Как проверяется подлинность обновлений Ubuntu?
Я не мог найти много информации о безопасности Ubuntu (и Linux в целом) проверки / безопасности обновления.
Соединение кажется простым ftp. но пакеты подписываются с использованием закрытого ключа, и соответствующий открытый ключ сохраняется в системе как доверенный ключ.
Так каковы детали? Сам пакет подписан или просто хеш? Это бит RSA 4096? Каковы шансы того, что злоумышленник сможет связываться с обновлениями и кто владеет закрытым ключом?
1 ответ
Концепция под названием Secure Apt используется для проверки целостности пакетов из репозиториев пакетов Apt. Ключевые методы:
Сопровождающие пакетов генерируют и публикуют список контрольных сумм, рассчитанных с помощью безопасных хеш-функций из своих пакетов (двоичных и исходных).
Они подписывают этот список своим личным ключом GPG.
Apt поддерживает связку ключей с открытыми ключами GPG проверенных авторов пакетов и сопровождающих.
После загрузки и установки пакета Apt проверяет
- целостность списка контрольных сумм относительно кольца ключей и
- целостность программного пакета на основе этих проверенных контрольных сумм.
Для получения дополнительной информации посетите Debian Wiki на Secure Apt.