包和脚本有哪些安全策略？

Question

从Windows 98到Windows 7，我确实使用过 Microsoft Windows 。我自己发现了许多关于病毒、蠕虫、间谍软件等如何破坏系统的安全漏洞。

微软视窗 Vista 和视窗 7

Windows Vista和Windows 7 中的UAC（用户帐户控制）系统和Drives Autorun提示可以防止某些漏洞。

Linux

我现在使用的是 Ubuntu 11.10，我意识到由于多用户系统，Linux 中不存在大多数（除了一个）漏洞。

问题

人们（甚至我）用于存储*.exe，*.cmd，*.deb，*.sh和其他可执行文件，在优盘（闪存）等移动媒体脚本文件（安装程序，浏览器的便携式，脚本等）。

• 在 Windows 7 中（也在旧版本中）

  如果目标可移动媒体连接到受感染的系统，
  则连接回新系统，
  并运行*.exe,*.cmd或*.bat（未签名的可执行文件或脚本）文件
  ，该文件可能会提示UAC 对话框
  和用户按下Yes

  这可能会以管理员身份执行恶意代码，注入到未签名的可执行文件或脚本文件中

  我不知道签名的可执行文件。从未测试过。
  我认为，它们不能不被感染或被感染的文件不能被执行。

• 如果在 Linux 中呢？

  在 Linux中*.deb，*.sh或任何其他可执行文件或脚本文件中是否会发生同样的情况？

  我的意思是

  罐*.deb及其他文件被感染？（我认为他们可以）

  Linux 中是否有验证*.deb文件内容的机制？

  我不应该在可移动媒体中保留 root 访问所需的可执行文件和脚本文件吗？如果我不应该，那么手动验证文件内容是否已更改的最简单方法是什么？

  来自 Internet 的存储库和软件包怎么样？
  通过使用http, ftp（不是https），存储库和包可能会在传输或通过代理（如果使用）时被攻击者感染。

  Linux中是否有类似于Windows的Autorun东西？（我觉得不是）

我只是希望 Linux 在任何情况下都能得到更好的保护（即使是用户的小错误）。
我会询问我发现的其他可能的安全问题。

Answer 1

• Deb 和其他文件的安全性

您可以在 Internet 上的某个地方找到一个包的 .deb 文件。然后就可以使用dpkg -i package.deb和安装了。这并不比在 Internet 上的某个地方安装 Windows 好。除非您绝对确定来源，否则不要这样做，即使这样，请确保您已经安装了所有必备软件包。

Deb 文件，无论安全与否，都遵循带有散列等的格式，以便在更改时必须重建它们。

Ubuntu 存储库中的包（.deb 文件）通常是从 Launchpad 构建计算机上的源构建的，因此 .deb 文件的内容与源匹配，并且任何人都可以查看源。许多软件包都有维护它们的团队，他们会关注它们并注意安全问题。在构建新的源包版本之前，必须通过 gpg 密钥使用公钥密码术对其进行正确签名。

现在在 Ubuntu 软件中心有可用的二进制包，所以公众无法查看它们的来源。我不确定这些，但我相信它们在可用之前已经过审查。

您通常不应该使用 安装软件包dpkg -i package.deb，而是使用 apt-get 或软件中心，从 Ubuntu 存储库下载。您还应该避免在运行之前拿起任何其他类型的脚本，这些脚本您无法完全查看和理解。

多用户系统 类 Unix 系统确实意味着如果您犯了错误，您可能会弄乱您的帐户及其文件，但不会弄乱在同一系统上建立的其他用户的帐户和设置，也不会弄乱操作系统本身.

例外情况是，当您使用sudo或必须输入密码来运行命令以安装软件包或进行其他维护时。这些时候要非常小心你正在做的事情的来源。这与使用 UAC 非常相似。

• 可移动媒体上的可执行文件

只要您小心谨慎，我认为您不需要在可移动媒体上维护程序。像 Windows 一样，大多数程序都是作为包安装的，因此不能从可移动媒体运行（尽管如果需要，您可以将整个 Ubuntu 放在闪存驱动器上）。

• 存储库

正如我上面提到的，.deb 文件对它们包含的文件使用哈希，以确保它们没有被攻击者更改。当您安装 Ubuntu 时，Ubuntu 存储库也会在您的系统上存储 gpg 密钥，并且有一个签名和哈希链一直到 .deb 文件以确保安全。Ubuntu 源自 Debian，该项目创建了这种方法。

• 自动运行

这里是东西像Linux和其他类Unix系统自动运行。当您安装软件包时，这些软件包可能会导致程序在引导时启动，或者在用户登录到终端时，或者在用户登录到 GUI 会话时启动。大多数用户在他们的主目录中有一个（默认情况下隐藏的）.bashrc 文件，当用户登录到终端时会执行该文件。

• 光盘安全

Ubuntu 下载网站不仅有 CD 和 DVD 的 .iso 文件，还有消息摘要（散列），您可以检查以确保您检索的文件是真实的。

• 持续安全

尽管如此，开发人员还是会犯错误，潜在的安全问题可能会蔓延到软件中。运行受支持的 Ubuntu 版本意味着您将获得主 Ubuntu 存储库中项目的安全修复程序，通常为 Universe 和其他存储库中的项目提供安全修复。您应该应用这些修复程序。像 12.04 (Precise) 这样的长期支持版本比其他版本的 Ubuntu 提供更长时间的服务。

我个人不能保证这些预防措施是完美的，但我认为它们对于当前的技术水平来说非常好。