apt-key Neden Artık Yetersiz Kalıyor?

Ubuntu ve Debian tabanlı sistemlerde yazılım depoları eklerken karşılaşılan yaygın bir yöntem olan apt-key, artık kullanımdan kaldırılıyor. Bu makalede, eski ve potansiyel güvenlik riskleri taşıyan apt-key yönteminin neden terk edildiğini, yerine geçen GPG tabanlı yeni ve güvenli repo ekleme pratiklerini adım adım öğreneceksiniz. Sisteminizin güvenliğini artırırken yazılım kaynaklarınızı nasıl güncel tutacağınızı keşfedin.

apt-key Neden Artık Yetersiz Kalıyor?

Linux dünyasında, özellikle Ubuntu ve Debian gibi dağıtımlarda, yazılım yükleme ve güncelleme süreçlerinin kalbinde APT (Advanced Package Tool) sistemi yer alır. APT, yazılımları merkezi depolardan (repository) güvenli ve tutarlı bir şekilde yönetmemizi sağlar. Bir depoyu sistemimize eklediğimizde, bu deponun güvenilirliğini doğrulamak için genellikle bir GPG (GNU Privacy Guard) anahtarı kullanırız. Geleneksel olarak, bu anahtarları sisteme eklemek için apt-key komutu kullanılırdı. Ancak bu komutun, uzun süredir farkında olunan önemli güvenlik eksiklikleri nedeniyle artık kullanımdan kaldırılması (deprecation) süreci başlamış durumdadır.

Peki, apt-key neden yetersiz kalıyor ve neden artık tercih edilmiyor? Temel sorun, apt-key komutunun eklediği tüm GPG anahtarlarını sistemin genel anahtar halkasına (global keyring) kaydetmesidir. Bu durum, sisteme eklenen herhangi bir deponun anahtarının, diğer tüm depoların paketlerini de doğrulayabilme yeteneğine sahip olması anlamına gelir. Basitçe ifade etmek gerekirse, eğer bir deponun anahtarı ele geçirilirse veya kötü niyetli bir depo anahtarı eklenirse, bu anahtar sistemdeki *tüm* paketlerin bütünlüğünü tehlikeye atabilir. Bu, “bir zayıf nokta tüm sistemi riske atar” ilkesinin doğrudan bir yansımasıdır. Örneğin, eğer bir yazılım geliştiricisi kötü niyetli bir anahtar yayınlar ve siz bunu apt-key ile eklerseniz, bu anahtar sadece o geliştiricinin paketlerini değil, sisteminizdeki diğer tüm paketleri de imzalamış gibi görünebilir. Bu, potansiyel olarak kötü amaçlı yazılımların güvenilir paketler gibi görünerek sisteminize sızmasına yol açabilir.

Modern güvenlik yaklaşımları, en az ayrıcalık ilkesini benimser. Yani, bir bileşenin yalnızca işini yapmak için ihtiyaç duyduğu minimum yetkiye sahip olması gerekir. apt-key bu ilkeyi ihlal eder çünkü her anahtara gereğinden fazla yetki verir. Bu durum, özellikle büyük ve karmaşık sistemlerde, yazılım tedarik zinciri saldırılarına karşı savunmasızlık yaratır. Bir saldırganın, güvenilir bir depo gibi görünen ancak aslında kötü amaçlı yazılım içeren bir paketle sisteme sızması riski, apt-key‘in global anahtar halkası yaklaşımıyla önemli ölçüde artar. Bu nedenle, Ubuntu ve Debian toplulukları, daha granüler kontrol ve daha yüksek güvenlik sağlayan yeni yöntemlere geçişi teşvik etmektedir.

Bu makalede ele alacağımız yeni yöntemler, her deponun kendi GPG anahtarını ayrı bir dosyada saklamasını ve yalnızca ilgili deponun bu anahtarı kullanmasına izin veren bir mekanizma sunar. Bu sayede, bir anahtarın ele geçirilmesi durumunda bile, yalnızca o anahtarla ilişkili deponun güvenliği tehlikeye girer, tüm sistem değil. Bu, güvenlik katmanlarını güçlendiren ve riskleri minimize eden çok daha sağlam bir yaklaşımdır. Eski yöntemlerin bu eksiklikleri nedeniyle, apt-key komutunun gelecekteki Ubuntu ve Debian sürümlerinden tamamen kaldırılması beklenmektedir. Bu nedenle, şimdiden yeni ve güvenli yöntemlere adapte olmak, sistemlerinizin uzun vadeli güvenliği için kritik öneme sahiptir. Bu geçiş süreci, ilk başta biraz karmaşık görünse de, sağladığı güvenlik avantajları göz önüne alındığında kesinlikle çabaya değerdir.

Ubuntu Paket Yönetimi ve GPG Nedir?

Ubuntu gibi Debian tabanlı sistemlerde yazılım kurulumu ve güncellemeleri, APT (Advanced Package Tool) adı verilen güçlü bir paket yöneticisi tarafından sağlanır. APT, yazılımları “depo” adı verilen merkezi sunuculardan indirir ve kurar. Bu depolar, binlerce yazılım paketini barındırır ve sisteminize kolayca entegre edilmelerini sağlar. Ancak, internet üzerinden indirilen herhangi bir yazılımın güvenilirliğini sağlamak kritik bir meseledir. İşte tam bu noktada GPG (GNU Privacy Guard) devreye girer.

Bir depo eklediğinizde, APT sistemi bu depodan indirilen paketlerin gerçekten o depodan geldiğini ve indirme sırasında değiştirilmediğini doğrulamak ister. Bu doğrulama süreci, kriptografik imzalar aracılığıyla gerçekleştirilir. Her depo, yayımladığı paketleri dijital olarak imzalamak için bir GPG anahtarı kullanır. Bu GPG anahtarı aslında iki bölümden oluşur: herkese açık (public) bir anahtar ve özel (private) bir anahtar. Depo yöneticisi, paketlerini özel anahtarıyla imzalar ve bu imzayı paketin yanına ekler. Sizin sisteminiz ise, bu paketin gerçekten depodan geldiğini ve kurcalanmadığını doğrulamak için depodan aldığınız herkese açık anahtarı kullanır. Eğer imza geçerliyse ve paketin içeriği anahtarla eşleşiyorsa, APT paketin güvenli olduğuna karar verir ve kuruluma devam eder. Aksi takdirde, bir uyarı verir veya kurulumu durdurur.

GPG’nin temel amacı, dijital iletişimin ve verinin bütünlüğünü ve kimliğini doğrulamaktır. Anahtar çiftleri prensibine dayanır: bir veri özel anahtarla imzalandığında, bu imza yalnızca ilgili herkese açık anahtar ile doğrulanabilir. Bu mekanizma, “güven zinciri” oluşturur. Ubuntu sisteminizde, bu GPG anahtarları bir “anahtar halkası” (keyring) içinde saklanır. Daha önce apt-key komutu, tüm bu herkese açık anahtarları tek bir global anahtar halkasına (örneğin, /etc/apt/trusted.gpg.d/ veya /etc/apt/trusted.gpg) eklerdi. Bu, sistemdeki tüm depoların paketlerini doğrulayabilecekleri anlamına geliyordu, ki bu da daha önce bahsettiğimiz gibi ciddi bir güvenlik riski oluşturuyordu. Bir anahtar ele geçirilirse, tüm sistemdeki paketler tehlikeye girebilirdi.

Yeni yaklaşımda ise, her deponun GPG anahtarı ayrı bir dosyada, genellikle /etc/apt/keyrings/ dizini altında saklanır. Bu anahtarlar, yalnızca belirli bir depoyla ilişkilendirilir ve yalnızca o deponun paketlerini doğrulamak için kullanılır. Bu, “per-repository keyring” (depo başına anahtar halkası) olarak bilinir ve çok daha güvenli bir modeldir. Böylece, bir deponun anahtarı ele geçirilse bile, bu durum yalnızca o deponun paketlerini etkiler, sistemdeki diğer tüm depoların güvenliği etkilenmez. Bu ayrım, güvenlik katmanlarını güçlendirir ve potansiyel saldırı yüzeyini önemli ölçüde azaltır. Kriptografik imzaların ve GPG anahtarlarının bu şekilde yönetilmesi, yazılım tedarik zincirinin güvenliğini sağlamak için modern ve vazgeçilmez bir yöntemdir. Bu sayede, internetten indirdiğimiz her paketin gerçekten geldiği iddia edilen kaynaktan geldiğinden ve yolculuğu sırasında manipüle edilmediğinden emin olabiliriz.

apt-key Deprecation Süreci ve Yeni Yaklaşım: Değişim Neden Kaçınılmazdı?

apt-key komutunun kullanımdan kaldırılması, yazılım tedarik zinciri güvenliğine yönelik artan endişelerin ve daha iyi güvenlik pratiklerine geçişin doğal bir sonucudur. Yıllardır, apt-key‘in global anahtar halkası modeli, güvenlik uzmanları tarafından potansiyel bir zayıflık olarak işaret ediliyordu. Ubuntu ve Debian toplulukları, bu riski azaltmak ve sistem güvenliğini artırmak amacıyla önemli bir değişiklik yapma kararı aldı.

Değişimin kaçınılmaz olmasının temel nedenleri, apt-key‘in doğasında yatan güvenlik açıklarıdır. Daha önce de belirttiğimiz gibi, apt-key ile eklenen herhangi bir GPG anahtarı, sistemdeki tüm depoların paketlerini doğrulama yeteneğine sahip olurdu. Bu durum, “herkese güvenmek” anlamına geliyordu ve bir anahtarın tehlikeye girmesi durumunda zincirleme bir reaksiyonla tüm sistemin güvenliğini tehdit edebilirdi. Bu, özellikle modern siber güvenlik tehditleri ve tedarik zinciri saldırılarının artmasıyla birlikte kabul edilemez bir risk haline gelmiştir. Büyük kuruluşlar ve hatta bireysel kullanıcılar için bile, yazılım kaynaklarının güvenliği artık daha kritik bir öneme sahiptir.

Yeni ve önerilen yaklaşım, signed-by direktifinin kullanımı ve her depo için özel anahtar halkası dosyaları oluşturulmasıdır. Bu yöntem, APT’nin 1.1 sürümünden itibaren desteklenmektedir ve modern Ubuntu ve Debian sürümlerinde standart hale gelmiştir. Bu yaklaşımda, bir depodan indirilen GPG anahtarı artık global bir konuma değil, genellikle /etc/apt/keyrings/ dizini altına, ilgili depoyla ilişkilendirilmiş ayrı bir .gpg dosyası olarak kaydedilir. Ardından, depo tanım dosyasında (/etc/apt/sources.list.d/ dizinindeki bir .list dosyası), signed-by direktifi kullanılarak APT’ye bu deponun paketlerini doğrulamak için hangi spesifik GPG anahtar dosyasını kullanması gerektiği açıkça belirtilir.

Bu yaklaşımın sunduğu avantajlar saymakla bitmez:

• Granüler Kontrol: Her deponun kendi anahtar halkası dosyası vardır. Bu, bir anahtarın yalnızca belirli bir deponun paketlerini doğrulayabileceği anlamına gelir.
• Artırılmış Güvenlik: Bir anahtarın ele geçirilmesi durumunda, yalnızca o anahtarla ilişkili depo etkilenir, diğer depoların güvenliği sağlanmaya devam eder. Bu, saldırı yüzeyini önemli ölçüde azaltır.
• Daha İyi İzole Edilmiş Güvenlik: Farklı depoların güvenlik riskleri birbirine bulaşmaz. Bu, sistemin genel güvenlik duruşunu güçlendirir.
• Şeffaflık: Hangi deponun hangi anahtarla doğrulandığı açıkça görülebilir ve yönetilebilir.

Örneğin, bir Docker deposu eklerken, Docker’ın GPG anahtarını indirip /etc/apt/keyrings/docker.gpg olarak kaydedecek ve ardından Docker’ın .list dosyasında signed-by=/etc/apt/keyrings/docker.gpg şeklinde bir direktif kullanacaksınız. Bu, APT’ye “Docker paketlerini doğrulamak için sadece bu docker.gpg dosyasındaki anahtarı kullan” talimatını verir. Bu geçiş, başlangıçta biraz daha fazla adım gerektirse de, uzun vadede sistemlerinizin güvenliğini önemli ölçüde artıracaktır. Eski apt-key komutunun kullanımdan kaldırılması ve yeni yöntemlere geçiş, modern Linux sistem yönetiminde güvenlik odaklı düşünmenin bir göstergesidir ve tüm kullanıcıların bu yeni pratikleri benimsemesi şiddetle tavsiye edilir.

Pratik Uygulama: GPG Anahtarları ile Repo Ekleme Adım Adım Nasıl Yapılır?

Şimdi gelelim işin en pratik kısmına: apt-key kullanmadan, GPG anahtarları ile bir depoyu Ubuntu sisteminize nasıl güvenli bir şekilde ekleyeceğinize. Bu yöntem, modern ve güvenli bir yaklaşımdır ve gelecekteki tüm repo ekleme işlemlerinizde kullanmanız gereken standart pratik haline gelmelidir. Adımları dikkatlice takip ederek, herhangi bir depoyu sisteminize güvenle entegre edebilirsiniz.

Genel Yöntem: signed-by Direktifi Kullanarak Repo Ekleme

Bu genel yöntem, çoğu üçüncü taraf depo için geçerlidir. Adımlar şunları içerir:

1. Gerekli Paketleri Kurun: İlk olarak, GPG anahtarlarını indirmek ve yönetmek için gerekli olan bazı temel araçlara sahip olduğunuzdan emin olun. Genellikle curl veya wget gibi araçlar ve gnupg paketi gereklidir.

sudo apt update
sudo apt install -y curl gnupg software-properties-common
    

Bu komutlar, sisteminizi günceller ve anahtar indirme ile GPG işlemleri için gerekli paketleri kurar.

2. GPG Anahtarını İndirin ve Güvenli Bir Şekilde Kaydedin: Deponun herkese açık GPG anahtarını doğrudan bir URL’den indirmeniz gerekecek. İndirdiğiniz bu anahtarı, /etc/apt/keyrings/ dizinine, ilgili deponun adıyla anılacak şekilde bir .gpg dosyası olarak kaydedin. Bu dizin, depo başına anahtar halkalarını saklamak için önerilen konumdur. Eğer bu dizin yoksa, onu oluşturmanız gerekebilir.

# Örnek: Docker anahtarını indirme
sudo mkdir -p /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg
    

Yukarıdaki örnekte, curl -fsSL komutu, belirtilen URL’den GPG anahtarını indirir. | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg kısmı ise, indirilen anahtarı dearmor (ASCII zırhından çıkarma) işleminden geçirerek ikili (binary) formata dönüştürür ve /etc/apt/keyrings/docker.gpg dosyasına kaydeder. --dearmor komutu, GPG anahtarının APT’nin okuyabileceği bir formata dönüştürülmesini sağlar.

3. Depo Tanım Dosyasını Oluşturun (sources.list.d içinde): Şimdi, depoyu APT’ye tanıtacak bir .list dosyası oluşturmanız gerekiyor. Bu dosya genellikle /etc/apt/sources.list.d/ dizininde yer alır ve deponun adını taşır (örneğin, docker.list). Bu dosyanın içine, depoyu tanımlayan satırı ve en önemlisi, signed-by direktifini ekleyeceksiniz. Bu direktif, APT’ye bu deponun paketlerini doğrulamak için hangi spesifik GPG anahtar dosyasını kullanması gerektiğini söyler.

# Örnek: Docker deposu için .list dosyası oluşturma
echo \
  "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu \
  $(. /etc/os-release && echo "$VERSION_CODENAME") stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null
    

Bu komut, Docker deposu için bir .list dosyası oluşturur. Dikkat ederseniz, deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] kısmında signed-by direktifi, Docker anahtarının kaydedildiği yolu gösterir. Bu, bu deponun sadece belirtilen anahtarla doğrulanacağı anlamına gelir.

4. APT Paket Listesini Güncelleyin: Tüm bu adımları tamamladıktan sonra, APT’nin yeni depoyu tanıması ve paket listesini güncellemesi için apt update komutunu çalıştırmanız gerekir.

sudo apt update
    

Eğer her şey doğru yapıldıysa, apt update komutu sorunsuz çalışacak ve yeni depodan paket bilgilerini başarıyla indirecektir. Herhangi bir GPG hatası alırsanız, anahtar indirme veya signed-by yolunda bir hata yapmış olabilirsiniz.

Örnek Vaka Analizi: Docker CE Reposunu Güvenli Şekilde Ekleme

Docker, konteyner teknolojisinin lider platformu olup, birçok geliştirici ve sistem yöneticisi tarafından kullanılır. Docker CE (Community Edition) reposunu Ubuntu’ya eklemek, apt-key deprecation sonrası yeni yöntemlerin en güzel örneklerinden biridir. Yukarıdaki genel adımları Docker için somutlaştıralım:

1. Sistem Güncellemesi ve Gerekli Paketlerin Kurulumu:

sudo apt update
sudo apt install -y ca-certificates curl gnupg
    

Bu adım, sisteminizin güncel olduğundan ve curl, gnupg gibi araçların yüklü olduğundan emin olmanızı sağlar.

2. Docker’ın GPG Anahtarını İndirme ve Kaydetme:

Docker’ın resmi GPG anahtarını indirip /etc/apt/keyrings/ dizinine kaydediyoruz. Bu dizin yoksa oluşturulur.

sudo install -m 0755 -d /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg
sudo chmod a+r /etc/apt/keyrings/docker.gpg
    

chmod a+r komutu, anahtar dosyasının okunabilirliğini genel kullanıcılar için ayarlar, bu da APT’nin dosyayı okuyabilmesi için önemlidir.

3. Docker Reposunu Tanımlayan Dosyayı Oluşturma:

Şimdi /etc/apt/sources.list.d/docker.list dosyasını oluşturup Docker reposunun tanımını içine yazıyoruz. Burada signed-by direktifi ile Docker anahtarımızın yolunu belirtiyoruz.

echo \
  "deb [arch="$(dpkg --print-architecture)" signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu \
  "$(. /etc/os-release && echo "$VERSION_CODENAME")" stable" | \
  sudo tee /etc/apt/sources.list.d/docker.list > /dev/null
    

Bu komut, sisteminizin mimarisine (dpkg --print-architecture) ve Ubuntu sürüm kod adına ($VERSION_CODENAME) göre doğru repo satırını dinamik olarak oluşturur.

4. APT Paket Listesini Güncelleme:

sudo apt update
    

Bu komut başarılı olursa, artık Docker paketlerini sisteminize kurabilirsiniz:

sudo apt install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin
    

Örnek Vaka Analizi: Visual Studio Code Reposunu Ekleme

Visual Studio Code (VS Code), Microsoft tarafından geliştirilen popüler bir kod düzenleyicidir. VS Code deposunu güvenli bir şekilde eklemek için de benzer adımları izleyeceğiz:

1. Sistem Güncellemesi ve Gerekli Paketlerin Kurulumu:

sudo apt update
sudo apt install -y curl gnupg apt-transport-https
    

2. Microsoft’un GPG Anahtarını İndirme ve Kaydetme:

Microsoft’un resmi GPG anahtarını indirip /etc/apt/keyrings/ dizinine kaydediyoruz.

sudo install -m 0755 -d /etc/apt/keyrings
curl -fsSL https://packages.microsoft.com/keys/microsoft.asc | sudo gpg --dearmor -o /etc/apt/keyrings/microsoft.gpg
sudo chmod a+r /etc/apt/keyrings/microsoft.gpg
    

3. VS Code Reposunu Tanımlayan Dosyayı Oluşturma:

/etc/apt/sources.list.d/vscode.list dosyasını oluşturup VS Code reposunun tanımını içine yazıyoruz. Yine signed-by direktifi ile Microsoft anahtarımızın yolunu belirtiyoruz.

echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/microsoft.gpg] https://packages.microsoft.com/repos/code stable main" | sudo tee /etc/apt/sources.list.d/vscode.list > /dev/null
    

4. APT Paket Listesini Güncelleme:

sudo apt update
    

Şimdi VS Code’u kurabilirsiniz:

sudo apt install code
    

Bu örnekler, apt-key‘in yerini alan yeni ve güvenli yöntemin nasıl uygulanacağını açıkça göstermektedir. Her zaman depoyu sağlayan resmi kaynakların talimatlarını kontrol etmek önemlidir, çünkü bazı depoların anahtar indirme veya repo tanımlama yöntemleri küçük farklılıklar gösterebilir. Ancak temel prensip, signed-by direktifi ile her depoya özel bir GPG anahtarı atamak olacaktır.

Eski apt-key Anahtarlarını Temizleme ve Yönetme: Sisteminizdeki Fazlalıkları Giderme

Yeni ve güvenli repo ekleme yöntemlerini öğrendikten sonra, sisteminizde geçmişten kalan ve artık kullanılmayan veya güvenlik riski oluşturan eski apt-key anahtarlarını temizlemek de büyük önem taşır. Bu, sisteminizin anahtar halkasını düzenli tutmanın ve potansiyel güvenlik açıklarını kapatmanın kritik bir adımıdır. Eski anahtarların temizlenmesi, hem disk alanından tasarruf sağlar hem de APT’nin gereksiz anahtarları kontrol etme yükünü azaltır, dolayısıyla apt update işlemlerinin biraz daha hızlı olmasına yardımcı olabilir.

Eski apt-key anahtarları genellikle /etc/apt/trusted.gpg dosyasında veya /etc/apt/trusted.gpg.d/ dizinindeki dosyalarda bulunur. Bu anahtarlar, APT tarafından “güvenilir” olarak kabul edilir ve herhangi bir deponun paketlerini doğrulayabilirlerdi. Bu nedenle, artık kullanılmayan veya yeni signed-by yöntemiyle değiştirilmiş anahtarların bu konumdan kaldırılması gerekir.

Mevcut apt-key ile Eklenmiş Anahtarları Listeleme

Sisteminizdeki tüm apt-key ile eklenmiş anahtarları görmek için aşağıdaki komutu kullanabilirsiniz:

sudo apt-key list
  

Bu komut, sisteminizdeki tüm güvenilir GPG anahtarlarının bir listesini çıkaracaktır. Her anahtarın bir ID’si (genellikle 8 veya 16 karakterli bir hexadecimal dize) ve bir parmak izi (fingerprint) bulunur. Örneğin, bir çıktı şöyle görünebilir:

/etc/apt/trusted.gpg
--------------------
pub   rsa4096 2017-03-06 [SC]
      40976EAF437D05B5D34D864319EC0C48981CA0A3
uid           [ unknown] Docker Release (CE deb) 
sub   rsa4096 2017-03-06 [E]

/etc/apt/trusted.gpg.d/vscode.gpg
---------------------------------
pub   rsa4096 2015-04-23 [SC]
      7AC6 C3B0 3EAE CDAB C046 716A 389B 552B BBA3 CL12
uid           [ unknown] Microsoft (Release signing) 
sub   rsa4096 2015-04-23 [E]
  

Bu listeden, hangi anahtarların hangi depolara ait olduğunu ve hangilerinin artık gereksiz olduğunu belirleyebilirsiniz. Örneğin, Docker veya VS Code için yeni yöntemleri uyguladıysanız, bu anahtarların eski apt-key listesinden kaldırılması gerekecektir.

Eski Anahtarları Güvenli Bir Şekilde Kaldırma

Bir anahtarı apt-key listesinden kaldırmak için anahtarın ID’sini kullanmanız gerekir. Anahtar ID’si, genellikle pub satırının altındaki son 8 karakterdir. Örneğin, yukarıdaki Docker anahtarı için ID 981CA0A3 olacaktır (veya tam parmak izi 19EC0C48981CA0A3). Anahtarı kaldırmak için:

sudo apt-key del 981CA0A3
  

Bu komut, belirtilen anahtarı sistemin global anahtar halkasından kaldıracaktır. Eğer anahtar /etc/apt/trusted.gpg.d/ dizininde ayrı bir .gpg dosyası olarak bulunuyorsa (örneğin vscode.gpg), bu dosyayı doğrudan silmeniz daha uygun olacaktır:

sudo rm /etc/apt/trusted.gpg.d/vscode.gpg
  

Dikkat: Bir anahtarı kaldırmadan önce, ilgili deponun yeni signed-by yöntemiyle doğru bir şekilde eklendiğinden ve çalıştığından emin olun. Aksi takdirde, kaldırdığınız anahtarla ilişkili depodan paket güncellemeleri alamazsınız ve apt update sırasında hata mesajları görürsünüz. Her zaman önce yeni yöntemi uygulayın ve test edin, sonra eski anahtarı temizleyin.

Eski Anahtarların Yeni Sisteme Taşınması (İhtiyaç Halinde)

Bazı durumlarda, eski bir deponun anahtarını doğrudan apt-key‘den kaldırıp yeni /etc/apt/keyrings/ dizinine taşımak isteyebilirsiniz. Bu, özellikle deponun hala aktif olduğu ancak yeni bir anahtar yayınlamadığı durumlarda faydalı olabilir. Bu işlem için anahtarı apt-key export ile dışarı aktarabilir, ardından dearmor edip yeni dizine kaydedebilirsiniz:

# Örnek: Eski bir anahtarı dışarı aktarma ve yeni konuma taşıma
# Önce anahtarın ID'sini apt-key list ile bulun (örneğin 981CA0A3)
sudo apt-key export 981CA0A3 | sudo gpg --dearmor -o /etc/apt/keyrings/eski_repo.gpg
  

Bu işlemden sonra, ilgili deponun .list dosyasını düzenleyerek signed-by=/etc/apt/keyrings/eski_repo.gpg direktifini eklemeyi unutmayın. Ardından, apt-key del 981CA0A3 komutuyla eski anahtarı global anahtar halkasından güvenle kaldırabilirsiniz. Bu adımlar, sisteminizin hem güncel hem de güvenli kalmasını sağlar, gereksiz anahtar kirliliğini önler ve APT’nin daha verimli çalışmasına yardımcı olur.

İleri Düzey İpuçları ve En İyi Uygulamalar: Güvenliği Maksimuma Çıkarma

apt-key deprecation sürecine uyum sağlamak sadece yeni yöntemleri öğrenmekle kalmaz, aynı zamanda bu yeni yaklaşımları en iyi şekilde uygulamak ve sistem güvenliğinizi daha da artırmak için bazı ileri düzey ipuçlarını da bilmeyi gerektirir. Bu bölüm, daha deneyimli kullanıcılar için pratik öneriler ve olası sorunlara karşı hazırlıklı olma stratejileri sunmaktadır.

Otomasyon İçin Script Yazma

Birden fazla sunucuyu yönetiyorsanız veya sık sık yeni depolar ekliyorsanız, yukarıdaki manuel adımları tekrarlamak yorucu ve hataya açık olabilir. Bu süreci otomatikleştirmek için bash scriptleri veya Ansible gibi konfigürasyon yönetim araçları kullanabilirsiniz. Örneğin, bir bash scripti, bir URL’den GPG anahtarını indirip doğru konuma kaydedebilir ve ardından depo dosyasını otomatik olarak oluşturabilir. Bu, tutarlılığı sağlar ve insan hatasını minimize eder.

#!/bin/bash

REPO_NAME="myrepo"
GPG_KEY_URL="https://example.com/myrepo.gpg"
REPO_LINE="deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/${REPO_NAME}.gpg] https://example.com/debian stable main"

# Gerekli dizini oluştur
sudo mkdir -p /etc/apt/keyrings

# GPG anahtarını indir ve kaydet
curl -fsSL "$GPG_KEY_URL" | sudo gpg --dearmor -o "/etc/apt/keyrings/${REPO_NAME}.gpg"
sudo chmod a+r "/etc/apt/keyrings/${REPO_NAME}.gpg"

# Repo dosyasını oluştur
echo "$REPO_LINE" | sudo tee "/etc/apt/sources.list.d/${REPO_NAME}.list" > /dev/null

# APT listesini güncelle
sudo apt update

echo "${REPO_NAME} deposu başarıyla eklendi."
  

Bu basit script, parametreleri değiştirerek farklı depolar için kolayca uyarlanabilir. Ansible gibi araçlar, bu tür görevleri daha da soyutlayarak büyük ölçekli altyapılarda yönetimi basitleştirir.

Anahtar Parmak İzi (Fingerprint) Doğrulama

Bir GPG anahtarını internetten indirirken, indirilen anahtarın gerçekten beklediğiniz anahtar olduğundan emin olmak için anahtarın parmak izini doğrulamak kritik bir güvenlik adımıdır. Kötü niyetli bir üçüncü taraf, size sahte bir GPG anahtarı sunabilir. Anahtarın parmak izini, depoyu sağlayan resmi web sitesinden veya güvenilir bir kaynaktan elde ettiğiniz parmak iziyle karşılaştırmanız gerekir.

İndirdiğiniz GPG anahtar dosyasının parmak izini görmek için aşağıdaki komutu kullanabilirsiniz:

gpg --show-keys /etc/apt/keyrings/docker.gpg
  

Bu komutun çıktısında, anahtarın parmak izi (fingerprint) yer alacaktır. Bu parmak izini, Docker’ın resmi dökümantasyonunda veya web sitesinde yayınlanan parmak iziyle karşılaştırın. Eğer eşleşiyorsa, anahtarın doğru olduğundan emin olabilirsiniz.

Sık Karşılaşılan Sorunlar ve Çözümleri

• gpg: no valid OpenPGP data found. Hatası: Bu genellikle anahtar URL’sinin yanlış olduğu veya indirilen dosyanın gerçekten bir GPG anahtarı olmadığı anlamına gelir. URL’yi ve kaynağı kontrol edin.
• E: The repository '...' does not have a Release file. Hatası: Depo URL’si yanlış olabilir, Ubuntu sürümünüz için desteklenmiyor olabilir veya signed-by direktifindeki anahtar yolu yanlış olabilir. Tüm yolları ve URL’leri dikkatlice kontrol edin.
• W: GPG error: ... The following signatures couldn't be verified because the public key is not available: NO_PUBKEY ... Hatası: Bu, depoyu doğrulamak için gereken GPG anahtarının sisteminizde bulunmadığı veya signed-by direktifinde yanlış bir anahtar yolu belirtildiği anlamına gelir. Anahtarın doğru şekilde /etc/apt/keyrings/ dizinine kaydedildiğinden ve .list dosyasında doğru yolun belirtildiğinden emin olun.
• Dosya İzinleri: /etc/apt/keyrings/ altındaki .gpg dosyalarının ve /etc/apt/sources.list.d/ altındaki .list dosyalarının doğru dosya izinlerine sahip olduğundan emin olun. Genellikle 644 (rw-r–r–) veya 600 (rw——-) izinleri uygundur. sudo chmod a+r /etc/apt/keyrings/your_key.gpg komutu genellikle yeterlidir.

Mobil Uyumlu HTML Üretimi Hakkında Not

Bu makalede üretilen HTML içeriğinin mobil uyumlu olması da önemli bir husustur. Her ne kadar doğrudan CSS kodları bu çıktıya dahil edilmese de, modern web tasarımında mobil uyumluluk için CSS Media Queries kullanılır. Örneğin, bir web sayfasının farklı ekran boyutlarına göre düzenini değiştirmek için aşağıdaki gibi bir yapı kullanılabilir:

@media screen and (max-width: 768px) {
  /* Küçük ekranlar için CSS kuralları */
  body {
    font-size: 16px;
  }
  .container {
    padding: 10px;
  }
}

@media screen and (min-width: 769px) and (max-width: 1024px) {
  /* Orta boy ekranlar için CSS kuralları */
  body {
    font-size: 18px;
  }
}
  

Bu örnek, HTML içeriğinin kendisi değişmese de, tarayıcının ekran genişliğine göre farklı stil kurallarını uygulayarak içeriğin okunabilirliğini ve düzenini optimize etmesini sağlar. Bu, makalenin sunduğu bilgilerin geniş bir cihaz yelpazesinde erişilebilir olmasını garanti eder.

Sonuç: Daha Güvenli Bir Geleceğe Adım Atın

apt-key komutunun kullanımdan kaldırılması, Ubuntu ve Debian tabanlı sistemlerde paket yönetimi güvenliği konusunda önemli bir dönüm noktasını temsil etmektedir. Bu makale boyunca, apt-key‘in neden yetersiz kaldığını, global anahtar halkasının oluşturduğu güvenlik risklerini ve bu riskleri ortadan kaldırmak için geliştirilen yeni GPG tabanlı signed-by direktifi yaklaşımını detaylıca inceledik. Modern sistem yöneticileri ve geliştiricileri için bu geçişi anlamak ve uygulamak, sistemlerinin uzun vadeli güvenliğini sağlamak adına hayati öneme sahiptir.

Yeni yöntemler, her depoya özel anahtar halkaları kullanarak, bir deponun anahtarının ele geçirilmesi durumunda bile yalnızca o deponun güvenliğini tehlikeye atacak şekilde granüler bir kontrol sunar. Bu, “en az ayrıcalık” ilkesine uygun, çok daha sağlam bir güvenlik modelidir. Docker ve Visual Studio Code gibi popüler yazılımların depolarını eklerken adım adım uyguladığımız pratik örnekler, bu yeni yaklaşımın nasıl kolayca benimsenebileceğini göstermiştir. Ayrıca, eski apt-key anahtarlarını temizleme ve sistemdeki anahtar kirliliğini giderme adımları, genel sistem sağlığı ve güvenliği için kritik bir tamamlayıcıdır.

Unutmayın ki güvenlik sürekli bir süreçtir ve teknolojik gelişmelerle birlikte en iyi uygulamalar da değişir. apt-key deprecation’ı, bu değişimin güzel bir örneğidir. Yeni yöntemleri benimseyerek, sistemlerinizin daha dirençli olmasını sağlayacak ve yazılım tedarik zinciri saldırılarına karşı daha güçlü bir savunma hattı inşa edeceksiniz. Bu makaledeki bilgileri kullanarak, Ubuntu sistemlerinizde yazılım depolarını güvenle yönetebilir, güncel ve güvenli bir ortamda çalışmaya devam edebilirsiniz. Güvenliğiniz için bu değişime ayak uydurmak, artık bir seçenek değil, bir zorunluluktur.

Sıkça Sorulan Sorular

S1: apt-key tamamen kaldırılacak mı?

Evet, apt-key komutunun gelecekteki Ubuntu ve Debian sürümlerinden tamamen kaldırılması planlanmaktadır. Şu an için bir uyarı mesajı verse de, ilerleyen sürümlerde işlevselliğini yitirecek veya tamamen kaldırılacaktır. Bu nedenle, yeni signed-by yöntemine geçiş yapmak önemlidir.

S2: Eski repolarım yeni sistemde çalışmaya devam edecek mi?

Şimdilik evet, eski apt-key ile eklenmiş depolarınız çalışmaya devam edecektir. Ancak apt update komutunu çalıştırdığınızda, apt-key‘in kullanımdan kaldırıldığına dair uyarılar (W: apt-key is deprecated...) görmeye başlayacaksınız. Gelecekte sorun yaşamamak adına, bu depoları yeni signed-by yöntemiyle yeniden yapılandırmanız önerilir.

S3: Her depo için ayrı GPG anahtarı mı indirmeliyim?

Evet, yeni ve güvenli yaklaşımda her depo için ayrı bir GPG anahtarı indirmeniz ve bunu /etc/apt/keyrings/ dizini altında, ilgili depoyla ilişkilendirilmiş ayrı bir .gpg dosyası olarak saklamanız gerekmektedir. Bu, “depo başına anahtar halkası” prensibini destekler ve güvenliği artırır.

S4: Anahtar parmak izini nasıl doğrularım?

İndirdiğiniz GPG anahtar dosyasının parmak izini görmek için gpg --show-keys /etc/apt/keyrings/your_key.gpg komutunu kullanabilirsiniz. Bu parmak izini, deponun resmi web sitesinde veya dökümantasyonunda yayınlanan parmak iziyle karşılaştırarak anahtarın doğruluğunu teyit edebilirsiniz.

S5: Hata alırsam ne yapmalıyım?

apt update sırasında bir hata alırsanız, genellikle hata mesajı size sorunun kaynağı hakkında ipucu verir. En yaygın sorunlar, yanlış GPG anahtar URL’si, anahtarın doğru şekilde dearmor edilmemesi, anahtar dosyasının yanlış konuma kaydedilmesi veya .list dosyasında signed-by direktifinin yanlış yola işaret etmesidir. Adımları dikkatlice tekrar kontrol edin ve hata mesajını internette aratarak daha spesifik çözümler bulmaya çalışın.