Original-URL des Artikels: https://www.golem.de/news/snap-ubuntus-neues-paketformat-ist-unter-x11-unsicher-1604-120503.html    Veröffentlicht: 22.04.2016 15:36    Kurz-URL: https://glm.io/120503

Snap

Ubuntus neues Paketformat ist unter X11 unsicher

Das neue Snap-Paketformat von Ubuntu soll nicht nur Installationen und Updates vereinfachen, sondern auch Anwendungen besser absichern. Unter X11 sei letzteres aber ein falsches Versprechen, sagt Sicherheitsforscher Matthew Garrett. Überraschend ist das nicht.

Eine der für Sponsor Canonical wohl wichtigsten neuen Funktionen im dem gestern veröffentlichten Ubuntu 16.04 alias Xenial Xerus ist das neue Paketformat Snap und die dazugehörigen Werkzeuge. Mit Snap soll es einfacher werden Anwendungen zu installieren und unabhängig vom Betriebssystem zu aktualisieren. Die mit den Snap-Anwendungen versprochenen Sicherheitsvorteile gelten allerdings nicht für das X11-Protokoll, worauf der Sicherheitsforscher Matthew Garrett in seinem Blog hinweist.

Der Entwickler schreibt, dass die Snap-Pakete durch starke Sicherheitsrichtlinien voneinander isoliert seien, was eine "echte Verbesserung" sei. Das gelte jedoch nur für die Verwendung mit dem Displayserver Mir. Letzterer steht derzeit für die mobile Version von Ubuntu bereit und lässt sich auf dem Desktop lediglich sehr eingeschränkt testen. Bei der Nutzung von X11 sei das Sicherheitsversprechen dagegen "schrecklich irreführend".

Der Grund dafür liegt in dem veralteten X11-Protokoll, das etwa keinerlei Regelungen dafür enthält, die Vertrauenswürdigkeit von Software festzulegen, sodass theoretisch jede Anwendung als Keylogger die Eingaben in einem anderen Programm mitschneiden könnte. Dass dies auch für Snap-Pakete gilt, will Garrett mit einem eigenen Proof-of-Concept beweisen. Solange der Ubuntu-Desktop also X11 verwende, bietet das Snap-Format nur "wenig sinnvolle Sicherheit".

Als Lösung für die fundamentalen Sicherheitsprobleme mit dem X11-Protokoll dienen die designierten Nachfolger Wayland sowie das in Ubuntu genutzte Mir. Ähnlich wie die Snap-Pakete mit Mir unter Ubuntu sollen damit auch die ursprünglich von Gnome initiierten Xdg-Apps unter Wayland entsprechende Sicherheitsvorteile für die Nutzer bringen.  (sg)


Verwandte Artikel:
Ubuntu: KDE-Plasma-Desktop und -Apps laufen einfach als Snaps   
(17.12.2018, https://glm.io/138289 )
Ubuntu-Sicherheitslücke: Snap und Root!   
(15.02.2019, https://glm.io/139430 )
Xenial Xerus: Ubuntu will weiter mit Alleingängen punkten   
(21.04.2016, https://glm.io/120480 )
Xenial Xerus: Ubuntu 16.04 verzichtet auf proprietären AMD-Treiber   
(10.03.2016, https://glm.io/119679 )
Xenial Xerus: Ubuntu 16.04 wird eigenes Software Center ersetzen   
(06.11.2015, https://glm.io/117329 )

© 1997–2019 Golem.de, https://www.golem.de/