Como faço para ignorar / ignorar as verificações de assinatura gpg do apt?

Question

Todos os servidores-chave que eu visito estão expirando. Eu preciso instalar pacotes sem verificar as assinaturas das chaves públicas. Existe uma maneira de ignorar todas as verificações de assinatura / ignorar todos os erros de assinatura ou enganar o apt em pensar que a assinatura foi aprovada?

Estou muito ciente de que é perigoso fazer isso

    

Answer 1

Passe a opção --allow-unauthenticated para apt-get como em:

sudo apt-get --allow-unauthenticated upgrade

Da página de manual de apt-get :

  

- permitir não autenticado
      Ignore se os pacotes não podem ser autenticados e não avisam sobre isso. Isso é útil para ferramentas como o pbuilder. Item de configuração:       APT :: Get :: AllowUnauthenticated.

Você pode tornar essa configuração permanente usando seu próprio arquivo de configuração em /etc/apt/apt.conf.d/ dir. O nome do arquivo pode ser 99myown e pode conter esta linha:

APT::Get::AllowUnauthenticated "true";

Desta forma, você não precisa usar a opção toda vez que quiser instalar o software. Observação: eu não recomendo configurar essa opção por padrão, ela ignora as verificações de assinatura que podem permitir que um adversário comprometa seu computador.

    

Answer 2

Talvez você possa tentar criar o arquivo /etc/apt/apt.conf (ele será lido se você o criar) e inserir este código:

APT{Ignore {"gpg-pubkey"; }};

    

Answer 3

Se você está tentando pegar um pacote de um repositório onde eles empacotaram as chaves e incluí-los dentro do repositório e em nenhum outro lugar, pode ser muito chato baixar e instalar o pacote key / keyring usando o dpkg, e muito difícil para fazê-lo de uma maneira facilmente programável e repetível.

O script abaixo não é recomendado se você puder instalar as chaves de um servidor de chaves ou baixá-las de uma fonte confiável via https, mas se você não tiver QUALQUER outra maneira, você pode usar isso.

echo "deb http://your.repo.domain/repository/ $(lsb_release -c -s) universe" | sudo tee /etc/apt/sources.list.d/your-repo-name.list

sudo apt -o Acquire::AllowInsecureRepositories=true \
-o Acquire::AllowDowngradeToInsecureRepositories=true \
update

## if the 'apt update' above fails it is likely due to previously
## having the GPG key and repository on the system, you can clean
## out the old lists with 'sudo rm /var/lib/apt/lists/your.repo.domain*'

apt-get -o APT::Get::AllowUnauthenticated=true install repo-keyring-pkgname

## If you ever run 'sudo apt-key del your-repos-keyID'
## you may have to 'sudo apt remove --purge repo-keyring-pkgname'
## Update should run without the GPG warnings now that the key is installed

apt-get update
apt-get install somepkg-from-repo

Eu originalmente juntei isso porque o i3 em seu repositório sur5r faz isso, mas depois descobri que suas chaves estão na lista keyserver.ubuntu.com, então eu posso apenas sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys E3CA1A89941C42E6 e evitar todos os aborrecimentos extras de pacotes. / p>