উবুন্টু প্যাকেজগুলি (ডেবি-ফাইলগুলি) কেবল এমডি 5সাম সুরক্ষিত রয়েছে?

Question

### নীচে প্রশ্নের সূচনা পটভূমি

(সুতরাং প্রশ্নটি আরও বেশি লোকের কাছে ব্যবহারযোগ্য)
একটি উবুন্টু / ডেবিয়ান-স্টাইল প্যাকেজের ভিতরে (* .দেব ফাইল) একটি ফাইল রয়েছে যার /DEBIAN/md5sumsমধ্যে এই ফর্মটির বিষয়বস্তু রয়েছে:

212ee8d0856605eb4546c3cff6aa6d35 ইউএসআর / বিন / ফাইল1
4131b66dc3913fcbf795159df912809f পথ / থেকে / ফাইল2
8c21de23b7c25c9d1a093607fc27656a পাথ / থেকে / ফাইল3
c6d010a475366e0644f3bf77d7f922fd পাথ / থেকে / স্থান / এর / ফাইল 4

আমি অনুমান করি যে এই ফাইলটি প্যাকেজের সাথে আসা ফাইলগুলি কোনওভাবে দুর্নীতিগ্রস্থ হয়নি তা পরীক্ষা করে ব্যবহার করা হবে। যেহেতু ফাইলটিকে `/ DEBIAN / md5sums বলা হয়" আমি পথ + ফাইল-এর আগে হেক্সনম্বারটি ধরে নিয়েছি প্যাকেজের ফাইলগুলির MD5 বার্তা-ডাইজেস্ট অ্যালগরিদম হ্যাশ।

আগ্রহী সকলেই জানেন যে এমডি 5 হ্যাশ ইতিমধ্যে অনেক আগেই ভেঙে গেছে। সুতরাং প্যাকেজে কোনও ফাইলের সামগ্রী পরিবর্তন করা সম্পূর্ণভাবে সম্ভব (উদাহরণস্বরূপ দূষিতভাবে) এবং এখনও একই ফাইলের এমডি 5-হ্যাশ রয়েছে (উদাহরণস্বরূপ "বিজয়ীর ভবিষ্যদ্বাণী করা ...." প্রমাণিত হয়েছে )।

প্রশ্ন

উপরের তথ্যটি মাথায় রেখে আমি নিম্নলিখিতগুলি জানতে চাই:

** ধরে নিচ্ছি আমি আমার উবুন্টু সিস্টেমে একটি প্যাকেজ ইনস্টল করেছি। কি DEBIAN/md5sumsনিশ্চিত তথ্য দিয়ে ক্ষতিগ্রস্ত করা হয়েছে করতে একমাত্র উপায়? **

প্রশ্নের উত্তর দিয়ে আমি মনে করি এটি নিম্নলিখিতগুলি বের করতে সহায়তা করতে পারে:

• সামগ্রিকভাবে ডেবি প্যাকেজগুলিও হ্যাশ হয়েছে (এর জন্য হাশভ্যালিগুলি তৈরি করা হয়েছে) যাতে প্রাপ্ত ফাইলগুলিকে নিরাপদ করার আরও একটি উপায় রয়েছে "নিরাপদ" / "অবারিত"
• যদি অন্য উপায় থাকে তবে DEBIAN/md5sumsফাইলটি অখণ্ডতা নিশ্চিত করতে, কোনওভাবেই * .deb প্যাকেজগুলিতে অন্তর্ভুক্ত ফাইলটি কী?
• উবুন্টু কি SHA-1 এবং MD5 এর চেয়ে "কম ভাঙা" থাকা ভান্ডার / প্যাকেজ-সিস্টেমের জন্য হ্যাশ ব্যবহার করে?

যা দুর্ভাগ্যক্রমে আমিও জানি না।

যে কোনও তিরস্কারটি যা প্রশ্নের উপর আলোকপাত করতে পারে (বা এমনকি কেবল একটি অনুচ্ছেদে) খুব স্বাগত

হালনাগাদ

(১) https://help.ubuntu.com/commune/Repositories/Ubuntu# প্রমাণীকরণ_প্যাব থেকে বোঝা যাচ্ছে যে কিছু সরকারী / বেসরকারী জিপিজি কী চলছে (রেপো এবং প্যাকেজ সিস্টেমগুলি সুরক্ষিত রাখতে) আক্রমণ থেকে। লিঙ্কযুক্ত অবস্থানের তথ্য যদিও খুব বেশি নয়। এটি প্যাকেজ-সিস্টেমের সুরক্ষা দিক সম্পর্কে প্রায় কিছুই বলে না। যাইহোক আমি লিংকটি ইতিমধ্যে ধরে নিয়েছি যে ইঙ্গিতটি ইঙ্গিত করে যে প্রশ্নের উত্তর হবে "রেপো থেকে কমপক্ষে ডেব প্যাকেজগুলিও - এটিও সুরক্ষিত আছে ...."। আশা করি কারও কারও কাছে এখানে একটি উত্তরের জন্য কিছু অন্তর্দৃষ্টি রয়েছে।

(২) এই প্রশ্নটি উবুন্টু প্যাকেজ সিস্টেমের "সুরক্ষা" শীর্ষক বিষয়টিকে নিয়েও মনে হয়। সুতরাং আমি কেবল এটি এখানে যুক্ত করছি যাতে এর বিজ্ঞাপনের হাত যদি কেউ প্রশ্নটি বের করার চেষ্টা করে: প্রস্তাবিত বিএডসিআইজি (অ্যাপটি-আপডেটে) ফিক্সগুলি নিরাপদ কেন?

Comments

debian.org/doc/debian-policy/… প্রতি ফাইল চেকসামে SHA-1 এবং SHA256 সমর্থন সমর্থন করে, তবে aptচেকসাম নীতি কী তা আমি জানি না ।

— ক্রোনাইটিস

@ ক্রোনাইটিস সেখানে লিঙ্কের জন্য ধন্যবাদ। প্রকৃতপক্ষে SHA- * হ্যাশগুলি সেখানে উল্লেখযোগ্যভাবে জানানো হয়েছে যে তারা কীভাবে প্যাকেজগুলিতে হাজির হয় তা (যা আমি এখনও দেখিনি) বা প্যাকেজ সিস্টেমে appear আপনি আরও জানেন? ওয়েল ইঙ্গিত ইতিমধ্যে একটি ভাল পদক্ষেপ

— humanityANDpeace

Answer 1

উবুন্টু একটি ম্যানিফেস্ট প্রকাশ করে যা একটি আরএসএ কী দিয়ে স্বাক্ষরিত। ম্যানিফেস্টে পৃথক Packagesসূচি ফাইলগুলি এমডি 5, SHA-1 এবং SHA-256 হ্যাশগুলির সাথে তালিকাবদ্ধ করে । প্রতিটি Packagesফাইল .debMD5, SHA-1 এবং SHA-256 হ্যাশ সহ পৃথক ফাইল তালিকাভুক্ত করে।

যাচাইকরণের জন্য, অ্যাপ্লিকেশন সর্বোত্তম হ্যাশ ব্যবহার করে যা এটি সমর্থন করে এবং এটি সংরক্ষণাগারটি থেকে ডাউনলোড করা হয় from উবুন্টু সংরক্ষণাগারটির ক্ষেত্রে এটি SHA-256।

সুতরাং আপনার উবুন্টু সিস্টেমে প্যাকেজ ইনস্টল করার সম্পূর্ণ শৃঙ্খলা আরএসএ এবং এসএএএ-256 দ্বারা সুরক্ষিত।

এমপি 5 সুরক্ষা যা ডিপি কেজিতে বিদ্যমান এটি কেবলমাত্র দুর্ঘটনাজনিত দুর্নীতির জন্য কার্যকর, এবং ইনস্টলেশন পথটি সুরক্ষিত করার জন্য প্রয়োজনীয় নয়।

আপনার debsumsপ্যাকেজটিতে আগ্রহী হতে পারে তবে এটি এমডি 5 ব্যবহার করে তাই এটি কেবল দুর্ঘটনাজনিত দুর্নীতি পরীক্ষা করার জন্যও কার্যকর।

আপনি যদি দূষিত সিস্টেম পরিবর্তন করার জন্য পরীক্ষা করতে চান তবে এগুলি আপনার পক্ষে উপযুক্ত সরঞ্জাম নয়। আপনাকে সিস্টেমটিকে অফলাইনে নিতে হবে এবং পূর্ববর্তী রেকর্ড, মূল প্যাকেজ ফাইল বা এগুলি থেকে উত্পন্ন সুরক্ষিত হ্যাশগুলির বিরুদ্ধে পরীক্ষা করতে হবে।

নোট করুন যেহেতু একটি সফল দূষিত পরিবর্তনটি কোনও সুরক্ষা আপডেটের পূর্বে কেবলমাত্র একটি প্যাকেজকে ডাউনগ্রেড করা হতে পারে, যাচাই করে নেওয়া হয়েছে যে সমস্ত ইনস্টল করা প্যাকেজ ফাইলগুলির মূলগুলির সাথে মেলে না তবে তা যথেষ্ট নয়।

Comments

আমি কিছু স্পষ্ট অন্তর্দৃষ্টি অর্জন করেছি। এই সমস্ত তথ্য আপনি কোথায় পেলেন, যা সন্ধানে আমার এইরকম আলাদাতা রয়েছে? আপনার ব্যবহৃত কিছু ডকস / লিঙ্ক রয়েছে? এছাড়াও আপনি যে "ডাউনগ্রেড-বিপদ" উল্লেখ করেছেন তা উল্লেখ করার জন্য আমি প্রশংসা করি, তাই এটি কীভাবে উত্সাহজনকভাবে কাজে লাগানো হতে পারে তা আমি এখনও বুঝতে পারি না। গ্রেট! তোমাকে ধন্যবাদ

— humanityANDpeace

আমি বিশ্বাস করি না যে অ্যাপল সংগ্রহস্থল বিন্যাসটি কোথাও যথাযথভাবে নির্দিষ্ট বা ডকুমেন্টেড রয়েছে। এটি খারাপ, তবে এটি এটি হয়। সর্বোত্তম (এবং কেবল আমার জ্ঞানের) সত্য নথির উত্স। আমি বিশদটি জানি কারণ আমি উত্সে কাজ করেছি। অন্যদিকে, ডিপিকিজি ফর্ম্যাটটি দেবিয়ান নীতিতে খুব ভালভাবে নির্দিষ্ট করা আছে। এটি আপনার সিস্টেমে প্যাকেজগুলি শেষ হওয়ার পরে কী ঘটে তা কভার করে, তবে কীভাবে তারা সেখানে পৌঁছে। পরবর্তী অংশটি অ্যাপ্ট দ্বারা সম্পন্ন হয়।

— রবি বাসাক

ডাউনগ্রেড ঝুঁকি: এটি একপাশে এবং সত্যই আপনার মূল প্রশ্নের সাথে সরাসরি সংযুক্ত নয়। এক্স শোষণটি সংস্করণ এ-তে সন্ধান করা হলে আপনি সংস্করণ বি-তে সুরক্ষা আপডেট পাবেন, যেখানে দুর্বলতা স্থির করা আছে। যদি কোনও আক্রমণকারী এক্স সংস্করণে এক্সটি শোষণ করতে পারে তবে আপনি নিরাপদে থাকবেন, যেহেতু আপনি বিতে উন্নীত হয়েছেন তবে আক্রমণকারী যদি আপনাকে এ-তেও ডাউনগ্রেড করতে পারে তবে আপনি আবারও ঝুঁকিপূর্ণ। আপনার সমস্ত সুরক্ষিত হ্যাশগুলি আপনি ইনস্টল করা প্যাকেজগুলির সাথে মিলে গেলেও আপনি এটি লক্ষ্য করবেন না, যেহেতু আপনার প্যাকেজ ডাটাবেস বলবে যে আপনি বি ইনস্টল করেছেন এবং বি নয় বলে মনে করছেন

— রবি বাসাক

@ রবিবাসাক "আমি বিশ্বাস করি না যে অ্যাপ্ট রিপোজিটরি ফর্ম্যাটটি যথাযথভাবে নির্দিষ্ট বা কোথাও নথিভুক্ত করা আছে।" স্পষ্টতই এটি সত্য নয়। আপনি শুধু এটা জন্য সন্ধান আছে।

— দেবিয়ান

Answer 2

আমি এটি একটি মন্তব্য হতে চেয়েছিলাম, কিন্তু আমি বাক্সে এটি ফিট করতে পারি না তাই আমি এটি এখানে রাখছি।

হ্যাঁ, এমডি 5 ক্রিপ্টোলজিকালভাবে ভেঙে গেছে, তবে এর অর্থ এই নয় যে এটি একটি সাধারণ সাধারণ উদ্দেশ্য হ্যাশিং অ্যালগরিদম। কোনও ফাইলের সংশোধন করা যাতে এটির একই হ্যাশ থাকে অবিশ্বাস্যরকম কঠিন এবং একটি নির্দিষ্ট দূষিত পরিবর্তনের সাথে এটি করা অসম্ভবের কাছাকাছি। আপনি উল্লেখ করেছেন এমন উদাহরণটি দেখে, ( দ্য উইনারকে পূর্বাভাস দেওয়া ) এটি দেখুন:

"নথিগুলি প্রথমে বৈধ পিডিএফ ডকুমেন্ট হিসাবে সাবধানে প্রস্তুত করা হয়েছিল, একটি গোপন চিত্রের অবজেক্টের সাথে পর্যাপ্ত পরিমাণে এলোমেলো বিট অন্তর্ভুক্ত ছিল Then যথাযথভাবে সঠিক দাগগুলিতে চিত্রের অবজেক্টগুলি In

যা করা হয়েছিল তা হ্যাশগুলিকে ম্যাচ করার জন্য এলোমেলো ডেটা দিয়ে ফাইলগুলি পূরণ করা ছিল । প্রযুক্তিটি কোনও ফাইলের সাথে নির্দিষ্ট দূষিত কোড যুক্ত করতে এবং হ্যাশগুলি লাইন না করে বা এটি ভেঙে না ফেলে বা ফাইলটি পরিবর্তন করা হয়েছে তা স্পষ্ট করে দেওয়ার পক্ষে খুব কাছেই সক্ষম নয় (অ্যাপটি করেছে কিনা তা আমি জানি না, তবে অনেকগুলি ফাইল হ্যাশ রয়েছে একটি অন্বেষণযোগ্য হ্যাশ সংঘর্ষের অসুবিধা বাড়ানোর জন্য তাদের ফাইলের মাপের সাথে)।

Comments

উত্তরের জন্য ধন্যবাদ. আমি মনে করি এটি একটি উত্তরের প্রতিক্রিয়া, এই অর্থে যে এটি পুরো পটভূমিতে আরও আলোকপাত করে :) :) দুর্ভাগ্যজনকভাবে "স্ট্যাক ... জিজ্ঞাসা উবুন্টু" মাঝে মাঝে "কেবলমাত্র প্রশ্নের কঠোর উত্তর" দিয়ে কঠোর হয় এবং তাই এর দুর্দান্ত আপনি সাহস নিয়েছিলেন বিষয়টি বিস্তারিতভাবে বর্ণনা করা।

— humanityANDpeace

প্রস্তুত পিডিএফ ফাইলগুলির এলোমেলো ডেটা রয়েছে এবং এই সমস্ত প্রচেষ্টা সহ কেবল 104 কেবি are আপনি কেন বলবেন কেন এটা অসম্ভব? ডেব প্যাকেজগুলিতে> 200kb থাকার জন্য অবশ্যই এখানে প্রচুর ফাইল থাকতে হবে যেখানে এমন কাজ করা অবশ্যই সম্ভব। আমি ধারণার প্রমাণ দেখেছিল, যে বিস্মিত পর তাই নিরাপদ নয় মনে করে আমাকে মর্মাহত

— humanityANDpeace

বৈধ ফাইলগুলিতে প্রচুর জায়গাগুলি রয়েছে যেখানে সূক্ষ্ম পরিবর্তন অদ্ভুত দেখা যায় না, উদাহরণস্বরূপ কোনও পাঠ্য ফাইলে ছোট ছোট সাদা স্থানের পার্থক্য। উভয়টি বৈধ বলে মনে হয় এবং আপনার পছন্দসই লক্ষ্য এমডি 5 এর সাথে মিলে যায় এমন দূষিত ফাইল তৈরির পর্যাপ্ত সুযোগ পেতে আপনার কেবলমাত্র এই জায়গাগুলির প্রায় 128 টি সন্ধান করতে হবে। যদিও এই পরিস্থিতিতে এই বিশেষ আক্রমণটি প্রয়োগ করা যেতে পারে তা আমি নিশ্চিত নই।

— রবি বাসাক

@ রবিবাসাক, আপনি আক্রমণটিকে ভুল বোঝেন। আপনি কেবল একটি ফাইলের 128 বাইট পরিবর্তন এবং এমডি 5সাম সংরক্ষণ করতে পারবেন না। আপনাকে অন্য কোনও ফাইলের দুটি কপিতে এলোমেলো তথ্য দুটি সেট বলে মনে হচ্ছে তার একটি অংশ toোকাতে হবে এবং "এলোমেলো" ডেটার দুটি অংশ পৃথক হওয়া সত্ত্বেও তাদের একে অপরের মতো একই মিডি 5sum থাকবে।

— psusi

Answer 3

এমডি 5 "ভাঙ্গা" ছিল না। তারা যা খুঁজে পেয়েছিল তা হ'ল সতর্কতার সাথে একটি মূল বার্তা এবং একটি পরিবর্তিত বার্তা যাতে একই হ্যাশ ছিল। (সঠিক ফাইল) নিয়ে টেম্পারিংয়ের উদ্দেশ্যে বিশেষভাবে তৈরি করা হয়নি এমন একটি মূল বার্তা নেওয়া এবং এটির এমডি 5সাম সংরক্ষণের জন্য এমনভাবে সংশোধন করা সম্ভব নয়।

Comments

ঠিক আছে. তবে এখন "ভাঙ্গা" না হলে এখন এমডি 5 সুরক্ষার বর্তমান অবস্থার উল্লেখ করার ভাল উপায় কী হবে? আপনি কী বলছেন তা আমি বুঝতে পারি এবং এটি নির্দেশ করার জন্য আমি ধন্যবাদ জানাই। আমি এখনও ভাবছি MD5 ইত্যাদি দ্বারা বর্তমান নিরাপত্তা মূল্যায়নের কিভাবে

— humanityANDpeace

@ হিউম্যানিটিএন্ডপিস, "ঠিক আছে"।

— psusi

আমি আশাবাদী মনোভাব পছন্দ করি। আমি তখনও ধারণার প্রমাণ দ্বারা অবাক হয়েছি। ধন্যবাদ!

— humanityANDpeace

"ক্রিপ্টো বিশেষজ্ঞরা এমডি 5 টি ভাঙ্গা বিবেচনা করে Therefore সুতরাং এটি ভাঙ্গা হিসাবে বিবেচনা করা উচিত।" বিশ্ব যেভাবে কাজ করে না এটি রবিবাসাক একজন ক্রিপ্টো অনুপ্রবেশকারী হিসাবে (নিজেকে "বিশেষজ্ঞ" বলতে পারেন না তবে কয়েক বছর আগে আমাকে এটি খনন করতে হয়েছিল) নিজেই আমি এমডি 5 নষ্ট হয়ে যাচ্ছিলাম না। কেবল যাচাই করার মতো একটি আকর্ষণীয় কেস রয়েছে তবে এটি থিওরিটিকাল এটিএম বলে মনে হয়। তবে এটি উবুন্টুর প্যাকেজিংটি ভেঙে ফেলবে না;) 0 সাসুসে ফিরে যান;)

— রিনজুইন্ড

@ জ্যাকউয়ার্ডি, বাস্তবে আছে, এবং সে কারণেই তারা তা করেন নি। তাদের পদ্ধতিতে খুব নির্দিষ্ট বৈশিষ্ট্যযুক্ত উভয় সেট ডেটার উপর নির্ভর করে। এটি অনেকটা পাবলিক কিপায়ারের মতো। আপনি একে অপরের সাথে মেলে এমন এক জোড়া কী তৈরি করতে পারেন তবে কেবল একটি দেওয়া থাকলে আপনি অন্যটিকে খুঁজে বের করতে পারবেন না।

— psusi