Início / unix / Perguntas / 784843
Accepted
nst1911
Asked: 2024-10-10 19:37:52 +0800 CST

Seria uma má ideia definir sources.list e sources.list.d apenas como permissões de root?

  • 772

Preciso adicionar um repositório que requer autenticação OAuth 2.0, então preciso passar um token de acesso. Uma ideia é escrevê-lo como um parâmetro de consulta ou como senha Basic Auth no /etc/apt/sources.listarquivo:

deb http://oauthrepourl.com?accesstoken=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 suite classic

OR

deb http://somelogin:[email protected] suite classic

Mas acho que não seria seguro manter um token de acesso lá porque sources.listos sources.list.darquivos são acessíveis para leitura por todos os usuários:

-rw-rw-r-- 1 root root  2852 апр 24 13:41 sources.list
drwxr-xr-x 2 root root  4096 сен 25 10:17 sources.list.d

Seria uma má ideia tornar sources.listum sources.list.dconteúdo acessível apenas para o usuário root ( -rwx------)? Você pode usar o apt de qualquer maneira como root (como tem que ser) e usuários comuns não conseguiriam roubar o token de acesso desses arquivos.

PS: Sei que há um arquivo /etc/apt/auth.confque ajudaria a mantê-lo em segredo, mas parece que minha distribuição apté muito antiga e não o suporta.

linux

1 respostas

  1. Best Answer

    Acho que não seria uma má ideia.

    Tornar /etc/apt/sources.listand /etc/apt/sources.list.dacessível somente para root não quebra nada importante. Em particular, apt updateand apt upgradeetc. precisam ser executados como root e não perder privilégios ao acessar esses arquivos, então eles funcionam bem com essa configuração.

    As únicas operações que não funcionam mais são aptsubcomandos executados como não root e que exigem acesso à configuração do repositório, por exemplo apt policy(o que não falha tecnicamente, mas não mostra nenhuma informação do repositório). Alguns comandos ainda funcionam, mas dão avisos sobre sources.list, por exemplo apt search.

    Observe que, como você não está usando TLS para se conectar aos seus repositórios, qualquer pessoa que consiga farejar o tráfego de rede poderá ver as credenciais.

    • 7

relate perguntas