Re: Actualizar Adobe Flash mediante flashplugin-nonfree
El día 20 de agosto de 2014, 15:47, Camaleón <noelamac@gmail.com> escribió:
> El Wed, 20 Aug 2014 08:24:46 +0200, Javier Silva escribió:
>
>> El día 14 de agosto de 2014, 16:02, Camaleón <noelamac@gmail.com>
>> escribió:
>
> (...)
>
>> El paquete del desarrollador de Debian, incorpora una firma y un
>> checksum para comprobar que el paquete no se vea comprometido y que el
>> mismo incorpora.
>
> Me parece que el paquete que está en los repos de Debian no incluye
> ningún binario, sólo apunta a un recurso (archivo de texto) que es el que
> el desarrollador actualiza manualmente, de ahí que tengas que esperar
> siempre a que el desarrollador actualice ese archivo en su servidor.
>
Dónde puse paquete, quería hacer referencia al archivo que descarga el
update-flashplugin-nonfree.
Lo siento, una equivocación al redactar la respuesta, pero ya está aclarado ;-)
> Lo que yo digo es ¿no sería mejor apuntar a la URL de descarga de Adobe
> sin tener que pasar por un servidor intermedio?
>
Supongo que esto lo hace para asegurarse que el paquete no se ve
alterado en origen e instalado por medio de su herramienta en un
sistema Debian.
Imagina que un ataque en el sitio de descarga de Adobe lleva a una
modificación de los ejecutables, ¿quien es el responsable? Adobe,
evidentemente.
En ese mismo ataque el desarrollador de Debian no ha puesto esa
pequeña firma con la que validar lo que va a instalar y ese mismo
paquete alterado se instala en miles de sistemas mediante
update-flashplugin, ¿Quién es el responsable? Pues Adobe, pero
indirectamente el mantenedor del paquete recibiría muchas críticas,
aunque si ocurriese esta situación hipotética y el paquete no fuese
instalado en ningún sistema, no se le podría acusar, o bien, siempre
puede argumentar que se aseguró por todos los medios a su alcance en
que el paquete estuviese tal y como salió del origen.
Naturalmente, también existe la opción de que el desarrollador valide
un paquete que ya ha sido comprometido sin saberlo.
Tal vez creamos que un sitio como Adobe es bastante improbable que sea
comprometido, pero nunca se sabe y cuando se sabe ya han pasado días,
semanas o meses.
---
Un saludo a todos/as.
Javier Silva
Reply to: