Re: Actualizar Adobe Flash mediante flashplugin-nonfree
El Sat, 23 Aug 2014 14:12:25 +0200, Javier Silva escribió:
> El día 20 de agosto de 2014, 15:47, Camaleón <noelamac@gmail.com>
> escribió:
>> El Wed, 20 Aug 2014 08:24:46 +0200, Javier Silva escribió:
>>
>>> El día 14 de agosto de 2014, 16:02, Camaleón <noelamac@gmail.com>
>>> escribió:
>>
>> (...)
>>
>>> El paquete del desarrollador de Debian, incorpora una firma y un
>>> checksum para comprobar que el paquete no se vea comprometido y que el
>>> mismo incorpora.
>>
>> Me parece que el paquete que está en los repos de Debian no incluye
>> ningún binario, sólo apunta a un recurso (archivo de texto) que es el
>> que el desarrollador actualiza manualmente, de ahí que tengas que
>> esperar siempre a que el desarrollador actualice ese archivo en su
>> servidor.
>>
>>
> Dónde puse paquete, quería hacer referencia al archivo que descarga el
> update-flashplugin-nonfree.
>
> Lo siento, una equivocación al redactar la respuesta, pero ya está
> aclarado ;-)
El archivo que descarga el script del paquete de Debian es el binario que
podemos descargar desde la página web de Adobe.
>> Lo que yo digo es ¿no sería mejor apuntar a la URL de descarga de Adobe
>> sin tener que pasar por un servidor intermedio?
>>
>>
> Supongo que esto lo hace para asegurarse que el paquete no se ve
> alterado en origen e instalado por medio de su herramienta en un sistema
> Debian.
(...)
Pero eso no tiene sentido porque el archivo que descargas desde Adobe no
tiene firma, así que no sabes si ha podido ser alterado. Es decir, si el
archivo original que descargas tanto desde el servidor de Adobe como
desde el paquete de Debian (que es el mimos) no tiene suma de
verificación no sabes si se trata del original o ha sido modificado/
troyanizado de forma alguna.
> Naturalmente, también existe la opción de que el desarrollador valide un
> paquete que ya ha sido comprometido sin saberlo.
Exactamente, no podemos saberlo por mucho interés que ponga el
empaquetador de Debian, la seguridad del binario de FlashPlayer depende
sólo de Adobe (y ya sabemos que tiene más agujeros que un queso Emmental).
> Tal vez creamos que un sitio como Adobe es bastante improbable que sea
> comprometido, pero nunca se sabe y cuando se sabe ya han pasado días,
> semanas o meses.
Adobe creo que ya sufrió no hace mucho una entrada a sus sistemas¹ pero
es lo que hay cuando se trata de software propietario: no hay forma de
saber si está comprometido o no porque no se tiene acceso al código con
el que se ha generado el binario.
¹http://helpx.adobe.com/x-productkb/policy-pricing/customer-alert.html
Saludos,
--
Camaleón
Reply to: