APT 不使用 HTTPS 的說明
source link: https://blog.gslin.org/archives/2019/01/23/8691/apt-%e4%b8%8d%e4%bd%bf%e7%94%a8-https-%e7%9a%84%e8%aa%aa%e6%98%8e/comment-page-1/
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
APT 不使用 HTTPS 的說明
居然有個獨立的網站在說明：「Why does APT not use HTTPS?」。主要是 HTTPS 沒有增加太多保護，但會使得維護的複雜度變高很多。
首先是被竄改的問題，APT 本身就有簽名機制 (參考「SecureApt」)，即使 mirror site 被打下來也無法成功竄改內容，反而比起單純的 HTTPS 保護還好。
而對於隱私問題，由於內容是可以公開取得的，這代表可以看封包的大小與流動順序猜測是哪些 package 被下載 (也就是類似「利用 Side-channel 資訊判斷被 HTTPS 保護的 Netflix 影片資訊」這篇提到的方法)，加上 APT 這邊還多了時間性的資訊 最近被更新的軟體被下載的機率比較高)，所以隱私的保護上其實有限。
而針對攻擊者刻意提供舊版的問題 (某種形式的 replay attack)，APT 降低風險的解法是把時間簽進去，當用戶端發現太久沒更新時，就當作過期失效而提出警告。
就以上來看，把所有的 APT 伺服器都加上 HTTPS 的工程太浩大，而得到的效益太小。所以願意提供 HTTPS 的站台就提供，但主要的保護還是從本來的 SecureApt 機制上提供。
Related
關於各家 CDN 的選擇...
在使用 CDN 前，先考慮上 SPDY 或 HTTP/2 (i.e. 全站 HTTPS)，改善的效果跟 CDN latency 帶來的效益有得拼。尤其是 server 放在美國機房的情況，SPDY 與 HTTP/2 帶來的效能提昇是相當明顯的。 會寫這篇是因為這兩個禮拜意外被問到好幾次，所以來整理幾家如果讓我來選，我會選擇的 CDN。至少再被問到的時候可以直接從這邊開始說明。 下面的圖是從我家裡 HiNet 光世代測試的結果 (最後是走兩條電話線)，所以會有個 10ms 的 latency 基底，如果要計算 latency 的效能影響請考慮進去。 Akamai 先講 Akamai。 Akamai 的歷史很久了，再加上併購了不少公司，所以產品成熟度很夠，你要什麼產品都有提供，只要拿的出錢就可以。 KKBOX (敝公司) 用過 PMD、DSD、DSA 三個產品，其中 PMD 與 DSD 只有保障服務可靠度 (availability)，DSA 還有保障效能提昇 (performance)。早期是用 PMD + DSD，現在改用 PMD…
August 20, 2015In "CDN"
最近討論頗多的 NordVPN
最近 NordVPN 的隱私問題被拿出來討論的蠻凶的，應該是從「Is NordVPN a Honeypot?」這篇開始的... 作者一開始就有提到並不只有 NordVPN，而是整個 VPN 產業其實都有類似的情況，只是現在可以找到比較多證據可以推測 NordVPN 後面並不單純。 首先是 NordVPN 買了大量評論，後來被發現是假的而被移除，而移除後的分數掉了非常多。再來是 NordVPN 居然花了五十萬美金在 CNN 的廣告上，這對於 VPN 產業的成本來說很不可思議... 另外一個是 NordVPN 的母公司 Tesonet 就是做 data mining 的，「整理」各種資料拿出來賣的... 基本上這類服務只能拿來翻牆用 (翻進日本或是翻進美國)，不要認為隱私性有多高... 需要隱私還是得透過其他方式降低風險 (沒辦法完全保護，只能降低)。
September 4, 2018In "Computer"
Zite 消失後的方案：Nuzzel
在去年十二月七日 Zite 被幹掉後，本來是流竄到 Prismatic 上，結果十二月二十日也關掉了... 之後就找不到能用的推薦引擎了。 用推薦引擎的目的是希望看到更多不同種類的內容：用 Feedly 看 RSS feed，而用 Twitter 追蹤短則的想法，或是用 Facebook 看同溫層的想法。但這些都是「已知」的來源所提供的資訊，沒有辦法發覺其他的文章。 其中一個變通的方法是找像 Hacker News Daily 這樣的 RSS feed 來讀，作者用程式每天算出 Hacker News 上的十大熱門文摘出來，對一般人應該也夠用，但我還是想要找到更多資訊。 Zite 與 Prismatic 是以 Recommendation System 來計算並且推薦，是個還不錯的方法。不過這兩個 app 都已經不在了... 而 Nuzzel 走了另外一個方向，你可以用 Twitter 與 Facebook 帳號連結，然後提供「朋友」以及「朋友的朋友」發表了什麼連結，依照時間或是數量排序出來： 相較於推薦系統，這樣的演算法雖然簡單很多，但解決了想要看更多資訊的問題。 不過還是覺得有些 app 上的操作怪怪的，但也沒辦法 (?)，先用用看吧...
February 3, 2016In "Computer"
Recommend
About Joyk
Aggregate valuable and interesting links.
Joyk means Joy of geeK