Quais são as implicações de segurança de omitir as fontes 'security.debian.org' de sources.list no Debian Jessie?

Question

Estou no processo de atualização de um servidor de rack Xeon PowerEdge dual-core autônomo de Wheezy para Jessie. Seguindo as instruções debian.org para a atualização, apenas a seguinte linha deb é mencionada como precisando ser colocada em sources.list :

deb http://mirrors.kernel.org/debian jessie main contrib

Nesta pergunta e responder, eu aprendi que a fonte jessie/updates em security.debian.org fornece "Atualizações críticas de segurança ... fornecendo [a] correção mais segura para problemas de segurança o mais rápido possível .... Essas atualizações são geralmente mesclado na próxima atualização estável. "

Eu uso o servidor para cálculos químicos quânticos; suas únicas interações de entrada (intencionais) do mundo exterior são quando eu SSH em um console, através do NAT através de uma porta SSH aberta e redirecionada pelo meu roteador. root login está desativado, e eu tenho denyhosts instalado e configurado para analisar auth.login a cada trinta segundos para reprimir nas tentativas de hackers.

Eu tenho gdm instalado e navego na web ocasionalmente com o Firefox (GitHub, StackExchange, Gmail, Twitter, etc.). Eu também puxo e envio para repositórios do GitHub de tempos em tempos.

Então: Quais são as implicações de segurança de omitir as security.debian.org jessie/updates sources do meu sources.list ? (Para notar, não vejo nenhuma razão não para incluí-los, só estou curioso para saber se deixá-los fora representaria um grande problema de segurança.

    

Answer 1

Você perderá atualizações de segurança importantes. ssh teve poucas atualizações de segurança recentemente, você também perderá atualizações para o firewall (não tão necessário sob o NAT, mas você também não deve confiar tanto em nossa rede local).

Acho que, no passado, a segurança também era usada para corrigir um bug ntp (que suspendia computadores no segundo bissexto).

E você não deve esquecer as conexões de saída. Isso também deve ser seguro: por exemplo, injeção e downgrade podem fazer você baixar dados indesejados / vírus, ou algum programa divulgar informações demais. Portanto, verifique também as conexões de saída.

    

Answer 2

I'm just curious whether leaving them out would represent a major security problem.

Bem, seria. Quando uma falha de segurança se torna pública, você precisa instalar o código corrigido ou você será um pato sentado.

Suas outras medidas de segurança podem ser úteis, mas somente em conjunto com o software que foi corrigido para vulnerabilidades conhecidas.