[Sysadmins] apt+gpg

[Sysadmins] apt+gpg

[Сандалов Станислав]

Добрый день. Возникла проблема с настройкой собственного репозитория с
подписью.
Имеется 2 машины: сервер, клиент. Для настройки сабжа делалось
следующее:
1. В hasher были собраны определенные пакеты и помещены
в /var/ftp/mirror/local/x86_64/RPMS.local

2. На сервере был создан ключ для пользователя admin (gpg --gen-key, тип
RSA только для подписи)

3. Созданы индексы репозитория (genbasedir --sign
--topdir=/var/ftp/mirror/local x86_64 local)

4. Далее бы экспортирован ключ и скопирован на клиентскую машину, где бы
успешно импортирован(gpg --export/--import)

5. В /etc/apt/sources.list указан репозиторий
$ cat /etc/apt/sources.list
# Local package resource list for APT goes here.
# To inspect package defined part, see /etc/apt/sources.list.d/*.list
rpm [local] ftp://192.168.30.161/mirror/local x86_64 local

6. В /etc/apt/vendors.list указан слепок ключа
$ cat /etc/apt/vendors.list
simple-key "local" {
        Fingerprint "A8E9352B19BEB1564517C28BBF3203E7229E6EE9";
        Name "admin (loki_mod) <admin@localdomain>";
}

7. Запускаю apt-get update
$ sudo apt-get update
Get:1 http://ftp://192.168.30.161 x86_64 release [673B]
Err http://ftp://192.168.30.161 x86_64 release
  File was not signed with a known key. Check if the proper gpg key was
imported to your keyring.
Fetched 673B in 0s (11.7kB/s)
Failed to fetch
http://ftp://192.168.30.161/mirror/local/x86_64/base/release  File was
not signed with a known key. Check if the proper gpg key was imported to
your keyring.
Reading Package Lists... Done
Building Dependency Tree... Done
W: Release files for some repositories could not be retrieved or
authenticated. Such repositories are being ignored.
W: You may want to run apt-get update to correct these problems
E: Some index files failed to download, they have been ignored, or old
ones used instead.

Подскажите пожалуйста в чем я не прав.

Re: [Sysadmins] apt+gpg

[Michael Shigorin]

On Tue, Apr 19, 2011 at 06:39:48PM +0400, Сандалов Станислав wrote:
> File was not signed with a known key. Check if the proper gpg
> key was imported to your keyring.

> Подскажите пожалуйста в чем я не прав.

gpg --import?

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Sysadmins] apt+gpg

[Сандалов Станислав]

В Втр, 19/04/2011 в 20:11 +0300, Michael Shigorin пишет:
> On Tue, Apr 19, 2011 at 06:39:48PM +0400, Сандалов Станислав wrote:
> > File was not signed with a known key. Check if the proper gpg
> > key was imported to your keyring.
> 
> > Подскажите пожалуйста в чем я не прав.
> 
> gpg --import?
> 
Да. Экспортировал ключик на сервере с помощью gpg --output ~/local.gpg,
скопировал его на клиента и импортировал с помощью gpg --import
local.gpg. После добавил fingerprint слепок данного ключа
в /etc/apt/vendors.list.

Re: [Sysadmins] apt+gpg

[Michael Shigorin]

On Tue, Apr 19, 2011 at 10:20:13PM +0400, Сандалов Станислав wrote:
> > > File was not signed with a known key. Check if the proper
> > > gpg key was imported to your keyring.
> > > Подскажите пожалуйста в чем я не прав.
> > gpg --import?
> Да. Экспортировал ключик на сервере с помощью
> gpg --output ~/local.gpg, скопировал его на клиента и
> импортировал с помощью gpg --import local.gpg. После добавил
> fingerprint слепок данного ключа в /etc/apt/vendors.list.

Может, пополните статью на вики, чтоб в следующий раз
было где глянуть? (да и другим может пригодиться)

http://www.altlinux.org/APT_в_ALT_Linux/CreateRepository

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Sysadmins] apt+gpg

[Sergey Vlasov]

[-- Attachment #1: Type: text/plain, Size: 1478 bytes --]

On Tue, 19 Apr 2011 18:39:48 +0400 Сандалов Станислав wrote:

[...]
> 4. Далее бы экспортирован ключ и скопирован на клиентскую машину, где бы
> успешно импортирован(gpg --export/--import)
[...]
> Err http://ftp://192.168.30.161 x86_64 release
>   File was not signed with a known key. Check if the proper gpg key was
> imported to your keyring.

Видимо, ключ был импортирован в набор ключей какого-то из пользователей
на клиентской машине (возможно, даже root).  Однако на самом деле apt
использует другой набор ключей, поэтому импортированный обычным образом
ключ он не увидит.

Есть недокументированный параметр APT::GPG::Homedir (добавляется в патче
apt-0.5.15cnc5-alt-gpg-homedir.patch), задающий каталог с конфигурацией
gpg, используемый apt (по умолчанию /usr/lib/alt-gpgkeys).  Однако
добавлять ключи прямо в /usr/lib/alt-gpgkeys/pubring.gpg нежелательно,
поскольку этот файл принадлежит пакету alt-gpgkeys и при обновлении
этого пакета будет без предупреждения заменён на версию из пакета.
Можно сделать копию /usr/lib/alt-gpgkeys в другом месте, внести туда
свои ключи (используя опцию gpg --homedir <каталог>), после чего указать
в /etc/apt/apt.conf.d/*.conf новое значение параметра APT::GPG::Homedir,
указывающее на каталог с изменённым набором ключей.  В дальнейшем, если
в наборе ключей ALT, используемых для подписи репозиториев, произойдут
изменения, копировать новые ключи в созданный таким образом каталог
придётся самостоятельно.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [Sysadmins] apt+gpg

[Mikhail Efremov]

On Tue, 19 Apr 2011 23:54:17 +0400 Sergey Vlasov wrote:
> В дальнейшем, если в наборе ключей ALT, используемых для
> подписи репозиториев, произойдут изменения, копировать новые ключи в
> созданный таким образом каталог придётся самостоятельно.

Можно собрать свой пакет с ключом и сделать там триггер на обновление
alt-gpgkeys, добавлять прямо в /usr/lib/alt-gpgkeys/pubring.gpg. Тогда
ничего руками при обновлении делать не придется.

-- 
WBR, Mikhail Efremov