일부 공격자가 Ubuntu의 ISO 이미지를 손상시키고 내부 PGP 키를 교체한 경우 보안 업데이트를 다운로드 및 설치할 수 없습니다. 맞아?
손상된 OS를 만날 수도 있고 Ubuntu 업데이트가 PGP 서명되었다고 들었기 때문에 묻습니다.
답변1
공격 벡터
Ubuntu 설치 프로그램은 (거의 모든 Linux 배포판과 마찬가지로) 패키지 관리자가 신뢰하는 OpenPGP 키 세트를 가져옵니다.
변조된 ISO 이미지를 다운로드/보유하면 변경된 내용에 따라 다른 일이 발생할 수 있습니다.
- OpenPGP 키가 변경된 경우 더 이상 업데이트를 설치할 수 없거나(원래 업데이트가 삭제된 경우) 실제로 신뢰할 수 없는 소스의 소프트웨어가 신뢰할 수 있습니다(키가 추가된 경우).
- apt의
sources.list파일이 수정된 경우 악성 업데이트를 제공하는 위치로 리디렉션할 수도 있습니다(그리고 Ubuntu의 키는 아니더라도 "신뢰할 수 있는" 키가 추가된 경우 이를 사용하여 서명했습니다). - 공격자는 OpenPGP 서명의 실제 확인을 포함하여 거의 모든 것을 변경하거나 임의의 맬웨어 및 백도어를 포함할 수 있습니다. 체크섬이 다르면 ISO 이미지에 대해 더 이상 아무것도 알 수 없으며 무엇이 잘못되었는지 합리적으로 확인할 수 없습니다(단, 변조되지 않은 다른 이미지에 대해서는).
확실히 받기 위해서는유효한실제로 Canonical에서 발행한 ISO 이미지를 확인하세요.SHA256 체크섬에 제공다운로드 페이지, Canonical의 서명 키에 대한 신뢰 경로가 있는 경우해당 파일의 OpenPGP 서명을 확인하십시오..
ISO 이미지 체크섬이 유효한 경우
처음부터 신뢰할 수 있는 ISO 이미지가 있는지 확인하면 모든 것이 정상입니다. Canonical에서 다운로드하는 동안 중간자 공격이 두려운 경우(예: 변조된 파일을 사용자에게 배송하고 체크섬 파일도 수정하는 3자 기관과 같이) 다른 인터넷 회선을 사용하여 체크섬 파일을 가져오십시오. BE매우물론 공용 컴퓨터에서도 가능합니다(누군가가 알아차렸을 가능성이 높기 때문에 모든 사람을 위해 이를 변조할 수 없거나 변조하지 않을 것입니다).
SHA256은 안전하다고 믿어집니다. 체크섬이 올바르면 모든 것이 정상이며 전체 패키지 관리 체인이 보호되므로 누구도 업데이트를 숨기거나 악의적인 업데이트를 보낼 수 없습니다. 그들이 할 수 있는 유일한 일은 일종의 서비스 거부 공격뿐이지만,~일 것이다(오류 메시지가 인쇄될 것이기 때문에) 그것을 인식하십시오.