验证包是否可以增强系统的安全性和/或稳定性？

Question

RedHat/CentOS 和 Ubuntu 都提供了软件包来验证软件包的内容。 CentOS使用转速-V。 Ubuntu 使用德布苏姆。

我已经与运行这些工具来验证其系统上的软件包的管理员进行了交谈。这些工具是否增强了系统的安全性，或者是否提供了错误的安全感？

同样，这些工具是否可以提高系统的稳定性，因为它们可以帮助检测文件系统损坏后的问题？

Answer 1

就安全性而言，当闯入您的服务器并替换/更改某些文件的人相当缺乏经验时，它只会捕获有限数量的问题，因为任何“体面的”rootkit 都会确保像 debsums 这样的工具“看到” ”原始文件不会响起“警报”。

检测文件系统损坏可能稍微有用一些。

无论如何，只要您意识到这些限制，它肯定没有什么害处。

Answer 2

好吧，它们只是为了确保您的软件包（从某处下载或复制）没有损坏。首次下载或复制软件包后，这有助于防止您安装损坏的软件包。

损坏的包可能会工作，也可能不会工作（稳定性差）。我认为当系统不稳定时我们不应该关心安全性。

安装软件包后，您通常不需要再次运行验证，除非出现磁盘故障或断电（或者除非您真的对此很偏执）。如果发生此类事件，文件系统可能会被损坏，从而导致包损坏。

Answer 3

首先请记住，发行版（例如 Debian、Ubuntu 等）使用加密签名的软件包，即从受信任的安装介质开始，公钥加密可确保来自官方存储库的软件包在传输到您的计算机的过程中不会被修改。

为了验证已安装软件包的校验和，有一些用例：

1. 数据安全 - 检测硬件故障，例如ksplice 博客有这样一个战争故事

2. 安全性 - 例如，如果您的 /usr 是从文件服务器挂载的，并且您怀疑对该服务器进行了操作，但您的计算机并未受到损害

当然，如果攻击者是您系统的root用户，那么验证校验和并不能真正提供优势，因为他也可以操纵检查或隐藏文件的机会......

Answer 4

想一想，增加黑客需要能够成功入侵您的系统而不被发现的知识。在这种情况下，这很简单，如果有人知道足够的信息来访问您的系统，那么他们将能够检测并破坏 RPM 检查

此类系统检查还具有累积的威慑作用。如果为了同样的奖励更容易破解另一个系统，那么一些黑客就会去其他地方。