Безопасно ли обновление мета-релиза (do-release-upgrade)?

Я пытаюсь понять do-release-upgradeпроцесс, то есть способ, которым Ubuntu побуждает меня перейти к следующей версии Ubuntu весной или осенью.

После прочтения исходных текстов ubuntu-release-upgraderя обнаружил файл / etc / update-manager / meta-release в моей системе. Этот файл использует URL-адрес HTTP для указания на http://changelogs.ubuntu.com/meta-release, где перечислены различные выпуски Ubuntu от Warty 04.10 до Raring 13.04. Этот файл содержит список выпусков, их статус поддержки, дату выпуска и ссылку на Releaseфайл.

Теперь у Releaseфайла есть соответствующая подпись GPG и sha1sum Packagesфайла, который, в свою очередь, имеет sha1sum отдельных двоичных файлов DEB, которые устанавливаются. В последних выпусках также есть скрипт обновления и соответствующая подпись GPG. Все звучит хорошо.

Мой вопрос о самом meta-releaseфайле. Он не обслуживается по протоколу HTTPS, и я не могу найти для него подпись GPG. Если кто-нибудь заменит этот файл, он может каким-то образом заставить мою машину обновиться ...

... к подписанному выпуску, который еще не прошел тестирование безопасности?
... к старому выпуску, который не поддерживается и имеет незафиксированные уязвимости безопасности?

security do-release-upgrade

— jwal
источник

Очень хороший вопрос и хорошо написано. Если эта проблема безопасности может быть подтверждена, и разработчики уведомлены, я думаю, что это должно быть (нераскрыто) до исправления. Моя первая мысль - это действительно звучит уязвимо для атаки «человек посередине». Пользователь все еще должен подтвердить обновление.

— gertvdijk

Тем временем я собрал дополнительную информацию, и как только я найду время, чтобы подтвердить ее фактами / экспериментами, я опубликую ее в качестве ответа. Обратите внимание, что UpgradeToolSignatureон все еще существует, поэтому он будет обновляться только с помощью инструмента, подписанного Canonical (но да, это не устраняет возникшие у вас проблемы).

— gertvdijk

Я пытался принудительно выполнить переход на старую версию, но скрипт обновления сказал, что не знает, как перейти с рэринга на харда. Apt не понижает рейтинг без переопределения. Похоже, что худшее, что вы можете сделать, это предложить вашей жертве перейти на более новую версию, чем они хотят, например, разработку или не-lts.

— 13

Я думал о другом подходе. Подсказка: не требуется дезинфекция. Я найду время в выходные, наверное. :)

— gertvdijk

Я был бы более обеспокоен тем, что один из репозиториев Ubuntu будет скомпрометирован и что пакеты будут заменены троянскими, которые подписаны тем же, что определен в метафайле.

— Джастин Андруск

Ответы:

Для do-release-upgrade требуются права администратора, и если вы используете LTS-версию, она останется на этом и не повысит вашу версию автоматически. Если вы используете неофициальные источники, это вызывает кучу предупреждающих сообщений.

Однако варианты графического интерфейса пользователя для конечного пользователя ничем не отличаются от UAC в Windows, где любой, кто недостаточно технически настроен, просто нажмет кнопку или введет пароль, проигнорирует предупреждения и уйдет на чашку чая. Так что на практике это не более или менее безопасно, чем Windows Update.

Короче говоря - я бы не поверил, что обновление будет безопасным На самом деле, если вы работаете в LTS и используете Ubuntu для критически важных задач, я бы не стал обновлять основную версию до тех пор, пока ваша версия больше не будет поддерживаться - обновление действительно ломает вещи тонкими способами, которые требуют времени для исправления.

— Ritchie333
источник

Мой вопрос на самом деле о хакере в сети - как человек посередине - а не о локальной машине, выполняющей обновление. Я уже знаю, что вам нужно быть пользователем root, чтобы запустить обновление на локальной машине.

— jwal

Только администратор может вызвать постоянные изменения файлов на ПК. Гостевые пользователи не могут изменять эти (или любые другие) файлы. Никто, кроме самого администратора, не может заставить менеджер обновлений искать какую-либо потенциально опасную ссылку.
Теперь администратор не сможет повредить свой собственный компьютер (если он не в своем уме). И никогда не следует позволять третьим лицам получать доступ к правам администратора. Так что риска практически нет.
Возможно, вредоносные приложения могут, но если вы используете надежные репозитории, этот риск не превалирует.
Как сказал @gertvdijk, пользователь все еще должен подтвердить обновления
И, наконец, вы всегда можете восстановить исходную ссылку.

Короче говоря, « кто-то » не может изменить этот файл. Только администратор может вносить изменения в файлы.

этот процесс, безусловно, может быть более безопасным. Программа обновления программного обеспечения может шифровать эти файлы, а также использовать ключ gpg

Наконец, еженедельная новостная рассылка Ubuntu информирует вас о последних обновлениях / обновлениях. Вы можете подтвердить это, чтобы обеспечить максимальную безопасность вашего компьютера.

— зарегистрированный пользователь
источник