Насколько безопасна `apt-get install`, когда предоставлен доступ` sudo` (через файл `sudoers`)

Question

Если у меня на Linux-машине дюжина пользователей (Ubuntu 11.10), каковы проблемы безопасности с предоставлением каждому из них sudo доступа apt-get install.

Я хочу, чтобы мои пользователи могли устанавливать и использовать программы без необходимости каждый раз отправлять мне электронное письмо. Однако могут ли apt-get команды когда-либо приводить к проблемам? Если да, то можно привести несколько примеров.

Answer 1

Это в значительной степени зависит от хранилищ программного обеспечения, доступных вашим пользователям.

Если вы разрешите своим пользователям добавлять свои собственные репозитории в /etc/apt/sources.list или /etc/apt/sources.list.d/*, то вы предоставили им неограниченную корневую учетную запись.

Если вы придерживаетесь стандартных репозиториев Ubuntu с установленными по умолчанию пакетами Ubuntu, вы достаточно безопасны - по крайней мере, я не знаю ни одного пакета, который бы устанавливал явно небезопасные программы setuid или явно небезопасные демоны, и Я ожидаю, что команда безопасности Ubuntu серьезно отнесется к любым подобным ошибкам.

Обновление

Ubuntu предоставляет несколько различных типов репозиториев :

                    Free software    Almost free software    Proprietary software
Ubuntu Supported       main             restricted
Community Supported    universe                                 multiverse
Vendor Supported                                                  partner

Все в main и restricted очень хорошо поддерживается и проверяется командой безопасности Ubuntu. universe и multiverse не включены в CD / DVD, поддерживаются командой безопасности Ubuntu наилучшим образом (что, по моему опыту, весьма неплохо, но они не собираются предоставлять долгосрочная поддержка для любого из них).

Все в partner передается напрямую от поставщиков программного обеспечения без каких-либо усилий по надзору со стороны команды безопасности Ubuntu (хотя они сильно полагаются на поставщиков небезопасных продуктов). Поскольку поставщики хотят оставаться легко доступными (и в целом честными), они не будут намеренно делать что-то глупое, чтобы поставить под угрозу безопасность вашей системы.

Поскольку легко настроить собственный репозиторий , важно убедиться, что ненадежные пользователи не могут добавлять свои собственные репозитории в apt.

Answer 2

apt-get обычно совершенно безвреден.Он способен только устанавливать и загружать файлы.

Худшее, что может случиться, это то, что кто-то случайно установит вредоносную часть программного обеспечения.

Answer 3

Если вы имеете в виду «может ли пользователь теперь запускать все, что ему нравится, от имени root», то ответ будет ДА - так что небезопасно .

ТамЕсть способы, которыми вы можете запустить оболочку из dpkg или rpm.Например: dpkg будет запрашивать, когда происходит изменение файла конфигурации, которое конфликтует, с одним из вариантов запуска оболочки для изучения ситуации. Это запустит оболочку от имени root, если apt-get был запущен через sudo.

Аналогично, если вы можете запустить редактор из инструмента, так как большинство редакторов позволяют запускать произвольные команды оболочки из них (например, !command в vi).