Krótko mówiąc, tak, są bezpieczne, ponieważ kryptografia klucza publicznego służy do podpisywania plików.
Wszystkie pliki pobrane przez APT mają podpis, który pozwala zweryfikować pobrany plik na podstawie kluczy publicznych przechowywanych na twoim komputerze jako podpisanych przez Ubuntu i tylko Ubuntu. To potwierdza, że otrzymany plik został autoryzowany przez Ubuntu na pewnym etapie i od tego czasu nie został zmodyfikowany ani zmodyfikowany.
Techniczne wyjaśnienie tego, jak to działa, jest dostępne w Ubuntu (oraz w Debianie, który używa tego samego systemu).
Ze względu na użycie HTTP zamiast HTTPS, tak, osoby podsłuchujące mogą zobaczyć, które pliki pobierasz, ale w tym przypadku prywatność prawdopodobnie nie będzie Twoim problemem. Próba zmodyfikowania pakietów przez człowieka w środku w celu wstrzyknięcia szkodliwego kodu nadal nie powiodła się, ponieważ spowodowałaby uszkodzenie mechanizmu podpisywania.
Jednym z możliwych problemów w tym mechanizmie podpisywania jest to, że nie gwarantuje to, że otrzymujesz najbardziej aktualną wersję pakietu (w rzeczywistości czasami mirrory są powolne w aktualizacji). Aby złagodzić ten problem, podpisany plik wydania zawiera datę „Ważna do”, po której wszystkie pliki, do których się odwołuje, należy uznać za nieaktualne. Byłoby prawdopodobne, aby człowiek w środku zastąpił archiwum niezmodyfikowaną wcześniejszą wersją archiwum w tej ważnej dacie i sprawił, że APT uznał, że nie ma żadnych aktualizacji. Ale nie mogą dokonywać dowolnych modyfikacji pakietów ani cofać się w przeszłość o pewien punkt.
Mechanizmy podpisywania zapewniają znacznie lepsze bezpieczeństwo niż HTTPS w tego rodzaju rozproszonym środowisku, w którym pliki są dublowane na wielu serwerach nie kontrolowanych przez Ubuntu. Zasadniczo musisz zaufać Ubuntu, a nie kopii lustrzanej, więc musisz udowodnić, że pliki pierwotnie pochodziły z Ubuntu i nie zostały zmodyfikowane od tego czasu - nie trzeba weryfikować tożsamości kopii lustrzanej.
Pamiętaj, że po dodaniu nieoficjalnego repozytorium do listy źródeł, takiego jak PPA, będziesz otrzymywać pliki, które nie są podpisane przez Ubuntu. APT powinien cię o tym ostrzec, ponieważ nie zostały podpisane certyfikatem pasującym do dowolnego klucza publicznego zainstalowanego na twoim komputerze, autoryzowanego przez Ubuntu.
Najwyżej oceniana odpowiedź tutaj jest wyraźnie nieaktualna. Od tego czasu w apt znaleziono 2 poważne exploity do zdalnego wykonywania kodu z powodu weryfikacji błędnego pakietu. Biuletyny bezpieczeństwa tu i tutaj .
Jest to znacznie gorsze niż obawy dotyczące wycieku danych / prywatności i nieaktualnej wersji pakietu; umożliwia to wykonanie dowolnego kodu jako root, całkowita awaria bezpieczeństwa. Chodzi o to, że atakom takim można by zapobiec, gdyby zamiast http użyto https.
Dowodzi to, że zasada głębokiej obrony obowiązuje tutaj tak samo, jak wszędzie indziej. Wiele twierdzeń, które krążą wokół tego, że https nie zapewnia żadnych korzyści bezpieczeństwa lub minimalizuje je w kontekście apt, jest po prostu niepoprawne, jak pokazały te exploity.
Powstaje zatem pytanie, czy korzyści bezpieczeństwa związane z https są warte kosztu w postaci buforowania, zwiększonego obciążenia itp. Nie mogę na to odpowiedzieć, ale przynajmniej uważam, że Ubuntu / Canonical / Launchpad powinien zapewnić opcjonalne punkty końcowe https dla swoich repozytoriów .
źródło
Ważne uzupełnienie ： w rzeczywistości, ponieważ aktualizacja i wstępna instalacja są pobierane online, zajmuje dużo ruchu, a źródło tego ruchu, czyli strumienie kodu binarnego i tekstowego, jest odtwarzalne. W związku z tym istnieje wiele bram i urządzeń pamięci podręcznej w Internecie. Znaczna liczba dostawców usług internetowych skonfigurowała pamięć podręczną w oparciu o protokół HTTP w celu zaoszczędzenia przepustowości eksportu, a protokół https nie może istnieć jako przezroczysta pamięć podręczna.
Innym powodem jest to, że program do tworzenia kopii lustrzanych oparty na http jest znacznie prostszy, nie trzeba weryfikować certyfikatu tls-ssl i nie trzeba się też martwić o unieważnienie certyfikatu lub problemy z konfiguracją serwera WWW.
Nie tak dawno temu, około 20 lat na początku Internetu, https i ruch internetowy były wciąż bardzo drogimi rozgrywkami. Dlatego http zawiera również protokół ftp, który jest prawie przestarzały, jako główny sposób dostarczania instalacji i aktualizacji dystrybucji pakietów oprogramowania online.
Podobnie, Microsoft Windows i Office są również aktualizowane przy użyciu protokołu http. Możesz zauważyć, że zwykle nie jest to pakiet instalacyjny pobierany z serwera Microsoft, ale sam zbudowany przez ciebie serwer cache.
źródło