форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы Разговоры, обсуждение новостей (Public)
Изначальное сообщение		[ Отслеживать ]

"OpenNews: Отчет о проблемах безопасности при работе менеджер..."

Сообщение от opennews on 15-Июл-08, 13:22

Исследователи из университета Аризоны опубликовали отчет (http://www.cs.arizona.edu/people/justin/packagemanagersecuri...) по проблемами безопасности, возникающих при работе менеджеров пакетов в Linux. Основной акцент сделан на том, что утилиты, такие как yum и apt с готовностью инсталлируют пакеты, проверяя только их версию. При этом известные уязвимости этих сборок в расчет не принимаются. Получается, что менеджеру пакетов можно передать абсолютно любое ПО, лишь бы его версия была выше предыдущей. Менеджеры пакетов часто запускаются с администраторскими привилегиями, для того что бы модификация кода программ и системы происходила в автоматическом режиме без участия пользователя и ввода необходимых паролей. В результате, процесс получает неограниченные полномочия, и обеспечение его безопасной работы является жизненно важной задачей. <i>"Мы изучили десять популярных менеджеров пакетов, включая APT, YUM, YaST и др., для операционных систем, ос... URL: http://www.cs.arizona.edu/people/justin/packagemanagersecuri... Новость: http://www.opennet.dev/opennews/art.shtml?num=16952

Высказать мнение | Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Отчет о проблемах безопасности при работе менеджеров пакетов..."

Сообщение от анонимус on 15-Июл-08, 13:22

а типа в генте всё гуд. компилятсия рулед.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	4. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от Аноним (??) on 15-Июл-08, 13:34
	Всё ровно так же - подменяется сервер обновлений, ебилд популярного приложения "правится" на исходник с пропатченным приложением, и опля - у Вас на борту чужой. А тем временем в ports на freebsd есть portaudit...
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	13. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от TTT on 15-Июл-08, 15:14
	>Всё ровно так же - подменяется сервер обновлений, ебилд популярного приложения "правится" >на исходник с пропатченным приложением, и опля - у Вас на >борту чужой. >А тем временем в ports на freebsd есть portaudit... Может я и параноик, но и я об этом задумывался, на мой взгляд если гентушники откроют https зеркало для скачивания portage-latest.tar.bz2 - т.е. дерева портажей, то все проблемы безопасности будут закрыты, так как сорсы каждого пакета проверяются по как минимум MD5 а в основном еще и по SHA контрольным суммам. Так что для тех кто действительно параноик смогут качать дерево портажей не по emerge --sync а целиком и ничего не боятся.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	20. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от анонимус on 15-Июл-08, 16:21
	плюсадиню
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	26. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от Michael Shigorin (ok) on 15-Июл-08, 17:37
	>плюсадиню Если. PS: гентушники более уязвимы ещё и для configure-троянов навроде сендмыльного... PPS: в альте издревле подписываются и пакеты, и метаданные.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	43. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от User294 (ok) on 16-Июл-08, 17:23
	>PS: гентушники более уязвимы ещё и для configure-троянов навроде сендмыльного... Для 100% защиты все-равно надо еще сорц глазами до компиляции читать еще, а вот на это гентушники имхо не разопрутся.А потому что им там подсунули они узнают 1 фиг как и все остальные - запустив это :)
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "Отчет о проблемах безопасности при работе менеджеров пакетов..."

Сообщение от Аноним (??) on 15-Июл-08, 13:24

Господа, с такой паранойей лучше вообще в сеть не выходить

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "Отчет о проблемах безопасности при работе менеджеров пакетов..."

Сообщение от ifel (??) on 15-Июл-08, 13:28

Ну насчет левых репозиториев и подмен - GPG сигнатуры никто не отменял, RPM например умеет.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	5. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от Аноним (??) on 15-Июл-08, 13:36
	>Ну насчет левых репозиториев и подмен - GPG сигнатуры никто не отменял, >RPM например умеет. Подмена сервера обновлений. Сделал апдейт базы менеджера пакетов "не с того сервера" и псё...
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	8. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от ifel (??) on 15-Июл-08, 13:53
	>>Ну насчет левых репозиториев и подмен - GPG сигнатуры никто не отменял, >>RPM например умеет. > >Подмена сервера обновлений. Сделал апдейт базы менеджера пакетов "не с того сервера" >и псё... Не, если стоит проверка signatures, то пакет нах пошлет. Если все полностью менять, но надо из keyring удалить старый сертификат и добавить новый. RPM manager явно требует этого сделать (т.е при autoupdate это не прокатит). Ну а если админ лопоухий ведется на такой развод и меняет сертификат без проверки правильный ли это репозиторий - это уже IMHO не лечится. Вообще, тему стоит разделить на 2: 1. Установка/Upgrade приложений с известными дырами 2. Установка подделаных пакетов. По 1-му - в BSD есть portaudit, и он не даст поставить пакет, если в нем есть известные дырки. Но при этом - наглядный пример Asterisk, не знаю как сейчас, но несколько лет назад решето было еще то, его даже в BSD портах метили как постоянно vulnerable :) Но, как по мне так лучше поставить свежую версию с 5 известными дырами, чем держать старую (update из-за того что app vulnerable не проходит) с 25-ю. Логика ясна? Тут многое зависит от port/package maintainer, насколько он оперативно делает пакеты. По 2-му - IMHO существующего signature check достаточно
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

6. "Отчет о проблемах безопасности при работе менеджеров пакетов..."

Сообщение от Аноним (??) on 15-Июл-08, 13:45

короче, коммерческие линуксы рулят у них там всё по https и всё с паролями и т.п. ...

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

7. "Отчет о проблемах безопасности при работе менеджеров пакетов..."

Сообщение от mend0za on 15-Июл-08, 13:47

Не скажу за перечисленные RPM-based дистрибутивы, но насколько я понял товарищи не вникали в apt-based совсем. man 8 apt-secure В копиях официальных зеркал Debian содержится файлик Release с MD5 всех файлов Packages, подписанный официальным ключём дебиановского архива. Соответственно каждый пакет в свою очередь подписан ключом его разработчика. Кто добавлял некошерные репозитории (неподписанные или подписанные ключом не входящим в debian-archive-keyring) - вполне вспомнят ругань насчёт неподписанных репозиториев, про "untrasted source" и "you are really want to continue" Некое академическое бла-бла-бла, а не исследование. Вот если бы результатом этого исследования были конкретные рекомендации конкретным дистрибутивам, а ещё лучше - патчи на yum, yast, apt - то тогда можно было бы прислушаться. А так - нету ни ВЕРСИЙ протестированного ПО (как дистрибутивов, так и пакетных менеджеров), ни use cases.   Пропустить как информационный шум.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	9. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от ifel (??) on 15-Июл-08, 13:56
	Согласен по всем пунктам. По "бла-бла-бла, а не исследование" вдвойне! По RPM based, я написал выше. Те же яйца тока в профиль.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	10. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от Аноним (??) on 15-Июл-08, 13:56
	Диагностика - половина лечения. Народ осознал наличие проблемы и говорит, что надо решать. Так же предлагают некоторые меры. Тем, кто занимается разработкой систем управления пакетами будет не очень дальновидно - пропустить как информационный шум". А пользовательское дело - мычачее: ешь, что дают.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	12. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от Pilat (ok) on 15-Июл-08, 14:08
	>В копиях официальных зеркал Debian содержится файлик Release с MD5 всех файлов >Packages, подписанный официальным ключём дебиановского архива. MD5 подделать можно.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	14. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от pavel_simple (??) on 15-Июл-08, 15:34
	>>В копиях официальных зеркал Debian содержится файлик Release с MD5 всех файлов >>Packages, подписанный официальным ключём дебиановского архива. > >MD5 подделать можно. подробнее пожалуйста -- и скажите сразу сколько нужно времени чтобы подделать лишь 1 пакет
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	16. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от Aquarius on 15-Июл-08, 15:46
	гугл поможет тебе осознать, что md5 можно подделать в короткие сроки
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	18. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от Pilat (ok) on 15-Июл-08, 15:58
	>>MD5 подделать можно. > >подробнее пожалуйста -- и скажите сразу сколько нужно времени чтобы подделать лишь >1 пакет несколько миллисекунд. Подробности  Вы найдёте в гугле без труда.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	19. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от pavel_simple (??) on 15-Июл-08, 16:01
	вы оба я смотрю особенно хорошо изучили google? -- тогда может скажите КАК это делать если он ПОДПИСАН
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	33. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от Александр (??) on 16-Июл-08, 00:18
	> MD5 подделать можно. В Debian в файлах Release и Packages используется так же хеши, вычисленные по алгоритмам SHA1 и SHA256 :-)
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

11. "Отчет о проблемах безопасности при работе менеджеров пакетов..."

Сообщение от Аноним (??) on 15-Июл-08, 14:05

Решение простое - ставить из портов, обновленных portsnap. При этом абсолютно все равно, откуда вы скачали исходники или базу - все проверяется ключами и сигнатурами. Я из котовый пакаджей ничего и никогда не ставлю. Мне не лень перекомпилировать.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	46. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от Shane (ok) on 20-Июл-08, 14:36
	>Решение простое - ставить из портов, обновленных portsnap. >При этом абсолютно все равно, откуда вы скачали исходники или базу - >все проверяется ключами и сигнатурами. >Я из котовый пакаджей ничего и никогда не ставлю. Мне не лень >перекомпилировать. А как насчет обновления world через cvsup? там ничего не проверяется..
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

15. "OpenNews: Отчет о проблемах безопасности при работе менеджер..."

Сообщение от Xavier on 15-Июл-08, 15:41

Похоже, на сей раз ФриБСД сделала Линуксы. Ну хоть по защищенности :)

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	17. "OpenNews: Отчет о проблемах безопасности при работе менеджер..."
	Сообщение от Aquarius on 15-Июл-08, 15:52
	не на сей, а во веки веков 8)
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	23. "OpenNews: Отчет о проблемах безопасности при работе менеджер..."
	Сообщение от Анонимус on 15-Июл-08, 16:34
	> во веки веков Пусть почит с миром.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	22. "OpenNews: Отчет о проблемах безопасности при работе менеджер..."
	Сообщение от Анонимус on 15-Июл-08, 16:34
	> Похоже, на сей раз ФриБСД сделала Линуксы. Ну хоть по защищенности :) ИМХО лучше скачивать потенциально дырявые обновления, чем не скачивать никаких.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	24. "OpenNews: Отчет о проблемах безопасности при работе менеджер..."
	Сообщение от Осторожный on 15-Июл-08, 16:41
	>Похоже, на сей раз ФриБСД сделала Линуксы. Ну хоть по защищенности :) > Защита репозитария - это конечно хорошо, но есть и другой аспект. В FreeBSD есть portaudit. Он позволяет проверить наличие уязвимостей в уже установленных пакетах, и не просто проверить, а получить URL с более подробным описанием проблемы. Аналогичной утилиты в Linux я не знаю. Там можно просто обновить пакеты. Цель обновления пакета может быть разная: 0) вышло security обновление 1) просто вышла новая версия 2) были исправлены какие-то ошибки По идее пункт 0 должен волновать админа больше всего в плане защиты
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	25. "OpenNews: Отчет о проблемах безопасности при работе менеджер..."
	Сообщение от Анонимус on 15-Июл-08, 17:31
	Глупенький, о информативности пакетов никто не говорит. Говорят о их подмене.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	35. "OpenNews: Отчет о проблемах безопасности при работе менеджер..."
	Сообщение от fi (ok) on 16-Июл-08, 00:38
	Авторы прогнали, все rpm подписаны и тот же yum вылетает на чужих пакетах, пока ключ не импортируешь с сайта автора. Естественно, ключи к основной системе идут вместе с ней. И на сколько я знаю с deb-ами тоже самое. Защита от подмены была изначальнa, как только речь зашла о репозитариях и их зеркалировании. А вот с freebsd действительно есть проблема, tgz не подписываются, подменить порты (и это случалось!!!, я помню про 4.х) не проблема, md5 также можно перегенерировать в порте - я так и делал  иной раз для замены orig. 192.168.222.11    PS опечалил меня OpenNews - такую туфту пропустил.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	47. "OpenNews: Отчет о проблемах безопасности при работе менеджер..."
	Сообщение от nuclight (ok) on 27-Июл-08, 21:59
	>А вот с freebsd действительно есть проблема, tgz не подписываются, подменить порты >(и это случалось!!!, я помню про 4.х) не проблема, md5 также >можно перегенерировать в порте - я так и делал  иной >раз для замены orig. Подменить самому, будучи рутом, и когда подменит кто-то другой - две большие разницы. Для параноиков на то и компиляция, а подменить порты при обновлении не даст, например, portsnap - его автор Security Officer FreeBSD и к вопросу зеркал подошел соответственно.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	37. "OpenNews: Отчет о проблемах безопасности при работе менеджер..."
	Сообщение от Александр (??) on 16-Июл-08, 00:56
	> Цель обновления пакета может быть разная: Вообще-то если обновление вышло, значит следует его ставить. А в такой ситуации просто не возникает необходимости в упомянутой программе (достаточно того, что сообщает система управления пакетами, какие пакеты нужно обновить). Но видимо админы FreeBSD не ищут лёгких путей? Или просто не могут себе позволить ставить все обновления - вдруг что-то перестанет работать и т.п.?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	40. "OpenNews: Отчет о проблемах безопасности при работе менеджер..."
	Сообщение от just_another_anonymous on 16-Июл-08, 09:08
	> Он позволяет проверить наличие уязвимостей в уже установленных пакетах, > и не просто проверить, а получить URL с более подробным описанием проблемы. > Аналогичной утилиты в Linux я не знаю. glsa-check (для gentoo)
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	27. "OpenNews: Отчет о проблемах безопасности при работе менеджер..."
	Сообщение от Michael Shigorin (ok) on 15-Июл-08, 17:45
	>Похоже, на сей раз ФриБСД сделала Линуксы. Ну хоть по защищенности :) См. выше критику статьи и аналогичных криков гентушников (однако, тоже линукс). И опять же -- зуб за апдейты к ряду линуксов дают, а для фри такое бывает?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	34. "OpenNews: Отчет о проблемах безопасности при работе менеджер..."
	Сообщение от Александр (??) on 16-Июл-08, 00:34
	>Похоже, на сей раз ФриБСД сделала Линуксы. Ну хоть по защищенности :) В смысле?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

21. "Отчет о проблемах безопасности при работе менеджеров пакетов..."

Сообщение от Анонимус on 15-Июл-08, 16:33

По большому счёту надуманная проблема, хотя потенциально опасна в IPv4, если кто-то научится ломать DNS, но только пока не выпустят пацч.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	28. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от Michael Shigorin (ok) on 15-Июл-08, 17:47
	>По большому счёту надуманная проблема, хотя потенциально опасна в IPv4, если кто-то >научится ломать DNS, но только пока не выпустят пацч. Вы невнимательно прочли даже то по существу, что было в статье. Там было про злонамеренное публичное "зеркало" -- при этом без разницы v4/v6.  И DNS спуфить необязательно.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	36. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от fi (ok) on 16-Июл-08, 00:43
	> Там было про злонамеренное публичное "зеркало" -- при этом без разницы v4/v6.  И DNS спуфить необязательно. Авторы статьи облажались - эта проблема была решена еще когда стали делать первые зеркала - более 10 лет назад. И если сейчас на любом зеркале подменишь rpm - то yum просто вылетит, т.к. подпись не совпадет с его ключом.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	38. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от Александр (??) on 16-Июл-08, 01:17
	> Авторы статьи облажались - эта проблема была решена еще когда стали делать первые зеркала - более 10 лет назад. Если я правильно понял, то некоторая теоретическая опасность есть. Даже если в дистрибутиве сделано всё правильно (т.е. контролируется не только подлинность отдельных файлов, но и целостность всего репозитория), то всё равно возможен вариант со старой копией всего репозитория - то есть обновления будут выходить, но не будут попадать на зеркало, и его пользователи не будут получать обновления (а владельцы зеркала будет знать адреса компьютеров, на которых не устанавливаются обновления). Хотя если админ следит за системой, то отсутствие обновлений достаточно быстро должно его насторожить.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	41. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от fi (ok) on 16-Июл-08, 10:11
	И этот случай предусмотрен. Например, в yum указывается не репозитарий, а список их:     mirrorlist=http://packman.links2linux.de/mirrorlists/suse он естественно ротируется. Так что вероятность подсунуть старые пакеты с ошибкой сходит к нулю. В общем авторы явно опоздали лет на десять, и сейчас это просто гон. В лучших традициях МС - главное посеять неуверенность.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

29. "Отчет о проблемах безопасности при работе менеджеров пакетов..."

Сообщение от Аноним (??) on 15-Июл-08, 18:14

такой бред )) ключи сравниваются. в RPM не поставишь пока сам не нажмёшь то есть потвердиш ключ.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

30. "Отчет о проблемах безопасности при работе менеджеров пакетов..."

Сообщение от Анонимус on 15-Июл-08, 21:30

В общем понял - Линукс такойже дырявый как и Винда, тка что нечего время тратить на изучение. Там одно - тут другое...

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	31. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от anonymous (??) on 15-Июл-08, 23:12
	Так и не трать. И на новости про Linux тоже.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	32. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от szh (ok) on 15-Июл-08, 23:32
	по-моему ты вообще ничего не понял
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	39. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от Аноним (??) on 16-Июл-08, 03:10
	Помоему вообще мало кто что понял)))))
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

42. "Отчет о проблемах безопасности при работе менеджеров пакетов..."

Сообщение от Sarge (??) on 16-Июл-08, 12:16

Насколько я понял из статьи, суть уязвимости в том что можно в репозиторий положить например версию пакета 0.1 с кучей уязвимостей (пакет взять из старого официального репозитария, т.е. он будет правильно подписан). Но файлы метаданных заменить на файлы из свежего пакета. В результате менеджер пакетов будет думать, что это новая версия и она правильно подписана. Это будет работать в случае, если данные и метаданные подписаны отдельно (или метаданные вообще не подписаны). Кто-нибудь может подтвердить или опровергнуть эту уязвимость? И какие системы пакетов на сегодня уязвимы для этого?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	44. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от fi (ok) on 17-Июл-08, 00:09
	>И какие системы пакетов на сегодня уязвимы для этого? SUSE открестились от этого: http://lists.opensuse.org/opensuse-security-announce/2008-07... И как я вижу в centos/rhel так же все ок.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	45. "Отчет о проблемах безопасности при работе менеджеров пакетов..."
	Сообщение от poni on 19-Июл-08, 03:18
	>>И какие системы пакетов на сегодня уязвимы для этого? > >SUSE открестились от этого: http://lists.opensuse.org/opensuse-security-announce/2008-07... > >И как я вижу в centos/rhel так же все ок. http://www.hughesjr.com/content/view/22/1/
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]