Provided by: apt_2.5.3_amd64 
NAME
apt-transport-https - Transportmethode van APT voor het downloaden via het HTTP Secure
protocol (HTTPS)
OMSCHRIJVING
Deze transportmethode van APT laat toe om pakketbronnen te gebruiken die benaderd worden
via het HTTP Secure protocol (HTTPS), ook wel aangeduid als HTTP over TLS. Ze is standaard
beschikbaar sinds apt 1.5 en voordien in het pakket apt-transport-https. Merk op dat een
transportmethode nooit rechtstreeks door een gebruiker aangesproken wordt, maar door
APT-gereedschap gebruikt wordt op basis van de gebruikersconfiguratie.
HTTP zelf is een niet-versleuteld transportprotocol (vergelijk apt-transport-http(1)), dat
zoals de toegevoegde S aangeeft, ingepakt wordt in een versleutelde laag, die bekend staat
als Transport Layer Security (TLS), om te voorzien in versleuteling van punt naar punt.
Een voldoende onderlegde aanvaller kan nog steeds de communicatiepartners gadeslaan en een
grondige analyse van de versleutelde communicatie kan nog steeds belangrijke details aan
het licht brengen. Een overzicht van beschikbare alternatieve transportmethodes wordt
gegeven in sources.list(5).
OPTIES
Het HTTPS-protocol is gebaseerd op het HTTP-protocol, en dus zijn alle opties die
ondersteund worden door apt-transport-http(1) ook beschikbaar via Acquire::https. Ze
hebben standaard dezelfde waarden als vermeld bij Acquire::http. Deze man-pagina
documenteert enkel de opties die specifiek zijn voor https.
Servergeloofsbrieven
Standaard worden alle door het systeem vertrouwde certificaten (zie het pakket
ca-certificates) gebruikt om het certificaat van de server te verifiëren. Een alternatieve
certificaatautoriteit (CA) kan geconfigureerd worden met de optie Acquire::https::CAInfo
en zijn computerspecifieke optie Acquire::https::CAInfo::computer. De optie CAInfo
specificeert een bestand dat bestaat uit CA-certificaten (in PEM-indeling), die
samengevoegd worden om de keten te vormen die APT moet gebruiken voor het verifiëren van
het pad vanaf het door uzelf ondertekend basiscertificaat. Indien de externe server
tijdens de uitwisseling de hele keten verstrekt, dan moet het bestand enkel het
basiscertificaat bevatten. Anders is de hele keten vereist. Indien u ondersteuning moet
voorzien voor verschillende autoriteiten, bestaat de enige mogelijkheid erin alles samen
te voegen.
Er kan een aangepaste lijst van herroepen certificaten (certificate revocation list - CRL)
geconfigureerd worden met de opties Acquire::https::CRLFile en
Acquire::https::CRLFile::computer. Zoals bij de vorige optie moet een bestand opgegeven
worden in PEM-indeling.
Beveiliging uitschakelen
Als tijdens het proces van serverauthenticatie de verificatie van het certificaat om een
af andere reden (vervallen, herroepen, persoon in het midden, enz.) mislukt, mislukt het
tot stand brengen van de verbinding. Dit is duidelijk wat u in alle gevallen wenst en wat
voorzien wordt in de standaardwaarde (true) van de optie Acquire::https::Verify-Peer en
diens computerspecifieke variant. Indien u precies weet wat u doet, kunt u door deze optie
op "false" in te stellen, de wederzijdse verificatie van certificaten overslaan en ervoor
zorgen dat de uitwisseling succesvol is. Nogmaals: deze optie is enkel bedoeld met het oog
op foutopsporing en het uitvoeren van testen, aangezien ze alle beveiliging wegneemt die
door het gebruik van HTTPS geboden wordt.
Op dezelfde manier kan de optie Acquire::https::Verify-Host en zijn computerspecifieke
variant gebruikt worden om een beveiligingsfunctie te deactiveren: het door de server
geleverde certificaat bevat de identiteit van de server en die moet overeenkomen met de
DNS-naam die gebruikt wordt om hem te benaderen. Zoals gevraagd wordt door RFC 2818 wordt
de naam van de spiegelserver standaard getoetst aan de identiteit die in het certificaat
gevonden wordt. Dit standaardgedrag is veilig en moet niet gewijzigd worden, maar indien u
weet dat de server die u gebruikt, een DNS-naam heeft die niet overeenkomst met de
identiteit in diens certificaat, kunt u de optie instellen op "false", hetgeen zal
voorkomen dat de vergelijking uitgevoerd wordt.
Cliëntauthenticatie
Behalve de geboden ondersteuning voor authenticatie via een wachtwoord (zie
apt_auth.conf(5)), ondersteunt HTTPS ook authenticatie op basis van cliëntcertificaten via
Acquire::https::SSLCert en Acquire::https::SSLKey. Deze moeten respectievelijk ingesteld
worden op de bestandsnaam van het X.509 cliëntcertificaat en de ermee verbonden
(niet-versleutelde) private sleutel, beide in PEM-indeling. In de praktijk wordt de
computerspecifieke variant van beide opties ten zeerste aanbevolen.
VOORBEELDEN
Acquire::https {
Proxy::example.org "DIRECT";
Proxy "socks5h://apt:pass@127.0.0.1:9050";
Proxy-Auto-Detect "/usr/local/bin/apt-https-proxy-auto-detect";
No-Cache "true";
Max-Age "3600";
No-Store "true";
Timeout "10";
Dl-Limit "42";
Pipeline-Depth "0";
AllowRedirect "false";
User-Agent "Mijn APT-HTTPS";
SendAccept "false";
CAInfo "/pad/naar/ca/certs.pem";
CRLFile "/pad/naar/all/crl.pem";
Verify-Peer "true";
Verify-Host::defecte.example.org "false";
SSLCert::example.org "/pad/naar/cliënt/cert.pem";
SSLKey::example.org "/pad/naar/cliënt/key.pem"
};
ZIE OOK
apt-transport-http(1) apt.conf(5) apt_auth.conf(5) sources.list(5)
BUGS
APT bugpagina[1]. Indien u een bug in APT wilt rapporteren, raadpleeg dan
/usr/share/doc/debian/bug-reporting.txt of het reportbug(1) commando.
VERTALING
De Nederlandse vertaling werd in 2015 gemaakt door Frans Spiesschaert
<Frans.Spiesschaert@yucom.be>, in samenwerking met het Debian Dutch l10n Team
<debian-l10n-dutch@lists.debian.org>.
Merk op dat de vertaling van dit document nog onvertaalde delen kan bevatten. Dit is
intentioneel om te vermijden dat inhoud verloren zou gaan door een vertaling die achterop
loopt op het origineel.
AUTEUR
APT-team
OPMERKINGEN
1. APT bugpagina
http://bugs.debian.org/src:apt