Tại sao không có vận chuyển https cho công cụ apt debian?

Với tất cả sự hoang tưởng đi kèm với những tiết lộ của NSA và mọi thứ, tôi tự hỏi tại sao cơ chế cài đặt gói debian không hỗ trợ HTTPS cho việc vận chuyển của nó, mặc định sử dụng nó theo mặc định.

Tôi biết các gói debian có một số loại xác nhận chữ ký bằng GPG, nhưng tôi vẫn không nghĩ sử dụng truyền tải HTTPS thay vì HTTP sẽ quá khó, xem xét điều này quan trọng như thế nào về bảo mật.

Chỉnh sửa: Tôi chủ yếu muốn bảo vệ bản thân khỏi các cuộc tấn công MitM (bao gồm cả việc đánh hơi giao thông), chứ không phải các quản trị viên nhân bản. Các kho lưu trữ HTTP đặt toàn bộ thiết lập hệ thống trên bàn, nếu có ai rình mò lưu lượng truy cập của tôi sẽ đến các máy nhân bản.

Có. Bạn cần cài đặt gói apt-transport-https. Sau đó, bạn có thể sử dụng các dòng như

 deb https://some.server.com/debian stable main

trong sources.listtập tin của bạn Nhưng thường thì điều đó là không cần thiết, vì dù sao toàn bộ nội dung là công khai và nó bổ sung thêm chi phí mã hóa và độ trễ. Vì bạn không tin tưởng khóa công khai của kẻ tấn công, ngay cả lưu lượng truy cập http cũng an toàn trước các cuộc tấn công của MitM. aptsẽ cảnh báo bạn và không cài đặt các gói khi kẻ tấn công tiêm các gói bị thao túng.

EDIT: Như đã đề cập trong các bình luận, thực sự an toàn hơn khi sử dụng kho TLS . Nghiên cứu cho thấy rằng việc sử dụng apt trên các kho lưu trữ không được mã hóa thực sự có thể gây ra rủi ro bảo mật vì việc vận chuyển HTTP dễ bị tấn công lại.

Giả định của bạn là sai: bạn có thể sử dụng tải xuống HTTPS. Bạn chỉ cần tìm một tấm gương hỗ trợ nó và đặt URL của nó vào danh sách các nguồn của bạn. Bạn sẽ cần phải cài đặt apt-transport-httpsgói.

Debian không giúp tải xuống HTTPS dễ dàng vì có rất ít lợi ích. Phân phối gói Debian đã bao gồm một cơ chế để xác minh các gói: tất cả các gói được ký với Gpg . Nếu một người trung gian tích cực chuyển hướng lưu lượng truy cập của bạn đến một máy chủ có các gói bị hỏng, tham nhũng sẽ được phát hiện vì chữ ký GPG sẽ không hợp lệ. Sử dụng GPG chứ không phải HTTPS có lợi thế là nó bảo vệ chống lại nhiều mối đe dọa hơn: không chỉ chống lại người trung gian tích cực trên kết nối người dùng cuối, mà còn chống lại một kẻ lừa đảo hoặc gương bị nhiễm bệnh hoặc các vấn đề khác ở bất kỳ đâu trong chuỗi phân phối gói .

HTTPS cung cấp một lợi thế riêng tư nhỏ ở chỗ nó che khuất các gói bạn tải xuống. Tuy nhiên, người quan sát thụ động vẫn có thể phát hiện lưu lượng giữa máy tính của bạn và máy chủ gói, vì vậy họ sẽ biết rằng bạn đang tải xuống các gói Debian. Họ cũng có thể biết được gói nào bạn đang tải xuống từ kích thước tệp.

Một nơi mà HTTPS sẽ trợ giúp là để tin tưởng bootstrapping, để có được hình ảnh cài đặt hợp lệ. Debian dường như không cung cấp rằng: có tổng kiểm tra phương tiện cài đặt , nhưng chỉ qua HTTP.

Gần đây tôi đã gặp vấn đề với kho apt của công ty tôi. Vấn đề là nếu chúng ta sử dụng vận chuyển http tiêu chuẩn thì bất kỳ ai khác cũng có thể nhận được gói dễ dàng. Vì Công ty đang đóng gói phần mềm độc quyền của riêng mình và không muốn chia sẻ nó với mọi người, nên việc vận chuyển http trở thành một vấn đề. Không phải là một bi kịch mà là một vấn đề. Có một số cách để giới hạn quyền truy cập vào gói - tường lửa, hạn chế quyền truy cập ở cấp máy chủ web, sử dụng ssh làm phương tiện vận chuyển. Khá dễ dàng để đọc về chủ đề này có thể được tìm thấy ở đây: Hạn chế quyền truy cập vào Kho lưu trữ Debian riêng của bạn

Trong trường hợp của chúng tôi, chúng tôi đã quyết định sử dụng https xác thực + xác thực chứng chỉ ứng dụng khách. Tóm lại, tất cả những gì nó cần là:

1. Chuẩn bị chứng chỉ tự ký, máy khách và máy chủ (sử dụng easy-rsa);

2. Định cấu hình máy chủ web phía trước kho lưu trữ chỉ chấp nhận https; Trong trường hợp nginx, nó có thể trông giống như:

   server {
   
     listen 443;
   
     root /path/to/public;
     server_name secure_repo;
   
     ssl on;
     ssl_certificate /etc/nginx/ssl/server.crt;
     ssl_certificate_key /etc/nginx/ssl/server.key;
   
     ssl_session_timeout 5m;
   
     ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2;
     ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv3:;
   
     ssl_prefer_server_ciphers on;
     ssl_client_certificate /etc/nginx/ssl/ca.crt;
     ssl_verify_client on;
   
     location / {
        autoindex on;
     }
   }
   

3. Đặt chứng chỉ ứng dụng khách, khóa máy khách và chứng chỉ ca vào / etc / apt / ssl và, trong trường hợp với Ubuntu, hãy thêm tệp 00https vào /etc/apt/apt.conf.d:

   Debug::Acquire::https "true"; Acquire::https::example.com { Verify-Peer "true"; Verify-Host "false"; CaInfo "/etc/apt/ssl/ca.crt"; SslCert "/etc/apt/ssl/client.crt"; SslKey "/etc/apt/ssl/client.key"; };

Hãy nhớ rằng, nếu bạn đang sử dụng chứng chỉ tự ký, điều quan trọng là tắt xác minh máy chủ: Verify-Host "false";Nếu bạn không làm điều này, bạn sẽ gặp lỗi: SSL: certificate subject name (blah-blah-blah) does not match target host name 'example.com'

Và ở đây chúng tôi đi, không có quyền truy cập trái phép vào kho lưu trữ. Vì vậy, đây là điều khá hữu ích và mạnh mẽ.

Lưu ý rằng vì các lỗ hổng như

https://bugs.launchpad.net/ubfox/+source/apt/+orms/1647467

... Việc cắt ngang ký hiệu InRelease, có lẽ nên cấu hình HTTPS bằng mọi cách.

Đối với trường hợp sử dụng "ẩn danh", cũng có trường hợp này apt-transport-torcho phép bạn đặt các URI như tor+http://trong các tệp nguồn.list. Điều này bảo vệ ẩn danh tốt hơn nhiều so với việc mã hóa kết nối đến máy nhân bản của bạn.

Ví dụ, một người quan sát cục bộ vẫn biết rằng bạn đang cập nhật hoặc cài đặt phần mềm ngay cả với HTTPS và có thể đưa ra một số dự đoán chính xác về những gì bạn đang làm (và thậm chí cả gói nào, dựa trên kích thước).

Debian cung cấp kho lưu trữ APT thông qua Tor "Dịch vụ hành tây" để bạn có thể nhận được mã hóa đầu cuối (tương tự TLS) mà không cần phải tin vào hệ thống tên miền. Xem hành tây.debian.org cho tất cả các dịch vụ Debian có sẵn theo cách này. Kho lưu trữ FTP Debian chính là tạivwakviie2ienjx6t.onion