通过不安全连接更新计算机

Question

如果攻击者设法控制在我的网络上或在我的网络上管理或路由互联网流量的设备之一，例如受威胁的路由器或用于移动互联网的飞信/IMSI捕获器，我如何安全可靠地更新我的计算机(例如，apt-get更新apt-get升级)？

我意识到在tor上这样做可能是个好主意，但我首先需要安装tor，因此需要连接到internet。

Answer 1

任何好的软件更新过程都将使用数字签名来确保完整性。每个数字签名都是通过使用只有软件更新基础结构的操作员才知道的秘密密钥对文件的散列执行数学操作来工作的。这个操作的结果是创建了一个数字签名。验证签名来自给定的秘密密钥很容易，但它的设计非常困难(用当前的技术是不可能的)。

Debian系统中使用的apt更新程序自动验证数字签名。如果网络上的攻击者修改更新文件，他们将无法伪造匹配的签名。这将被检测到，恶意更新将不会被安装。攻击者所能做的最糟糕的事情就是阻止您进行更新。它们无法在未检测到的情况下将您的更新替换为恶意更新。