A noter : LinuxFr n'est pas le seul avec une chaine défaillante.
Quand j'achète une machine, je l'achète dans un endroit très neutre (un magasin, physique ou en ligne ça reste pas chez moi, alors qu'ensuite c'est chez moi, plus facile à viser), donc j'ai (pas mal) confiance. ensuite pour récupérer un linux à partir de l'OS en place (quel qu'il soit, y compris avec un certificat CACert) :
* CentOS par exemple, HTTPS ok (chaine de confiance) pour la premère page, puis pour télécharger bam HTTP chaine rompue. On pourrait se consoler en chopant un hash de l'ISO, mais le SHA-1 (qui a quelques collision connues, mais bon admettons) est dans le "annonce" qui se situe sur lists.centos.org, innaccessible en HTTPS (donc chaine de confiance morte)
* Fedora est disponible aussi en HTTPS, mais le lien de download est en... HTTP. chaine de confiance rompue. Fedora est sauvée car le hash (SHA-2, c'est mieux que CentOS) est accéssible en HTTPS, mais il reste une étape manuelle (après le téléchargement, il faut faire un check manuel du fichier) à faire pour être sécurisé
* Debian, debian.org est carrément pas accessible en HTTPS.
* Ubuntu copie Debian, pas de HTTPS.
* OpenSuSE, www.opensuse.org (mais pas opensuse.org, hum) est accessible en HTTPS mais le "get it" redirige vers software.opensuse.org en HTTP, il faut forcer le HTTPS (dommage, une manip manuelle...) mais de toutes manière le lien de download passe en HTTP. Encore sauvé par la signature PGP (sur la même page qu'on a manuelle forcé en HTTPS) ou SHA-2 (mais la il faut encore faire une manip manuelle supplémentaire pour passer le lien de HTTP en HTTPS).
Linux est peut-être sécurisé, mais pour récupérer une distro de manière sécurisée, c'est galère... Très bizarre que des admins qui sont souvent à cheval sur la sécurité font et acceptent ce genre de chaine non sécurisée. Faut avoir confiance en son réseau, de chez soit vers le serveur de download (géré par des personnes pas trop à cheval sur la sécurité) en passant par tous les intermédiaires...
[^] # Re: HTTPS
Posté par Zenitram (site web personnel) . En réponse à la dépêche Du chiffrement et de la sécurité sur LinuxFr.org (statut au 24/11/2013). Évalué à 4. Dernière modification le 26 novembre 2013 à 20:47.
A noter : LinuxFr n'est pas le seul avec une chaine défaillante.
Quand j'achète une machine, je l'achète dans un endroit très neutre (un magasin, physique ou en ligne ça reste pas chez moi, alors qu'ensuite c'est chez moi, plus facile à viser), donc j'ai (pas mal) confiance. ensuite pour récupérer un linux à partir de l'OS en place (quel qu'il soit, y compris avec un certificat CACert) :
* CentOS par exemple, HTTPS ok (chaine de confiance) pour la premère page, puis pour télécharger bam HTTP chaine rompue. On pourrait se consoler en chopant un hash de l'ISO, mais le SHA-1 (qui a quelques collision connues, mais bon admettons) est dans le "annonce" qui se situe sur lists.centos.org, innaccessible en HTTPS (donc chaine de confiance morte)
* Fedora est disponible aussi en HTTPS, mais le lien de download est en... HTTP. chaine de confiance rompue. Fedora est sauvée car le hash (SHA-2, c'est mieux que CentOS) est accéssible en HTTPS, mais il reste une étape manuelle (après le téléchargement, il faut faire un check manuel du fichier) à faire pour être sécurisé
* Debian, debian.org est carrément pas accessible en HTTPS.
* Ubuntu copie Debian, pas de HTTPS.
* OpenSuSE, www.opensuse.org (mais pas opensuse.org, hum) est accessible en HTTPS mais le "get it" redirige vers software.opensuse.org en HTTP, il faut forcer le HTTPS (dommage, une manip manuelle...) mais de toutes manière le lien de download passe en HTTP. Encore sauvé par la signature PGP (sur la même page qu'on a manuelle forcé en HTTPS) ou SHA-2 (mais la il faut encore faire une manip manuelle supplémentaire pour passer le lien de HTTP en HTTPS).
Linux est peut-être sécurisé, mais pour récupérer une distro de manière sécurisée, c'est galère... Très bizarre que des admins qui sont souvent à cheval sur la sécurité font et acceptent ce genre de chaine non sécurisée. Faut avoir confiance en son réseau, de chez soit vers le serveur de download (géré par des personnes pas trop à cheval sur la sécurité) en passant par tous les intermédiaires...