A atualização de meta-release (do-release-upgrade) é segura?

Estou tentando entender o do-release-upgradeprocesso, ou seja, a maneira como o Ubuntu me solicita a atualização para a próxima versão do Ubuntu, na primavera ou no outono.

Depois de ler as fontes ubuntu-release-upgrader, encontrei o arquivo / etc / update-manager / meta-release no meu sistema. Esse arquivo parece usar uma URL HTTP para apontar para http://changelogs.ubuntu.com/meta-release onde estão listadas as várias versões do Ubuntu do Warty 04.10 ao Raring 13.04. Este arquivo lista os lançamentos, seu status de suporte, a data do lançamento e possui um link para o Releasearquivo.

Agora, o Releasearquivo tem uma assinatura GPG correspondente e o sha1sum do Packagesarquivo que, por sua vez, possui o sha1sum dos binários DEB individuais que são instalados. Os lançamentos recentes também possuem um script de atualização e uma assinatura GPG correspondente para eles também. Tudo parece bom.

Minha pergunta é sobre o meta-releasepróprio arquivo. Ele não é exibido sobre HTTPS e não consigo encontrar uma assinatura GPG para ele. Se alguém substituir esse arquivo, ele poderá fazer com que minha máquina seja atualizada ...

... para uma liberação assinada que ainda não passou por testes de segurança?
... para uma versão antiga que não é suportada e possui vulnerabilidades de segurança não corrigidas?

security do-release-upgrade

— jwal
fonte

Muito boa pergunta e bem escrita. Se esse problema de segurança puder ser confirmado e os desenvolvedores forem notificados, acho que isso deve ser (não revelado) até que seja corrigido. Meu primeiro pensamento é que isso realmente parece vulnerável a um ataque do tipo homem do meio. Um usuário ainda precisa confirmar a atualização.

— gertvdijk

Entretanto, coletei mais informações e, quando encontrar tempo para apoiá-las com fatos / experimentos, publicarei como resposta. Observe que ele UpgradeToolSignatureainda está lá, portanto, ele só será atualizado usando uma ferramenta assinada pela Canonical (mas sim, isso não atenua as preocupações que você tem).

— 9443 Gertvdijk

Tentei forçar um downgrade para uma versão antiga, mas o script de atualização dizia que não sabia como atualizar de raring para hardy. O Apt não faz o downgrade sem uma substituição. Parece que o pior que você pode fazer é solicitar que sua vítima atualize para uma versão mais recente do que deseja, por exemplo, desenvolvimento ou não-lts.

— jwal

Eu estava pensando em outra abordagem. Dica: nenhuma entrada higieniza. Provavelmente vou encontrar algum tempo no fim de semana. :)

— gertvdijk

Eu ficaria mais preocupado com o comprometimento de um dos repositórios Ubuntu e com a substituição dos pacotes por pacotes trojanizados, assinados pelo mesmo definido no arquivo meta.

— Justin Andrusk 29/09

Respostas:

do-release-upgrade requer direitos de administrador e, se você estiver em uma versão LTS, permanecerá nessa e não fornecerá automaticamente uma versão. Se você usar fontes não oficiais, haverá várias mensagens de aviso.

No entanto, para o usuário final, as variantes da GUI não são diferentes do UAC no Windows, onde qualquer pessoa que não seja tecnicamente suficiente apenas clica no botão ou digita a senha, ignora os avisos e sai para fazer uma xícara de chá. Portanto, na prática, não é mais ou menos seguro que o Windows Update.

Resumindo - eu não confiaria que a atualização fosse segura. De fato, se você estiver em um LTS e usando o Ubuntu para tarefas críticas, evitaria atualizar uma versão principal até que seu lançamento não seja mais suportado - a atualização quebra as coisas de maneiras sutis, o que leva tempo para você corrigir.

— Ritchie333
fonte

Minha pergunta é, na verdade, sobre um hacker na rede - como um homem no meio - e não na máquina local executando a atualização. Eu já sei que você precisa ser root para executar a atualização na máquina local.

— jwal

Somente Admin pode causar alterações permanentes nos arquivos do PC. Os usuários convidados não podem alterar esses (ou quaisquer outros) arquivos. Portanto, ninguém além do próprio administrador pode fazer com que o gerenciador de atualizações procure algum link potencialmente prejudicial.
Agora, o Admin não danificará seu próprio PC (a menos que esteja louco). E nunca permita que terceiros acessem os Direitos de Administrador. Portanto, praticamente não há riscos.
Talvez aplicativos maliciosos possam, mas se você usar repositórios confiáveis, esse risco não prevalecerá.
Como @gertvdijk disse, o usuário ainda precisa confirmar as atualizações
E, finalmente, você sempre pode restaurar o link original.

Então, em suma, " alguém " não pode alterar este arquivo. Somente o administrador pode fazer alterações nos arquivos.

esse processo pode certamente ser mais seguro. talvez o atualizador de software possa criptografar esses arquivos e também usar uma chave gpg

Finalmente, o boletim semanal do Ubuntu mantém você atualizado com atualizações / atualizações recentes. Você pode confirmá-lo e garantir a melhor segurança do seu PC.

— Usuário Registrado
fonte