Мы используем внутренний репозиторий Debian для резервных копий и внутреннего программного обеспечения.
Мы выбрали репозиторий для управления репозиторием, и мы подписываем исходные пакеты (с помощью debsign), чтобы репозиторий принимал наши ключи gpg как доверенные.
Мы создали внутреннюю связку ключей, аналогичную пакету ключей debian или ubuntu, которую мы устанавливаем перед чем-либо, чтобы иметь возможность запускать «apt-get update» без ошибок ключа gpg.
Последний пункт проблематичен, так как мы часто получаем проблемы, связанные с безопасностью, хотя мы находимся в полностью частной сети, что исключает небезопасную загрузку пакетов извне.
Вопрос: каковы плюсы и минусы использования подписанных пакетов во внутреннем репозитории?
Подпись репозитория помогает пользователям понять: «Да, репозиторий, из которого я загружаю пакеты, - это тот, которому я доверяю». Если вы скажете им игнорировать эту проверку, вам придется беспокоиться о следующем:
Если любой из первых двух может быть проблемой (что маловероятно в контролируемой среде), тогда у вас все равно будет проблема атак повторного воспроизведения даже с подписанным репозиторием. (вы развертываете обновление системы безопасности для исправления уязвимости, я предлагаю пользователю посмотреть мой репозиторий вместо вашего, чтобы пользователь никогда не получил исправление, я могу использовать уязвимость).
В контролируемой сети я бы особо не беспокоился об этом. При этом, если у вас уже есть инфраструктура для подписанных репозиториев, запуск debsign не кажется слишком сложным.