A atualização meta-release (do-release-upgrade) é segura?

Question

Estou tentando entender o processo do-release-upgrade , ou seja, a maneira como o Ubuntu me pede para atualizar para a próxima versão do Ubuntu na primavera ou no outono.

Depois de ler as fontes para ubuntu-release-upgrader eu encontrei o arquivo / etc / update-manager / meta-release no meu sistema. Este arquivo aparece usando uma URL HTTP para apontar para link onde os vários lançamentos do Ubuntu de Warty 04.10 para Raring 13.04 são listados. Este arquivo lista os lançamentos, seu status de suporte, a data de lançamento e possui um link para o arquivo Release .

Agora, o arquivo Release tem uma assinatura GPG correspondente e o sha1sum do arquivo Packages que, por sua vez, tem o sha1sum dos binários DEB individuais que são instalados. Os lançamentos recentes também têm um script de atualização e uma assinatura GPG correspondente para esses também. Tudo parece bom.

Minha pergunta é sobre o arquivo meta-release em si. Não é servido por HTTPS e não consigo encontrar uma assinatura GPG para ele. Se alguém substituir este arquivo, eles podem, de alguma forma, fazer com que minha máquina atualize ...

• ... para uma versão assinada que ainda não passou por testes de segurança?
• ... para uma versão antiga que não é suportada e tem vulnerabilidades de segurança não corrigidas?

Answer 1

O

do-release-upgrade requer direitos de administrador, e se você estiver em uma versão LTS, permanecerá nisso e não fará com que você aumente automaticamente uma versão. Se você usa fontes não oficiais, ele traz um monte de mensagens de aviso.

No entanto, as variantes da GUI para o usuário final não são diferentes do UAC no Windows, onde qualquer um que não tenha a mente técnica suficiente irá apenas clicar no botão ou digitar a senha, ignorar os avisos e sair para fazer uma xícara de chá. Então, na prática, não é mais ou menos seguro que o Windows Update.

Resumindo, não acredito que a atualização seja segura. Na verdade, se você estiver em um LTS e usar o Ubuntu para tarefas de missão crítica, eu evitaria atualizar uma versão principal até que sua versão não seja mais suportada - a atualização quebra as coisas de maneira sutil, o que leva tempo para você corrigir. p>     

Answer 2

• Somente o administrador pode causar alterações permanentes nos arquivos no pc. Os usuários convidados não podem alterar esses (ou quaisquer outros) arquivos. Portanto, ninguém mais que o próprio administrador pode fazer com que o gerenciador de atualização procure algum link potencialmente prejudicial.

• agora, o Administrador não danificará seu próprio computador (a menos que ele esteja fora de si). E ninguém deve permitir que terceiros acessem os direitos de administrador. Portanto, não há praticamente nenhum risco.

• Talvez aplicativos maliciosos pudessem, mas se você usar repos confiáveis, esse risco não prevalecerá.
• Como disse @gertvdijk, o usuário ainda precisa confirmar as atualizações
• E, finalmente, você sempre pode restaurar o link original.

Então, em suma, " someone " não pode alterar este arquivo. Somente o administrador pode fazer alterações nos arquivos.

  

esse processo certamente poderia ser mais seguro. talvez o atualizador de software possa criptografar esses arquivos e também usar uma chave gpg

Por fim, o boletim informativo semanal do Ubuntu mantém você atualizado com atualizações / upgrades recentes. Você pode confirmar a partir dele para garantir a segurança do seu computador da melhor maneira possível.