Re: Debian: zunehmende Zweifel an der Systemsicherheit
Am Samstag, 2. August 2008 schrieb Markus Schulz:
> Am Samstag, 2. August 2008 schrieb Richard Kraut:
> > Am Samstag, den 02.08.2008, 18:05 +0200 schrieb Gerhard Wendebourg:
> > > In der Vergangenheit erscheint mir dies Argument nun zunehmend
> > > zweifelhaft. Natuerlich ist Debian sicherer, als die diversen
> > > M$-Systeme.
> >
> > [...snip...]
> >
> > Es gibt immer ein paar Spielregeln zu beachten:
> >
> > - keine installation von Software aus zweifelhaften Quellen
>
> naja die Frage ist dabei aber, wie sehr vertraut man z.B. einem
> Debian-Mirror. Wer sagt denn das dort nicht jemand manipuliert, z.B.
> ältere Pakete (mit Sicherheitslecks) als neuere ausgeben. Hier sehe
> ich die größte Gefahr für Distributionen sobald der Verbreitungsgrad
> ausreichend groß ist.
Beim etwas drüber nachdenken sollte das doch aber eigentlich nicht
machbar sein oder?
Denn die Release Datei wird von den ftpmastern signiert, dort stehen die
Prüfsummen für die Packages Dateien drin, dort müsste ein Angreifer ja
die MD5 Summe des entsprechend aktuellen Paketes durch die des alten
ersetzen um das alte (renamed) als neues auszugeben und keine Warnung
beim Nutzer hervorzurufen.
--
Markus Schulz
Ein wenig wie Windows: entweder es geht
einfach oder gar nicht.
Reply to: