可以换个角度考虑, 记得dpkg是root权限才能操作的,既然攻击者都有root了,那能做的肯定也不止dpkg了,建议可以向上想想如何精细化控制好权限,攻击者没权限自然就限制了
当然,具体还是需要看你自己的成本 > 2022年5月27日 11:44,starcold14 <starcol...@gmail.com> 写道: > > 感谢您的解答。 > 我想目前的方法应该就是去dpkg做修改了,有没有对dpkg很熟悉的大佬,可以给一些建议,看看怎么改,改哪些源代码比较合适 > > > starcold14 > starcol...@gmail.com > > <https://maas.mail.163.com/dashi-web-extend/html/proSignature.html?ftlId=1&name=starcold14&uid=starcold14%40gmail.com&iconUrl=https%3A%2F%2Fmail-online.nosdn.127.net%2Fqiyelogo%2FdefaultAvatar.png&items=%5B%22starcold14%40gmail.com%22%5D> > 在2022年5月27日 10:57,xiao sheng wen(肖盛文)<atzli...@sina.com> > <mailto:atzli...@sina.com> 写道: > 任何一个 Linux 或 Unix 系统,如果有了 root 权限,可以做任何事情。 > > > > 开源社区有一整套防止恶意代码注入的机制,这类问题的讨论有点超出了 Debian 的范围。 > > 直接把知名开源软件里面植入恶意代码的可能性不大,不被发现,甚至进行了版本发布的可能性更小。 > > > > Debian 的官方软件包发布,有一整套端到端的安全验证机制,防止软件包被篡改。 > > 非 Debian 官方软件包,只能够由用户自己进行安全鉴别。 > > > > 在 2022/5/27 10:24, starcold14 写道: >> Hi, >> 我在想,debian系统不应该如此脆弱才对。如果我是个坏蛋,我把vim源码添加一些重定向系统库地操作,然后编包发布到网上,安装这个包的用户不就不能开机了吗? > 首页,要欺骗用户下载这个恶意软件包,并且用户有 root 权限,能够安装这个软件包。 > > 这跟欺骗用户下载一个包含 rm -rf / 的脚本,用 root 执行的 方式可以类比。 > > > >> 我们针对个软件的cve漏洞都在及时地出方案,为什么这个包管理工具没有考虑到这些问题,还是说其实有考虑到,但是只是相关机制没有被大家所熟悉。 > 包管理工具负责包管理工作范围内的职责, 使用 dpkg, apt 等软件包管理工具进行软件包管理时,必须具备 root 权限,这个是最基本的考虑。 > > 抛开 root 权限机制,单纯的要求 deb 软件包的管理机制来实现跨越 root 的安全机制,这个是行不通的。 > > > > 至于你提到的有第三方基于 rpm 上建立的软件包和文件权限管理机制,确实有其可取之处。 > > 可以作为参考,在 dpkg 上实现,满足你的需求。 > >> >> >> >> >> 在2022年5月27日 10:14,xiao sheng wen(肖盛文)<atzli...@sina.com> >> <mailto:atzli...@sina.com> 写道: >> 研究下 dpkg 源代码,针对你的需要,修改 dpkg 源代码,增加一层权限访问控制。 >> 只不过这种方法难度比较大。 >> 在 2022/5/27 10:04, starcold14 写道: >> Hi, yhsponder >> 其实需要的是三个方面: >> 1.让dpkg无法删除特定的包(例如一些提供关键系统服务的包),只能进行升级 >> 2.让一些关键文件得到保护,dpkg在安装一些包时,阻止其有意或无意地对关键文件修改或删除 >> 3.在dpkg安装某个包时,如果它会针对系统库进行重定向,则阻止这种行为 >> apt-mark应该无法满足这些要求,对于se-linux,我不是很懂它,请问一下您说的分权角色方案具体是怎样实现的? >> >> starcold14 >> starcol...@gmail.com >> >> <https://maas.mail.163.com/dashi-web-extend/html/proSignature.html?ftlId=1&name=starcold14&uid=starcold14%40gmail.com&iconUrl=https%3A%2F%2Fmail-online.nosdn.127.net%2Fqiyelogo%2FdefaultAvatar.png&items=%5B%22starcold14%40gmail.com%22%5D>-- >> > 肖盛文 xiao sheng wen Faris Xiao > 微信(wechat):atzlinux > 《铜豌豆 Linux》https://www.atzlinux.com <https://www.atzlinux.com/> > 基于 Debian 的 Linux 中文 桌面 操作系统 > Debian QA page: https://qa.debian.org/developer.php?login=atzlinux%40sina.com > <https://qa.debian.org/developer.php?login=atzlinux%40sina.com> > GnuPG Public Key: 0x00186602339240CB