Tại sao CentOS phản ánh HTTP chứ không phải HTTPS?

Theo như tôi biết, HTTP có xu hướng tấn công trung gian. Như vậy, các kho lưu trữ trong Alpine Linux hoặc là CentOS Gương không phải là HTTPS.

Trước đây, việc có HTTPS từng là một vấn đề tốn kém. Nó tốn thời gian CPU của máy chủ và chứng chỉ không miễn phí. Nhưng bây giờ là năm 2022 và chúng tôi có nhiều cách để khắc phục những sự cố đó và bảo mật luôn được ưu tiên hàng đầu hơn bao giờ hết!

Làm thế nào chúng ta có thể có được các tệp nhị phân thông minh hơn?

Đây cũng là một vấn đề trong cộng đồng Linux rộng lớn hơn? I E., Ubuntu, Linux bạc hà, mởSUSE, vân vân.?

Các gói thực sự đã được ký, do đó một thao tác sẽ được chú ý.

Ngoài ra các gói không phải là bí mật, vì vậy không cần phải mã hóa chúng trên chuyển khoản.

Với khối lượng tải xuống từ máy nhân bản, điều này có thể giúp họ tiết kiệm rất nhiều tài nguyên.

Nó giống nhau trên Debian và Ubuntu.

Từ góc độ kỹ thuật, thực tế là nội dung HTTP đơn giản có thể dễ dàng được lưu vào bộ đệm ẩn bởi các máy chủ proxy có thể tạo ra một chút khác biệt khi bạn cần quản lý và cập nhật nhiều hệ thống.

Việc thiết lập máy nhân bản cục bộ thường là quá mức cần thiết và không thực tế, nhưng khi máy chủ proxy của bạn có thể cung cấp các bản cập nhật từ bộ đệm ở tốc độ LAN, thay vì mọi máy khách trong mạng của bạn kết nối với nguồn trực tuyến...

Các gói được ký bằng phương pháp ngoài kênh (GPG các khóa được lưu trữ trên hệ thống của bạn).

Công dụng chính của việc có HTTP là giúp dễ dàng có proxy phụ thuộc giữa Internet và máy của bạn, điều này có thể tiết kiệm rất nhiều băng thông và thời gian bằng cách chỉ phải tải xuống một lần (lần đầu tiên) các bản nâng cấp có khả năng là 1000 (ảo ) máy móc.

HTTPS ngăn chặn điều đó (không hoàn toàn, nhưng làm cho nó khó hơn), bởi vì được mã hóa nối đầu, bạn không thể dễ dàng đặt thứ gì đó có thể chặn các gói đã tải xuống để lưu trữ và phân phối chúng sau này.

Lỗi thời gian hệ thống có thể gây ra sự cố với HTTPS. Nó không phải là một vấn đề thực sự, nhưng đôi khi nó không cần thiết.

Một hệ thống lỗi thời không có chứng chỉ đáng tin cậy là một điều khó khăn để cập nhật chúng.

Những tấm gương cần phản hồi giống nhau bất kỳ tên máy chủ.

Phải mất thời gian để thiết lập các máy nhân bản phân tán với các chứng chỉ hợp lệ.

Rất nhiều máy nhân bản sẽ phản hồi trên HTTPS nếu bạn thay đổi URL, ngay cả khi liên kết tới chúng chỉ là HTTP. Dùng cái này còn hơn là không verify gì cả mà đặt niềm tin tuyệt đối vào mirror host. Việc sử dụng chữ ký GPG chính thức để xác minh các lượt tải xuống sẽ chỉ tạo niềm tin cho các bên mà bạn đã hoàn toàn tin tưởng.

Nếu bạn làm theo hướng dẫn tại đây, bạn chỉ cần tin tưởng vào chứng chỉ cho kinh điển.com, Ví dụ. https://ubuntu.com/tutorials/how-to-verify-ubuntu

Bản phân phối CentOS sử dụng GPG để ký cả gói rpm và siêu dữ liệu kho lưu trữ yum/dnf, để cuộc tấn công MITM sẽ bị ngăn chặn.

Xem thêm Cách Fedora đảm bảo giao hàng trọn gói, đang thảo luận về Fedora, nhưng chính sách và công cụ bảo mật siêu dữ liệu gói và kho lưu trữ là như nhau.