Czy aktualizacja meta-release (do-release-upgrade) jest bezpieczna?

Próbuję zrozumieć do-release-upgradeproces, tj. Sposób, w jaki Ubuntu zachęca mnie do aktualizacji do następnej wiosennej lub jesiennej wersji Ubuntu.

Po przeczytaniu źródeł ubuntu-release-upgraderznalazłem plik / etc / update-manager / meta-release w moim systemie. Wygląda na to, że ten plik używa adresu URL HTTP, aby wskazać http://changelogs.ubuntu.com/meta-release, gdzie znajdują się różne wersje Ubuntu od Warty 04.10 do Raring 13.04. Ten plik zawiera listę wydań, ich status wsparcia, datę wydania oraz link do Releasepliku.

Teraz Releaseplik ma odpowiednią sygnaturę GPG i sumę sha1 Packagespliku, która z kolei ma sumę sha1sum poszczególnych instalowanych plików binarnych DEB. Najnowsze wersje mają również skrypt aktualizacji i odpowiedni podpis GPG. Wszystko brzmi dobrze.

Moje pytanie dotyczy samego meta-releasepliku. Nie jest obsługiwany przez HTTPS i nie mogę znaleźć dla niego podpisu GPG. Jeśli ktoś zastąpi ten plik, może w jakiś sposób spowodować aktualizację mojego komputera ...

... do podpisanej wersji, która nie przeszła jeszcze testów bezpieczeństwa?
... do starej wersji, która nie jest obsługiwana i ma naprawione luki w zabezpieczeniach?

security do-release-upgrade

— jwal
źródło

Bardzo dobre pytanie i dobrze napisane. Jeśli problem bezpieczeństwa może zostać potwierdzony, a programiści zostaną powiadomieni, myślę, że powinno to być (niejawne), dopóki nie zostanie naprawione. Moją pierwszą myślą jest to, że rzeczywiście brzmi to podatne na atak typu man-in-the-middle. Jednak użytkownik nadal musi potwierdzić aktualizację.

— gertvdijk

W międzyczasie zebrałem trochę więcej informacji i kiedy znajdę czas, aby poprzeć je faktami / eksperymentami, opublikuję je jako odpowiedź. Zauważ, że UpgradeToolSignaturenadal tam jest, więc będzie aktualizować tylko za pomocą narzędzia podpisanego przez Canonical (ale tak, to nie zmniejsza twoich obaw).

— gertvdijk

Próbowałem wymusić przejście na starszą wersję, ale skrypt aktualizacji powiedział, że nie wie, jak przejść z wersji Raring na Hardy. Apt nie obniża wersji bez obejścia. Wygląda na to, że najgorsze, co możesz zrobić, to skłonić swoją ofiarę do aktualizacji do nowszej wersji, niż chcą, np. Programistów lub nie-lts.

— jwal

Myślałem o innym podejściu. Wskazówka: brak dezynfekcji danych wejściowych. Pewnie znajdę trochę czasu w weekend. :)

— gertvdijk,

Byłbym bardziej zaniepokojony tym, że jedno z repozytoriów Ubuntu zostało przejęte i zastąpione pakietami trojanizowanymi, które są podpisane tym samym pakietem zdefiniowanym w pliku meta.

— Justin Andrusk

Odpowiedzi:

Do-release-upgrade wymaga uprawnień administratora, a jeśli korzystasz z wersji LTS, pozostaniesz przy tym i nie będziesz automatycznie aktualizować wersji. Jeśli korzystasz z nieoficjalnych źródeł, pojawia się kilka ostrzeżeń.

Jednak warianty GUI w tym zakresie nie są dla użytkownika końcowego niczym w UAC w systemie Windows, gdzie każdy, kto nie jest wystarczająco przeszkolony technicznie, po prostu kliknie przycisk lub wpisze hasło, zignoruje ostrzeżenia i pójdzie na herbatę. W praktyce więc nie jest mniej lub bardziej bezpieczny niż Windows Update.

Krótko mówiąc - nie ufałbym aktualizacji jako bezpiecznej. W rzeczywistości, jeśli korzystasz z LTS i używasz Ubuntu do krytycznych zadań, unikałbym aktualizacji głównej wersji, dopóki twoja wersja nie będzie już obsługiwana - uaktualnianie psuje rzeczy w subtelny sposób, co wymaga czasu.

— Ritchie333
źródło

Moje pytanie dotyczy hakera w sieci - jak człowiek w środku - a nie na lokalnej maszynie z uruchomioną aktualizacją. Wiem już, że musisz być rootem, aby uruchomić aktualizację na komputerze lokalnym.

— jwal

Tylko administrator może powodować trwałe zmiany plików w komputerze. Użytkownicy-goście nie mogą zmieniać tych (ani żadnych innych) plików, więc nikt inny niż sam administrator nie może spowodować, że menedżer aktualizacji szukał potencjalnie szkodliwego linku.
teraz Administrator nie uszkodzi własnego komputera (chyba że oszaleje). I nigdy nie należy pozwalać żadnej osobie trzeciej na dostęp do praw administratora, więc praktycznie nie ma ryzyka.
Może złośliwe aplikacje mogłyby, ale jeśli używasz zaufanych repozytoriów, ryzyko to nie przeważa.
Jak powiedział @gertvdijk, użytkownik nadal musi potwierdzić aktualizacje
I w końcu zawsze możesz przywrócić oryginalny link.

Krótko mówiąc, „ ktoś ” nie może zmienić tego pliku. Tylko administrator może wprowadzać zmiany w plikach.

ten proces może być z pewnością bezpieczniejszy. może aktualizator oprogramowania może zaszyfrować te pliki, a także użyć klucza gpg

Wreszcie cotygodniowy biuletyn Ubuntu informuje Cię o najnowszych aktualizacjach / uaktualnieniach. Możesz je potwierdzić, aby zapewnić najwyższy poziom bezpieczeństwa komputera.

— zarejestrowany użytkownik
źródło