Como desabilitar a verificação da chave apt para repositórios privados no Ubuntu 14.04?

Question

No Ubuntu 14.04 não consigo fazer isso funcionar.

Nosso auditor do PCI nos disse que não podemos ter acesso direto ao repositório do Ubuntu, então eu os reúno com o reprepro. Da mesma forma, não temos acesso externo a keyserver.ubuntu.com.

Eu tentei adicionar cada um dos itens a seguir a /etc/apt/apt.conf.d/99local :

APT::Get::AllowUnauthenticated "true";
APT{Ignore {"gpg-pubkey"; }};
APT { Get { AllowUnauthenticated "1"; }; };

E uma "atualização do apt-get" ainda retorna, depois de ler os pacotes:

W: GPG error: hkp://sa1.dal.some-company.com trusty InRelease: The following signatures couldn't be verified because the public key is not available: NO_PUBKEY 082BCA0181FE8E68
W: GPG error: hkp://sa1.dal.some-company.com trusty-backports InRelease: The following signatures couldn't be verified because the public key is not available: NO_PUBKEY 082BCA0181FE8E68
W: GPG error: hkp://sa1.dal.some-company.com trusty-security InRelease: The following signatures couldn't be verified because the public key is not available: NO_PUBKEY 082BCA0181FE8E68
W: GPG error: hkp://sa1.dal.some-company.com trusty-updates InRelease: The following signatures couldn't be verified because the public key is not available: NO_PUBKEY 082BCA0181FE8E68

Como isso pode funcionar? Nada que eu encontrei na documentação sobre como desabilitar a verificação de chaves funciona.

    

Answer 1

Desativar a verificação de assinatura porque você instalou um repositório local é como remover as travas das portas porque você cercou seu jardim. Não faça isso, especialmente em ambientes que exigem segurança aprimorada!

Você não precisa de acesso a um servidor de chaves para instalar a chave pública usada para assinar pacotes no reprepro. Basta copiar o arquivo de chave para a respectiva máquina e importá-lo usando um comando como

sudo apt-key add [publickey]

enquanto [publickey] é o arquivo que contém a chave com ID 082BCA0181FE8E68 . Você pode gerar um arquivo desse tipo no computador em que você gerou a chave

gpg --armor --export 082BCA0181FE8E68 >082BCA0181FE8E68.asc

A chave pública pode ser compartilhada arbitrariamente, já que só pode ser usada para verificar assinaturas emitidas usando a chave privada. A adição da chave só precisa ser executada uma vez por máquina usando o repositório.