Sublimeをインストールするには、apt-getが見つかるようにGPGキーとsource.listエントリを追加する必要がありました。他の多くのプロジェクトでも同じ要求をしました。 source.listにさらにドメインを追加してもセキュリティリスクが発生しないのはなぜですか？
つまり、パケットAがホストBから来なければならないと仮定します。新しいsource.listにホストCを追加しました。ホストCが破損しており、攻撃者はマルウェアパッケージをホストし、それをAと呼びます。次回Aを更新しようとすると、apt-getはソースをチェックし、Bの代わりにCからダウンロードすることにしました。悪意のあるバージョンが得られました。
答え1
答え：これは。
どのディストリビューション/OSを使用しても、追加のパッケージソースをインポートすることは常に危険です。理論的には、GPGキーを使用するとリスクを減らすのに役立ちます。理論的には、誰かが次のことを行う必要があるからです。
- バイナリを提供するサーバーへのアクセス
- バイナリ署名に使用されるGPG秘密鍵にアクセスします。
- 感染したバイナリの新しいバージョンをパッケージ化して署名し、サーバーに配置します。
この場合、誰かが邪悪なことをするためにいくつかのステップを経なければなりません。安全に関してはいつもそうです。レイヤーについてのすべてです！共同体が繁栄し、他人の肩の上に立つためには、喜んで孤立を放棄し、自分の力を尽くして努力しなければなりません。信じるその中でも。
ファイルを提供するサーバーは以前もさまざまなレベルで破損していますが、通常はすぐに見つかり、短時間で解決できることに注意してください。
以前の攻撃
- Fedoraのウェブサイトがハッキングされましたが、サーバーは破損していません！
- Arch Linuxユーザーストアで悪意のあるソフトウェアパッケージを発見する
- Arch Linux AURパッケージリポジトリでマルウェアを発見
ヒント
- 常にURLを再確認し、正当であることを確認してください。
- パッケージが必須でない限り、リポジトリを追加しないでください。
- 定期的にメディアのリストを確認してください。
- サイトでパッケージ署名に使用するGPGキーを定期的に確認してください。
- パッケージを最新の状態に保つよう努力してください。