Исходное сообщение
"Отчет о проблемах безопасности при работе менеджеров пакетов..." Отправлено ifel, 15-Июл-08 13:53
>>Ну насчет левых репозиториев и подмен - GPG сигнатуры никто не отменял, >>RPM например умеет. > >Подмена сервера обновлений. Сделал апдейт базы менеджера пакетов "не с того сервера" >и псё... Не, если стоит проверка signatures, то пакет нах пошлет. Если все полностью менять, но надо из keyring удалить старый сертификат и добавить новый. RPM manager явно требует этого сделать (т.е при autoupdate это не прокатит). Ну а если админ лопоухий ведется на такой развод и меняет сертификат без проверки правильный ли это репозиторий - это уже IMHO не лечится. Вообще, тему стоит разделить на 2: 1. Установка/Upgrade приложений с известными дырами 2. Установка подделаных пакетов. По 1-му - в BSD есть portaudit, и он не даст поставить пакет, если в нем есть известные дырки. Но при этом - наглядный пример Asterisk, не знаю как сейчас, но несколько лет назад решето было еще то, его даже в BSD портах метили как постоянно vulnerable :) Но, как по мне так лучше поставить свежую версию с 5 известными дырами, чем держать старую (update из-за того что app vulnerable не проходит) с 25-ю. Логика ясна? Тут многое зависит от port/package maintainer, насколько он оперативно делает пакеты. По 2-му - IMHO существующего signature check достаточно

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>>>Ну насчет левых репозиториев и подмен - GPG сигнатуры никто не отменял, >>>RPM например умеет. >> >>Подмена сервера обновлений. Сделал апдейт базы менеджера пакетов "не с того сервера" >>и псё... > Не, если стоит проверка signatures, то пакет нах пошлет. Если все полностью > менять, но надо из keyring удалить старый сертификат и добавить новый. > RPM manager явно требует этого сделать (т.е при autoupdate это не > прокатит). Ну а если админ лопоухий ведется на такой развод и > меняет сертификат без проверки правильный ли это репозиторий - это уже > IMHO не лечится. > Вообще, тему стоит разделить на 2: > 1. Установка/Upgrade приложений с известными дырами > 2. Установка подделаных пакетов. > По 1-му - в BSD есть portaudit, и он не даст поставить > пакет, если в нем есть известные дырки. Но при этом - > наглядный пример Asterisk, не знаю как сейчас, но несколько лет назад > решето было еще то, его даже в BSD портах метили как > постоянно vulnerable :) Но, как по мне так лучше поставить свежую > версию с 5 известными дырами, чем держать старую (update из-за того > что app vulnerable не проходит) с 25-ю. Логика ясна? Тут многое > зависит от port/package maintainer, насколько он оперативно делает пакеты. > По 2-му - IMHO существующего signature check достаточно
	Введите код, изображенный на картинке: