Re: Gpg-Key für debian-unofficial.org etch
On Sat, Jun 06, 2009 at 07:50:58PM +0200, Sven Joachim wrote:
> Am 06.06.2009 um 19:32 schrieb Martin Fiedler:
> > Dirk Salva schrieb:
> >> On Sat, Jun 06, 2009 at 10:56:50AM +0200, Jochen Schulz wrote:
> >>> nämlich, sobald Du Pakete von ihm installierst. Jeder Inhaber eines
> >>> Schlüssels im apt-Keyring hat praktisch root-Zugriff auf Deine Kiste.
> >> Äh? Wohl kaum.
> > das wäre doch über die post/preinstall Skripte bei der Installation
> > eines Pakets möglich, die eigenen Code enthalten können wenn ich mich
> > richtig erinnere. Oder laufen die nicht mit root Rechten?
> Das schon. Aber man muss auch ein Repository in der sources.list haben,
> das von dem »bösen Buben« kontrolliert wird, um jemals ein Paket von ihm
> zu installieren.
Und vor allem muss man das immer noch selbst als root anstossen. Kein
repo kann "von aussen" irgendwas an meinem Rechner von alleine machen,
insofern ist die Formulierung "Jeder Inhaber eines Schlüssels im
apt-Keyring hat praktisch root-Zugriff auf Deine Kiste." nicht nur
unüberlegt, sondern IMO schlichtweg falsch. "Zugriff" definiere ich
jedenfalls anders.
Selbstverständlich bietet ein Key _nicht_ mehr Sicherheit für die
Installation als ohne Key. Ein Key ist letztlich nur dafür da,
sicherzustellen, daß man die Daten auch wirklich von der Quelle
bekommt, die man eingetragen hat, und nicht von einer
"man-in-the-middle"-Quelle. Ein Key wäre genauso nutzlos, wenn sich ein
potentieller Angreifer Zugriff auf dem Repo-Server verschafft und
direkt dort die Pakete manipuliert. Zu mehr ist ein Key nicht in der
Lage.
ciao, Dirk
Reply to: