ভাণ্ডার তালিকাগুলি কি সুরক্ষিত? এইচটিটিপিএস সংস্করণ আছে?


24

সংগ্রহস্থল আপডেটগুলি কি নিরাপদ?

বিকাশকারী পক্ষ থেকে সামান্য মস্তিষ্কের ভালুক হিসাবে, কেন সংগ্রহস্থল তালিকা http://security.ubuntu.comএবং অন্যান্য http(অনিরাপদ) সাইট তালিকাভুক্ত তা আমি বুঝতে পারি না /etc/apt/sources.list। শংসাপত্র শৃঙ্খলা না মিললে এটি "উবুন্টু ডটকম সাইটটি জিজ্ঞাসা করুন ..." পরিবর্তে "প্যাকেজগুলির তালিকার জন্য কোনও উত্তরদাতাকে জিজ্ঞাসা করুন" হিসাবে প্রদর্শিত হবে

কোনও নেটওয়ার্ক আপডেট সাইটগুলি ছদ্মবেশী বেছে নিতে পারে এবং স্থানীয়ভাবে ক্যাশেড এবং পরীক্ষিত অনুলিপি সরবরাহ করা কি এই সাধারণ অভ্যাস?

উত্তর:


30

সংক্ষেপে, হ্যাঁ তারা সুরক্ষিত, কারণ ফাইলগুলিতে সাইন করতে ব্যবহৃত পাবলিক কী ক্রিপ্টোগ্রাফি।

এপিটি দ্বারা ডাউনলোড করা সমস্ত ফাইলের একটি স্বাক্ষর রয়েছে যা আপনার কম্পিউটারে সঞ্চিত পাবলিক কীগুলির বিপক্ষে ডাউনলোড করা ফাইলকে উবুন্টু এবং কেবল উবুন্টু স্বাক্ষরিত হিসাবে যাচাই করার অনুমতি দেয়। এটি যাচাই করে যে আপনি প্রাপ্ত ফাইলটি কোনও পর্যায়ে উবুন্টু কর্তৃক অনুমোদিত ছিল এবং এর পর থেকে কোনও সংশোধন বা হস্তক্ষেপ করা হয়নি।

এটি কীভাবে কাজ করে তার একটি প্রযুক্তিগত ব্যাখ্যা উবুন্টু (এবং ডেবিয়ান থেকে যা একই সিস্টেম ব্যবহার করে) থেকে উপলব্ধ।

এইচটিটিপিএসের পরিবর্তে এইচটিটিপি ব্যবহারের কারণে, হ্যাঁ শ্রবণকারীরা আপনি কী ফাইল ডাউনলোড করছেন তা দেখতে পেয়েছিল তবে গোপনীয়তা এই ক্ষেত্রে আপনার উদ্বেগের কারণ হতে পারে না। ক্ষতিকারক কোডটি ইনজেকশনের জন্য প্যাকেজগুলিকে সংশোধন করার একটি মধ্যবর্তী প্রচেষ্টা এখনও ব্যর্থ হবে কারণ এটি সই করার পদ্ধতিটি ভেঙে দেবে।

এই স্বাক্ষরকরণের ব্যবস্থায় একটি সম্ভাব্য গোটাচা হ'ল এটি গ্যারান্টি দেয় না যে আপনি প্যাকেজটির সর্বাধিক যুগোতম সংস্করণ পেয়ে যাচ্ছেন (প্রকৃতপক্ষে, কখনও কখনও আয়না আপডেট হতে ধীর হয়)। এই সমস্যাটি প্রশমিত করতে সহায়তার জন্য, স্বাক্ষরিত রিলিজ ফাইলটিতে একটি "বৈধ-অবধি" তারিখ অন্তর্ভুক্ত রয়েছে যার পরে এটি উল্লেখ করা সমস্ত ফাইলগুলি বাসি হিসাবে বিবেচনা করা উচিত। মধ্য-মধ্য-মধ্যের পক্ষে এই বৈধ-অবধি তারিখের মধ্যে সংরক্ষণাগারটির একটি অপরিশোধিত পূর্ববর্তী সংস্করণ সহ একটি সংরক্ষণাগার স্থাপন করা এবং আপনার আপডেটটিকে কোনও আপডেট নেই বলে বিশ্বাস করার জন্য এটি প্রশংসনীয় হবে। তবে তারা প্যাকেজগুলিতে কোনও স্বেচ্ছাসেবী পরিবর্তন করতে পারে না বা নির্দিষ্ট সময়ে পারা যেতে পারে না।

স্বাক্ষর করার পদ্ধতিগুলি এই জাতীয় বিতরণ করা পরিবেশে এইচটিটিপিএসের চেয়ে অনেক বেশি সুরক্ষার ব্যবস্থা করে যেখানে ফাইলগুলি উবুন্টু দ্বারা নিয়ন্ত্রিত নয় এমন অনেকগুলি সার্ভারের উপর মিরর করা হয়। মূলত আপনাকে কেবল উবুন্টুকে বিশ্বাস করতে হবে, আয়না নয়, সুতরাং আপনাকে প্রমাণ করতে হবে যে ফাইলগুলি মূলত উবুন্টু থেকে এসেছে এবং যেহেতু কোনও রূপান্তর করা হয়নি - আয়নাটির পরিচয় যাচাই করার দরকার নেই।

মনে রাখবেন যে আপনি যখন আপনার উত্স তালিকায় কোনও বেসরকারী সংগ্রহশালা যুক্ত করবেন যেমন পিপিএ, তখন আপনি সেই ফাইলগুলি পাবেন যা উবুন্টু স্বাক্ষরিত নয়। এপিটি আপনাকে এই সম্পর্কে সতর্ক করতে হবে, কারণ উবুন্টু কর্তৃক অনুমোদিত হিসাবে আপনার কম্পিউটারে ইনস্টল করা যে কোনও পাবলিক কীগুলির সাথে এটি কোনও শংসাপত্রের দ্বারা স্বাক্ষরিত হয়নি।


1
গ্রেট! সুতরাং সংক্ষিপ্ত সংস্করণটি হ'ল "পরিবহন স্তরটি সুরক্ষিত নয়, তবে প্রতিটি প্যাকেজ স্বাক্ষরিত। বিদ্যমান সুরক্ষা সম্পর্কিত কোনও উপলভ্য আপডেটের প্যাচ এবং প্যাচগুলি সরবরাহ করার নিশ্চয়তা নেই।"
চার্লস মেরিয়াম

2
না নিশ্চিত করুন যে আপনি দ্বারা কি বোঝাতে চেয়েছেন কিন্তু মুক্তি ফাইল এবং প্যাকেজ তালিকা "সেখানে উপলব্ধ আপডেটের কোন নিরাপদ তালিকা" হয় স্বাক্ষর করেন। এটি কেবলমাত্র এটি যাচাই করে না যে আপনার আয়নাটি আপ টু ডেট।
থোমাসরুটটার

3
তবুও, যদি মিরর, বা মূল সাইটটি আপ টু ডেট আছে যাচাই করার কোনও উপায় না থাকে তবে আপডেটগুলি পাওয়া যায় কিনা তা জানার উপায় নেই, সুরক্ষা আপডেট রয়েছে বা অন্যথায়। এটি হ'ল উপলভ্য আপডেটগুলির কোনও নিরাপদ তালিকা নেই।
চার্লস মেরিয়াম

4
অ্যালিস চালায় উবুন্টু। বব অ্যালিসের ইন্টারনেট সংযোগ নিয়ন্ত্রণ করে। অ্যালিসের ইনস্টলেশনতে বব কোনও খারাপ প্যাকেজ রাখতে পারবেন না কারণ প্রতিটি প্যাকেজ স্বাক্ষরিত। উবুন্টুতে কিছু বিশাল সুরক্ষা ত্রুটি পাওয়া যায়। অ্যালিস আপডেট হওয়া প্যাকেজটি সন্ধান করার চেষ্টা করে, তবে বব প্যাকেজটির সমস্ত উল্লেখ অ্যালিসের আপডেট চেক থেকে সরিয়ে দেয়। অ্যালিস একটি সিসাডমিনকে তাকাচ্ছে এবং তারপরে উবুন্টু ডট কম থেকে এইচটিটিপিএসের মাধ্যমে আপডেট চেকটি টানছে যাচাই করে যে সে একটি নিরাপদ লিঙ্কের সাথে সত্যিকারের ওয়েবসাইটে সংযুক্ত রয়েছে ifying এখন অ্যালিস সুরক্ষা আপডেট দেখে এবং বব এটি আড়াল করতে পারে না।
চার্লস মেরিয়াম

3
এটি অবশ্যই সঠিক উত্তর। তবে যেটি আমি আশ্চর্যের সাথে লক্ষ্য করি তা হ'ল যে কোনও ব্যক্তি আপনি যে সমস্ত প্যাকেজগুলি আপডেট করেছেন এবং কোনটি আপনি আপডেট করেননি সেগুলি সহ, তাদের আক্রমণকে লক্ষ্য করে চিহ্নিত করার জন্য, আপনার ইনস্টল করা সমস্ত প্যাকেজগুলির একটি তালিকা সংকলন করার জন্য কোনও শিবির উদ্বিগ্ন বলে মনে হয় না এই প্যাকেজগুলিতে সুরক্ষা দুর্বলতা।
টেকিন

8

এখানে শীর্ষ রেট দেওয়া উত্তর পরিষ্কারভাবে পুরানো। এর পর থেকে বাগি প্যাকেজ যাচাইকরণের কারণে অ্যাপটিতে 2 টি গুরুতর রিমোট কোড এক্সিকিউশন শোষণ পাওয়া গেছে। সুরক্ষা বুলেটিনগুলি এখানে এবং এখানে

এটি গোপনীয়তা / তথ্য ফাঁস এবং বাসি প্যাকেজ সংস্করণ সম্পর্কে উদ্বেগগুলির চেয়ে অনেক খারাপ; এটি রুট হিসাবে সম্পূর্ণ নির্ধারিত কোড নির্বাহ সক্ষম করে, সম্পূর্ণ সুরক্ষা ব্যর্থতা। এবং জিনিসটি হ'ল: এই আক্রমণগুলি HTTP এর পরিবর্তে https ব্যবহার করা যেতে পারত।

এটি প্রমাণ করে যে গভীরতার নীতিতে প্রতিরক্ষা এখানে অন্য কোথাও প্রযোজ্য। Https আশেপাশে প্রচুর দাবীগুলি এইচটিএসপি প্রসঙ্গে যে কোনও বা ন্যূনতম সুরক্ষা সুবিধা সরবরাহ করে তা কেবল ভুল, যেমন এই শোষণগুলি দেখিয়েছে।

প্রশ্নটি তখন হয়ে যায় যদি https এর সুরক্ষা সুবিধাটি ক্যাশেিংয়ের ক্ষেত্রে ব্যয়যোগ্য, ওভারহেড বাড়ানো ইত্যাদি worth আমি এর উত্তর দিতে পারি না তবে খুব কমপক্ষে আমি মনে করি উবুন্টু / ক্যানোনিকাল / লঞ্চপ্যাডটি তাদের সংগ্রহস্থলের জন্য alচ্ছিক https শেষ পয়েন্টগুলি সরবরাহ করতে হবে ।


1
সুরক্ষাও গোপনীয়তা সম্পর্কে, এবং এইচটিটিপিএস এর অর্থ হ'ল আপনি কোন প্যাকেজগুলি এবং সংস্করণগুলি চালাচ্ছেন তা নির্ধারণের জন্য খুব কম সময়ে খুব বেশি সময় লাগবে।
l0b0

আমি বলব যে যতক্ষণ না এপটি নিজেই এ নিয়ে সমস্যা না করে, ততক্ষণ ঠিক আছে http তবে জিপিজি সুরক্ষা (বা কীভাবে এটি আরও নিখুঁতভাবে ব্যবহার করে) গণ্ডগোলের ক্ষেত্রে https ব্যাকআপ দেয়।
রাউন্ডডাকম্যান

2

গুরুত্বপূর্ণ পরিপূরক - প্রকৃতপক্ষে, অনলাইন আপগ্রেড এবং প্রাথমিক ইনস্টলেশন ডাউনলোড হিসাবে, এটি প্রচুর ট্র্যাফিক নেয় এবং এই ট্র্যাফিকের উত্স, অর্থাৎ বাইনারি এবং পাঠ্য কোড স্ট্রিমগুলি পুনরুত্পাদনযোগ্য। সুতরাং এটির জন্য ইন্টারনেটে প্রচুর গেটওয়ে এবং ক্যাশে ডিভাইস রয়েছে। রফতানি ব্যান্ডউইদথ সংরক্ষণ করার জন্য যথেষ্ট সংখ্যক আইএসপি http প্রোটোকলের উপর ভিত্তি করে ক্যাশে স্থাপন করেছিল এবং https প্রোটোকল স্বচ্ছ ক্যাশে হিসাবে উপস্থিত থাকতে পারে না।

আরেকটি কারণ হ'ল এইচটিপি-ভিত্তিক মিররিং প্রোগ্রামটি খুব সহজ, tls-ssl শংসাপত্রটি যাচাই করার দরকার নেই এবং শংসাপত্রের অবৈধতা বা ওয়েব সার্ভার কনফিগারেশন সমস্যা সম্পর্কেও চিন্তার দরকার নেই।

খুব বেশি দিন আগে, প্রায় 20 বছর আগে ইন্টারনেটের শুরুতে, https এবং ইন্টারনেট ট্র্যাফিক এখনও খুব ব্যয়বহুল গেমপ্লে ছিল। সুতরাং, HTTP এফটিপি প্রোটোকল অন্তর্ভুক্ত করেছে, যা অপ্রচলিত হওয়ার কাছাকাছি, অনলাইনে সফ্টওয়্যার প্যাকেজ বিতরণের জন্য ইনস্টলেশন ও আপডেট সরবরাহের প্রধান উপায় হিসাবে।

একইভাবে, মাইক্রোসফ্ট উইন্ডোজ এবং অফিসও এইচটিপি ব্যবহার করে আপগ্রেড করা হয়। আপনি পর্যবেক্ষণ করতে পারেন যে এটি সাধারণত মাইক্রোসফ্টের সার্ভার থেকে ডাউনলোড করা ইনস্টলেশন প্যাকেজ নয়, তবে আপনার আইএসপির স্ব-নির্মিত-নির্মিত ক্যাশে সার্ভার।

আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.