APT può scaricare i pacchetti, ma la chiave di firma non arriva

Un'impostazione Acquire::http::Proxy funzionante dimostra poco su un download fallito della chiave di firma finché non si sa quale programma recupera la chiave.

Le istruzioni più vecchie con apt-key adv passano per il percorso del keyserver di GnuPG. Altri metodi di installazione scaricano una chiave con curl o un browser. Questi programmi non leggono tutti la configurazione proxy propria di APT.

Per una richiesta al keyserver GnuPG

GnuPG usa dirmngr per le operazioni di rete pertinenti. Le sue opzioni documentate includono honor-http-proxy e un'impostazione esplicita http-proxy; l'impostazione esplicita prevale sulla variabile d'ambiente. Controlla la home e l'account GnuPG realmente usati, soprattutto per un comando privilegiato.

Controlla anche l'URL del keyserver. Una connessione nativa al keyserver non è la stessa cosa di una richiesta HTTPS per la stessa chiave. L'accesso da browser tramite un proxy HTTP non stabilisce il permesso per una connessione diretta separata a una porta del keyserver.

Segui il metodo di installazione attuale dell'editore

Non far rivivere un comando obsoleto di fiducia globale per riparare l'accesso alla rete. Le istruzioni attuali dell'editore dovrebbero indicare l'origine della chiave e il portachiavi previsto. Se usano un download HTTPS, configura il client HTTP che effettua quella richiesta. Dove l'editore è raggiungibile pubblicamente e gli intermediari pubblici sono consentiti, la lista di proxy HTTP offre endpoint candidati; la verifica dell'impronta resta un requisito separato.

Conferma l'impronta completa attesa della chiave tramite le informazioni dell'editore. Un file scaricato, un nome visualizzato corrispondente o un risultato di ricerca non stabiliscono l'identità. Per una rotazione della chiave, usa l'attuale processo di sostituzione documentato.

L'opzione Signed-By di APT può associare quel repository a un portachiavi specifico invece di concedere fiducia generale tra le origini. Controlla il formato e l'estensione richiesti del portachiavi, poi assicurati che l'account di acquisizione possa leggere il file e attraversare le sue directory superiori. Il solo accesso amministrativo non stabilisce tale permesso.

Lascia che l'errore indichi il controllo successivo

• Un timeout riguarda la rotta dello scaricatore o la raggiungibilità dell'endpoint.
• Una richiesta del proxy riguarda il suo account e il metodo supportato.
• Un'impronta non corrispondente è un fallimento di fiducia dopo la consegna.
• Un successivo errore di firma di APT può riguardare il percorso del portachiavi o l'associazione al repository.

Risolvi quella fase mantenendo la verifica della firma. Disattivarla rimuoverebbe il controllo che la configurazione della chiave di firma dovrebbe fornire.