Forum Debian Users Gang

korzen · 2015-09-29 23:43:47

Witam! Pytanie pewnie głupie, ale nigdzie nie mogę znaleźć odpowiedzi. Jaką mam pewność, że w repozytoriach Centosa pakiety nie zostały podmienione, np. na szpiegujące? Mam na myśli oficjalne repozytoria base, extras, updates- np. te z Polski. Z góry dzięki za odpowiedź. Pozdrawiam.

uzytkownikubunt · 2015-09-30 01:58:35

2286

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:25:18)

remi · 2015-09-30 17:37:35

Cześć. Tak poza tym, np. w trakcie pobierania pakietów [tt]*.rpm[/tt] z danego repozytorium (np. wykorzystując narzędzie RPM), weryfikowany jest podpis, aby upewnić się, że nie zostały naruszone. Wszystkie pakiety, dostępne w systemie CentOS, są podpisane za pomocą klucza GPG (Red Hat Inc.), użytego do zapewnienia autentyczności dystrybuowanych plików. Podpis jest sprawdzany automatycznie, zarówno podczas instalacji oraz aktualizacji pakietu. Sygnatura potwierdza, że pakiet został podpisany przez upoważniony podmiot.

Jeśli klucz publiczny, rozprowadzany przez Red Hat, nie zgadza się z kluczem prywatnym podczas weryfikacji RPM, może to oznaczać, że pakiet mógł zostać zmieniony, a więc przestaje być godny zaufania, prawda? Narzędzie RPM, przed zainstalowaniem programu, automatycznie próbuje zweryfikować klucz GPG wykorzystany do jego "[i]podpisania[/i]". Jest to niezwykle ważne, aby sprawdzić pobrane pakiety, pod kątem uszkodzeń bądź tego, czy nie są trefne. Programy [tt]*.rpm[/tt], które nie przechodzą owej weryfikacji, nie powinny być instalowane, ponieważ — jak już wspomniano — istnieje możliwość, że zostały zmienione przez osoby trzecie etc. W przypadku poprawnego audytu, można przejść do instalacji przyjmując, że pakiet jest godny zaufania. Polecam zapoznać się z dokumentacją dystrybucji CentOS, dotyczącą np. sprawdzania podpisu pakietów, korzystania z mechanizmu RPM itp. (Zob. [url=https://www.centos.org/docs/5/html/Deployment_Guide-en-US/ch-rpm.html][color=blue]Package Management with RPM[/color][/url]).

Tak więc [b]Korzen[/b], wydaje się, że tylko w ten sposób można mieć pewność, że z pakietami, wszystko jest w porządku. Z drugiej strony, można zadać pytanie, jak wiarygodny jest programista, który stworzył paczkę? Jeżeli pakiet jest podpisany kluczem GnuPG dewelopera, można uznać, że owy deweloper jest tym, za kogo się podaje. Dodatkowo można śledzić oficjalną stronę projektu, listy mailingowe, zwłaszcza te dotyczące bezpieczeństwa etc., w poszukiwaniu wiadomości mówiących o zmianach w repozytoriach. Oczywiście tych złych, niepokojących modyfikacjach.

Mam nadzieję, że czegoś nie pokręciłem pisząc odpowiedź "[i]na szybko[/i]". (Jeżeli tak, to przepraszam i proszę o info).

Pozdrawiam.

[color=gray]EDYCJA: [i]formatowanie tekstu.[/i][/color]

Ostatnio edytowany przez remi (2015-09-30 20:34:53)

korzen · 2015-10-01 14:37:30

Dzięki Panowie za odpowiedzi:) Rozwiały one moje wątpliwości. Pozdrawiam!

Time (s)	Query
0.00010	SET CHARSET latin2
0.00005	SET NAMES latin2
0.00090	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.14.134.18' WHERE u.id=1
0.00087	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.14.134.18', 1732208187)
0.00041	SELECT * FROM punbb_online WHERE logged<1732207887
0.00053	SELECT topic_id FROM punbb_posts WHERE id=291249
0.00113	SELECT id FROM punbb_posts WHERE topic_id=27762 ORDER BY posted
0.00078	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=27762 AND t.moved_to IS NULL
0.00005	SELECT search_for, replace_with FROM punbb_censoring
0.00078	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=27762 ORDER BY p.id LIMIT 0,25
0.00071	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=27762
Total query time: 0.00631 s

Forum Debian Users Gang

Ogłoszenie

#1 2015-09-29 23:43:47

korzen - Nowy użytkownik

CentOS bezpieczeństwo repozytoriów

#2 2015-09-30 01:58:35

uzytkownikubunt - Zbanowany

Re: CentOS bezpieczeństwo repozytoriów

#3 2015-09-30 17:37:35

remi - amputować akrobatów

Re: CentOS bezpieczeństwo repozytoriów

#4 2015-10-01 14:37:30

korzen - Nowy użytkownik

Re: CentOS bezpieczeństwo repozytoriów

Stopka forum

Informacje debugowania