Apakah daftar repositori aman? Apakah ada versi HTTPS?

Apakah pembaruan repositori aman?

Sebagai beruang kecil dari sisi pengembang, saya tidak bisa mengerti mengapa daftar repositori http://security.ubuntu.comdan situs http(tidak aman) lain yang terdaftar di /etc/apt/sources.list. Tanpa kecocokan rantai sertifikat, ini muncul sebagai "minta responden untuk daftar paket untuk memperbarui" daripada "meminta situs ubuntu.com ..."

Dapatkah jaringan mana pun memilih untuk memalsukan situs pembaruan, dan apakah ini praktik umum untuk menyediakan salinan yang di-cache dan diperiksa secara lokal?

Singkatnya, ya mereka aman, karena kriptografi kunci publik digunakan untuk menandatangani file.

Semua file yang diunduh oleh APT memiliki tanda tangan yang memungkinkan file yang diunduh diverifikasi terhadap kunci publik yang disimpan di komputer Anda sebagai ditandatangani oleh Ubuntu dan hanya Ubuntu. Ini memverifikasi bahwa file yang Anda terima diotorisasi oleh Ubuntu pada tahap tertentu dan belum dimodifikasi atau dirusak sejak saat itu.

Penjelasan teknis tentang cara kerjanya tersedia dari Ubuntu (dan dari Debian yang menggunakan sistem yang sama).

Karena penggunaan HTTP alih-alih HTTPS, ya eavesdropper dapat melihat file apa yang Anda unduh, tetapi privasi sepertinya tidak menjadi perhatian Anda dalam kasus ini. Upaya dari awal untuk memodifikasi paket untuk menyuntikkan kode berbahaya masih akan gagal karena akan merusak mekanisme penandatanganan.

Satu kemungkinan gotcha dalam mekanisme penandatanganan ini adalah tidak menjamin bahwa Anda mendapatkan versi terbaru dari paket (memang, kadang-kadang mirror lambat untuk diperbarui). Untuk membantu mengurangi masalah ini, file rilis yang ditandatangani menyertakan tanggal "Valid-Hingga" setelah semua file yang dirujuknya dianggap basi. Adalah masuk akal bagi seorang pria di tengah untuk mengganti arsip dengan versi arsip yang sebelumnya tidak dimodifikasi dalam tanggal Valid-Hingga ini dan membuat APT Anda yakin tidak ada pembaruan. Tetapi mereka tidak dapat melakukan modifikasi sewenang-wenang terhadap paket-paket juga tidak dapat kembali ke masa lalu melewati titik tertentu.

Mekanisme penandatanganan memberikan keamanan yang jauh lebih baik daripada HTTPS dalam lingkungan terdistribusi seperti ini di mana file-file tersebut dipantulkan ke banyak server yang tidak dikendalikan oleh Ubuntu. Intinya, Anda hanya perlu memercayai Ubuntu, bukan mirror, jadi Anda perlu membuktikan bahwa file-file tersebut aslinya berasal dari Ubuntu dan belum dimodifikasi sejak - tidak perlu memverifikasi identitas mirror.

Perhatikan bahwa ketika Anda menambahkan repositori tidak resmi ke daftar sumber Anda, seperti PPA, Anda akan menerima file yang tidak ditandatangani oleh Ubuntu. APT harus memperingatkan Anda tentang hal ini, karena belum ditandatangani oleh sertifikat yang cocok dengan kunci publik apa pun yang dipasang di komputer Anda sebagaimana diotorisasi oleh Ubuntu.

Jawaban teratas di sini jelas ketinggalan jaman. Sejak itu, telah ada 2 eksploitasi eksekusi kode jarak jauh yang serius ditemukan di apt karena verifikasi paket buggy. Buletin keamanan di sini dan di sini .

Ini jauh lebih buruk daripada kekhawatiran tentang privasi / kebocoran informasi dan versi paket basi; ini memungkinkan eksekusi kode arbitrer sebagai root, gagal total keamanan. Dan masalahnya adalah: Serangan-serangan ini akan dicegah jika https digunakan alih-alih http.

Ini membuktikan bahwa prinsip pertahanan mendalam berlaku di sini sama seperti di tempat lain. Banyak klaim yang beredar bahwa https tidak memberikan atau manfaat keamanan minimal dalam konteks apt benar-benar salah, seperti yang telah ditunjukkan oleh eksploit ini.

Pertanyaannya kemudian menjadi apakah manfaat keamanan dari https sepadan dengan biaya dalam hal caching, peningkatan overhead dll .

Suplemen penting ： pada kenyataannya, ketika pemutakhiran dan pengunduhan instalasi awal online, dibutuhkan banyak lalu lintas, dan sumber lalu lintas ini, yaitu, aliran kode biner dan teks, dapat diproduksi ulang. Jadi ada sejumlah besar gateway dan perangkat cache di Internet untuk itu. Sejumlah besar ISP telah mengatur cache berdasarkan protokol http untuk menghemat bandwidth ekspor, dan protokol https tidak dapat ada sebagai cache transparan.

Alasan lain adalah bahwa program mirroring berbasis http jauh lebih sederhana, tidak perlu memverifikasi sertifikat tls-ssl, dan tidak perlu khawatir tentang pembatalan sertifikat atau masalah konfigurasi server web juga.

Belum lama berselang, sekitar 20 tahun, di awal Internet, https dan lalu lintas Internet masih merupakan gameplays yang sangat mahal. Oleh karena itu, http juga menyertakan protokol ftp, yang hampir menjadi usang, sebagai cara utama pengiriman instalasi dan pembaruan untuk distribusi paket perangkat lunak secara online.

Demikian pula, Microsoft Windows dan Office juga ditingkatkan menggunakan http. Anda dapat mengamati bahwa itu biasanya bukan paket instalasi yang diunduh dari server Microsoft, tetapi server cache yang dibuat sendiri oleh ISP Anda.