apt sources.list 有没有必要要求 tls?

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

› Ubuntu

› Ubuntu Edge

› Snappy Ubuntu

› Canonical

› Uncomplicated Firewall

› upstart

这是一个创建于 3161 天前的主题，其中的信息可能已经有所发展或是发生改变。

像 security.ubuntu.com 这样源，还有各大镜像清一色无 tls 为什么呢？难道不重要？

TLS

apt

清一色

镜像

13 条回复 • 2016-04-23 22:27:18 +08:00

msg7086

2016-04-23 12:34:21 +08:00

无所谓吧， TLS 反而增加服务器负担。

squid157

2016-04-23 12:48:51 +08:00 via iPhone

因为包里面有 GPG 签名

whatisnew

2016-04-23 13:06:02 +08:00

@squid157 如果 GPG 签名自已也被更新了呢？

jasontse

2016-04-23 13:11:06 +08:00 via iPad

@whatisnew 你的系统里预装了公钥

whatisnew

2016-04-23 13:15:14 +08:00

@jasontse upgrade 是需要 root 权限的，那就是说公钥也是可以被替换的啊

zsj950618

2016-04-23 13:21:31 +08:00 via Android

https://mirrors.ustc.edu.cn
https://mirrors.tuna.tsinghua.edu.cn

用 https 倒不是为了包不被篡改，因为有 gpg 验证，而且你应该要自己去检验 gpg 公钥的 fingerprint

在国内用 https 很必要的一点是可以防止运营商进行缓存劫持，缓存劫持通常会使一些元信息不一致，导致你更新失败。

shiji

2016-04-23 13:33:23 +08:00

@whatisnew gpg 的公钥不属于任何一个软件包，不可能被 upgrade 更新。除非你自己手动用 apt-key add 加。

Testalias

2016-04-23 13:43:26 +08:00

Arch CN repo already use HTTPS

Tink

2016-04-23 14:03:51 +08:00 via iPhone

有些是支持 https 的

wsy2220

2016-04-23 15:12:45 +08:00 via Android

有 gpg 签名保障

zsj950618

2016-04-23 15:44:19 +08:00

@shiji

$ dpkg -L debian-archive-keyring
/.
/usr
/usr/share
/usr/share/keyrings
/usr/share/keyrings/debian-archive-removed-keys.gpg
/usr/share/keyrings/debian-archive-keyring.gpg
/usr/share/doc
/usr/share/doc/debian-archive-keyring
/usr/share/doc/debian-archive-keyring/changelog.gz
/usr/share/doc/debian-archive-keyring/README
/usr/share/doc/debian-archive-keyring/copyright
/etc
/etc/apt
/etc/apt/trusted.gpg.d
/etc/apt/trusted.gpg.d/debian-archive-jessie-automatic.gpg
/etc/apt/trusted.gpg.d/debian-archive-squeeze-automatic.gpg
/etc/apt/trusted.gpg.d/debian-archive-jessie-stable.gpg
/etc/apt/trusted.gpg.d/debian-archive-wheezy-stable.gpg
/etc/apt/trusted.gpg.d/debian-archive-jessie-security-automatic.gpg
/etc/apt/trusted.gpg.d/debian-archive-wheezy-automatic.gpg
/etc/apt/trusted.gpg.d/debian-archive-squeeze-stable.gpg

billlee

2016-04-23 16:23:28 +08:00

@whatisnew 首先，更新公钥的 deb 也要通过原来的 GPG 签名校验

RqPS6rhmP3Nyn3Tm

2016-04-23 22:27:18 +08:00

你信任操作系统，操作系统信任根证书，根证书签发信任网站， ISO 通过 HTTPS 下载， ISO 里内置 GPG keyring ，用内置的 GPG keyring 升级新的钥匙串或者验证软件包

除非要防劫持， HTTPS 还真没啥作用