El lanzamiento reciente de Ubuntu 16.04 LTS ha traído una serie de características nuevas, una de las cuales cubrimos fue la inclusión de ZFS. Otra característica de la que mucha gente ha estado hablando es el formato del paquete Snap. Pero según uno de los desarrolladores de CoreOS, los paquetes Snap no son tan seguros como se afirma.
¿Qué son los paquetes Snap?
Los paquetes Snap están inspirados en los contenedores. Este nuevo formato de paquete permite a los desarrolladores publicar actualizaciones para aplicaciones que se ejecutan en las versiones de soporte a largo plazo (LTS) de Ubuntu. Esto brinda a los usuarios la opción de ejecutar un sistema operativo estable, pero mantener sus aplicaciones actualizadas. Esto se logra al incluir todas las dependencias de la aplicación en el mismo paquete. Esto evita que el programa se rompa cuando se actualiza una dependencia.
Otra ventaja de los paquetes Snap es que las aplicaciones están aisladas del resto del sistema. Esto significa que si cambia algo con un paquete Snap, no afectará al resto del sistema. También evita que otras aplicaciones accedan a su información privada, lo que dificulta que los piratas informáticos obtengan sus datos.
Pero espera...
Según Matthew Garrett, Snap no puede cumplir la última promesa. Garret trabaja como desarrollador de kernel de Linux y desarrollador de seguridad en CoreOS, por lo que debe saber de lo que está hablando.
Según Garret, "Cualquier paquete de Snap que instales es completamente capaz de copiar todos tus datos privados donde quiera con muy poca dificultad".
ZDnet informó:
“Para probar su punto, creó un paquete de ataque de prueba de concepto en Snap, que primero muestra un osito de peluche “adorable” y luego registra las pulsaciones de teclas de Firefox y podría usarse para robar claves SSH privadas. El PoC en realidad inyecta un comando inofensivo, pero podría modificarse para incluir una sesión cURL para robar claves SSH”.
Pero espera un poco más…
¿Es realmente que Snap tiene fallas de seguridad? Aparentemente no es así.
El mismo Garret dijo que este problema fue causado por el sistema de ventanas X11 y no afectó a los dispositivos móviles que usan Mir. Entonces, es la falla en X11 la que lo hace. No es Snap en sí mismo.
la forma en que X11 confía en las aplicaciones es un riesgo de seguridad bien conocido. Snap no cambia el modelo de confianza de X11, por lo que el hecho de que las aplicaciones puedan ver lo que hacen otras aplicaciones no es una debilidad en el nuevo formato de paquete, sino en X11.
Garrett en realidad está tratando de demostrar que cuando Canonical es todo elogios para Snap y su seguridad; Las aplicaciones Snap no están completamente protegidas. Son tan riesgosos como cualquier otro binario.
Teniendo en cuenta que Ubuntu 16.04 todavía usa la pantalla X11, y no Mir, la descarga e instalación de paquetes Snap de fuentes desconocidas puede ser perjudicial. Pero ese es el caso con cualquier otro empaque, ¿no es así?
En artículos relacionados, debe consultar cómo usar los paquetes Snap en Ubuntu 16.04. Y háganos saber sus puntos de vista sobre Snap y su seguridad.