Apakah daftar repositori aman? Apakah ada versi HTTPS?
24
Apakah pembaruan repositori aman?
Sebagai beruang kecil dari sisi pengembang, saya tidak bisa mengerti mengapa daftar repositori http://security.ubuntu.comdan situs http(tidak aman) lain yang terdaftar di /etc/apt/sources.list. Tanpa kecocokan rantai sertifikat, ini muncul sebagai "minta responden untuk daftar paket untuk memperbarui" daripada "meminta situs ubuntu.com ..."
Dapatkah jaringan mana pun memilih untuk memalsukan situs pembaruan, dan apakah ini praktik umum untuk menyediakan salinan yang di-cache dan diperiksa secara lokal?
Singkatnya, ya mereka aman, karena kriptografi kunci publik digunakan untuk menandatangani file.
Semua file yang diunduh oleh APT memiliki tanda tangan yang memungkinkan file yang diunduh diverifikasi terhadap kunci publik yang disimpan di komputer Anda sebagai ditandatangani oleh Ubuntu dan hanya Ubuntu. Ini memverifikasi bahwa file yang Anda terima diotorisasi oleh Ubuntu pada tahap tertentu dan belum dimodifikasi atau dirusak sejak saat itu.
Penjelasan teknis tentang cara kerjanya tersedia dari Ubuntu (dan dari Debian yang menggunakan sistem yang sama).
Karena penggunaan HTTP alih-alih HTTPS, ya eavesdropper dapat melihat file apa yang Anda unduh, tetapi privasi sepertinya tidak menjadi perhatian Anda dalam kasus ini. Upaya dari awal untuk memodifikasi paket untuk menyuntikkan kode berbahaya masih akan gagal karena akan merusak mekanisme penandatanganan.
Satu kemungkinan gotcha dalam mekanisme penandatanganan ini adalah tidak menjamin bahwa Anda mendapatkan versi terbaru dari paket (memang, kadang-kadang mirror lambat untuk diperbarui). Untuk membantu mengurangi masalah ini, file rilis yang ditandatangani menyertakan tanggal "Valid-Hingga" setelah semua file yang dirujuknya dianggap basi. Adalah masuk akal bagi seorang pria di tengah untuk mengganti arsip dengan versi arsip yang sebelumnya tidak dimodifikasi dalam tanggal Valid-Hingga ini dan membuat APT Anda yakin tidak ada pembaruan. Tetapi mereka tidak dapat melakukan modifikasi sewenang-wenang terhadap paket-paket juga tidak dapat kembali ke masa lalu melewati titik tertentu.
Mekanisme penandatanganan memberikan keamanan yang jauh lebih baik daripada HTTPS dalam lingkungan terdistribusi seperti ini di mana file-file tersebut dipantulkan ke banyak server yang tidak dikendalikan oleh Ubuntu. Intinya, Anda hanya perlu memercayai Ubuntu, bukan mirror, jadi Anda perlu membuktikan bahwa file-file tersebut aslinya berasal dari Ubuntu dan belum dimodifikasi sejak - tidak perlu memverifikasi identitas mirror.
Perhatikan bahwa ketika Anda menambahkan repositori tidak resmi ke daftar sumber Anda, seperti PPA, Anda akan menerima file yang tidak ditandatangani oleh Ubuntu. APT harus memperingatkan Anda tentang hal ini, karena belum ditandatangani oleh sertifikat yang cocok dengan kunci publik apa pun yang dipasang di komputer Anda sebagaimana diotorisasi oleh Ubuntu.
Besar! Jadi versi singkatnya adalah "lapisan transport tidak aman, tetapi setiap paket ditandatangani. Tidak ada daftar aman pembaruan dan tambalan untuk masalah keamanan yang ada tidak dijamin akan dikirimkan."
Charles Merriam
2
Tidak yakin apa yang Anda maksud dengan "Tidak ada daftar aman update yang tersedia" tapi file rilis dan daftar paket yang ditandatangani. Hanya saja itu tidak memverifikasi bahwa cermin Anda mutakhir.
thomasrutter
3
Eh, jika tidak ada cara untuk memverifikasi bahwa mirror, atau situs utama, adalah yang terbaru maka tidak ada cara untuk mengetahui apakah ada pembaruan yang tersedia, pembaruan keamanan atau sebaliknya. Artinya, tidak ada daftar aman pembaruan yang tersedia.
Charles Merriam
4
Alice menjalankan Ubuntu. Bob mengontrol koneksi internet Alice. Bob tidak dapat memasukkan paket yang buruk ke instalasi Alice karena setiap paket ditandatangani. Ada beberapa kelemahan keamanan yang ditemukan di Ubuntu. Alice mencoba mencari paket yang diperbarui, tetapi Bob menghapus semua penyebutan paket dari cek pembaruan Alice. Alice memukul sysadmin dan kemudian menarik cek pembaruan melalui HTTPS dari ubuntu.com untuk memverifikasi bahwa dia terhubung ke situs web asli di sepanjang tautan aman. Sekarang Alice melihat pembaruan keamanan dan Bob tidak bisa menyembunyikannya.
Charles Merriam
3
Ini tentu saja jawaban yang benar. Tapi yang saya temukan aneh adalah bahwa tidak ada seorang pun yang khawatir tentang penyadap menguping daftar semua paket yang telah Anda instal, termasuk yang telah Anda perbarui dan mana yang belum Anda perbarui, untuk menargetkan serangan mereka pada yang diketahui kerentanan keamanan dalam paket-paket itu.
Teekin
8
Jawaban teratas di sini jelas ketinggalan jaman. Sejak itu, telah ada 2 eksploitasi eksekusi kode jarak jauh yang serius ditemukan di apt karena verifikasi paket buggy. Buletin keamanan di sini dan di sini .
Ini jauh lebih buruk daripada kekhawatiran tentang privasi / kebocoran informasi dan versi paket basi; ini memungkinkan eksekusi kode arbitrer sebagai root, gagal total keamanan. Dan masalahnya adalah: Serangan-serangan ini akan dicegah jika https digunakan alih-alih http.
Ini membuktikan bahwa prinsip pertahanan mendalam berlaku di sini sama seperti di tempat lain. Banyak klaim yang beredar bahwa https tidak memberikan atau manfaat keamanan minimal dalam konteks apt benar-benar salah, seperti yang telah ditunjukkan oleh eksploit ini.
Pertanyaannya kemudian menjadi apakah manfaat keamanan dari https sepadan dengan biaya dalam hal caching, peningkatan overhead dll .
Keamanan juga tentang privasi, dan HTTPS berarti setidaknya akan memiliki waktu yang jauh lebih sulit untuk mencari tahu paket dan versi yang Anda jalankan.
l0b0
Saya akan mengatakan bahwa selama apt itu sendiri tidak memiliki masalah dengan ini, http baik-baik saja. Namun, https memberikan cadangan jika keamanan gpg (atau bagaimana menggunakannya lebih akurat) kacau.
RoundDuckMan
2
Suplemen penting ： pada kenyataannya, ketika pemutakhiran dan pengunduhan instalasi awal online, dibutuhkan banyak lalu lintas, dan sumber lalu lintas ini, yaitu, aliran kode biner dan teks, dapat diproduksi ulang. Jadi ada sejumlah besar gateway dan perangkat cache di Internet untuk itu. Sejumlah besar ISP telah mengatur cache berdasarkan protokol http untuk menghemat bandwidth ekspor, dan protokol https tidak dapat ada sebagai cache transparan.
Alasan lain adalah bahwa program mirroring berbasis http jauh lebih sederhana, tidak perlu memverifikasi sertifikat tls-ssl, dan tidak perlu khawatir tentang pembatalan sertifikat atau masalah konfigurasi server web juga.
Belum lama berselang, sekitar 20 tahun, di awal Internet, https dan lalu lintas Internet masih merupakan gameplays yang sangat mahal. Oleh karena itu, http juga menyertakan protokol ftp, yang hampir menjadi usang, sebagai cara utama pengiriman instalasi dan pembaruan untuk distribusi paket perangkat lunak secara online.
Demikian pula, Microsoft Windows dan Office juga ditingkatkan menggunakan http. Anda dapat mengamati bahwa itu biasanya bukan paket instalasi yang diunduh dari server Microsoft, tetapi server cache yang dibuat sendiri oleh ISP Anda.
Jawaban teratas di sini jelas ketinggalan jaman. Sejak itu, telah ada 2 eksploitasi eksekusi kode jarak jauh yang serius ditemukan di apt karena verifikasi paket buggy. Buletin keamanan di sini dan di sini .
Ini jauh lebih buruk daripada kekhawatiran tentang privasi / kebocoran informasi dan versi paket basi; ini memungkinkan eksekusi kode arbitrer sebagai root, gagal total keamanan. Dan masalahnya adalah: Serangan-serangan ini akan dicegah jika https digunakan alih-alih http.
Ini membuktikan bahwa prinsip pertahanan mendalam berlaku di sini sama seperti di tempat lain. Banyak klaim yang beredar bahwa https tidak memberikan atau manfaat keamanan minimal dalam konteks apt benar-benar salah, seperti yang telah ditunjukkan oleh eksploit ini.
Pertanyaannya kemudian menjadi apakah manfaat keamanan dari https sepadan dengan biaya dalam hal caching, peningkatan overhead dll .
sumber
Suplemen penting ： pada kenyataannya, ketika pemutakhiran dan pengunduhan instalasi awal online, dibutuhkan banyak lalu lintas, dan sumber lalu lintas ini, yaitu, aliran kode biner dan teks, dapat diproduksi ulang. Jadi ada sejumlah besar gateway dan perangkat cache di Internet untuk itu. Sejumlah besar ISP telah mengatur cache berdasarkan protokol http untuk menghemat bandwidth ekspor, dan protokol https tidak dapat ada sebagai cache transparan.
Alasan lain adalah bahwa program mirroring berbasis http jauh lebih sederhana, tidak perlu memverifikasi sertifikat tls-ssl, dan tidak perlu khawatir tentang pembatalan sertifikat atau masalah konfigurasi server web juga.
Belum lama berselang, sekitar 20 tahun, di awal Internet, https dan lalu lintas Internet masih merupakan gameplays yang sangat mahal. Oleh karena itu, http juga menyertakan protokol ftp, yang hampir menjadi usang, sebagai cara utama pengiriman instalasi dan pembaruan untuk distribusi paket perangkat lunak secara online.
Demikian pula, Microsoft Windows dan Office juga ditingkatkan menggunakan http. Anda dapat mengamati bahwa itu biasanya bukan paket instalasi yang diunduh dari server Microsoft, tetapi server cache yang dibuat sendiri oleh ISP Anda.
sumber