W: Download is performed unsandboxed as root as file '/root/xxx.deb' couldn't be accessed by user '_apt [Gelöst]

[jmar83]

Hallo zusammen

Habe von Raspian 8 "Jessie" auf 9 "Stretch" ein dist-upgrade ausgeführt, nun habe ich beim Befehl "apt-get download xxx --allow-unauthenticated" folgende Warnung:

Code: Alles auswählen

W: Download is performed unsandboxed as root as file '/root/x_1.1.1-1_armhf.deb' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Keine Berechtigung)

Ob es allerdings mit dem "dist-upgrade" was zu tun hat oder nicht (oder ob es auf bei einer Installation auftauch wo stretch von Angang an installiert wird), ist mir aktuell nicht bekannt.

Folgendes scheint nix zu bringen:

Code: Alles auswählen

- chown -Rv _apt:root /var/cache/apt/archives/partial/
- chmod -Rv 700 /var/cache/apt/archives/partial/
- chown -R _apt.root /var/lib/apt/lists/

Überall im Netz liest man nur das... weiss jemand von euch, wo das Problem liegt?

P.S.: In der Datei /etc/apt/sources.list.d/raspi.list habe ich bei einem Eintrag "deb [trusted=yes] http://..." angegeben - hat das evtl. was mit dem Problem zu tun?

[DeletedUserReAsG]

Du versuchst mit apt* in ein Verzeichnis zu schreiben, in dem der User _apt keine Schreibrechte hat. Das funktioniert nicht, weil apt* Privilegien droppen soll. apt-get download speichert in das cwd.

[jmar83]

Wie kann man "apt" den Benutzer "root" zuweisen anstelle von "_apt" - Sicherheit hin oder her..?

Nix geht was zum Thema im Netz zu finden ist...

[cronoik]

Warum nimmst du nicht:

Code: Alles auswählen

apt-get install --download-only ...

dann schreibst du nach /var/cache/apt/archives.

...apt-get download speichert in das cwd.

Hast du die Zeile verstanden? cwd steht fuer current working directory und damit sagt die Fehlermeldung, dass _apt keine Schreibrechte in deinem aktuellen Verzeichnis hat. Also anderes Verzeichnis oder Verzeichnisberechtigungen aendern und es duerfte gehen.

[jmar83]

Ich bin unter /root..

[DeletedUserReAsG]

Ja, deswegen ja auch die Warnung.

Wie kann man "apt" den Benutzer "root" zuweisen anstelle von "_apt" - Sicherheit hin oder her..?

Macht es doch automagisch. Sicherheit hin oder her …:

Code: Alles auswählen

Download is performed unsandboxed as root

[jmar83]

Und das ist nun die Lösung des Problems?

[cronoik]

Wir haben doch schon genug Loesungen genannt.

[jmar83]

Wieso sollte ich als root keinen Befehl unter /root ausführen können - wie sinnlos ist denn sowas?

apt-get wirft noch mehr Fehlermeldungen, und deswegen, so wie es aussieht, kann keine anderen Befehle mehr mit apt-get zusammenhängen: apt-get download ... && ... && ...

Auch die Meldung nach /dev/null umleiten bringt nix...

[DeletedUserReAsG]

Nochmal: apt* droppt normalerweise die Privilegien, aus Sicherheitsgründen. Du bringst es in eine Situation, in der es das nicht kann, also setzt es dich darüber in Kenntnis. Du hast nun im Grunde drei Möglichkeiten (die hier alle schon genannt wurden): a) du ignorierst die Warnung, b) du wechselst in ein Verzeichnis, in dem _apt schreiben kann, oder c) du arbeitest mit apt-get install --download-only und holst dir das Paket anschließend aus dem Verzeichnis, in dem alle Pakete landen, wenn du es woanders brauchst.

Edit auf deinen Edit: wenn du Befehle mit && aneinanderhängst, wird der nächste Befehl nur genau dann ausgeführt, wenn der Rückgabewert des vorherigen Befehls 0 ist. Aufgrund der Warnung ist er’s halt nicht. Und Meldungen umleiten macht genau das: Meldungen umleiten. Nix weiter. Möglicherweise solltest du dir doch mal kurz die Grundlagen anschauen?

[jmar83]

Danke.

Bei Jessie hatte ich das Problem nicht im geringsten, bei Stretch verhält es sich wieder ganz anders. (Dass Linux im Vergleich zum kommerziellen UNIXen ein ewiges Bastelsystem ist, ist mir selbstverständlich klar..)

BSD kenn ich zu wenig um zu beurteilen...

[DeletedUserReAsG]

Die Anforderungen an die Sicherheit des Bastelsystems steigen halt an. Mittlerweile würde ohne dieses Bastelsystem so gar nix mehr laufen, im Internetz und auch in der realen Welt, und damit das nicht passiert, muss halt auch im Bereich Sicherheit weitergebastelt werden.

[jmar83]

Solange man alles "best practise" macht, also ein APT-Repo mit passenden Verifizierungs-Hashes anlegt, und dann "ganz normal" den Befehl `apt-get install xxx` anwendet - dann geht sowie alles klar.

Aber sobald man was macht, was nicht schon mind. 100000x durchgespiele wurde, gibt's sehr sehr oft Probleme... gut, das ist bei Window$ auch nicht gross anders...

[TRex]

Nein, unter Windows gäbs ne komische Fehlermeldung, es würde *nicht* funktionieren und die halbe Welt würde dir zu Treiberupdates, Neustart, Neuinstallation und dem Kauf eines Cleanup-Tools raten. Hier gehts halt (mit Warnung) einfach trotzdem.

[jmar83]

"und die halbe Welt würde dir zu Treiberupdates, Neustart, Neuinstallation und dem Kauf eines Cleanup-Tools raten."

Oh ja, wie recht du hast, full acknowledge!! Du erinnerst mich gerade an die M$-eigenen Foren!!

(Aber letztendliche haben alle Systeme ihre gute und schlechte Seite - bin fast tagtäglich "himmelhoch jauchzend zu tode betrübt" über Linux (Debian-/Raspbian Stretch) sowie Windows (10 Pro, Server 2012 sowie Server 2016 x64))

Übrigens: Mit "reprepro" geht die ganze Sache ziemlich simpel, kann ich nur empfehlen...