手机版
你好,游客 登录 注册 搜索
背景:
阅读新闻

开发者称 snap 软件包格式在带有 X11 的 Ubuntu 环境中并不安全

[日期:2016-04-24] 来源:Linux中国  作者:Linux [字体: ]

4/21 日,Canonical 揭晓了他们最新的 Ubuntu Linux 操作系统 Ubuntu 16.04 LTS(Xenial Xerus),在这个版本中,有个重要的功能是,Ubuntu 16.04 LTS 可以同时支持 deb 和 snap 两种软件包格式。snap 软件包格式用在 Canonical 的物联网操作系统 Snappy Ubuntu Core 中。

snap 软件包格式用来设计配合 Canonical 的新一代显示服务器 Mir 协同工作,它默认用在 Ubunut Touch 移动操作系统上,支持 Ubuntu 电话,以及新的 Ubuntu 平板: BQ Aquaris M10 Ubuntu 版,以给用户提供一流的安全性。

通过在 Ubuntu 桌面版和 Ubuntu 服务器版中支持安装 snap 软件包,Canonical 在给 Ubuntu 用户及时地提供软件更新方面取得了长足进展。Mozilla 是第一个在 Ubuntu 上以 snap 软件包格式提供软件的厂商,估计今年稍晚时候就会提供 Firefox 的 snap 包。

 

在 X11 下 snap 软件包并不安全

据著名的 CoreOS 安全开发者及 Linux 内核贡献者 Matthew Garrett 称, Canonical 的新式 snap 软件包格式用在 X.Org 服务器(X11 Window 系统)下很不安全,而 X11 目前仍旧是 Ubuntu 16.04 LTS 的默认显示服务器。

这个问题本质上是由于 X11 的古老设计,众所周知它在安全性上很差。Matthew Garrett 制作了一个简单的 snap 软件包来演示这个问题,它可以做到从其它的 X11 软件中偷取数据,比如可以获取你在 Mozilla Firefox 浏览器中输入的内容。

“我做了一个快速的概念验证,从 git 上获取了 XEvilTeddy,安装 Snapcraft (它在 16.04 中), 用 snapcraft 制作 snap,然后运行 sudo snap install xevilteddy*.snap,接着执行 /snap/bin/xevilteddy.xteddy。这是一个可爱的泰迪熊,真萌~ 现在打开 Firefox 并输入东西,然后去看看你的终端窗口。哦,天哪,我的小秘密呢... 再开一个终端窗口,然后将输入焦点放到其上,哦,我的天,一个被劫持的命令,它被替换成一个 curl 会话,可以上传你的 SSH 私钥到鬼才知道的某个地方。”

到目前为止,snap 格式还没流行起来,特别是因为目前只有很少的软件包支持这种格式。但是这也许不久就会改变,越来越多的开发者会以 snap 格式提供他们的软件,所以 Canonical 需要为使用 X11 的 Ubuntu 的安全性做些工作。

这也是为何大多数 GNU/Linux 发行版应该尽快切换到 Wayland 或 Mir 显示服务器的另外一个原因,尤其是现在的大多数桌面环境(如 GNOME 和 KDE)都支持它们了。不过,从另外一方面说,这个 snap 的安全问题不会影响到 Ubuntu 服务器操作系统,因为它根本没有显示服务器。

我们按照 Mr. Garrett 的指导,在一个最新更新的 Ubuntu 16.04 LTS 的机器上使用 Snapcraft 创建了 xevilteddy 的 snap 包。成功的创建了 snap 并安装之后,我们确认,当你看到如下的截屏时,这表明 xevilteddy 应用可以偷取你在另外一个 X11 应用中输入的任何内容,也能够使用 curl 将你的 SSH 密钥发送到远程的站点去。

Ubuntu 16.04 LTS正式发布下载,长达5年技术支持  http://www.linuxidc.com/Linux/2016-04/130508.htm

Ubuntu 16.04 U盘安装图文教程 http://www.linuxidc.com/Linux/2016-04/130520.htm

Ubuntu 16.04 LTS安装好需要设置的15件事 http://www.linuxidc.com/Linux/2016-04/130519.htm

Ubuntu 16.04 LTS 今日发布 Canonical公布系统新特性 http://www.linuxidc.com/Linux/2016-04/130466.htm

Ubuntu 16.04 LTS值得关注的新特性和改进盘点 http://www.linuxidc.com/Linux/2016-04/130136.htm

将Ubuntu 15.10升级到Ubuntu 16.04  http://www.linuxidc.com/Linux/2016-03/129158.htm

Ubuntu 16.04安装Lua游戏引擎Love http://www.linuxidc.com/Linux/2016-03/129108.htm

Ubuntu 16.04 需要你的帮助,让 GNOME Software 更美观 http://www.linuxidc.com/Linux/2016-03/129237.htm

更多Ubuntu相关信息见Ubuntu 专题页面 http://www.linuxidc.com/topicnews.aspx?tid=2

本文永久更新链接地址http://www.linuxidc.com/Linux/2016-04/130606.htm

linux
相关资讯       Snap 
本文评论   查看全部评论 (0)
表情: 表情 姓名: 字数

       

评论声明
  • 尊重网上道德,遵守中华人民共和国的各项有关法律法规
  • 承担一切因您的行为而直接或间接导致的民事或刑事法律责任
  • 本站管理人员有权保留或删除其管辖留言中的任意内容
  • 本站有权在网站内转载或引用您的评论
  • 参与本评论即表明您已经阅读并接受上述条款