ubuntu выпускает через http вместо https? [dубликат]

Короче говоря, да, они защищены, из-за криптографии с открытым ключом, используемой для подписи файлов.

Все файлы, загруженные APT, имеют подпись, которая позволяет скачанному файлу проверяться публично ключи, хранящиеся на вашем компьютере, как подписанные Ubuntu и только Ubuntu. Это подтверждает, что полученный вами файл был разрешен Ubuntu на каком-то этапе и с тех пор не был изменен или изменен.

Техническое объяснение того, как это работает, доступно Ubuntu (и Debian, который использует одна и та же система).

Из-за использования HTTP вместо HTTPS да, подслушиватели могли видеть, какие файлы вы загружаете, но конфиденциальность вряд ли будет вашей проблемой в этом случае. Попытка модификации пакетов для инъекции вредоносного кода по-прежнему терпит неудачу, потому что он нарушит механизм подписания.

. Один из возможных способов получения этого механизма подписания заключается в том, что он не гарантирует, что вы получаете самую последнюю версию пакета (действительно, иногда зеркала не обновляются). Чтобы облегчить эту проблему, подписанный файл релиза включает в себя дату «Valid-Until», после которой все файлы, на которые он ссылается, считаются устаревшими. Было бы правдоподобно, если бы человек-в-середине заменил архив немодифицированной более ранней версией архива в течение этой даты «Допустимый до» и заставил бы ваш APT полагать, что обновлений нет. Но они не могут делать какие-либо произвольные изменения в пакетах и ​​не могут вернуться в прошлое определенное время.

Механизмы подписи обеспечивают гораздо лучшую безопасность, чем HTTPS в такого рода распределенной среде, где файлы зеркалируются на многих серверах, не контролируемых Ubuntu. В основном вам нужно доверять Ubuntu, а не зеркалу, поэтому вам нужно доказать, что файлы изначально были получены из Ubuntu и не были изменены с тех пор - нет необходимости проверять идентичность зеркала.

Обратите внимание: когда вы добавляете неофициальный репозиторий в список источников, например PPA, вы будете получать файлы, которые не подписаны Ubuntu. APT должен предупредить вас об этом, потому что они не были подписаны сертификатом, соответствующим любому из открытых ключей, установленных на вашем компьютере, как это разрешено Ubuntu.

Короче говоря, да, они защищены, из-за криптографии с открытым ключом, используемой для подписи файлов.

Все файлы, загруженные APT, имеют подпись, которая позволяет скачанному файлу проверяться публично ключи, хранящиеся на вашем компьютере, как подписанные Ubuntu и только Ubuntu. Это подтверждает, что полученный вами файл был разрешен Ubuntu на каком-то этапе и с тех пор не был изменен или изменен.

Техническое объяснение того, как это работает, доступно Ubuntu (и Debian, который использует одна и та же система).

Из-за использования HTTP вместо HTTPS да, подслушиватели могли видеть, какие файлы вы загружаете, но конфиденциальность вряд ли будет вашей проблемой в этом случае. Попытка модификации пакетов для инъекции вредоносного кода по-прежнему терпит неудачу, потому что он нарушит механизм подписания.

. Один из возможных способов получения этого механизма подписания заключается в том, что он не гарантирует, что вы получаете самую последнюю версию пакета (действительно, иногда зеркала не обновляются). Чтобы облегчить эту проблему, подписанный файл релиза включает в себя дату «Valid-Until», после которой все файлы, на которые он ссылается, считаются устаревшими. Было бы правдоподобно, если бы человек-в-середине заменил архив немодифицированной более ранней версией архива в течение этой даты «Допустимый до» и заставил бы ваш APT полагать, что обновлений нет. Но они не могут делать какие-либо произвольные изменения в пакетах и ​​не могут вернуться в прошлое определенное время.

Механизмы подписи обеспечивают гораздо лучшую безопасность, чем HTTPS в такого рода распределенной среде, где файлы зеркалируются на многих серверах, не контролируемых Ubuntu. В основном вам нужно доверять Ubuntu, а не зеркалу, поэтому вам нужно доказать, что файлы изначально были получены из Ubuntu и не были изменены с тех пор - нет необходимости проверять идентичность зеркала.

Обратите внимание: когда вы добавляете неофициальный репозиторий в список источников, например PPA, вы будете получать файлы, которые не подписаны Ubuntu. APT должен предупредить вас об этом, потому что они не были подписаны сертификатом, соответствующим любому из открытых ключей, установленных на вашем компьютере, как это разрешено Ubuntu.