当前位置: 首页>>技术教程>>正文


有没有保证Launchpad PPA的软件没有病毒和后门威胁?

, , ,

问题描述

随着Linux的不断发展和发展,我们使用Linux越多,病毒威胁就越大。

我们也知道Linux中的病毒/威胁(如果有的话)在以普通用户身份运行时会有运行或传播的困难,但如果病毒/威胁以root用户身份运行则是另一回事。

这种危险的一个例子是,如果病毒藏在PPA内(有意或无意)或者应用程序有故意种植的后门(例如,pidgin可以秘密地将密码发送到特定地址)。

如果我们从Launchpad PPA添加软件,是否可以保证软件免受病毒/后门威胁?

最佳解决方法

每个软件包的安装脚本都具有对系统的root访问权限,因此仅添加PPA或从一个软件包安装软件包的行为就是对PPA所有者的隐含信任声明。

那么,如果您的信任错位并且PPA所有者想要顽皮,会发生什么?

为了上传到PPA,包必须由启动板用户独有的GPG密钥签名(实际上,他们签署了行为准则的相同密钥)。因此,在已知的恶意PPA的情况下,我们将简单地禁止帐户并关闭PPA(受影响的系统仍然会受到损害,但无论如何都没有好办法修复它们)。

在某种程度上,Launchpad的社交功能可以用作对坏用户的一些预防措施 – 例如,有一段贡献Ubuntu的历史和一些已建立的Launchpad业力,不太可能设置陷阱PPA。

或者如果某人获得了不属于他们的PPA的控制权呢?

嗯,这对威胁情况来说有点困难,但也不太可能,因为它需要攻击者获取启动板用户的私钥文件(通常只在他们的计算机上)以及它的解锁代码(通常是强密码而不是用于其他任何事情)。但是,如果发生这种情况,通常很容易让某人弄明白他们的帐户遭到入侵(例如,Launchpad会向他们发送有关他们未上传的软件包的电子邮件),清理程序也是一样的。

因此,总之,PPA可能是恶意软件的载体,但攻击者可能会有更容易的方法来追踪您。

次佳解决方法

为PPA建立(可能是分布式的)信任评级机制已经在USC路线图上进行了一段时间,但尚未实施。

第三种解决方法

从来没有任何保证,但在社区支持的环境中,我们在”belief”上茁壮成长。我已经为我的消息来源添加了至少20个PPA,直到现在才遇到问题。如果,无论如何,正如你所提到的,PPA会在我的系统上植入威胁/病毒/后门,我会以某种方式了解它,社区的礼貌并简单地删除它。顺便说一句,在添加PPA之前,我总是检查其中列出了哪些包。

PS:Pidgin永远不会将用户名和密码发送到服务器(永远不会发送给第三方!)”secretly”。一切都是在用户同意的情况下完成的。为了让您无缝连接,Pidgin每次将登录凭据发送到服务器时都无法ping您。一旦您提供了详细信息,预计您已授权它这样做。在给Pidgin调用”backdoor”之前,我宁愿三思而后行。 🙂

参考资料

本文由Ubuntu问答整理, 博文地址: https://ubuntuqa.com/article/1648.html,未经允许,请勿转载。