Обычный http безопасен для загрузки debs из репозиториев Ubuntu.
- Дебс подписан. Они были подписаны с момента запуска Ubuntu. Они были подписаны Debian за много лет до этого.
Система apt+repository разработана таким образом, что https не требуется для обеспечения безопасного получения оригинальных deb-файлов из репозиториев. Когда подпись не соответствует пакету по любой причине, apt выдает ошибку и не устанавливает пакет.
- Атаки Man-In-The-Middle (MiTM) рассматривались при создании метода распространения Debian, и этот вектор атаки уже давно нейтрализуется с помощью (все более длинных) сигнатур.
Конечно, нет ничего плохого в использовании https, если он доступен. Вы можете использовать источники https, если хотите.
- Большинство зеркал предоставлено добровольческими организациями, не контролируемыми Ubuntu или Canonical. Многие подают контент как «archive.ubuntu.com». Это делает управление SSL/TLS-сертификатами — и связанное с ним требование совместного использования приватных ключей — большой уродливой проблемой, которую ни один доброволец не решился решить за два десятилетия существования дистрибутивов на базе Debian. Вы можете помочь решить эту проблему.
Естественно, если вы можете продемонстрировать успешную демонстрационную MiTM-атаку против обычного использования apt, Команда безопасности Ubuntu хотели бы узнать о вашем подвиге, чтобы они могли смягчить это.
