.apache.org/dev/verification.html
|https://downloads.apache.org/httpd/KEYS
|-
|Arch Linux
|https://wiki.archlinux.org/title/Installation_guide#Verify_signature
|
|-
| [[Debian]]|| https://ftp-master.debian.org/keys.html
|
* https://ftp-master.debian.org/keys/archive-key-12.asc
* https://ftp-master.debian.org/keys/archive-key-12-security.asc
|-
| [https://fedoraproject.org/ Fedora]|| https://fedoraproject.org/security
|
|-
| [https://www.mozilla.org/ru/firefox/ Firefox]|| https://blog.mozilla.org/security/2023/05/11/updated-gpg-key-for-signing-firefox-releases/
|http://releases.mozilla.org/pub/firefox/releases/122.0/KEY
|-
|Gentoo
|https://www.gentoo.org/downloads/signatures/
|
|-
|Linux Mint
|https://linuxmint-installation-guide.readthedocs.io/en/latest/verify.html
|
|-
|[[MariaDB]]
|
|https://mariadb.com/kb/en/gpg/
|-
|[[Nginx]]
|http://nginx.org/en/pgp_keys.html
|
|-
| [https://nodejs.org/ Node.js]|| https://github.com/nodejs/node?tab=readme-ov-file#release-keys
|
|-
|[[PHP]]
|https://www.php.net/downloads.php#gpg-8.3
|
|-
| [[Python]] || https://www.python.org/downloads/ (раздел «OpenPGP Public Keys»)
|
* https://github.com/Yhg1s.gpg
* https://keybase.io/pablogsal/pgp_keys.asc?fingerprint=a035c8c19219ba821ecea86b64e628f8d684696d
* https://keybase.io/stevedower/pgp_keys.asc?fingerprint=7ed10b6531d7c8e1bc296021fc624643487034e5
* https://keybase.io/ambv/pgp_keys.asc?fingerprint=e3ff2839c048b25c084debe9b26995e310250568
* https://keybase.io/nad/pgp_keys.asc?fingerprint=0d96df4d4110e5c43fbfb17f2d347ea6aa65421d
* https://keybase.io/nad/pgp_keys.asc?fingerprint=c9b104b3dd3aa72d7ccb1066fb9921286f5e1540
* https://keybase.io/bp/pgp_keys.asc?fingerprint=c01e1cad5ea2c4f0b8e3571504c367c218add4ff
|-
|[[Ubuntu]]
|https://ubuntu.com/tutorials/how-to-verify-ubuntu#4-retrieve-the-correct-signature-key
|
|-
|Ядро Linux
|https://kernel.org/category/signatures.html
|
|}
[[Категория:Криптография]]
[[Категория:Безопасность]]

Список открытых ключей для проверки подлинности дистрибутивов программного обеспечения

2024-02-04T14:16:33Z

Editor: добавлены данные о нескольких ключах

В таблице со списком открытых ключей ряда проектов, кроме ссылок непосредственно на ключи, в целях безопасности, даны ссылки на страницы на сайтах этих проектов, содержащих данную информацию, рекомендуется использовать эти ссылки чтобы видеть, что вы скачиваете открытые ключи именно с соответствующих сайтов.
{| class="wikitable"
|+ Список открытых ключей
|-
! Проект !! Ссылки на страницы загрузки ключей (или с информацией об отпечатках)
!Прямые ссылки на файлы открытых ключей (при наличии)
|-
|[[Apache|Apache HTTP Server]]
|https://httpd.apache.org/dev/verification.html
|https://downloads.apache.org/httpd/KEYS
|-
|Arch Linux
|https://wiki.archlinux.org/title/Installation_guide#Verify_signature
|
|-
| [[Debian]]|| https://ftp-master.debian.org/keys.html
|
* https://ftp-master.debian.org/keys/archive-key-12.asc
* https://ftp-master.debian.org/keys/archive-key-12-security.asc
|-
| [https://fedoraproject.org/ Fedora]|| https://fedoraproject.org/security
|
|-
| [https://www.mozilla.org/ru/firefox/ Firefox]|| https://blog.mozilla.org/security/2023/05/11/updated-gpg-key-for-signing-firefox-releases/
|http://releases.mozilla.org/pub/firefox/releases/122.0/KEY
|-
|Linux Mint
|https://linuxmint-installation-guide.readthedocs.io/en/latest/verify.html
|
|-
|[[MariaDB]]
|
|https://mariadb.com/kb/en/gpg/
|-
|[[Nginx]]
|http://nginx.org/en/pgp_keys.html
|
|-
| [https://nodejs.org/ Node.js]|| https://github.com/nodejs/node?tab=readme-ov-file#release-keys
|
|-
|[[PHP]]
|https://www.php.net/downloads.php#gpg-8.3
|
|-
| [[Python]] || https://www.python.org/downloads/ (раздел «OpenPGP Public Keys»)
|
* https://github.com/Yhg1s.gpg
* https://keybase.io/pablogsal/pgp_keys.asc?fingerprint=a035c8c19219ba821ecea86b64e628f8d684696d
* https://keybase.io/stevedower/pgp_keys.asc?fingerprint=7ed10b6531d7c8e1bc296021fc624643487034e5
* https://keybase.io/ambv/pgp_keys.asc?fingerprint=e3ff2839c048b25c084debe9b26995e310250568
* https://keybase.io/nad/pgp_keys.asc?fingerprint=0d96df4d4110e5c43fbfb17f2d347ea6aa65421d
* https://keybase.io/nad/pgp_keys.asc?fingerprint=c9b104b3dd3aa72d7ccb1066fb9921286f5e1540
* https://keybase.io/bp/pgp_keys.asc?fingerprint=c01e1cad5ea2c4f0b8e3571504c367c218add4ff
|-
|[[Ubuntu]]
|https://ubuntu.com/tutorials/how-to-verify-ubuntu#4-retrieve-the-correct-signature-key
|
|-
|Ядро Linux
|https://kernel.org/category/signatures.html
|
|}
[[Категория:Криптография]]
[[Категория:Безопасность]]

Список открытых ключей для проверки подлинности дистрибутивов программного обеспечения

2024-02-04T14:00:04Z

Editor: добавлены данные о нескольких ключах

В таблице со списком открытых ключей ряда проектов, кроме ссылок непосредственно на ключи, в целях безопасности, даны ссылки на страницы на сайтах этих проектов, содержащих данную информацию, рекомендуется использовать эти ссылки чтобы видеть, что вы скачиваете открытые ключи именно с соответствующих сайтов.
{| class="wikitable"
|+ Список открытых ключей
|-
! Проект !! Ссылки на страницы загрузки ключей (или с информацией об отпечатках)
!Прямые ссылки на файлы открытых ключей (при наличии)
|-
|[[Apache|Apache HTTP Server]]
|https://httpd.apache.org/dev/verification.html
|https://downloads.apache.org/httpd/KEYS
|-
| [[Debian]]|| https://ftp-master.debian.org/keys.html
|
* https://ftp-master.debian.org/keys/archive-key-12.asc
* https://ftp-master.debian.org/keys/archive-key-12-security.asc
|-
| [https://fedoraproject.org/ Fedora]|| https://fedoraproject.org/security
|
|-
| [https://www.mozilla.org/ru/firefox/ Firefox]|| https://blog.mozilla.org/security/2023/05/11/updated-gpg-key-for-signing-firefox-releases/
|http://releases.mozilla.org/pub/firefox/releases/122.0/KEY
|-
|[[MariaDB]]
|
|https://mariadb.com/kb/en/gpg/
|-
|[[Nginx]]
|http://nginx.org/en/pgp_keys.html
|
|-
| [https://nodejs.org/ Node.js]|| https://github.com/nodejs/node?tab=readme-ov-file#release-keys
|
|-
|[[PHP]]
|https://www.php.net/downloads.php#gpg-8.3
|
|-
| [[Python]] || https://www.python.org/downloads/ (раздел «OpenPGP Public Keys»)
|
* https://github.com/Yhg1s.gpg
* https://keybase.io/pablogsal/pgp_keys.asc?fingerprint=a035c8c19219ba821ecea86b64e628f8d684696d
* https://keybase.io/stevedower/pgp_keys.asc?fingerprint=7ed10b6531d7c8e1bc296021fc624643487034e5
* https://keybase.io/ambv/pgp_keys.asc?fingerprint=e3ff2839c048b25c084debe9b26995e310250568
* https://keybase.io/nad/pgp_keys.asc?fingerprint=0d96df4d4110e5c43fbfb17f2d347ea6aa65421d
* https://keybase.io/nad/pgp_keys.asc?fingerprint=c9b104b3dd3aa72d7ccb1066fb9921286f5e1540
* https://keybase.io/bp/pgp_keys.asc?fingerprint=c01e1cad5ea2c4f0b8e3571504c367c218add4ff
|-
|[[Ubuntu]]
|https://ubuntu.com/tutorials/how-to-verify-ubuntu#4-retrieve-the-correct-signature-key
|
|-
|Ядро Linux
|https://kernel.org/category/signatures.html
|
|}
[[Категория:Криптография]]
[[Категория:Безопасность]]

Список открытых ключей для проверки подлинности дистрибутивов программного обеспечения

2024-02-04T09:32:41Z

Editor: изменение формулировок

В таблице со списком открытых ключей ряда проектов, кроме ссылок непосредственно на ключи, в целях безопасности, даны ссылки на страницы на сайтах этих проектов, содержащих данную информацию, рекомендуется использовать эти ссылки чтобы видеть, что вы скачиваете открытые ключи именно с соответствующих сайтов.
{| class="wikitable"
|+ Список открытых ключей
|-
! Проект !! Ссылки на страницы загрузки ключей (или с информацией об отпечатках)
!Прямые ссылки на ключи
|-
|[[Apache|Apache HTTP Server]]
|https://httpd.apache.org/dev/verification.html
|https://downloads.apache.org/httpd/KEYS
|-
| [[Debian]]|| https://ftp-master.debian.org/keys.html
|
* https://ftp-master.debian.org/keys/archive-key-12.asc
* https://ftp-master.debian.org/keys/archive-key-12-security.asc
|-
| [https://fedoraproject.org/ Fedora]|| https://fedoraproject.org/security
|
|-
| [https://www.mozilla.org/ru/firefox/ Firefox]|| https://blog.mozilla.org/security/2023/05/11/updated-gpg-key-for-signing-firefox-releases/
|http://releases.mozilla.org/pub/firefox/releases/122.0/KEY
|-
| [https://nodejs.org/ Node.js]|| https://github.com/nodejs/node?tab=readme-ov-file#release-keys
|
|-
| [[Python]] || https://www.python.org/downloads/ (раздел «OpenPGP Public Keys»)
|
* https://github.com/Yhg1s.gpg
* https://keybase.io/pablogsal/pgp_keys.asc?fingerprint=a035c8c19219ba821ecea86b64e628f8d684696d
* https://keybase.io/stevedower/pgp_keys.asc?fingerprint=7ed10b6531d7c8e1bc296021fc624643487034e5
* https://keybase.io/ambv/pgp_keys.asc?fingerprint=e3ff2839c048b25c084debe9b26995e310250568
* https://keybase.io/nad/pgp_keys.asc?fingerprint=0d96df4d4110e5c43fbfb17f2d347ea6aa65421d
* https://keybase.io/nad/pgp_keys.asc?fingerprint=c9b104b3dd3aa72d7ccb1066fb9921286f5e1540
* https://keybase.io/bp/pgp_keys.asc?fingerprint=c01e1cad5ea2c4f0b8e3571504c367c218add4ff
|-
|Ядро Linux
|https://kernel.org/category/signatures.html
|
|}
[[Категория:Криптография]]
[[Категория:Безопасность]]

Список открытых ключей для проверки подлинности дистрибутивов программного обеспечения

2024-02-04T09:29:08Z

Editor: добавлены категории

В таблице со списком открытых ключей, в целях безопасности, ссылки даны не непосредственно на загрузку ключа, а на страницу на сайте проекта, на которой ссылки на данные ключи расположены: чтобы, перед загрузкой, легко было проконтролировать, что ключи загружаются с сайта проекта.
{| class="wikitable"
|+ Список открытых ключей
|-
! Проект !! Ссылки на страницы загрузки ключей (или с информацией об отпечатках)
!Прямые ссылки на ключи
|-
|[[Apache|Apache HTTP Server]]
|https://httpd.apache.org/dev/verification.html
|https://downloads.apache.org/httpd/KEYS
|-
| [[Debian]]|| https://ftp-master.debian.org/keys.html
|
* https://ftp-master.debian.org/keys/archive-key-12.asc
* https://ftp-master.debian.org/keys/archive-key-12-security.asc
|-
| [https://fedoraproject.org/ Fedora]|| https://fedoraproject.org/security
|
|-
| [https://www.mozilla.org/ru/firefox/ Firefox]|| https://blog.mozilla.org/security/2023/05/11/updated-gpg-key-for-signing-firefox-releases/
|http://releases.mozilla.org/pub/firefox/releases/122.0/KEY
|-
| [https://nodejs.org/ Node.js]|| https://github.com/nodejs/node?tab=readme-ov-file#release-keys
|
|-
| [[Python]] || https://www.python.org/downloads/ (раздел «OpenPGP Public Keys»)
|
* https://github.com/Yhg1s.gpg
* https://keybase.io/pablogsal/pgp_keys.asc?fingerprint=a035c8c19219ba821ecea86b64e628f8d684696d
* https://keybase.io/stevedower/pgp_keys.asc?fingerprint=7ed10b6531d7c8e1bc296021fc624643487034e5
* https://keybase.io/ambv/pgp_keys.asc?fingerprint=e3ff2839c048b25c084debe9b26995e310250568
* https://keybase.io/nad/pgp_keys.asc?fingerprint=0d96df4d4110e5c43fbfb17f2d347ea6aa65421d
* https://keybase.io/nad/pgp_keys.asc?fingerprint=c9b104b3dd3aa72d7ccb1066fb9921286f5e1540
* https://keybase.io/bp/pgp_keys.asc?fingerprint=c01e1cad5ea2c4f0b8e3571504c367c218add4ff
|-
|Ядро Linux
|https://kernel.org/category/signatures.html
|
|}
[[Категория:Криптография]]
[[Категория:Безопасность]]

Список открытых ключей для проверки подлинности дистрибутивов программного обеспечения

2024-02-04T09:27:52Z

Editor: два ключа организованы как список

Список открытых ключей для проверки подлинности дистрибутивов программного обеспечения

2024-02-04T09:26:34Z

Editor: добавлены прямые ссылки на ключи

В таблице со списком открытых ключей, в целях безопасности, ссылки даны не непосредственно на загрузку ключа, а на страницу на сайте проекта, на которой ссылки на данные ключи расположены: чтобы, перед загрузкой, легко было проконтролировать, что ключи загружаются с сайта проекта.
{| class="wikitable"
|+ Список открытых ключей
|-
! Проект !! Ссылки на страницы загрузки ключей (или с информацией об отпечатках)
!Прямые ссылки на ключи
|-
|[[Apache|Apache HTTP Server]]
|https://httpd.apache.org/dev/verification.html
|https://downloads.apache.org/httpd/KEYS
|-
| [[Debian]]|| https://ftp-master.debian.org/keys.html
|https://ftp-master.debian.org/keys/archive-key-12.asc<nowiki/>https://ftp-master.debian.org/keys/archive-key-12-security.asc
|-
| [https://fedoraproject.org/ Fedora]|| https://fedoraproject.org/security
|
|-
| [https://www.mozilla.org/ru/firefox/ Firefox]|| https://blog.mozilla.org/security/2023/05/11/updated-gpg-key-for-signing-firefox-releases/
|http://releases.mozilla.org/pub/firefox/releases/122.0/KEY
|-
| [https://nodejs.org/ Node.js]|| https://github.com/nodejs/node?tab=readme-ov-file#release-keys
|
|-
| [[Python]] || https://www.python.org/downloads/ (раздел «OpenPGP Public Keys»)
|
* https://github.com/Yhg1s.gpg
* https://keybase.io/pablogsal/pgp_keys.asc?fingerprint=a035c8c19219ba821ecea86b64e628f8d684696d
* https://keybase.io/stevedower/pgp_keys.asc?fingerprint=7ed10b6531d7c8e1bc296021fc624643487034e5
* https://keybase.io/ambv/pgp_keys.asc?fingerprint=e3ff2839c048b25c084debe9b26995e310250568
* https://keybase.io/nad/pgp_keys.asc?fingerprint=0d96df4d4110e5c43fbfb17f2d347ea6aa65421d
* https://keybase.io/nad/pgp_keys.asc?fingerprint=c9b104b3dd3aa72d7ccb1066fb9921286f5e1540
* https://keybase.io/bp/pgp_keys.asc?fingerprint=c01e1cad5ea2c4f0b8e3571504c367c218add4ff
|-
|Ядро Linux
|https://kernel.org/category/signatures.html
|
|}

Список открытых ключей для проверки подлинности дистрибутивов программного обеспечения

2024-02-04T08:48:21Z

Editor: добавлены ссылки и дополнительная информация

Список открытых ключей для проверки подлинности дистрибутивов программного обеспечения

2024-02-04T02:30:02Z

Editor: Добавлена ссылка для Debian

{| class="wikitable"
|+ Текст подписи
|-
! Проект !! Ссылки на страницы загрузки ключей
|-
| Python || https://www.python.org/downloads/ (раздел «OpenPGP Public Keys»)
|-
| Debian || https://ftp-master.debian.org/keys.html
|-
| Fedora || Текст ячейки
|-
| Firefox || https://blog.mozilla.org/security/2023/05/11/updated-gpg-key-for-signing-firefox-releases/
|-
| Текст ячейки || Текст ячейки
|}

Список открытых ключей для проверки подлинности дистрибутивов программного обеспечения

2024-02-04T02:28:12Z

Editor: создание заготовки страницы

{| class="wikitable"
|+ Текст подписи
|-
! Проект !! Ссылки на страницы загрузки ключей
|-
| Python || https://www.python.org/downloads/ (раздел «OpenPGP Public Keys»)
|-
| Debian || Текст ячейки
|-
| Fedora || Текст ячейки
|-
| Firefox || https://blog.mozilla.org/security/2023/05/11/updated-gpg-key-for-signing-firefox-releases/
|-
| Текст ячейки || Текст ячейки
|}

КриптоПро ЭЦП Browser plug-in

2024-02-04T02:20:07Z

Editor:

КриптоПро ЭЦП Browser plug-in — плагин для браузера, предназначенный для взаимодействия с криптопровайдером (например, приложением [[КриптоПро CSP]]). Для работы криптографических функций в браузере также может потребоваться установка расширения, работающего с данным плагином. Таким образом, данный плагин является связующим звеном между КриптоПро CSP и расширением браузера для работы с КриптоПро.

== Ссылки ==

* [https://www.cryptopro.ru/products/cades/plugin КриптоПро ЭЦП Browser plug-in] (страница продукта на сайте Крипто Про)

[[Категория:Безопасность]]
[[Категория:Криптография]]

Проверка целостности дистрибутивов

2024-02-03T18:33:48Z

Editor: исправление форматирования

Программное обеспечение, загружаемое по сети, в ряде случаев может быть подменено злоумышленниками, поэтому существуют способы убедиться, что была получена подлинная копия файла. В некоторых случаях проверка осуществляется автоматически, но в некоторых случаях её проводят вручную.

== Необходимость проверки ==
Исходный текст программы, инсталляция или, например, образ диска дистрибутива, доступные по сети, теоретически могут быть подменены на модифицированные копии, содержащие те или иные вредоносные компоненты (примеры подобного известны). Это может произойти из-за взлома сайта, с которого загружается приложение, а также из-за злонамеренных действий кого-либо из множества людей, которые имеют техническую возможность подменить файл тем или иным способом (это может быть администратора сайта, сотрудника хостинг-провайдера, Интернет-провайдера и т.д.). Ситуацию усугубляет наличие зеркал, которые часто используются для уменьшения нагрузки на основной сайт, переадресация на которые может происходить во время загрузки файлов незаметно для пользователя. Использование защищённого соединения не решает проблемы (например, у зеркала, контролируемого злоумышленниками, будет вполне валидный сертификат для их домена).

Поэтому существуют и применяются ряд способов проверки подлинности загружаемых программ при помощи электронной подписи. Более того, они позволяют обнаружить ошибки при загрузке (которые возникают гораздо чаще, чем подмена файлов злоумышленниками, хотя последнее, конечно, наносит жертвам намного больший ущерб).

== Использование электронной подписи ==
Способы проверки подлинности в целом сводятся к использованию электронной подписи, создаваемой при помощи криптографических алгоритмов с открытым ключом, и различаются в деталях реализации, которые подходят для той или иной ситуации. Для Linux основной способ проверки электронной подписи — это использование утилиты GnuPG.

Обычно данная утилита установлена по умолчанию. В случае, если она, например, не установлена в дистрибутиве Debian (что является скорее нештатной ситуацией), её легко установить командой:

apt install gnupg

При этом, для проверки электронной подписи необходимо обладать соответствующим открытым ключом, которые обычно распространяются вместе с подписываемыми файлами и файлами электронной подписи, но есть важный момент с проверкой подлинности открытого ключа: если скачать его с того же сайта, где находится подпись, то, в случае подмены файла, будет скорее всего подменена подпись и открытый ключ. Поэтому, если вы хотите проверить подлинность загружаемого программного обеспечения, можно предпринять дополнительные меры предосторожности, например, скачать открытый ключ заранее (если случаются инциденты с подменой файлов, то они относительно быстро обнаруживаются). Также дистрибутивы Linux могут содержать ряд нужных для проверки ключей. Например, в Debian Linux вы можете установить несколько пактов с ключами используя команду (скорее всего один из них уже будет установлен):

apt install debian-keyring debian-archive-keyring debian-ports-archive-keyring fasttrack-archive-keyring

После этого в каталоге /usr/share/keyrings/ появятся новые файлы с открытыми ключами, связанными с рядом проектов.

=== Проверка подлинности при помощи электронной подписи для файла ===
Для файла, подлинность которого нужно подтвердить, создаётся файл электронной подписи, который размещается рядом с ним. Обычно файл подписи имеет расширения .asc, .sig или .sign. Чтобы её проверить, нужно скачать ещё файл ключа, проверить его подлинность, импортировать его и установить степень доверия к нему. Чтобы было понятнее, рассмотрим это на практическом примере, скачаем и проверим целостность исходных текстов Python. Чтобы выполнить все проверки, вам потребуется своя пара ключей, о том, как её сгенерировать, написано в статье про [[GnuPG]].

Откроем в браузере адрес https://www.python.org/ftp/python/, там найдём подкаталог с последней версией, на момент написания данного материала это 3.12.0, перейдём в него и загрузим оттуда файлы Python-3.12.1.tar.xz (исходные тексты Python), Python-3.12.1.tar.xz.asc (файл подписи). Или можно скачать из командной строки эти файлы командой:

wget <nowiki>https://www.python.org/ftp/python/3.12.1/Python-3.12.1.tar.xz</nowiki> <nowiki>https://www.python.org/ftp/python/3.12.1/Python-3.12.1.tar.xz.asc</nowiki>

Теперь мы можем попробовать проверить подлинность файла командой:

gpg --verify Python-3.12.1.tar.xz.asc

Результат получился такой:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'
gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK
gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305
gpg: Не могу проверить подпись: No public key

Как видно, проверить подпись не удаётся из-за отсутствия нужного открытого ключа (его идентификатор 7169605F62C751356D054A26A821E680E5FA6305 указан в сообщении об ошибке, которое вывела программа gpg). Ключи для проверки дистрибутивов Python можно скачать на странице https://www.python.org/downloads/ — на странице есть раздел «OpenPGP Public Keys», где мы видим нужный ключ (указан идентификатор ключа, точнее, его последняя часть, которая соответствует идентификатору того ключа, который мы ищем. Скачаем его (его можно загрузить по ссылке https://github.com/Yhg1s.gpg). Откроем в консоли каталог, где был сохранён ключ, и импортируем его базу ключей GnuPG:

gpg --import Yhg1s.gpg

Если мы повторно выполним команду <code>gpg --verify Python-3.12.1.tar.xz.asc</code>, то получим уже новый результат, показывающий, что подпись верна, но уверенности в подлинности ещё нет, поскольку у системы нет данных, позволяющих убедиться, что открытый ключ принадлежит владельцу:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'
gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK
gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305
gpg: Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [неизвестно]
gpg: или "Thomas Wouters <thomas@xs4all.nl>" [неизвестно]
gpg: или "Thomas Wouters <twouters@google.com>" [неизвестно]
gpg: Внимание: Данный ключ не заверен доверенной подписью!
gpg: Нет указаний на то, что подпись принадлежит владельцу.

Отпечаток первичного ключа: 7169 605F 62C7 5135 6D05 4A26 A821 E680 E5FA 6305

Мы скачали ключ по ссылке с официального сайта, но давайте проявим дополнительную бдительность и посмотрим, каким был файл в прошлом, на web.archive.org: http://web.archive.org/web/20230101004252/https://www.python.org/downloads/ — там мы увидим соответствующую ссылку для скачивания, и, если откроем сохранённую версию ключа, то можем убедиться, что она идентична той, что мы уже скачали, наверное можно уже считать, что мы проявили достаточную осмотрительность и убедились, что ключ подлинный. Поэтому мы можем подписать этот ключ, чтобы в дальнейшем проверка подписи при помощи GnuPG не вызывала ошибок. Для этого в командной строке введём команду:

gpg --edit-key 7169605F62C751356D054A26A821E680E5FA6305

Увидим приглашение для ввода команд вида gpg> и введём там команду lsign (завершив ввод переводом строки). Эта команда означает, что вы подписываете ключ только для себя, подпись не будет экспортироваться (есть также варианты sign, tsign и т.д., о которых вы можете прочитать в документации), при её выполнении нужно будет дважды подтвердить осуществляемые действия введя «y», после чего можно завершить работу в GnuPG с сохранением командой <code>save</code>.

Теперь команда gpg --verify Python-3.12.1.tar.xz.asc покажет нам результат проверки подлинности дистрибутива Python:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'
gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK
gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305
gpg: проверка таблицы доверия
gpg: marginals needed: 3 completes needed: 1 trust model: pgp
gpg: глубина: 0 достоверных: 5 подписанных: 5 доверие: 0-, 0q, 0n, 0m, 0f, 5u
gpg: глубина: 1 достоверных: 5 подписанных: 1 доверие: 5-, 0q, 0n, 0m, 0f, 0u
gpg: срок следующей проверки таблицы доверия 2024-12-28
gpg: Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [полное]
gpg: или "Thomas Wouters <thomas@xs4all.nl>" [полное]
gpg: или "Thomas Wouters <twouters@google.com>" [полное]

Итак, GnuPG сообщила нам: «Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [полное]» — как мы видим, архив подписан одним из участников проекта Python.

Таким образом, резюмируя, чтобы проверить файл, подписанный электронной подписью, нужно скачать дополнительно файл подписи (который будет иметь почти такое же имя, как у основного файла, с дополнительным расширением вида .asc, .sig или .sign) и выполнить команду вида:

gpg --verify file.asc

Если перед этим был установлен и подписан соответствующий открытый ключ, то программа <code>gpg</code> сообщит о том, что подпись верна (или о том, что не верна, если файл был повреждён или подменён). Открытые ключи для проверки обычно есть на сайтах разработчиков, могут быть включены в дистрибутивы и т.д. Установка ключа осуществляется командой <code>gpg --import</code>, а его заверение — командой <code>gpg --edit-key</code>.

=== Проверка подлинности при помощи подписанных файлов контрольных сумм ===
Этот вариант обычно применяется, когда на сервер выкладывается множество вариантов дистрибутива (для разных платформ, для разных языков и т.д.). Вероятно для того, чтобы не создавать множество отдельных файлов с подписями, делается иначе: создаётся файл, который содержит криптографические контрольные суммы (хэши) всех этих файлов, и он один заверяется цифровой подписью. Таким образом, подмена файла точно так же будет обнаружена, но дополнительных файлов получается всего два.

В этом случае нужно скачать, кроме файла программы (образа диска и т.д.) файлы вида SHA512SUM и SHA512SUM.asc (расширение у второго файла может быть также .sig или .sign, а вместо SHA512SUM может быть, например, SHA256SUM) и сначала проверить подлинность файла контрольных сумм (как и в предыдущем рассмотренном варианте):

gpg --verify SHA512SUM.asc

Если подпись верна, можно проверить контрольную сумму при помощи команды sha512sum (sha256sum и т.д.), проще всего сделать это выполнив команду вида:

sha512sum --check --ignore-missing SHA512SUM

Ключ --check означает проверку, а ключ --ignore-missing означает, что отсутствующие файлы игнорируются (предполагается, что мы скачали только нужный нам файл из множества вариантов, и нам не нужна информация о том, что отсутствуют другие файлы, упомянутые в SHA512SUM).

Также можно проверить хэш вручную. Для этого можно выполнить команду (filename в данном случае это имя проверяемого файла)

sha512sum filename

Программа выдаст результат в виде хэша (длинная последовательность латинских букв и цифр) и имени файла, нужно убедиться, что соответствующая строка есть в файле SHA512SUM.

В настоящее время для проверки подлинности распространяемых файлов обычно применяются хэши, вычисленные по алгоритмам SHA-256 и SHA-512 (из семейства алгоритмов SHA-2), они считаются достаточно надёжными, при этом ранее использовались, например, контрольные суммы, вычисленные по алгоритмам MD5 и SHA-1, в дальнейшем, возможно, появятся другие варианты.

=== Проверка подлинности коммита в репозитории git ===
Программное обеспечение может распространяться в виде исходных кодов в репозитории git. При этом в данной системе управления версиями теги и коммиты могут быть подписаны, что позволяет убедиться в подлинности загружаемой программы. Для подписания и проверки подписи также используется приложение GnuPG.

Для проверки коммитов служит команда git verify-commit, для проверки тегов — git verify-tag. Если, допустим, вы клонировали удалённый репозиторий, зашли в получившийся каталог, то можете проверить подлинность последнего коммита при помощи команды вида:

git verify-commit HEAD

Вместо HEAD может быть идентификатор другого коммита. Однако не все коммиты могут быть подписаны (хотя это и хорошая практика). Иногда подписывают только теги. Тогда команда для проверки подписи будет выглядеть примерно так (предполагается, что нужной версии назначили тег v1.2.3):

git verify-tag v1.2.3

Конечно для использования исходников следует переключиться на ту же версию (иначе проверка теряет смысл):

git checkout v1.2.3

== См. также ==

* [[GnuPG]]

[[Категория:Безопасность]]
[[Категория:Криптография]]

Проверка целостности дистрибутивов

2024-02-03T18:32:55Z

Editor: добавлен раздел См. также

Программное обеспечение, загружаемое по сети, в ряде случаев может быть подменено злоумышленниками, поэтому существуют способы убедиться, что была получена подлинная копия файла. В некоторых случаях проверка осуществляется автоматически, но в некоторых случаях её проводят вручную.

== Необходимость проверки ==
Исходный текст программы, инсталляция или, например, образ диска дистрибутива, доступные по сети, теоретически могут быть подменены на модифицированные копии, содержащие те или иные вредоносные компоненты (примеры подобного известны). Это может произойти из-за взлома сайта, с которого загружается приложение, а также из-за злонамеренных действий кого-либо из множества людей, которые имеют техническую возможность подменить файл тем или иным способом (это может быть администратора сайта, сотрудника хостинг-провайдера, Интернет-провайдера и т.д.). Ситуацию усугубляет наличие зеркал, которые часто используются для уменьшения нагрузки на основной сайт, переадресация на которые может происходить во время загрузки файлов незаметно для пользователя. Использование защищённого соединения не решает проблемы (например, у зеркала, контролируемого злоумышленниками, будет вполне валидный сертификат для их домена).

Поэтому существуют и применяются ряд способов проверки подлинности загружаемых программ при помощи электронной подписи. Более того, они позволяют обнаружить ошибки при загрузке (которые возникают гораздо чаще, чем подмена файлов злоумышленниками, хотя последнее, конечно, наносит жертвам намного больший ущерб).

== Использование электронной подписи ==
Способы проверки подлинности в целом сводятся к использованию электронной подписи, создаваемой при помощи криптографических алгоритмов с открытым ключом, и различаются в деталях реализации, которые подходят для той или иной ситуации. Для Linux основной способ проверки электронной подписи — это использование утилиты GnuPG.

Обычно данная утилита установлена по умолчанию. В случае, если она, например, не установлена в дистрибутиве Debian (что является скорее нештатной ситуацией), её легко установить командой:

apt install gnupg

При этом, для проверки электронной подписи необходимо обладать соответствующим открытым ключом, которые обычно распространяются вместе с подписываемыми файлами и файлами электронной подписи, но есть важный момент с проверкой подлинности открытого ключа: если скачать его с того же сайта, где находится подпись, то, в случае подмены файла, будет скорее всего подменена подпись и открытый ключ. Поэтому, если вы хотите проверить подлинность загружаемого программного обеспечения, можно предпринять дополнительные меры предосторожности, например, скачать открытый ключ заранее (если случаются инциденты с подменой файлов, то они относительно быстро обнаруживаются). Также дистрибутивы Linux могут содержать ряд нужных для проверки ключей. Например, в Debian Linux вы можете установить несколько пактов с ключами используя команду (скорее всего один из них уже будет установлен):

<code>apt install debian-keyring debian-archive-keyring debian-ports-archive-keyring fasttrack-archive-keyring</code>

После этого в каталоге /usr/share/keyrings/ появятся новые файлы с открытыми ключами, связанными с рядом проектов.

=== Проверка подлинности при помощи электронной подписи для файла ===
Для файла, подлинность которого нужно подтвердить, создаётся файл электронной подписи, который размещается рядом с ним. Обычно файл подписи имеет расширения .asc, .sig или .sign. Чтобы её проверить, нужно скачать ещё файл ключа, проверить его подлинность, импортировать его и установить степень доверия к нему. Чтобы было понятнее, рассмотрим это на практическом примере, скачаем и проверим целостность исходных текстов Python. Чтобы выполнить все проверки, вам потребуется своя пара ключей, о том, как её сгенерировать, написано в статье про [[GnuPG]].

Откроем в браузере адрес https://www.python.org/ftp/python/, там найдём подкаталог с последней версией, на момент написания данного материала это 3.12.0, перейдём в него и загрузим оттуда файлы Python-3.12.1.tar.xz (исходные тексты Python), Python-3.12.1.tar.xz.asc (файл подписи). Или можно скачать из командной строки эти файлы командой:

wget <nowiki>https://www.python.org/ftp/python/3.12.1/Python-3.12.1.tar.xz</nowiki> <nowiki>https://www.python.org/ftp/python/3.12.1/Python-3.12.1.tar.xz.asc</nowiki>

Теперь мы можем попробовать проверить подлинность файла командой:

gpg --verify Python-3.12.1.tar.xz.asc

Результат получился такой:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'
gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK
gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305
gpg: Не могу проверить подпись: No public key

Как видно, проверить подпись не удаётся из-за отсутствия нужного открытого ключа (его идентификатор 7169605F62C751356D054A26A821E680E5FA6305 указан в сообщении об ошибке, которое вывела программа gpg). Ключи для проверки дистрибутивов Python можно скачать на странице https://www.python.org/downloads/ — на странице есть раздел «OpenPGP Public Keys», где мы видим нужный ключ (указан идентификатор ключа, точнее, его последняя часть, которая соответствует идентификатору того ключа, который мы ищем. Скачаем его (его можно загрузить по ссылке https://github.com/Yhg1s.gpg). Откроем в консоли каталог, где был сохранён ключ, и импортируем его базу ключей GnuPG:

gpg --import Yhg1s.gpg

Если мы повторно выполним команду <code>gpg --verify Python-3.12.1.tar.xz.asc</code>, то получим уже новый результат, показывающий, что подпись верна, но уверенности в подлинности ещё нет, поскольку у системы нет данных, позволяющих убедиться, что открытый ключ принадлежит владельцу:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'
gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK
gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305
gpg: Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [неизвестно]
gpg: или "Thomas Wouters <thomas@xs4all.nl>" [неизвестно]
gpg: или "Thomas Wouters <twouters@google.com>" [неизвестно]
gpg: Внимание: Данный ключ не заверен доверенной подписью!
gpg: Нет указаний на то, что подпись принадлежит владельцу.

Отпечаток первичного ключа: 7169 605F 62C7 5135 6D05 4A26 A821 E680 E5FA 6305

Мы скачали ключ по ссылке с официального сайта, но давайте проявим дополнительную бдительность и посмотрим, каким был файл в прошлом, на web.archive.org: http://web.archive.org/web/20230101004252/https://www.python.org/downloads/ — там мы увидим соответствующую ссылку для скачивания, и, если откроем сохранённую версию ключа, то можем убедиться, что она идентична той, что мы уже скачали, наверное можно уже считать, что мы проявили достаточную осмотрительность и убедились, что ключ подлинный. Поэтому мы можем подписать этот ключ, чтобы в дальнейшем проверка подписи при помощи GnuPG не вызывала ошибок. Для этого в командной строке введём команду:

gpg --edit-key 7169605F62C751356D054A26A821E680E5FA6305

Увидим приглашение для ввода команд вида gpg> и введём там команду lsign (завершив ввод переводом строки). Эта команда означает, что вы подписываете ключ только для себя, подпись не будет экспортироваться (есть также варианты sign, tsign и т.д., о которых вы можете прочитать в документации), при её выполнении нужно будет дважды подтвердить осуществляемые действия введя «y», после чего можно завершить работу в GnuPG с сохранением командой <code>save</code>.

Теперь команда gpg --verify Python-3.12.1.tar.xz.asc покажет нам результат проверки подлинности дистрибутива Python:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'
gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK
gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305
gpg: проверка таблицы доверия
gpg: marginals needed: 3 completes needed: 1 trust model: pgp
gpg: глубина: 0 достоверных: 5 подписанных: 5 доверие: 0-, 0q, 0n, 0m, 0f, 5u
gpg: глубина: 1 достоверных: 5 подписанных: 1 доверие: 5-, 0q, 0n, 0m, 0f, 0u
gpg: срок следующей проверки таблицы доверия 2024-12-28
gpg: Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [полное]
gpg: или "Thomas Wouters <thomas@xs4all.nl>" [полное]
gpg: или "Thomas Wouters <twouters@google.com>" [полное]

Итак, GnuPG сообщила нам: «Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [полное]» — как мы видим, архив подписан одним из участников проекта Python.

Таким образом, резюмируя, чтобы проверить файл, подписанный электронной подписью, нужно скачать дополнительно файл подписи (который будет иметь почти такое же имя, как у основного файла, с дополнительным расширением вида .asc, .sig или .sign) и выполнить команду вида:

gpg --verify file.asc

Если перед этим был установлен и подписан соответствующий открытый ключ, то программа <code>gpg</code> сообщит о том, что подпись верна (или о том, что не верна, если файл был повреждён или подменён). Открытые ключи для проверки обычно есть на сайтах разработчиков, могут быть включены в дистрибутивы и т.д. Установка ключа осуществляется командой <code>gpg --import</code>, а его заверение — командой <code>gpg --edit-key</code>.

=== Проверка подлинности при помощи подписанных файлов контрольных сумм ===
Этот вариант обычно применяется, когда на сервер выкладывается множество вариантов дистрибутива (для разных платформ, для разных языков и т.д.). Вероятно для того, чтобы не создавать множество отдельных файлов с подписями, делается иначе: создаётся файл, который содержит криптографические контрольные суммы (хэши) всех этих файлов, и он один заверяется цифровой подписью. Таким образом, подмена файла точно так же будет обнаружена, но дополнительных файлов получается всего два.

В этом случае нужно скачать, кроме файла программы (образа диска и т.д.) файлы вида SHA512SUM и SHA512SUM.asc (расширение у второго файла может быть также .sig или .sign, а вместо SHA512SUM может быть, например, SHA256SUM) и сначала проверить подлинность файла контрольных сумм (как и в предыдущем рассмотренном варианте):

gpg --verify SHA512SUM.asc

Если подпись верна, можно проверить контрольную сумму при помощи команды sha512sum (sha256sum и т.д.), проще всего сделать это выполнив команду вида:

sha512sum --check --ignore-missing SHA512SUM

Ключ --check означает проверку, а ключ --ignore-missing означает, что отсутствующие файлы игнорируются (предполагается, что мы скачали только нужный нам файл из множества вариантов, и нам не нужна информация о том, что отсутствуют другие файлы, упомянутые в SHA512SUM).

Также можно проверить хэш вручную. Для этого можно выполнить команду (filename в данном случае это имя проверяемого файла)

sha512sum filename

Программа выдаст результат в виде хэша (длинная последовательность латинских букв и цифр) и имени файла, нужно убедиться, что соответствующая строка есть в файле SHA512SUM.

В настоящее время для проверки подлинности распространяемых файлов обычно применяются хэши, вычисленные по алгоритмам SHA-256 и SHA-512 (из семейства алгоритмов SHA-2), они считаются достаточно надёжными, при этом ранее использовались, например, контрольные суммы, вычисленные по алгоритмам MD5 и SHA-1, в дальнейшем, возможно, появятся другие варианты.

=== Проверка подлинности коммита в репозитории git ===
Программное обеспечение может распространяться в виде исходных кодов в репозитории git. При этом в данной системе управления версиями теги и коммиты могут быть подписаны, что позволяет убедиться в подлинности загружаемой программы. Для подписания и проверки подписи также используется приложение GnuPG.

Для проверки коммитов служит команда git verify-commit, для проверки тегов — git verify-tag. Если, допустим, вы клонировали удалённый репозиторий, зашли в получившийся каталог, то можете проверить подлинность последнего коммита при помощи команды вида:

git verify-commit HEAD

Вместо HEAD может быть идентификатор другого коммита. Однако не все коммиты могут быть подписаны (хотя это и хорошая практика). Иногда подписывают только теги. Тогда команда для проверки подписи будет выглядеть примерно так (предполагается, что нужной версии назначили тег v1.2.3):

git verify-tag v1.2.3

Конечно для использования исходников следует переключиться на ту же версию (иначе проверка теряет смысл):

git checkout v1.2.3

== См. также ==

* [[GnuPG]]

[[Категория:Безопасность]]
[[Категория:Криптография]]

Проверка целостности дистрибутивов

2024-02-03T18:26:10Z

Editor: /* Проверка подлинности коммита в репозитории git */

Программное обеспечение, загружаемое по сети, в ряде случаев может быть подменено злоумышленниками, поэтому существуют способы убедиться, что была получена подлинная копия файла. В некоторых случаях проверка осуществляется автоматически, но в некоторых случаях её проводят вручную.

== Необходимость проверки ==
Исходный текст программы, инсталляция или, например, образ диска дистрибутива, доступные по сети, теоретически могут быть подменены на модифицированные копии, содержащие те или иные вредоносные компоненты (примеры подобного известны). Это может произойти из-за взлома сайта, с которого загружается приложение, а также из-за злонамеренных действий кого-либо из множества людей, которые имеют техническую возможность подменить файл тем или иным способом (это может быть администратора сайта, сотрудника хостинг-провайдера, Интернет-провайдера и т.д.). Ситуацию усугубляет наличие зеркал, которые часто используются для уменьшения нагрузки на основной сайт, переадресация на которые может происходить во время загрузки файлов незаметно для пользователя. Использование защищённого соединения не решает проблемы (например, у зеркала, контролируемого злоумышленниками, будет вполне валидный сертификат для их домена).

Поэтому существуют и применяются ряд способов проверки подлинности загружаемых программ при помощи электронной подписи. Более того, они позволяют обнаружить ошибки при загрузке (которые возникают гораздо чаще, чем подмена файлов злоумышленниками, хотя последнее, конечно, наносит жертвам намного больший ущерб).

== Использование электронной подписи ==
Способы проверки подлинности в целом сводятся к использованию электронной подписи, создаваемой при помощи криптографических алгоритмов с открытым ключом, и различаются в деталях реализации, которые подходят для той или иной ситуации. Для Linux основной способ проверки электронной подписи — это использование утилиты GnuPG.

Обычно данная утилита установлена по умолчанию. В случае, если она, например, не установлена в дистрибутиве Debian (что является скорее нештатной ситуацией), её легко установить командой:

apt install gnupg

При этом, для проверки электронной подписи необходимо обладать соответствующим открытым ключом, которые обычно распространяются вместе с подписываемыми файлами и файлами электронной подписи, но есть важный момент с проверкой подлинности открытого ключа: если скачать его с того же сайта, где находится подпись, то, в случае подмены файла, будет скорее всего подменена подпись и открытый ключ. Поэтому, если вы хотите проверить подлинность загружаемого программного обеспечения, можно предпринять дополнительные меры предосторожности, например, скачать открытый ключ заранее (если случаются инциденты с подменой файлов, то они относительно быстро обнаруживаются). Также дистрибутивы Linux могут содержать ряд нужных для проверки ключей. Например, в Debian Linux вы можете установить несколько пактов с ключами используя команду (скорее всего один из них уже будет установлен):

<code>apt install debian-keyring debian-archive-keyring debian-ports-archive-keyring fasttrack-archive-keyring</code>

После этого в каталоге /usr/share/keyrings/ появятся новые файлы с открытыми ключами, связанными с рядом проектов.

=== Проверка подлинности при помощи электронной подписи для файла ===
Для файла, подлинность которого нужно подтвердить, создаётся файл электронной подписи, который размещается рядом с ним. Обычно файл подписи имеет расширения .asc, .sig или .sign. Чтобы её проверить, нужно скачать ещё файл ключа, проверить его подлинность, импортировать его и установить степень доверия к нему. Чтобы было понятнее, рассмотрим это на практическом примере, скачаем и проверим целостность исходных текстов Python. Чтобы выполнить все проверки, вам потребуется своя пара ключей, о том, как её сгенерировать, написано в статье про [[GnuPG]].

Откроем в браузере адрес https://www.python.org/ftp/python/, там найдём подкаталог с последней версией, на момент написания данного материала это 3.12.0, перейдём в него и загрузим оттуда файлы Python-3.12.1.tar.xz (исходные тексты Python), Python-3.12.1.tar.xz.asc (файл подписи). Или можно скачать из командной строки эти файлы командой:

wget <nowiki>https://www.python.org/ftp/python/3.12.1/Python-3.12.1.tar.xz</nowiki> <nowiki>https://www.python.org/ftp/python/3.12.1/Python-3.12.1.tar.xz.asc</nowiki>

Теперь мы можем попробовать проверить подлинность файла командой:

gpg --verify Python-3.12.1.tar.xz.asc

Результат получился такой:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'
gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK
gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305
gpg: Не могу проверить подпись: No public key

Как видно, проверить подпись не удаётся из-за отсутствия нужного открытого ключа (его идентификатор 7169605F62C751356D054A26A821E680E5FA6305 указан в сообщении об ошибке, которое вывела программа gpg). Ключи для проверки дистрибутивов Python можно скачать на странице https://www.python.org/downloads/ — на странице есть раздел «OpenPGP Public Keys», где мы видим нужный ключ (указан идентификатор ключа, точнее, его последняя часть, которая соответствует идентификатору того ключа, который мы ищем. Скачаем его (его можно загрузить по ссылке https://github.com/Yhg1s.gpg). Откроем в консоли каталог, где был сохранён ключ, и импортируем его базу ключей GnuPG:

gpg --import Yhg1s.gpg

Если мы повторно выполним команду <code>gpg --verify Python-3.12.1.tar.xz.asc</code>, то получим уже новый результат, показывающий, что подпись верна, но уверенности в подлинности ещё нет, поскольку у системы нет данных, позволяющих убедиться, что открытый ключ принадлежит владельцу:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'
gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK
gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305
gpg: Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [неизвестно]
gpg: или "Thomas Wouters <thomas@xs4all.nl>" [неизвестно]
gpg: или "Thomas Wouters <twouters@google.com>" [неизвестно]
gpg: Внимание: Данный ключ не заверен доверенной подписью!
gpg: Нет указаний на то, что подпись принадлежит владельцу.

Отпечаток первичного ключа: 7169 605F 62C7 5135 6D05 4A26 A821 E680 E5FA 6305

Мы скачали ключ по ссылке с официального сайта, но давайте проявим дополнительную бдительность и посмотрим, каким был файл в прошлом, на web.archive.org: http://web.archive.org/web/20230101004252/https://www.python.org/downloads/ — там мы увидим соответствующую ссылку для скачивания, и, если откроем сохранённую версию ключа, то можем убедиться, что она идентична той, что мы уже скачали, наверное можно уже считать, что мы проявили достаточную осмотрительность и убедились, что ключ подлинный. Поэтому мы можем подписать этот ключ, чтобы в дальнейшем проверка подписи при помощи GnuPG не вызывала ошибок. Для этого в командной строке введём команду:

gpg --edit-key 7169605F62C751356D054A26A821E680E5FA6305

Увидим приглашение для ввода команд вида gpg> и введём там команду lsign (завершив ввод переводом строки). Эта команда означает, что вы подписываете ключ только для себя, подпись не будет экспортироваться (есть также варианты sign, tsign и т.д., о которых вы можете прочитать в документации), при её выполнении нужно будет дважды подтвердить осуществляемые действия введя «y», после чего можно завершить работу в GnuPG с сохранением командой <code>save</code>.

Теперь команда gpg --verify Python-3.12.1.tar.xz.asc покажет нам результат проверки подлинности дистрибутива Python:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'
gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK
gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305
gpg: проверка таблицы доверия
gpg: marginals needed: 3 completes needed: 1 trust model: pgp
gpg: глубина: 0 достоверных: 5 подписанных: 5 доверие: 0-, 0q, 0n, 0m, 0f, 5u
gpg: глубина: 1 достоверных: 5 подписанных: 1 доверие: 5-, 0q, 0n, 0m, 0f, 0u
gpg: срок следующей проверки таблицы доверия 2024-12-28
gpg: Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [полное]
gpg: или "Thomas Wouters <thomas@xs4all.nl>" [полное]
gpg: или "Thomas Wouters <twouters@google.com>" [полное]

Итак, GnuPG сообщила нам: «Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [полное]» — как мы видим, архив подписан одним из участников проекта Python.

Таким образом, резюмируя, чтобы проверить файл, подписанный электронной подписью, нужно скачать дополнительно файл подписи (который будет иметь почти такое же имя, как у основного файла, с дополнительным расширением вида .asc, .sig или .sign) и выполнить команду вида:

gpg --verify file.asc

Если перед этим был установлен и подписан соответствующий открытый ключ, то программа <code>gpg</code> сообщит о том, что подпись верна (или о том, что не верна, если файл был повреждён или подменён). Открытые ключи для проверки обычно есть на сайтах разработчиков, могут быть включены в дистрибутивы и т.д. Установка ключа осуществляется командой <code>gpg --import</code>, а его заверение — командой <code>gpg --edit-key</code>.

=== Проверка подлинности при помощи подписанных файлов контрольных сумм ===
Этот вариант обычно применяется, когда на сервер выкладывается множество вариантов дистрибутива (для разных платформ, для разных языков и т.д.). Вероятно для того, чтобы не создавать множество отдельных файлов с подписями, делается иначе: создаётся файл, который содержит криптографические контрольные суммы (хэши) всех этих файлов, и он один заверяется цифровой подписью. Таким образом, подмена файла точно так же будет обнаружена, но дополнительных файлов получается всего два.

В этом случае нужно скачать, кроме файла программы (образа диска и т.д.) файлы вида SHA512SUM и SHA512SUM.asc (расширение у второго файла может быть также .sig или .sign, а вместо SHA512SUM может быть, например, SHA256SUM) и сначала проверить подлинность файла контрольных сумм (как и в предыдущем рассмотренном варианте):

gpg --verify SHA512SUM.asc

Если подпись верна, можно проверить контрольную сумму при помощи команды sha512sum (sha256sum и т.д.), проще всего сделать это выполнив команду вида:

sha512sum --check --ignore-missing SHA512SUM

Ключ --check означает проверку, а ключ --ignore-missing означает, что отсутствующие файлы игнорируются (предполагается, что мы скачали только нужный нам файл из множества вариантов, и нам не нужна информация о том, что отсутствуют другие файлы, упомянутые в SHA512SUM).

Также можно проверить хэш вручную. Для этого можно выполнить команду (filename в данном случае это имя проверяемого файла)

sha512sum filename

Программа выдаст результат в виде хэша (длинная последовательность латинских букв и цифр) и имени файла, нужно убедиться, что соответствующая строка есть в файле SHA512SUM.

В настоящее время для проверки подлинности распространяемых файлов обычно применяются хэши, вычисленные по алгоритмам SHA-256 и SHA-512 (из семейства алгоритмов SHA-2), они считаются достаточно надёжными, при этом ранее использовались, например, контрольные суммы, вычисленные по алгоритмам MD5 и SHA-1, в дальнейшем, возможно, появятся другие варианты.

=== Проверка подлинности коммита в репозитории git ===
Программное обеспечение может распространяться в виде исходных кодов в репозитории git. При этом в данной системе управления версиями теги и коммиты могут быть подписаны, что позволяет убедиться в подлинности загружаемой программы. Для подписания и проверки подписи также используется приложение GnuPG.

Для проверки коммитов служит команда git verify-commit, для проверки тегов — git verify-tag. Если, допустим, вы клонировали удалённый репозиторий, зашли в получившийся каталог, то можете проверить подлинность последнего коммита при помощи команды вида:

git verify-commit HEAD

Вместо HEAD может быть идентификатор другого коммита. Однако не все коммиты могут быть подписаны (хотя это и хорошая практика). Иногда подписывают только теги. Тогда команда для проверки подписи будет выглядеть примерно так (предполагается, что нужной версии назначили тег v1.2.3):

git verify-tag v1.2.3

Конечно для использования исходников следует переключиться на ту же версию (иначе проверка теряет смысл):

git checkout v1.2.3
[[Категория:Безопасность]]
[[Категория:Криптография]]

Проверка целостности дистрибутивов

2024-02-03T18:03:37Z

Editor: /* Проверка подлинности при помощи подписанных файлов контрольных сумм */

Программное обеспечение, загружаемое по сети, в ряде случаев может быть подменено злоумышленниками, поэтому существуют способы убедиться, что была получена подлинная копия файла. В некоторых случаях проверка осуществляется автоматически, но в некоторых случаях её проводят вручную.

== Необходимость проверки ==
Исходный текст программы, инсталляция или, например, образ диска дистрибутива, доступные по сети, теоретически могут быть подменены на модифицированные копии, содержащие те или иные вредоносные компоненты (примеры подобного известны). Это может произойти из-за взлома сайта, с которого загружается приложение, а также из-за злонамеренных действий кого-либо из множества людей, которые имеют техническую возможность подменить файл тем или иным способом (это может быть администратора сайта, сотрудника хостинг-провайдера, Интернет-провайдера и т.д.). Ситуацию усугубляет наличие зеркал, которые часто используются для уменьшения нагрузки на основной сайт, переадресация на которые может происходить во время загрузки файлов незаметно для пользователя. Использование защищённого соединения не решает проблемы (например, у зеркала, контролируемого злоумышленниками, будет вполне валидный сертификат для их домена).

Поэтому существуют и применяются ряд способов проверки подлинности загружаемых программ при помощи электронной подписи. Более того, они позволяют обнаружить ошибки при загрузке (которые возникают гораздо чаще, чем подмена файлов злоумышленниками, хотя последнее, конечно, наносит жертвам намного больший ущерб).

== Использование электронной подписи ==
Способы проверки подлинности в целом сводятся к использованию электронной подписи, создаваемой при помощи криптографических алгоритмов с открытым ключом, и различаются в деталях реализации, которые подходят для той или иной ситуации. Для Linux основной способ проверки электронной подписи — это использование утилиты GnuPG.

Обычно данная утилита установлена по умолчанию. В случае, если она, например, не установлена в дистрибутиве Debian (что является скорее нештатной ситуацией), её легко установить командой:

apt install gnupg

При этом, для проверки электронной подписи необходимо обладать соответствующим открытым ключом, которые обычно распространяются вместе с подписываемыми файлами и файлами электронной подписи, но есть важный момент с проверкой подлинности открытого ключа: если скачать его с того же сайта, где находится подпись, то, в случае подмены файла, будет скорее всего подменена подпись и открытый ключ. Поэтому, если вы хотите проверить подлинность загружаемого программного обеспечения, можно предпринять дополнительные меры предосторожности, например, скачать открытый ключ заранее (если случаются инциденты с подменой файлов, то они относительно быстро обнаруживаются). Также дистрибутивы Linux могут содержать ряд нужных для проверки ключей. Например, в Debian Linux вы можете установить несколько пактов с ключами используя команду (скорее всего один из них уже будет установлен):

<code>apt install debian-keyring debian-archive-keyring debian-ports-archive-keyring fasttrack-archive-keyring</code>

После этого в каталоге /usr/share/keyrings/ появятся новые файлы с открытыми ключами, связанными с рядом проектов.

=== Проверка подлинности при помощи электронной подписи для файла ===
Для файла, подлинность которого нужно подтвердить, создаётся файл электронной подписи, который размещается рядом с ним. Обычно файл подписи имеет расширения .asc, .sig или .sign. Чтобы её проверить, нужно скачать ещё файл ключа, проверить его подлинность, импортировать его и установить степень доверия к нему. Чтобы было понятнее, рассмотрим это на практическом примере, скачаем и проверим целостность исходных текстов Python. Чтобы выполнить все проверки, вам потребуется своя пара ключей, о том, как её сгенерировать, написано в статье про [[GnuPG]].

Откроем в браузере адрес https://www.python.org/ftp/python/, там найдём подкаталог с последней версией, на момент написания данного материала это 3.12.0, перейдём в него и загрузим оттуда файлы Python-3.12.1.tar.xz (исходные тексты Python), Python-3.12.1.tar.xz.asc (файл подписи). Или можно скачать из командной строки эти файлы командой:

wget <nowiki>https://www.python.org/ftp/python/3.12.1/Python-3.12.1.tar.xz</nowiki> <nowiki>https://www.python.org/ftp/python/3.12.1/Python-3.12.1.tar.xz.asc</nowiki>

Теперь мы можем попробовать проверить подлинность файла командой:

gpg --verify Python-3.12.1.tar.xz.asc

Результат получился такой:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'
gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK
gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305
gpg: Не могу проверить подпись: No public key

Как видно, проверить подпись не удаётся из-за отсутствия нужного открытого ключа (его идентификатор 7169605F62C751356D054A26A821E680E5FA6305 указан в сообщении об ошибке, которое вывела программа gpg). Ключи для проверки дистрибутивов Python можно скачать на странице https://www.python.org/downloads/ — на странице есть раздел «OpenPGP Public Keys», где мы видим нужный ключ (указан идентификатор ключа, точнее, его последняя часть, которая соответствует идентификатору того ключа, который мы ищем. Скачаем его (его можно загрузить по ссылке https://github.com/Yhg1s.gpg). Откроем в консоли каталог, где был сохранён ключ, и импортируем его базу ключей GnuPG:

gpg --import Yhg1s.gpg

Если мы повторно выполним команду <code>gpg --verify Python-3.12.1.tar.xz.asc</code>, то получим уже новый результат, показывающий, что подпись верна, но уверенности в подлинности ещё нет, поскольку у системы нет данных, позволяющих убедиться, что открытый ключ принадлежит владельцу:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'
gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK
gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305
gpg: Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [неизвестно]
gpg: или "Thomas Wouters <thomas@xs4all.nl>" [неизвестно]
gpg: или "Thomas Wouters <twouters@google.com>" [неизвестно]
gpg: Внимание: Данный ключ не заверен доверенной подписью!
gpg: Нет указаний на то, что подпись принадлежит владельцу.

Отпечаток первичного ключа: 7169 605F 62C7 5135 6D05 4A26 A821 E680 E5FA 6305

Мы скачали ключ по ссылке с официального сайта, но давайте проявим дополнительную бдительность и посмотрим, каким был файл в прошлом, на web.archive.org: http://web.archive.org/web/20230101004252/https://www.python.org/downloads/ — там мы увидим соответствующую ссылку для скачивания, и, если откроем сохранённую версию ключа, то можем убедиться, что она идентична той, что мы уже скачали, наверное можно уже считать, что мы проявили достаточную осмотрительность и убедились, что ключ подлинный. Поэтому мы можем подписать этот ключ, чтобы в дальнейшем проверка подписи при помощи GnuPG не вызывала ошибок. Для этого в командной строке введём команду:

gpg --edit-key 7169605F62C751356D054A26A821E680E5FA6305

Увидим приглашение для ввода команд вида gpg> и введём там команду lsign (завершив ввод переводом строки). Эта команда означает, что вы подписываете ключ только для себя, подпись не будет экспортироваться (есть также варианты sign, tsign и т.д., о которых вы можете прочитать в документации), при её выполнении нужно будет дважды подтвердить осуществляемые действия введя «y», после чего можно завершить работу в GnuPG с сохранением командой <code>save</code>.

Теперь команда gpg --verify Python-3.12.1.tar.xz.asc покажет нам результат проверки подлинности дистрибутива Python:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'
gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK
gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305
gpg: проверка таблицы доверия
gpg: marginals needed: 3 completes needed: 1 trust model: pgp
gpg: глубина: 0 достоверных: 5 подписанных: 5 доверие: 0-, 0q, 0n, 0m, 0f, 5u
gpg: глубина: 1 достоверных: 5 подписанных: 1 доверие: 5-, 0q, 0n, 0m, 0f, 0u
gpg: срок следующей проверки таблицы доверия 2024-12-28
gpg: Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [полное]
gpg: или "Thomas Wouters <thomas@xs4all.nl>" [полное]
gpg: или "Thomas Wouters <twouters@google.com>" [полное]

Итак, GnuPG сообщила нам: «Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [полное]» — как мы видим, архив подписан одним из участников проекта Python.

Таким образом, резюмируя, чтобы проверить файл, подписанный электронной подписью, нужно скачать дополнительно файл подписи (который будет иметь почти такое же имя, как у основного файла, с дополнительным расширением вида .asc, .sig или .sign) и выполнить команду вида:

gpg --verify file.asc

Если перед этим был установлен и подписан соответствующий открытый ключ, то программа <code>gpg</code> сообщит о том, что подпись верна (или о том, что не верна, если файл был повреждён или подменён). Открытые ключи для проверки обычно есть на сайтах разработчиков, могут быть включены в дистрибутивы и т.д. Установка ключа осуществляется командой <code>gpg --import</code>, а его заверение — командой <code>gpg --edit-key</code>.

=== Проверка подлинности при помощи подписанных файлов контрольных сумм ===
Этот вариант обычно применяется, когда на сервер выкладывается множество вариантов дистрибутива (для разных платформ, для разных языков и т.д.). Вероятно для того, чтобы не создавать множество отдельных файлов с подписями, делается иначе: создаётся файл, который содержит криптографические контрольные суммы (хэши) всех этих файлов, и он один заверяется цифровой подписью. Таким образом, подмена файла точно так же будет обнаружена, но дополнительных файлов получается всего два.

В этом случае нужно скачать, кроме файла программы (образа диска и т.д.) файлы вида SHA512SUM и SHA512SUM.asc (расширение у второго файла может быть также .sig или .sign, а вместо SHA512SUM может быть, например, SHA256SUM) и сначала проверить подлинность файла контрольных сумм (как и в предыдущем рассмотренном варианте):

gpg --verify SHA512SUM.asc

Если подпись верна, можно проверить контрольную сумму при помощи команды sha512sum (sha256sum и т.д.), проще всего сделать это выполнив команду вида:

sha512sum --check --ignore-missing SHA512SUM

Ключ --check означает проверку, а ключ --ignore-missing означает, что отсутствующие файлы игнорируются (предполагается, что мы скачали только нужный нам файл из множества вариантов, и нам не нужна информация о том, что отсутствуют другие файлы, упомянутые в SHA512SUM).

Также можно проверить хэш вручную. Для этого можно выполнить команду (filename в данном случае это имя проверяемого файла)

sha512sum filename

Программа выдаст результат в виде хэша (длинная последовательность латинских букв и цифр) и имени файла, нужно убедиться, что соответствующая строка есть в файле SHA512SUM.

В настоящее время для проверки подлинности распространяемых файлов обычно применяются хэши, вычисленные по алгоритмам SHA-256 и SHA-512 (из семейства алгоритмов SHA-2), они считаются достаточно надёжными, при этом ранее использовались, например, контрольные суммы, вычисленные по алгоритмам MD5 и SHA-1, в дальнейшем, возможно, появятся другие варианты.

=== Проверка подлинности коммита в репозитории git ===
[[Категория:Безопасность]]
[[Категория:Криптография]]

Проверка целостности дистрибутивов

2024-02-03T17:19:01Z

Editor: добавлена информация про проверку при помощи файлов вида SHA512SUM

Программное обеспечение, загружаемое по сети, в ряде случаев может быть подменено злоумышленниками, поэтому существуют способы убедиться, что была получена подлинная копия файла. В некоторых случаях проверка осуществляется автоматически, но в некоторых случаях её проводят вручную.

== Необходимость проверки ==
Исходный текст программы, инсталляция или, например, образ диска дистрибутива, доступные по сети, теоретически могут быть подменены на модифицированные копии, содержащие те или иные вредоносные компоненты (примеры подобного известны). Это может произойти из-за взлома сайта, с которого загружается приложение, а также из-за злонамеренных действий кого-либо из множества людей, которые имеют техническую возможность подменить файл тем или иным способом (это может быть администратора сайта, сотрудника хостинг-провайдера, Интернет-провайдера и т.д.). Ситуацию усугубляет наличие зеркал, которые часто используются для уменьшения нагрузки на основной сайт, переадресация на которые может происходить во время загрузки файлов незаметно для пользователя. Использование защищённого соединения не решает проблемы (например, у зеркала, контролируемого злоумышленниками, будет вполне валидный сертификат для их домена).

Поэтому существуют и применяются ряд способов проверки подлинности загружаемых программ при помощи электронной подписи. Более того, они позволяют обнаружить ошибки при загрузке (которые возникают гораздо чаще, чем подмена файлов злоумышленниками, хотя последнее, конечно, наносит жертвам намного больший ущерб).

== Использование электронной подписи ==
Способы проверки подлинности в целом сводятся к использованию электронной подписи, создаваемой при помощи криптографических алгоритмов с открытым ключом, и различаются в деталях реализации, которые подходят для той или иной ситуации. Для Linux основной способ проверки электронной подписи — это использование утилиты GnuPG.

Обычно данная утилита установлена по умолчанию. В случае, если она, например, не установлена в дистрибутиве Debian (что является скорее нештатной ситуацией), её легко установить командой:

apt install gnupg

При этом, для проверки электронной подписи необходимо обладать соответствующим открытым ключом, которые обычно распространяются вместе с подписываемыми файлами и файлами электронной подписи, но есть важный момент с проверкой подлинности открытого ключа: если скачать его с того же сайта, где находится подпись, то, в случае подмены файла, будет скорее всего подменена подпись и открытый ключ. Поэтому, если вы хотите проверить подлинность загружаемого программного обеспечения, можно предпринять дополнительные меры предосторожности, например, скачать открытый ключ заранее (если случаются инциденты с подменой файлов, то они относительно быстро обнаруживаются). Также дистрибутивы Linux могут содержать ряд нужных для проверки ключей. Например, в Debian Linux вы можете установить несколько пактов с ключами используя команду (скорее всего один из них уже будет установлен):

<code>apt install debian-keyring debian-archive-keyring debian-ports-archive-keyring fasttrack-archive-keyring</code>

После этого в каталоге /usr/share/keyrings/ появятся новые файлы с открытыми ключами, связанными с рядом проектов.

=== Проверка подлинности при помощи электронной подписи для файла ===
Для файла, подлинность которого нужно подтвердить, создаётся файл электронной подписи, который размещается рядом с ним. Обычно файл подписи имеет расширения .asc, .sig или .sign. Чтобы её проверить, нужно скачать ещё файл ключа, проверить его подлинность, импортировать его и установить степень доверия к нему. Чтобы было понятнее, рассмотрим это на практическом примере, скачаем и проверим целостность исходных текстов Python. Чтобы выполнить все проверки, вам потребуется своя пара ключей, о том, как её сгенерировать, написано в статье про [[GnuPG]].

Откроем в браузере адрес https://www.python.org/ftp/python/, там найдём подкаталог с последней версией, на момент написания данного материала это 3.12.0, перейдём в него и загрузим оттуда файлы Python-3.12.1.tar.xz (исходные тексты Python), Python-3.12.1.tar.xz.asc (файл подписи). Или можно скачать из командной строки эти файлы командой:

wget <nowiki>https://www.python.org/ftp/python/3.12.1/Python-3.12.1.tar.xz</nowiki> <nowiki>https://www.python.org/ftp/python/3.12.1/Python-3.12.1.tar.xz.asc</nowiki>

Теперь мы можем попробовать проверить подлинность файла командой:

gpg --verify Python-3.12.1.tar.xz.asc

Результат получился такой:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'
gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK
gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305
gpg: Не могу проверить подпись: No public key

Как видно, проверить подпись не удаётся из-за отсутствия нужного открытого ключа (его идентификатор 7169605F62C751356D054A26A821E680E5FA6305 указан в сообщении об ошибке, которое вывела программа gpg). Ключи для проверки дистрибутивов Python можно скачать на странице https://www.python.org/downloads/ — на странице есть раздел «OpenPGP Public Keys», где мы видим нужный ключ (указан идентификатор ключа, точнее, его последняя часть, которая соответствует идентификатору того ключа, который мы ищем. Скачаем его (его можно загрузить по ссылке https://github.com/Yhg1s.gpg). Откроем в консоли каталог, где был сохранён ключ, и импортируем его базу ключей GnuPG:

gpg --import Yhg1s.gpg

Если мы повторно выполним команду <code>gpg --verify Python-3.12.1.tar.xz.asc</code>, то получим уже новый результат, показывающий, что подпись верна, но уверенности в подлинности ещё нет, поскольку у системы нет данных, позволяющих убедиться, что открытый ключ принадлежит владельцу:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'
gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK
gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305
gpg: Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [неизвестно]
gpg: или "Thomas Wouters <thomas@xs4all.nl>" [неизвестно]
gpg: или "Thomas Wouters <twouters@google.com>" [неизвестно]
gpg: Внимание: Данный ключ не заверен доверенной подписью!
gpg: Нет указаний на то, что подпись принадлежит владельцу.

Отпечаток первичного ключа: 7169 605F 62C7 5135 6D05 4A26 A821 E680 E5FA 6305

Мы скачали ключ по ссылке с официального сайта, но давайте проявим дополнительную бдительность и посмотрим, каким был файл в прошлом, на web.archive.org: http://web.archive.org/web/20230101004252/https://www.python.org/downloads/ — там мы увидим соответствующую ссылку для скачивания, и, если откроем сохранённую версию ключа, то можем убедиться, что она идентична той, что мы уже скачали, наверное можно уже считать, что мы проявили достаточную осмотрительность и убедились, что ключ подлинный. Поэтому мы можем подписать этот ключ, чтобы в дальнейшем проверка подписи при помощи GnuPG не вызывала ошибок. Для этого в командной строке введём команду:

gpg --edit-key 7169605F62C751356D054A26A821E680E5FA6305

Увидим приглашение для ввода команд вида gpg> и введём там команду lsign (завершив ввод переводом строки). Эта команда означает, что вы подписываете ключ только для себя, подпись не будет экспортироваться (есть также варианты sign, tsign и т.д., о которых вы можете прочитать в документации), при её выполнении нужно будет дважды подтвердить осуществляемые действия введя «y», после чего можно завершить работу в GnuPG с сохранением командой <code>save</code>.

Теперь команда gpg --verify Python-3.12.1.tar.xz.asc покажет нам результат проверки подлинности дистрибутива Python:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'
gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK
gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305
gpg: проверка таблицы доверия
gpg: marginals needed: 3 completes needed: 1 trust model: pgp
gpg: глубина: 0 достоверных: 5 подписанных: 5 доверие: 0-, 0q, 0n, 0m, 0f, 5u
gpg: глубина: 1 достоверных: 5 подписанных: 1 доверие: 5-, 0q, 0n, 0m, 0f, 0u
gpg: срок следующей проверки таблицы доверия 2024-12-28
gpg: Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [полное]
gpg: или "Thomas Wouters <thomas@xs4all.nl>" [полное]
gpg: или "Thomas Wouters <twouters@google.com>" [полное]

Итак, GnuPG сообщила нам: «Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [полное]» — как мы видим, архив подписан одним из участников проекта Python.

Таким образом, резюмируя, чтобы проверить файл, подписанный электронной подписью, нужно скачать дополнительно файл подписи (который будет иметь почти такое же имя, как у основного файла, с дополнительным расширением вида .asc, .sig или .sign) и выполнить команду вида:

gpg --verify file.asc

Если перед этим был установлен и подписан соответствующий открытый ключ, то программа <code>gpg</code> сообщит о том, что подпись верна (или о том, что не верна, если файл был повреждён или подменён). Открытые ключи для проверки обычно есть на сайтах разработчиков, могут быть включены в дистрибутивы и т.д. Установка ключа осуществляется командой <code>gpg --import</code>, а его заверение — командой <code>gpg --edit-key</code>.

=== Проверка подлинности при помощи подписанных файлов контрольных сумм ===
Иногда подписывается не файл дистрибутива, а файл, содержащий контрольные суммы загружаемых с сервера файлов. Этот вариант обычно применяется, когда на сервер выкладывается множество вариантов дистрибутива (для разных платформ, для разных языков и т.д.). В этом случае нужно скачать, кроме файла программы (образа диска и т.д.) файлы вида SHA512SUM и SHA512SUM.asc (расширение у второго файла может быть также .sig или .sign, а вместо SHA512SUM может быть, например, SHA256SUM) и сначала проверить подлинность файла контрольных сумм (как и в предыдущем рассмотренном варианте):

gpg --verify SHA512SUM.asc

Если подпись верна, можно проверить контрольную сумму при помощи команды sha512sum (sha256sum и т.д.), проще всего сделать это выполнив команду вида:

sha512sum --check --ignore-missing SHA512SUM

Ключ --check означает проверку, а ключ --ignore-missing означает, что отсутствующие файлы игнорируются (предполагается, что мы скачали только нужный нам файл из множества вариантов, и нам не нужна информация о том, что отсутствуют другие файлы, упомянутые в SHA512SUM).

Также можно проверить хэш вручную. Для этого можно выполнить команду (filename в данном случае это имя проверяемого файла)

sha512sum filename

Программа выдаст результат в виде хэша (длинная последовательность латинских букв и цифр) и имени файла, нужно убедиться, что соответствующая строка есть в файле SHA512SUM.

=== Проверка подлинности коммита в репозитории git ===
[[Категория:Безопасность]]
[[Категория:Криптография]]

Проверка целостности дистрибутивов

2024-02-03T16:48:54Z

Editor: изменение оформления

Программное обеспечение, загружаемое по сети, в ряде случаев может быть подменено злоумышленниками, поэтому существуют способы убедиться, что была получена подлинная копия файла. В некоторых случаях проверка осуществляется автоматически, но в некоторых случаях её проводят вручную.

== Необходимость проверки ==
Исходный текст программы, инсталляция или, например, образ диска дистрибутива, доступные по сети, теоретически могут быть подменены на модифицированные копии, содержащие те или иные вредоносные компоненты (примеры подобного известны). Это может произойти из-за взлома сайта, с которого загружается приложение, а также из-за злонамеренных действий кого-либо из множества людей, которые имеют техническую возможность подменить файл тем или иным способом (это может быть администратора сайта, сотрудника хостинг-провайдера, Интернет-провайдера и т.д.). Ситуацию усугубляет наличие зеркал, которые часто используются для уменьшения нагрузки на основной сайт, переадресация на которые может происходить во время загрузки файлов незаметно для пользователя. Использование защищённого соединения не решает проблемы (например, у зеркала, контролируемого злоумышленниками, будет вполне валидный сертификат для их домена).

Поэтому существуют и применяются ряд способов проверки подлинности загружаемых программ при помощи электронной подписи. Более того, они позволяют обнаружить ошибки при загрузке (которые возникают гораздо чаще, чем подмена файлов злоумышленниками, хотя последнее, конечно, наносит жертвам намного больший ущерб).

== Использование электронной подписи ==
Способы проверки подлинности в целом сводятся к использованию электронной подписи, создаваемой при помощи криптографических алгоритмов с открытым ключом, и различаются в деталях реализации, которые подходят для той или иной ситуации. Для Linux основной способ проверки электронной подписи — это использование утилиты GnuPG.

Обычно данная утилита установлена по умолчанию. В случае, если она, например, не установлена в дистрибутиве Debian (что является скорее нештатной ситуацией), её легко установить командой:

<code>apt install gnupg</code>

При этом, для проверки электронной подписи необходимо обладать соответствующим открытым ключом, которые обычно распространяются вместе с подписываемыми файлами и файлами электронной подписи, но есть важный момент с проверкой подлинности открытого ключа: если скачать его с того же сайта, где находится подпись, то, в случае подмены файла, будет скорее всего подменена подпись и открытый ключ. Поэтому, если вы хотите проверить подлинность загружаемого программного обеспечения, можно предпринять дополнительные меры предосторожности, например, скачать открытый ключ заранее (если случаются инциденты с подменой файлов, то они относительно быстро обнаруживаются). Также дистрибутивы Linux могут содержать ряд нужных для проверки ключей. Например, в Debian Linux вы можете установить несколько пактов с ключами используя команду (скорее всего один из них уже будет установлен):

<code>apt install debian-keyring debian-archive-keyring debian-ports-archive-keyring fasttrack-archive-keyring</code>

После этого в каталоге /usr/share/keyrings/ появятся новые файлы с открытыми ключами, связанными с рядом проектов.

=== Проверка подлинности при помощи электронной подписи для файла ===
Для файла, подлинность которого нужно подтвердить, создаётся файл электронной подписи, который размещается рядом с ним. Обычно файл подписи имеет расширения .asc, .sig или .sign. Чтобы её проверить, нужно скачать ещё файл ключа, проверить его подлинность, импортировать его и установить степень доверия к нему. Чтобы было понятнее, рассмотрим это на практическом примере, скачаем и проверим целостность исходных текстов Python. Чтобы выполнить все проверки, вам потребуется своя пара ключей, о том, как её сгенерировать, написано в статье про [[GnuPG]].

Откроем в браузере адрес https://www.python.org/ftp/python/, там найдём подкаталог с последней версией, на момент написания данного материала это 3.12.0, перейдём в него и загрузим оттуда файлы Python-3.12.1.tar.xz (исходные тексты Python), Python-3.12.1.tar.xz.asc (файл подписи). Или можно скачать из командной строки эти файлы командой:

wget <nowiki>https://www.python.org/ftp/python/3.12.1/Python-3.12.1.tar.xz</nowiki> <nowiki>https://www.python.org/ftp/python/3.12.1/Python-3.12.1.tar.xz.asc</nowiki>

Теперь мы можем попробовать проверить подлинность файла командой:

gpg --verify Python-3.12.1.tar.xz.asc

Результат получился такой:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'
gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK
gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305
gpg: Не могу проверить подпись: No public key

Как видно, проверить подпись не удаётся из-за отсутствия нужного открытого ключа (его идентификатор 7169605F62C751356D054A26A821E680E5FA6305 указан в сообщении об ошибке, которое вывела программа gpg). Ключи для проверки дистрибутивов Python можно скачать на странице https://www.python.org/downloads/ — на странице есть раздел «OpenPGP Public Keys», где мы видим нужный ключ (указан идентификатор ключа, точнее, его последняя часть, которая соответствует идентификатору того ключа, который мы ищем. Скачаем его (его можно загрузить по ссылке https://github.com/Yhg1s.gpg). Откроем в консоли каталог, где был сохранён ключ, и импортируем его базу ключей GnuPG:

gpg --import Yhg1s.gpg

Если мы повторно выполним команду <code>gpg --verify Python-3.12.1.tar.xz.asc</code>, то получим уже новый результат, показывающий, что подпись верна, но уверенности в подлинности ещё нет, поскольку у системы нет данных, позволяющих убедиться, что открытый ключ принадлежит владельцу:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'
gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK
gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305
gpg: Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [неизвестно]
gpg: или "Thomas Wouters <thomas@xs4all.nl>" [неизвестно]
gpg: или "Thomas Wouters <twouters@google.com>" [неизвестно]
gpg: Внимание: Данный ключ не заверен доверенной подписью!
gpg: Нет указаний на то, что подпись принадлежит владельцу.

Отпечаток первичного ключа: 7169 605F 62C7 5135 6D05 4A26 A821 E680 E5FA 6305

Мы скачали ключ по ссылке с официального сайта, но давайте проявим дополнительную бдительность и посмотрим, каким был файл в прошлом, на web.archive.org: http://web.archive.org/web/20230101004252/https://www.python.org/downloads/ — там мы увидим соответствующую ссылку для скачивания, и, если откроем сохранённую версию ключа, то можем убедиться, что она идентична той, что мы уже скачали, наверное можно уже считать, что мы проявили достаточную осмотрительность и убедились, что ключ подлинный. Поэтому мы можем подписать этот ключ, чтобы в дальнейшем проверка подписи при помощи GnuPG не вызывала ошибок. Для этого в командной строке введём команду:

gpg --edit-key 7169605F62C751356D054A26A821E680E5FA6305

Увидим приглашение для ввода команд вида gpg> и введём там команду lsign (завершив ввод переводом строки). Эта команда означает, что вы подписываете ключ только для себя, подпись не будет экспортироваться (есть также варианты sign, tsign и т.д., о которых вы можете прочитать в документации), при её выполнении нужно будет дважды подтвердить осуществляемые действия введя «y», после чего можно завершить работу в GnuPG с сохранением командой <code>save</code>.

Теперь команда gpg --verify Python-3.12.1.tar.xz.asc покажет нам результат проверки подлинности дистрибутива Python:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'
gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK
gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305
gpg: проверка таблицы доверия
gpg: marginals needed: 3 completes needed: 1 trust model: pgp
gpg: глубина: 0 достоверных: 5 подписанных: 5 доверие: 0-, 0q, 0n, 0m, 0f, 5u
gpg: глубина: 1 достоверных: 5 подписанных: 1 доверие: 5-, 0q, 0n, 0m, 0f, 0u
gpg: срок следующей проверки таблицы доверия 2024-12-28
gpg: Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [полное]
gpg: или "Thomas Wouters <thomas@xs4all.nl>" [полное]
gpg: или "Thomas Wouters <twouters@google.com>" [полное]

Итак, GnuPG сообщила нам: «Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [полное]» — как мы видим, архив подписан одним из участников проекта Python.

=== Проверка подлинности при помощи подписанных файлов контрольных сумм ===
Иногда подписывается не файл дистрибутива, а файл, содержащий контрольные суммы загружаемых с сервера файлов. Этот вариант обычно применяется, когда на сервер выкладывается множество вариантов дистрибутива (для разных платформ, для разных языков и т.д.).

=== Проверка подлинности коммита в репозитории git ===
[[Категория:Безопасность]]
[[Категория:Криптография]]

Проверка целостности дистрибутивов

2024-02-03T16:42:36Z

Editor: показана проверка файла при помощи файла с подписью

Программное обеспечение, загружаемое по сети, в ряде случаев может быть подменено злоумышленниками, поэтому существуют способы убедиться, что была получена подлинная копия файла. В некоторых случаях проверка осуществляется автоматически, но в некоторых случаях её проводят вручную.

== Необходимость проверки ==
Исходный текст программы, инсталляция или, например, образ диска дистрибутива, доступные по сети, теоретически могут быть подменены на модифицированные копии, содержащие те или иные вредоносные компоненты (примеры подобного известны). Это может произойти из-за взлома сайта, с которого загружается приложение, а также из-за злонамеренных действий кого-либо из множества людей, которые имеют техническую возможность подменить файл тем или иным способом (это может быть администратора сайта, сотрудника хостинг-провайдера, Интернет-провайдера и т.д.). Ситуацию усугубляет наличие зеркал, которые часто используются для уменьшения нагрузки на основной сайт, переадресация на которые может происходить во время загрузки файлов незаметно для пользователя. Использование защищённого соединения не решает проблемы (например, у зеркала, контролируемого злоумышленниками, будет вполне валидный сертификат для их домена).

Поэтому существуют и применяются ряд способов проверки подлинности загружаемых программ при помощи электронной подписи. Более того, они позволяют обнаружить ошибки при загрузке (которые возникают гораздо чаще, чем подмена файлов злоумышленниками, хотя последнее, конечно, наносит жертвам намного больший ущерб).

== Использование электронной подписи ==
Способы проверки подлинности в целом сводятся к использованию электронной подписи, создаваемой при помощи криптографических алгоритмов с открытым ключом, и различаются в деталях реализации, которые подходят для той или иной ситуации. Для Linux основной способ проверки электронной подписи — это использование утилиты GnuPG.

Обычно данная утилита установлена по умолчанию. В случае, если она, например, не установлена в дистрибутиве Debian (что является скорее нештатной ситуацией), её легко установить командой:

<code>apt install gnupg</code>

При этом, для проверки электронной подписи необходимо обладать соответствующим открытым ключом, которые обычно распространяются вместе с подписываемыми файлами и файлами электронной подписи, но есть важный момент с проверкой подлинности открытого ключа: если скачать его с того же сайта, где находится подпись, то, в случае подмены файла, будет скорее всего подменена подпись и открытый ключ. Поэтому, если вы хотите проверить подлинность загружаемого программного обеспечения, можно предпринять дополнительные меры предосторожности, например, скачать открытый ключ заранее (если случаются инциденты с подменой файлов, то они относительно быстро обнаруживаются). Также дистрибутивы Linux могут содержать ряд нужных для проверки ключей. Например, в Debian Linux вы можете установить несколько пактов с ключами используя команду (скорее всего один из них уже будет установлен):

<code>apt install debian-keyring debian-archive-keyring debian-ports-archive-keyring fasttrack-archive-keyring</code>

После этого в каталоге /usr/share/keyrings/ появятся новые файлы с открытыми ключами, связанными с рядом проектов.

=== Проверка подлинности при помощи электронной подписи для файла ===
Для файла, подлинность которого нужно подтвердить, создаётся файл электронной подписи, который размещается рядом с ним. Обычно файл подписи имеет расширения .asc, .sig или .sign. Чтобы её проверить, нужно скачать ещё файл ключа, проверить его подлинность, импортировать его и установить степень доверия к нему. Чтобы было понятнее, рассмотрим это на практическом примере, скачаем и проверим целостность исходных текстов Python. Чтобы выполнить все проверки, вам потребуется своя пара ключей, о том, как её сгенерировать, написано в статье про [[GnuPG]].

Откроем в браузере адрес https://www.python.org/ftp/python/, там найдём подкаталог с последней версией, на момент написания данного материала это 3.12.0, перейдём в него и загрузим оттуда файлы Python-3.12.1.tar.xz (исходные тексты Python), Python-3.12.1.tar.xz.asc (файл подписи). Или можно скачать из командной строки эти файлы командой:

wget '<nowiki>https://www.python.org/ftp/python/3.12.1/Python-3.12.1.tar.xz'</nowiki> '<nowiki>https://www.python.org/ftp/python/3.12.1/Python-3.12.1.tar.xz.asc'</nowiki>

Теперь мы можем попробовать проверить подлинность файла командой:

<code>gpg --verify Python-3.12.1.tar.xz.asc</code>

Результат получился такой:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'

gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK

gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305

gpg: Не могу проверить подпись: No public key

Как видно, проверить подпись не удаётся из-за отсутствия нужного открытого ключа (его идентификатор 7169605F62C751356D054A26A821E680E5FA6305 указан в сообщении об ошибке, которое вывела программа gpg). Ключи для проверки дистрибутивов Python можно скачать на странице https://www.python.org/downloads/ — на странице есть раздел «OpenPGP Public Keys», где мы видим нужный ключ (указан идентификатор ключа, точнее, его последняя часть, которая соответствует идентификатору того ключа, который мы ищем. Скачаем его (его можно загрузить по ссылке https://github.com/Yhg1s.gpg). Откроем в консоли каталог, где был сохранён ключ, и импортируем его базу ключей GnuPG:

gpg --import Yhg1s.gpg

Если мы повторно выполним команду <code>gpg --verify Python-3.12.1.tar.xz.asc</code>, то получим уже новый результат, показывающий, что подпись верна, но уверенности в подлинности ещё нет, поскольку у системы нет данных, позволяющих убедиться, что открытый ключ принадлежит владельцу:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'

gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK

gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305

gpg: Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [неизвестно]

gpg: или "Thomas Wouters <thomas@xs4all.nl>" [неизвестно]

gpg: или "Thomas Wouters <twouters@google.com>" [неизвестно]

gpg: Внимание: Данный ключ не заверен доверенной подписью!

gpg: Нет указаний на то, что подпись принадлежит владельцу.

Отпечаток первичного ключа: 7169 605F 62C7 5135 6D05 4A26 A821 E680 E5FA 6305

Мы скачали ключ по ссылке с официального сайта, но давайте проявим дополнительную бдительность и посмотрим, каким был файл в прошлом, на web.archive.org: http://web.archive.org/web/20230101004252/https://www.python.org/downloads/ — там мы увидим соответствующую ссылку для скачивания, и, если откроем сохранённую версию ключа, то можем убедиться, что она идентична той, что мы уже скачали, наверное можно уже считать, что мы проявили достаточную осмотрительность и убедились, что ключ подлинный. Поэтому мы можем подписать этот ключ, чтобы в дальнейшем проверка подписи при помощи GnuPG не вызывала ошибок. Для этого в командной строке введём команду:

gpg --edit-key 7169605F62C751356D054A26A821E680E5FA6305

Увидим приглашение для ввода команд вида gpg> и введём там команду lsign (завершив ввод переводом строки). Эта команда означает, что вы подписываете ключ только для себя, подпись не будет экспортироваться (есть также варианты sign, tsign и т.д., о которых вы можете прочитать в документации), при её выполнении нужно будет дважды подтвердить осуществляемые действия введя «y», после чего можно завершить работу в GnuPG с сохранением командой <code>save</code>.

Теперь команда gpg --verify Python-3.12.1.tar.xz.asc покажет нам результат проверки подлинности дистрибутива Python:

gpg: предполагается, что подписанные данные находятся в 'Python-3.12.1.tar.xz'

gpg: Подпись сделана Пт 08 дек 2023 00:02:02 MSK

gpg:    ключом RSA с идентификатором 7169605F62C751356D054A26A821E680E5FA6305

gpg: проверка таблицы доверия

gpg: marginals needed: 3 completes needed: 1 trust model: pgp

gpg: глубина: 0 достоверных: 5 подписанных: 5 доверие: 0-, 0q, 0n, 0m, 0f, 5u

gpg: глубина: 1 достоверных: 5 подписанных: 1 доверие: 5-, 0q, 0n, 0m, 0f, 0u

gpg: срок следующей проверки таблицы доверия 2024-12-28

gpg: Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [полное]

gpg: или "Thomas Wouters <thomas@xs4all.nl>" [полное]

gpg: или "Thomas Wouters <twouters@google.com>" [полное]

Итак, GnuPG сообщила нам: «Действительная подпись пользователя "Thomas Wouters <thomas@python.org>" [полное]» — как мы видим, архив подписан одним из участников проекта Python.

=== Проверка подлинности при помощи подписанных файлов контрольных сумм ===
Иногда подписывается не файл дистрибутива, а файл, содержащий контрольные суммы загружаемых с сервера файлов. Этот вариант обычно применяется, когда на сервер выкладывается множество вариантов дистрибутива (для разных платформ, для разных языков и т.д.).

=== Проверка подлинности коммита в репозитории git ===
[[Категория:Безопасность]]
[[Категория:Криптография]]

Проверка целостности дистрибутивов

2024-02-03T14:40:31Z

Editor: изменение формулировок

Проверка целостности дистрибутивов

2024-02-01T21:55:32Z

Editor: /* Проверка подлинности при помощи подписанных файлов контрольных сумм */

Проверка целостности дистрибутивов

2024-02-01T21:52:36Z

Editor: /* Способы проверки */

Проверка целостности дистрибутивов

2024-02-01T21:46:56Z

Editor: /* Способы проверки */

Проверка целостности дистрибутивов

2024-02-01T21:39:19Z

Editor: Категории

Проверка целостности дистрибутивов

2024-02-01T21:38:21Z

Editor: Заготовка статьи

Обновление Debian

2024-01-29T17:43:05Z

Editor: добавлены contrib non-free для данных о репозиториях Debian 10

Обновление Debian может проводиться как вручную, так и в автоматическом режиме, последнее справедливо для установки обновлений в рамках одной версии, переход на следующую версию требует ряда предварительных операций (проверки состояния пакетов и настройки на репозиторий нового дистрибутива).

== Обновление в рамках одной версии Debian ==

=== Ручная установка обновлений ===
Для установки обновлений в Debian необходимо сначала обновить список пакетов командой <code>apt update</code> и далее выполнить команду <code>apt upgrade</code> или <code>apt full-upgrade</code>. Разница между последними двумя командами в том, что первая из них не удаляет пакеты, даже если это действие необходимо для обновления других пакетов, а вторая осуществляет обновление даже если для этого требуется удалить некоторые пакеты. Как правило, разницы между этими командами нет, и лучше использовать вторую из них, обращая при этом внимание на то, не будет ли удалён какой-либо пакет из тех, которые вам всё же нужны настолько, что вы готовы подождать с обновлением системы. Таким образом, команда для установки обновлений будет выглядеть так:

<code>apt update; apt full-upgrade</code>

При обновлении программа также запросит подтверждение, для чего нужно нажать Y, если всё в порядке (и N, если предложенный вариант вас не устраивает).

При этом обновления устанавливаются только в рамках одной версии, без дополнительных действий вы не перейдёте на новую версию Debian.

=== Автоматическая установка обновлений ===
Для автоматической установки обновлений служит приложение UnattendedUpgrades, которое устанавливается следующей командой:

<code>apt install unattended-upgrades</code>

После установки данное приложение нужно настроить. Во-первых, нужно разрешить автоматическую установку обновлений, это делается переконфигурированием пакета при помощи dpkg-reconfigure:

<code>dpkg-reconfigure -plow unattended-upgrades</code>

Будет показан запрос на автоматическую установку обновлений, нужно выбрать вариант, разрешающий её. Далее имеет смысл отредактировать конфигурационный файл <code>/etc/apt/apt.conf.d/50unattended-upgrades</code>, в котором можно разрешить перезагрузку системы в случае необходимости (например, это нужно при обновлении ядра) и выбрать время, когда это должно происходить, для этого можно установить нужным образом в этом конфигурационном файле опции <code>Unattended-Upgrade::Automatic-Reboot</code>, <code>Unattended-Upgrade::Automatic-Reboot-WithUsers</code> и <code>Unattended-Upgrade::Automatic-Reboot-Time</code> (по умолчанию они закомментированы), их назначение понятно из названия:

* <code>Unattended-Upgrade::Automatic-Reboot</code> , если установлен в true, то разрешает автоматическую перезагрузку, если она потребовалась после установки обновлений, в противном случае надо поставить false;
* <code>Unattended-Upgrade::Automatic-Reboot-WithUsers</code>, если установлен в true, то разрешает автоматическую перезагрузку даже если в системе работают пользователи;
* <code>Unattended-Upgrade::Automatic-Reboot-Time</code> определяет время перезагрузки, например, "02:00".

Более подробно об автоматическом обновлении при помощи UnattendedUpgrades можно прочитать на сайте проекта Debian, на странице https://wiki.debian.org/UnattendedUpgrades.

== Переход на следующую версию Debian ==

=== Подготовка к обновлению ===
Информация по обновлению Debian на сайте проекта есть, в частности, по адресам https://wiki.debian.org/DebianUpgrade и https://www.debian.org/releases/stable/amd64/release-notes/ch-upgrading.html. Процедура может несколько отличаться от версии к версии, в частности, могут меняться списки репозиториев и их разделов (например, в Debian 12 в архиве пакетов появился новый компонент, non-free-firmware, для того, чтобы отделить несвободное программное обеспечение от несвободных прошивок для оборудования. Но обычные принципы обновления версии Debian следующие.

Прежде всего необходимо создать резервную копию, чтобы, в случае ошибки при обновлении системы данные с неё не оказались потеряны или недоступны. Далее нужно обновить последние обновления для установленной версии:

<code>apt update; apt full-upgrade</code>

Далее необходимо убедиться, что нет препятствий для обновления системы.

Проверьте, что все установленные пакеты установлены из репозитория Debian (пакеты, установленные из других источников, как минимум могут перестать работать после обновления, или даже помешать обновлению). Проверить пакеты можно следующей командой:

<code>apt list '?narrow(?installed, ?not(?origin(Debian)))'</code>

Данная команда покажет список установленных пакетов, которых нет в репозитории (возможно все пакеты из дистрибутива, и программа не выведет ни одного названия). Будьте осторожны с этим списком, туда могут также попасть пакеты, которые ранее были в репозитории, но теперь в нём отсутствуют, например, старые пакеты с ядром системы. В обычной ситуации пакеты, выведенные командой выше, надо удалить перед обновлением. Также эта команда пригодится после обновления, поскольку после него в системе могут оставаться пакеты из старого дистрибутива, которые стоит удалить.

Далее нужно убедиться, что ни один из пакетов не имеет статус hold (что блокирует автоматическую установку, удаление или обновление пакета). Просмотреть список пакетов со статусом hold можно командой:

<code>apt-mark showhold</code>

Если какой-либо пакет имеет данный статус, то снять его можно командой вида:

<code>apt-mark unhold имя_пакета</code>

Далее вам нужно изменить файл /etc/apt/sources.list — убрать оттуда (или закомментировать) репозитории старого дистрибутива и добавить репозитории нового. Обновлять Debian следует от версии к версии, не пропуская промежуточные, то есть, например, если вы обновляете версию 10, то лучше обновить систему до версии 11 и, далее, до версии 12. Также следует проверить каталог /etc/apt/sources.list.d/ на отсутствие дополнительных источников пакетов. Список репозиториев для дистрибутивов Debian разных версий может отличаться не только именем дистрибутива. Примеры содержимого файлов /etc/apt/sources.list для ряда версий Debian даны ниже.

=== Содержимое /etc/apt/sources.list для разных версий Debian ===

==== Debian 10 (buster) ====
deb <nowiki>http://deb.debian.org/debian/</nowiki> buster main contrib non-free
deb-src <nowiki>http://deb.debian.org/debian/</nowiki> buster main contrib non-free

deb <nowiki>http://security.debian.org/debian-security</nowiki> buster/updates main contrib non-free
deb-src <nowiki>http://security.debian.org/debian-security</nowiki> buster/updates main contrib non-free

deb <nowiki>http://deb.debian.org/debian/</nowiki> buster-updates main contrib non-free
deb-src <nowiki>http://deb.debian.org/debian/</nowiki> buster-updates main contrib non-free

==== Debian 11 (bullseye) ====
deb <nowiki>http://deb.debian.org/debian</nowiki> bullseye main contrib non-free
deb-src <nowiki>http://deb.debian.org/debian</nowiki> bullseye main contrib non-free

deb <nowiki>http://deb.debian.org/debian</nowiki> bullseye-updates main contrib non-free
deb-src <nowiki>http://deb.debian.org/debian</nowiki> bullseye-updates main contrib non-free

deb <nowiki>http://deb.debian.org/debian</nowiki> bullseye-backports main contrib non-free
deb-src <nowiki>http://deb.debian.org/debian</nowiki> bullseye-backports main contrib non-free

deb <nowiki>http://security.debian.org/debian-security/</nowiki> bullseye-security main contrib non-free
deb-src <nowiki>http://security.debian.org/debian-security/</nowiki> bullseye-security main contrib non-free

==== Debian 12 (bookworm) ====
deb <nowiki>http://deb.debian.org/debian</nowiki> bookworm main contrib non-free non-free-firmware
deb-src <nowiki>http://deb.debian.org/debian</nowiki> bookworm main contrib non-free non-free-firmware

deb <nowiki>http://deb.debian.org/debian</nowiki> bookworm-updates main contrib non-free non-free-firmware
deb-src <nowiki>http://deb.debian.org/debian</nowiki> bookworm-updates main contrib non-free non-free-firmware

deb <nowiki>http://deb.debian.org/debian</nowiki> bookworm-backports main contrib non-free non-free-firmware
deb-src <nowiki>http://deb.debian.org/debian</nowiki> bookworm-backports main contrib non-free non-free-firmware

deb <nowiki>http://security.debian.org/debian-security/</nowiki> bookworm-security main contrib non-free non-free-firmware
deb-src <nowiki>http://security.debian.org/debian-security/</nowiki> bookworm-security main contrib non-free non-free-firmware

=== Обновление ===
Обновление лучше вести из текстовой консоли (имеется в виду настоящая текстовая консоль, куда, например, можно попасть при помощи комбинации клавиш перейдя туда комбинацией клавиш Ctrl-Alt-F2), а не эмулятор терминала, запускаемый из графического интерфейса), поскольку в процессе обновления графический интерфейс может зависнуть. Также обычно обновление проходит нормально при подключении через SSH, но, в ответственных случаях, убедитесь, что у вас есть план Б на случай, если обновление через SSH пойдёт не по плану. Для обновления нужно ввести команду:

<code>apt update; apt full-upgrade</code>

И, как обычно, подтвердить операцию по запросу приложенрия, нажав Y. После того, как пакеты будут обновлены, перезагрузите систему.

После перезагрузки проверьте, не остались ли от старого дистрибутива пакеты, которых уже нет в новом дистрибутиве, командой, которую вы уже использовали ранее:

<code>apt list '?narrow(?installed, ?not(?origin(Debian)))'</code>

Вероятно пакеты из списка, который покажет данная команда, вам не нужны, тогда их стоит удалить.

== См. также ==

[[Категория:Debian]]