「Linux MintのWebサイトが改ざん、バックドア付きISOのダウンロードリンクに書き換えられる」記事へのコメント

電子署名が欲しいけど

[uxi (5376)]

インストールイメージには意外と付いてないんだよね。
あっても、標準のダウンロードページでは積極的に案内されてなかったりするし、
例えば、
https://www.debian.org/distrib/ [debian.org]
http://www.ubuntu.com/download/desktop [ubuntu.com]
では電子署名の所在がよく分からなくて、何も考えずにダウンロードすると ISO とかが直接落ちてくるリンクを踏んじゃう感じ。

ディレクトリのインデックスに飛ぶリンクを踏めば、
http://cdimage.debian.org/debian-cd/8.3.0/amd64/bt-cd/ [debian.org]
http://ftp.jaist.ac.jp/pub/Linux/ubuntu-releases/15.10/ [jaist.ac.jp]
のように電子署名(.gpg や .sign)のファイルが見つかるけど、
http://ftp.nl.debian.org/debian/dists/jessie/main/installer-amd64/curr... [debian.org]

--
uxi

Re:

[Anonymous Coward]

大分前に指摘されている [blogspot.jp]のに未だに何も改善してないのが驚きです。
ハッシュ値自体の改竄についても、今はLet's Encryptで手軽にSSLが使えるのに。

Re:

[Anonymous Coward]

電子署名が、サーバークラッキングを受けた際に
どれだけの効果を期待できるか?ってことになりますね。

そういう意味では、個人的に必然性が無いと考えています。

Windowsでは、ハッシュ値を使う風習すら一般大衆には無く
Linuxを体験してみようという人達に
ハッシュ値は電子署名による検証を期待することも、かなり難しいと思います。

ハッシュ値参照という話より先に
「ダウンロード失敗しているかもしれないから再度DLしてみよう」
だなんて、情弱っぽい発言が
ダウンロード先でハッシュ値が公開されていないために
しかたが無く行われる発言だったりするようですし…

たとえば、Windowsでも、MD5SUM

Re:電子署名が欲しいけど

[uxi (5376)]

電子署名が、サーバークラッキングを受けた際に
どれだけの効果を期待できるか?ってことになりますね。

そういう意味では、個人的に必然性が無いと考えています。

公開鍵が信用出来る限りにおいて、
サーバーレベルのクラッキングには完璧な効果を期待出来るのに、
前段の疑問が、なぜ後段の結論に繋がるのか理解に苦しむ。

効果が期待できないケースは
・署名する段階で既に汚染されている場合
・公開鍵の正当性が担保出来ない場合
の2つである。

--
uxi