Come correggere apt: la firma per chiave utilizza l'algoritmo di digest debole (SHA1)?

123

Ho iniziato la configurazione aggiungendo repository e poi sono andato a eseguire nuovamente sudo apt-get update prima di iniziare l'installazione di altro software, e ottengo le linee chiave Signature e si interrompe. Quindi in sostanza non mi permetterà di aggiornare alcun pacchetto ora.

[email protected]:~/Downloads$ sudo apt-get update
Ign:1 http://dl.google.com/linux/chrome/deb stable InRelease
Hit:2 http://dl.google.com/linux/chrome/deb stable Release                     
Hit:4 http://security.ubuntu.com/ubuntu xenial-security InRelease              
Get:5 http://ca.archive.ubuntu.com/ubuntu xenial InRelease [247 kB]
Hit:6 http://ca.archive.ubuntu.com/ubuntu xenial-updates InRelease
Hit:7 http://ca.archive.ubuntu.com/ubuntu xenial-backports InRelease
Fetched 247 kB in 0s (256 kB/s)                   
Reading package lists... Done
W: http://dl.google.com/linux/chrome/deb/dists/stable/Release.gpg: Signature by 
key 4CCA1EAF950CEE4AB83976DCA040830F7FAC5991 uses weak digest algorithm (SHA1)
[email protected]:~/Downloads$

Non l'ho mai visto prima ogni volta che ho configurato e iniziato a installare cose in Ubuntu. C'è qualcos'altro che posso fare?

    
posta dlchang 22.04.2016 - 21:43

4 risposte

63

Il problema con la fonte di Google è alla fine di Google, ma apt-get sta semplicemente segnalando il problema come un avvertimento. Questo problema non ti impedisce di aggiornare i pacchetti.

Stai utilizzando apt-get e quello che stai vedendo è il comportamento normale dopo aver eseguito update : esegue l'aggiornamento ma non fornisce informazioni aggiuntive.

Devi seguire sudo apt-get update con sudo apt-get upgrade per vedere se sono disponibili aggiornamenti di pacchetti.

Il più recente sudo apt update (si noti che è solo apt ) fornisce un feedback sui risultati.

Usando apt , vedrai un messaggio

All packages are up to date

o

The following packages will be upgraded:

Vedi anche apt list --upgradeable .

    
risposta data chaskes 25.04.2016 - 05:55
32

Debian e Ubuntu impongono SHA256 o più voci nei file Release e / o Packages da marzo . I repository mancanti devono essere riparati dai loro proprietari.

C'è una panoramica dei repository danneggiati nel wiki di Debian.

    
risposta data webwurst 03.05.2016 - 00:08
16

Come @chaskes dice che questo è un problema con il repository non con il tuo computer.

@webwurst ha buoni collegamenti con il problema sottostante. C'è anche un chiarimento sulle firme.

Se stai ospitando un repository che sta dando questi errori. La soluzione è cambiare il cert-digest-algo predefinito in SHA256 . Per impostazione predefinita, gnupg ha come impostazione predefinita l'utilizzo di SHA1

Dopo aver risolto questo problema, il prossimo avviso sarà che la firma "utilizza l'algoritmo del digest debole (SHA1)" E per risolvere il problema puoi anche impostare digest-algo su SHA256 .

Questi valori vanno sul server del repository nel gpg.conf utilizzato dal repository.

La mano breve è di aggiungere

cert-digest-algo SHA256
digest-algo SHA256

al tuo file ~/.gnupg/gpg.conf .

Il nostro progetto ha emesso un ticket qui che dovrebbe avere un esempio di come risolverlo per la nostra implementazione meccanismo.

    
risposta data Tully 24.05.2016 - 00:33
5

Per evitare questo errore, puoi rimuovere il repository.

  

Tieni presente che la rimozione del repository impedirà a Chrome di ricevere aggiornamenti , inclusi importanti aggiornamenti della sicurezza!
   renderà il tuo browser vulnerabile a un numero crescente di minacce nel tempo!

     

Se vuoi veramente rimuovere o disabilitare completamente il repository, dovresti considerare di disinstallare Chrome e passare a un altro browser, come la sua variante open-source chromium .

     

Questa nota è stata aggiunta da ByteCommander .

Alla prima ricerca di Software e aggiornamenti in Dash. Aprilo e passa alla scheda Altro software .

Qui cerca una voce come questa:

http://dl.google.com/linux/earth/deb/dists/stable/

e rimuoverlo.

Infine vai alla scheda Autenticazione e troverai qualcosa che menziona "Google", rimuovi anche quello.

Dovresti smettere di mostrare quel fastidioso messaggio di errore ogni volta che tenti di aggiornare i tuoi repository ora.

    
risposta data Hayet Mahamud 14.06.2016 - 10:50

Leggi altre domande sui tag