为什么 Ubuntu pkg 存储库没有 SSL 加密？

Question

archive.ubuntu.com默认情况下也没有*.archive.ubuntu.comSSL 加密。这是危险和可怕的，尤其是。对于公共服务器，因为黑客可以伪装archive.ubuntu.com并发送带有病毒的 deb。那么，为什么？我可以通过 SSL 连接到它吗？

Answer 1

APT 是一种安全打包解决方案，其中包使用只有 Ubuntu 知道的密钥进行签名，并且 APT 使用系统上 APT 密钥环中的公钥来验证密钥。这有效地提供了端到端的保证，确保该软件包不会被 Ubuntu 之外的任何人修改，无论您是从官方 Ubuntu 服务器还是某个镜像获得它。

Ubuntu 的存储库系统的构建方式（作为 Debian 的一部分）使您不必信任您使用的镜像，只是它们没有修改软件包，因为它是由发行版内部签名的。这允许存储库去中心化，并且任何志愿者都可以设置镜像。

因此，例如，您可以使用 example.com 作为镜像 - 如果您要使用 HTTPS 并验证您确实正在与 example.com 通信，它不会告诉您任何有用的信息，例如该镜像是否经过批准无论您的发行版 (Ubuntu) 还是该镜像在从 Ubuntu 获取软件包后修改软件包以添加病毒，它都只是告诉您您正在与 example.com 进行通信。但 APT 内置的签名验证确实提供了这些保证。

APT 确实通过 HTTPS 运行，您可以在 APT 源条目中使用 HTTPS，为您的连接应用另一个级别的保证（如果您使用的存储库支持它）。