APT (उन्नत पैकेजिंग टूल) डेबियन ऑपरेटिंग सिस्टम में सॉफ्टवेयर पैकेज स्थापित करने, अपडेट करने और हटाने के लिए और उनके आधार पर (उबंटू, लिनक्स मिंट, आदि) के लिए एक कार्यक्रम है। कभी-कभी मांडरेके-आधारित वितरण में भी उपयोग किया जाता है। टीएलएस प्रोटोकॉल और एन्क्रिप्शन का उपयोग किए बिना, एक असुरक्षित कनेक्शन पर रिपॉजिटरी से इंटरनेट पर पैकेज डाउनलोड किए जाते हैं। सवाल उठता है: क्यों? क्या HTTPS बेहतर सुरक्षा प्रदान नहीं करता है? डेबियन का मानना ​​है कि HTTPS एक अनावश्यक इकाई है, क्योंकि SecureAPT सिस्टम डाउनलोड की गई फ़ाइलों के लिए चेकसम और पूरे पैकेज के क्रिप्टोग्राफ़िक gpg हस्ताक्षर की जांच करता है।

डेबियन डेवलपर्स में से एक ने वेबसाइट whydoesaptnotusehttps.com ("Why APT does n't Use HTTPS") लॉन्च किया, जहां यह आधिकारिक स्थिति की व्याख्या करता है।

कैसे SecureAPT काम करता है

पहले, apt पैकेज से फाइलों के हैश की तुलना करता है। वे रिलीज़ फ़ाइल में डेबियन वेबसाइट पर प्रकाशित हुए हैं ...

MD5Sum: 6b05b392f792ba5a436d590c129de21f 3453 Packages 1356479a23edda7a69f24eb8d6f4a14b 1131 Packages.gz 2a5167881adc9ad1a8864f281b1eb959 1715 Sources 88de3533bf6e054d1799f8e49b6aed8b 658 Sources.gz 

... और पैकेट के साथ प्रेषित।

 Package: uqm Priority: optional ... Filename: unstable/uqm_0.4.0-1_i386.deb Size: 580558 MD5sum: 864ec6157c1eea88acfef44d0f34d219 

रिलीज़ फ़ाइल के साथ छेड़छाड़ होने से बचाने के लिए, SecureAPT सिस्टम डिजिटल सिग्नेचर gpg को जोड़ता है, जो Release.gpg फ़ाइल में स्थित है:

 -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.4.1 (GNU/Linux) iD8DBQBCqKO1nukh8wJbxY8RAsfHAJ9hu8oGNRAl2MSmP5+z2RZb6FJ8kACfWvEx UBGPVc7jbHHsg78EhMBlV/U= =x6og -----END PGP SIGNATURE----- 

Apt प्रोग्राम, Release.gpg फ़ाइल को डाउनलोड करता है और विश्वसनीय सार्वजनिक कुंजियों का उपयोग करके हस्ताक्षर की पुष्टि करता है, जो /etc/apt/trusted.gpg फ़ाइल में संग्रहीत होते हैं। डिफ़ॉल्ट रूप से, डेबियन संग्रह की सार्वजनिक कुंजी वहां दर्ज की जाती है।

 joey@dragon:~>sudo apt-key list /etc/apt/trusted.gpg -------------------- pub 4096R/55BE302B 2009-01-27 [verfällt: 2012-12-31] uid Debian Archive Automatic Signing Key (5.0/lenny) <ftpmaster@debian.org> 

यह रक्षा की अंतिम पंक्ति है, इसलिए डेबियन समय-समय पर चाबियाँ बदलती हैं। नई कुंजियों को डेबियन-आर्काइव-कीरिंग पैकेज के साथ वितरित किया जाता है और वेब पेज पर भी प्रकाशित किया जाता है।

नई सार्वजनिक कुंजी के प्रकाशन के बाद, एक और प्रक्रिया होती है। सार्वजनिक कुंजी उत्पन्न करने के लिए जिस गुप्त कुंजी का उपयोग किया गया था, उसे GFShare प्रोग्राम का उपयोग करके पांच भागों में विभाजित किया गया है और शमीर गुप्त साझाकरण योजना के अनुसार पांच सम्मानित डेवलपर्स के बीच वितरित किया गया है। एक रहस्य को बहाल करने के लिए, पांच में से कम से कम तीन डेवलपर्स को अपने हिस्से को गुप्त प्रदान करना होगा। शमीर योजना का एक गणितीय प्रमाण हैबे पर प्रकाशित किया गया था: यह इस तथ्य पर आधारित है कि विमान पर दो बिंदुओं के माध्यम से डिग्री 2 के असीमित संख्या में बहुपदों को खींचा जा सकता है। उनमें से केवल एक को चुनने के लिए, आपको तीसरे बिंदु की आवश्यकता है। सीधे शब्दों में कहें, यह योजना बहुपद प्रक्षेप पर आधारित है।


तो, SecureAPT सिस्टम में, गुप्त कुंजी को पांच भागों में विभाजित किया गया है और सुरक्षित रूप से संरक्षित किया गया है, रिलीज़ फ़ाइल के क्रिप्टोग्राफ़िक हस्ताक्षर को सार्वजनिक कुंजी द्वारा सत्यापित किया गया है, और पैकेज से फ़ाइलों के चेकसमेट्स को इस फ़ाइल में संग्रहीत किया गया है। अगर सब कुछ इतना सुरक्षित है तो HTTS का उपयोग क्यों करें?

HTTP का उपयोग क्यों करें?

HTTPS का मुख्य लक्ष्य prying आँखों (प्रदाता, सरकारी सेवाओं और अन्य घुसपैठियों) से ट्रैफ़िक को छुपाना है ताकि तीसरा काम न हो सके:

1. यातायात के साथ हस्तक्षेप (इसे संशोधित करें)।
2. ट्रैफ़िक (सूचना एकत्र करना, बुद्धिमत्ता) सुनें।

SecureAPT सिस्टम आंशिक रूप से पहले खतरे से बचाता है, लेकिन दूसरे से नहीं। चूंकि पैकेज खुले चैनलों पर प्रसारित होते हैं, एक बाहरी व्यक्ति देखता है कि कौन से विशिष्ट पैकेज डाउनलोड किए गए हैं और कहां से हैं। एक हमलावर पैकेज और डिजिटल हस्ताक्षर भी बदल सकता है, लेकिन फिर यह सत्यापन को पारित नहीं करेगा।

डेबियन डेवलपर लिखते हैं:

HTTPS पैकेट प्राप्त करने के लिए सार्थक गोपनीयता प्रदान नहीं करता है, क्योंकि एक हमलावर आमतौर पर देखता है कि आप किस मेजबान के साथ संवाद कर रहे हैं। यदि आप वितरण दर्पण से कनेक्ट करते हैं, तो यह स्पष्ट होगा कि आप अपडेट डाउनलोड कर रहे हैं।

यह पैराग्राफ शायद उस समय लिखा गया है जब ब्राउज़रों और इंटरनेट सेवाओं ने DNS ट्रैफ़िक को एनक्रिप्ट करने के लिए HTTPS (DoH) तकनीक पर DNS को TLS और DNS पर समर्थन देना शुरू नहीं किया था। उदाहरण के लिए, अप्रैल 2018 में, इसे सबसे बड़े सीडीएन प्रदाताओं क्लाउडफालरे में से एक द्वारा पेश किया गया था, और अक्टूबर 2018 में, Google पब्लिक डीएनएस में टीएलएस पर डीएनएस के लिए समर्थन भी शामिल था ।

इस प्रकार, उपयुक्त सिस्टम कॉन्फ़िगरेशन के बाद, आप DNS प्रश्नों को प्रभावी रूप से एक बाहरी व्यक्ति से छिपा सकते हैं जो ट्रैफ़िक सुन रहा है। पैकेजों के पते को छिपाने वाली अन्य तकनीकों को पेश करने के लिए सक्रिय काम भी चल रहा है। यही है, भविष्य में, HTTPS अभी भी उचित गोपनीयता प्रदान करने में सक्षम होगा।

डेबियन एक और तर्क पेश करता है: यहां तक ​​कि एक एन्क्रिप्टेड कनेक्शन पर, "यह पता लगाना आसान है कि ट्रैफ़िक आकार द्वारा उपयोगकर्ता डाउनलोड कौन सी फाइल करता है।" यह "भेद्यता" का उपयोग तब भी किया जा सकता है , जब टोर के माध्यम से यातायात का विश्लेषण किया जाता है।

अंत में, डेबियन को प्रमाणीकरण अधिकारियों पर पूरी तरह से भरोसा करने का कोई कारण नहीं दिखता है: 400 से अधिक सीए हैं जो किसी भी डोमेन के लिए प्रमाण पत्र प्रदान करते हैं। कई की खराब प्रतिष्ठा है, और कुछ सीधे राज्य द्वारा नियंत्रित हैं। यह निर्धारित करना मुश्किल है कि आप किस सीए पर भरोसा कर सकते हैं ।

इस प्रकार, डेबियन के अनुसार, सबसे महत्वपूर्ण बात यह है कि पैकेज में फ़ाइलों की प्रामाणिकता की गारंटी है, और कनेक्शन की सुरक्षा के लिए नहीं।

अपने मौजूदा SecureAPT इंजन के शीर्ष पर HTTPS की तैनाती क्यों नहीं? डेवलपर इसे एक कठिन इंजीनियरिंग कार्य मानता है, जिसमें निजी कुंजी के सुरक्षित विनिमय और भंडारण की आवश्यकता होती है। इसके अलावा, HTTPS का कार्यान्वयन उपरोक्त वर्णित कारणों के लिए "सुरक्षा और गोपनीयता के स्तर के बारे में भ्रामक उपयोगकर्ताओं" का अर्थ है।

2019 में, जानबूझकर HTTPS को छोड़ना बहुत ही असाधारण लगता है, इसलिए डेबियन स्थिति ने हैकर न्यूज़ पर एक जीवंत चर्चा शुरू कर दी, जहां टिप्पणीकारों ने कई प्रतिवादों को सामने रखा।

आपको क्या लगता है, क्या आपको उपयुक्त ट्रैफ़िक को एन्क्रिप्ट करने की आवश्यकता है? (नीचे पोल)।

---