데비안 8은 뒤에서 인터넷에 연결할 수 있나요? [폐쇄]

이것은 올바른 질문입니다. 이는 당신이 데비안 사용자처럼 생각하고 있음을 보여줍니다.

A: 예, 시스템이 자동으로 네트워크에 연결될 수 있습니다. 이는 [a] 시스템에 연결 기능이 있고 [b] 시스템에 작업 자동화 기능이 있기 때문입니다. 하지만 아니요, 뒤에서 네트워크에 연결되지는 않습니다. (독자들을 위한 참고 사항:연결됨그리고입장네트워크는 서로 다른 두 가지입니다. 질문은 연결성에 대해 묻지만 물론 액세스도 관련이 있을 수 있습니다. 시스템이 연결되면 iptables(8)시스템 관리자가 접근을 제한하지 않는 한 시스템의 모든 사용자 또는 에이전트는 네트워크에 접근할 수 있습니다. )

아마도 이것을 설명하는 쉬운 방법은 없지만 귀하의 질문은 중요하다고 생각합니다. 나는 적어도 대답의 요점을 명확히하려고 노력할 것입니다.

DEBIAN 패키지 및 루트 권한

아시다시피 Debian 8 릴리스에는 수만 개의 패키지가 포함되어 있습니다. 이러한 패키지 중 일부는 자체 구성됩니다.설치시일부는 루트 권한을 행사할 수 있고 일부는 그렇지 않습니다. 그러나 패키지 관리자에는 특정 패키지가 루트 권한을 행사하도록 구성하는 것을 방지하는 기능이 없습니다.

루트 권한이 있으면 패키지는 네트워크 인터페이스 활성화 및 사용을 포함하여 모든 작업을 수행할 수 있습니다. 대부분의 패키지는 자신과 사용자의 루트 액세스를 거부하도록 구성되지만 일부 패키지에는 루트 액세스가 필요하며 패키지 관리자가 이를 허용합니다.

신뢰할 수 없는 소스에서 DEB 패키지 소프트웨어를 얻었는데(거의 필요하지 않음) 소프트웨어가 악성인 것으로 판명되면 데비안 시스템은 이로부터 사용자를 보호하도록 설계되지 않았습니다. 이것이 데비안 시스템의 일반적인 사용이 데비안에서 출시된 소프트웨어만 설치하는 이유입니다. 물론, 자신이 개발한 소프트웨어(이것은 정상입니다)나 신뢰할 만한 소프트웨어를 설치할 수도 있습니다(조심하세요: 이 소프트웨어가 데비안에서 공식적으로 출시되지 않은 이유를 물어보세요).

데비안 시스템은 어떤 것도 강요하지 않습니다.인위적인제한 사항은 나중에 루트 권한을 행사하기 위해 설치 시 특정 패키지가 자체적으로 구성되는 것을 방지합니다. 일반적인 예는 실행 파일이 /usr/sbin/exim4파일 모드를 갖는 메일 서버 Exim4입니다. -rwsr-xr-x이는 s실행 파일이 루트 권한으로 실행된다는 의미입니다. 가정적으로 누군가 Debian 8의 Exim4 패키지를 의심한다면 설치하지 않을 것입니다. 하지만 사람들이 일반적으로 데비안을 의심한다면 사람들은 데비안 GNU/Linux를 전혀 실행하지 않을 것입니다. 그렇죠? 데비안을 신뢰하는 것이 왜 의미가 있는지에 대해서는 나중에 더 자세히 이야기하겠습니다.

공식 데비안 프로젝트 외에, /var/log/매일 밤 새벽 2시에 귀하의 홈 디렉토리와 홈 디렉토리의 내용을 내 호스트에 비밀리에 업로드하고 이 목적을 위해 자동으로 네트워크에 연결하는 간단한 스파이 프로그램을 작성했다면, 이 패키지를 선택하면 APT가 패키지에 공식 데비안 서명이 없다고 경고했음에도 불구하고 보안 장벽이 더 이상 존재하지 않습니다. 말 그대로 데비안 시스템에는 당신을 보호할 것이 아무것도 없습니다. 디지털 서명은 방어선입니다.

따라서 이는 더 큰 질문을 제기합니다. 데비안은 개발자가 악성 패키지를 준비, 서명 및 업로드하는 것을 어떻게 방지합니까?

데비안 개발자

데비안에서 배포하는 모든 패키지는 평판이 좋은 공식 데비안 개발자가 디지털 서명하고 업로드합니다. 대략 1000명의 데비안 개발자가 있습니다; 몇 가지 특별한 경우를 제외하고는 아무도 익명이 아니며, 모두 데비안 프로젝트에 의해 개인적으로 충족되고 검증되었으며 요구 사항이 충족되고 수습 기간이 될 때까지 아무도 허용되지 않습니다. 기간이 끝났습니다. 이는 Google과 Steam이 데비안 외부에서 서버를 실행하기에 충분합니다. 그것이 충분히 좋은지 결정하는 것은 당신에게 달려 있습니다. 데비안의 인사 시스템은 20년 넘게 작동했지만 이론적으로 깨는 것이 불가능한 것은 아니다. (실제로, 제가 빗나가더라도, 주요 국가 정보 기관이 데비안 개발자로서 참을성 있게 내장된 에이전트를 가지고 있는지 여부는 흥미로운 질문입니다! 이것은 그러한 예가 없기 때문에 단지 추측일 뿐이지만, 주요 국가 정보 기관이 첩보 행위에 해당할 수 있다는 생각이 들었습니다. 기관은 그렇게 하지 못했고, 내가 아는 한 데비안에는 이 위험에 대처할 효과적인 절차가 없습니다. 소스 코드가 모두 공개되어 있으므로 내장된 에이전트가 수석에 의해 활성화되면 악성 코드가 시작되었습니다. 보안 보고서를 제출한 사용자가 악성 코드를 탐지하면 데비안 프로젝트는 해당 코드를 에이전트로 추적하므로 완전히 수동적이지 않은 한 에이전트는 주의해야 합니다. 주제로 돌아가겠습니다. .

대안적이고 효율적이며 더 안전한 작업 방법이 알려지면 데비안 프로젝트에서 이를 사용할 수 있습니다.

네트워크 인터페이스 및 자동 액세스

좋아, 우리는 당신이 데비안 개발자 팀을 신뢰한다고 가정합니다. 인터넷 서비스 제공 및 실행을 자동화하는 것이 목적인 Exim4와 같은 패키지를 설치하는 경우 패키지가 활성화될 때 네트워크 인터페이스를 사용할 것이라는 점을 예상해야 합니다. 그러나 Exim4 자체는 네트워크 인터페이스를 활성화하지 않습니다.

물론 네트워크 인터페이스를 활성화하고 비활성화하는 것이 주요 목적인 network-manager소프트웨어 패키지도 있습니다. ifupdown전자는 그래픽 데스크탑 사용과 관련된 네트워크 인터페이스를 자동으로 활성화하므로 network-manager이에 대한 우려가 있는 경우 제거할 수 있습니다.

그러나 Debian 패키지가 있는 경우주요 목적은 다른 것입니다네트워크 인터페이스를 활성화하고 비활성화하는 것과 반대로 인터페이스를 활성화하고 비활성화하는 것은 들어본 적이 없습니다.

데비안 사고방식

위의 모든 내용은 대다수의 데비안 개발자가 당신과 같은 방식으로 생각한다는 것을 알려주기 위한 것입니다. 그들도 여러분과 마찬가지로 자신들의 시스템이 자신도 모르는 사이에 네트워크에 연결되는 것을 원하지 않습니다. 사실, 그들은 시스템이 이를 원하지 않는 경우가 많습니다.활성 네트워크 연결에 예기치 않은 액세스가 발생했습니다.반면, 데비안에는 사용할 수 있는 소프트웨어가 많이 있으며, 대부분은 데비안 개발자가 아닌 사람들이 업스트림으로 작성했으며, 특정 패키지가 더 많은 정보를 얻기 위해 업스트림 서버에 자동으로 접속하는 것을 금지하는 공식적인 데비안 정책은 없습니다. 어떤 적절한 목적. (어떤 적절한 목적이 있습니까? 예를 들어 사용자가 F1 키를 누를 때 온라인 문서 위키에 액세스하는 것입니다.)

데비안 개발자는 비밀리에 사용자를 추적하는 소프트웨어를 패키지하지 않습니다. 공식적인 정책은 없지만 데비안의 어느 누구도 비밀리에 사용자를 추적하는 것이 좋은 일이라고 생각하지 않기 때문입니다.

그리고 데비안 프로젝트는 영리를 목적으로 하는 기업이 아니기 때문에 이와 관련하여 데비안을 훼손할 동기가 없습니다.

일부 예외

이제 공개적으로 사용 가능한 일부 패키지가 있습니다.설계,자동화된 백엔드 액세스 및 보고를 위해 광고됨(그러나 자동화된 백엔드는 아님)연결하다). 이러한 패키지를 설치하고 네트워크 인터페이스가 활성화되면 자동 기능이 설치됩니다. 제가 아는 가장 중요한 예는 패키지 popularity-contest와 unattended-upgrades. /etc/apt/sources.list내 컴퓨터 중 하나에서 했던 것처럼 이를 제거하면 이러한 업데이트가 발생하지 않습니다.

논평

그러므로 데비안은 근본적으로 안드로이드와 같은 시스템이 아닙니다. Android와 달리 데비안은 검열되지 않은 애플리케이션을 제한하고 제어하도록 설계되지 않았습니다. 데비안은 패키지에 서명하는 개발자에 대한 신뢰에 의존합니다. 20년의 경험을 통해 신뢰가 옳은 일임을 알 수 있지만 어쨌든 시스템은 그렇게 작동합니다.