>> дано:сервера и пользовательские компьютеры в локальной сети,подключенные к интернет через
>> сеть,контроллируемую злоумышленниками
>> задача:произвести обновления операционной системы и ПО
>> Какие есть варианты?
> ipsec, ssh, https

))

https в этот ряд я бы не ставил, т.к. вероятнее всего certificate pinning не подразумевается, а некие злоумышленники могут использовать скомпрометированный CA.

вариант тут собственно один: обеспечить аутентификацию процесса получения обновления, либо аутентификацию соединения, через которое получаем обновления (как раз упомянутые IPSEC, SSH, HTTPS), либо аутентификацию полученного обновления (цифровая подпись, сверка контрольных сумм с заведомо достоверными).

Всё это применяется в любых адекватных процессах обновления ОС и ПО, т.к. интернет - это и есть сеть, контролируемая злоумышленниками.

> Заказать диск с обновлениями и попросить переслать DHL
> :-)

Убунта ещё рассылает диски со своими релизами?

> apt делает это прямо из коробки, через любой протокол - http, ftp...
> Пакеты подписаны, ключи пользователям известны. Враг не пройдёт.

И не только АПТ, ЮМ, ДНФ, РАКМАН - тоже проверяют подписи пакетов....

Или стройте ВПН мимо контролеров...