É seguro executar aplicativos que não precisam de instalação?

15

Eu tenho o Ubuntu 14.04 LTS

Eu baixei o telegrama aqui . O arquivo foi compactado com a extensão tar.xz .

Eu descompactei este arquivo e executei o arquivo Telegram (sem extensão) usando um usuário comum (não administrador). O aplicativo começou e funcionou bem.

Mas por que o Ubuntu não me diz: "Não execute este aplicativo, porque não é seguro"?

É realmente seguro executar tais aplicativos, que não precisam de instalação, que são executados facilmente quando são clicados duas vezes?

E como são chamados esses aplicativos? Que nome eles têm? "Portátil"?

    
por D. Ktt 19.03.2018 / 09:18

2 respostas

26

O arquivo é um executável binário. Ele já foi compilado de seu código-fonte em uma forma que sua CPU pode executar e você só precisa pedir que ele seja executado para que ele seja executado.

O software que você baixa quando você executa um gerenciador de pacotes como o APT em geral também inclui binários pré-compilados, então não há nada de peculiar nesse tipo de arquivo. O empacotamento dos arquivos faz coisas úteis, como dizer ao gerenciador de pacotes em que, no sistema de arquivos, os binários precisam ser copiados e fornece scripts que garantem que o programa possa localizar quaisquer bibliotecas compartilhadas e outros programas dos quais depende e o ambiente que ele requer é configurado, se necessário.

O motivo pelo qual você pode considerar este programa inseguro é que ele vem de uma fonte desconhecida, enquanto que os pacotes dos repositórios do Ubuntu são de uma fonte conhecida e protegidos por um processo de verificação de assinaturas que garante que eles não foram adulterados no caminho para o sistema.

Basicamente, baixar e executar executáveis de fontes desconhecidas é inseguro, a menos que você confie no provedor e possa verificar se o download chegou a você intacto. Para o último fim, os distribuidores podem fornecer algum tipo de soma de verificação que você pode usar para verificar se o arquivo que eles carregaram tem o mesmo conteúdo que o que você baixou.

Uma coisa encorajadora sobre o Telegram em particular é que ele é de código aberto:

This software is available under GPL v3 license.
Source code is available on GitHub.

Isso significa que qualquer pessoa pode ler o código-fonte do programa para ter certeza de que ele não fará nada indesejável ao seu sistema. Na prática, ler o código-fonte para garantir que o programa seja seguro não é algo que a maioria dos usuários finais deseja gastar tempo fazendo ou aprendendo como fazer. Ainda assim, tenho alguma fé na comunidade envolvida para encontrar vulnerabilidades de segurança e bugs no software de código aberto.

Por que o Ubuntu não reclama que o programa é inseguro, bem, importunar o usuário sobre suas decisões questionáveis não é a tradição do Linux. Um sistema Linux é tipicamente projetado para fazer o que você pede, e nada mais. O usuário é considerado responsável por ter conhecimento de questões de segurança e outras armadilhas potenciais e raramente será avisado de que está prestes a comprometer ou danificar seu sistema.

Eu uso um PPA para o Telegram veja esta resposta para todas as maneiras de instalar o Telegram . Os PPAs usam o mecanismo de verificação de assinaturas do APT, mas eles ainda têm alguns riscos porque você está pondo sua confiança no mantenedor. Os PPAs fornecem alguma conveniência, atualizando quando você executa atualizações (se o mantenedor atualizar o PPA), informando ao gerente de pacotes que você tem o software e assim por diante.

    
por Zanna 19.03.2018 / 10:00
11

Software instalado localmente

Software, baixado (ou copiado localmente de qualquer forma) e executado localmente (do usuário) pode fazer qualquer coisa para a qual você não precise de permissões de administrador. Isso inclui remover seus arquivos (pessoais), que a maioria de nós consideraria prejudiciais.

Se você estiver conectado a qualquer coisa, e o software for executado como seu usuário, idem, mas também pense em scripts ou comandos que você possa ter adicionado ao arquivo sudoers.

No caso de você ter uma conta de administrador, e o software solicitar sua senha e acidentalmente fornecê-la, tudo poderá acontecer.

Aviso?

Sem fornecer sua senha, o possível dano será limitado à sua própria conta. Você não gostaria que o Ubuntu o avisasse para cada comando executado, deliberadamente ou não.

É por isso que você simplesmente não deve executar código de fontes que não sabe se pode confiar nelas, a menos que você entenda completamente o código.

    
por Jacob Vlijm 19.03.2018 / 09:45