Das würde genauso auffallen als wenn ich bei flatpack eingreife.
Die Kompromittierung geschieht schon in den Sourcen.
Die xz Attacke sollte ja eigentlich ein essentielles Paket kompromittieren:
openssh.
Noch einmal:
Kauf dir das C't Sonderheft und lies dir die 4 Artikel über diese Attacke mal durch, dann weißt du was auch das grundlegende Problem ist:
Vertrauen.
Und nicht mal eben schnell ein Paketbau ändern.......
Alles anzeigen
Das sind aber trotzdem unterschiedliche Angriffsvektoren.
xz ist eine supply chain attack, wo eine essentielle Softwarekomponente mit bösartigem Code versehen wird und darauf gehofft wird, dass downstream Projekte ihre dutzenden/hunderten eingebundenen libs nicht prüfen und der Code schließlich in Produktivsystemen landet, wo er unter Umständen exploited werden kann.
Bei einem theoretischen Angriff auf Packman müsste nicht mal upstream die sources infiziert werden, da muss man "nur" im Bauprozess eingreifen. Das ist wieder eine Sache von Wahrscheinlichkeiten, aber bei einem Supply Chain Angriff gibts auf Zeit ein viel größeres Risiko, aufzufliegen. Bei einem erfolgreichen Angriff auf Packman wäre das eine Sache von Stunden zwischen Code Injektion und Ankunft auf Clients.
Flatpak ist auch gefährlich, weil da noch eine Komplexitätsschicht hinzugefügt wird, und die Maintainer z.T. überhaupt kein Vertrauensvorschuss verdienen, da irgendwelche Randoms (Deswegen sollte man da auch auf das Github Projekt des Flatpaks schauen, wer das macht. In Falle dieses Threads hab ich nur FFx und VLC empfohlen, bei denen der Flatpak Maintainer der originale Entwickler der App ist). Aber da hast du dann eine komprommitierte App, die in einer Sandbox mit eingeschränkten Rechten läuft, und darüber hast du noch Sicherheitssysteme wie Apparmor und SELinux. Da kann vorher schon Schaden angerichtet werden, aber da müssen noch mehr Hürden genommen werden, um aus dem Confinement auszubrechen und Root rechte zu bekommen, oder wie bei xz nach außen via SSH komplett offen zu sein. (Ich klammere die Möglichkeit eines DAU Users mal aus, der ein Flatpak trotz Warnung ohne Sandbox installiert).
Bei Packman ist für mich (ich wiederhole mich) das grundsätzliche Problem, dass es nicht nur zusätzliche Pakete gibt, sondern Systempakete ersetzt, die das System destabilisieren können, und bei einer Infektion mit Schadcode direkt unter höheren Rechten laufen.
Das ist für mich einfach ein wahrscheinlicher Angriffsvektor als die xz Lücke. Klar ist das eine schon passiert, und ne feindliche Übernahme von Packman nur Theorie, aber hey, es ist zu 100% Sicher dass es 20 Jahre alte RCE Lücken im Linux Kernel gibt, die noch nie jemand gesehen hat. Das ist schon passiert und wird auch wieder passieren, und das ändert auch nix an meiner Argumentation oben.
Bei Packman vertraue ich der Community. Funktioniert seit ca. 1995 bei mir. Da werde ich also nichts umstellen - hat sich ja ausgezahlt.
Das heißt in Fachkreisen: Du hast solange gute IT Security, bis etwas passiert ist. Aber dass so lange nichts passiert ist, macht den Incident ja nicht weg.
