Dlaczego nie ma transportu https dla narzędzia apt Debian?

Biorąc pod uwagę całą paranoję związaną z rewelacjami NSA i wszystkim innym, zastanawiam się, dlaczego mechanizm instalacji pakietu debian nie obsługuje HTTPS dla jego transportu, nie mówiąc już o domyślnym używaniu go.

Wiem, że pakiety Debiana mają pewnego rodzaju sprawdzanie poprawności podpisu przy użyciu GPG, ale nadal nie sądzę, aby użycie transportu HTTPS zamiast HTTP byłoby zbyt trudne, biorąc pod uwagę, jak ważne jest to ze względów bezpieczeństwa.

Edycja: Chcę przede wszystkim uchronić się przed atakami MitM (w tym po prostu wąchaniem ruchu), a nie administratorami kopii lustrzanych Debiana. Repozytoria HTTP umieszczają cały system na stole, jeśli ktoś szpieguje mój ruch przechodząc do mirrorów Debiana.

Jest. Musisz zainstalować pakiet apt-transport-https. Następnie możesz użyć linii takich jak

 deb https://some.server.com/debian stable main

w twoim sources.listpliku. Ale zwykle nie jest to konieczne, ponieważ i tak cała zawartość jest publiczna, co powoduje narzut szyfrowania i opóźnienie. Ponieważ nie ufasz kluczowi publicznemu atakujących, nawet ruch HTTP jest bezpieczny przed atakami MitM. aptostrzega cię i nie instaluje pakietów, gdy atakujący wstrzykuje zmanipulowane pakiety.

EDYCJA: Jak wspomniano w komentarzach, korzystanie z repozytorium TLS jest rzeczywiście bezpieczniejsze . Badania pokazują, że używanie apt na niezaszyfrowanych repozytoriach może rzeczywiście stanowić zagrożenie dla bezpieczeństwa, ponieważ transport HTTP jest podatny na ataki typu replay.

Twoje założenie jest błędne: możesz użyć pobrań HTTPS. Musisz tylko znaleźć serwer lustrzany, który go obsługuje, i umieścić jego adres URL na liście źródeł. Musisz zainstalować apt-transport-httpspakiet.

Debian nie ułatwia pobierania HTTPS, ponieważ korzyści są bardzo niewielkie. Dystrybucja pakietów Debiana zawiera już mechanizm weryfikacji pakietów: wszystkie pakiety są podpisane przy pomocy Gpg . Jeśli aktywny man-in-the-middle przekieruje twój ruch na serwer z uszkodzonymi pakietami, uszkodzenie zostanie wykryte, ponieważ podpisy GPG nie będą ważne. Korzystanie z GPG zamiast HTTPS ma tę zaletę, że chroni przed większą liczbą zagrożeń: nie tylko przed aktywnym pośrednikiem w połączeniu z użytkownikiem końcowym, ale także przed nieuczciwym lub zainfekowanym lustrem lub innymi problemami w dowolnym miejscu w łańcuchu dystrybucji pakietów .

HTTPS zapewnia niewielką przewagę nad prywatnością, ponieważ przesłania pobierane pakiety. Jednak pasywny obserwator nadal może wykryć ruch między twoim komputerem a serwerem pakietów, aby wiedzieli, że pobierasz pakiety Debiana. Mogą również dowiedzieć się, które pakiety pobierasz z rozmiarów plików.

Jedynym miejscem, w którym pomógłby HTTPS, jest zaufanie do ładowania początkowego, aby uzyskać znany obraz instalacyjny. Wydaje się, że Debian tego nie zapewnia: istnieją sumy kontrolne nośników instalacyjnych , ale tylko przez HTTP.

Niedawno natknąłem się na problem z repozytorium apt firmy. Problem polegał na tym, że jeśli użyjemy standardowego transportu HTTP, ktokolwiek inny może łatwo dostać paczkę. Ponieważ firma pakuje własne oprogramowanie i nie chce udostępniać go wszystkim, transport HTTP staje się problemem. Nie tragedia, ale problem. Istnieje kilka sposobów ograniczenia dostępu do pakietu - zapora ogniowa, ograniczenie dostępu na poziomie serwera WWW, użycie ssh jako transportu. Dość łatwą do przeczytania lekturę na ten temat można znaleźć tutaj: Ogranicz dostęp do swojego prywatnego repozytorium Debiana

W naszym przypadku zdecydowaliśmy się na użycie protokołu https + uwierzytelnianie certyfikatu klienta. Krótko mówiąc, wystarczy:

1. Przygotuj samopodpisane certyfikaty, klienta i serwer (używając easy-rsa);

2. Skonfiguruj serwer WWW, którego fronton repozytorium akceptuje tylko https; W przypadku nginx może wyglądać następująco:

   server {
   
     listen 443;
   
     root /path/to/public;
     server_name secure_repo;
   
     ssl on;
     ssl_certificate /etc/nginx/ssl/server.crt;
     ssl_certificate_key /etc/nginx/ssl/server.key;
   
     ssl_session_timeout 5m;
   
     ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2;
     ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv3:;
   
     ssl_prefer_server_ciphers on;
     ssl_client_certificate /etc/nginx/ssl/ca.crt;
     ssl_verify_client on;
   
     location / {
        autoindex on;
     }
   }
   

3. Umieść certyfikat klienta, klucz klienta i certyfikat ca w / etc / apt / ssl i, w przypadku Ubuntu, dodaj plik 00https do /etc/apt/apt.conf.d:

   Debug::Acquire::https "true"; Acquire::https::example.com { Verify-Peer "true"; Verify-Host "false"; CaInfo "/etc/apt/ssl/ca.crt"; SslCert "/etc/apt/ssl/client.crt"; SslKey "/etc/apt/ssl/client.key"; };

Pamiętaj, że jeśli używasz samopodpisanego certyfikatu, ważne jest, aby wyłączyć weryfikację hosta: Verify-Host "false";Jeśli tego nie zrobisz, zobaczysz błąd: SSL: certificate subject name (blah-blah-blah) does not match target host name 'example.com'

I zaczynamy, nie ma już nieautoryzowanego dostępu do repozytorium. Jest to więc bardzo przydatna i potężna rzecz.

Należy pamiętać, że z powodu luk w zabezpieczeniach, takich jak

https://bugs.launchpad.net/ubuntu/+source/apt/+bug/1647467

... która omija podpisywanie InRelease, prawdopodobnie dobrym pomysłem jest skonfigurowanie HTTPS.

W przypadku użycia „anonimowości” istnieje również apt-transport-tormożliwość umieszczania identyfikatorów URI jak tor+http://w plikach sources.list. Jest to znacznie lepsza ochrona anonimowości niż po prostu szyfrowanie połączenia z lustrem.

Na przykład lokalny obserwator nadal wiedziałby, że aktualizujesz lub instalujesz oprogramowanie, nawet za pomocą HTTPS, i prawdopodobnie może zgadywać, które z nich robisz (a być może nawet jakie pakiety, w zależności od rozmiaru).

Debian udostępnia repozytoria APT za pośrednictwem „usług cebulowych” Tora, dzięki czemu można uzyskać kompleksowe szyfrowanie (podobne do TLS) bez konieczności ufania systemowi nazw domen. Zobacz cebula.debian.org dla wszystkich usług Debiana dostępnych w ten sposób. Główne repozytorium FTP Debiana znajduje się pod adresemvwakviie2ienjx6t.onion