Чому існує окреме сховище пакетів для оновлень безпеки Debian?

Чому вони не завантажують пакунки в звичайне сховище пакетів? Це загальна умова (IE, чи інші дистрибутиви також розділяють сховища)?

debian repository

— тшепанг
джерело

Я б запропонував не мати інших дистрибутивів, оскільки це може бути надмірно довгим, також під архівом ви маєте на увазі пакет репо? Я здогадуюсь, що ви це робите, але переконайтесь, що ви не маєте на увазі гілку svn / git чи щось подібне.

— ксенотеррацид

debian.org/security

— Daniel Dinnyes

Відповіді:

У Debian є канал розповсюдження, який забезпечує лише оновлення безпеки, щоб адміністратори могли вибрати стабільну систему лише з абсолютним мінімумом змін. Крім того, цей канал розповсюдження тримається дещо окремо від звичайного каналу: усі оновлення безпеки подаються безпосередньо з security.debian.org, тоді як для всього іншого рекомендується використовувати дзеркала. Це має ряд переваг. (Я не пам'ятаю, які з них є офіційними мотиваціями, які я читав у списках розсилки Debian і які є моїми міні-аналізами. Деякі з них торкаються у FAQ щодо безпеки Debian .)

Оновлення безпеки розповсюджуються негайно, без затримок, що виникають в результаті оновлення дзеркала (що може додати приблизно 1 день часу розповсюдження).
Дзеркала можуть застаріти. Прямий розподіл дозволяє уникнути цієї проблеми.
Існує менше інфраструктури для підтримки як критичної послуги. Навіть якщо більшість серверів Debian недоступні і люди не можуть встановити нові пакети, якщо security.debian.orgвказує на працюючий сервер, оновлення безпеки можуть поширюватися.
Дзеркала можуть бути скомпрометовані (це було раніше). Простіше дивитися одну точку розподілу. Якщо зловмиснику вдалося десь завантажити шкідливий пакет, він security.debian.orgможе підштовхнути пакунок із більш пізнім номером версії. Залежно від характеру експлуатації та своєчасності реагування, цього може бути достатньо, щоб деякі машини не були заражені або хоча б попередили адміністраторів.
Менше людей мають права на завантаження security.debian.org. Це обмежує можливості для зловмисника, який намагається підривати обліковий запис або машину з метою введення шкідливого пакету.
Сервери, яким не потрібен звичайний доступ до Інтернету, можуть зберігатися за брандмауером, який дозволяє лише security.debian.orgчерез.

— Жил "ТАК - перестань бути злим"
джерело

РЕПО безпеки попередньо підписує файли випуску репозиторіїв, тому дзеркальне відображення не відстороняється, оскільки воно розбавляє неявну довіру до завантаження з security.debian.org. Цей аргумент певною мірою відійшов тепер, коли метадані пакету підписані.

— jmtd

хост security.debian.orgвирішує купу адрес, тому, можливо, це пул машин, навіть якщо технічно він не має дзеркал.

— Faheem Mitha

Я впевнений, що Debian також розміщує оновлення безпеки і в регулярному репо.

Причиною є окреме репо, яке містить лише оновлення безпеки, тому ви можете налаштувати сервер, лише вказати його на репортаж безпеки та автоматизувати оновлення. Тепер у вас є сервер, який гарантовано матиме останні патчі безпеки без випадкового введення помилок, викликаних несумісними версіями тощо.

Я не впевнений, чи застосовують цей точний механізм інші дистрибутиви. Існує yumплагін для обробки подібних речей для CentOS, і Gentoo в даний час має список розсилки безпеки ( portageнаразі модифікується для підтримки оновлень лише для безпеки). FreeBSD і NetBSD забезпечують способи проведення аудиту безпеки встановлених портів / пакетів, які добре інтегруються із вбудованими механізмами оновлення. Все сказане, підхід Debian (і, мабуть, Ubuntu, оскільки вони настільки тісно пов'язані) є одним із найрізноманітніших рішень цієї проблеми.

— Хенк Гей
джерело

так, оскільки патч безпеки ніколи не може ввести ще одну помилку.

— ксенотеррацид

"s. Тепер у вас є сервер, на який гарантовано є останні патчі безпеки, без випадкового введення помилок, викликаних несумісними версіями тощо". це не те, що це означає? Я думаю, я міг би вважати, що несумісні версії є суперечливим моментом ... що це означає саме ... більшість часу люди, які підтримують лише патчі безпеки, не роблять цього, бо вважають, що ABI / API - це єдине, що вони дивимось.

— ксенотерацид

@xeno Ви критикуєте ідею розподілу цих репостів або ви попереджаєте нас про відсутність гарантій?

— thepang

@xeno Залежно від способу обробки потоку, виправлення помилок можуть бути занадто нав'язливими для "стабільного" випуску.

— thepang

Переважна більшість патчів безпеки тривіально малі: переупорядкування аргументів до мемсети, фіксація перевірки меж на strncmp або що у вас є. Звичайно, вони можуть правдоподібно ввести інші помилки, але ризик дуже малий і теоретичний, тоді як виявлена помилка безпеки є дуже практичною.

— jmtd

Допомагає дві речі:

безпека - спочатку отримайте свої виправлення щодо безпеки, тоді ви піддаєтесь меншому ризику, оновлюючи решту
оновлення безпеки повинні зберігатися на високому рівні безпеки, оскільки ви схильні покладатися на них, щоб захистити решту вашої системи, тому може бути, що це репо має більш сильний контроль безпеки для запобігання компромісу.

цілком можуть бути й інші причини, але ці два я вважаю корисними

— Рорі також
джерело

Ви впевнені, що зберігається на високому рівні безпеки ? Я говорю, що тому, що ви виражаєте сумніви, могло бути .

— thepang

Добре помічений Tshepang - у мене немає видимості оточення, в якому існує репо, але саме так я б його встановив :-)

— Rory Alsop

Існує хоча б якась форма вищого рівня безпеки: лише команда безпеки може пересувати пакет на нього security.debian.org. Я не знаю деталей реалізації.

— Жиль "ТАК - перестань бути злим"