Чи безпечне оновлення мета-випуску (do-release-upgrade)?

Я намагаюся зрозуміти do-release-upgradeпроцес, тобто спосіб, який Ubuntu спонукає мене перейти до наступного весняного чи осіннього випуску Ubuntu.

Прочитавши джерела, ubuntu-release-upgraderя знайшов файл / etc / update-manager / meta-release у своїй системі. Цей файл, використовуючи URL-адресу HTTP, вказує на http://changelogs.ubuntu.com/meta-release, де перераховані різні версії Ubuntu від Warty 04.10 до Raring 13.04. Цей файл містить перелік випусків, стан їх підтримки, дату виходу та посилання на Releaseфайл.

Тепер Releaseфайл має відповідний підпис GPG та sha1sum Packagesфайлу, який, у свою чергу, має sha1sum окремих бінарних файлів DEB, які встановлюються. Останні випуски також мають сценарій оновлення та відповідний підпис GPG для них. Все звучить добре.

Моє запитання стосується самого meta-releaseфайлу. Він не подається через HTTPS, і я не можу знайти підпис GPG для нього. Якщо хтось замінить цей файл, чи може він якось викликати оновлення моєї машини ...

... до підписаного випуску, який ще не пройшов тестування безпеки?
... до старого випуску, який не підтримується і має виправлені вразливості безпеки?

security do-release-upgrade

— jwal
джерело

Дуже гарне запитання і добре написане. Якщо ця проблема безпеки може бути підтверджена, а розробники отримані повідомлення, я думаю, що це має бути (нерозголошено), поки не буде вирішено. Перша моя думка полягає в тому, що це справді звучить уразливо для атаки "середнього чоловіка". Користувач все ще повинен підтвердити оновлення.

— gertvdijk

Я тим часом зібрав ще трохи інформації, і як тільки знайшов час, щоб підкріпити її фактами / експериментами, опублікую її як відповідь. Зауважте, що UpgradeToolSignatureце все ще є, тому оновлення буде оновлено лише за допомогою інструменту, підписаного Canonical (але так, це не пом'якшує ваші проблеми).

— gertvdijk

Я спробував примусити оновити версію до старої версії, але сценарій оновлення сказав, що не знає, як оновити з рейдерного до важкого. Apt не знижується без зміни. Схоже, найгірше, що ви можете зробити, - запропонувати жертві перейти на новіший реліз, ніж вони хочуть, наприклад, розробка або non-lts.

— jwal

Я думав про інший підхід. Підказка: відсутня санітарія введення. Я напевно знайду деякий час у вихідні. :)

— gertvdijk

Я б більше переймався тим, що один із репо Ubuntu піддається компрометації та заміни пакетів на троянізовані, які підписані тим самим, який визначений у мета-файлі.

— Джастін Андруск

Відповіді:

do-release-upgrade потребує прав адміністратора, і якщо ви переходите на випуск LTS, ви не будете залишатись на цьому і не автоматично підключати вас до версії. Якщо ви використовуєте неофіційні джерела, це відображає купу попереджувальних повідомлень.

Однак варіанти GUI для цього для кінцевого користувача нічим не відрізняються від UAC в Windows, де той, хто недостатньо технічно налаштований, просто натисне кнопку або набере пароль, проігнорує попередження і піде приготувати чашку чаю. Тож на практиці це не більш-менш безпечно, ніж Windows Update.

Якщо коротко - я б не довіряв оновленню надійним. Насправді, якщо ви користуєтеся LTS та використовуєте Ubuntu для критично важливих завдань, я б уникав оновлення основної версії, поки ваш випуск більше не підтримується - оновлення не розбиває речі тонкими способами, для чого потрібен час для виправлення.

— Річі333
джерело

Моє запитання насправді стосується хакера в мережі - як людина посередині - а не на локальній машині, яка працює з оновленням. Я вже знаю, що вам потрібно мати root, щоб запустити оновлення на локальній машині.

— jwal

Лише адміністратор може спричинити постійні зміни файлів на ПК. Гості-користувачі не можуть змінювати ці (чи будь-які інші) файли. Тому ніхто, крім самого адміністратора, не може змусити менеджера оновлень шукати потенційно шкідливе посилання.
тепер, адміністратор не пошкодить свій ПК (якщо тільки він не з розуму). І ніколи не слід дозволити жодній сторонній особі отримати доступ до прав адміністратора. Так що ризиків практично немає.
Можливо, зловмисні програми можуть, але якщо ви користуєтеся надійними репостами, цей ризик не переважає.
Як сказав @gertvdijk, користувачеві ще належить підтвердити оновлення
І нарешті ви завжди можете відновити початкове посилання.

Отже, коротше, " хтось " не може змінити цей файл. Тільки адміністратор може вносити зміни до файлів.

цей процес, безумовно, може бути більш безпечним. Можливо, оновник програмного забезпечення може зашифрувати ці файли, а також використовувати gpg-ключ

Нарешті, щотижневий інформаційний бюлетень Ubuntu інформує вас про останні оновлення / оновлення. Ви можете підтвердити це, щоб забезпечити найкращу безпеку ПК.

— Зареєстрований користувач
джерело