Open Source в республике Татарстан. Linux.

Исследователи из университета Аризоны опубликовали отчет по проблемами безопасности, возникающих при работе менеджеров пакетов в Linux. Основной акцент сделан на том, что утилиты, такие как yum и apt с готовностью инсталлируют пакеты, проверяя только их версию. При этом известные уязвимости этих сборок в расчет не принимаются. Получается, что менеджеру пакетов можно передать абсолютно любое ПО, лишь бы его версия была выше предыдущей.

Менеджеры пакетов часто запускаются с администраторскими привилегиями, для того что бы модификация кода программ и системы происходила в автоматическом режиме без участия пользователя и ввода необходимых паролей. В результате, процесс получает неограниченные полномочия, и обеспечение его безопасной работы является жизненно важной задачей.

"Мы изучили десять популярных менеджеров пакетов, включая APT, YUM, YaST и др., для операционных систем, основанных на ядре Linux и BSD. В каждом из них были обнаружены уязвимости" - говорится в отчете. "Злоумышленник может подменить электронную подпись пакета и взять метаданные из предыдущей версии с известным дефектом, и система, не обнаружив ничего подозрительного, установит этот пакет".

Другой способ проведения атаки – это подмена сервера обновлений. В большинстве случаев эти сервера используют дешевый публичный хостинг, где сведения о владельце носят чисто формальный характер и ни кем не проверяются:

"В качестве примера возможности, имеющейся у злоумышленника, стать одним из «зеркал» официального сервера, мы провели следующий эксперимент. Мы создали фиктивную компанию с фиктивным администратором и арендовали хостинг у публичного провайдера. Нам удалось зарегистрировать наше «зеркало» на всех серверах обновлений, дистрибутивы которых мы использовали (Ubuntu, Fedora, OpenSuSE, CentOS, and Debian), и это «зеркало» было доступно для нескольких тысяч пользователей, включая оборонные и правительственные организации".

Что необходимо делать, что бы не стать жертвой такой атаки:

• Использовать только те репозитарии, которым вы доверяете.
• Производить обновления вручную, обращая особое внимание на то, какие обновления доступны и какие у них должны быть версии.
• Пользоваться репозитариями, в которых подписаны не только пакеты, но и метаданные.
• Использовать HTTPS для доступа к «зеркалу». Такая услуга доступна для платных серверов и защищает от атаки, вида «человек посередине».

Для защиты пользователей в будущем менеджеры пакетов должны реализовывать следующие безопасные методы: метаданные репозитария, заверенные цифровой подписью; ограничение срока действия метаданных; использование дистрибутивов, в которые внедрены функции защиты, предоставляемые менеджерами пакетов.

Источник: http://www.opennet.ru/opennews/art.shtml?num=16952