apt sources.list 有没有必要要求 tls?

[whatisnew]

像 security.ubuntu.com 这样源，还有各大镜像清一色无 tls 为什么呢？难道不重要？

[msg7086]

无所谓吧， TLS 反而增加服务器负担。

[squid157]

因为包里面有 GPG 签名

[whatisnew]

@squid157 如果 GPG 签名自已也被更新了呢？

[jasontse]

@whatisnew 你的系统里预装了公钥

[whatisnew]

@jasontse upgrade 是需要 root 权限的，那就是说公钥也是可以被替换的啊

[zsj950618]

https://mirrors.ustc.edu.cn
https://mirrors.tuna.tsinghua.edu.cn

用 https 倒不是为了包不被篡改，因为有 gpg 验证，而且你应该要自己去检验 gpg 公钥的 fingerprint

在国内用 https 很必要的一点是可以防止运营商进行缓存劫持，缓存劫持通常会使一些元信息不一致，导致你更新失败。

[shiji]

@whatisnew gpg 的公钥不属于任何一个软件包，不可能被 upgrade 更新。除非你自己手动用 apt-key add 加。

[Testalias]

Arch CN repo already use HTTPS

[Tink]

有些是支持 https 的

[wsy2220]

有 gpg 签名保障

[zsj950618]

@shiji

$ dpkg -L debian-archive-keyring
/.
/usr
/usr/share
/usr/share/keyrings
/usr/share/keyrings/debian-archive-removed-keys.gpg
/usr/share/keyrings/debian-archive-keyring.gpg
/usr/share/doc
/usr/share/doc/debian-archive-keyring
/usr/share/doc/debian-archive-keyring/changelog.gz
/usr/share/doc/debian-archive-keyring/README
/usr/share/doc/debian-archive-keyring/copyright
/etc
/etc/apt
/etc/apt/trusted.gpg.d
/etc/apt/trusted.gpg.d/debian-archive-jessie-automatic.gpg
/etc/apt/trusted.gpg.d/debian-archive-squeeze-automatic.gpg
/etc/apt/trusted.gpg.d/debian-archive-jessie-stable.gpg
/etc/apt/trusted.gpg.d/debian-archive-wheezy-stable.gpg
/etc/apt/trusted.gpg.d/debian-archive-jessie-security-automatic.gpg
/etc/apt/trusted.gpg.d/debian-archive-wheezy-automatic.gpg
/etc/apt/trusted.gpg.d/debian-archive-squeeze-stable.gpg

[billlee]

@whatisnew 首先，更新公钥的 deb 也要通过原来的 GPG 签名校验

[RqPS6rhmP3Nyn3Tm]

你信任操作系统，操作系统信任根证书，根证书签发信任网站， ISO 通过 HTTPS 下载， ISO 里内置 GPG keyring ，用内置的 GPG keyring 升级新的钥匙串或者验证软件包

除非要防劫持， HTTPS 还真没啥作用