Zitat:

Linux-Anwender verweisen oft auf die Vorzüge des automatischen Paket-Managements ihrer Distribution, insbesondere wenn es um das schnelle Schließen von Lücken im Kernel und in Anwendungen geht. Die University of Arizona weist in einem Bericht allerdings darauf hin, dass die Paket-Manager Sicherheitslücken aufweisen, mit denen manipulierte Distributions-Mirror-Server dem Client alte Pakete mit Sicherheitslücken unterschieben können. Und dass es relativ einfach ist, einen eigenen Mirror-Server für eine Distribution zu etablieren, haben die Forscher gleich mit demonstriert.

Weitere Infos so wie die Quelle


Bei Heise schlagen sich die Trolle schon die Köpfe deswegen ein

Das kann es allerdings auch nicht sein.

Es landen ja auch nicht alle in einem Topf - bei manchen Paketverwaltungen werden die Pakete signiert, idealerweise natürlich via gnupg (MD5 kann man ja nun getrost als gebrochen betrachten). Dann muß der Fälscher, der den Spiegelserver aufsetzt, in der Lage sein, die Pakete mit dem gültigen Schlüssel zu signieren. Den wird er ohne größere Verrenkungen nicht kriegen - hofft man. Wenn doch, ist eh alles aus.

Setzt natürlich voraus, daß der geneigte Endanwender nicht installiert, wenn ihn aptitude o.ä. darauf hinweist, daß der Signierschlüssel nicht erkannt wurde. Aber irgendwo muß man immer eine Grenze ziehen.

MfG
VImes

Es gibt genügend Leute, die alles in die /etc/apt/sources.list eintragen, was nicht bei drei auf den Bäumen ist.
Davon abgesehen kann man natürlich auch einen Server "kapern" und dort dann versuchen, Unheil zu stiften. Solange man den Private Key der Paketmanager nicht hat, kann man allerdings nicht viel reißen.

Inwieweit offizielle Quellen die Last auf Spiegelserver verteilen, weiß ich nicht. Auch das wäre eine Möglichkeit und könnte zu Problemen führen. Allerdings ist auch hier bei signierten Paketen ein echter Angriff nicht ohne weiteres möglich, "nur" das Zurückhalten von Updates.

MfG
Vimes

Zitat:

Aber welchen Grund sollte es bei einem Linuxuser geben, um auf einen anderen Anbieter auszuweichen?

Es gibt durchaus Gründe um weitere alternative Mirrors zu verwenden, beispielsweise wenn ein bestimmtes Paket nicht auf den "normalen" Servern vorhanden ist, oder eben nur in einer veralteten Version. Natürlich sollte man auch hier nur Server verwenden, denen man vertraut...

Zitat:

Es steht im Bericht etwas von Mirrorservern, welche manipuliert werden könnten.

Das Risiko besteht natürlich immer, denn kein Server, der ans Internet angeschlossen ist, ist vollkommen immun gegen Angriffe.
...und wer ganz paranoid ist (und jede Menge Zeit hat) kann sich ja jederzeit seine Distribution nur aus Quelldateien zusammenbauen.

Zitat:

Original von Vimes Und das muß man erstmal rauskriegen, wem man trauen kann. Und selbst, wenn ich jemandem traue, weiß ich immer noch nicht, ob sein Server nicht übernommen wurde ...

Das ist ein Problem, das bei allen Softwaredownloads (außer ich lade eben nur die Sourcen und überprüfe sie) auftritt. Ich für meinen Teil "traue" den Debian-Servern in dieser Hinsicht zumindest genug, um meine Software von dort zu beziehen.

Zitat:

Dafür muß er aber sicher gehen, daß die Quelldateien nicht manipuliert wurden. Da bleibt nur, den Quellcode jeder zu installierenden Software zu prüfen. Das dürfte allerdings keine Aufgabe sein, die man alleine in einem vernünftigen Zeitraum stemmen kann - auch, wenn man dafür 24/7 veranschlagen würde

Das meinte ich...morgen sind dann übrigens die coreutils dran.