Обновления UNIX-систем
Как лучше обновлять UNIX-системы – при прямом подключении к инету или через Tor, что безопаснее?
И если через Tor, то как заставить пакетный менеджер работать через него?
Например, у меня на вирт. машинах под дебиан и убунту обновление идет через тор, потому что вирт. машины запускаются под "прозрачно заторенным" юзером.
А как сделать это на физ. машине? Прописать такого юзера в sudoers? Как я понимаю, aptitude, хотя и работает под рутом, с сетью коннектиться не из-под рута, или я неправ?
комментариев: 9796 документов: 488 редакций: 5664
Даже если предположить, что на безопасность это никак не влияет, Tor для анонимности, а не безопасности. Вам нужно скрыть, какие пакеты вы обновляете в системе? Хорошо, допустим вы будете использовать Tor. Только если очередное обновление будет на много мегабайтов — это медленно, ненадёжно (может оборваться по таймауту, если цепочки неудачно построятся) и перегружает саму сеть Tor.
Там сделано максимально безопасно с точки зрения раздачи привилегий процессам. На физ. машине проще всего использовать связку Tor+Privoxy (или Polipo) и задать обновление через локальный прокси в конфиге apt (подойдёт только для http, но не ftp зеркал). Можно использовать в консоли команду вида export HTTP_PROXY=127.0.0.1:8118; export http_proxy=127.0.0.1:8118 перед запуском aptitude (при настроенном privoxy на локалхосте, заворачивающим трафик в Tor).
Вообще, поскольку скачанные пакеты проверяются по списку хэшей, подписанным электронной подписью GnuPG, то исходящий узел Tor не может подсунуть злонамеренный пакет. Не могу поручиться, есть ли на списке пакетов метки времени — не может ли человек-посредине задерживать (причём для заведомо анонима) весь список целиком на какое-то время, если обнаружилась какая-то фундаментальная дыра в апдейтах например.
Ну, например такая модель угрозы, когда противник в результате MITM-атаки целенаправленно подсовывает тебе проруткиченные пакеты. Я понимаю, что есть система проверки подлинности пакетов, но если допустить, что он уже подсунул мне проруткиченный дистр при его скачивании, подменив, нап
Это я замечал при обновлениях Debian Testing на виртмашине – там каждое обновление, если даже делать его раз в неделю, затягивается на часы.
Впрочем, тестинг я туда ставил для экспериментов, до которых не дошли руки, а для практических целей (типа повысить анонимность таким путем) я юзаю бубунту, которая уже даже не old stable, а более ранняя версия. (Которую по этой же причине не особенно хочу обновлять – по-моему, быстрее новую виртмашину создать с образа диска с локалхоста, чем обновлять старую через Tor)/
А если вдруг "кровавая гэбня" подменяет все скачиваемые в России дистры Linux через MITM-атаку, и уже давно это делает?!