Які сховища пакетів дистрибутива Linux захищені, а які ні?

Більшість відомих мені дистрибутивів мають певну функціональність репозиторію, куди нові пакунки можна було завантажити після встановлення. Які дистрибутиви роблять це безпечно, а які не роблять це безпечно.

Я особливо замислююсь над векторами нападу, такими як людина посередині, і такими проблемами, як порушення безпеки як мета-сервера сховища, так і дзеркал файлів сховища.

Я чув, що Slackware та Arch Linux є дуже вразливими, оскільки їм не вистачає підписання пакунків. Це правда? Чи є якісь інші основні дистрибутиви Linux, які вразливі для простих атак "людина-в-середині"?

Це не пряма відповідь на ваше запитання, але ви можете зробити кілька речей, щоб зменшити цей ризик. Найпростіший - перевірити завантажені пакети проти контрольних сум з іншого дзеркала, ніж ви завантажили.

Коли мій менеджер пакунків ( poldek) завантажує пакет, у мене він встановлений, щоб зберігати копію завантаженого rpm у папці кешу. Він автоматично перевіряє контрольну суму завантаження на сховище пакунків та попереджає / перериває невідповідність, але якщо ви турбуєтесь про те, що людина-посередник напав на ваше дистрибутивне сховище, було б легко написати вторинний сценарій, який переглянув всі завантажені пакети та перевіряйте їх на контрольних сум, які ви завантажуєте з іншого дзеркала. Ви навіть можете запустити свою першу інсталяцію як сухий запуск, щоб пакунки завантажувались, але не встановлювались, а потім запускали сценарій підтвердження, а потім виконували фактичну установку.

Це не перешкоджає потраплянню компрометованого пакета в сховище дистрибутива, але більшість дистрибутивів мають інші способи їх пом'якшення, і навіть підписані пакети не гарантують, що це ніколи не було проблемою. Що він робить, це задушити цільовий вектор атаки "людина-посеред". Використовуючи окреме джерело та завантажуючи на окремому каналі, ви знищуєте простоту, з якою компрометований пакет може бути переведений у рядок, що прослуховується.

Пакети Debian є контрольною сумою, а контрольні суми підписуються ключем у ключі Debian. Менеджер aptпакунків гарантує, що у завантаженому пакеті є правильна контрольна сума і що файл контрольної суми був правильно підписаний.

Пакети Fedora підписані та перевірені. Навіть сторонні сховища, такі як rpmfusion, підписують свої пакети.

Yum (менеджер пакунків) вимагає спеціального прапора ( --nogpgcheck) для встановлення пакетів, які не були підписані.

Усі пакети Arch Linux використовують суму md5 або sha1, щоб перевірити, чи всі біти на своєму місці. Вибирати алгоритм хешування повинен вирішувати технічне обслуговування пакетів. Пакети, встановлені з AUR (часто це лише невеликий текстовий файл PKGBUILD), повинні бути перевірені установчиком перед встановленням. Репозиторії, що містять офіційні бінарні пакети, контролюються надійними користувачами (TU).

Оновлення : Arch тепер запровадив підписання пакету з pacman 4

Хто сказав, що Slackware не має підписання пакета?

Пакети Slackware підписуються відкритим ключем Slackware. Отже кожен пакет має свій підпис із розширенням .asc. Не тільки пакети, але й інші файли також підписуються, наприклад CHECKSUMS.MD5. Тут міститься перелік контрольних сум пакетів.

У дистрибутиві є офіційний інструмент, який називається slackpkgдля завантаження / встановлення пакетів з дзеркала. Після оновлення локальної бази даних РЕПО за slackpkg updateдопомогою інструменту перевіряється дійсність підпису нового файлу MD5 та журналу змін тощо ...

Після завантаження пакета (але перед його встановленням) підпис та MD5 пакета перевіряються.

Відкритий ключ можна отримати за допомогою slackpkg update gpgабо просто імпортувати його з інсталяційного компакт-диска за допомогоюgpg --import GPG-KEY

Є ще один неофіційний інструмент slapt-getдля Slackware. Він також підтримує GPG-перевірки! Аналогічним чином, як slackpkg.

OpenBSD і далеко. Весь проект присвячений безпеці, команда навіть виставила 5000+ виправлення до оригінального апаша, тому що вони не вважали, що це достатньо безпечно для використання. Це через pkg_add, але у мене жодного разу не виникало проблем.