5 דרכים להורדת תוכנה בבטחה בלינוקס

זו תפיסה מוטעית נפוצה שאין וירוסים בלינוקס. העובדה היא: הם אכן קיימים. למרות שאפשר לבדוק את קובצי התוכנה שלך כדי למצוא את הקובץ הנגוע, זה עלול לקחת חודשים לפני שתבין שמערכת הלינוקס שלך נפגעה.

אמון הוא דבר עדין, ואתה לא צריך פשוט לתת אותו בקלות. זה שמשהו סופק באינטרנט לא אומר שאתה יכול לסמוך עליו. עליך לנקוט בצעדים מסוימים כדי להגן על מערכת ההפעלה שלך ועל עצמך.

הסיכונים הביטחוניים של רשלנות נעים בין גניבת מידע וקבלת נגיפים, לבין גישה של משתמשים לא מורשים למכונת הלינוקס שלך. לכן, מאמר זה מפרט דרכים מאובטחות להורדת תוכנה ב- Linux.

1. בדוק את ערך Hash

ערך hash (או בדיקת בדיקה) הוא מחרוזת אלפא-נומרית של תווים המיוצרים כאשר נתונים מסוימים מועברים דרך פונקציה קריפטוגרפית. זה משמש חתימה דיגיטלית לקובץ שלך.

כדי להבטיח שלא הורדת קובץ פגום, מספר אתרי קוד פתוח בדרך כלל מספקים חשיש צפוי שעליך לקבל לאחר שתסיים להוריד את הקובץ. בואו ניקח דוגמא.

נניח שאתה מוריד את Tomcat 10, שהוא שרת אינטרנט פופולרי. ערך החשיש עבור גרסת 10c.6 של Tomcat הוא:

3d39b086b6fec86e354aa4837b1b55e6c16bfd5ec985a82a5dd71f928e3fab5370b2964a

5a1098cfe05ca63d031f198773b18b1f8c7c6cdee6c90aa0644fb2f2 * apache-tomcat-10.0.6.tar.gz

החלק * apache-tomcat-10.0.6.tar.gz הוא רק שם הקובץ. הערכים מ 3d39... 2f2 כוללים את ערך החשיש.

כדי לקבל ערך זה, עליך לעבור לספריה בה הורדת את קובץ הארכיון ולהפעיל את הפקודה הבאה:

sha512sum apache-tomcat-10.0.6.tar.gz

אתה אמור לקבל את ערך החשיש שהוזכר לעיל. אם אתה מקבל ערך אחר, המשמעות היא שההורדה שלך פגומה ועליך למחוק אותו מיד.

בדוגמה מסוימת זו, פונקציית הגיבוב בה השתמשנו היא sha512. הסיבה לכך היא שזו הפונקציה שקרן אפאצ'י טומקט החליטה להשתמש בה כדי להגן על שלמות ההורדות שלהם.

אתרים אחרים עשויים להשתמש בפונקציות hashing שונות, כגון הפונקציות הפופולריות sha256 ו- sha384.

במקרה שהאתר משתמש בפונקציות hashing אחרות, כל שעליך לעשות הוא להחליף את שם הפקודה בפונקציית hashing.

שם הקובץ להורדה
sha384sum שם הקובץ להורדה

ראוי גם לציין שהקובץ בו השתמשנו הוא a זֶפֶת קובץ (כלומר קובץ ארכיון). אבל מה אם הורדת במקום זאת קובץ בינארי? החדשות הטובות הן שבלינוקס תקבלו את אותה תוצאת חשיש ללא קשר לסוג הקובץ.

מצב ברירת המחדל של פונקציות ה- Hash ב- Linux הוא טקסט. לכן, כדי לעבור למצב בינארי, השתמש ב- -ב אפשרות כדלקמן:

שם הקובץ sha256sum

2. השתמש באתרים בטוחים

השגת ההורדות מאתרים בטוחים מפחיתה מאוד את הסיכון לקבלת תוכנות זדוניות. ככלל אצבע, עליך תמיד להשתמש באתר ההורדות הרשמי של התוכנה שברצונך להוריד. אם מסיבה כלשהי אינך מצליח למצוא את האתר הרשמי, שקול להשתמש באתר מהימן.

הורד אתרים כמו FileHorse ו SourceForge הם דוגמאות לאתרים מהימנים שאתה יכול לבקר בהם. אתרים אלה קיימים זמן רב וזכו לאמון המשתמשים שלהם.

3. הידר בעצמך את קוד המקור

אחת הסיבות הגדולות ביותר לכך שקהילת הקוד הפתוח קיימת היא שאינך צריך לשים אמון בחברות תוכנה גדולות ולקוות שהן לא עושות שום דבר לא מורשה במחשב האישי שלך.

כשאתה מוריד קבצים בינאריים, נתת כוח כלשהו למי שחיבר את הקוד. אך אם יש לך גישה לקוד המקור, תוכל להחזיר את הכוח בידיים שלך.

באמצעות קוד פתוח, אתה יכול לוודא באופן עצמאי שהתוכנה עושה בדיוק את מה שהמחבר שלה אומר. החיסרון היחיד בכך הוא שאתה צריך להיות בעל כישורי תכנות מעל הממוצע. יהיה עליך ללמוד היטב גם בתחום הנושא הנתון.

אתה יכול גם להחליט להיות אסטרטגי ולבדוק רק באמצעות קבצי מפתח מעניינים.

לדוגמא, נניח שיש לך קצת קוד מקור C משובט ממאגר GitHub. להלן כיצד תרכיב אותו בעצמך.

הפעל את הפקודה למטה כדי להתקין את ה- חיוני לבנות חֲבִילָה. החבילה מכילה כלים חשובים הנחוצים בעת בניית תוכנה על לינוקס.

sudo apt-get install build-essential

כעת הידור קוד ה- C באמצעות מהדר ה- gcc.

שם התוכנית gcc. c-שם התוכנית

לאחר ההידור תוכלו להפעיל את התוכנית על ידי הקלדה:

./ תוכנית שם

4. השתמש במנהל חבילות רשמי

הדרך הקלה ביותר להתקין, לעדכן ולהסיר תוכנות היא באמצעות מנהל חבילות. ישנם מספר כאלה כגון פקמן, dpkg, DNF ו- APT. מנהלי חבילות עובדים ישירות עם מאגרי תוכנה רשמיים וחנויות אפליקציות.

מנהלי חבילות עושים עבורכם הרבה הרמות כבדות. הם מטפלים בפעולות הסטנדרטיות כמו ניהול התלות הדרושה לתוכנה, הבטחת תקינות האותנטיות של ההורדה וניהול גרסאות.

דבר טוב נוסף הוא שההפצה שלך בדרך כלל נשלחת עם מנהל חבילה המותקן מראש. לדוגמא, דביאן 10 מגיע עם APT ומערכות מבוססות Arch מגיעות עם pacman.

5. מחקר אישי

עולם התוכנה הוא מקום משתנה והתעדכנות במגמות האבטחה היא היבט מרכזי בשמירה על עצמך. ישנן מספר אפשרויות התקנה שתוכלו לבחור בהן בתרחישים שונים. לדוגמא, התקנת תוכנה במכונה וירטואלית או שימוש במיכל אפליקציות.

מיכל אפליקציות הוא מגמה מרגשת במיוחד מכיוון שהוא מבטיח שהאפליקציות שלכם יפעלו באותו אופן בסביבות ביצוע שונות.

היכולת לבודד את ביצוע ליבת התוכנה ואת התלות מהתשתית הבסיסית מספקת אבטחה חסרת תקדים. לדוגמה, אתה צריך לדאוג רק לאמת את אבטחת התלות שלך פעם אחת ואז לצפות שזה יהדהד בסביבות שונות.

זה גם נוהג טוב עבורך לבדוק סקירות תוכנה ולעקוב אחר דיונים ב- GitHub. ביקורות תוכנה נותנות לך תמונה טובה למה אתה יכול לצפות לאחר הורדה, התנהגות בלתי צפויה שהמשתמשים עשויים להבחין בה והמלצותיהם.

דיונים ב- GitHub יכולים גם לגרום לך להיות מודעים לאילו אמצעים יזומים עליך לנקוט לאחר / במהלך התקנת התוכנה. אתה יכול גם לקבל שלל שיקולי אבטחה אחרים שאינם כלולים בתיעוד הרשמי.

עליך לשים לב למזלגות עם תורמים רבים ב- GitHub. יתכנו שינויים בפרוטוקול, וחוסר היכולת שלך להתעדכן בעדכונים אלה יפגע באבטחה שלך.

המלצות ושיטות עבודה טובות

תמיד נוהג לעדכן תחילה את חבילות המערכת ואת רשימת המאגר לפני הורדת תוכנה מרכזית כלשהי. כל מנהל חבילות, pacman ב- Arch Linux למשל, מציע לך אפשרות להתקין, לעדכן ולהסיר חבילות.

לאחר שהבטחתם שהחבילות המותקנות מעודכנות, תוכלו להמשיך ולהוריד את התוכנה הנחוצה לכם. במידת האפשר, אם אתה יכול להוריד חבילה באמצעות מנהל החבילות שלך, אז עשה זאת. זוהי הדרך הקלה והבטוחה ביותר להתקנה ועדכון של תוכנות בלינוקס.

כיצד לעדכן אחד או כל האפליקציות ב- Linux בשניות

עדכוני אפליקציות קבועים חשובים לכל מערכת לינוקס. כך תוכל לעדכן אפליקציה אחת או את כל האפליקציות ב- Linux בקלות.

קרא הבא

על הסופר