Maven中央仓库启用SSL

英文原文：Maven Central Enables SSL

　　为了应对黑客可以向 Maven 中央仓库上传普通代码库的恶意版本这一问题，Sonatype 公司启用了 SSL 连接以供测试之用。Sonatype 公司之所以这样做的目的是为了在经历一个过渡期之后让 SSL 这一连接模式成为默认的连接方式。Sonatype 公司的产品管理副总裁 Brian Fox 主动对此事进行了评论，并说明最早提出 SSL 连接需求的是 Sonatype 公司的商业客户。他将这一问题之所以持续了这么久的原因归咎于大众的“安全盲点”，目前的事实就是从 2012 年以来，只有 12 个用户签约了启用 SSL 的 Nexus。

　　上周，安全顾问 Max Veytsman 发布了一篇标题为“如何接管任何 Java（或者是 Clojure 或 Scala）开发者的计算机”的博文，该博文发表之后，Maven 在明文的 HTTP 协议之上进行操作的安全问题显得格外显著。在该博文中，Veytsman 重点强调了 Maven 中央仓库在“中间人攻击”这一类网络攻击面前的脆弱性。

　　Sonatype 马上对此事做出了响应，并向外界透露：一个为所有用户修复安全漏洞的项目已经在紧锣密鼓的进行中，而当前的计划是 8 月 12 日前，将 SSL 支持作为 CLM 和 Nexus 的默认选项。

　　Maven 中央仓库的 SSL 连接在 8 月 3 日已经可以使用，而现有的工具则可以通过配置来将 https://repo1.maven.org/maven2/作为默认中央仓库地址，当前的 Maven 用户可以通过在 settings.xml 文件中重新定义“central”来将 https 替换掉 http。

　　更多的信息可以查看该用户页面。