Se vší paranoiou, která přišla s odhalením NSA, by mě zajímalo, proč instalační mechanismus balíčků Debianu nepodporuje HTTPS pro svůj přenos, natož aby ho používal ve výchozím nastavení.
Vím, že balíčky Debianu mají nějaký druh ověření podpisu pomocí GPG, ale přesto si nemyslím, že by použití přenosu HTTPS místo HTTP bylo příliš obtížné, vzhledem k tomu, jak zásadní je to z hlediska bezpečnosti.
Edit:Většinou se chci chránit před útoky MitM (včetně pouhého sledování provozu), ne před správci zrcadel Debianu. HTTP repozitáře dají celý systém na stůl každému, kdo slídí provoz do zrcadel Debianu.
Přijatá odpověď:
Tady je. Musíte nainstalovat balíček apt-transport-https . Pak můžete použít řádky jako
deb https://some.server.com/debian stable main
ve vašem sources.list soubor. Ale obvykle to není nutné, protože celý obsah je stejně veřejný a zvyšuje režii šifrování a latenci. Vzhledem k tomu, že nedůvěřujete veřejnému klíči útočníků, je i provoz http bezpečný před útoky MitM. apt vás upozorní a nenainstaluje balíčky, když útočník vloží manipulované balíčky.
EDIT:Jak je uvedeno v komentářích, je skutečně bezpečnější používat úložiště TLS. Výzkum ukazuje, že používání apt na nešifrovaných úložištích může skutečně představovat bezpečnostní riziko, protože přenos HTTP je zranitelný vůči útokům opakovaného přehrávání.