🚀 go-pugleaf

Andrzej Rosa <bakters@yahoo.com> wrote:
[...]
> >> > Stąd co ty wiesz że ftp://repozytorium/foo/shmo/foo.rpm nie jest spoofem 
> >> 
> >> Spoof repo jest teoretycznie wykonalny, ale na tyle trudny i mało
> >> efektywny, że w praktyce można go póki co pominąć.  Normalnie nie ma
> >> sensu się w to bawić, chyba że właśnie dla zabawy.
> >
> > Znaczy trudno jest przekonać użytkownika do zaakceptowania klucza
> > maintainera Brave New Repo(TM), które właśnie dodaje do package
> > managera?
> 
> To też.  W praktyce łatwiej chyba zrobić atak typu "man in the middle", o
> czym piszę powyżej.

W różnistych dystrybucjach Linuksa? IMHO wręcz przeciwnie - repozytoria
zazwyczaj tworzy się łatwo i z tego co widzę zazwyczaj każde jest
podpisane kluczem developera/zespołu developerów, który siłą rzeczy
musisz zaakceptować, żeby PM nie krzyczał o kazdą operację na repo.

Poza tym był już ten sam problem z ActiveX w Windows - kontrolki musiały
być podpisane (w domyślnej konfiguracji), co oczywiście nie chroniło przed
zrobieniem własnego dialera instalowanego przez OCX-a etc.
> 
> > Czekaj, czekaj... To przypadkiem nie Ty używasz dystrybucji, która ma
> > niepodpisane niektóre ważne elementy? :>
> 
> SHA1.  Teoretycznie łamalny, podobno...

Pokazywałem Ci, ze nie wszystko jest podpisane a dokumenty opisujące jak
to zrobić porządnie leżą sobie od lat. Coś się ruszyło?

> >> > czyli po podpisie pliku.
> >> 
> >> Jakim podpisie?  Właśnie ściągam, nic mi nie podpisało.
> >
> > Choćby:
> > http://gimp-win.sourceforge.net/stable.html
> > Zwróc uwagę na dół strony.
> 
> 885901164f784961b0cd722340258fe7  Downloads/sdsetup.exe

Ale odróżniasz skrót od podpisu? Poprzedni akapit sugeruje, że
niekonieznie.

I drugie proste pytanie - jeśli jestem w stanie podmienić binarkę
to czemu nie miałbym przy okazji podmienić skrótu, który leży w pliku
HTML obok?

[...]
> > Ale co chcesz udowodnić, że nie potrafisz tego sprawdzić pod Linuksem?
> > Bo pod Windows podpisy można zobaczyć we właściwościach pliku:
> > http://hell.pl/radekg/pcoa/gimp.jpg
> 
> A co Ty chcesz udowodnić?  Serio.  Do czego zmierzasz, prosto i bez
> niedomówień, o ile można prosić. 
> 
Binarki dla Windows pobierane z internetu też mogą być podpisane
i daje się to prosto sprawdzić. I masz to zintegrowane z PKI.

Pozdrawiam

-- 
Radosław Gancarz                             r a d e k g @ h e l l . p l
http://bugs.from.hell.pl/