ज्यादातर समय सिर्फ एक पैकेज रिपॉजिटरी जोड़ने से आप रिपॉजिटरी कुंजी के बिना पैकेज डाउनलोड और इंस्टॉल कर सकते हैं। इसके अलावा कुछ रिपॉजिटरी अपनी जानकारी के साथ अपनी कुंजी प्रदर्शित करते हैं ताकि वे आसानी से मिल सकें। परंतु
जवाबों:
मुझे उबंटू कम्युनिटी हेल्प विकी से एक अच्छा स्पष्टीकरण मिला ।
"प्रमाणीकरण कुंजी" आमतौर पर सॉफ़्टवेयर रिपॉजिटरी के अनुचर से प्राप्त की जाती है। अनुरक्षक अक्सर सार्वजनिक कुंजी सर्वर जैसे www.keyserver.net पर प्रमाणीकरण कुंजी की एक प्रति रखेगा। तब कमांड का उपयोग करके कुंजी को पुनः प्राप्त किया जा सकता है।
Apt-getपैकेज प्रबंधन डाउनलोड किए गए पैकेजों को प्रमाणित करने के लिए सार्वजनिक कुंजी क्रिप्टोग्राफी का उपयोग करता है।
- डेबियन इस विकी पेज पर सिक्योर एप्ट को समझाने का एक उत्कृष्ट काम करता है।
इस प्रकार, डेबियन के विकी पेज से प्राप्त की गई अधिग्रहण और सत्यापन प्रक्रिया का संक्षिप्त सारांश है।
बेसिक कॉन्सेप्ट्स सार्वजनिक कुंजी क्रिप्टोग्राफी कुंजी के जोड़े पर आधारित है, ए
public keyऔर एprivate key।public keyदुनिया के लिए बाहर दिया गया है;private keyएक गुप्त रखा जाना चाहिए। सार्वजनिक कुंजी रखने वाला व्यक्ति किसी संदेश को एन्क्रिप्ट कर सकता है ताकि उसे केवल निजी कुंजी रखने वाले व्यक्ति द्वारा पढ़ा जा सके। फ़ाइल पर हस्ताक्षर करने के लिए एक निजी कुंजी का उपयोग करना संभव है, इसे एन्क्रिप्ट नहीं करना। यदि किसी फ़ाइल को साइन करने के लिए एक निजी कुंजी का उपयोग किया जाता है, तो जिस किसी के पास सार्वजनिक कुंजी है, वह जांच कर सकता है कि फ़ाइल उस कुंजी द्वारा हस्ताक्षरित थी। कोई भी व्यक्ति जिसके पास निजी कुंजी नहीं है, वह इस तरह के हस्ताक्षर कर सकता है।gpg (GNU प्राइवेसी गार्ड) फाइलों को साइन करने और उनके हस्ताक्षर की जांच करने के लिए सुरक्षित एप्ट में उपयोग किया जाने वाला उपकरण है।
apt-key एक प्रोग्राम है जिसका उपयोग सुरक्षित apt के लिए gpg कुंजियों के कीरिंग को प्रबंधित करने के लिए किया जाता है। कीरिंग को फ़ाइल में रखा जाता है
/etc/apt/trusted.gpg(संबंधित से भ्रमित नहीं होना चाहिए लेकिन बहुत दिलचस्प नहीं है/etc/apt/trustdb.gpg)। apt-key का उपयोग कीरिंग में कुंजियाँ दिखाने के लिए, और कुंजी जोड़ने या हटाने के लिए किया जा सकता है।हर बार जब आप एक और उपयुक्त रिपॉजिटरी जोड़ते हैं
/etc/apt/sources.list, तो आपको उसकी कुंजी भी देनी होगी यदि आप उस पर विश्वास करना चाहते हैं। एक बार जब आप कुंजी प्राप्त कर लेते हैं, तो आप कुंजी के फिंगरप्रिंट की जांच करके और फिर अपनी निजी कुंजी के साथ इस सार्वजनिक कुंजी पर हस्ताक्षर करके इसे सत्यापित कर सकते हैं। फिर आप apt की कीरिंग के साथ कुंजी जोड़ सकते हैंapt-key add <key>
आपको रिपॉजिटरी कुंजियों की आवश्यकता है ताकि आप यह सत्यापित कर सकें कि आपको उस व्यक्ति से पैकेज मिला है जिसे आप सोचते हैं कि आप इसे प्राप्त कर रहे हैं।
अपने अपडेट में लोगों को खराब पैकेज इंजेक्ट करना है।
जब भी आप कर सकते हैं तो आपको रिपॉजिटरी कीज को जोड़ना चाहिए।