Почему archive.ubuntu.com не использует HTTPS? [дубликат]
На этот вопрос уже есть ответ здесь:
Я всегда вижу инструкции по добавлению репозиториев Universe и Multiverse, которые выглядят примерно так:
sudo add-apt-repository -y "deb http://archive.ubuntu.com/ubuntu $(lsb_release -sc) main universe restricted multiverse"
Недавно я попытался отредактировать это, чтобы вместо этого использовать HTTPS, и был встревожен, обнаружив, что archive.ubuntu.com не отвечает на HTTPS. Теперь мне интересно, насколько это возможно или какой ущерб может быть нанесен, если злоумышленник успешно проведет здесь атаку типа «человек посередине»?
Я слишком параноик, учитывая роль этих репозиториев выполнить в системе?
1 ответ
Все файлы, загруженные APT, имеют подпись, которая позволяет загруженному файлу быть проверенным против открытых ключей, сохраненных на Вашем компьютере, как подписываемом Ubuntu и только Ubuntu. Это проверяет, что файл, который Вы получаете, авторизовала Ubuntu на некотором этапе и не изменили или вмешались с тех пор.
А техническое объяснение того, как это работает, доступно из Ubuntu (и от Debian, который использует ту же систему).
из-за использования HTTP вместо HTTPS, да соглядатаи видели, какие файлы Вы загружаете, но конфиденциальность вряд ли будет Вашим беспокойством в этом случае. Попытка man-in-the-middle изменить пакеты для введения вредного кода все еще перестала бы работать, потому что это повредит механизм подписания.
Один возможный глюк в этом механизме подписания - то, что он не гарантирует, что Вы получаете самую актуальную версию пакета (действительно, иногда зеркала не спешат обновлять). Чтобы помочь смягчить эту проблему, файл версии со знаком включает "Допустимый - До" даты, после которой все файлы это ссылается, должен считаться устаревшим. Это было бы вероятно, чтобы man-in-the-middle заменил архивом с неизмененной более ранней версией архива в этом Допустимом - До даты, и заставьте свой APT полагать, что нет никаких обновлений. Но они не могут сделать произвольные модификации к пакетам, и при этом они не могли возвратиться в минувшие дни определенный момент.
механизмы подписания обеспечивают намного лучшую безопасность, чем HTTPS в этом виде распределенной среды, где файлы зеркально отражаются по многим серверам, которыми не управляет Ubuntu. В сущности только необходимо доверять Ubuntu, не зеркало, таким образом, необходимо доказать, что файлы первоначально прибыли из Ubuntu и не были изменены с тех пор - нет никакой потребности проверить идентификационные данные зеркала.
Примечание, что, когда Вы добавляете неофициальный репозиторий к своему исходному списку, такому как PPA, Вы будете получать файлы, которые не подписываются Ubuntu. APT должен предупредить Вас об этом, потому что они не были подписаны сертификатом, соответствующим ни одному из открытых ключей, установленных на Вашем компьютере, как авторизовано Ubuntu.
Источник: безопасные списки хранилищ? Существует ли версия HTTPS?