自动更新的安全含义？

Question

我有一个定制Debian路由器安装，我试图保持安全和低维护。因此，我设置了一些脚本，这些脚本通过检查更新并从源代码下载新文件(例如Github、Debian.org)，使我的Docker容器、区块列表和OS (仅限于安全更新)保持实际。

但是，虽然表面上看这似乎不错，但过去有一些攻击劫持了源包(记不清，但我认为有几个)，本质上是让那些依赖于这些文件的人面临供应链攻击。

如果这样的攻击发生，这将意味着系统将被破坏，因为它的低维护性，我不一定会马上发现，这样的供应链攻击发生了。

哪一件事更好呢？使用过时的软件包，冒着RCE的风险，或者自动更新，但要冒供应链攻击的风险？我想这真的是风险管理的问题，但我不完全确定。

Answer 1

供应链攻击的风险通常低于过时的软件。这是因为受信任的开发人员发布错误通常比恶意开发人员更容易被信任，并将恶意代码伪装为“诚实的错误”。

您还应该注意到，“受损包”(例如蓄意的供应链攻击)往往很快就会被发现，并且随后会被修补。因此，“剥削之窗”通常是相当小的。

因此，要想被破坏，您的系统需要在它易受攻击的确切窗口期间受到知道SCA的人的攻击。可能，但不太可能。

将此与长期使用过时软件的风险进行比较。漏洞往往会被公诸于众(例如，分配了一个CVE)，在此之后，您的系统将保持脆弱，因为您从未更新过。

换句话说:在“稳定的”OS分支上经常更新是最好的方法(为了避免通过更新而破坏)。