Un repository registrato di terze parti può spoofare pacchetti critici (ad esempio, libc6) e averli installati su operazioni di "aggiornamento" apt?
Quali sono i modi migliori (configurazione) per aiutare a gestire i repository di terze parti per limitare le loro capacità.
Di solito ci sono due punti principali per evitare tali problemi:
Per impostazione predefinita, esiste un elenco limitato di fonti attendibili per il download dei pacchetti definito nei file di configurazione del sistema (ad esempio, è sotto la directory /etc/yum.repos.d/ nel sistema CentOS che ho adesso a portata di mano),
I pacchetti stessi sono firmati da questi repository in modo da poter controllare l'integrità degli aggiornamenti scaricati utilizzando le chiavi pubbliche del repository corrispondente (solitamente eseguite automaticamente dal software di aggiornamento).
Ciò eviterà a una terza parte di iniettare aggiornamenti corrotti. Tuttavia, questo sistema si basa sulla fiducia: vorresti aggiungere qualsiasi repository aggiuntivo che ti fidi implicitamente di non danneggiare il tuo sistema.
Questa domanda dipende molto dalla DISTRIBUZIONE di Linux che stai usando.
ma la maggior parte di essi ha qualche modo di fare la preferenza o la priorità della "origine" o "pin" di una posizione. ma con le informazioni fornite non posso dirti di configurarlo.