どのLinuxディストリビューションのパッケージリポジトリが安全でどれが安全ではありませんか？
私が知っているほとんどのディストリビューションには、インストール後に新しいパッケージをダウンロードできる、ある種のリポジトリ機能があります。どのディストリビューションがこれを安全な方法で実行し、どのディストリビューションがこれを安全な方法で実行しないか。
特に、man-in-middleのような攻撃ベクトルや、リポジトリメタサーバーとリポジトリファイルミラーの両方でのセキュリティ違反のような問題について考えています。
SlackwareとArchLinuxはどちらも、パッケージの署名がないため、非常に脆弱であると聞いています。これは本当ですか？単純なman-in-middle攻撃に対して脆弱な他の主要なLinuxディストリビューションはありますか？
これはあなたの質問に対する直接の答えではありませんが、このリスクを軽減するためにできることがいくつかあります。最も簡単な方法は、ダウンロードしたパッケージを、ダウンロード元とは異なる異なるミラーからのチェックサムと照合することです。
パッケージマネージャー（poldek）がパッケージをダウンロードするとき、ダウンロードしたrpmのコピーをキャッシュフォルダーに保持するように設定しました。ダウンロードのチェックサムをパッケージリポジトリに対して自動的にチェックし、不一致について警告/中止しますが、ディストリビューションリポジトリに対するman-in-the-middle攻撃が心配な場合は、閲覧するセカンダリスクリプトを簡単に作成できます。ダウンロードしたすべてのパッケージを確認し、別のミラーからダウンロードしたチェックサムと照合します。最初のインストールをドライランとして実行して、パッケージはダウンロードされるがインストールされないようにし、検証スクリプトを実行してから、実際のインストールを実行することもできます。
これにより、侵害されたパッケージがディストリビューションのリポジトリに入るのを防ぐことはできませんが、ほとんどのディストリビューションにはそれを軽減する他の方法があり、署名されたパッケージでさえ、これが問題にならないことを保証しません。それが行うことは、標的とされた中間者攻撃ベクトルを抑制することです。別のソースを使用し、別のチャネルにダウンロードすることで、侵害されたパッケージをタップされた行に簡単にドロップすることができなくなります。
Debianパッケージはチェックサムされ、チェックサムはDebianキーリングのキーによって署名されます。 aptパッケージマネージャーは、ダウンロードされたパッケージに正しいチェックサムがあり、チェックサムファイルが正しく署名されていることを確認します。