'\" t
.\"     Title: apt-secure
.\"    Author: Jason Gunthorpe
.\" Generator: DocBook XSL Stylesheets v1.79.1 <http://docbook.sf.net/>
.\"      Date: 06\ \&August\ \&2016
.\"    Manual: APT
.\"    Source: APT 1.4.9
.\"  Language: German
.\"
.TH "APT\-SECURE" "8" "06\ \&August\ \&2016" "APT 1.4.9" "APT"
.\" -----------------------------------------------------------------
.\" * Define some portability stuff
.\" -----------------------------------------------------------------
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.\" http://bugs.debian.org/507673
.\" http://lists.gnu.org/archive/html/groff/2009-02/msg00013.html
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.ie \n(.g .ds Aq \(aq
.el       .ds Aq '
.\" -----------------------------------------------------------------
.\" * set default formatting
.\" -----------------------------------------------------------------
.\" disable hyphenation
.nh
.\" disable justification (adjust text to left margin only)
.ad l
.\" -----------------------------------------------------------------
.\" * MAIN CONTENT STARTS HERE *
.\" -----------------------------------------------------------------
.SH "NAME"
apt-secure \- Archivauthentifizierungsunterst\(:utzung f\(:ur APT
.SH "BESCHREIBUNG"
.PP
Beginnend mit Version 0\&.6 enth\(:alt
\fBAPT\fR
Code, der die Signatur der Release\-Datei f\(:ur alle Depots pr\(:uft\&. Dies stellt sicher, dass Daten wie Pakete im Archiv nicht von Leuten ge\(:andert werden k\(:onnen, die keinen Zugriff auf den Signierschl\(:ussel der Release\-Datei haben\&. Beginnend mit Version 1\&.1 erfordert
\fBAPT\fR
von Depots aktuelle Authentifizierungsinformationen f\(:ur den ungest\(:orten Gebrauch des Depots bereitzustellen\&.
.PP
Falls ein Archiv eine nicht signierte oder \(:uberhaupt keine Release\-Datei hat, werden alle aktuellen APT\-Versionen das Herunterladen von Daten von dort standardm\(:a\(ssig in
\fBupdate\fR\-Transaktionen verweigern\&. Sogar wenn Oberfl\(:achen wie
\fBapt-get\fR(8)
zum Herunterladen gezwungen werden, wird eine explizite Best\(:atigung ben\(:otigt, falls eine Installationsanfrage ein Paket aus einem derartigen nicht authentifizierten Archiv enth\(:alt\&.
.PP
Als befristete Ausnahme gibt
\fBapt-get\fR(8)
(nicht
\fBapt\fR(8)!) Warnungen nur dann aus, falls es nicht authentifizierte Archive vorfindet, um eine etwas l\(:angere \(:Ubergangsfrist f\(:ur die \(:Anderung zu geben, die die R\(:uckw\(:artskompatibilit\(:at beeinflusst\&. Diese Ausnahme wird in zuk\(:unftigen Ver\(:offentlichungen entfernt und sie k\(:onnen sich von dieser \(:Ubergangsfrist abmelden, indem Sie die Konfigurationsoption
\fBBinary::apt\-get::Acquire::AllowInsecureRepositories\fR
auf
false
oder
\fB\-\-no\-allow\-insecure\-repositories\fR
auf der Befehlszeile setzen\&.
.PP
Sie k\(:onnen erzwingen, dass alle APT\-Clients nur Warnungen ausgeben, indem Sie die Konfigurationsoption
\fBAcquire::AllowInsecureRepositories\fR
auf
true
setzen\&. \(:Uber die
\fBsources.list\fR(5)\-Option
allow\-insecure=yes
kann auch erlaubt werden, dass individuelle Depots unsicher sind\&. Beachten Sie, dass von unsicheren Depots eindringlich abgeraten wird und alle Optionen, die APT zwingen, sie weiterhin zu unterst\(:utzen, irgendwann entfernt werden\&. Anwendern steht auch die Option
\fBTrusted\fR
zur Verf\(:ugung, um sogar Warnungen auszuschalten, seien Sie sich aber sicher, dass Sie die in
\fBsources.list\fR(5)
erkl\(:arten Konsequenzen verstanden haben\&.
.PP
Ein Depot, das vorher authentifiziert war, diesen Status jedoch bei einer
\fBupdate\fR\-Transaktion verlieren w\(:urde, gibt auf allen APT\-Clients, ungeachtet der Option, die die Verwendung unsicherer Depots erlaubt oder verbietet, einen Fehler aus\&. Der Fehler kann durch zus\(:atzliches Setzen von
\fBAcquire::AllowDowngradeToInsecureRepositories\fR
auf
true
oder f\(:ur individuelle Depots mit der
\fBsources.list\fR(5)\-Option
allow\-downgrade\-to\-insecure=yes
\(:ubergangen werden\&.
.PP
Hinweis: Alle APT\-basierten Paketverwaltungsoberfl\(:achen wie
\fBapt-get\fR(8),
\fBaptitude\fR(8)
und
\fBsynaptic\fR(8)
unterst\(:utzen diese Authentifizierungsfunktionalit\(:at, daher verwendet diese Handbuchseite der Einfachheit halber exemplarisch f\(:ur alle
APT\&.
.SH "VERTRAUENSW\(:URDIGE DEPOTS"
.PP
Eine Kette des Vertrauens von einem APT\-Archiv zum Endanwender wird durch verschiedene Schritte erreicht\&.
\fBapt\-secure\fR
ist der letzte Schritt in dieser Kette\&. Einem Archiv zu vertrauen bedeutet nicht, dass das Paket, dem Sie vertrauen, keinen schadhaften Code enth\(:alt, aber es bedeutet, dass Sie dem Archivbetreuer vertrauen\&. Der Archivbetreuer ist daf\(:ur verantwortlich, dass er die Korrektheit der Integrit\(:at des Archivs sicherstellt\&.
.PP
apt\-secure \(:uberpr\(:uft keine Signaturen auf einer Ebene des Pakets\&. Falls Sie ein Werkzeug ben\(:otigen, das dies tut, sollten Sie einen Blick auf
\fBdebsig\-verify\fR
und
\fBdebsign\fR
werfen (bereitgestellt von den Paketen debsig\-verify beziehungsweise devscripts)\&.
.PP
Die Kette des Vertrauens in Debian beginnt (z\&.B\&.), wenn ein Betreuer ein neues Paket oder eine neue Version eines Pakets in das Debian\-Archiv hochl\(:adt\&. Damit es in Kraft tritt muss dieses Hochladen mit einem Schl\(:ussel signiert werden, der sich in einem der Schl\(:usselbunde der Debian\-Betreuer befindet (verf\(:ugbar im Paket \(Fcdebian\-keyring\(Fo)\&. Betreuerschl\(:ussel werden von anderen Betreuern gem\(:a\(ss vorbestimmter Regeln signiert, um die Identit\(:at des Schl\(:usselinhabers sicherzustellen\&. \(:Ahnliche Prozeduren existieren in allen Debian\-basierten Distributionen\&.
.PP
Sobald das hochgeladene Paket \(:uberpr\(:uft und dem Archiv hinzugef\(:ugt wurde, wird die Betreuersignatur entfernt, Pr\(:ufsummen des Pakets werden berechnet und in die Datei Packages abgelegt\&. Die Pr\(:ufsummen aller Paketdateien werden berechnet und in der Release\-Datei abgelegt\&. Dann wird die Release\-Datei durch den Archivschl\(:ussel f\(:ur diese Debian\-Ver\(:offentlichung signiert und zusammen mit den Paketen und Packages\-Dateien auf Debian\-Spiegel verteilt\&. Die Schl\(:ussel sind im Debian\-Archivschl\(:usselbund im Paket
debian\-archive\-keyring
verf\(:ugbar\&.
.PP
Endanwender k\(:onnen die Signatur der Release\-Datei pr\(:ufen, die Pr\(:ufsumme eines Paketes daraus entpacken und mit der Pr\(:ufsumme des Pakets vergleichen, das sie manuell heruntergeladen haben \(en oder sich darauf verlassen, dass APT dies automatisch tut\&.
.PP
Beachten Sie, dass dies verschieden von gepr\(:uften Signaturen auf Paketbasis ist\&. Es wurde entworfen, um zwei m\(:ogliche Angriffe zu verhindern:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Network "man in the middle" attacks\&. Ohne Signaturpr\(:ufung kann ein sch\(:adlicher Mittelsmann sich selbst in das Herunterladen von Paketen einbringen und Schadsoftware bereitstellen\&. Dies kann entweder durch Kontrolle eines Netzwerkelements (Router, Switch, etc\&.) oder durch Umleiten des Netzverkehrs zu einem b\(:osartigen Server (durch ARP\- oder DNS\-Manipulationsangriffe) erfolgen\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Mirror network compromise\&. Ohne Signaturpr\(:ufung kann ein sch\(:adlicher Mittelsmann einen Spiegelserver kompromittieren und die Dateien darauf ver\(:andern, um sch\(:adliche Software an alle Anwender zu verbreiten, die Pakete von diesem Rechner herunterladen\&.
.RE
.PP
Es sch\(:utzt jedoch nicht gegen eine Kompromittierung des Hauptservers selbst (der die Pakete signiert) oder gegen eine Kompromittierung des Schl\(:ussels, der zum Signieren der Release\-Dateien benutzt wird\&. In jedem Fall kann dieser Mechanismus eine Signatur pro Paket erg\(:anzen\&.
.SH "BENUTZERKONFIGURATION"
.PP
\fBapt\-key\fR
ist das Programm, das die Liste der von APT verwendeten Schl\(:ussel verwaltet, aufgrund derer es Depots vertraut\&. Es kann benutzt werden, um Schl\(:ussel hinzuzuf\(:ugen oder zu entfernen, sowie um vertrauensw\(:urdige Schl\(:ussel aufzulisten\&. Welche(r) Schl\(:ussel welches Archiv signieren kann/k\(:onnen, kann per
\fBSigned\-By\fR
in
\fBsources.list\fR(5)
eingeschr\(:ankt werden\&.
.PP
Beachten Sie, dass eine Standardinstallation bereits alle Schl\(:ussel zum sicheren Beschaffen von Paketen aus den Standarddepots enth\(:alt, daher ist das Frickeln mit
\fBapt\-key\fR
nur n\(:otig, wenn Drittanbieterdepots hinzugef\(:ugt werden\&.
.PP
Um einen neuen Schl\(:ussel hinzuzuf\(:ugen, m\(:ussen Sie ihn zuerst herunterladen (Sie sollten sicherstellen, dass Sie einen vertrauensw\(:urdigen Kommunikationskanal benutzen, wenn Sie ihn herunterladen), ihn mit
\fBapt\-key\fR
hinzuf\(:ugen und dann
\fBapt\-get update\fR
ausf\(:uhren, so dass APT die Dateien
InRelease
oder
Release\&.gpg
der von Ihnen konfigurierten Archive herunterladen und pr\(:ufen kann\&.
.SH "ARCHIVKONFIGURATION"
.PP
Wenn Sie Archivsignaturen in einem von Ihnen betreuten Archiv zur Verf\(:ugung stellen m\(:ochten, m\(:ussen Sie:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fIerzeugt einer Release\-Datei der obersten Stufe\fR, wenn sie nicht bereits existiert\&. Sie k\(:onnen dies erledigen, indem Sie
\fBapt\-ftparchive release\fR
(aus apt\-utils) ausf\(:uhren\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fISignieren Sie es\fR\&. Sie k\(:onnen dies tun, indem Sie
\fBgpg \-\-clearsign \-o InRelease Release\fR
und
\fBgpg \-abs \-o Release\&.gpg Release\fR
ausf\(:uhren\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fIVer\(:offentlichen Sie den Schl\(:usselfingerabdruck\fR, damit Ihre Anwender wissen, welchen Schl\(:ussel sie importieren m\(:ussen, um die Dateien im Archiv zu authentifizieren\&. Am besten liefern Sie Ihren Schl\(:ussel in einem eigenen Paket wie dies Debian mit
debian\-archive\-keyring
macht, um sp\(:ater automatisch Aktualisierungen und Schl\(:usselwechsel durchf\(:uhren zu k\(:onnen\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fIGeben Sie Anweisungen, wie Ihr Archiv und Ihr Schl\(:ussel hinzugef\(:ugt werden k\(:onnen\fR\&. Falls Ihre Benutzer Ihren Schl\(:ussel nicht auf sichere Weise beschaffen k\(:onnen, ist die oben beschriebene Kette des Vertrauens unterbrochen\&. Wie Sie Anwendern helfen k\(:onnen, Ihren Schl\(:ussel hinzuzuf\(:ugen, h\(:angt von Ihrem Archiv ab und reicht von der Bereitstellung des Schl\(:usselrings als Teil eines Archivs, das bei Ihren Benutzern bereits konfiguriert ist (wie den Standarddepots ihrer Distribution), bis hin zum Nutzen des Vertrauensnetzes\&.
.RE
.PP
Immer wenn sich die Inhalte des Archivs \(:andern (neue Pakete hinzugef\(:ugt oder entfernt werden), muss der Archivbetreuer den beiden zuerst skizzierten Schritten folgen\&.
.SH "SIEHE AUCH"
.PP
\fBapt.conf\fR(5),
\fBapt-get\fR(8),
\fBsources.list\fR(5),
\fBapt-key\fR(8),
\fBapt-ftparchive\fR(1),
\fBdebsign\fR(1),
\fBdebsig-verify\fR(1),
\fBgpg\fR(1)
.PP
Um weitere Hintergrundinformationen zu erhalten, k\(:onnen Sie die
\m[blue]\fBDie Infrastruktur f\(:ur Sicherheit in Debian\fR\m[]\&\s-2\u[1]\d\s+2\-Kapitel des Handbuchs \(FcAnleitung zum Absichern von Debian\(Fo (auch verf\(:ugbar im Paket harden\-doc) und das
\m[blue]\fBStrong Distribution HOWTO\fR\m[]\&\s-2\u[2]\d\s+2
von V\&. Alex Brennen lesen\&.
.SH "BUGS"
.PP
\m[blue]\fBAPT bug page\fR\m[]\&\s-2\u[3]\d\s+2\&. If you wish to report a bug in APT, please see
/usr/share/doc/debian/bug\-reporting\&.txt
or the
\fBreportbug\fR(1)
command\&.
.SH "AUTHOR"
.PP
APT was written by the APT team
<apt@packages\&.debian\&.org>\&.
.SH "AUTOREN DER HANDBUCHSEITE"
.PP
Diese Handbuchseite basiert auf der Arbeit von Javier Fern\('andez\-Sanguino Pe\(~na, Isaac Jones, Colin Walters, Florian Weimer und Michael Vogt\&.
.SH "TRANSLATION"
.PP
The english translation was done by John Doe
<john@doe\&.org>
in 2009, 2010 and Daniela Acme
<daniela@acme\&.us>
in 2010 together with the Debian Dummy l10n Team
<debian\-l10n\-dummy@lists\&.debian\&.org>\&.
.PP
Note that this translated document may contain untranslated parts\&. This is done on purpose, to avoid losing content when the translation is lagging behind the original content\&.
.SH "AUTOREN"
.PP
\fBJason Gunthorpe\fR
.RS 4
.RE
.PP
\fBAPT team\fR
.RS 4
.RE
.SH "FU\(ssNOTEN"
.IP " 1." 4
Die Infrastruktur f\(:ur Sicherheit in Debian
.RS 4
\%https://www.debian.org/doc/manuals/securing-debian-howto/ch7
.RE
.IP " 2." 4
Strong Distribution HOWTO
.RS 4
\%http://www.cryptnet.net/fdp/crypto/strong_distro.html
.RE
.IP " 3." 4
APT bug page
.RS 4
\%http://bugs.debian.org/src:apt
.RE