PGP签名与Linux包管理的安全隐患
在关于PGP生态系统的讨论中，我常听到一种观点：尽管PGP存在缺陷，但它仍是Linux发行版中软件包签名的重要工具。本文将重点分析PGP在Linux包管理场景中存在的系统性安全问题。
攻击案例：Ubuntu的HHVM安装流程
以Ubuntu安装HHVM（Facebook开发的HACK语言运行时）的官方指导为例，关键步骤如下：
|
|
该命令从Ubuntu密钥服务器获取PGP签名公钥，这正是安全弱点的根源。
攻击1：签名洪水攻击
PGP密钥服务器采用只追加设计原则，任何人都可向目标密钥追加任意数量签名。近期已有攻击者通过添加数万签名使密钥体积膨胀至MB级，导致GnuPG导入超时。理论上攻击者可构造GB级恶意签名使所有依赖该密钥的安装流程失效。
攻击2：密钥ID碰撞攻击
安装脚本中0xB4112585D386EB94是64位密钥ID（即公钥SHA1哈希的截断值）。早在2002年就有人指出短ID易受碰撞攻击——攻击者可暴力破解生成相同ID的恶意密钥。据Evil32攻击研究者估算，利用云GPU实现64位ID碰撞成本约12万美元，而32位ID碰撞成本更低。
在中间人攻击场景中，攻击者可拦截非加密的keyserver连接（hkp协议），注入碰撞密钥。由于APT默认信任该密钥，后续可诱导安装恶意仓库（尤其当系统存在HTTP源时，如Debian/Ubuntu的默认配置）。
攻击3：HTTP密钥传输风险
非APT系同样存在隐患，例如Dropbox曾推荐的Yum配置：
|
|
通过HTTP传输密钥和仓库，使网络攻击者可完全控制安装过程。
技术根源与改进建议
这些漏洞反映了PGP生态的深层问题：
- 密钥服务器"只追加"设计缺乏清理机制
- 短密钥ID等已知危险特性长期未废弃
防御方案：
- 避免使用公钥服务器，改为HTTPS托管自有密钥
- 彻底弃用32/64位密钥ID，强制使用完整指纹
- 仓库必须启用HTTPS传输
更新：Debian Wiki已发布第三方仓库安全指南，针对性解决上述问题。