Si algunos atacantes comprometieron una imagen ISO de Ubuntu y reemplazaron las claves internas de PGP, entonces no podré obtener & instalar actualizaciones de seguridad. ¿Está bien?
Lo pregunto porque es posible que cumpla con el sistema operativo comprometido y escuché que las actualizaciones de Ubuntu están firmadas por PGP.
Todas las actualizaciones en Ubuntu están firmadas y la firma se verifica en relación con las claves públicas de PGP instaladas a tal efecto. Un paquete no será aceptado como genuino a menos que su firma coincida con una de las claves. Estas claves se instalan y actualizan a través de los paquetes ubuntu-keyring y ubuntu-extras-keyring .
Si un atacante logra alterar estos paquetes en la imagen ISO que utiliza para iniciar todo el proceso, entonces:
Si el atacante eliminó o reemplazó las claves de Ubuntu, su máquina no aceptará ningún paquete adicional, incluidas las actualizaciones, de los servidores de Ubuntu originales.
Si el atacante simplemente agregó su propia clave pública pero dejó las claves genuinas en su lugar, las actualizaciones seguirán funcionando, incluida una posible actualización del paquete ubuntu-keyring , que puede por lo tanto, "saque al atacante" eliminando su clave adicional.
De todos modos, estás condenado, porque un atacante que podría alterar la ISO podría haber insertado puertas traseras en docenas de paquetes, claves o ninguna clave.