Fragen für den Anfang

[BenutzerGa4gooPh]

In der Community werden offen Repos empfohlen, bei denen nicht mal erkennbar ist, wo der Firmensitz ist, in welchem Land, wer verantwortlicher CEO ist, welches Geschäftsziel verfolgt wird. Und als Krönung des ganzen verteilen die dann Software als idiotensichere fertige ppa-Pakete, die man alternativ auch ganz legal als deb-package beim überall bekannten Hertsteller runterladen könnte. Ohne Kontrolle und Kenntnis darüber, ob das Paket überhaupt noch dem Original entspricht.

Upps. Poste bitte mal einen (*) Link.

Und mir ist nicht bekannt, dass Fremd-PPAs empfohlen werden. Aber gut, bei ubuntuusers.de habe ich schon lange nicht mehr geschaut.

Ich bin insofern "guter Hoffnung": Community ≠ Distributor/Maintainer. Aber gut, hier im Forum geht man mit entsprechenden "Anliegen" sehr kritisch um. Vllt. bin ich dadurch blauäugig - aber nicht blond.

Edit:
(*) Signifikant wären mehrere ... trotzdem nicht repräsentativ. Um eine Distribution zu kritisieren, sind Auesserungen unbedarfter Nutzer der falsche Weg.

[thoerb]

Hier wird eindeutig vor Fremdquellen gewarnt: https://wiki.ubuntuusers.de/Paketquelle ... alten/PPA/

Nachträglich hinzugefügt: https://ikhaya.ubuntuusers.de/2006/11/2 ... etquellen/

[BenutzerGa4gooPh]

Yepp: Manuals und Tutorials könnte/sollte man vorrangig bewerten. Und sudo-Diskussionen ohne statistischen Nachweis der "Gefährlichkeit" (Anzahl kompromittierter Desktop-Systeme durch sudo-Nutzung) werden auch langweilig. Root-Server sind ein anderes Paar Schuhe - oder besser Highheels.

Die ubuntuusers.de werden wohl auch mehr mit ihren grafischen Anwendungen arbeiten und selten administrieren, "sudoen". Ausnahmen soll es geben.

[MartinV]

Bevor die Diskussion ausartet und dem Threadersteller nicht mehr dienlich ist, empfehle ich, einfach nur zwei Punkte festzuhalten:
1.) Fremdquellen sind ein Risiko.
2.) In der Ubuntu-Community wird mit der Sicherheit von Fremdquellen laxer umgegangen als in der debian-Community.

[Habst]

Reicht eine Standard Installation von Debian aus oder muss man noch etwas einrichten?

Ich habe Debian verschlüsselt installiert und werde die Passphrase auch nach dem Ruhezustand abgefragt. Ist das so gewollt?

[TomL]

Upps. Poste bitte mal einen (*) Link.

Such mal bei ubuntuusers oder mint nach webupdeight oder webupd8 oder webupdeightteam/webupd8team oder so. Ich kriege die genaue Schreibweise nicht mehr auf die Reihe. Das ist eine etablierte, dort bekannte und häufig empfohlene ppa. Das Problem ist, das stellt sich als Blog dar, aber es ist nicht herauszufinden, in welchem Land die sitzen, ob das privat oder kommerziell ist, wer der 'Boss' oder für das alles verantwortlich ist. Nach ein, zwei, drei Blicken war ich der Meinung, dass von da auch nix eigenes kommt, nur Pakete anderer Hersteller neu gepackt. Ein Schelm wer böses dabei denkt. Das ist - wie ich das festgestellt habe- völlig anonym. Wieso verteilen die sowieso schon existierende Pakete anderer Hersteller? Die 'kontrollieren' über ihren Paket-Update/Upgrade-Stream vermutlich 10000de ubuntu/mint-systeme und niemand weiss, wer das ist und was die Pakete tatsächlich enthalten.

Und du fragst immer nach statistischen Hinweisen, dass sudo Sicherheitslücken hat. Nein, hat es nicht, das ist soooo alt, dass es imho fehlerfrei ist. Das Problem ist anders gelagert, als man oberflächlich betrachtet wahrnimmt. In der bei U und M verwendeten Standard-sudo-konfiguration kann sich wirklich jede Software auf einfachste Weise völlig unbemerkt root-rechte verschaffen. Sudo hat keine Probleme, sudo ist das Problem. Und das in Verbindung mit einem anonymisierten Blog, der hier allerdings nur stellvertretend für die gesamte Denkweise dort genannt wird.... na klasse....

Als ich thoerb's zweiten Link gesehen habe, habe ich fast laut losgelacht. Genau auf diesem Weg war ich zu Anfang meiner Linux-Laufbahn nach den Ratschlägen zu Ubuntu als erste Linux-Installation. Rückblickend und ein wenig durch Debian und dieses Forum geschult sehe ich mich heute und bezogen auf damals als ubuntuopfer. Ich würde heute weder Ubuntu noch Mint mit ruhigen Gewissen empfehlen.

J.m.2.c.

[TomL]

Reicht eine Standard Installation von Debian aus oder muss man noch etwas einrichten?

Ich habe Debian verschlüsselt installiert und werde die Passphrase auch nach dem Ruhezustand abgefragt. Ist das so gewollt?

Warum verschlüsselt? Hat jemand in deiner Abwesenheit Zugriff auf den Rechner, was du unterbinden möchtest? Wenns darum geht, ist die Verschlüsselung sicher sinnvoll. Wenns jedoch nur um den stationären Familien-PC geht, dann halte ich die Verschlüsselung für eher unnötig. Wenn der PC ausgeschaltet ist, ist er eh sicher. Und wenn ihn ein Familienmitglied für irgend eine Arbeit einschaltet, isser eh entschlüsselt. Für mich macht Verschlüsselung nur Sinn, wenn ich unerlaubten Zugriff in meiner Abwesenheit unterbinden will. War das dein Ziel? Oder vielleicht doch leicht fehlgeleitete Vorstellungen?

[scientific]

Ein Punkt für Debian für mich ist, es hat wohl das umfangreichste Repo.
Nicht immer die aktuellen Versionen... Aber die meiste Auswahl.

Momentan hab ich zwei Programne, die ich selbrer aus den Originalquellen kompilliere (gimp 2.9 und remmina next), da hier beide Versionen sogar in Debian experimental zu alt für mich sind...

Aber es ist bei Ubuntu wirklich arg, was da in den Foren und auch HowTos an PPAs empfohlen wird.

Ich meine, sogar mal ein ppa für xterm und für Chromium empfohlen gesehen zu haben...

Ich muss den Befürchtungen von @TomL vollinhaltlich zustimmen.

Lg scientific

[BenutzerGa4gooPh]

Such mal bei ubuntuusers oder mint nach webupdeight oder webupd8 oder webupdeightteam/webupd8team oder so. Ich kriege die genaue Schreibweise nicht mehr auf die Reihe. Das ist eine etablierte, dort bekannte und häufig empfohlene ppa. Das Problem ist, das stellt sich als Blog dar, aber es ist nicht herauszufinden, in welchem Land die sitzen, ob das privat oder kommerziell ist, wer der 'Boss' oder für das alles verantwortlich ist.

Hier der Link, es lesen ja Interessierte mit: http://ppa.launchpad.net/webupd8team/brackets/ubuntu/
Haben viele linuxmintusers.de in ihren Paketquellen aktiviert. Erkenntnis per Forensuche dort, manche posten ihre ppas bei Problemen.
Beispielhaft: https://www.linuxmintusers.de/index.php ... #msg614654
https://www.linuxmintusers.de/index.php ... #msg582948 (Ausgabe inxi -Fzr)
Original: https://wiki.ubuntuusers.de/sources.list/
Diskussion lieber nicht oder nur kurz in diesem Thread, weitere Recherchen stehen jedem frei. @MartinV hatte mit seiner diplomatischen Mahnung sicher Recht. Ist wahrscheinlich Friedensrichter.

Edit:
Homepage und Inhalte des Repos: http://www.webupd8.org/p/about.html

[tegula]

Reicht eine Standard Installation von Debian aus oder muss man noch etwas einrichten?
[...]

Wenn du jetzt schon zufrieden bist: Nein.

Zum Teil wird für Hardwarebeschleunigte Grafik (2D und 3D) und manche WLAN-Karten zusätzlich unfreie ("closed source") Firmware benötigt, die bei Debian im Gegensatz zu anderen Distributionen nicht mitinstalliert wird (firmware-linux-nonfree).
Kontrollieren, ob die 3D-Beschleunigung funktioniert:

Code: Alles auswählen

glxinfo | grep rendering 

Such mal bei ubuntuusers oder mint nach webupdeight oder webupd8 oder webupdeightteam/webupd8team oder so. Ich kriege die genaue Schreibweise nicht mehr auf die Reihe. Das ist eine etablierte, dort bekannte und häufig empfohlene ppa. Das Problem ist, das stellt sich als Blog dar, aber es ist nicht herauszufinden, in welchem Land die sitzen, ob das privat oder kommerziell ist, wer der 'Boss' oder für das alles verantwortlich ist. Nach ein, zwei, drei Blicken war ich der Meinung, dass von da auch nix eigenes kommt, nur Pakete anderer Hersteller neu gepackt. Ein Schelm wer böses dabei denkt. Das ist - wie ich das festgestellt habe- völlig anonym. Wieso verteilen die sowieso schon existierende Pakete anderer Hersteller? Die 'kontrollieren' über ihren Paket-Update/Upgrade-Stream vermutlich 10000de ubuntu/mint-systeme und niemand weiss, wer das ist und was die Pakete tatsächlich enthalten.

Im uu-wiki steht AFAIK vor (fast?) jedem Einsatz von Fremdquellen eine Warnmeldung. Eine Variante ohne Fremdquellen wird (fast?) immer zuerst beschrieben.
Grundsätzlichen Fremdquellenverzicht gibt es auch im Debianforum-Wiki nicht!

Warum verschlüsselt? Hat jemand in deiner Abwesenheit Zugriff auf den Rechner, was du unterbinden möchtest? Wenns darum geht, ist die Verschlüsselung sicher sinnvoll. Wenns jedoch nur um den stationären Familien-PC geht, dann halte ich die Verschlüsselung für eher unnötig. Wenn der PC ausgeschaltet ist, ist er eh sicher. Und wenn ihn ein Familienmitglied für irgend eine Arbeit einschaltet, isser eh entschlüsselt. ?

Die Verschlüsselung schadet aber auch nicht.
Gemeinsame Familien-/WG-/Paar-Computer sind zudem wohl eher die Ausnahme. In der Regel kommen auch viele "Nicht-Benutzer" physisch an einen PC/Laptop dran. Da macht Verschlüsselung schon Sinn.

[Radfahrer]

Für mich macht Verschlüsselung nur Sinn, wenn ich unerlaubten Zugriff in meiner Abwesenheit unterbinden will.

Oder wenn es sich um einen Laptop handelt, mit dem man auch mal unterwegs ist. Der also leicht abhanden kommen kann.

[Radfahrer]

Was TomL meinte ist wohl, dass viele glauben, dass der Rechner durch die Verschlüsselung vor irgendwelchen Angriffen aus dem Netz sicher ist.
Das ist natürlich nicht so, denn sobald der Rechner läuft, ist er entschlüsselt und genauso angreifbar wie ohne Verschlüsselung.
Verschlüsselung schützt nur den ausgeschalteten Rechner.

[thoerb]

Such mal bei ubuntuusers oder mint nach webupdeight oder webupd8 oder webupdeightteam/webupd8team oder so. Ich kriege die genaue Schreibweise nicht mehr auf die Reihe. Das ist eine etablierte, dort bekannte und häufig empfohlene ppa. Das Problem ist, das stellt sich als Blog dar, aber es ist nicht herauszufinden, in welchem Land die sitzen, ob das privat oder kommerziell ist, wer der 'Boss' oder für das alles verantwortlich ist.

Hier der Link, es lesen ja Interessierte mit: http://ppa.launchpad.net/webupd8team/brackets/ubuntu/

Hier noch der Link zum Blog: http://www.webupd8.org/p/about.html

[Habst]

Danke für eure Antworten!

Neue Frage:
Was ist der Unterschied zwischen lightdm und lightdm-gtk-greeter?
Mit diesem Befehl werden mir beide angezeigt:

Code: Alles auswählen

dpkg -l | grep -i 'Display Manager\|Login Manager' | awk '$2 !~ /^lib/'

Gibt es davon vielleicht eine dunkle Version davon?

[BenutzerGa4gooPh]

Was ist der Unterschied zwischen lightdm und lightdm-gtk-greeter?
Links klicken, Paket-Beschreibungen lesen.
ist nicht so dein Ding?

[Habst]

Habe ich bevor ich gefragt habe.
Was lightdm ist, weiß ich, aber nicht was lightdm-gtk-greeter. Die Paketbeschreibung hilft da auch nicht weiter.

[TomL]

@Radfahrer

Zweimal haste mich richtig verstanden genau das meinte ich mit der Verschlüsselung. Und ich habe meinen Reiselaptop als Caravaner natürlich auch verschlüsselt. Aber wenn er mir geklaut wird trifft wieder der erste Umstand zu: Ich bin abwesend und er ist ausgeschaltet.... und damit ist er durch die Verschlüsselung sicher.

[TomL]

.Was lightdm ist, weiß ich, aber nicht was lightdm-gtk-greeter. Die Paketbeschreibung hilft da auch nicht weiter.

LightDM ist ein DisplayManager.... das wäre also das zu suchende Stichwort. Und der Greeter ist imho nur der anmeldebildschirm, der Username und Passwort verlangt. Ist alles halb so wild....

[Radfahrer]

@Habst
Was ist denn an der Paketbeschreibung nicht zu verstehen?

Einfaches grafisches Login-Programm (GTK+-Anmeldefenster)
ein LightDM-Anmeldefenster, mit dem GTK+-Werkzeugsatz realisiert

https://packages.debian.org/stretch/lightdm-gtk-greeter

[Habst]

Wie aktualisiert man Treiber? So wie man Pakete aktualisiert?
Also entweder mit

Code: Alles auswählen

sudo apt update

oder über Synaptic "Alle Aktualisierungen vormerken" und dann anwenden.
Oder muss man Treiber separat aktualisieren?

[Radfahrer]

apt update liest die neuen Paketlisten ein.
Aktualisiert wird dann mit apt full-upgrade.

Dabei werden alle installierten Pakete aktualisiert.

Du solltest dich mal mit den Grundlagen befassen. Hier ist etwas Lesestoff:
http://debiananwenderhandbuch.de/

[Ibex]

@TomL:
sudo -> Systeme dadurch wirklich kompromittiert?

In Verbindung mit sudo kann sich wirklich jede solcher von irgendwoher runtergeladene Software root-rechte verschaffen und damit unbemerkt die volle Kontrolle über den Rechner übernahmen.

Beispiel? Auch bei sudo muß das Paßwort abgegriffen werden. Oder spielts Du auf den timeout an, der bei Ubuntu auf 10 min gestellt ist? Das funktioniert auch nur innerhalb der Shell, in der sudo ausgeführt wird, mir ist kein konkreter Fall bekannt, wo das durch Schadsoftware ausgenutzt wurde. Optimal finde ich das trotzdem nicht und stelle es auch lieber auf Null, aber eine massenhaft ausgenutze Sicherheitslücke ist das nicht.

Wer für U und M Viren programmiert, ist schlichtweg bescheuert. Clevere Hacker etablieren und hypen ein ppa. Und wenn das für dich die Privatshäre nur indirekt tangiert, dann solls so sein. Für mich ist das jedenfalls gleichbedeutend mit vollständiger Aufgabe der Privatsphäre.

Das ist aber weniger ein Ubuntu Problem als ein Problem der typischen Ubuntu Nutzer. Auch für Debian gibt es Fremdquellen, deb-multimedia ist so ein relativ verbreitetes Beispiel. Nur das Debian Nutzer überwiegend erfahrender sind und besser verstehen auf was sie sich einlassen. Unter Ubuntu und ganz speziell Mint ist die Fremdquellennutzung teilweise in der Tat inflationär. Das hängt mit dem Anspruch zusammen, sich auch an unterfahrende Nutzer und Windows Umsteiger zu wenden, was entsprechend unbedarfte Nutzer nach sich zieht. Canonical ist antürlich auch nicht ganz unschuldig, da es teilweise auch die Infarstruktur für die ppa bereitstellt und damit diesen Quellen einen gewissen Anschein von Seriosität gibt, ohne die Inhalte zu überprüfen. Im UbuntuUser Wiki wird aber vor jeder Fremdquelle rot gewarnt, wenn man sich die Mühe macht, diesen Warnhinweis anzuklicken folgt eine lange und ausführliche Beschreibung der Risiken. Ich kann mit fug und recht behaupten, nur durch UbuntuUsers überhaupt richtig verstanden zu haben, was es bedeutet eine Fremdquelle ins Repository aufzunehmen.

Eine Ubuntu Default Installation enthält aber keine ppa oder fremde repositories und auch keine Möglichkeit solche auszuwählen, wer die hinzufügen will muss sich selbst im Internet auf die Suche machen und selbst Hand anlegen.

[TomL]

Beispiel? Auch bei sudo muß das Paßwort abgegriffen werden. Oder spielts Du auf den timeout an, der bei Ubuntu auf 10 min gestellt ist?

Da bist du ganz schwer im Irrtum. Es braucht nur einen kurzen echo-befehl in die bashrc des Users.... wozu wirklich jedes Programm, jedes Plug-in, jedes Addon berechtigt ist, welches der User mit seinen Rechten aufruft. Darüber wird nicht das sudo-pwd abgegriffen, sondern kurzerhand ein User angelegt und der Gruppe sudo hinzugefügt. Das passiert irgendwann, in irgendeinem Terminal, bei der ersten Verwendung von sudo. Der unerfahrene User kriegt nichts davon mit. Und mit diesem neuen unbemerkt angelegten User hat irgendwer die volle Kontrolle über den Rechner.

Warum das noch keiner gemacht hat? Keine Ahnung. Ist auf jeden Fall unterstes Hacking-Niveau, was hier garantiert alle könnten....

[wanne]

Wie aktualisiert man Treiber? So wie man Pakete aktualisiert?

Treiber im eigentlcihen Sinn gibt es unter Linux nicht. (Das ist eigetnlcih ein Fehldesighn. Du kannst mal nach Linus vs. Tannenbam oder Monolithischer Kernel suchen.)
Hardware wird entweder vom Linux-Kernel unterstützt oder nicht.
Es gibt allerdings das ein oder andere Helfer-Progrämmchen, dass hier und da benötigt wird um Hardware zu nutzen. Die werden dann ganz gerne doch mal Treiber genannt.

Also entweder mit

Code: Alles auswählen

sudo apt update

oder über Synaptic "Alle Aktualisierungen vormerken" und dann anwenden.

So funktioniert das unter Debian nie.
Entweder per Synaptic oder KDE/Gnome oder per

Code: Alles auswählen

apt update; apt upgrade

[KP97]

...Das ist eigetnlcih ein Fehldesighn. Du kannst mal nach Linus vs. Tannenbam...

@wanne manno, wann liest Du das endlich auch mal vorher durch, bevor Du was absendest...
Der Typ heißt übrigens Tanenbaum, falls das mal jemand nachlesen will
https://de.wikipedia.org/wiki/Andrew_S._Tanenbaum