Опасно ли на сервере использовать http-зеркала репозиториев, вместо https? Есть ли риск того, что пакеты могут быть подделаны?

Question

[Alexander Kalinin]

К примеру, в случае того, если машиной интересуются определённые злоумышленники

Comments

[Дмитрий Александров]

А в чем сложность сделать https? Сейчас то все это упрощено до предела.

Answer 1

[Melkij]

Вопрос неполон без указания пакетного менеджера.

Например, вот перевод объяснений позиции Debian, почему не торопятся переводить транспортный уровень на https.

Если интересующий вас пакетный менеджер так же верифицирует скачиваемые пакеты - то и вывод будет аналогичным: это достаточно безопасно.

Answer 2

[Lynn «Кофеман»]

Безопасно, если вы не отключали проверку GPG подписей

Answer 3

[justhostRU]

1. если есть такие опасения, то лучше использовать свои зеркала.
2. вручную верифицировать пакеты перед установкой после скачивания или собирать из исходников.