Debian 中 OTA 的安全问题
Security concern for an OTA in Debian
我需要为 Raspberry Pi 主板 运行 Debian 进行无线 (OTA) 更新。我正在考虑 运行 在 apt-get update 上的 cron 工作，并且有我自己的私人 repository。所以我可以将我的更新推送到存储库，系统会自动拉取这些更新。
我的问题是关于安全的。这是进行 OTA 的安全方法吗，或者这是否可能允许黑客将恶意 "updates" 推送到我的设备？
如果您执行 apt-get update，您的 sources.lst 就会得到更新。
如果您的意思是 apt-get update && apt-get upgrade（实际上更新您的系统），我认为这不取决于您如何调用更新，而是取决于保存存储库的服务器的安全性，当然还有源代码你从哪里得到你的新包（最省钱的方法是自己从源代码构建它们）。
运行 进入相同的情况，托管一个 python 脚本。可能的攻击向量是什么：
- 在服务器上操作你的 repo
- 中间人攻击
- 直接攻击客户端
对于 1 和 2，我们应该在开始之前分析代码：可能会从服务器检索 CRC 以进行验证。不幸的是，自动化会使这种保护无法使用。 HTTPS 对 1 没有帮助，它只是一个安全服务器，可能是一个加密的目录名称。 /2q3r82fnqwrt324w978/23r82fj2q.py
对于所有要点，检查脚本中的命令都是有意义的，例如sudo，或来自 https://www.kevinlondon.com/2015/07/26/dangerous-python-functions.html
最后但很重要的是，将新旧代码进行比较并且只接受微小的更改。但是，这会阻止重写代码。
我需要为 Raspberry Pi 主板 运行 Debian 进行无线 (OTA) 更新。我正在考虑 运行 在 apt-get update 上的 cron 工作，并且有我自己的私人 repository。所以我可以将我的更新推送到存储库，系统会自动拉取这些更新。
我的问题是关于安全的。这是进行 OTA 的安全方法吗，或者这是否可能允许黑客将恶意 "updates" 推送到我的设备？
如果您执行 apt-get update，您的 sources.lst 就会得到更新。
如果您的意思是 apt-get update && apt-get upgrade（实际上更新您的系统），我认为这不取决于您如何调用更新，而是取决于保存存储库的服务器的安全性，当然还有源代码你从哪里得到你的新包（最省钱的方法是自己从源代码构建它们）。
运行 进入相同的情况，托管一个 python 脚本。可能的攻击向量是什么：
- 在服务器上操作你的 repo
- 中间人攻击
- 直接攻击客户端
对于 1 和 2，我们应该在开始之前分析代码：可能会从服务器检索 CRC 以进行验证。不幸的是，自动化会使这种保护无法使用。 HTTPS 对 1 没有帮助，它只是一个安全服务器，可能是一个加密的目录名称。 /2q3r82fnqwrt324w978/23r82fj2q.py
对于所有要点，检查脚本中的命令都是有意义的，例如sudo，或来自 https://www.kevinlondon.com/2015/07/26/dangerous-python-functions.html
最后但很重要的是，将新旧代码进行比较并且只接受微小的更改。但是，这会阻止重写代码。