Những kho lưu trữ gói của distro linux nào an toàn và không phải là gói nào?

Hầu hết các distro tôi biết đều có một số loại chức năng lưu trữ trong đó các gói mới có thể được tải xuống sau khi cài đặt. Những distro nào làm điều này một cách an toàn và những distro nào không làm điều này một cách an toàn.

Tôi đặc biệt suy nghĩ về các vectơ tấn công như người trung gian và các vấn đề như vi phạm bảo mật trên cả máy chủ meta của kho lưu trữ và các tệp của kho lưu trữ.

Tôi đã nghe nói rằng cả Slackware và Arch linux đều rất dễ bị tổn thương vì chúng thiếu ký gói. Điều này có đúng không? Có bất kỳ bản phân phối linux lớn nào khác dễ bị tấn công bởi các cuộc tấn công trung gian đơn giản không?

Đây không phải là câu trả lời trực tiếp cho câu hỏi của bạn, nhưng có một số điều bạn có thể làm để giảm thiểu rủi ro này. Cách đơn giản nhất là kiểm tra các gói đã tải xuống của bạn so với tổng kiểm tra từ một máy nhân bản khác với bạn đã tải xuống từ đó.

Khi trình quản lý gói của tôi ( poldek) tải xuống một gói, tôi đã đặt nó để giữ một bản sao của vòng / phút đã tải xuống trong một thư mục bộ đệm. Nó tự động kiểm tra tổng kiểm tra tải xuống đối với kho lưu trữ gói và cảnh báo / hủy bỏ trên một sự không phù hợp, nhưng nếu bạn lo lắng về việc tấn công trung gian vào kho lưu trữ phân phối của mình, bạn có thể dễ dàng viết một tập lệnh thứ cấp duyệt qua tất cả các gói đã tải xuống của bạn và xác minh chúng dựa trên tổng kiểm tra bạn tải xuống từ một máy nhân bản khác. Bạn thậm chí có thể chạy cài đặt đầu tiên của mình dưới dạng chạy khô để các gói được tải xuống nhưng không được cài đặt, sau đó chạy tập lệnh xác minh của bạn, sau đó thực hiện cài đặt thực tế.

Điều này không ngăn được gói bị xâm nhập vào kho lưu trữ của distro, nhưng hầu hết các distro đều có những cách khác để giảm thiểu điều đó, và thậm chí các gói đã ký sẽ không đảm bảo điều này không bao giờ là vấn đề. Những gì nó làm là bóp nghẹt vectơ tấn công trung gian mục tiêu. Bằng cách sử dụng một nguồn riêng biệt và tải xuống trên một kênh riêng biệt, bạn sẽ giết được sự dễ dàng mà gói bị xâm phạm có thể được thả vào một dòng khai thác.

Các gói Debian được kiểm tra và tổng kiểm tra được ký bởi một khóa trong khóa Debian. Trình aptquản lý gói đảm bảo rằng gói đã tải xuống có tổng kiểm tra chính xác và tệp tổng kiểm tra đã được ký chính xác.

Các gói Fedora được ký và kiểm tra lại. Ngay cả các kho lưu trữ của bên thứ 3 như rpmfusion cũng ký các gói của họ.

Yum (người quản lý gói) yêu cầu một cờ đặc biệt ( --nogpgcheck) để cài đặt các gói chưa được ký.

Tất cả các gói Arch Linux đều sử dụng tổng md5 hoặc sha1 để kiểm tra xem tất cả các bit có đúng không. Tùy thuộc vào người bảo trì gói để chọn thuật toán băm. Các gói được cài đặt từ AUR (thường chỉ là một tệp văn bản PKGBUILD nhỏ) được cho là phải được kiểm tra bởi installee trước khi được cài đặt. Các kho chứa các gói nhị phân chính thức được giám sát bởi người dùng đáng tin cậy (TUs).

Cập nhật : Arch hiện đã giới thiệu ký gói với pacman 4

Ai nói Slackware không có ký gói?

Các gói Slackware được ký với khóa công khai của Slackware. Vì vậy, mỗi gói có chữ ký của nó với phần mở rộng .asc. Không chỉ các gói mà các tập tin khác cũng được ký, như thế CHECKSUMS.MD5. Điều này chứa danh sách tổng kiểm tra của các gói.

Bản phân phối có một công cụ chính thức được gọi slackpkgđể tải xuống / cài đặt các gói từ máy nhân bản. Sau khi cập nhật cơ sở dữ liệu repo cục bộ với slackpkg updatecông cụ kiểm tra tính hợp lệ chữ ký của tệp MD5 mới và thay đổi, v.v ...

Sau khi tải xuống gói (nhưng trước khi cài đặt), chữ ký và MD5 của gói được kiểm tra.

Người ta có thể lấy khóa công khai bằng slackpkg update gpghoặc đơn giản là nhập nó từ đĩa CD cài đặt bằnggpg --import GPG-KEY

Có một công cụ không chính thức khác slapt-getcho Slackware. Nó cũng hỗ trợ kiểm tra GPG! Theo cách tương tự như slackpkg.

OpenBSD cho đến nay. Toàn bộ dự án được dành riêng cho bảo mật, nhóm thậm chí còn đưa ra một bản vá 5000+ cho apache ban đầu vì họ không cảm thấy nó đủ an toàn để sử dụng. Điều này là thông qua pkg_add nhưng tôi chưa bao giờ gặp vấn đề với nó.