Im Gegensatz zu vielen anderen Distributionen unterteilt Ubuntu seine Paketquellen in verschiedene Kategorien, die unterschiedlichen Supportversprechen unterliegen. Die Kritik daran ist ebenso alt wie unangebracht. Denn faktisch veröffentlicht Ubuntu damit nur eine Praxis, die bei anderen Distributionen (z. B. Debian) auch üblich ist. Keine Distribution pflegt ihre Paketquellen perfekt!

Lediglich das Ausmaß des Problems unterscheidet sich graduell zwischen den Distributionen. Will man sich das ganze Ausmaß der Misere bei Ubuntu mal angucken lohnt sich ein Blick in den CVE-Tracker für Ubuntu Universe. Die Version 14.04 – die immerhin noch ein Jahr Unterstützung erhält – schillert in allen Farben, für 16.04 sieht es auch nicht besser aus.

Natürlich eignet sich nicht jede Sicherheitslücke gleich zur kompletten Übernahme eines Systems. Nicht jedes Problem hat gleich das Potenzial zur Katastrophe erklärt zu werden. Nichtsdestotrotz wurde eine Sicherheitslücke nicht durch Zufall als solche klassifiziert, sie stellt somit erst einmal ein Problem dar. Man kann schließlich nicht vom normalen Anwender verlangen, dass er jede Sicherheitslücke auf das persönliche Risikopotenzial abprüft.

Die Durchsicht der Liste zeigt auch, dass es innerhalb von Universe durchaus Abstufungen gibt. Manche Pakete sind ganz gut gepflegt oder haben generell wenige Mängel. Andere sind so löchrig wie ein Schweizer Käse.

Insgesamt zeigt sich aber mal wieder, dass man dem Inhalt der Paketquellen nicht vertrauen kann. Je älter eine LTS-Version, desto schlimmer das Problem.

In einem etwas allgemeiner gehaltenen Beitrag (siehe: Paketquellen – Die Illusion von Sicherheit?) schrieb ich:

Zudem sollte man sich nicht zu sicher fühlen. Die Linux-Distributionen sitzen auf riesigen ungelösten Baustellen. Bei einer höheren Verbreitung haben viele davon das Potenzial einem um die Ohren zu fliegen. Daran sollte man denken, wenn man mal wieder die vermeintlich überlegene Sicherheitsarchitektur von Linux anpreist.

Mehr muss man dazu kaum sagen.


Bilder:

Einleitungs- und Beitragsbild von Tumisu via pixabay

Moin, meine Name ist Gerrit und ich betreibe diesen Blog seit 2014. Der Schutz der digitalen Identität, die einen immer größeren Raum unseres Ichs einnimmt ist mir ein Herzensanliegen, das ich versuche tagtäglich im Spannungsfeld digitaler Teilhabe und Sicherheit umzusetzen. Die Tipps, Anleitungen, Kommentare und Gedanken hier entspringen den alltäglichen Erfahrungen.

Schreiben Sie eine Ergänzung

Ergänzungen dienen der Diskussion über die Inhalte des Artikels. Nachfragen, Anmerkungen und Ergänzungen sind dezidiert erwünscht. Ergänzungen werden vor der Veröffentlichung moderiert. Wir behalten uns vor Kommentare ohne inhaltlichen Bezug oder abseitige Diskussionen nicht zu veröffentlichen.

Bitte geben Sie Ihre Ergänzung ein!
Bitte geben Sie hier Ihren Namen ein