Warum gibt es ein separates Paket-Repository für Debian-Sicherheitsupdates?

Warum laden sie keine Pakete in das normale Paket-Repository hoch? Handelt es sich um eine allgemeine Konvention (Trennen auch andere Distributionen die Repositories)?

debian repository

— Tshepang
quelle

Ich würde vorschlagen, keine anderen Distributionen zu haben, da dies möglicherweise übermäßig lang sein könnte, auch nach Archivierung, meinst du Paket-Repo? Ich vermute, Sie tun es, aber stellen Sie sicher, dass Sie nicht einen SVN / Git-Zweig oder so etwas meinen.

— Xenoterracide

debian.org/security

— Daniel Dinnyes

Antworten:

Debian hat einen Distributionskanal, der nur Sicherheitsupdates bereitstellt, so dass Administratoren wählen können, ein stabiles System nur mit dem absoluten Minimum an Änderungen auszuführen. Darüber hinaus ist dieser Vertriebskanal etwas vom normalen Kanal getrennt: Alle Sicherheitsupdates werden direkt von geleitet security.debian.org, wohingegen die Verwendung von Spiegeln für alle anderen empfohlen wird. Dies hat eine Reihe von Vorteilen. (Ich erinnere mich nicht, welche offiziellen Motive ich auf Debian-Mailinglisten gelesen habe und welche meine eigene Mini-Analyse sind. Einige davon werden in den Debian-Sicherheits-FAQ angesprochen .)

Sicherheitsupdates werden sofort verbreitet, ohne dass es zu Verzögerungen bei Spiegelupdates kommt (dies kann zu einer Laufzeit von ca. 1 Tag führen).
Spiegel können abgestanden sein. Die direkte Verteilung vermeidet dieses Problem.
Es muss weniger Infrastruktur als kritischer Service gewartet werden. Selbst wenn die meisten Debian-Server nicht verfügbar sind und die Leute keine neuen Pakete installieren können security.debian.org, können Sicherheitsupdates verteilt werden, solange dies auf einen funktionierenden Server verweist.
Spiegel können kompromittiert werden (dies ist in der Vergangenheit passiert). Es ist einfacher, einen einzelnen Verteilungspunkt zu überwachen. Wenn ein Angreifer es geschafft hat, ein bösartiges Paket irgendwo hochzuladen, security.debian.orgkönnte er ein Paket mit einer neueren Versionsnummer übertragen. Abhängig von der Art des Exploits und der Aktualität der Antwort kann dies ausreichen, um einige Computer nicht zu infizieren oder Administratoren zumindest zu warnen.
Weniger Personen haben Upload-Rechte für security.debian.org. Dies schränkt die Möglichkeiten für einen Angreifer ein, ein Konto oder einen Computer zu untergraben, um ein bösartiges Paket einzuschleusen.
Server, die keinen normalen Webzugriff benötigen, können hinter einer Firewall gehalten werden, die nur security.debian.orgDurchgang zulässt .

— Gilles 'SO - hör auf böse zu sein'
quelle

Das Sicherheits-Repository datiert die Signierung der Release-Dateien für Repositorys vorab, so dass von einer Spiegelung abgeraten wurde, da dies das implizite Vertrauen beim Herunterladen von security.debian.org verwässerte. Dieses Argument ist zu einem gewissen Grad verschwunden, nachdem die Paketmetadaten signiert wurden.

— 24.

Host security.debian.orglöst in eine Reihe von Adressen auf, daher handelt es sich möglicherweise um einen Pool von Computern, auch wenn sie technisch keine Spiegel haben.

— Faheem Mitha

Ich bin ziemlich sicher, dass Debian Sicherheitsupdates auch in das reguläre Repo einfügt.

Der Grund für ein separates Repo, das nur Sicherheitsupdates enthält, besteht darin, dass Sie einen Server einrichten, nur auf das Sicherheitsrepo verweisen und Updates automatisieren können. Jetzt haben Sie einen Server, auf dem die neuesten Sicherheitspatches garantiert sind, ohne versehentlich Fehler einzuführen, die durch inkompatible Versionen usw. verursacht wurden.

Ich bin nicht sicher, ob dieser genaue Mechanismus von anderen Distributionen verwendet wird. yumFür CentOS gibt es ein Plugin, mit dem solche Dinge erledigt werden können, und Gentoo verfügt derzeit über eine Sicherheitsmailingliste ( portagewird derzeit so geändert, dass nur Sicherheitsupdates unterstützt werden). FreeBSD und NetBSD bieten beide Möglichkeiten, Sicherheitsüberprüfungen von installierten Ports / Paketen durchzuführen, die sich gut in die eingebauten Update-Mechanismen integrieren lassen. Alles in allem ist Debians Ansatz (und wahrscheinlich Ubuntus, da sie so eng miteinander verwandt sind) eine der schnelleren Lösungen für dieses Problem.

— Hank Gay
quelle

ja, weil ein Sicherheitspatch möglicherweise keinen weiteren Fehler verursachen könnte.

— Xenoterracid

"s. Jetzt haben Sie einen Server, auf dem garantiert die neuesten Sicherheitspatches installiert sind, ohne versehentlich Fehler einzuführen, die durch inkompatible Versionen usw. verursacht wurden." heißt das nicht Ich denke, ich könnte sagen, dass inkompatible Versionen der strittige Punkt sind. Was bedeutet das genau? Die meisten Leute, die nur Sicherheitspatches zurückportieren, tun dies nicht, weil sie der Meinung sind, dass ABI / API das Einzige ist, was sie tun schaue an.

— Xenoterracide

@xeno Kritisieren Sie die Idee, diese Repos aufzuteilen, oder warnen Sie uns, dass es keine Garantien gibt?

— Tshepang

@xeno Abhängig davon, wie Upstream die Dinge handhabt, können Bugfix-Patches zu aufdringlich für eine "stabile" Version sein.

— Tshepang

Die überwiegende Mehrheit der Sicherheitspatches ist trivial klein: die Argumente in ein Memset umsortieren, eine Begrenzungsüberprüfung für ein strncmp oder What-Have-You vornehmen. Natürlich könnten sie plausibel andere Fehler einbringen, aber das Risiko ist sehr gering und theoretisch, wohingegen der entdeckte Sicherheitsfehler sehr praktisch ist.

— 24.

Es hilft bei zwei Dingen:

Sicherheit - Holen Sie sich zuerst Ihre Sicherheitskorrekturen, dann haben Sie ein geringeres Risiko, während Sie den Rest aktualisieren
Sicherheitsupdates sollten mit einer hohen Sicherheitsstufe gespeichert werden, da Sie sich in der Regel darauf verlassen, dass sie den Rest Ihres Systems schützen. Daher verfügt dieses Repo möglicherweise über strengere Sicherheitskontrollen, um Kompromisse zu vermeiden

Es könnte auch andere Gründe geben, aber das sind die beiden, die ich nützlich finden würde

— Rory Alsop
quelle

Sind Sie sicher, dass Ihre Daten auf einem hohen Sicherheitsniveau gespeichert sind ? Ich sage das, weil Sie Zweifel äußern, könnte sein .

— Tshepang

Gut gesichtetes Tshepang - Ich habe keine Sicht auf die Umgebung, in der sich das Repo befindet, aber so würde ich es einrichten :-)

— Rory Alsop

Es gibt zumindest eine Form höherer Sicherheitsstufe: Nur das Sicherheitsteam kann ein Paket aufschieben security.debian.org. Ich kenne die Implementierungsdetails nicht.

— Gilles 'SO- hör auf böse zu sein'