您可能会使用 apt-get 安装恶意程序吗？

Question

在安装各种程序时，我被要求下载一些运行所需的软件包。其中一些是众所周知的应用程序，其中自述文件值得信赖，而其他一些鲜为人知的程序是我想我需要小心的应用程序。

所以，我正在尝试安装一个名为 Tennis Elbow 的游戏，其中自述文件说：

在 Ubuntu 14.10 64bit 上，据报告以下说明可以工作：

sudo apt-get install libcurl3:i386
sudo apt-get install libvorbisfile3:i386

那么，我们如何知道我下载的文件是否安全？

我知道这似乎不仅仅是一个问题，但我基本上需要这个游戏才能运行，所以我只需要知道我是否可以安全地安装提到的软件包。

Answer 1

是否可以使用 apt-get 安装恶意程序？当然可以，但这要求您的计算机列出的存储库中存在恶意软件。这可能发生：

• 如果您添加了恶意存储库，它可以提供恶意包。例如，PPA 可能包含恶意代码。他们还可以提供任何包（他们可以提供ubuntu-minimal会感染每个人的替代品。

• 但不仅仅是 PPA。主要存储库中的软件可能会被感染，原因可能是 Ubuntu 维护者被黑客攻击或心怀不满，或者是因为 Debian 上游维护者被黑客攻击或心怀不满，或者原始开发人员被黑客攻击或心怀不满，并且错误代码被过滤而未被发现。

• 有人以某种方式设法拦截了您的网络流量，并且还以某种方式设法签署了包的清单或更改了二进制包而不更改包校验和。

  两者都是令人难以置信的可能性不大，除非你已经加入随机密钥，但即使如此，也很难不被至少部分地在现场做。这是一个非常复杂的技巧。

但这里有可能吗？它是在告诉您安装恶意软件吗？

不。它只是要求您安装这些库的 32 位版本，因为它使用它们但针对它们的 32 位版本进行编译。

但它们是什么？libcurl3用于在应用程序中下载内容， libvorbisfile3用于解码Vorbis编码的音频。

的:i386上包名装置的末端。它正在指定架构。在 Ubuntu 的情况下，我们使用i386的意思是 32 位，它实际上是用 i686 处理器指令编译的。

如果您对任何事情都感到偏执，那么从随机网站下载并运行闭源二进制文件才是真正的危险所在。