संक्षेप में, हां वे सुरक्षित हैं, क्योंकि फाइलों को साइन करने के लिए उपयोग की जाने वाली सार्वजनिक कुंजी क्रिप्टोग्राफी है।
APT द्वारा डाउनलोड की गई सभी फाइलों में एक हस्ताक्षर है जो डाउनलोड की गई फ़ाइल को आपके कंप्यूटर पर संग्रहीत सार्वजनिक कुंजी के खिलाफ सत्यापित किया जा सकता है, जो कि केवल Ubuntu और केवल Ubuntu द्वारा हस्ताक्षरित है। यह पुष्टि करता है कि आपके द्वारा प्राप्त की गई फ़ाइल उबंटू द्वारा किसी चरण में अधिकृत की गई थी और तब से संशोधित या छेड़छाड़ नहीं की गई है।
यह कैसे काम करता है इसकी एक तकनीकी व्याख्या उबंटू से उपलब्ध है (और डेबियन से जो उसी प्रणाली का उपयोग करता है)।
एचटीटीपीएस के बजाय HTTP के उपयोग के कारण, हाँ ईवेस्ड्रॉपर यह देख सकता है कि आप कौन सी फ़ाइलें डाउनलोड कर रहे हैं, लेकिन गोपनीयता इस मामले में आपकी चिंता की संभावना नहीं है। हानिकारक कोड को इंजेक्ट करने के लिए संकुल को संशोधित करने का एक आदमकद प्रयास अभी भी विफल होगा क्योंकि यह हस्ताक्षर करने वाले तंत्र को तोड़ देगा।
इस हस्ताक्षर करने वाले तंत्र में एक संभावित गोचा यह है कि यह गारंटी नहीं देता है कि आपको पैकेज का सबसे अद्यतित संस्करण मिल रहा है (वास्तव में, कभी-कभी दर्पण अपडेट करने में धीमा होते हैं)। इस समस्या को कम करने में मदद करने के लिए, हस्ताक्षरित रिलीज़ फ़ाइल में "Valid-Till" तारीख शामिल है, जिसके बाद इसे संदर्भित सभी फ़ाइलों को बासी माना जाना चाहिए। यह मान्य है कि इस वैलिड-टिल के भीतर संग्रह के एक अनमॉडिफाइड पुराने संस्करण के साथ एक संग्रह को बदलने के लिए एक आदमी के बीच में प्रशंसनीय होगा और आपके एपीटी को यह विश्वास दिलाता है कि अपडेट नहीं हैं। लेकिन वे पैकेजों में कोई मनमाना संशोधन नहीं कर सकते हैं और न ही वे किसी निश्चित बिंदु से पीछे जा सकते हैं।
हस्ताक्षरित तंत्र इस तरह के वितरित वातावरण में HTTPS की तुलना में बहुत बेहतर सुरक्षा प्रदान करते हैं, जहां फाइलें उबंटू द्वारा नियंत्रित नहीं किए जाने वाले कई सर्वरों पर दिखाई देती हैं। संक्षेप में, आपको केवल उबंटू पर भरोसा करने की आवश्यकता है, दर्पण पर नहीं, इसलिए आपको यह साबित करने की आवश्यकता है कि मूल रूप से उबंटू से आई फाइलें और तब से संशोधित नहीं हुई हैं - दर्पण की पहचान को सत्यापित करने की कोई आवश्यकता नहीं है।
ध्यान दें कि जब आप अपने स्रोतों की सूची में एक गैर-आधिकारिक भंडार जोड़ते हैं, जैसे कि पीपीए, तो आपको ऐसी फाइलें प्राप्त होंगी जो उबंटू द्वारा हस्ताक्षरित नहीं हैं। APT को आपको इस बारे में चेतावनी देनी चाहिए, क्योंकि उबंटू द्वारा अधिकृत के रूप में आपके कंप्यूटर पर स्थापित किसी भी सार्वजनिक कुंजी से मेल खाते हुए प्रमाण पत्र पर उनके द्वारा हस्ताक्षर नहीं किए गए हैं।