From 09b4c5f483eaf11b15d503bdc4f5dd449c32c84d Mon Sep 17 00:00:00 2001 From: Sergey Matveev Date: Thu, 25 Jan 2018 22:41:03 +0300 Subject: [PATCH] =?utf8?q?=D0=9F=D0=BE=D1=87=D0=B5=D0=BC=D1=83=20APT=20?= =?utf8?q?=D0=BD=D0=B5=20=D0=B8=D1=81=D0=BF=D0=BE=D0=BB=D1=8C=D0=B7=D1=83?= =?utf8?q?=D0=B5=D1=82=20HTTPS?= MIME-Version: 1.0 Content-Type: text/plain; charset=utf8 Content-Transfer-Encoding: 8bit https://whydoesaptnotusehttps.com/ Отличная статья коротко и по существу отвечающая всяким болванам задающим вопрос "почему вы не используете HTTPS, ведь это же секьюрно", не обращая внимания на то, что пакеты подписываются OpenPGP. Именно по тем же самым причинам (так получилось что они совпали) и я свой софт распространяю в первую очередь с моими подписями (ну да, вопрос как их получить остаётся, но и с CA/PKI/HTTPS он никуда не девается) без всякого HTTPS. * По размерам файлов/сессий, домену -- не сложно догадаться что конкретно вы скачиваете. Чуть сложнее чем без HTTPS бы было * HTTPS обеспечит гарантию целостности только самой передачи по каналу, но не того что лежит на диске * HTTPS позволяет аутентифицировать пакеты только при online передаче и только с ряда серверов. Тогда как просто подписанные пакеты можно передавать как угодно, кем угодно, любыми способами, даже никак не связанными с online * HTTPS обезопашивает только передачу, но не то, что файлы на сервере не были изменены. Компрометация одного из серверов-зеркал возможна (может быть просто даже жёсткий диск сыпется на нём), тогда как просто с подписями вся эта проверка целостности и аутентичности произойдёт в любом случае * Глупо (я бы сказал тупо наивно) доверять всем этим сотням CA ни с того ни с сего, потому-что кто-то вам сказал что вы доверяете. Любой из этих сотен CA в вашей системе может выпустить сертификат для зеркала с которого скачиваете и подсовывать вам что угодно. HTTPS не предоставляет никакой защиты против целенаправленной атаки на сервер распространения ПО * Добавить дополнительные HTTP сервера -- простая задача. Добавить HTTPS сервера -- не тривиально и крайне сложно реализуемо с точки зрения безопасности: как-то нужно передать и обеспечить сохранность ключей. Вы даже просто не сможете добавить локальные кэширующие прокси-сервера -- 2.48.1