Software, Support, Documentation
|
|
News,
Internal,
Projects,
Home Software, Support, Documentation |
>>>>> "SH" == Soonmyung Hong <sonnet@teatime.org> writes:
SH> 그리고 저는 조금 다른 의문을 제기하고 싶은데,
SH> 공격자가 해당 port를 자신의 것으로 대체하면 공격이 가능하지 않습니까?
SH> (cvs로 가져오는 소스의 경우도 마찬가지라고 생각됩니다.)
SH> 체크섬 자체는 포트와 원본 프로그램(소스/바이너리)가 일치하는지를 확인하
SH> 는데 사용될 뿐 포트가 변조되지 않았는가를 보증하는데는 사용되지 않는 것
SH> 아닌가요?
SH> entity authentication과 같은 방법으로 port의 위조 여부를 검사하는 기능
SH> 이 이미 있는지가 궁금합니다. 없다면 장기적으로 봐서 만들어 넣어야 할
SH> 것 같은데요.
rpm과 같은 경우는 pgp/gpg 사인을 하기 때문에 패키지 자체를 검증할 수
있죠. FreeBSD 의 경우 그런 방법을 ports나 packages에 대해 제공하고
있지는 않습니다.
궁극적으로는 필요한 기능이 아닌가 봅니다만, rpm의 경우 많은 사람들이
독립적으로 만들고 있어서 이것이 redhat에서 진짜 만든 것인지(또는
잘 알려진 사람이 작성한 것인지)는 인증을 통해서만이 알 수가
있겠죠. FreeBSD의 경우 FreeBSD 공식 미러 사이트(FTP나 CVSup)에서 받은
경우라면 - 소스가 안전하다는 가정 하에 - 괜찮다고 보시면 됩니다. 가령
ftp.kr.freebsd.org 에서 포트를 받았는데, ftp.kr.freebsd.org 의
관리자가 포트를 위조할 수는 있겠지만 그정도라면 세상에 믿을놈 하나도
없게 되는게 아닌가 모르겠군요. :-P
--
+++ Any opinions in this posting are my own and not those of my employers +++
CHOI Junho <cjh@FreeBSD.ORG> <cjh@kr.FreeBSD.ORG>
KFUG <http://www.kr.FreeBSD.org> Web Data Bank <http://www.wdb.co.kr>
FreeBSD, GNU/Linux Developer http://www.kr.FreeBSD.org/~cjh
--
To Unsubscribe: send mail to majordomo@kr.FreeBSD.org
with "unsubscribe chat" in the BODY of the message
|
Copyright © 1998-2005 Korea FreeBSD Users Group. All rights reserved. webmaster at kr.FreeBSD.org $Date: 2002/03/26 13:18:15 $ |
|