Linux: RPM prüft Signaturen nicht richtig

Eigentlich werden RPM-Pakte unter Linux signiert. Viele wichtige Teile der Signaturprüfung sind bisher aber gar nicht implementiert.

Artikel veröffentlicht am ,
Signaturen sollen die Paketverwaltung eigentlich absichern.
Signaturen sollen die Paketverwaltung eigentlich absichern. (Bild: Justin Sullivan/Getty Images)

Die unter anderem von Red Hat und Suse in ihren Enterprise-Distributionen genutzte Paketverwaltung RPM geht offenbar nicht so mit digitalen Signaturen für Pakete um, wie das eigentlich zu erwarten wäre. So gibt es in der Software bisher keine Unterstützung für zurückgezogene oder auch abgelaufene Schlüssel. Damit signierte Pakete werden weiter mit einer gültigen Signatur akzeptiert, obwohl dies eigentlich nicht der Fall sein sollte.

Stellenmarkt
  1. Fachinformatiker Systemintegration (m/w/d) 1st und 2nd Level Support
    Kliniken Dritter Orden gGmbH, München
  2. Software Engineer (m/w/d) Adobe Marketing Cloud
    Allianz Technology SE, Unterföhring bei München
Detailsuche

Das geht aus einem entsprechenden Bug-Report auf Github hervor. Das Problem entdeckt hat demnach Dmitry Antipov, ein Linux-Entwickler bei Cloudlinux, die mit Alma Linux an einer Alternativen zum klassischen CentOS arbeiten und damit ebenfalls auf die RPM-Paketverwaltung setzen. Das Magazin ZDNet hatte zuerst über den Fehler berichtet.

Wichtigste Grundannahme für digitale Signaturen ist, dass den dafür genutzten privaten Schlüsseln vertraut wird. Da dies aber nicht dauerhaft gegeben sein muss, können die Schlüssel zurückgezogen werden, etwa weil Angreifer diese entwendet haben könnten. Ebenso kann das Vertrauen für die Schlüssel automatisch nach einer bestimmten Zeit ablaufen. In beiden Fällen sollen aber auch die entsprechenden Signaturen nicht mehr akzeptiert werden, was bei RPM aber nicht passiert.

Fehlende Implementierung statt Fehler

Der Red-Hat-Angestellte und RPM-Entwickler Panu Matilainen schreibt dazu: "Das Zurückziehen ist eines der vielen nicht implementierten Dinge bei der OpenPGP-Unterstützung von RPM. Mit anderen Worten, es handelt sich als solches nicht um einen Fehler, es ist einfach überhaupt nicht implementiert, ähnlich wie das Ablaufen auch nicht." Das ist allerdings eine klare Verletzung der üblichen Erwartungen an das OpenPGP-System, in dem diese Vorgänge ja explizit vorgesehen und umgesetzt sind.

Golem Karrierewelt
  1. Adobe Photoshop für Social Media Anwendungen: virtueller Zwei-Tage-Workshop
    27./28.07.2022, virtuell
  2. Angular für Einsteiger: virtueller Zwei-Tage-Workshop
    26./27.09.2022, Virtuell
Weitere IT-Trainings

Der Entwickler Antipov hat einen Patch für RPM erstellt, der die bisher fehlenden Funktionen umsetzt. Noch ist dieser aber nicht in den Hauptzweig von RPM aufgenommen worden. Ob dies letztlich auch passiert, ist derzeit noch nicht absehbar. Um dem Nachdruck zu verleihen, überlegen die Beteiligten, für die fehlende Signaturprüfung auch eine CVE-Nummer zu beantragen und dies damit explizit als Sicherheitslücke zu kennzeichnen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


rubberduck09 02. Jul 2021

Das hilft aber nichts wenn ich vom Original Installationsmedium nochmal neu installieren...

schnedan 01. Jul 2021

ist eh um Welten besser

1e3ste4 01. Jul 2021

Der Titel sagt aus, als würde bei allen RPM-Paketen, die die letzten 30 Jahre installiert...

EWCH 01. Jul 2021

damit bekommt man alle Schluessel angezeigt. Hier sind das : # rpm -q gpg-pubkey --qf...



Aktuell auf der Startseite von Golem.de
Chrome OS Flex
Das Apple Chromebook

Ein zehn Jahre altes Notebook lässt sich mit Chrome OS Flex wieder flott machen. Wir haben Googles Betriebssystem ausprobiert und waren begeistert.
Ein Erfahrungsbericht von Martin Wolf

Chrome OS Flex: Das Apple Chromebook
Artikel
  1. Ransomware: Universität erzielt durch Lösegeldrückzahlung Gewinn
    Ransomware
    Universität erzielt durch Lösegeldrückzahlung Gewinn

    Die Universität Maastricht wurde nach einem Ransomware-Angriff erpresst und zahlte. Krypto-Kursschwankungen führten nun zu einem finanziellen Gewinn.

  2. CPU: RISC-V-Laptop soll native Entwicklung ermöglichen
    CPU
    RISC-V-Laptop soll native Entwicklung ermöglichen

    Der erste Laptop mit RISC-V soll noch in diesem Jahr verfügbar sein und eine Quadcore-CPU samt 16 GByte RAM bieten.

  3. Nvidia Ada: Geforce RTX 4090 soll Performance verdoppeln
    Nvidia Ada
    Geforce RTX 4090 soll Performance verdoppeln

    Über ein Drittel mehr Takt als eine Geforce RTX 3090 Ti: Bei der Ada-Generation soll Nvidia viele Shader bei mehr als 2,5 GHz nutzen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • MSI RTX 3080 12GB günstig wie nie: 959€ • AMD Ryzen 7 günstig wie nie: 259€ • Der beste 2.000€-Gaming-PC • Cooler Master 34" UWQHD 144 Hz günstig wie nie: 467,85€ • Asus RX 6900 XT OC günstig wie nie: 1.049€ • Mindstar (Gigabyte RTX 3060 399€) • Galaxy Watch3 45 mm 119€ [Werbung]
    •  /