[linux-l] Sicheres Update/Installation von Packages

Christian neodaxus at gmx.net
Mi Jul 21 02:36:29 CEST 2004


Hallo Nico und Kendy,

>>theoretisch ist es möglich, daß modifizierte Packages für Linux-Distros
>>in Umlauf gebracht werden, um Backdoors schaffen (Beispiele: mittels
>>gehacktem Server/Mirror, falsches Routing, Betreiben eines Servers mit
>>manipulierten Inhalten).
>>Ich frage mich, welche Distros sich auf welchem Wege dagegen schützen.
[Nico]
> Mir ist die Frage nicht ganz klar.
> "Gehackte" Server kann es immer geben, aber ansonsten schützen sich die
> Projekte, indem nur authorisierte Mitglieder uploaden dürfen.
> Ich kann nur von Debian sprechen, aber da wird zumindest sehr genau
> geprüft, was hochgeladen wird.

Das ist natürlich auch wichtig, schützt aber nicht von einem (wenn auch
unwahrscheinlichem) "man in the middle" oder manipuliertem DNS. Du hast
keine Garantie, daß Dein Rechner bei Zugriff auf ftp.debian.org
tatsächlich auf ftp.debian.org zugreift.

>>Angeblich wird für manche Debian-Packages noch nicht einmal ein MD5
>>angegeben (?). 
> Stimmt nicht. Zu einem Debian Paket gehören verschiedene Dateien.
> Unter anderem eine changes Datei, in der die md5's von allen anderen
> Dateien enthalten  ist und eine dsc Datei, in der Dann auch der md5 von
> changes steht.

Mit Hilfe der MD5s alleine kannst Du jedoch nicht wissen, ob die Dateien
  tatsächlich von einem/mehreren Debian Developer(n) stammen.

> Ja ist richtig, jedes Debian-Paket wird von seinem Maintainer mittels
> debsign signiert.

Angeblich überprüft aber erst apt 0.6.x (testing) die Signaturen.

Von Hand jedes Paket zu überprüfen, ist aufwendig, aber wäre wohl eine
Lösung.

[Kendy]
 >> Weiß jemand etwas über SuSE (YOU + Yast)?
 > gerade fuer 9.1 getestet: SuSE unterschreibt seine RPMs mit dem
 > pgp-schluessel 9c800aca

Aber überprüft YOU + Yast diesen auch und gibt ggf. eine Warnung aus?

Gruß,

Christian




Mehr Informationen über die Mailingliste linux-l