Frage zur Sicherheit von Debian

[holger.lehn]

Hallo Leute,

ich habe mal eine grundsätzliche Frage zu Debian und Sicherheit.

ich finde es klasse, dass ich in der sources.list Quellen eintragen kann und dann mit einem apt-get install Anwendungen installieren kann, oder mit einem apt-get upgrade mein System auf einen aktuellen Stand bringen kann.

Einer der Gründe warum ich gerade von Windows auf Linux (debian sarge mit 2.63 Kernel und KDE 3.2) ist das Thema Sicherheit.

Nun Frage ich mich ob diese einfache Paketinstallations- und Verwaltung nicht Sicherheitsrisiken birgt.

Was passiert, wenn eine meiner Source-List Quellen z.B. ein paket KDE.3.3 hat. Dies aber nur KDE 3.2 mi einem anderen Logo startet und eine Hintertür bei mir installiert ?

So...und jetzt ...beruhigt mich !!!!

Ansonsten finde ich Linux bisher ziemlich gut ...

[feltel]

... deshalb sollte man nur vertrauenswürdige Quellen in seiner /etc/apt/sources.list drinstehen haben, von denen man sicher sein kann, das da nix gefaktes herkommt.

[holger.lehn]

Hi,

wau...9 Minuten nach meinen Eintrag eine Antwort. Und das um die zeit !

Woher weiss ich denn welche Sites vertrauenswürdig sind ?

Wenn ich nach Anwendungen suche, kriege ich oft zu hören, trag diese oder jene Site ein. Hmmm, wenn ich deine Worte richtig deute darf ich aus Sicherheitsaspekten ja nur die Orginalen von DEBIAN.org eintragen und hoffen das die nicht gehackt werden, richtig ?

PS: Schönes Avatar !

[feltel]

Also als erstes würd ich die debian.org Mirrors zu den vertraunswürdigen Quellen zählen und zweitens die Adressen die schon längere Zeit auf Seiten wie backports.org und http://www.debianforum.de/wiki/WoodyBackports gelistet sind. Bei diesen Seiten ist davon auszugehen das die schon andere Leute ausprobiert haben und wenn da was schief laufen würde, dann würde sich das sicherlich rumsprechen.

Thema Avatar: Find ich auch *g*

[eagle]

Das ist leider ein Punkt der nicht zufriedenstellend geloest ist . Das securing debian howto schreibt zum Thema signierte Pakete :

Derzeit (Stand Dezember 2001) stellt Debian keine signierten Pakete für die Distribution zur Verfügung und der Woody Release (3.0) wird diese Fähigkeiten nicht integrieren. Es gibt eine Lösung für signierte Pakete, die - hoffentlich - in der nächsten release (sarge) integriert wird.

Ich hoffe das ist in Sarge auch wirklich drin, denn frueher oder spaeter koennen wir uns dicke Probleme einhandeln! Schliesslich koennen auch vertrauenswuerdig Quellen kompromitiert werden - das hatte wir ja schon mal .

eagle