GPG 签名兜不住 APT 这波。破绽出在校验之前 局域网里中间人直接把包换了，还能跑代码 Debian 紧急发更新，说修的就是这口子 攻击卡在 /usr/… · @zkcolab · TwKit

@zkcolab

GPG 签名兜不住 APT 这波。破绽出在校验之前 局域网里中间人直接把包换了，还能跑代码 Debian 紧急发更新，说修的就是这口子 攻击卡在 /usr/lib/apt/methods/http 这进程上，独立跑，不跟签名走一条路 以前觉得明文源配个签名校验就稳了，现在看那段传输路才是要命的地方 咱自己源列表里 http 开头的镜像有多少！！！ 拿 grep 扫一眼，该冒汗了！！ 内网还留着 http 源，就等着出事

曝光 33 · 评论 2 · 点赞 1 · 书签 0