क्या भंडार सूची सुरक्षित हैं? वहाँ एक HTTPS संस्करण है?


24

क्या रिपॉजिटरी अपडेट सुरक्षित हैं?

डेवलपर की ओर से छोटे मस्तिष्क के एक भालू के रूप में, मैं यह नहीं समझ सकता कि रिपॉजिटरी सूची क्यों है http://security.ubuntu.comऔर अन्य http(असुरक्षित) साइटों को सूचीबद्ध किया गया है /etc/apt/sources.list। बिना किसी सर्टिफिकेट चेन मैच के यह दिखाई देता है कि "अपडेट करने के लिए पैकेजों की सूची के लिए किसी भी उत्तरदाता से पूछें" के बजाय "उबंटू साइट पूछें ..."

क्या कोई भी नेटवर्क अपडेट साइटों को खराब करने के लिए चुन सकता है, और क्या यह स्थानीय रूप से कैश्ड और वीटेड कॉपी प्रदान करने के लिए एक सामान्य अभ्यास है?

जवाबों:


30

संक्षेप में, हां वे सुरक्षित हैं, क्योंकि फाइलों को साइन करने के लिए उपयोग की जाने वाली सार्वजनिक कुंजी क्रिप्टोग्राफी है।

APT द्वारा डाउनलोड की गई सभी फाइलों में एक हस्ताक्षर है जो डाउनलोड की गई फ़ाइल को आपके कंप्यूटर पर संग्रहीत सार्वजनिक कुंजी के खिलाफ सत्यापित किया जा सकता है, जो कि केवल Ubuntu और केवल Ubuntu द्वारा हस्ताक्षरित है। यह पुष्टि करता है कि आपके द्वारा प्राप्त की गई फ़ाइल उबंटू द्वारा किसी चरण में अधिकृत की गई थी और तब से संशोधित या छेड़छाड़ नहीं की गई है।

यह कैसे काम करता है इसकी एक तकनीकी व्याख्या उबंटू से उपलब्ध है (और डेबियन से जो उसी प्रणाली का उपयोग करता है)।

एचटीटीपीएस के बजाय HTTP के उपयोग के कारण, हाँ ईवेस्‍ड्रॉपर यह देख सकता है कि आप कौन सी फ़ाइलें डाउनलोड कर रहे हैं, लेकिन गोपनीयता इस मामले में आपकी चिंता की संभावना नहीं है। हानिकारक कोड को इंजेक्ट करने के लिए संकुल को संशोधित करने का एक आदमकद प्रयास अभी भी विफल होगा क्योंकि यह हस्ताक्षर करने वाले तंत्र को तोड़ देगा।

इस हस्ताक्षर करने वाले तंत्र में एक संभावित गोचा यह है कि यह गारंटी नहीं देता है कि आपको पैकेज का सबसे अद्यतित संस्करण मिल रहा है (वास्तव में, कभी-कभी दर्पण अपडेट करने में धीमा होते हैं)। इस समस्या को कम करने में मदद करने के लिए, हस्ताक्षरित रिलीज़ फ़ाइल में "Valid-Till" तारीख शामिल है, जिसके बाद इसे संदर्भित सभी फ़ाइलों को बासी माना जाना चाहिए। यह मान्य है कि इस वैलिड-टिल के भीतर संग्रह के एक अनमॉडिफाइड पुराने संस्करण के साथ एक संग्रह को बदलने के लिए एक आदमी के बीच में प्रशंसनीय होगा और आपके एपीटी को यह विश्वास दिलाता है कि अपडेट नहीं हैं। लेकिन वे पैकेजों में कोई मनमाना संशोधन नहीं कर सकते हैं और न ही वे किसी निश्चित बिंदु से पीछे जा सकते हैं।

हस्ताक्षरित तंत्र इस तरह के वितरित वातावरण में HTTPS की तुलना में बहुत बेहतर सुरक्षा प्रदान करते हैं, जहां फाइलें उबंटू द्वारा नियंत्रित नहीं किए जाने वाले कई सर्वरों पर दिखाई देती हैं। संक्षेप में, आपको केवल उबंटू पर भरोसा करने की आवश्यकता है, दर्पण पर नहीं, इसलिए आपको यह साबित करने की आवश्यकता है कि मूल रूप से उबंटू से आई फाइलें और तब से संशोधित नहीं हुई हैं - दर्पण की पहचान को सत्यापित करने की कोई आवश्यकता नहीं है।

ध्यान दें कि जब आप अपने स्रोतों की सूची में एक गैर-आधिकारिक भंडार जोड़ते हैं, जैसे कि पीपीए, तो आपको ऐसी फाइलें प्राप्त होंगी जो उबंटू द्वारा हस्ताक्षरित नहीं हैं। APT को आपको इस बारे में चेतावनी देनी चाहिए, क्योंकि उबंटू द्वारा अधिकृत के रूप में आपके कंप्यूटर पर स्थापित किसी भी सार्वजनिक कुंजी से मेल खाते हुए प्रमाण पत्र पर उनके द्वारा हस्ताक्षर नहीं किए गए हैं।


1
महान! इसलिए छोटा संस्करण "परिवहन परत सुरक्षित नहीं है, लेकिन प्रत्येक पैकेज पर हस्ताक्षर किए गए हैं। मौजूदा सुरक्षा मुद्दों के लिए उपलब्ध अपडेट और पैच की कोई सुरक्षित सूची नहीं है।
चार्ल्स मरियम

2
सुनिश्चित नहीं है कि आपके द्वारा "उपलब्ध अपडेट की कोई सुरक्षित सूची नहीं है", लेकिन रिलीज़ फ़ाइल और पैकेज सूची पर हस्ताक्षर किए गए हैं। यह सिर्फ इतना है कि यह सत्यापित नहीं करता है कि आपका दर्पण अप टू डेट है।
थोमसट्रेटर

3
ईआर, अगर यह सत्यापित करने का कोई तरीका नहीं है कि एक दर्पण, या मुख्य साइट, अद्यतित है, तो यह जानने का कोई तरीका नहीं है कि क्या उपलब्ध अपडेट, सुरक्षा अपडेट या अन्यथा हैं। यानी, उपलब्ध अपडेट की कोई सुरक्षित सूची नहीं है।
चार्ल्स मेरियम

4
ऐलिस उबंटू चलाता है। बॉब ऐलिस के इंटरनेट कनेक्शन को नियंत्रित करता है। ऐलिस की स्थापना में बॉब एक ​​बुरा पैकेज नहीं डाल सकता है क्योंकि प्रत्येक पैकेज पर हस्ताक्षर किए गए हैं। उबंटू में कुछ विशाल सुरक्षा दोष पाए जाते हैं। ऐलिस अपडेटेड पैकेज को खोजने की कोशिश करता है, लेकिन बॉब एलिस के अपडेट चेक से पैकेज के सभी उल्लेख को हटा देता है। ऐलिस एक sysadmin whacks और फिर ubuntu.com से HTTPS के माध्यम से अद्यतन की जाँच खींचती है यह सत्यापित करते हुए कि वह एक सुरक्षित लिंक के साथ वास्तविक वेबसाइट से जुड़ा है। अब ऐलिस सुरक्षा अद्यतन देखता है और बॉब इसे छिपा नहीं सकता है।
चार्ल्स मरियम

3
यह निश्चित रूप से सही उत्तर है। लेकिन मुझे जो अजीब लगता है, वह यह है कि कोई भी आपके द्वारा स्थापित किए गए सभी पैकेजों की एक सूची को संकलित करने वाले एक ईवेस्ट्रोपर के बारे में चिंतित नहीं दिखता है, जिसमें आपके द्वारा अपडेट किए गए और कौन से आप नहीं हैं, ज्ञात पर उनके हमले को लक्षित करने के लिए। उन पैकेजों में सुरक्षा कमजोरियां।
टेकेन

8

यहां शीर्ष रेटेड उत्तर स्पष्ट रूप से पुराना है। तब से, 2 छोटे दूरस्थ कोड निष्पादन कारनामे हुए हैं, जो बुग्याली पैकेज सत्यापन के कारण उपयुक्त पाए गए। सुरक्षा बुलेटिन यहाँ और यहाँ

यह गोपनीयता / सूचना रिसाव और बासी पैकेज संस्करण के बारे में चिंताओं से बहुत बदतर है; यह रूट के रूप में मनमाने कोड निष्पादन को सक्षम करता है, पूर्ण सुरक्षा विफलता। और बात यह है कि अगर http के बजाय https का उपयोग किया जाता तो इन हमलों को रोका जाता।

यह साबित करता है कि गहराई सिद्धांत में रक्षा यहाँ कहीं और के रूप में लागू होती है। उस दावे के इर्द-गिर्द तैरने वाले कई दावे, जो उपयुक्त के संदर्भ में कोई या न्यूनतम सुरक्षा लाभ प्रदान नहीं करते, बस गलत है, जैसा कि इन कारनामों द्वारा दिखाया गया है।

तब सवाल यह हो जाता है कि अगर https का सिक्योरिटी बेनिफिट कैशिंग, बढ़े हुए ओवरहेड आदि के संदर्भ में लागत के बराबर है, तो मैं इसका जवाब नहीं दे सकता, लेकिन मुझे लगता है कि Ubuntu / Canonical / Launchpad को अपनी रिपॉजिटरी के लिए वैकल्पिक https एंडपॉइंट प्रदान करना चाहिए। ।


1
सुरक्षा गोपनीयता के बारे में भी है, और HTTPS का मतलब बहुत कम से कम एक कठिन समय है जो यह पता लगाता है कि आप कौन से पैकेज और संस्करण चला रहे हैं।
l0b0

हालांकि मैं कहूंगा कि जब तक उपयुक्त खुद को इस के साथ समस्या नहीं है, http ठीक है। हालाँकि, gpg सुरक्षा के मामले में https एक बैकअप देता है (या इसे कैसे अधिक सटीक रूप से उपयोग करता है) गड़बड़ करता है।
राउंडडैकमैन

2

महत्वपूर्ण पूरक supplement वास्तव में, जैसा कि उन्नयन और प्रारंभिक स्थापना ऑनलाइन डाउनलोड करता है, इसमें बहुत अधिक ट्रैफ़िक लगता है, और इन ट्रैफ़िक का स्रोत, जो कि बाइनरी और टेक्स्ट कोड स्ट्रीम है, प्रतिलिपि प्रस्तुत करने योग्य है। इसलिए इसके लिए इंटरनेट पर बड़ी संख्या में गेटवे और कैश डिवाइस हैं। निर्यात बैंडविड्थ को बचाने के लिए आईएसपी प्रोटोकॉल के आधार पर काफी संख्या में आईएसपी ने कैश स्थापित किया था, और पारदर्शी प्रोटोकॉल के रूप में https प्रोटोकॉल मौजूद नहीं हो सकता है।

एक और कारण यह है कि http- आधारित मिररिंग प्रोग्राम बहुत सरल है, tls-ssl प्रमाणपत्र को सत्यापित करने की आवश्यकता नहीं है, और प्रमाणपत्र अमान्य या वेब सर्वर कॉन्फ़िगरेशन समस्याओं के बारे में भी चिंता करने की कोई आवश्यकता नहीं है।

बहुत पहले नहीं, लगभग 20 साल, इंटरनेट की शुरुआत में, https और इंटरनेट ट्रैफ़िक अभी भी बहुत महंगे गेमप्ले थे। इसलिए, http ने ftp प्रोटोकॉल को भी शामिल किया, जो अप्रचलित होने के करीब है, सॉफ्टवेयर पैकेज वितरण ऑनलाइन के लिए स्थापना और अपडेट देने का मुख्य तरीका है।

इसी तरह, माइक्रोसॉफ्ट विंडोज और ऑफिस को भी http का उपयोग करके अपग्रेड किया जाता है। आप देख सकते हैं कि यह आमतौर पर Microsoft के सर्वर से डाउनलोड किया गया इंस्टॉलेशन पैकेज नहीं है, बल्कि आपके ISP का सेल्फ-बिल्ट कैश सर्वर है।

हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.