HTTPS経由でOpenBSDリリースISOをダウンロードする場所は？
OpenBSDは非常に安全であると主張しています。では、なぜリリースISOをHTTPS経由でダウンロードできないのですか？または、何か不足していますか？誰かがこれを私に説明してくれませんか？
まず第一に、OpenBSDは、実際には開発が行われているカナダのサーバー上にCVSを介して存在しています。人々はそこにSSHを使用して接続するなどしてツリーを複製します。リリースが作成されると、isoが作成され、ミラーがそれらを複製します。安全な方法でファイルを取得すると思いますが、確実にはわかりません。次に、ダウンロードするミラーのリストがあります。
チェックしたところ、ミラーの1つがHTTPSをサポートしています（これはバージニア工科大学の電気工学部にあるサーバーです）。
https://mirror.ece.vt.edu/pub/OpenBSD/4.9/
ISOをダウンロードするためにHTTPSは実際には必要ありません。各ディレクトリのすべてのミラーには、ディレクトリ内の各ファイルのSHA256チェックサムを含むSHA256というファイルがあります。これは、安全な方法で実際に取得する必要がある1つのファイルです。ファイルは後で検証されます。複数のミラーがあるため、1つが危険にさらされた場合、別のミラーのチェックサムファイルを確認できます。
チェックサムを含むSHA256というファイルがあります。技術的にはthatファイルが安全に送信されることだけが必要です。なんらかの方法でISOを取得し、チェックサムを確認するだけです。これは、HTTPSを介してファイル全体を取得するのと同じくらい良いでしょう。
OpenBSDの人々は、SHA256ファイルのコピーを公開したHTTPS Webサイトを維持していないようです。また、HTTPSはX.509 PKIモデルが許可するのと同じくらい安全であり、OpenBSDの人々はX.509とWebブラウザーにプリインストールされているCA（これは非常に理解できる）に関していくぶん扱いにくいようです。 OpenPGP モデルを好むようです。昔は、新しいOpenBSDリリースのアナウンスは、メインのISOのダイジェストが含まれているPGP署名付きメール（Usenetを含むさまざまな場所に送信された）だったと思います-したがって、PGPパブリックと比較して完全なISO完全性を実現しますキー。しかし、彼らがまだそうしているのかどうかはわかりません。
それ以外の場合は、物理的で具体的なCDセット（またはDVD）を注文できます。彼らは高価ではありません。
私は同意します。ISOを安全に認証する方法を提供する必要があります。
彼らは、ハッシュを簡単に侵害されたISOファイルの横に置いたままにする代わりに、認証されたメカニズムを（ https://www.openbsd.org に）提供して、shaハッシュを取得する必要があります。
ただし、それができない場合は、ダウンロードして待機し、関連するISOを使用する前にセキュリティの悪臭がないことを確認してください。 shaのチェックは、ミラーリングされたすべてのサイトで同じです。 1週間で十分だと思います。
（@thomas Porninが私が上で言ったことのほとんどを言ったばかりだと思います）
この問題は現在、ペーパー signify：Securing OpenBSD From Us To You によってTed Unangst（BSDCan、2015）で扱われています。
要約すれば：
ミラーにHTTPSの使用を要求し、その他のHTTPSへの依存を拒否しました。
- ここで他の回答で述べたように、ユーザーとミラーの間の接続のみを保護しても、開発者からユーザーへのアーティファクトの転送は保護されません。 （ただし、理論的には、openbsd.orgから直接HTTPS経由でSHA256ファイルのみを配布することができます。）
- OpenBSD開発者は認証局を十分に信頼していませんでした。
- TLSは複雑すぎると見なされました。
代替と見なされるPGPとGPGも拒否されました。
- 複雑すぎると考えられます。
signifyの開発を決定しました。- manual から、「暗号でファイルに署名して検証する」ことを意味します。
- Signifyは監査しやすいように設計されています。
- キーの信頼は、「幅広い分散」によって開発されます。
広い分散により、キーを取得するすべての方法を傍受することがますます難しくなり、誰かが面白いビジネスを試みた場合に検出されるリスクが高まります。
私の見解：
signifyを使用してアーティファクトを検証するには、signifyの信頼できる実装を取得して実行する必要があります。これは、信頼できる、最近十分なOpenBSDのインストールを既に持っていることで満足できます。そうでない場合は、 signify-osx などのsignifyのポートを取得して、コードを監査することができます。次に、公開鍵を見つける必要があります。参考までに、これらは/etc/signify OpenBSDソースツリー。できるだけ多くのソースから入手しようとすることができます。ただし、Unangstペーパーで説明されているように「ワイドディスパージョン」を使用して公開鍵の信頼を構築している場合は、「ワイドディスパージョン」を使用してSHA256ハッシュの信頼を構築し、最初の信頼できるOpenBSDインストールを取得することもできます。仕方。 （公開鍵がより広く分散していることがわかった場合を除きます。）その後はsignifyを使用できます。
特に多くのユーザーがいる場合、SSLサイトを維持することはHTTPよりもコストが高いと言いたいです。 CPUサイクルのコストが高くなり、証明書の維持にコストがかかります。SSLはパケットの着信順序を考慮しているため、帯域幅のコストが高くなります。
この状況では、ISOをダウンロードするユーザーは、ファイルが改ざんされていないことを懸念しています（送信中またはサイトに保存されている間）。SSL/ TLSのように機密情報がトランザクション中に開示されるとは限りません。お手伝いします。
セキュリティの3 Aに関しては、これは認証です。 @thomas porninが指摘したように、ファイルが誰であるかを確認することは、個別にダウンロードしたファイルのSHA256ハッシュで処理されます。次に、SHA256ハッシュを操作して、侵害されたISOのハッシュと一致させることができると言います。そのため、GPGキーでハッシュに署名する必要があります。
そのため、GPGキーでハッシュを検証するため、SSLは必要ありません。ハッシュがISOを検証します。すべてが一致する場合は、そのファイルの整合性を正常に検証できました。
SSL！=セキュリティについても指摘したいのですが、それは別の問題です。 :)
すべてのOpenBSDユーザーは、次のOpenBSDバージョン（例5.6-> 5.7アップグレード）のダウンロードされたインストールファイルを確認するために、/ etc/signify /ディレクトリにファイルを持っています。また、OpenBSDサイト（およびミラー）の各ディレクトリには、SHA256.sigという名前のファイルがあります。 SHA256.sigを含むディレクトリとそのディレクトリ内のファイルを確認する方法については、signify（1）のマンページを参照してください。
これらの手順は、OpenBSDユーザーのみに役立ちます。現時点では、OpenBSDをダウンロードするための安全な一般的な手順はありません。
「絶対的な」セキュリティと「十分に良い」セキュリティの間には大きなギャップがあると思います。 SSL暗号化は、OpenBSDのすべてのミラーでの計算オーバーヘッドに見合う価値がありますか？私はそうは思いません。誰かがhttpダウンロードセッションをハイジャックし、isoにパッチを適用してから、チェックサムを更新する可能性はかなり低いです。
より可能性の高いシナリオは、ダウンロードする前にファイルにパッチが適用されることです。その場合、SSLは役に立ちません。これがチェックサムの出番です。
誰かが彼がダウンロードしたものを追跡したくない場合、現時点でファイルを取得する最良の方法は、私の意見ではBittorrentです。 Bittorrentは暗号化をサポートしており、暗号化されたストリームのみを許可するように強制できます。ISPやその他の中間者は、どこからどこでダウンロードされた部分を見つける機会がありません。トレントハッシュファイルはそれ自体がチェックサムであり、何らかの方法でこれに暗号で署名するだけでよいので、トレントファイルが本物であることを確認できます。最近では、マグネットを介してダウンロードできるため、トレントファイルをオンラインにする必要もありません。その場合、トラッカーとの通信を非表示にするだけで済みます。SSLトラッカーがサポートされている可能性がありますが、これはプロキシ経由ですでに実行できます。
私はOpenBSDがFTPミラーを取り除くための最初の1つだったと思います。彼らは現在、HTTPがファイルを提供することだけを望んでいます。また、独自の（NATされた）IPアドレスがない場合、またはプロキシの背後にあるため、ビットトレントを実行できない場合は、HTTPが唯一の選択肢です。
もちろん、OpenBSDはまだbittorrentによって正式に配布されていませんが、たとえばNetBSDは配布していますが、FreeBSDは配布していますが、理由はわかりません。私もこのミラーの問題について考えていましたが、誰かがファイルを改ざんしていると思うほど妄想ではありませんが、あなたは決して知ることができません。
オリジナルのディストリビューターからのものかどうかは、signifyで確認しているときにのみわかります。
ご使用のコンピューターでイメージのチェックサムを計算し、元のチェックサムと比較することにより、ダウンロード中にイメージが破損していないことを確認できます。もっとそれは言わない。
安全なブラウザ接続は、認証されたサイトの証明書を偽装する機関によって傍受および復号化できます。しかし、本物のサイトの指紋は複製できません！
https://www.grc.com/fingerprints.htm
カナダ（ボーアルノア、QC）にあるこの安全なサーバーで.isoをダウンロードしてください。