在没有安全保证的情况下从 deb 文件安装时应该注意什么？

Question

假设我在一个没有众所周知的可靠性的网站上发现一个 deb 文件，但不能保证它安装的软件完全符合预期。因此，它安装的软件有可能是恶意的。

从 deb 文件安装时，我是否需要（或最好）专门做？

很多deb文件都默认安装在system目录下的软件，如果可能的话，这样安装的软件会比安装在非系统目录下的软件危害更大吗？

谢谢。

Answer 1

假设我得到了一个 deb 文件，但不能保证它安装的软件完全符合预期。

始终无法保证软件完全按照预期执行。

安装包时的第一个主要风险发生在安装本身期间：包可以提供以 root 身份运行的维护者脚本，并且可以对系统做任何他们想做的事情。但是，您可以在安装前检查这些：

dpkg-deb -R /path/to/package.deb /tmp/extracted

然后查看/tmp/extracted/DEBIAN.

每次运行软件时都会出现第二个主要风险。除了避免PATH相关问题外，安装目录对此没有影响。该软件将有权访问它运行的用户可访问的任何内容：所有可读文件、可访问设备（包括网络摄像头、麦克风等）、网络资源（包括 Internet）、其他窗口的内容（如果它在 X 下运行）...所有这些都可以在一定程度上得到缓解：

• 以其他用户身份运行将限制对文件和设备的访问（假设您的权限设置适当）；
• 在不同的网络命名空间中运行将阻止访问网络资源；
• 在 Wayland 而不是 X 下运行将阻止访问 Wayland 驱动的窗口。

最安全的方法是在虚拟机中安装和运行此类软件。