要安装 Sublime，它需要我添加 GPG 密钥和sources.list 条目，以便 apt-get 可以找到它。其他几个项目也提出了同样的要求。为什么向sources.list 添加更多域不会带来安全风险？
也就是说：假设包 A 应该来自主机 B。我将主机 C 添加到新的sources.list 中。主机 C 被破坏，攻击者托管恶意软件包并将其称为 A。下次我尝试更新 A 时，apt-get 检查源并决定从 C 而不是 B 下载它，我得到了恶意版本。
答案1
答案：这是。
无论您使用什么发行版/操作系统，引入额外的软件包源始终存在风险。理论上，使用 GPG 密钥有助于降低风险，因为理论上，有人必须：
- 访问提供二进制文件的服务器
- 访问用于签署二进制文件的 GPG 私钥
- 打包受感染二进制文件的新版本，对它们进行签名，然后放在服务器上
在这种情况下，有人必须穿越多层才能做一些邪恶的事情。安全方面始终如此。这都是关于图层的！为了让一个社区蓬勃发展并站在他人的肩膀上，你必须愿意放弃孤立，并把你的相信在其他人中。
请记住，提供文件服务的服务器之前已受到不同程度的破坏，但通常会立即被发现并可以在短时间内解决。
之前的攻击
尖端
- 始终仔细检查 URL 并确保它们合法
- 不要添加存储库，除非您绝对需要它们的软件包
- 定期审查您的来源列表
- 定期审查站点用于签署软件包的 GPG 密钥
- 勤于了解最新的包裹