symlink.ch | Trusted Debian 1.0 erschienen

symlink.ch

FAQ
Mission
Über uns
Richtlinien

Moderation
Einstellungen
Story einsenden

Suchen & Index
Ruhmeshalle
Statistiken
Umfragen

Redaktion
Themen
Partner
Planet

XML | RDF | RSS
PDA | WAP | IRC
Symbar für Opera
Symbar für Mozilla

Freunde

Benutzergruppen
LUG Switzerland
LUG Vorarlberg
LUGen in DE
SIUG
CCCZH
Organisationen
Wilhelm Tux
FSF Europe
Events
LinuxDay Dornbirn
BBA Schweiz
CoSin in Bremgarten AG
VCFe in München
Menschen
maol
Flupp
Ventilator
dawn
gumbo
krümelmonster
XTaran
maradong
tuxedo

Trusted Debian 1.0 erschienen

Veröffentlicht durch maol am Dienstag 22. April, 12:00
Aus der Akronym Abteilung

Falstaff schreibt "Trusted Debian hat heute seinen ersten offiziellen Release freigegeben. Ein Projekt das versucht möglichst Sichere und Bufferoverflowarme Packete zu verbreiten. Gelesen in einem Artikel von golem.de."

< Uhr mit Flash-Speicher und USB-Anschluss | Druckausgabe | KDE 3.1.1 unter Windows >

symlink.ch Login

extrahierte Links

Trusted Debian

Artikel von golem.de

Mehr zu Distribution

Auch von maol

Diese Diskussion wurde archiviert. Es können keine neuen Kommentare abgegeben werden.

secure apt-get? (Score:1)

Von loozer (niki punkt christener at dtc punkt ch) am Tuesday 22. April, 22:04 MES (#1)
(User #974 Info)

Nichts gegen apt-get... ich liebe es selber, aber mir ist manchmal nicht ganz wohl, von wo überall ich da Debian Pakete runterladen soll. Ist das bei dieser Version anders? Krieg ich da einen "sicheren" Download Server, mit allen möglichen sicherheits Mechanismen? z.B mit Zertifikaten oder ähnlichem. Oder gibt es ev. auch für mein "normales" Debian solche Möglichkeiten, die ich einfach nicht kenne?

Re:secure apt-get? (Score:1)

Von RipClaw am Wednesday 23. April, 01:03 MES (#2)
(User #1227 Info)

Bei den Paketbeschreibungen von Debian ist immer die MD5 Prüfsumme dabei. Dadurch lässt sich erkennen, ob die Pakete verändert wurden.

Man könnte noch die Pakete mit einem PGP Schlüssel signieren, aber mehr kann man wohl nicht tun, um zu verfizieren, daß das Paket echt ist und von den Entwicklern abgesegnet wurde.

Re:secure apt-get? (Score:1)

Von maol (maol@symlink.ch) am Wednesday 23. April, 07:16 MES (#3)
(User #1 Info) http://www.maol.ch/

Der Ansatz ist schon mal nicht schlecht, aber gut ist es erst, wenn die Signaturen von einem anderen Server bezogen werden.

Und natürlich sind nicht signierte MD5SUMs nicht viel wert, wenn ein Attacker den Package-Server oder den Transportstrom zu Dir unter seiner Kontrolle hat.

--
CRUX: LfS für faule Profis.

Re:secure apt-get? (Score:3, Informativ)

Von esh (heeb.nospam@phys.ethz.ch) am Wednesday 23. April, 11:19 MES (#4)
(User #222 Info) http://www.heebs.ch/

In /etc/apt/sources.list steht genau drin, woher Du Deine Pakete holen willst. Wenn Du paranoid bist, machst Du Dir Deine eigene Paketsammlung und trägst sie dort ein. Den meisten Leuten ist dieser Aufwand zu teuer und sie trauen den offiziellen Mirrors. Trusted Debian kann da eine Alternative sein.

Dann gibt's auch noch das Paket "debsums". Damit lassen sich die Files gegen MD5 Checksummen vergleichen.

Die benötigte Infrastruktur ist in Debian also vorhanden (bei RPM basierten Distributionen gibt's analoge Mechanismen). Die Sicherheit kommt aber erst mit einer durchdachten Policy und der Disziplin, sich daran zu halten.
-- ESH

heisst das (Score:0)

Von Anonymer Feigling am Thursday 24. April, 10:03 MES (#5)

das original debian ist untrusted? ;-)

Durchsuche symlink.ch:

Never be led astray onto the path of virtue.