Nâng cấp meta-phát hành (do-phát hành-nâng cấp) có an toàn không?

Tôi đang cố gắng tìm hiểu do-release-upgradequy trình tức là cách Ubuntu nhắc tôi nâng cấp lên bản phát hành Ubuntu mùa xuân hoặc mùa thu tới.

Sau khi đọc các nguồn cho ubuntu-release-upgradertôi, tôi tìm thấy tệp / etc / update-manager / meta-release trên hệ thống của mình. Tệp này xuất hiện sử dụng URL HTTP để trỏ đến http://changelogs.ubfox.com/meta-release nơi các bản phát hành Ubuntu khác nhau từ Warty 04.10 đến Rared 13.04 được liệt kê. Tệp này liệt kê các bản phát hành, trạng thái hỗ trợ của chúng, ngày phát hành và có liên kết đến Releasetệp.

Bây giờ Releasetệp có chữ ký GPG tương ứng và sha1sum của Packagestệp, lần lượt, có sha1sum của các nhị phân DEB riêng lẻ được cài đặt. Các bản phát hành gần đây cũng có một kịch bản nâng cấp và chữ ký GPG tương ứng cho những bản này. Tất cả âm thanh tốt.

Câu hỏi của tôi là về các meta-releasetập tin chính nó. Nó không được phục vụ qua HTTPS và tôi không thể tìm thấy chữ ký GPG cho nó. Nếu ai đó thay thế tệp này, bằng cách nào đó họ có thể khiến máy của tôi nâng cấp ...

... đến một bản phát hành có chữ ký chưa trải qua thử nghiệm bảo mật?
... đến một bản phát hành cũ không được hỗ trợ và có các lỗ hổng bảo mật không được trộn lẫn?

security do-release-upgrade

— jwal
nguồn

Câu hỏi rất hay và được viết tốt. Nếu vấn đề bảo mật này có thể được xác nhận và các nhà phát triển được thông báo, tôi nghĩ rằng vấn đề này sẽ được (không được tiết lộ) cho đến khi được khắc phục. Suy nghĩ đầu tiên của tôi là điều này thực sự nghe có vẻ dễ bị tấn công giữa chừng. Một người dùng vẫn phải xác nhận nâng cấp, mặc dù.

— gertvdijk

Tôi đã thu thập thêm một số thông tin trong thời gian này và một khi tôi tìm thấy thời gian để hỗ trợ nó với các sự kiện / thí nghiệm tôi sẽ đăng nó dưới dạng câu trả lời. Xin lưu ý rằng UpgradeToolSignaturevẫn còn đó, vì vậy nó sẽ chỉ nâng cấp bằng cách sử dụng một công cụ có chữ ký của Canonical (nhưng vâng, điều đó không làm giảm bớt những lo ngại mà bạn có).

— gertvdijk

Tôi đã cố buộc hạ cấp xuống một phiên bản cũ nhưng tập lệnh nâng cấp cho biết họ không biết cách nâng cấp từ hiếm thành cứng. Apt không hạ cấp mà không ghi đè. Có vẻ như điều tồi tệ nhất bạn có thể làm là nhắc nạn nhân của bạn nâng cấp lên bản phát hành mới hơn họ muốn, ví dụ như phát triển hoặc không phải là lts.

— jwal

Tôi đã suy nghĩ về một cách tiếp cận khác. Gợi ý: không vệ sinh đầu vào. Có lẽ tôi sẽ tìm thấy một chút thời gian vào cuối tuần. :)

— gertvdijk

Tôi sẽ quan tâm nhiều hơn đến việc một trong số các repo của Ubuntu bị xâm phạm và các gói được thay thế bằng các gói trojan được ký với cùng một gói được xác định trong tệp meta.

— Justin Andrusk

Câu trả lời:

do-phát hành-nâng cấp yêu cầu quyền quản trị viên và nếu bạn đang phát hành LTS, sẽ tiếp tục và không tự động nâng cấp phiên bản cho bạn. Nếu bạn sử dụng các nguồn không chính thức, nó sẽ đưa ra một loạt các thông điệp cảnh báo.

Tuy nhiên, các biến thể GUI trên này, đối với người dùng cuối, không khác gì UAC trên Windows, nơi bất kỳ ai không đủ kỹ thuật sẽ chỉ cần nhấp vào nút hoặc nhập mật khẩu, bỏ qua các cảnh báo và tắt để pha một tách trà. Vì vậy, trong thực tế, nó không an toàn hơn hoặc kém hơn Windows Update.

Nói tóm lại - tôi sẽ không tin việc nâng cấp là an toàn. Trên thực tế, nếu bạn đang sử dụng LTS và sử dụng Ubuntu cho các nhiệm vụ quan trọng, tôi sẽ tránh nâng cấp phiên bản chính cho đến khi bản phát hành của bạn không còn được hỗ trợ - nâng cấp sẽ phá vỡ mọi thứ theo cách tinh tế cần có thời gian để bạn khắc phục.

— Ritchie333
nguồn

Câu hỏi của tôi thực sự là về một hacker trên mạng - như một người đàn ông ở giữa - chứ không phải trên máy cục bộ đang chạy nâng cấp. Tôi đã biết rằng bạn cần phải root để chạy nâng cấp trên máy cục bộ.

— jwal

Chỉ quản trị viên mới có thể gây ra thay đổi vĩnh viễn cho các tệp trong pc. Người dùng khách không thể thay đổi các tệp này (hoặc bất kỳ tệp nào khác). Không ai khác ngoài chính quản trị viên có thể khiến người quản lý cập nhật tìm kiếm một số liên kết có hại.
bây giờ, Quản trị viên sẽ không làm hỏng máy tính của chính mình (trừ khi anh ta mất trí). Và người ta không bao giờ nên để bất kỳ người thứ ba nào truy cập Quyền quản trị. Thực tế không có rủi ro.
Có thể các ứng dụng độc hại có thể, nhưng nếu bạn sử dụng các repos đáng tin cậy, rủi ro này sẽ không xảy ra.
Như @gertvdijk đã nói, người dùng vẫn phải xác nhận nâng cấp
Và cuối cùng bạn luôn có thể khôi phục liên kết ban đầu.

Vì vậy, trong ngắn hạn " ai đó " không thể thay đổi tệp này. Chỉ có Quản trị viên mới có thể thay đổi tệp.

quá trình này chắc chắn có thể an toàn hơn. Trình cập nhật phần mềm có thể mã hóa các tệp này và cũng sử dụng khóa gpg

Cuối cùng, bản tin hàng tuần của Ubuntu giúp bạn cập nhật các bản cập nhật / nâng cấp gần đây. Bạn có thể xác nhận từ đó để bạn có thể đảm bảo an ninh cho máy tính của mình tốt nhất.

— người dùng đã đăng ký
nguồn