NuGet 저장소에 SSL을 사용하는 이유는 무엇입니까?

Question

어제 자동 빌드 머신에 문제가있었습니다. 우리는 TFS 빌드 서버를 사용하고 있으며 NuGet 패키지를 자동으로 다운로드하려고 할 때 "기본 연결이 닫혔습니다 : SSL/TLS 보안 채널에 대한 트러스트 관계를 설정할 수 없습니다"라는 악명이 있습니다.

왜 이런 일이 발생하는지에 대해 '그물'주위에 많은 스레드가 있습니다. 그건 내 질문이 아니야. 저장소에 SSL을 사용하는 이유는 내가 알고 싶습니다 무엇

http://nuget.org/api/v2/ 

또는

http://packages.nuget.org/v1/FeedService.svc/ 

에

https://nuget.org/api/v2/ 

에서 NuGet 저장소를 변경하여 충분히 쉽게 고정 할 수 있습니다 첫 번째 장소? 나는 그것이 이유가 있다고 생각하지만, 나는 무엇을 알아낼 수 없다. 보안이 필요한 로그인이 없습니다. 나는 안전 할 필요가있을 어떤 정보든지 보내지는 생각할 수 없다. 난 그냥 안전하지 않은 연결 (그냥 잘 작동)을 사용하여 우리가 어떻게 든 우리의 빌드 머신을 손상시키지 않았는지 확인하고 싶습니다.

누구나 보안 연결을 사용하여 NuGet에 연결할 때 얻게되는 이점을 설명 할 수 있습니까?

Answer 1

보안이 필요합니다. 전송되는 정보를 생각할 수 없습니다.

nuget.org와 교환하는 정보에 비밀이 들어 있으므로 보안이 필요하기 때문에 반드시 그런 것은 아닙니다. SSL을 사용함으로써 여러분은 실제로 이 nuget.org임을 확신 할 수 있습니다. SSL이 없다면 누군가 이론 상으로는 가짜 패키지를 먹여 살릴 수도 있습니다. 보안 문제 일 수 있습니다.

: 우리는 새로운 빌드 서버를 사용하기 시작하면

당신이 으로 발생한 문제에 대해서는 "SSL/TLS 보안 채널에 대한 트러스트 관계를 설정할 수 없습니다", 우리는 비슷한 문제를 했어 https://nuget.org/으로 표시된 SSL 인증서를 보면 인증 경로는 다음과 같습니다. GeoTrust Global CA> RapidSSL CA> * .nuget.org

GeoTrust Global CA가 새 빌드 서버에서 신뢰할 수있는 CA로 누락되어 문제가 발생했습니다. 신뢰할 수있는 루트 CA (인증서 스냅인이있는 MMC 콘솔 사용)의 빌드 서버 목록에 추가하여 쉽게 해결할 수있었습니다.

업데이트 : 나중에 서비스에
, 나는 같은 SSL의 문제가 발생했습니다, 그리고 신뢰할 수있는 CA로 GeoTrust의 추가 혼자 문제가 해결되지 않았다. 에이 추가 된 경우 서버는 루트 CA에 https://go.microsoft.com/인데, 이는 볼티모어 CyberTrust 루트입니다 (https://microsoft.com로 이동하면 인증서를보고 다운로드 할 수 있습니다). 이를 신뢰할 수있는 루트 CA의 서버 목록에 추가하면이 문제가 해결됩니다.