Vtipné, viz oficiální stránka Ubuntu nebo tady výpis všech mirror, http je docela běžné. Balíček se stáhne a hned spustí se kód s právy roota, nic lepšího již nedostaneš.
Jenže tady to HTTP vůbec nevadí, protože ty balíčky jsou podepsané každý zvlášť vývojáři dané distribuce. Pak je úplně jedno, odkud se stahují, protože provozovatel zrcadla nedokáže vyrobit svůj podvržený balíček a podstrčit ho uživateli do systému.
A jakpak se ten Release.gpg do toho systému dostane, aby se podle něho ověřily podpisy u balíčků?
Tady je ten kámen úrazu, on se totiž stahuje také z toho http.
Ano, distribuce zpravidla přichází s předkonfigurovaným keyringem, ale třeba Debian je každý rok rotuje. Mysli na to, že pokud útočník má možnost podvrhnout celý repositář vč. metadat, může si sám udělat vlastní GPG key id a tím podepsat svůj podvržený balíček. Bavíme se i o spoustě dalších repositářů na SW, který se tak běžně distribuuje.
Stejně tak si představ útočník, který prostě čeká, sleduje provoz a až se naskytne ta správná kombinace provozu, teprve tehdy začne obsah podvrhávat, http repository pro apt není na tenhle typ útoku odolné. Může třeba čekat na situaci, kdy si budu chtít aktualizovat distribuci nebo si přidám nový apt source.
Rozumíme si?
35 Odpovědí
9643 Zhlédnutí