La récente version d'Ubuntu 16.04 LTS a apporté un certain nombre de nouvelles fonctionnalités, dont l'une que nous avons couverte était l'inclusion de ZFS. Une autre fonctionnalité dont beaucoup de gens ont parlé est le format de package Snap. Mais selon l'un des développeurs de CoreOS, les packages Snap ne sont pas aussi sûrs que l'affirmation.
Qu'est-ce que les packages Snap ?
Les packages Snap sont inspirés des conteneurs. Ce nouveau format de package permet aux développeurs de publier des mises à jour pour les applications exécutées sur les versions Ubuntu Long-Term-Support (LTS). Cela donne aux utilisateurs la possibilité d'exécuter un système d'exploitation stable, mais de garder leurs applications à jour. Ceci est accompli en incluant toutes les dépendances de l'application dans le même package. Cela empêche le programme de se casser lorsqu'une dépendance est mise à jour.
Un autre avantage des packages Snap est que les applications sont isolées du reste du système. Cela signifie que si vous modifiez quelque chose avec un package Snap, cela n'affectera pas le reste du système. Cela empêche également d'autres applications d'accéder à vos informations privées, ce qui rend plus difficile pour les pirates d'obtenir vos données.
Mais attendez…
Selon Matthew Garrett, Snap ne peut pas tout à fait tenir sa dernière promesse. Garret travaille en tant que développeur de noyau Linux et développeur de sécurité chez CoreOS, il devrait donc savoir de quoi il parle.
Selon Garret, "Tout package Snap que vous installez est tout à fait capable de copier toutes vos données privées là où il le souhaite avec très peu de difficulté."
ZDnet a signalé :
"Pour prouver son point de vue, il a construit un package d'attaque de preuve de concept dans Snap, qui montre d'abord un ours en peluche" adorable ", puis enregistre les frappes de Firefox et pourrait être utilisé pour voler des clés SSH privées. Le PoC injecte en fait une commande inoffensive, mais pourrait être modifié pour inclure une session cURL pour voler les clés SSH. »
Mais attendez encore un peu…
Est-ce vraiment que Snap a des failles de sécurité ? Apparemment pas.
Garret lui-même a déclaré que ce problème était causé par le système de fenêtrage X11 et n'affectait pas les appareils mobiles utilisant Mir. Donc, c'est le défaut de X11 qui le fait. Ce n'est pas Snap lui-même.
la façon dont X11 fait confiance aux applications est un risque de sécurité bien connu. Snap ne change pas le modèle de confiance de X11, donc le fait que les applications puissent voir ce que font les autres applications n'est pas une faiblesse du nouveau format de package, mais plutôt celle de X11.
Garrett essaie simplement de montrer que lorsque Canonical fait l'éloge de Snap et de sa sécurité ; Les applications Snap ne sont pas entièrement en bac à sable. Ils sont aussi risqués que n'importe quel autre binaire.
Gardant à l'esprit qu'Ubuntu 16.04 utilise toujours l'affichage X11, et non Mir, le téléchargement et l'installation de packages Snap à partir de sources inconnues peuvent être dangereux. Mais c'est le cas avec n'importe quel autre emballage, n'est-ce pas ?
Dans les articles connexes, vous devriez découvrir comment utiliser les packages Snap dans Ubuntu 16.04. Et faites-nous part de votre opinion sur Snap et sa sécurité.