APT може завантажувати пакети, але ключ підпису не надходить
Завантаження зі сховища й отримання ключа підпису можуть використовувати різні програми та налаштування проксі. Виправте шлях завантаження, не послаблюючи довіру до пакетів.
Робоче налаштування Acquire::http::Proxy мало що доводить про невдале завантаження ключа підпису, доки не відомо, яка програма отримує ключ.
Старіші інструкції з apt-key adv проходять шляхом сервера ключів GnuPG. Інші способи встановлення завантажують ключ за допомогою curl або браузера. Ці програми не всі читають власну конфігурацію проксі APT.
Для запиту до сервера ключів GnuPG
GnuPG використовує dirmngr для відповідних мережевих операцій. Його задокументовані параметри включають honor-http-proxy і явне налаштування http-proxy; явне налаштування перекриває змінну середовища. Перевірте домашній каталог і обліковий запис GnuPG, які реально використовуються, особливо для команди з привілеями.
Перевірте також URL сервера ключів. Власне з'єднання із сервером ключів — не те саме, що HTTPS-запит за тим самим ключем. Доступ із браузера через HTTP-проксі не дає дозволу на окреме пряме з'єднання з портом сервера ключів.
Дотримуйтеся поточного способу встановлення від видавця
Не відроджуйте застарілу команду глобальної довіри, щоб виправити мережевий доступ. Поточні інструкції видавця мають зазначати джерело ключа й призначене сховище ключів. Якщо вони використовують HTTPS-завантаження, налаштуйте HTTP-клієнт, що виконує цей запит. Там, де видавець загальнодоступний і публічні посередники дозволені, список HTTP-проксі пропонує кандидатів у кінцеві точки; перевірка відбитка залишається окремою вимогою.
Підтвердьте повний очікуваний відбиток ключа за інформацією видавця. Завантажений файл, збіжне відображуване ім'я або результат пошуку не встановлюють особу. Для зміни ключа використовуйте поточний задокументований процес заміни.
Параметр APT Signed-By може пов'язати це сховище з певним сховищем ключів замість надання загальної довіри між джерелами. Перевірте потрібний формат і розширення сховища ключів, потім переконайтеся, що обліковий запис отримання може читати файл і проходити через його батьківські каталоги. Лише адміністративний доступ не дає цього дозволу.
Нехай помилка вкаже наступну перевірку
- Тайм-аут стосується маршруту завантажувача або доступності кінцевої точки.
- Проксі-запит стосується його облікового запису й підтримуваного методу.
- Розбіжність відбитка — це збій довіри після доставки.
- Пізніша помилка підпису APT може стосуватися шляху сховища ключів або зв'язку зі сховищем.
Вирішіть цей етап, зберігши перевірку підпису. Її вимкнення прибрало б перевірку, яку налаштування ключа підпису має забезпечувати.