Comment utiliser https avec apt-get?

40

Est-ce que apt-get utilise https ou un autre type de cryptage? Est-il possible de le configurer pour l'utiliser?

    
posée Strapakowsky 04.06.2012 - 01:38
la source

2 réponses

46

apt-get (et les autres commandes de manipulation de package, qui sont des frontaux aux mêmes bibliothèques APT), peuvent utiliser HTTP, HTTPS et FTP (et des systèmes de fichiers montés). Si vous spécifiez https:// URL dans /etc/apt/sources.list et /etc/apt/sources.list.d/* , APT utilisera HTTPS.

APT vérifie la signature des packages. Il n'est donc pas nécessaire de disposer d'un moyen de transport permettant l'authentification des données. Si un attaquant modifie les fichiers que vous téléchargez, cela sera remarqué. Il est préférable d'utiliser une vérification de signature que d'utiliser une connexion HTTPS, car elle détectera une attaque sur le serveur à partir duquel vous téléchargez, et pas seulement une attaque en transit.

Plus précisément, le flux de données (simplifié) d’un package est le suivant:

  1. Le paquet est produit sur une machine de compilation.
  2. Le paquet est signé sur la machine de génération.
  3. Le package signé est copié dans un miroir de téléchargement.
  4. Vous téléchargez le paquet.

HTTPS garantit que l'étape 4 se déroule correctement. Les signatures de package garantissent que les étapes 2 à 4 se déroulent correctement.

En fait, HTTPS présente un petit avantage pour l’étape 4: les signatures de paquetage garantissent uniquement l’authenticité du paquet. Un attaquant à l'étape 4 pourrait usurper l'identité d'un serveur légitime et servir des versions obsolètes du package. Par exemple, l'attaquant pourrait vous empêcher de télécharger des mises à jour de sécurité, dans l'espoir d'exploiter une vulnérabilité de votre ordinateur que vous auriez corrigée si ce n'était pour l'attaque. Ce n'est pas un scénario très réaliste, car il nécessite un attaquant actif (il faudrait donc que ce soit quelqu'un qui contrôle votre connexion Internet), mais cela pourrait se produire en principe.

L'autre avantage de HTTPS serait si vous essayez de cacher le fait que vous téléchargez des paquets Ubuntu de quelqu'un qui fouille sur votre connexion réseau. Même à ce moment-là, l’on peut voir l’hôte auquel vous vous connectez; Si vous vous connectez à un miroir Ubuntu et que vous téléchargez des centaines de mégaoctets, il est clair que vous téléchargez des paquets Ubuntu. L'espionneur peut également déterminer quels paquets vous téléchargez à partir de la taille des fichiers. Ainsi, HTTPS ne serait utile que si vous téléchargez à partir d’un serveur qui offre également d’autres fichiers de taille similaire - je ne vois aucun point, sauf pour les packages tiers, et uniquement dans des circonstances très inhabituelles.

Pour répéter: l’avantage habituel de HTTPS, à savoir que vous savez que vous êtes connecté au serveur réel, est inutile lorsque vous téléchargez des paquets Ubuntu. La vérification des signatures sur les packages offre une garantie plus forte que ce que HTTPS peut fournir.

    
réponse donnée Gilles 04.06.2012 - 02:08
la source
13

Avec APT, ce qui est plus important, c’est que votre connexion n’est pas cryptée, mais que les fichiers que vous recevez n’ont pas été falsifiés.

APT a la vérification de signature intégrée pour s’assurer de cela.

Le cryptage empêcherait les indiscrets de voir ce que vous téléchargez, mais ce que vous téléchargez (et demandez) est assez peu controversé: il sera le même que des milliers d’autres utilisateurs d’Ubuntu téléchargent et les fichiers ne contiennent rien. ce n'est pas librement disponible sur beaucoup de serveurs. Cependant, si vous avez besoin de confidentialité concernant les paquets en particulier que vous téléchargez, HTTPS peut être utilisé (spécifiez-le dans votre sources.list).

La vérification de signature intégrée à APT garantira que les fichiers que vous recevez n’ont pas été falsifiés. Peu importe d'où viennent les fichiers et il est même possible d'avoir des proxys ou des proxys inverses entre vous et le serveur pour réduire la charge du serveur ou accélérer. La vérification de signature garantit toujours que vous obtenez le fichier non modifié, correspondant à la signature qui ne peut être produite de manière cryptographique qu'avec le fichier d'origine et une copie de la clé privée d'Ubuntu.

Si vous passez à HTTPS, vous ne pourrez plus profiter des serveurs proxy pour accélérer l’accès ou réduire la charge. Et cela n’ajouterait plus d’assurance quant à la non-falsification que la vérification des signatures de l’APT ne donne pas déjà. Cela signifierait toutefois que les oreilles indiscrètes (telles que votre FAI) ne pourront pas voir les paquets que vous téléchargez (ce qui risque de ne pas être confidentiel, et comme Gilles l’a indiqué, ils pourraient deviner à partir de la taille du fichier). / p>     

réponse donnée thomasrutter 04.06.2012 - 02:37
la source

Lire d'autres questions sur les étiquettes