امنیت دانلود در cPanel & WHM

مقدمه

cPanel و WHM قابلیت‌هایی برای اطمینان از صحت فایل‌هایی که دانلود می‌کنید ارائه می‌دهند. این ویژگی تضمین می‌کند که تمامی فایل‌های ارائه‌شده توسط cPanel & WHM در طول دانلود دست‌نخورده و بدون آسیب‌دیدگی باشند. این کار از ایجاد مشکلات ناشی از خرابی فایل‌ها به دلیل نفوذ به سرورهای mirror یا اختلال در ارتباط با سیستم‌های WebPros International, LLC جلوگیری می‌کند.

منطق بررسی امضا

سیستم بررسی امضا (Signature Verification) اطمینان حاصل می‌کند که فایل‌های دانلود شده از سرورهای mirror دارای یکی از ویژگی‌های زیر باشند:

1. اعتبارسنجی مستقیم فایل‌ها با استفاده از فایل‌های امضای GPG (GnuPG)
2. چک‌سام (checksum) امن رمزنگاری‌شده که به یک فایل امضا شده متصل است

همچنین دانلود از سایر سیستم‌های WebPros، مانند بخش عمومی کلیدهای GPG، از طریق اتصال SSL امن انجام می‌شود.

کلیدهای GPG

cPanel & WHM از دو کلید اصلی GPG برای امضای فایل‌ها استفاده می‌کند:

• کلید Release (انتشار): برای امضای فایل‌های معمولی mirror
• کلید Development (توسعه): برای امضای نسخه‌های آزمایشی و داخلی در mirror بعدی (next.cpanel.net)

سیستم‌هایی که فقط نسخه‌های پایدار را دنبال می‌کنند، به کلیدهای release نیاز دارند. برای دنبال کردن نسخه‌های توسعه‌ای، کلیدهای development باید فعال شوند.

تنظیمات و کنترل‌ها

در بخش Security تنظیمات WHM Tweak Settings، گزینه‌ای برای فعال‌سازی Signature Validation روی فایل‌های دانلود شده از mirrorها وجود دارد. مقدار پیش‌فرض این گزینه Release Key Only است.

توجه: cPanel & WHM به‌طور پیش‌فرض امنیت cPAddons شخص ثالث را همانند فایل‌های اصلی بررسی نمی‌کند. اگر اطمینان دارید که تمام افزونه‌های شخص ثالث امضا شده و معتبر هستند، می‌توانید Signature Verification را برای آن‌ها فعال کنید.

پیام‌های خطا

در هنگام دانلود فایل‌ها از mirrorها، ممکن است پیام‌های خطا زیر مشاهده شود:

1. Failed to verify signature
   • فایل امضا شده قابل تایید نبوده است. ممکن است کلید عمومی مربوطه در keyring موجود نباشد یا کلید توسعه فعال نشده باشد.
2. Checksum mismatch
   • مقدار checksum فایل با مقدار مورد انتظار مطابقت ندارد و استفاده از آن ایمن نیست.
3. Signature verification failed using file from IP …
   • فایل و امضای مرتبط از mirrorهای مختلف مطابقت نداشته‌اند. اغلب دلیل آن قدیمی بودن mirror است، نه دستکاری مخرب. سیستم cPanel چهار بار تلاش می‌کند فایل و امضای آن را از mirrorهای مختلف دانلود کند.
4. Failed to create gpg object: No keys found for vendor ‘cpanel’
   • کلید GPG محلی موجود نیست. سیستم به‌صورت خودکار در فرآیند آپدیت شبانه کلید را دانلود می‌کند، اما می‌توانید از دستور زیر برای دانلود دستی کلید استفاده کنید:

/usr/local/cpanel/scripts/updatesigningkey

5. Requesting script … Failed to download signature for URL …
   • فایل امضا (.asc) همراه فایل دانلودی موجود نیست.
6. Invalid signature
   • فایل امضا شده وجود دارد، اما محتویات فایل تغییر کرده و معتبر نیست.

خلاصه:
این قابلیت امنیتی در cPanel & WHM تضمین می‌کند که فایل‌های دانلود شده سالم و دست‌نخورده باشند و از مشکلات ناشی از خرابی mirror یا حملات احتمالی جلوگیری می‌کند. فعال‌سازی بررسی امضا و بررسی checksum‌ها، بهترین روش برای اطمینان از صحت فایل‌ها و جلوگیری از آسیب به سیستم است.

کیان پور