Yarn: Ubuntu 18.04.1 LTS에 Yarn을 설치하면 잘못된 서명 오류가 발생합니다. 만료된 키가 있습니까?

오, 열쇠가 오늘 만료되었을 수 있습니다! 휴가에서 돌아오면(나중에 오늘이나 내일) 살펴봐야 할 것입니다.

우리는 오늘 현재도 이 문제를 겪고 있습니다.

@Daniel15의 모든 도움에 감사드립니다.

@DanBuild 실제로: 저장소를 추가하고 데비안 스트레치에서 apt-get update 를 실행할 때도 EXPKEYSIG E074D16EB6FF4DE3 Yarn Packaging <[email protected]> 경험했습니다.

제공한 키를 기록해 두십시오.

$ curl -sS https://dl.yarnpkg.com/debian/pubkey.gpg | gpg --keyid-format 0xlong                                                                                                                 
gpg: WARNING: no command supplied.  Trying to guess what you mean ...
pub   rsa4096/0x1646B01B86E50310 2016-10-05 [SC]
      72ECF46A56B4AD39C907BBB71646B01B86E50310
uid                             Yarn Packaging <[email protected]>
sub   rsa4096/0x02820C39D50AF136 2016-10-05 [E]
sub   rsa4096/0xD101F7899D41F3C3 2016-10-05 [S] [expired: 2017-10-05]
sub   rsa4096/0x46C2130DFD2497F5 2016-10-30 [S] [expires: 2019-01-01]
sub   rsa4096/0xE074D16EB6FF4DE3 2017-09-10 [S] [expired: 2019-01-01]

만료된 하위 키가 정확히 오류를 참조한 하위 키임을 유의하십시오.

@Daniel15 키는 https://github.com/yarnpkg/yarn/issues/4253에 따라 2019-01-01까지 유효합니다.

나는 몇 분 전에 같은 문제가 있었고 2018 년까지 유효한 것 같습니다.
그리고 오... 그건 그렇고, 새해 복 많이 받으세요 여러분, Yarn에서 수고하셨습니다!

설치 스크립트는 여전히 작동하므로 지금은 사용할 수 있습니다. 가능한 한 빨리 수정하겠습니다. 하지만 현재 여행 중이기 때문에 오늘 밤까지는 해결되지 않을 것입니다.

저는 보통 키 순환을 위해 Github 이슈를 생성하는데, 2018년에 하는 것을 잊었습니다. 캘린더에 알림을 추가하여 내년에도 잊지 않도록 하겠습니다.

임시 수정으로 [trusted=yes] 하면 GPG 오류가 제거됩니다.

deb [trusted=yes] https://dl.yarnpkg.com/debian/ stable main

임시 수정으로 [trusted=yes] 하면 GPG 오류가 제거됩니다.

` deb [trusted=yes] https://dl.yarnpkg.com/debian/ stable main

이것을 /etc/apt/sources.list.d/yarn.list 파일에 추가했지만 sudo apt update를 실행하면 여전히 오류가 발생합니다. 내가 해야 할 다른 일이 있습니까?

@daveomcd 일단 추가되면 경고로 표시된다고 생각합니다. sudo apt-get install yarn 실행해 보십시오. 그 후에 설치가 가능했습니다.

이로 인해 캐시를 업데이트하고 프로비저닝 실패를 일으킨 플레이북을 실행하는 가능한 타워 콜백이 발생했을 때 자동 프로비저닝(aws autoscaling 스팟 플릿)에 오류가 발생했습니다. 내 플레이북을 강화할 시간입니다. 조심하세요!

깨서 정말 죄송합니다. 이것은 100% 내 잘못입니다. 나는 일반적으로 연간 키 순환을 위해 Github 이슈를 생성하지만(이전 이슈는 #4253 참조) 작년에 생성하는 것을 잊었고 올해는 마음을 놓쳤습니다.

@daveomcd 의 해결 방법이 좋습니다. 아직 집에서 몇 시간 떨어져 있지만 가능한 한 빨리 키를 교체하고 새 키를 게시하겠습니다. 또한 키가 만료 후 90일 이내에 있는 경우 경고를 받을 수 있도록 일부 모니터링을 구성할 것입니다.

CI 시스템의 경우 이상적으로는 각 빌드에 Yarn을 새로 설치하지 않아야 합니다. 대신 모든 빌드 도구가 설치된 Docker 이미지를 사용하십시오. :)

@Daniel15 걱정하지 마세요. 오픈 소스 소프트웨어를 유지 관리하는 데 전적으로 자발적이고 무료로 할애하는 시간에 감사드립니다.

CI 시스템의 경우 이상적으로는 각 빌드에 Yarn을 새로 설치하지 않아야 합니다. 대신 모든 빌드 도구가 설치된 Docker 이미지를 사용하십시오. :)

아니면 캐시에 저장하세요... 이것이 제가 Circle CI에서 이 문제를 해결한 방법입니다... 그렇게 하면 최신 설치가 실패하더라도 여전히 대체할 원사가 있습니다.

CircleCI의 Node.js Docker 컨테이너에는 Yarn이 사전 설치된 상태로 제공됩니다.

내 전화에서 보냈습니다.

2019년 1월 1일 화요일 오후 4:12 Allan Chappell < [email protected] 작성:

CI 시스템의 경우 이상적으로 Yarn을 새로 설치해서는 안 됩니다.
각 빌드. 대신 모든 빌드 도구와 함께 Docker 이미지를 사용하십시오.
설치되었습니다. :)

아니면 캐시에 저장하세요... 이것이 제가 Circle CI에서 이 문제를 해결한 방법입니다...
그렇게하면 최신 설치가 실패하더라도 여전히 대체 할 원사가 있습니다.

—
당신이 언급되었기 때문에 이것을 받는 것입니다.
이 이메일에 직접 답장하고 GitHub에서 확인하세요.
https://github.com/yarnpkg/yarn/issues/6865#issuecomment-450767431 또는 음소거
스레드
https://github.com/notifications/unsubscribe-auth/AAFnHUwhfyQicMQpS_8ikFZ5NfcoI1iyks5u-_ligaJpZM4ZmBF5
.

옳은,
이제 PHP 컨테이너에도 노드 브라우저 변형이 있는 것 같습니다. 여기에는 실도 포함되어 있습니다... 항상 그런 것은 아니었습니다... 도커 컨테이너 태그를 업데이트할 시간입니다.

저는 보통 키 순환을 위해 Github 이슈를 생성하는데, 2018년에 하는 것을 잊었습니다. 캘린더에 알림을 추가하여 내년에도 잊지 않도록 하겠습니다.

1월 1일이 아닌 다른 날짜에 키를 만료하는 것이 좋습니다. 그렇게 하면 만료되는 경우 휴가 기간이 아닙니다. :)

이것이 jan1보다 먼저 보고되었을 수도 있다고 생각합니다.
https://github.com/yarnpkg/yarn/issues/6861

https://github.com/yarnpkg/releases/commit/0f3e4b26cd64fda47e46d82bf3ab458935deb36a 로 수정해야 합니다

이제 새 하위 키가 포함되어 있으므로 키를 다시 다운로드하십시오.

curl -sS https://dl.yarnpkg.com/debian/pubkey.gpg | sudo apt-key add -

새 하위 키는 2020-02-02에 만료됩니다(1월 1일 @jleclanche를 사용하지 않는 제안에 감사드립니다)

@Daniel15 빠른 응답 시간에 감사드립니다. 작동하는지 확인할 수 있습니다 =)

예, 방금 신선한 Debian 및 Ubuntu VM으로 두 번 확인하고 지금 작동하는지 확인했습니다. 기다려 주셔서 감사합니다!

여기서 내 실수는 키가 아직 유효한 동안(마지막 업데이트가 11월에 있었기 때문에) 리포지토리에 서명되었기 때문에 만료된 경우에도 apt/dpkg가 키/서명으로 여전히 문제가 없다고 가정한 것입니다. 이것이 '바닐라' GPG가 하는 일이며 Windows에서 작동하는 방식이기도 합니다.

Microsoft의 서명 도구를 사용하면 개발자가 Authenticode 서명을 부착함과 동시에 타임스탬프를 부착할 수 있습니다. 타임 스탬프를 사용하면 서명에 사용된 인증서가 만료된 후에도 Authenticode 서명을 확인할 수 있습니다.

https://docs.microsoft.com/en-us/windows/desktop/seccrypto/time-stamping-authenticode-signatures

키가 위험할 정도로 만료될 때 경고하는 몇 가지 모니터링 스크립트를 만들어 이에 대한 후속 조치를 취하겠습니다.

Microsoft의 서명 도구를 사용하면 개발자가 Authenticode 서명을 부착함과 동시에 타임스탬프를 부착할 수 있습니다. 타임 스탬프를 사용하면 서명에 사용된 인증서가 만료된 후에도 Authenticode 서명을 확인할 수 있습니다.

나는 그것이 그렇게 작동해야한다고 생각합니다! 아마도 데비안에 대한 버그 보고서일까요?

야간 repo에 여전히 경고가 있습니다.
W: GPG error: https://nightly.yarnpkg.com/debian nightly InRelease: The following signatures were invalid: EXPKEYSIG E074D16EB6FF4DE3 Yarn Packaging <[email protected]> E: The repository 'https://nightly.yarnpkg.com/debian nightly InRelease' is not signed.

야간 리포지토리에 대한 새 GPG 하위 키를 생성했지만 Aptly(#6904)에 문제가 있어 리포지토리를 다시 게시할 수 없습니다./

18:00 daniel<strong i="6">@vps03</strong> /var/www/nightly.yarnpkg.com
% ./update-deb.sh
+ aptly repo add -remove-files=true yarn-nightly ./nightly/deb-incoming/
Loading packages...
+ aptly publish update -gpg-key=4F77679369475BAA nightly yarn-nightly
ERROR: unable to update: local repo with uuid 55ff60af-263a-4df6-8f97-2c09ad7a4995 not found

이것은 지금 고쳐져야 합니다!

안녕하세요,

내 /etc/apt/sources.list.d 문제가 여전히 있습니다.

deb https://dl.yarnpkg.com/debian/ stable main

편집: 신경쓰지 마세요. 키를 다시 다운로드하면 문제가 해결됩니다. :)

나는 위의 의견을 두 번째로 말할 수 있습니다. 9일 전 이전 순환 이후 키가 변경되어 다시 다운로드해야 했습니다.

야간 빌드에 대한 새 하위 키를 추가했지만
안정적인 repo에 영향을 미쳤습니다. 여기서 무슨 일이 일어났는지 조사해야겠어...

내 전화에서 보냈습니다.

2019년 1월 11일 금요일 오전 1시 37분 bvnierop < [email protected] 작성:

나는 위의 의견을 두 번째로 말할 수 있습니다. 키가 이전 이후로 변경됨
로테이션 9일 전에 다시 다운로드해야 했습니다.

—
당신이 언급되었기 때문에 이것을 받는 것입니다.
이 이메일에 직접 답장하고 GitHub에서 확인하세요.
https://github.com/yarnpkg/yarn/issues/6865#issuecomment-453452379 또는 음소거
스레드
https://github.com/notifications/unsubscribe-auth/AEuWKj1tM5EhRflgriBWQ-iOw9gIhmSzks5vCFtngaJpZM4ZmBF5
.

9일 전 이전 순환 이후 키가 변경됨

https://github.com/yarnpkg/yarn/issues/6916 에서 조사 중 https://github.com/aptly-dev/aptly/issues/805

나는 여기에서 다음 명령으로 해결했습니다.
sudo pkill dirmngr; dirmngr --debug-all --daemon --standard-resolver
sudo apt-key adv --keyserver ha.pool.sks-keyservers.net --recv-keys 4F77679369475BAA
wget https://yum.dockerproject.org/gpg
sudo apt-key 추가 gpg

4일 전에 다운로드한 수정된 키(새 하위 키 포함)가 오늘 다시 작동을 멈췄습니다.

죄송합니다... 이제 괜찮습니다. #6916에서 추적했습니다.

이제 주요 만료 날짜를 모니터링하는 대시보드가 ​​있습니다: https://dash.d.sb/d/0PYZ8W_iz/yarn 및 모니터링을 구성할 것입니다.

다시 만료되었습니다.

The following signatures were invalid: EXPKEYSIG 23E7166788B63E1E Yarn Packaging <[email protected]>

curl -sS https://dl.yarnpkg.com/debian/pubkey.gpg | sudo apt-key add -

문제를 해결

몇 주 전에 만료를 연장했지만 아직 자동 업데이트를 구성하지 않았기 때문에 수동으로 업데이트해야 합니다. #7866 참조