कौन से लिनक्स डिस्ट्रो के पैकेज रिपॉजिटरी सुरक्षित हैं और कौन से नहीं हैं?

Question

अधिकांश डिस्ट्रो के मुझे पता है कि कुछ प्रकार की रिपॉजिटरी कार्यक्षमता है जहां स्थापना के बाद नए पैकेज डाउनलोड किए जा सकते हैं। कौन से डिस्ट्रोस इसे सुरक्षित तरीके से करते हैं और जो इसे सुरक्षित तरीके से नहीं करते हैं।

मैं विशेष रूप से मैन-इन-बीच जैसे अटैक वैक्टर के बारे में सोच रहा हूं और रिपॉजिटरी मेटा सर्वर और रिपॉजिटरी फाइल मिरर दोनों पर सुरक्षा भंग होने जैसी समस्याएं हैं।

मैंने सुना है कि स्लैकवेयर और आर्क लाइनक्स दोनों बहुत कमजोर हैं क्योंकि उनमें पैकेज साइनिंग की कमी है। क्या ये सच है? क्या कोई अन्य प्रमुख लिनक्स डिस्ट्रो है जो साधारण मानव-मध्य हमलों के लिए असुरक्षित है?

Comments

यदि डिस्ट्रो की साइट स्पष्ट http या ftp है और डिस्ट्रो को इस कनेक्शन से एक आईएसओ के रूप में प्राप्त किया जाता है और यह आधार कनेक्शन MITM'ed है, तो अपडेट पैकेज पर किसी भी 'पोस्टमार्टम' पैकेज पर हस्ताक्षर करने से कितना अच्छा है?

— n611x007 14

Answer 1

यह आपके सवाल का सीधा जवाब नहीं है, लेकिन इस जोखिम के खिलाफ कई चीजें हैं जिन्हें आप कम कर सकते हैं। सबसे सरल यह है कि आप अपने डाउनलोड किए गए पैकेजों को एक अलग दर्पण से चेकसमों के खिलाफ डाउनलोड करने की तुलना में डाउनलोड करें।

जब मेरा पैकेज मैनेजर ( poldek) पैकेज डाउनलोड करता है, तो मैंने इसे कैश फ़ोल्डर में डाउनलोड किए गए आरपीएम की एक प्रति रखने के लिए सेट किया है। यह स्वचालित रूप से पैकेज रिपॉजिटरी के खिलाफ डाउनलोड के चेकसम को चेक करता है और मिसमैच पर चेतावनी / गर्भपात करता है, लेकिन यदि आप अपने डिस्ट्रो रिपॉजिटरी के खिलाफ मैन-इन-मिडिल के बारे में चिंतित थे, तो यह एक माध्यमिक शब्द लिखना आसान होगा जो इसके माध्यम से हुआ। आपके सभी डाउनलोड किए गए पैकेज और उन्हें एक अलग दर्पण से डाउनलोड किए गए चेकसम के खिलाफ सत्यापित करें। आप अपनी पहली इंस्टॉल को ड्राई-रन के रूप में भी चला सकते हैं ताकि पैकेज डाउनलोड हो जाएं लेकिन इंस्टॉल न हो, फिर अपनी सत्यापन स्क्रिप्ट चलाएं, फिर वास्तविक इंस्टॉल करें।

यह डिस्ट्रो के रिपॉजिटरी में जाने से समझौता पैकेज को रोकता नहीं है, लेकिन अधिकांश डिस्ट्रोस को कम करने के अन्य तरीके हैं, और यहां तक ​​कि हस्ताक्षर किए गए पैकेज की गारंटी नहीं होगी कि यह कभी भी समस्या नहीं थी। यह जो करता है वह लक्षित मैन-इन-द-मिडिल अटैक वेक्टर है। एक अलग स्रोत का उपयोग करके और एक अलग चैनल पर डाउनलोड करके, आप उस आसानी को मार देते हैं जिसके साथ एक समझौता पैकेज को एक टैप लाइन में गिराया जा सकता है।

Comments

आर्क नामक एक पैकेज है paccheckजो ऐसा करता है, स्थापना से पहले विभिन्न दर्पणों के खिलाफ पैकेजों की तुलना करता है और किसी भी विसंगतियों की चेतावनी देता है।

— वुल्फ

मिरर सूचियां शायद सार्वजनिक हैं, इसलिए कोई हमलावर सैद्धांतिक रूप से उन सभी को पैटर्न द्वारा MITM करने की साजिश नहीं कर सकता है? यदि कोई हमलावर विशेष रूप से आपके सर्वर को निशाना बनाता है तो क्या यह अधिक संभावना नहीं है? फिर भी यह शायद सबसे अधिक है तो लिनक्स-बहुमत क्या करते हैं।

— n611x007

Answer 2

डेबियन पैकेज चेकसमेड हैं, और चेकबोन डेबियन कीरिंग में एक कुंजी द्वारा हस्ताक्षरित हैं। aptपैकेज प्रबंधक सुनिश्चित डाउनलोड किए गए पैकेज सही चेकसम है कि और कहा कि चेकसम फ़ाइल ठीक से हस्ताक्षर किए गए।

Answer 3

फेडोरा पैकेज पर हस्ताक्षर किए गए हैं और जाँच की गई है। यहां तक ​​कि 3 पार्टी रिपॉजिटरी जैसे कि rpmfusion उनके पैकेज पर हस्ताक्षर करते हैं।

यम (पैकेज मैनेजर) को उन --nogpgcheckपैकेजों को स्थापित करने के लिए एक विशेष ध्वज () की आवश्यकता होती है जिस पर हस्ताक्षर नहीं किए गए हैं।

Comments

और इसलिए डाउनस्ट्रीम पैकेज यानी रेड हैट और सेंटोस

— fpmurphy

Answer 4

सभी आर्क लिनक्स पैकेज एक md5 या sha1 योग का उपयोग करके यह जांचते हैं कि सभी बिट्स जगह में हैं। यह हैशिंग एल्गोरिदम को चुनने के लिए पैकेज अनुचर तक है। AUR से स्थापित पैकेज (अक्सर बस एक छोटी PKGBUILD पाठ फ़ाइल) इंस्टाल द्वारा स्थापित होने से पहले जाँच की जानी चाहिए। आधिकारिक बाइनरी पैकेज वाले रिपॉजिटरी की देखरेख विश्वसनीय उपयोगकर्ताओं (टीयू) द्वारा की जाती है।

अपडेट : आर्क ने अब पैक्मैन 4 के साथ पैकेज साइनिंग शुरू की है

Comments

सभी सच हैं, लेकिन पैकेज पर हस्ताक्षर नहीं किए जाते हैं और इसलिए माइट और मिरर कॉम्प्रोमाइज हमलों के प्रति संवेदनशील रहते हैं, हालांकि संभावना को दूरस्थ करते हैं। यह एक लंबे समय से अनुरोधित विशेषता है और मुख्य कारण है कि मैंने आर्क का उपयोग करना बंद कर दिया है। उस ने कहा, आर्क और पैशमैन मंचों और विकि में इसके बारे में चर्चा चल रही है - इसे हल करना एक कठिन समस्या है। इस मुद्दे के अलावा, आर्क एक शानदार डिस्ट्रो है।

— एली हेडी

@ एली: मैं इस सच्चाई पर बहस नहीं कर रहा हूं - मुझे मामलों की स्थिति का कोई पता नहीं है - लेकिन यह हमला करने के लिए एक गायब बाजार नहीं होगा। दी, आर्क काफी लोकप्रिय डिस्ट्रो है, लेकिन आम तौर पर हिरन बनाने में सक्षम होने पर इन सभी प्रकार की शरारतों की भविष्यवाणी नहीं की जाती है?

— बोहज

निश्चित रूप से, यह सब होने के बाद भी विंडोज यूजरबेस को लिनक्स की तुलना में अधिक लक्षित किया जाता है, है ना? बात यह है कि, जो आम तौर पर व्यक्ति पर लागू नहीं होता है वह व्यक्ति पर बिल्कुल लागू नहीं होता है। मेरा मतलब है कि हर किसी का खतरा मॉडल अलग है - अगर आपके पास किसी हमले के लिए डरने का कारण है, तो आपको जोखिम कम करने के लिए उचित कदम उठाने चाहिए। पैकेज साइनिंग का अभाव हमला करने वाले वैक्टर प्रस्तुत करता है जो शोषण करने के लिए कठिन नहीं हैं। यदि आपके पास सुरक्षा के लिए मूल्यवान बिट्स हैं, तो इस मुद्दे को आपकी खतरे की शमन रणनीति में ध्यान में रखा जाना चाहिए।

— एली हेडी

आप आर्क को एक सीडी / डीवीडी से स्थापित कर सकते हैं और फिर यह जांचने के लिए ध्यान रखें कि बाइनरी पैकेज का md5 / sha1 रकम स्थापित करने से पहले कई दर्पणों से रकमों के अनुरूप है, जैसा कि कालेब ने सुझाव दिया था। किसी भी मामले में कभी भी 100% सुरक्षा नहीं है, भले ही मैं पैकेज पर हस्ताक्षर करने के बिंदु को देखता हूं, और चाहता हूं कि आर्क के पास था।

— अलेक्जेंडर

तो यह कैसे हासिल किया जाता है कि चेकसम सुरक्षित तरीके से डिलीवर किया जाता है जो http या ftp को क्लियर करता है? क्या सिग्नेचर-चेकिंग इस बात से होनी चाहिए कि यह वास्तव में आर्च पर क्या होता है?

— n611x007

Answer 5

किसने कहा कि स्लैकवेयर का कोई पैकेज हस्ताक्षर नहीं है?

स्लैकवेयर पैकेज को स्लैकवेयर की सार्वजनिक कुंजी के साथ हस्ताक्षरित किया जाता है। इसलिए हर पैकेज में विस्तार के साथ अपने हस्ताक्षर हैं .asc। न केवल पैकेज बल्कि अन्य फाइलों पर भी हस्ताक्षर किए जाते हैं, जैसे CHECKSUMS.MD5। इसमें संकुल के चेकसम की सूची सम्‍मिलित है।

डिस्ट्रो के पास एक आधिकारिक टूल slackpkgहै, जो मिरर से पैकेज डाउनलोड / इंस्टॉल करने के लिए कहा जाता है । slackpkg updateउपकरण के साथ स्थानीय रेपो डेटाबेस को अपडेट करने के बाद नई एमडी 5 फ़ाइल और चैंज, आदि की हस्ताक्षर वैधता की जांच करता है ...

पैकेज डाउनलोड करने के बाद (लेकिन स्थापित करने से पहले) पैकेज के हस्ताक्षर और एमडी 5 की जाँच की जाती है।

एक के साथ सार्वजनिक कुंजी प्राप्त कर सकते हैं slackpkg update gpgया बस इसे स्थापित सीडी से आयात कर सकते हैंgpg --import GPG-KEY

slapt-getस्लैकवेयर के लिए एक अन्य अनौपचारिक उपकरण है। यह GPG- चेक का भी समर्थन करता है! इसी तरह से slackpkg।

Answer 6

OpenBSD द्वारा और दूर। पूरी परियोजना सुरक्षा के लिए समर्पित है, टीम ने मूल अपाचे को 5000+ लाइन पैच भी दिया क्योंकि उन्हें नहीं लगा कि यह उपयोग करने के लिए पर्याप्त सुरक्षित था। यह pkg_add के माध्यम से है, लेकिन मेरे पास इसके साथ कभी समस्या नहीं है।

Comments

आप इस प्रश्न का उत्तर नहीं दे रहे हैं: यह विशेष रूप से डाउनलोड किए गए पैकेजों (और बंदरगाहों, * बीएसडी के मामले में) के सत्यापन को सत्यापित करने के बारे में है।

— गाइल्स का SO- बुराई पर रोक '12

मैं @Gilles से सहमत हूँ; OpenBSD एक बेहतरीन OS है, लेकिन @grm ने लिनक्स पैकेज वितरण सुरक्षा के बारे में पूछा।

— लाइवस्टॉकटो