En su ejemplo, la gema se cargaría a través de HTTPS, porque el Gemfile de una dependencia no se cargará en absoluto. A partir de las dependencias, Bundler solo evalúa el archivo gemspec . El Gemfile de la gema solo se usa durante el desarrollo de esa gema. Lectura interesante en este contexto: cómo el empaquetador prioriza las fuentes .

Lo siguiente para el lector interesado por qué es importante usar HTTPS al descargar gemas:

Cuando carga una gema desde una fuente que no es HTTPS y hay un atacante intermediario, este atacante podría devolverle cualquier cosa en lugar de la gema que solicitó.

Por supuesto, hay hombres si y cuándo . Pero imaginemos que va a descargar una gema en un canal de comunicación no seguro como HTTP puro. E imaginemos que hay un atacante man-in-the-middle que es capaz de olfatear su tráfico. Esto podría ser posible cuando se usa el mismo WiFi en una cafetería u hotel, o cuando hay diferentes clientes en servidores virtuales en un centro de datos o tienen acceso físico a su teléfono fijo.

Debido a que pueden leer su solicitud sin cifrar de una gema, entonces saben qué gemas está usando. Ahora imagine que no solo detectan su tráfico, sino que también manipulan la respuesta de los servidores hacia usted. Cuando, por ejemplo, solicita una nueva versión de una gema popular para manejar la autenticación y autorización de usuarios o pagos, podrían devolverle su versión en lugar de la versión original.

Y su versión podría incluir algunos cambios menores como:

• cuando se carga, la gema podría cargar su Gemfile al atacante, lo que le daría al atacante una excelente visión general de su aplicación.
• cuando se carga, la gema podría tomar todas las variables ENV y/o Rails.credentials y cargarlas en un servidor controlado por el atacante. Esto ciertamente le daría al atacante todas las contraseñas de su aplicación.
• debido a que cambió la gema original que se ocupa de las credenciales de los usuarios, la gema maliciosa podría rastrear a los usuarios o sus credenciales de administrador cuando inician sesión o actualizan sus credenciales. Dado que muchos usuarios usan la misma combinación de correo electrónico y contraseña en todas partes, esto sería una pesadilla.
• si la gema puede leer variables ENV o Rails.credentials , eso significa que también podría cambiarlas. Por ejemplo, conectarse a otro proveedor de pago significaría que el pago de su cliente se redirigiría a una cuenta diferente.
• Y además de eso, la gema maliciosa también podría reemplazarse con la gema original una vez que se cargara en la memoria. Lo que dificultaría darse cuenta de que su servidor fue atacado.

tl;dr Cuando un atacante puede realizar un ataque de intermediario, puede enviarle versiones maliciosas de una gema. Estas gemas maliciosas podrían hacer casi todo lo que puedas imaginar con tu aplicación. Claro, los ataques como este no son simples, pero tampoco son superdifíciles.

La regla general es: siempre use HTTPS siempre que sea posible (no solo para descargar gemas sino para todo el tráfico de la red).