Tại sao có một kho lưu trữ gói riêng cho các bản cập nhật bảo mật Debian?

Tại sao họ không tải các gói lên kho lưu trữ gói bình thường? Đây có phải là một quy ước chung (IE, các phân phối khác cũng phân tách các kho lưu trữ không)?

Debian có một kênh phân phối chỉ cung cấp các cập nhật bảo mật để quản trị viên có thể chọn chạy hệ thống ổn định chỉ với các thay đổi tối thiểu tuyệt đối. Ngoài ra, kênh phân phối này được giữ tách biệt với kênh thông thường: tất cả các cập nhật bảo mật được cung cấp trực tiếp từ security.debian.orgđó, trong khi đó nên sử dụng gương cho mọi thứ khác. Điều này có một số lợi thế. (Tôi không nhớ đó là những động lực chính thức nào tôi đọc được trong danh sách gửi thư của Debian và đó là phân tích nhỏ của riêng tôi. Một số trong số này được đề cập trong Câu hỏi thường gặp về bảo mật Debian .)

• Cập nhật bảo mật được lan truyền ngay lập tức, không có sự chậm trễ phát sinh bởi các cập nhật nhân bản (có thể thêm khoảng 1 ngày thời gian lan truyền).
• Gương có thể bị cũ. Phân phối trực tiếp tránh vấn đề đó.
• Có ít cơ sở hạ tầng để duy trì như một dịch vụ quan trọng. Ngay cả khi hầu hết các máy chủ của Debian không có sẵn và mọi người không thể cài đặt các gói mới, miễn làsecurity.debian.org các điểm đến máy chủ hoạt động, các bản cập nhật bảo mật có thể được phân phối.
• Gương có thể bị xâm phạm (điều này đã xảy ra trong quá khứ). Dễ dàng hơn để xem một điểm phân phối duy nhất. Nếu kẻ tấn công quản lý để tải lên một gói độc hại ở đâu đó,security.debian.org có thể đẩy gói có số phiên bản mới hơn. Tùy thuộc vào bản chất của việc khai thác và tính kịp thời của phản hồi, điều này có thể đủ để giữ cho một số máy không bị nhiễm hoặc ít nhất là cảnh báo cho các quản trị viên.
• Ít người có quyền tải lên trên security.debian.org . Điều này giới hạn khả năng kẻ tấn công cố gắng lật đổ tài khoản hoặc máy để tiêm gói độc hại.
• Máy chủ không cần truy cập web thông thường có thể được giữ đằng sau tường lửa chỉ cho phép security.debian.orgthông qua.

Tôi khá chắc chắn rằng Debian cũng cập nhật bảo mật trong repo thông thường.

Lý do để có một repo riêng chỉ chứa các bản cập nhật bảo mật là để bạn có thể thiết lập một máy chủ, chỉ trỏ nó vào repo bảo mật và tự động cập nhật. Bây giờ bạn đã có một máy chủ được đảm bảo có các bản vá bảo mật mới nhất mà không vô tình đưa ra các lỗi gây ra bởi các phiên bản không tương thích, v.v.

Tôi không chắc chắn nếu cơ chế chính xác này được sử dụng bởi các distro khác. Có một yumplugin để xử lý loại điều này cho CentOS và Gentoo hiện có một danh sách gửi thư bảo mật ( portagehiện đang được sửa đổi để hỗ trợ các bản cập nhật chỉ bảo mật). FreeBSD và NetBSD đều cung cấp các cách để kiểm tra bảo mật các cổng / gói đã cài đặt, tích hợp tốt với các cơ chế cập nhật tích hợp. Tất cả đã nói, cách tiếp cận của Debian (và có lẽ là của Ubuntu, vì chúng có liên quan mật thiết với nhau) là một trong những giải pháp hấp dẫn cho vấn đề này.

Nó giúp với hai điều:

1. an toàn - trước tiên hãy sửa lỗi bảo mật của bạn, sau đó bạn có nguy cơ thấp hơn trong khi cập nhật phần còn lại
2. cập nhật bảo mật nên được lưu trữ ở mức bảo mật cao, vì bạn có xu hướng dựa vào chúng để bảo vệ phần còn lại của hệ thống của bạn, vì vậy có thể là repo này có các kiểm soát bảo mật mạnh hơn để ngăn chặn sự thỏa hiệp

cũng có thể có những lý do khác, nhưng đó là hai lý do tôi thấy hữu ích