Jsou PPA repozitáře bezpečné?

Jeff Hoogland se na svém blogu zamýšlí nad otázkou, zda jsou PPA repozitáře Ubuntu bezpečné nebo existuje důvod k obavám. Autora znepokojuje fakt, že balíčky v těchto repozitářích nejsou nijak kontrolovány a tedy hrozí riziko zavlečení škodlivého kódu. Zvlášť když uživatel přidáním takového repozitáře zadává heslo roota nejen při instalaci softwaru, ale také při každé aktualizaci. Co o tomto riziku soudíte vy?

29.11.2010 08:09 | Tomáš Heger (geckon) | Zajímavý článek

Komentáře

[marek_hb]

soudím o tom to, že linux (normální, nijak extra nenastavený desktop) na tom s bezpečností není nic moc

[Vojtěch Trefný]

A proč to omezovat jen na PPA repozitáře? Každý repozitář může být takto nebezpečný. Prostě si nesmím bezhlavě instalovat cokoli odkudkoli, ale trochu u toho myslet.

[pavlix]

A proč to omezovat jen na PPA repozitáře? Každý repozitář může být takto nebezpečný. Prostě si nesmím bezhlavě instalovat cokoli odkudkoli, ale trochu u toho myslet.

Tak já bych to viděl úplně jinak, ve chvíli, kdy schválím repozitáře, tak už z nich instaluju cokoliv. Spíše bych to viděl jako nepřidávat jen tak nějaký repozitář.

To poslední stále ještě porušuju přidáváním repozitáře Adobe, ale co už, v případě problémů bude aspoň na koho ukázat a vyhnout se smluvním pokutám za leak informací.

[Tutor]

A ony jsou Ubuntu repozitáře bezpečné?

[belisarivs]

Ty by ses mel lecit. Ojel ti Shuttleworth nekoho z rodiny?

[Tutor]

z definice "universe" a "multiverse" vyplyva, že nejsou podporoany Canonicalem. (snad jsem to nepopletl). Z hlediska v článku zmiňované pseudobezpečnosti jsou na tom v tom případě asi podobně jako PPA. Tudíž celý článek je nesmysl.

[belisarivs]

A s tim mnou navrhovanym lecenim to souvisi jak?

[Saljack]

1. je to hrozná blbost a 2. to není zas až tak pravda, mě se třeba kubuntu při aktualizaci na heslo neptá.

[Adam Saleh]

Spomínate si na Automatix? Taká tá vec čo kedysi vydal ktosi pre Ubuntu, čo kvôli tomu aby ste si mohli nainštalovať codec KLIKNUTÍM preinštalovala polku systému ... v podstate šlo o prvý linux mallware :P

[tsLnox]

Mallware? To jako obchoďákoaplikaci? (sorry, lepší překlad mě nenapadl )

[Vskutečnosti Saýc]

Ano. A s jednim l je to aplikace od chlapka jmenem Malcolm, zkracene Mal.

[tsLnox]

A já si myslel, že jsem vtipnej spelling nazi. *facepalm*

[imploder]

Připomíná to stěžování si komunisty na volný trh, že si můžete sehnat cokoliv bez toho, aby to posvětil ÚV KS Ubuntu To je prostě následek svobody, kde je volný trh, ne centrálně řízený.

IMHO je dobře, že PPA existuje a je škoda, že takových projektů je málo. Bezpečnost prostě závisí na důvěryhodnosti jednotlivých autorů, co tam software dávají. Pokud je balík, co potřebuju, v oficiálním repozitáři Ubuntu a já Ubuntu věřím víc než autorovi daného softwaru, tak bych měl určitě použít oficiální repozitář Ubuntu a ne PPA. Pokud tam ale ten balík není, tak mám 2 možnosti:

1. najít si na webu repozitář pro Ubuntu přímo od autora (pokud takový provozuje - často ne) a nainstalovat si software z něj
2. nainstalovat si balík z PPA

Instalování z PPA není o nic nebezpečnější, spíš naopak: na svůj web si může kdokoliv dát cokoliv a nejde to naprosto nijak kontrolovat (a nemusí to být úmysl - prostě se web stane obětí viru), tak na PPA si sice každý může nahrát co chce, ale pod určitou kontrolou to je - na malware by se zřejmě rychle přišlo a admini by ho odstranili a dá se jim věřit (jménem Ubuntu), že se PPA nestane obětí viru. Dala by se nasadit i nějaká heuristika na odhalování potenciálně škodlivých balíků - antiviry jsou v tomhle už docela daleko.

Uživatelé Linuxu si musí zvyknout, že malware existuje a je potřeba s ním počítat, neinstalovat a nespouštět nic nedůvěryhodného. Pokud někdo věří tomu, že malware se týká Windows a ne Linuxu, měl by vystřízlivět. Tak tomu není a nikdy nebylo. Bezpečnostní architektura UNIXu/Linuxu a Windows řady NT je podobná. Linux není systém dělaný na to, aby se v něm daly bezpečně spouštět nedůvěryhodné programy (takové systémy existují zatím pokud vím jen jako experimenty, např. Coyotos). V Linuxu si můžete spustit nedůvěryhodný program, ale jenom pod pro to určeným speciálním uživatelem s dostatečně malými právy, aby nemohl napáchat žádnou škodu. Jakýkoliv program může dělat cokoliv, na co má právo uživatel, pod kterým běží. Je to stejné jako u Windows, v principu o nic bezpečnější.

[eee]

Imho jsi nepochopil podstatu problemu.

V tomto pripade neni potencialne nebezpecna jen samotna aplikace, proti cemuz se lze branit jejim spustenim pod omezenym uzivatelem nebo v sandboxu, ale predevsim uz jeji samotna instalace bezici pod rootem. Takze staci hacknout repozitar, podstrcit balicek a uz na tisicovkach pocitacu bezi skodlivy program pod rootem. Cim vic repozitaru, tim vetsi riziko. Ze jsou dobre chranebe oficialni ubuntu repozitare verim, ale u tech dalsich mam velke pochybnosti.

[imploder]

Proč by PPA mělo být hůř chráněné? Riziko spočívá v tom, že tam může kdokoliv nahrát cokoliv, nemusí se to předem schválit jako u oficiálních repozitářů. Hacknout PPA nejde, pokud je to dobře zabezpečené. Stejně tak bych mohl říct, že stačí hacknout oficiální repozitář Ubuntu a už na miliónech počítačů běží škodlivý program pod rootem.

Neříkám, že PPA je stejně bezpečné jako oficiální repozitář Ubuntu. Není. Ale když je na výběr stáhnout si program přímo od autora nebo stáhnout si ho z PPA, kam ho autor nahrál, proč by PPA mělo být nebezpečnější? PPA se dá linkovat přímo z webu toho programu, v takovém případě nehrozí, že bych si přidal z PPA repozitář někoho jiného, kdo se za autora jenom vydává.

[imploder]

Že se zadává heslo roota při každé aktualizaci, nechápu - to je chyba, ne? Normálně se heslo při aktualizaci nezadává.

[Tutor]

Takže kdokoli může kdykoli aktualiovat systém? Vskutku skvělé

[imploder]

Jo, tak to normálně funguje. Nevím teda, jestli i na Ubuntu, ale ve Fedoře a ve Windowsech může spustit aktualizaci systému ve výchozím nastavení každý. Jsou to primárně desktopové, ne serverové systémy. A to nastavení se kdyžtak dá změnit.

[vulgární Nick]

Nevím, školy nemám, ale používám Ubuntu i Fedoru a aktualizační programy (minimálně) ve výchozím nastavení vždy vyžadovaly heslo.

[belisarivs]

Presne tak.

[imploder]

Mám Fedoru 14 a na aktualizace není heslo potřeba, pokud se neinstalují nové balíky. Ve Fedoře se s tímhle experimentovalo, chvíli to bylo i tak, že mohl každý uživatel instalovat nové balíky, pokud byly z podepsaného (důvěryhodného) repozitáře. Pak to zrušili, lidem se to nelíbilo.

Ve Windows 7 se taky nemusí zadávat kvůli aktualizaci heslo.

[vulgární Nick]

Ve Fedoře 14 to je tak, že zjistit, zda jsou k dispozici aktualizace, mohu bez hesla, ale k jejich instalaci heslo už potřebuju. Myslím, že z hlediska bezpečnosti to je vyhovující - aspoň já s tím nemám problém.

[imploder]

Asi mám ještě nějaké staré nastavení (aktualizoval jsem, neinstalovat načisto). Každému to může vyhovovat jinak. Já na tom, že aktualizace je bez hesla, nic nebezpečného nevidím, protože mám instalované balíky jenom z důvěryhodných zdrojů a zadávat heslo je otrava.

[Tutor]

To musí být skvělá feature, když víte, že aktualizace obsahuje nějakou chybu / nekompatibilitu s vámi používaným softwarem, a nějakáý franta uživatel vám to tam nasype.

[imploder]

Takové případy nejsou časté. Kdybych o tom věděl, tak aktualizaci frantům uživatelům zakážu. Ale je to hypotetická otázka - nevím, proč bych měl k počítači pouštět nějakého frantu, který kliká na tu oranžovou ikonku v rohu, i když nemá. Ten počítač není server, nepoužívají ho vzdáleně frantové.

[Tutor]

Kdybych chtěl, aby měl počítač zlozvyky z Windows, budu používat Windows. Podle mého skromného názoru nemá běžný uživatel provádět žádné úkony náležející administrátorovi systému.

[pavlix]

Tak, je to Fedora. Fedora není enterprise distro. Protože není enterprise distro, používá se nejčastěji v situacích, kdy nejsou tak přísně rozdělené role administrátora a uživatele (myslím skutečné role, ne v OS).

V takových případech je vhodné umožnit uživateli, což je z 99% vlastník systému, umožnit instalaci aktualizací stejně jako správci, který se na to občas podívá, když třeba něco nejede.

V distribucích určených pro firemní nasazení by to byla samozřejmě chyba, ale to se Fedory netýká.

Kdybych chtěl, aby měl počítač zlozvyky z Windows, budu používat Windows.

Co je zlozvyk, a co je užitečná vlastnost, je trochu věc názoru a hodně věc účelu instalace.

[imploder]

Prostě aktualizace v mojem případě není nebezpečná akce. Pokud někdo má nainstalované něco, čemu úplně nevěří (jako třeba v Ubuntu nějaké balíky z PPA), tak tam je lepší si každou aktualizaci zkontrolovat (případně otestovat odděleně atd.), než ji nainstaluju. Takže to, že z PPA může aktualizovat jenom root, je asi správně.

[eee]

to zalezi na nastaveni, vy mate nastavene automaticke aktualizace, vetsina lidi je opatrnejsi

[sheeryjay]

Navíc je zprávička špatně napsaná, autor článku zmiňoval dávání root práv instalovaným (updatovaným) programům (protože deb je tak vcelku logicky spouštěný) a ne zadávání hesla ručně.

[vulgární Nick]

To je teda zamyšlení - hrajte fanfáry. Rozumbrada se někde dověděl, že na světě existují i neověřené repozitáře (říkám wow! takovému velkému zjištění) a ve třech odstavcích to označil za problematické. Pak něco zablekotal o heslu, následně pochválil free software a zakončil tvrzením, že by vlastně byla lepší distribuce Chakra (o které náš rozumbrada napsal mimochodem review). Geniální, headshot!

[Peto_MiG]

Keď si niekto stiahne softvér pre Windows z príslušnej webstránky tvorcu a nainštaluje si ho do svojho počítača, je to presne o tom istom, a nezdá sa, že by sa masovo sťažovali...

[imploder]

+1 Navíc PPA je přece jen kontrolovanější a asi bezpečnější než nějaký web, co někdo dělá na koleně (a má ho třeba napadnutelný SQL injection atd.).

[xxx]

Většina lidí nestahuje ze stránek výrobce, ale ze serveru typu stahuj nebo slunecnice a ty mají u software, který nabízejí ke stáhnutí, napsáno většinou něco jako: tento sw byl zkontrolován antivirem xxxx. U ppa repozitářů nic takového nebývá.

[pavlix]

Většina lidí nestahuje ze stránek výrobce, ale ze serveru typu stahuj nebo slunecnice a ty mají u software, který nabízejí ke stáhnutí, napsáno většinou něco jako: tento sw byl zkontrolován antivirem xxxx. U ppa repozitářů nic takového nebývá.

Tak jim můžete navrhnout, ať to tam napíšou :). Jistě to výrazně zvýší bezpečnost dotčených systémů :D.

Čistě mezi náma, k čemu je taková kontrola antivirem dobrá? V těch repozitářích můžou být programy určené k různým účelům, tedy na základě toho, že umějí provádět (volat) nebezpečné akce či komunikovat po internetu, nelze usoudit, že je to malware.

A hledat podle signatury? Ale kdeže. Malware se může neustále měnit (třeba střídavě automaticky i manuálně), nepotřebuje v sobě obsahovat kód pro šíření (je přece v repozitáři).

Malwarem může být každý software obsahující chybu, který má dodavatel balíku v úmyslu použít jako trojského koně. To už je věc v podstatě nedetekovatelná.

Navíc posouzení, co je malware a co není, obecně nejde. Například chci vidět běžně používaný anti-malware, který vám zakáže všechen (alespoň dobře známý) malware, jako například ICQ (typický příklad adware, což považuju za malware automaticky) a Skype (typický příklad vzdáleně zneužívaného malware, který například exploituje síťové prostředky a aktivně se brání proti auditu).

[vulgární Nick]

Nechápu přehnanou důvěru ve WikiLeaks, a to jak u lidí zde v diskuzi, tak u "novinářů". Informace, které WL poskytuje, nelze často vůbec ověřit (zdroje pochopitelně nejsou prozrazeny - beztak pochybuju, že primární zdroje WL vůbec zná) a jediným způsobem ověření je de facto potvrzení "prozrazeného" člověka.

Kdybych byl v situaci těch, co jim údajně unikly nějaké informace, tak prostě začnu WL lifrovat falešné informace a celou situaci obrátím ve svůj prospěch.

[vulgární Nick]

Pardon, tento příspěvek měl patřit sem.

[Atrament]

Přesně o tomhle problému jsem se tu kdysi s někým dohadoval, ten dotyčný mi neustále tvrdil něco ve smyslu, že tvůrci těchto repozitářů jsou hodní kluci a on jim věří, zatímco tvůrci aplikací pro windows co nabídnou svoji aplikaci ke stažení na svých stránkách jsou zlí a jim nevěří protože tam do té aplikace dají kdejaký vir, spyware a malware a kdovíco ještě :) (jasně přeháním, ale zhruba v tomto duchu ta debata byla)

Přitom problém je zřejmý a už o něm tuhle a onde mluvím s kdekým pěkně dlouho - instalace prostě nemá probíhat pod rootem, to je ta největší chyba!!!!! Root má přístup absolutně všude na daném stroji - to znamená i do /home adresářů uživatelů. A data uživatelů je to co je třeba chránit především, ne systém! Systém se dá snadno kdykoliv přeinstalovat za pár minut, ale zničená data uživatelova, který nezálohuje to už může být docela solidní škoda, mnohdy nenahraditelná. Balíčkovací systém má běžet pod úplně jinými právy, takovými, který nemůže napáchat škody v uživatelových datech...

[imploder]

Souhlasím. U těch aplikací, kde to jde (tzv. relocatable) by mělo jít normálně je nainstalovat pod jiným uživatelem než rootem (do $HOME). Měl by to nabízet přímo správce balíků. Teď to jde jenom u jednotlivých balíků a musí se kvůli tomu pouštět instalace v terminálu s volbou --root $HOME/něco.

[Atrament]

Ne tohle jsem nemyslel, to jsme tam kde jsme byli. Opět instalační program má volný přístup do $home a to je to co nechci! To co mám na mysli já by instalovalo normálně do /usr, ale pod uživatelem třeba apt, který by ale neměl přístup do /home (leda tak do jednoho jediného adresáře třeba .config, kam vy mohl vložit nějakou defaultní konfiguraci své aplikace pro uživatele), zbytek home by byl pro něj nedosažitelný. Systémové adresáře (bin, usr, etc a podobně) by museli mít samozřejmě příslušně nastavenou skupinu a přístupová práva, ale to už je to nejmenší...

Tys spíš myslel, aby si software mohl nainstalovat i běžný uživatel k sobě do home, to můžeš klidně ze zdrojáků...

[Semo]

Napad je to pekny, ale je otazne ci postacujuci. Keby si si stiahol napichnuty balik, ktoreho preinst a postinst skripty su spustane pod userom, ktory ma pravo zapisu do /bin, tak ti podstrcim vlastny bash, ktory vzdy vo stvrtok zmaze nahodnu polku tvojho homediru. A keby som chcel nasrat vsetkych uzivatelov a nie len tych, ktory pouzivaju bash, tak prepisem nejaky program, ktory behava pod rootom a cez neho zmazem uz v utorok vsetkym vsetko.

Podla mna sa neda vyhnut doverovaniu autorom a balickovacom softu. Pokial s tym ma user problem, musi prejst na system, kde ma garantovanu nahradu skody pri zlej funkciu autorom posvateneho softu.

[Atrament]

dostačující to samozřejmě není, protože dokonale bezpečný systém nikdy existovat nebude. Ale je to krok směrem "o něco bezpečnější než dosud" a proto si myslím, že by se udělat měl. Vždyť kdybychom každé zabezpečení rovnou zavrhli s tím, že to stejně stačit nebude, že se to stejně dá obejít, pak by bylo jednodušší se nějakým zabezpečením vůbec nezabývat... Teď je to jako bys měl hrad, ve kterém bys při obležení nezavřel hlavní bránu, protože proč, když si stejně přivezou katapulty a žebříky a ty hradby přelezou a nebo rozdrtí napadrť...

[Jardík]

Měl bych řešení - PPA balíčky se nebudou instalovat system-wide, ale jen pro aktuálního uživatele do nějakého (nejlépe volitelného) adresáře v ~/home. Může-li si uživatel ručně zkompilovat program ve svém adresáři, nevidím důvod, proč by mu balíčkovač neměl umožnit do jeho adresáře nainstalovat balíček. Samozřejmě by šli takto instalovat jen aplikace bez hardcodovaných cest (firefox, openoffice).

[imploder]

To není řešení, to jenom (možná) zmírní dopad případného malwaru. Problém to ale neřeší. A hlavně je to úplně zbytečné, pokud ten člověk někdy používá sudo atd. - není problém odchytit heslo, zneužít otevřený rootovský terminál k nainstalování se pod rootem a podobně.

[Zdeněk]

To jsou nářky toto...pokud si někdo chce nainstalovat zlobivý program, tak ať si ho nainstaluje...pokud uživatel něco instaluje a neví co, tak jen ať z toho má problémy, alespoň se takovýmhle móresům odnaučí.

Toga.cz - uvařte si psa na citronové trávě