Am Dienstag, 16. Mai 2006 21:14 schrieb Johannes Kastl:
Am 16.05.2006 20:38 schrieb Thomas Hertweck:
Diese Schlussfolgerung verstehe ich nicht. Jeder Angreifer kann sich einen GPG-Key kreieren und signierte RPM-Pakete zum Download anbieten
Kann er.
Ich denke, daß das jedem klar sein dürfte. Nur darf man meines Erachtens die Frage nicht aus dem Gesamtkontext hauen und muss auch die Sicherheit drumrum beachten. Also: Wer ein Paket zusammenstellt, kann da natürlich alles reinpacken, was nur geht und anschließend das ganze digital unterschreiben lassen. Will nun ein Endanwender das Ding installieren, so braucht er unter Linux zunächst mal das Root-Passwort. YaST scheint in der Version 10.1 noch ein zusätzliches Sicherheitsmerkmal zu haben: Es wird überprüft, ob das Paker digital unterschrieben ist. Der Anwender muss das entsprechende Repository also explizit hinzufügen. Und damit gehts ja auch weiter:
Wenn es aber ein cooldude-Repository irgendwo gibt, und jemand das hinzufügt, dann sollte er vielleicht schon prüfen wer das ist, und was der da anbietet.
Das ist m.E. der Knackpunkt. Wie soll der unbedarfte Um/Einsteiger das nun tun? Erfahrungsgemäß wollen viele Leute zwar die sehr gute Software-Installation per apt (bzw. über YaST-Quellen) nutzen, nur ist es manchen nur schwer vermittelbar, warum die Quelle generell überprüft werden muss ("Wieso muss ich das tun? Ich will doch nur, daß das Programm XYZ bei mir läuft!"). Nun ist es zwar so, daß unter SuSE Quellen wie z.B. Packman relativ vertrauenswürdig, weil sehr bekannt, sind ("relativ" hier deshalb, weil eben diese Bekanntheit durchaus auch für diverse Angriffe auf den Packman-Server sorgen könnten). Und selbst wenn der Benutzer bereit ist, die Quelle zu überprüfen: Welche Methoden stehen ihm zur Verfügung und wie werden die im einzelnen bedient? Glücklich sind diejenigen Neulinge, die beruflich schon mal mit CAs zu tun hatten und evtl auf eine Quelle stoßen, die bei einer bekannten CA dabei sind. Nur die anderen (und das dürften die meisten sein) haben hier ein Problem. Bleibt unterm Strich eigentlich nur eins wirklich übrig: Die oft gepriesene höhere Sicherheit von Linux zu erwähnen - obwohl das in diesem Zusammenhang natürlich Blödsinn ist, weil wenn einer mit Root-Rechten Pakete installiert, dann ist das natürlich auch dahin. Was also tun? Habt ihr Vorschläge? Gruß, Dennis