主页 / ubuntu / 问题 / 7662
Accepted
squallbayu
Asked: 2010-10-16 17:47:33 +0800 CST

是否可以保证 Launchpad PPA 中的软件没有病毒和后门威胁？

  • 772

随着 Linux 的不断发展和发展，我们使用 Linux 的次数越多，病毒的威胁就越大。

我们还知道，Linux 中的病毒/威胁（如果有）在以普通用户身份运行时会难以运行或传播，但如果病毒/威胁以 root 用户身份运行，情况就不同了。

这种危险的一个例子是，如果病毒被隐藏在 PPA 中（有意或无意），或者如果应用程序有故意植入的后门（例如，pidgin 可以秘密地将密码发送到特定地址）。

如果我们从 Launchpad PPA 添加软件，是否可以保证软件免受免费病毒/后门威胁？

security ppa viruses

3 个回答

  1. Best Answer

    每个包的安装脚本都对您的系统具有 root 访问权限，因此仅添加 PPA 或从其中安装包的行为就是您对 PPA 所有者的隐含信任声明。

    那么，如果您的信任被放错地方并且 PPA 所有者想要调皮怎么办？

    为了上传到 PPA，包必须由启动板用户唯一的 GPG 密钥签名（实际上，与他们签署行为准则的密钥相同）。因此，在已知恶意 PPA 的情况下，我们将简单地禁止该帐户并关闭 PPA（受影响的系统仍会受到损害，但此时无论如何都没有修复它们的好方法）。

    在某种程度上，Launchpad 的社交功能可以用作对不良用户的一种预防措施——例如，有为 Ubuntu 做出贡献和一些已建立的 Launchpad 业力的人不太可能设置陷阱 PPA。

    或者如果有人控制了不属于他们的 PPA 怎么办？

    嗯，这是一个更难的威胁场景，但也不太可能，因为它需要攻击者同时获取启动板用户的私钥文件（通常只在他们的计算机上）以及它的解锁代码（通常是强密码而不是用于其他任何事情）。但是，如果发生这种情况，通常很容易让某人找出他们的帐户已被盗用（例如，Launchpad 会通过电子邮件向他们发送有关他们未上传的软件包的信息），并且清理过程将是相同的。

    因此，总而言之，PPA 是恶意软件的可能载体，但攻击者可能有更简单的方法来攻击您。

    • 38

  2. 为 PPA 建立（可能是分布式的）信任评级机制已经在南加州大学的路线图中出现了一段时间，但尚未实施。

    • 8

  3. 从来没有任何保证，但在社区支持的环境中，我们依靠“信念”茁壮成长。我已经在我的资源中添加了至少 20 个 PPA，直到现在从未遇到过问题。如果有任何机会并且正如您所提到的，PPA 在我的系统上植入了威胁/病毒/后门，我会以某种方式了解它，感谢社区并简单地删除它。顺便说一句，在添加 PPA 之前，我总是检查其中列出了哪些包。

    PS：Pidgin 永远不会“秘密地”将用户名和密码发送给服务器（也永远不会发送给第三方！）。一切都是在用户同意的情况下完成的。为了让您保持无缝连接，Pidgin 无法在每次将登录凭据发送到服务器时对您执行 ping 操作。一旦您向其提供了详细信息，您就应该授权它这样做。在称 Pidgin 为“后门”之前，我宁愿三思而后行。:)

    • 6

相关问题