ubuntuusers.de

Hallo zusammen,

ich würde gerne mal einige Meinungen hören zum Thema Sicherheitsrisiko durch ppas? Damit meine ich nicht, dass es durch fehlende Abhängigkeiten schlecht gebauter Pakete eventuell zu Problemen mit der Paketverwaltung kommen kann oder dass es zu Problemen beim Versionsupgrade führen kann.

Ich möchte ganz konkret wissen, wie wahrscheinlich es ist, dass jemand Schadsoftware über ein ppa verteilt. Gibt es da irgendwelche Sicherheitsmechanismen? Werden die Pakete eventuell von Canonical oder anderen vertrauenswürdigen Dritten geprüft? Laut Artikel http://wiki.ubuntuusers.de/Baustelle/Launchpad/PPA?highlight=launchpad scheint es sich ja eher um eine maschinelle Prüfung auf Fehler zu handeln. Außerdem verstehe ich den Artikel so, dass der Quelltext hochgeladen wird und der Launchpad-Server baut dann das Paket. Wie aber geht das bei proprietärer Software wie z.B. dem pepper-flash-plugin für Chromium?

Grüße

Rechnungstore

Rechnungstore schrieb:

Ich möchte ganz konkret wissen, wie wahrscheinlich es ist, dass jemand Schadsoftware über ein ppa verteilt. Gibt es da irgendwelche Sicherheitsmechanismen?

Nein. Es gibt keine Sicherheitsmechanismen. Jedes PPA kann jederzeit Pakete aus den Standard-Paketquellen ersetzen und über schreiben.

Das wurde von langer Zeit auch schonmal exemplarisch demonstriert, wenn auch in dem Fall eher als harmloser „Schreck“ http://ikhaya.ubuntuusers.de/2006/11/20/eine-kleine-geschichte-ueber-fremde-paketquellen/

Also: beim Umgang mit PPAs immer nur das Paket installieren, was man tatsächlich haben möchte – kein Upgrade durchführen solange das PPA aktiv ist und nach der Installation das PPA wieder deaktivieren, bis man die Software aus dem PPA mal aktualisieren muss.

~jug

Oder noch besser ein eigenes PPA pflegen, wenn man die Pakete auf mehreren Rechnern nutzen will.

apt-pinning ist auch eine Möglichkeit um festzulegen, ob und welche Pakete aus den originalen Ubuntu-Quellen den Vorzug bekommen sollen.