¿Cómo puedo arreglar "W: <...> El repositorio no está suficientemente firmado por la clave <...> (resumen débil)" en mi repositorio privado?

8

Mantengo una serie de repositorios privados. Las claves gpg utilizadas para firmar el repositorio se hicieron con "Key-Type: RSA" y "Key-Length: 4096". La versión de GPG utilizada para generar las claves es 1.4.16 en Ubuntu 14.04. La máquina que se queja tiene gpg 1.4.20 (en una versión beta de 16.04).

¿Cómo puedo arreglar "W: <...> El repositorio no está suficientemente firmado por la clave <...> (resumen débil)" en mi repositorio privado?

Admito que no sé demasiado sobre cifrado, pero habría pensado que la clave RSA de 4096 de longitud habría sido suficiente.

apt encryption repository gnupg Michael Peek
fuente
1
Esto está en la función hash de la firma, NO en la clave. Se queja de un hash de firma SHA-1 en la cosa, cuando espera SHA-2.
Thomas Ward
1
Necesitas editar tu clave. Esta página más o menos lo explica. debian-administration.org/users/dkg/weblog/48 Dejando como comentario ya que no es una respuesta adecuada.
globos

Respuestas:

7

El mensaje de advertencia no se trata del algoritmo de cifrado (las claves RSA de 4k se consideran totalmente buenas y las mejores prácticas en este momento). Sin embargo, el algoritmo de resumen es otra cosa: el algoritmo de hash aplicado en el cuerpo del mensaje (en su caso, los paquetes o listas de paquetes) que luego se firman. GnuPG tiene valores predeterminados bastante conservadores para mantenerse compatible, pero estos son lentamente superados por los progresos realizados en el criptoanálisis.

No tiene que crear una nueva clave, sino simplemente cambiar la configuración de GnuPG. Las propuestas del blog del administrador de Debian todavía están bien y lo ayudan a establecer valores predeterminados razonables que son un poco cautelosos:

  1. Configure las preferencias que utilizará GnuPG (para firmar mensajes, encriptar a otros, ...):

    cat >>~/.gnupg/gpg.conf <<EOF
personal-digest-preferences SHA256
cert-digest-algo SHA256
default-preference-list SHA512 SHA384 SHA256 SHA224 AES256 AES192 AES CAST5 ZLIB BZIP2 ZIP Uncompressed
EOF

  2. Establecer algoritmos preferidos en su clave para que otros los usen (al mismo tiempo agrega una nueva firma propia con la configuración actualizada del # 1 anterior):

    $ gpg --edit-key $KEYID
Command> setpref SHA512 SHA384 SHA256 SHA224 AES256 AES192 AES CAST5 ZLIB BZIP2 ZIP Uncompressed
Command> save

En el futuro, GnuPG debería elegir los algoritmos de resumen considerados seguros.

Jens Erat
fuente
Estoy consumiendo un repositorio creado por otro, y no puedo hacer que cambien el hash ("no admiten" mi nueva versión del sistema operativo). ¿Hay alguna manera de ignorar este problema?
Guss
GnuPG conoce la opción --allow-weak-digest-algos, pero no estoy seguro de cómo podría pasarla apt. Notifique a la otra parte que MD5 también está dañado para los sistemas operativos más antiguos y otros.
Jens Erat
También agregué la opción de configuración 'digest-algo SHA512', sin ella todavía tengo una firma SHA1. Verificado con gpg --verbose --verify Release.gpg Release, agregar '--verbose' hace que muestre el tipo de resumen.
Herman van Rink