为什么纯文本http "http://ports.ubuntu.com/ubuntu-ports“on aarch64？”

Question

我在Raspberry上安装了最新的Ubuntu。在apt update期间，我对通信没有加密感到非常惊讶。

为什么使用http://ports.ubuntu.com/ubuntu-ports而不是https://ports.ubuntu.com/ubuntu-ports？这是最新的吗？

# cat /etc/lsb-release
DISTRIB_ID=Ubuntu
DISTRIB_RELEASE=21.10
DISTRIB_CODENAME=impish
DISTRIB_DESCRIPTION="Ubuntu 21.10"

# uname -a
Linux b96eebccc368 5.13.0-1022-raspi #24-Ubuntu SMP PREEMPT Wed Mar 16 07:19:33 UTC 2022 aarch64 aarch64 aarch64 GNU/Linux

# apt update && apt --with-new-pkgs upgrade -y
Hit:1 http://ports.ubuntu.com/ubuntu-ports impish InRelease
Get:2 http://ports.ubuntu.com/ubuntu-ports impish-updates InRelease [115 kB]
Get:3 http://ports.ubuntu.com/ubuntu-ports impish-backports InRelease [101 kB]
Hit:4 https://repo.jellyfin.org/ubuntu impish InRelease
Get:5 http://ports.ubuntu.com/ubuntu-ports impish-security InRelease [110 kB]
Get:6 http://ports.ubuntu.com/ubuntu-ports impish-updates/main arm64 Packages [308 kB]
Get:7 http://ports.ubuntu.com/ubuntu-ports impish-updates/main Translation-en [85.1 kB]
Get:8 http://ports.ubuntu.com/ubuntu-ports impish-updates/main arm64 c-n-f Metadata [5544 B]
Get:9 http://ports.ubuntu.com/ubuntu-ports impish-updates/universe arm64 Packages [166 kB]
Get:10 http://ports.ubuntu.com/ubuntu-ports impish-updates/universe arm64 c-n-f Metadata [4976 B]
Get:11 http://ports.ubuntu.com/ubuntu-ports impish-security/main arm64 Packages [249 kB]
Get:12 http://ports.ubuntu.com/ubuntu-ports impish-security/main Translation-en [67.5 kB]
Get:13 http://ports.ubuntu.com/ubuntu-ports impish-security/main arm64 c-n-f Metadata [4012 B]
Get:14 http://ports.ubuntu.com/ubuntu-ports impish-security/universe arm64 Packages [130 kB]
Get:15 http://ports.ubuntu.com/ubuntu-ports impish-security/universe arm64 c-n-f Metadata [4168 B]
Fetched 1350 kB in 4s (358 kB/s)

Answer 1

是的，默认存储库仍然使用HTTP而不是HTTPS --对于所有平台来说都是这样。

基本上，这是有历史原因的，因为包是经过签名和时间戳的，在这种情况下，向下载添加加密不会增加太多的安全性。

然而，这个问答提出了一些观点，认为将来迁移到HTTPS确实是个好主意。

Answer 2

在使用https时没有添加额外的安全性，因此不需要它。https唯一能阻止的事情就是在中间的人知道你下载了什么。

篡改一个软件包将有适当的拒绝安装它:所有的软件包都有时间戳。任何与时间戳不匹配的都会被标记为“陈旧”，系统不会自动安装。

• 我们可以信任发布文件，因为它是由Ubuntu签名的。
• 我们可以信任包文件，因为它有正确的大小和校验和在发布文件中找到。
• 我们可以信任下载的包，因为它在包文件中引用，在发布文件中引用，由Ubuntu签名。

还有另一件事:完全切换到https意味着所有镜像都需要切换到它。这将是一个非常困难和危险的改变。