Yarn: Ubuntu 18.04.1 LTSにYarnをインストールすると、無効な署名エラーが発生します。 期限切れの可能性のあるキー？

ああ、鍵は今日期限切れになっているかもしれません！ 休暇から戻ったら（今日または明日遅く）、確認する必要があります。

今日もこの問題が発生しています。

@ Daniel15にご協力いただきありがとうございます。

@DanBuild確かに：リポジトリを追加してdebianストレッチでapt-get updateを実行すると、 EXPKEYSIG E074D16EB6FF4DE3 Yarn Packaging <[email protected]>も発生します。

提供するキーに注意してください。

$ curl -sS https://dl.yarnpkg.com/debian/pubkey.gpg | gpg --keyid-format 0xlong                                                                                                                 
gpg: WARNING: no command supplied.  Trying to guess what you mean ...
pub   rsa4096/0x1646B01B86E50310 2016-10-05 [SC]
      72ECF46A56B4AD39C907BBB71646B01B86E50310
uid                             Yarn Packaging <[email protected]>
sub   rsa4096/0x02820C39D50AF136 2016-10-05 [E]
sub   rsa4096/0xD101F7899D41F3C3 2016-10-05 [S] [expired: 2017-10-05]
sub   rsa4096/0x46C2130DFD2497F5 2016-10-30 [S] [expires: 2019-01-01]
sub   rsa4096/0xE074D16EB6FF4DE3 2017-09-10 [S] [expired: 2019-01-01]

期限切れのサブキーは、正確にエラーを参照したものであることに注意してください。

@ Daniel15キーは、 https： //github.com/yarnpkg/yarn/issues/4253に従って、2019-01-01まで有効です

少し前に同じ問題が発生しましたが、2018年まで有効だったようです。
そしてああ...ところで、明けましておめでとうございます、ヤーンで素晴らしい仕事をしました！

インストールスクリプトは引き続き機能するはずなので、今のところそれを使用できます。 できるだけ早く修正しますが、現在旅行中なので今夜まで修正しません。

私は通常、キーローテーション用のGithubの問題を作成しますが、2018年にそれを忘れました。カレンダーにリマインダーを追加するので、来年も忘れないでください。

一時的な修正として、 [trusted=yes]を追加すると、GPGエラーが削除されます。

deb [trusted=yes] https://dl.yarnpkg.com/debian/ stable main

一時的な修正として、 [trusted=yes]を追加すると、GPGエラーが削除されます。

` deb [trusted=yes] https://dl.yarnpkg.com/debian/ stable main

これを/etc/apt/sources.list.d/yarn.listファイルに追加しました...しかし、sudo aptupdateを実行してもエラーが発生します。 他に何かする必要がありますか？

@daveomcd追加すると警告として表示されると思います。 sudo apt-get install yarn実行してみてください。 その後インストールできました。

これにより、キャッシュを更新するプレイブックを実行するansibleタワーコールバックがプロビジョニングの失敗を引き起こしたときに、自動プロビジョニング（aws自動スケーリングスポットフリート）で失敗が発生しました。 私のプレイブックを強化する時が来ました、そこにいる人々に注意してください！

壊して本当にごめんなさい。 これは100％私のせいです。 私は通常、毎年のキーローテーション用にGithubの問題を作成しますが（前の問題については＃4253を参照）、昨年作成するのを忘れてしまい、今年は気が狂いました。

@daveomcdの回避策は良いです。 私はまだ家から数時間離れていますが、キーを回転させて、できるだけ早く新しいキーを公開します。 また、キーの有効期限が90日以内の場合にアラートを受け取るように、いくつかの監視を構成します。

CIシステムの場合、理想的には、ビルドごとにYarnを新しくインストールしないでください。 代わりに、すべてのビルドツールがインストールされたDockerイメージを使用してください。 :)

@ Daniel15心配費やしてくださったことに感謝いたします。

CIシステムの場合、理想的には、ビルドごとにYarnを新しくインストールしないでください。 代わりに、すべてのビルドツールがインストールされたDockerイメージを使用してください。 :)

またはそれをキャッシュします...それは私がCircleCIでこの問題を回避した方法です...そうすれば、最新のインストールが失敗した場合でも、私はフォールバックするための糸を手に入れます。

CircleCIのNode.jsDockerコンテナには、Yarnがプリインストールされていると思います。

私の電話から送信されました。

2019年1月1日火曜日、午後4時12分Allan Chappell < [email protected]は次のように書いています。

CIシステムの場合、理想的にはYarnを新しくインストールしないでください。
各ビルド。 代わりに、すべてのビルドツールでDockerイメージを使用してください
インストールされています。 :)

またはそれをキャッシュします...それは私がCircleCIでこの問題を回避した方法です...
そうすれば、最新のインストールが失敗した場合でも、フォールバックするための糸を手に入れることができます。

—
あなたが言及されたのであなたはこれを受け取っています。
このメールに直接返信し、GitHubで表示してください
https://github.com/yarnpkg/yarn/issues/6865#issuecomment-450767431 、またはミュート
スレッド
https://github.com/notifications/unsubscribe-auth/AAFnHUwhfyQicMQpS_8ikFZ5NfcoI1iyks5u-_ligaJpZM4ZmBF5
。

正しい、
そして今、明らかに彼らはPHPコンテナにもノードブラウザのバリアントを持っています。これにはyarnも含まれています...常にそうであるとは限りませんでした...いくつかのDockerコンテナタグを更新する時が来ました。

私は通常、キーローテーション用のGithubの問題を作成しますが、2018年にそれを忘れました。カレンダーにリマインダーを追加するので、来年も忘れないでください。

1月1日以外の日にキーの有効期限が切れることをお勧めします…そうすれば、有効期限が切れた場合、休暇期間ではありません:)

これはjan1よりも早く報告された可能性があると思います。
https://github.com/yarnpkg/yarn/issues/6861

https://github.com/yarnpkg/releases/commit/0f3e4b26cd64fda47e46d82bf3ab458935deb36aで修正する必要があり

新しいサブキーが含まれているため、キーを再ダウンロードしてください。

curl -sS https://dl.yarnpkg.com/debian/pubkey.gpg | sudo apt-key add -

新しいサブキーは2020-02-02に期限切れになります（1月1日、@ jleclancheを使用しないことを提案してくれてありがとう）

@ Daniel15迅速な応答時間をありがとう、私はそれが機能することを確認できます=）

ええ、私は新しいDebianとUbuntuのVMを再確認し、それが現在機能していることを確認しました。 お待ち頂きまして、ありがとうございます！

ここでの私の間違いは、キーがまだ有効な間にリポジトリが署名されたため（最後の更新が11月だったため）、有効期限が切れていてもapt / dpkgはキー/署名で問題ないと想定していました。 これが「バニラ」GPGの機能であり、Windowsでの動作でもあると思います。

Microsoftの署名ツールを使用すると、開発者はAuthenticode署名を添付すると同時にタイムスタンプを添付できます。 タイムスタンプを使用すると、署名に使用された証明書の有効期限が切れた後でも、Authenticode署名を検証できます。

https://docs.microsoft.com/en-us/windows/desktop/seccrypto/time-stamping-authenticode-signatures

キーの有効期限が危険なほど近づいたときに警告する監視スクリプトを作成して、これをフォローアップします。

Microsoftの署名ツールを使用すると、開発者はAuthenticode署名を添付すると同時にタイムスタンプを添付できます。 タイムスタンプを使用すると、署名に使用された証明書の有効期限が切れた後でも、Authenticode署名を検証できます。

私はそれがそのように働くべきだと思います！ おそらくDebianのバグレポートですか？

毎晩のレポでまだ警告があります
W: GPG error: https://nightly.yarnpkg.com/debian nightly InRelease: The following signatures were invalid: EXPKEYSIG E074D16EB6FF4DE3 Yarn Packaging <[email protected]> E: The repository 'https://nightly.yarnpkg.com/debian nightly InRelease' is not signed.

毎晩のリポジトリ用に新しいGPGサブキーを生成しましたが、Aptly（＃6904）に問題があり、リポジトリを再公開できません：/

18:00 daniel<strong i="6">@vps03</strong> /var/www/nightly.yarnpkg.com
% ./update-deb.sh
+ aptly repo add -remove-files=true yarn-nightly ./nightly/deb-incoming/
Loading packages...
+ aptly publish update -gpg-key=4F77679369475BAA nightly yarn-nightly
ERROR: unable to update: local repo with uuid 55ff60af-263a-4df6-8f97-2c09ad7a4995 not found

これは今すぐ修正する必要があります！

やあ、

問題はまだ私の/etc/apt/sources.list.dます：

deb https://dl.yarnpkg.com/debian/ stable main

編集：気にしないで、キーを再ダウンロードすると修正されました。 :)

上記のコメントを2番目にできます。 キーは9日前の前回のローテーションから変更されたため、再ダウンロードする必要がありました。

ナイトリービルド用に新しいサブキーを追加しましたが、
安定したリポジトリに影響を与えました。 ここで何が起こったのか調べなければなりません...

私の電話から送信されました。

2019年1月11日金曜日、午前1時37分bvnierop < [email protected]は次のように書いています。

上記のコメントを2番目にできます。 前回からキーが変更されました
9日前にローテーションし、再ダウンロードする必要がありました。

—
あなたが言及されたのであなたはこれを受け取っています。
このメールに直接返信し、GitHubで表示してください
https://github.com/yarnpkg/yarn/issues/6865#issuecomment-453452379 、またはミュート
スレッド
https://github.com/notifications/unsubscribe-auth/AEuWKj1tM5EhRflgriBWQ-iOw9gIhmSzks5vCFtngaJpZM4ZmBF5
。

9日前の前回のローテーションからキーが変更されました

https://github.com/yarnpkg/yarn/issues/6916で調査していhttps ：

私はここでコマンドで解決しました：
sudo pkill dirmngr; dirmngr --debug-all --daemon --standard-resolver
sudo apt-key adv --keyserver ha.pool.sks-keyservers.net --recv-keys 4F77679369475BAA
wget https://yum.dockerproject.org/gpg
sudo apt-key add gpg

4日前にダウンロードした改訂されたキー（新しいサブキーを含む）は、本日再び機能しなくなりました。

申し訳ありませんが...今は大丈夫です。 それは＃6916で追跡されました。

主要な有効期限を監視するダッシュボードがあります： https ：

再び期限切れになりました。

The following signatures were invalid: EXPKEYSIG 23E7166788B63E1E Yarn Packaging <[email protected]>

curl -sS https://dl.yarnpkg.com/debian/pubkey.gpg | sudo apt-key add -

問題を解決しました

数週間前に有効期限を延長しましたが、自動更新するように構成していないため、手動で更新する必要があります。 ＃7866を参照