Поэтому я просто обновлял свою систему Ubuntu 18.04, как обычно, когда заметил, что доступ к репозиториям apt осуществляется через HTTP. Быстрый поиск в Интернете подтвердил, что это стандартно (по крайней мере, с Ubuntu), но не дал ответа на вопрос, почему. Теперь я знаю, что apt выполняет проверку подписи / исправности пакетов, но, тем не менее, почему HTTPS не используется?
В большинстве случаев файлы загружаются с зеркала, а не с серверов Ubuntu, поэтому, даже если сайт Ubuntu использует HTTPS, вы будете загружать файлы с таких сайтов, как http://ubuntu.unc.edu.ar/ubuntu/или http://ubuntu.mirror.lrz.de/ubuntu/.
Чтобы преодолеть эту проблему, файлы, загруженные APT, имеют подпись, которая позволяет проверять их по открытым ключам, хранящимся на вашем компьютере, как подписанным Ubuntu и только Ubuntu.
На мой взгляд, это потому, что слой не нужен для этой цели! Я имею в виду, что https необходим для шифрования данных по сети, чтобы избежать отправки конфиденциальных данных в виде открытого текста (никогда не проверяйте себя в протоколе http). Так что там нет трафика для защиты, в основном код с открытым исходным кодом и может быть загружен и распространен. Необходимо защитить сам бинарный пакет, но для этого все пакеты в хранилище имеют цифровую подпись, и если открытый ключ не установлен в вашем менеджере пакетов, он уведомит вас о том, что программное обеспечение, которое вы начинаете устанавливать, является пришел из ненадежного места.