[Obejście] Trafne ostrzeżenie: klucz podpisu używa słabego algorytmu

Wystąpiło ostrzeżenie o słabym kluczu podpisu w wynikach polecenia apt? Oto dlaczego i jak się tego pozbyć w Ubuntu 24.04.

Po dodaniu umów PPA lub repozytoriów źródłowych innych firm w Ubuntu 24.04 może pojawić się podobne ostrzeżenie w wynikach polecenia apt (zwykle apt update):

W: https://ppa.launchpadcontent.net/mozillateam/ppa/ubuntu/dists/noble/InRelease: Podpis kluczem 0AB215679C571D1C8325275B9BDB3D89CE49EC21 używa słabego algorytmu (rsa1024)

Ostrzeżenie może również wystąpić w Debianie i systemach na nim opartych z menedżerem pakietów apt w wersji 2.7.13 lub nowszej.

Ze względu na aktualizację polityki kryptograficznej, apt now (od wersji 2.7.13, zobacz zatwierdzenie) wymaga, aby repozytoria były podpisane przy użyciu jednego z następujących algorytmów klucza publicznego:

• RSA z kluczami co najmniej 2048-bitowymi
• Ed25519
• Wyd.448

1024-bitowe klucze RSA, które są używane w starterze PPA w chwili pisania tego tekstu, a także klucze DSA (nie można już ich używać) i klucze ECC (NIST P-{256 384 521}, Brainpool P-{256 384 512} , secp256k1) są powszechnie uważane za NIEBEZPIECZNE.

Ubuntu 24.04 zawiera apt 2.7.14 z aktualizacją zasad (patrz strona dyskursu). Klawisze UNSAFE nadal działają, ale zobaczysz ostrzeżenie, jak wspomniano powyżej.

W przypadku umów PPA Ubuntu (host na launchpad.net) nie jest wymagane żadne działanie! Zespół Ubuntu zaktualizuje klucze do 4096-bitowego RSA.

Umowy PPA są obecnie aktualizowane do 4096-bitowego klucza RSA i spodziewamy się, że aktualizacja zakończy się przed wydaniem. Właściciele PPA nie muszą (ani nie mogą) podejmować żadnych działań.

Jeśli obecnie używasz wersji 24.04 przed jej wydaniem, będziesz musiał odświeżyć klucze podpisu PPA, gdy ostrzeżenie stanie się błędem. W tym celu planujemy zapewnić łatwą funkcjonalność w repozytorium add-apt, tak aby nie było potrzeby usuwania i ponownego dodawania umów PPA.

Jak zastąpić zmianę zasad

Jeśli więc nie możesz czekać, aż opiekunowie zaktualizują klucze lub po prostu ufasz bieżącym kluczom, możesz dodać regułę, aby pozbyć się ostrzeżenia.

1. Najpierw naciśnij Ctrl+Alt+T, aby otworzyć okno terminala. Po otwarciu uruchom polecenie, aby utworzyć plik konfiguracyjny dla apt:

sudo nano /etc/apt/apt.conf.d/99weakkey-warning

Tutaj używam edytora tekstu wiersza poleceń nano, który działa na większości komputerów stacjonarnych, możesz go zastąpić gnome-text-editor dla wersji 24.04 z domyślnym GNOME lub innym edytorem zależnym od twojego pulpitu środowisko. Możesz także zastąpić nazwę pliku 99weakkey-warning dowolną nazwą.

2. Po otwarciu pliku dodaj poniższą linię i zmień (lub dodaj) wartość zgodnie ze swoimi potrzebami:

APT::Key::Assert-Pubkey-Algo „>=rsa1024,ed25529,ed448”;

Domyślne algorytmy kluczy to „>=rsa2048,ed25529,ed448”. W moim przypadku (patrz zrzut ekranu powyżej) ostrzeżony klucz używa „rsa1024”. Zamieniam więc wartość >=rsa2048 na >=rsa1024.

Na przykład chcesz zezwolić na secp256k1 (uruchom sudo apt update, aby uzyskać ostrzeżenie o algorytmie klucza), a następnie zamień tę linię na:

APT::Key::Assert-Pubkey-Algo ">=rsa2048,ed25529,ed448,secp256k1";

Lub po prostu pozostaw to pole puste, aby wszystkie kluczowe algorytmy zaufane przez GnuPG były dozwolone, więc będzie to:

APT::Key::Assert-Pubkey-Algo "";

Po edycji naciśnij Ctrl+S, aby zapisać plik, i Ctrl+X, aby wyjść. I uruchom polecenie sudo apt update, aby zweryfikować zmianę.

Jak przywrócić

Aby przywrócić zmianę, po prostu usuń utworzony plik konfiguracyjny, uruchamiając polecenie w terminalu (Ctrl+Alt+T):

sudo rm /etc/apt/apt.conf.d/99weakkey-warning

Na koniec uruchom sudo apt update, aby odświeżyć pamięć podręczną pakietów systemowych.