31788


ubuntu 14.04 で、`/etc/apt/sources.list` を見ていました。  
その内容を一部抜粋すると、

[code]

    # See http://help.ubuntu.com/community/UpgradeNotes for how to upgrade to
    # newer versions of the distribution.
    deb http://archive.ubuntu.com/ubuntu trusty main
    deb-src http://archive.ubuntu.com/ubuntu trusty main
    
    ## Major bug fix updates produced after the final release of the
    ## distribution.
    deb http://archive.ubuntu.com/ubuntu trusty-updates main
    deb-src http://archive.ubuntu.com/ubuntu trusty-updates main
    
[/code]

のような記述が続いています。

これらの、 apt のレポジトリの指定は、ほとんど http で行われています。 http 通信は、 MitM
攻撃の対象になりえるので、何かしらのチェック機構がないとこれは危険だと考えています。

apt のソースレポジトリに対して取得されるパッケージの、正当性を検証する仕組みはどのように実現されていますか？


CC BY-SA 3.0
2017-01-12T02:40:21.893
31787
2017-01-12T03:20:01.040
754
question
ubuntu debian apt
apt の source.list の正当性はどのようにチェックされている？


パッケージのファイルに電子署名がなされます。

参考：[Debian 管理者ハンドブック 6.5. パッケージ信頼性の確認](https://debian-handbook.info/browse/ja-
JP/stable/sect.package-authentication.html)


CC BY-SA 3.0
2017-01-12T03:20:01.040
31788
2017-01-12T03:20:01.040
4010
31787
answer