Git-LFS在Debian Trixie上的APT仓库签名问题解析
背景介绍
近期,Git-LFS在Debian Trixie系统上的APT软件仓库出现了一个签名验证问题。这个问题源于Debian系统对OpenPGP签名验证策略的更新,导致原有的仓库签名不再被接受。本文将详细分析问题的技术原因、影响范围以及解决方案。
问题现象
用户在Debian Trixie系统上执行apt update
命令时,会遇到以下错误信息:
Sub-process /usr/bin/sqv returned an error code (1), error message is:
Signing key on 6D398DBD30DD78941E2C4797FE2A5F8BDC282033 is not bound:
primary key because: No binding signature at time 2025-01-14T18:52:14Z
because: Policy rejected non-revocation signature (PositiveCertification) requiring collision resistance
because: SHA1 is not considered secure since 2013-02-01T00:00:00Z
错误表明系统无法验证Git-LFS软件仓库的签名,因为签名使用了不安全的哈希算法。
技术分析
OpenPGP签名机制
在OpenPGP体系中,签名子密钥需要包含一个从子密钥到主密钥的绑定签名(签名类0x19),这是为了防止未经授权的复制签名子密钥到其他公钥上并冒充他人签名。在本案例中,这个绑定签名使用了旧版算法(摘要算法2),而该算法已被证实存在潜在风险。
Debian的签名验证变更
Debian从GnuPG切换到了Sequoia作为默认的OpenPGP实现。这一变更源于GnuPG维护者只愿意支持一个过渡版本的OpenPGP标准,而非最终批准的RFC 9580标准。Sequoia在安全性方面更为严格,不再接受使用旧版算法的签名绑定。
具体来说,问题出在:
- 子密钥绑定签名(签名类0x18)使用了旧版算法
- 主密钥绑定签名(签名类0x19)也使用了旧版算法
- 这些签名不再被Sequoia视为有效
解决方案
临时解决方案
在问题修复前,用户可以通过以下方式临时解决:
- 在APT配置中暂时禁用签名验证
- 使用
--allow-unauthenticated
选项安装软件包
永久解决方案
Git-LFS团队与Packagecloud(托管APT仓库的服务商)合作,重新生成了使用更安全哈希算法(SHA-512)的签名。具体变更包括:
- 子密钥绑定签名(签名类0x18)从旧版算法(算法2)升级为SHA-512(算法10)
- 用户ID和公钥包的认证(签名类0x13)也从旧版算法升级为SHA-512
验证与确认
用户可以通过以下命令验证新的密钥信息:
curl -LO https://packagecloud.io/github/git-lfs/gpgkey
gpg --list-packets gpgkey
在更新后的密钥中,可以看到签名算法已从旧版算法升级为更安全的哈希算法。
总结
这次事件展示了软件供应链安全的重要性,以及开源社区如何协作解决技术问题。Debian对安全标准的严格实施推动了整个生态系统的安全升级,而Git-LFS团队和Packagecloud的快速响应确保了用户的正常使用体验。
对于开发者而言,这一案例也提醒我们:
- 及时更新加密算法和签名机制
- 关注依赖的基础设施(如软件仓库)的安全状况
- 建立有效的问题响应机制
随着安全要求的不断提高,类似的升级在未来可能会变得更加常见,保持软件栈的及时更新是确保系统安全可靠的关键。
HunyuanImage-3.0
HunyuanImage-3.0 统一多模态理解与生成,基于自回归框架,实现文本生成图像,性能媲美或超越领先闭源模型00ops-transformer
本项目是CANN提供的transformer类大模型算子库,实现网络在NPU上加速计算。C++043Hunyuan3D-Part
腾讯混元3D-Part00GitCode-文心大模型-智源研究院AI应用开发大赛
GitCode&文心大模型&智源研究院强强联合,发起的AI应用开发大赛;总奖池8W,单人最高可得价值3W奖励。快来参加吧~0289Hunyuan3D-Omni
腾讯混元3D-Omni:3D版ControlNet突破多模态控制,实现高精度3D资产生成00GOT-OCR-2.0-hf
阶跃星辰StepFun推出的GOT-OCR-2.0-hf是一款强大的多语言OCR开源模型,支持从普通文档到复杂场景的文字识别。它能精准处理表格、图表、数学公式、几何图形甚至乐谱等特殊内容,输出结果可通过第三方工具渲染成多种格式。模型支持1024×1024高分辨率输入,具备多页批量处理、动态分块识别和交互式区域选择等创新功能,用户可通过坐标或颜色指定识别区域。基于Apache 2.0协议开源,提供Hugging Face演示和完整代码,适用于学术研究到工业应用的广泛场景,为OCR领域带来突破性解决方案。00- HHowToCook程序员在家做饭方法指南。Programmer's guide about how to cook at home (Chinese only).Dockerfile09
- PpathwayPathway is an open framework for high-throughput and low-latency real-time data processing.Python00
热门内容推荐
最新内容推荐
项目优选









