Expring chave de assinatura de pacote

Question

Eu tenho um monte de caixas remotas do Debian, não consigo acessar todas as portas estão fechadas. Eles são bastante numerosos em todo o país, o acesso físico seria uma operação logística bastante incômoda.

Essas caixas são atualizadas pelo cron job local que executa periodicamente apt-get upgrade -y em um repositório dedicado.

Descobri que a chave de canto do repositório está prestes a expirar. Isso tornaria impossível atualizar essas caixas por mais tempo. Eu atualizei a tecla de cantar no servidor de chaves publicamente acessível, mas o apt-get não parece atualizar as chaves do servidor de chaves automaticamente se elas forem expiradas.

Eu posso enviar uma atualização para adicionar algo ao script de atualização para atualizar as chaves. Mas se uma caixa for desativada até que a chave expire, a atualização para corrigir isso não poderá mais ser instalada.

Eu tentei reenviar todos os pacotes no repositório para serem não assinados, para contornar este problema. Mas então o apt-get me diz:

WARNING: The following packages cannot be authenticated! E: There are problems and -y was used without --force-yes

O que essencialmente me dá o mesmo problema, eu só posso consertar o script de atualização enviando uma atualização através do repositório que em breve será ignorada por causa de uma chave de assinatura expirada. E qualquer caixa que faltar para obter a atualização antes da chave expirar não será mais atualizada.

Estou ficando um pouco ansioso agora. Existe alguma maneira de eu sair dessa situação sem acesso físico a todas essas caixas remotas?

    

Answer 1

Não, você não pode se a caixa não for atualizada antes que a chave expire.

Como você disse, as caixas não atualizam a chave automaticamente e nem instalam pacotes não assinados nem pacotes assinados com uma chave expirada. Se eles o fizessem, toda a assinatura seria inútil.

Portanto, a melhor opção parece ser ligá-los o mais rápido possível e implantar a nova chave antes que a antiga expire. Para as outras máquinas, você precisará usar o acesso ssh ou local ou qualquer outro meio para implantar a nova chave.