apt-transport-https - Transporte APT para descarga a través del protocolo HTTP Secure (HTTPS)
Este transporte APT permite el uso de repositorios a los que se accede a través del protocolo seguro HTTP (HTTPS), también conocido como HTTP sobre TLS. Está disponible por defecto desde apt 1.5 y antes estaba disponible en el paquete apt-transport-https. Tenga en cuenta que un usuario nunca llama directamente a un transporte, sino que lo utilizan las herramientas APT según la configuración del usuario.
HTTP es en sí mismo un protocolo de transporte no cifrado (compárese con apt-transport-http(1)), que, como se indica en la S adjunta, está envuelto en una capa cifrada conocida como Transport Layer Security (TLS) para proporcionar cifrado de extremo a extremo. Un atacante suficientemente capaz aún puede observar a los socios de comunicación y un análisis más profundo de la comunicación cifrada aún podría revelar detalles importantes. En sources.list(5) se proporciona una descripción general de los métodos de transporte alternativos disponibles.
El protocolo HTTPS se basa en el protocolo HTTP, por lo que todas las opciones compatibles con apt-transport-http(1) también están disponibles a través de Acquire::https y tendrán los mismos valores predeterminados para Acquire:: http. Esta página de manual solo documentará las opciones exclusivas de https.
De forma predeterminada, todos los certificados en los que confía el sistema (consulte el paquete ca-certificates) se utilizan para la verificación del certificado del servidor. Se puede configurar una autoridad de certificación (CA) alternativa con la opción Acquire::https::CAInfo y su opción específica del host Acquire::https::CAInfo::host. La opción CAInfo especifica un archivo formado por certificados de CA (en formato PEM) concatenados para crear la cadena que APT debe usar para verificar la ruta desde su certificado raíz autofirmado. Si el servidor remoto proporciona toda la cadena durante el intercambio, el archivo solo necesita contener el certificado raíz. De lo contrario, se requiere toda la cadena. Si necesita admitir varias autoridades, la única forma es concatenar todo.
Se puede configurar una lista de revocación de certificados (CRL) personalizada con las opciones Adquirir::https::CRLFile y Adquirir::https::CRLFile::host. Al igual que con la opción anterior, es necesario especificar un archivo en formato PEM.
Durante la autenticación del servidor, si la verificación del certificado falla por algún motivo (caducado, revocado, intermediario, etc.), la conexión falla. Obviamente, esto es lo que desea en todos los casos y lo que proporciona el valor predeterminado (verdadero) de la opción Adquirir::https::Verify-Peer y su variante específica del host. Si sabe exactamente lo que está haciendo, establecer esta opción en "falso" le permite omitir la verificación del certificado de pares y hacer que el intercambio sea exitoso. Nuevamente, esta opción es solo para fines de depuración o prueba, ya que elimina toda la seguridad proporcionada por el uso de HTTPS.
De manera similar, la opción Adquirir::https::Verify-Host y su variante específica de host se pueden usar para desactivar una función de seguridad: el certificado proporcionado por el servidor incluye la identidad del servidor que debe coincidir con el nombre DNS utilizado para acceder a él. De forma predeterminada, según lo solicitado por RFC 2818, el nombre del espejo se compara con la identidad que se encuentra en el certificado. Este comportamiento predeterminado es seguro y no debe cambiarse, pero si sabe que el servidor que está utilizando tiene un nombre DNS que no coincide con la identidad en su certificado, puede establecer la opción en "falso", lo que evitará la comparación. de ser realizado.
Además de admitir la autenticación basada en contraseña (consulte apt_auth.conf(5)), HTTPS también admite la autenticación basada en certificados de cliente a través de Acquire::https::SSLCert y Acquire::https::SSLKey. Estos deben establecerse respectivamente en el nombre de archivo del certificado de cliente X.509 y la clave privada asociada (sin cifrar), ambos en formato PEM. En la práctica, se recomienda encarecidamente el uso de las variantes específicas del host de ambas opciones.
Acquire::https { Proxy::example.org "DIRECT"; Proxy "socks5h://apt:pass@127.0.0.1:9050"; Proxy-Auto-Detect "/usr/local/bin/apt-https-proxy-auto-detect"; No-Cache "true"; Max-Age "3600"; No-Store "true"; Timeout "10"; Dl-Limit "42"; Pipeline-Depth "0"; AllowRedirect "false"; User-Agent "My APT-HTTPS"; SendAccept "false"; CAInfo "/path/to/ca/certs.pem"; CRLFile "/path/to/all/crl.pem"; Verify-Peer "true"; Verify-Host::broken.example.org "false"; SSLCert::example.org "/path/to/client/cert.pem"; SSLKey::example.org "/path/to/client/key.pem" };
apt-transport-http(1) apt.conf(5) apt_auth.conf(5) sources.list(5)
Página de errores de APT[1]. Si desea informar un error en APT, consulte /usr/share/doc/debian/bug-reporting.txt o el comando reportbug(1).
Equipo APT
1. Página de errores de APT: http://bugs.debian.org/src:apt