☰

https를 사용하면 Debian(및 ubuntu)에서 apt-get 업데이트를 다운로드하는 데 문제가 있습니다.

tag-icon • tag-icon debian apt security http https
https를 사용하면 Debian(및 ubuntu)에서 apt-get 업데이트를 다운로드하는 데 문제가 있습니다.

이전 질문에서 언급한 바와 같이:apt-get 또는 apt가 https 연결만 사용하도록 하려면 어떻게 해야 하나요?

deb https://deb.debian.org/debian bookworm main
deb https://security.debian.org/debian-security bookworm/updates main
deb https://deb.debian.org/debian bookworm-updates main

security.debian.orghttps 프로토콜을 사용하면 작동하지 않습니다.

우분투를 사용하면서 https 프로토콜을 사용하여 apt-get 캐시를 업데이트하는 데 비슷한 문제가 발생했습니다.

이제 주요 보안 문제로 간주되는 운영 체제 업데이트를 다운로드하기 위해 순수 http를 사용하지 않습니까?

2023년에도 일반 http가 여전히 일부 테스트 환경에서 사용하기에 적합한 것으로 간주되는 이유를 이해하려고 머리를 긁적입니다. 중간의 무거운 메인라인과 패킷의 파괴를 제자리에 넣어서 제작된 패킷이 전송되어 사용자의 컴퓨터에 설치될 수는 없을까요?

답변1

데비안과 그 파생 제품은 보안 패키지 전달을 위해 TLS에 의존하지 않고 대신 시스템에 이미 있는 키(설치 중에 설정하거나 시스템 관리자가 추가한)를 사용하는 OpenPGP 키 서명에 의존합니다. 여기에는 메타데이터 및 패키지 내용이 포함됩니다.데비안 소프트웨어 패키지의 신뢰성을 어떻게 보장하나요?더 알아보기.

TLS에서 제공하는 또 다른 일반적으로 요청되는 기능은 기밀성입니다.즉귀하의 트래픽을 모니터링할 수 있는 사람은 귀하가 무엇을 하고 있는지 확인할 수 없습니다. 편리한 링크가 없지만 TLS만으로는 패키지 다운로드 활동을 의미있게 숨기기에 충분하지 않은 것으로 나타났습니다. 대부분의 경우 전송 크기는 다운로드 중인 패키지를 결정하는 데 충분합니다.

따라서 TLS는 데비안이 이미 제공하는 무결성을 추가하고 기밀성을 추가할 수 있지만 그렇지 않습니다. 또한 약간의 오버헤드를 추가하고 데이터 캐싱을 더 복잡하게 만듭니다(이는 배포 패키지 저장소에 유용합니다). 따라서 데비안은 기본적으로 이를 구성하지 않습니다.

데비안 리포지토리에서 모든 경우에 지원되지 않는 TLS의 한 가지 기능은 재생 공격에 대한 저항입니다. TLS가 없는 중간자 시나리오에서는 클라이언트에 이전 버전의 저장소 메타데이터 및 관련 패키지가 제공될 수 있으며, 이는 시스템을 취약하게 유지하는 데 사용할 수 있습니다. 자주 업데이트되는 데비안 리포지토리(특히 업데이트 및 보안 제품군)는 일주일 동안만 유효한 메타데이터를 생성하여 일주일 이후의 재생을 방지하지만 안정성 포인트 릴리스는 서명 키가 만료될 때까지 유효하므로 목표 시스템을 인위적으로 이전 포인트에 유지할 수 있습니다. 버전. (그러나 기본 구성에서는 이 경우 보안 업데이트가 계속 표시됩니다.)

물론 심층적인 방어가 더 좋으며 과거에는 TLS가 완화할 수 있는 취약점이 있었기 때문에 대부분의 리포지토리에서 TLS를 활성화할 수 있습니다.

모범 사례 측면에서:

  • Debian(또는 Ubuntu) 리포지토리의 경우 apt오류에 주의를 기울이면 기본 설정으로 충분합니다(그러나 원할 경우 TLS 활성화를 막을 수는 없습니다).
  • 타사 리포지토리의 경우 가능하면 TLS를 사용해야 합니다(포괄적 규칙으로 이는 각 리포지토리가 올바르게 구성되었는지 확인하는 것보다 쉽습니다).

관련 정보