Debian apt aracı için neden https transportu yok?

NSA'nın ifşaları ve her şeyiyle gelen tüm paranoya ile birlikte, debian paket kurulum mekanizmasının neden varsayılan olarak kullanmasa da, HTTPS'yi taşıması için desteklemediğini merak ediyorum.

Debian paketlerinin GPG kullanarak bir tür imza doğrulaması olduğunu biliyorum, ancak bunun HTTP açısından HTTPS aktarımını kullanmanın, bunun güvenlik açısından ne kadar önemli olduğunu düşünerek çok zor olacağını düşünmüyorum.

Düzenleme: Kendimi en çok Debian Mirror yöneticilerinden değil MitM saldırılarından (sadece trafik koklama dahil) korumak istiyorum. HTTP depoları, trafiğime merak uyandıran debian aynalarına giderse, tüm sistem kurulumunu masaya koyar.

Var. Paketi yüklemeniz gerekiyor apt-transport-https. Sonra gibi çizgiler kullanabilirsiniz

 deb https://some.server.com/debian stable main

sizin de sources.listdosyaya. Ancak, genellikle bu gerekli değildir, çünkü tüm içerik zaten herkese açıktır ve şifreleme yükünü ve gecikmesini de ekler. Bir saldırganın ortak anahtarına güvenmediğiniz için, http trafiği bile MitM saldırılarından güvenlidir. aptsizi uyarır ve bir saldırgan manipüle paketleri enjekte ettiğinde paketleri kurmaz.

EDIT: Yorumlarda belirtildiği gibi, TLS deposunu kullanmak gerçekten daha güvenli . Araştırmalar, şifrelenmemiş havuzlarda apt kullanımının gerçekten de, HTTP taşımacılığı tekrar saldırılara karşı savunmasız olduğu için güvenlik riski oluşturabileceğini gösteriyor.

Varsayımınız yanlış: HTTPS indirmelerini kullanabilirsiniz. Sadece onu destekleyen bir ayna bulmanız ve URL'sini kaynaklar listenize eklemeniz gerekir. apt-transport-httpsPaketi yüklemeniz gerekir .

Debian, HTTPS indirmelerini kolaylaştırmaz, çünkü çok az fayda vardır. Debian paket dağıtımı zaten paketleri doğrulamak için bir mekanizma içermektedir: tüm paketler Gpg ile imzalanmıştır . Etkin bir ortadaki adam trafiğinizi bozuk paketlere sahip bir sunucuya yönlendirirse, GPG imzaları geçerli olmayacağından yolsuzluk algılanır. HTTPS yerine GPG kullanmak, daha fazla tehdide karşı koruma avantajına sahiptir: yalnızca son kullanıcı bağlantısında ortadaki aktif adama karşı değil, aynı zamanda paket dağıtım zincirinin herhangi bir yerinde sahte veya virüslü bir aynaya veya diğer sorunlara karşı .

HTTPS, indirdiğiniz paketleri gizlemesinde hafif bir gizlilik avantajı sağlar. Ancak pasif bir gözlemci, bilgisayarınız ve bir paket sunucusu arasındaki trafiği hala algılayabilir, bu nedenle Debian paketlerini indirdiğinizi bilirler. Ayrıca, dosya boyutlarından hangi paketleri indirdiğinizi iyi bir şekilde öğrenebilirler.

HTTPS'nin yardım edeceği yerlerden biri, bilinen bir yükleme görüntüsünü elde etmek için güven önyüklemesidir. Debian bunu sağlamıyor gibi gözüküyor: kurulum medyasının toplamı var , ancak yalnızca HTTP üzerinden.

Kısa süre önce bu konuyu Şirketimin uygun deposuyla karşıladım. Sorun, eğer standart http transport kullanıyorsak, başkalarının kolayca paket alabilmesiydi. Şirket kendi tescilli yazılımını paketlerken ve onu herkesle paylaşmak istemediğinden, http transport bir problem haline geliyor. Bir trajedi değil, sorun. Pakete erişimin nasıl sınırlandırılacağının birkaç yolu vardır - güvenlik duvarı, web sunucusu düzeyinde erişimi kısıtlamak, ssh olarak kullanmak. Bu konuyla ilgili okuma yapmak oldukça kolay burada bulunabilir: Özel Debian Deponuza Erişiminizi Kısıtlayın

Bizim durumumuzda https transport + client sertifika kimlik doğrulaması kullanmaya karar verdik. Kısaca, tüm alır:

1. Kendinden imzalı sertifikaları, müşteriyi ve sunucuyu hazırlayın (easy-rsa kullanarak);

2. Yalnızca https kabul etmek için depo önündeki web sunucusunu yapılandırın; Nginx durumunda şöyle görünebilir:

   server {
   
     listen 443;
   
     root /path/to/public;
     server_name secure_repo;
   
     ssl on;
     ssl_certificate /etc/nginx/ssl/server.crt;
     ssl_certificate_key /etc/nginx/ssl/server.key;
   
     ssl_session_timeout 5m;
   
     ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2;
     ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv3:;
   
     ssl_prefer_server_ciphers on;
     ssl_client_certificate /etc/nginx/ssl/ca.crt;
     ssl_verify_client on;
   
     location / {
        autoindex on;
     }
   }
   

3. Müşteri sertifikası, müşteri anahtarı ve ca sertifikasını / etc / apt / ssl dizinine koyun ve Ubuntu durumunda, /etc/apt/apt.conf.d dizinine 00https dosya ekleyin:

   Debug::Acquire::https "true"; Acquire::https::example.com { Verify-Peer "true"; Verify-Host "false"; CaInfo "/etc/apt/ssl/ca.crt"; SslCert "/etc/apt/ssl/client.crt"; SslKey "/etc/apt/ssl/client.key"; };

Kendinden imzalı bir sertifika kullanıyorsanız, ana bilgisayar doğrulamasının kapatılmasının önemli olduğunu unutmayın: Verify-Host "false";Bunu yapmazsanız bir hatayla karşılaşırsınız: SSL: certificate subject name (blah-blah-blah) does not match target host name 'example.com'

Ve işte başlıyoruz, depoya yetkisiz erişim yok. Yani bu oldukça kullanışlı ve güçlü bir şey.

Bu gibi güvenlik açıkları nedeniyle

https://bugs.launchpad.net/ubuntu/+source/apt/+bug/1647467

... InRelease imzasını ortadan kaldıran, HTTPS'yi yapılandırmak iyi bir fikir olabilir.

"Anonimlik" kullanım durumu için, apt-transport-tordaha sonra URI'leri tor+http://sources.list dosyalarında olduğu gibi koymanıza izin veren de vardır . Bu, aynanızla olan bağlantıyı şifrelemekten çok daha iyi bir anonimlik korumasıdır.

Örneğin, yerel bir gözlemci HTTPS ile bile yazılımı güncellediğinizi veya kurduğunuzu hala bilecektir ve muhtemelen hangisinin ne yaptığına (ve muhtemelen hangi paketlerin boyutuna göre) olduğuna dair iyi tahminler yapabilir.

Debian, Tor "Soğan hizmetleri" üzerinden APT depoları sağlar, böylece alan adı sistemine güvenmek zorunda kalmadan uçtan uca şifreleme (TLS'ye benzer) elde edebilirsiniz. Bkz onion.debian.org kullanılabilir tüm Debian hizmetler bu şekilde için. Ana Debian FTP deposuvwakviie2ienjx6t.onion