* Buntu: https на apt-get

Question

Я недавно искал в Интернете, чтобы узнать о https для apt-get, и, насколько я читаю, нет реальной необходимости, по крайней мере, это то, что защищают многие люди, для использования его для этого, так как он всегда автоматически проверяется на целостность , это правильно? Я правильно понял? Кроме того, если это так, то в случае принятия решения ИСПОЛЬЗОВАТЬ https через конфигурацию сервера, который его поддерживает, единственным возможным недостатком будет скорость, не так ли?

И наконец, что не менее важно, я предполагаю, что любые дистрибутивы * buntu зависят от тех же установленных правил для этой темы, я прав? (то есть все будет проверено на целостность) Потому что, насколько я знаю, они все используют серверы Ubuntu, верно?

Большое спасибо, я знаю, что есть несколько интегрированных вопросов, но если вы можете уточнить это для меня и сообщества для людей, которые могут искать такую же информацию, я очень ценю :)

Answer 1

Ряд сторонних репозиториев не являются HTTP. Пакеты уже сверены с открытым ключом GPG.

Однако после разоблачений АНБ и повторяющихся сбоев в системе безопасности шифрование везде становится наилучшей практикой.

Будет ли список установленных вами пакетов полезен для АНБ или преступников? АНБ уже нацелено на пользователей "tor" - вы действительно хотите, чтобы все ваши коммуникации отслеживались, потому что вы загрузили "tor" из репозитория? Или ФБР сломало вашу дверь, потому что вы загрузили "битторрент" из репо?

Answer 2

Многие дистрибутивы используют стороннюю зеркальную сеть с пакетами, размещенными на недоверенных серверах, управляемых различными организациями и частными лицами, что означает, что любой оператор зеркала может технически заменить любой файл, который он хочет. Транспортное шифрование (TLS) не может защитить от этого; делает только подпись пакета. Списки пакетов и отдельные пакеты обычно подписываются с использованием PGP.

Тем не менее, зеркала некоторых дистрибутивов медленно двигаются к HTTPS по разным причинам, в том числе (некоторая) защиты частной жизни. Например, в зеркальном списке Arch Linux 26 серверов HTTPS (что составляет 10% из 261), что уже превышает 0%, которые были в 2012 году.

Однако Debian, похоже, совсем не поддерживает HTTPS - что странно, поскольку AFAIK недавно переместился в централизованно управляемую структуру CDN и мог развернуть конфигурацию HTTPS везде одновременно. Вы можете использовать HTTPS для некоторых сторонних репозиториев, но сначала вам нужно будет установить apt-transport-https .