3

apt 安装软件时会验证每个包的签名吗？为什么下载软件包走 http 传输，是出于性能考虑...

 2 years ago
source link: https://www.v2ex.com/t/840025
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
neoserver,ios ssh client

V2EX  ›  Ubuntu

apt 安装软件时会验证每个包的签名吗？为什么下载软件包走 http 传输，是出于性能考虑吗？

  theklf4 · 1 小时 35 分钟前 via iPhone · 340 次点击
9 条回复  •  2022-03-13 17:23:38 +08:00

unixeno

unixeno      1 小时 32 分钟前 via Android

因为你用的 http 的源，你可以换成 https 的

dingwen07

dingwen07      1 小时 31 分钟前 via iPhone

用 GnuPG 验证的吧

villivateur

villivateur      1 小时 25 分钟前 via Android

即使是 http 的源，apt 对包也是有校验的，所以安全性上并没有很大差别

FengMubai

FengMubai      1 小时 10 分钟前

看看 ```/etc/apt/sources.list```文件里用的是不是 https

westoy

westoy      1 小时 10 分钟前

其实 debian 以前出过 dsc 验证漏洞的........

crazytec

crazytec      59 分钟前

我记得用 http 是因为 http 协议可以让各级路由知道你在下载什么，从而方便缓存。apt 包是有签名的，因此 http 和 https 在包的完整性方面类似。

mkmoon

mkmoon      42 分钟前 via iPhone

https 中 ssl 加解密对服务器来说是个性能瓶颈，成本要高很多，高性能的 https 服务器或集群一般需要增加基于 fpga 的加速卡或者增加集群服务器数量。单纯提供包下载的话，http 足矣。包管理器默认会有 GPG 检验，如果包传输过程被篡改或损坏，默认会拒绝安装的。默认在源配置中，包走 http ，密钥走 https ，基本就很安全了。

yanqiyu

yanqiyu      24 分钟前

包管理走 http 大多数情况下不是问题，中间人攻击不能塞给你投毒之后的元数据或者是包
但是有可能出现一类特殊的攻击，就是中间人服务器阻止你安装特定安全更新，从而达到攻击的目的

debian 系的做法是给安全更新单独的源，并且那个源貌似默认镜像站很少（也不建议用镜像站）于是饱受诟病

ETiV

ETiV      4 分钟前 via iPhone

大规模的软件分发都是 http+本地校验签名的
Apple 、Sony PS 游戏机都是

report

Recommend

About Joyk


Aggregate valuable and interesting links.
Joyk means Joy of geeK