staging.inyokaproject.org

Hallo,

Im Wiki wird immer wieder auf Fremdquellen verwiesen, natürlich mit der entsprechenden Warnung. Mir ist schon bewusst welche Gefahren mit Fremdquellen verbunden sind. Mich würde mal interessieren welche Fremdquellen ihr in eurer sources.list wie (auskommentiert oder nicht) eingetragen habt. Welche Programme bezieht ihr über diese Quellen und warum? Bitte schildert auch eure persönliche Einschätzung über die Gefahr (Ist vermutlich gering, aber weshalb) die von diesen Quellen evtl. ausgehen könnten!

Über die oben gestellte Frage hinaus würden mich die Abstufungen einer möglichen Gefahr einer Quelle interessieren. Damit meine ich z.B. Programme wie Ubuntu Tweak die über Launchpad angeboten werden. Ist Launchpad eine Fremdquelle die vertrauenswürdig ist? Wenn ja, nur weil sie, so zu sagen von Canonical gestützt/gefördert wird? Wie seht ihre das (auch im Bezug auf andere Fremdquellen wie z.B. Skype)?

Gruß
heubi

Ich habe keine Fremdquellen in meiner sources-List. Ich hab mir eine Installation von ubuntu vermutlich! wegen Fremdquellen zerschossen. Daher lass ichs.

Hi,

also ich habe folgende beiden Fremdquellen in meiner sources.list:

#WINE
deb http://wine.budgetdedicated.com/apt hardy main

#Compiz 0.7.6
deb http://ppa.launchpad.net/compiz/ubuntu hardy main

Bei solch einer Art von Quelle habe ich persönlich eigentlich keine Angst vor irgendwelchen Gefahren/Fehlern, da ich beide Programme und ihre Hersteller für vertrauenswürdig halte. Generell kann ich für mich eigentlich zwischen 2 Arten von Fremdquellen unterscheiden:

Zum einen Quellen von Herstellern über die neue Programmversionen zu erhalten sind (Wine, Amarok2 Nightly Build etc.), welche ich als unbedenklich einstufe.
Daneben gibt es zum anderen Quellen von irgendwelchen Privatpersonen denen ich da schon skeptischer gegenüberstehe, da man halt nicht genau weiß was einem dort noch so untergejubelt wird.

Als ich letzte Woche eine Fremdquelle genutzt habe, um Pidgin upzudaten hatte ich danach erstmal kein Flash mehr, da hatte diese Quelle irgendwie die Versionen durcheinander gebracht, wie weiß ich leider nicht genau.

Ich würde z.B. nie im Netz nach Software suchen und dann eine Fremdquelle eintragen nur weil in einem Blog o.ä. steht dass Programm xy über seine Quelle zu bekommen ist.

Aber ansonsten bin ich da eigentlich sehr gutgläubig, besonders was "offizielle" Quellen angeht 😀

MfG

hmmm...ich hab nur die Fremdquelle für Ubuntu Satanic 😉

Alles andere hab ich einzeln per .deb Installiert oder kompiliert.

(Wine (einmal kompiliert für Testzwecke und einmal als deb Installiert), WICD (nur auf dem PC, da mein WLAN USB Stick sonst nicht funktioniert...mit dem normalen Netzwerkmanager will der nicht), PokerTH, Teeworlds und ich glaub das wars...

Bei keinem der Pakete sehe ich eine Gefahr...
Ich schaue regelmäßig auf getdeb.net und installier auch Pakete von dort wenn selbige mich interessieren, Gefahren sehe ich da nicht.

Peter2007 hat geschrieben:

Ich habe keine Fremdquellen in meiner sources-List. Ich hab mir eine Installation von ubuntu vermutlich! wegen Fremdquellen zerschossen. Daher lass ichs.

Erzähle doch bitte etwas mehr, würde mich, wie den Threadersteller vermutlich auch, interessieren.

Ich finde Medibuntu kann und sollte man als Europäer einfach bedenkenlos sofort hinzufügen. 😀

Hallo!

Ich habe sowohl Medibuntu (deb h..p://de.packages.medibuntu.org/ hardy free non-free) als auch WLAN/Wicd (deb h..p://apt.wicd.net hardy extras) eingetragen. Bis dato keinerlei Probleme.

FLO

Ich habe soeben versucht Medibuntu einzubinden, leider kam diese Fehlermeldung.

W: GPG error: http://de.packages.medibuntu.org hardy Release: Die folgenden Signaturen konnten nicht überprüft werden, weil ihr öffentlicher Schlüssel nicht verfügbar ist: NO_PUBKEY 2EBC26B60C5A2783

Tja, fühle mich da gerade leider etwas überfragt. Kann jemand helfen? Eine derartige Meldung ist mir beim Einbinden von zusätzlichen Quellen noch nicht untergekommen...

Ich habe neben den Standard-Repos (für Linux-Mint)

## -----------------------
## LINUX MINT REPOSITORIES(...)
## -------------------
## UBUNTU REPOSITORIES(...)

Noch folgende in meiner source.lst:

## +++ Canonical (stable) +++
deb http://archive.canonical.com/ubuntu/ hardy partner 

Vertrauenswürdig als Unternehmen hinter Ubuntu. Allerdings hab ich hiervon nichts installiert.

## +++ Medibuntu (stable) +++
deb http://packages.medibuntu.org/ hardy free non-free 

Medibuntu: Ob vertrauenswürdig oder nicht muss jeder für sich selbst entscheiden. Ich würde mir die installierten Programme und Codecs ansonsten woanders runter laden und das würde die Gefahr kaum minimieren. Außerdem hoffe ich bei einem entsprechend viel genutzten Repo, dass Schwächen oder Schadcode bemerkt würde.

# deb http://getswiftfox.com/builds/debian/ unstable non-free 
deb http://download.tuxfamily.org/swiftweasel/ hardy multiverse 

Swiftfox habe ich durch Swiftweasel ersetzt. Ich habe bereits zu Windows-Zeiten viele verschiedene Firefox-Builds ausprobiert. Auch hier muss ich mit dem Risiko leben.

deb http://apt.wicd.net/ hardy extras 

WLAN/Wicd-Repo als Ersatz für den Network-Manager. Finde ich wesentlich komfortabler und mit mehr Einstellungsmöglichkeiten. Daher ein Muss für mich trotz des Fremd-Repo-Risikos.

deb http://ppa.launchpad.net/banshee-team/ubuntu/ hardy main 
deb-src http://ppa.launchpad.net/banshee-team/ubuntu/ hardy main 
deb http://ppa.launchpad.net/exaile-devel/ubuntu/ hardy main 

Alternative Musik-Player, Banshee und Exaile. Da diese Programme später auch, glaube ich zumindest, in die offiziellen Quellen kommen, gehe ich davon aus, dass die von den jeweiligen Teams betreuten Versionen ebenfalls keinen Schadcode enthalten.

deb http://ppa.launchpad.net/phobie/ubuntu/ intrepid main 

Dann habe ich noch eine Quelle für TV-Browser. Für mich einfach das beste TV-Zeitschrift-Programm. Hier muss ich einfach mal vertrauen ☺
Ich meine ich hätte auch für Songbird noch 'ne Quelle gehabt. Kann ich jetzt auch die Schnelle nicht finden.
Grundsätzlich bin ich aber ziemlich offen was Fremd-Repos betrifft, denn ansonsten würde ich mir die Programme so aus dem Netz ziehen (als .deb o.ä.) und da wäre das Risiko meiner Meinung nach kaum geringer. Probleme habe ich bislang keine mit Fremdpaketen gehabt.

Ich habe soeben versucht Medibuntu einzubinden, leider kam diese Fehlermeldung.

W: GPG error: http://de.packages.medibuntu.org hardy Release: Die folgenden Signaturen konnten nicht überprüft werden, weil ihr öffentlicher Schlüssel nicht verfügbar ist: NO_PUBKEY 2EBC26B60C5A2783

Tja, fühle mich da gerade leider etwas überfragt. Kann jemand helfen? Eine derartige Meldung ist mir beim Einbinden von zusätzlichen Quellen noch nicht untergekommen...

Hast Du den Schlüssel importiert?

Wiki:

Die Pakete dieser Quelle sind mit einem GPG-Key signiert. Damit die Signatur überprüft werden kann, muss medibuntu-key.gpg ⮷ heruntergeladen und in die Liste der Vertrauenswürdigen Software-Quellen eingetragen werden:

• GNOME: "System → Systemverwaltung/Administration → Software-Quellen → Authentifizierung/Echtheitsbestätigung → Schlüsseldatei importieren..."
  

  • KDE: im Adept Manager unter "Paketquellen verwalten → Authentication → Import Key File".

Alternativ kann alles in einem Schritt im Terminal erledigt werden:
wget -q http://de.packages.medibuntu.org/medibuntu-key.gpg -O- | sudo apt-key add - && sudo apt-get update

Ich hab folgende Fremdquellen eingetragen:

deb http://de.packages.medibuntu.org/ hardy free non-free
deb http://ppa.launchpad.net/banshee-team/ubuntu hardy main
deb http://apt.schmidtke-hb.de hardy main universe multiverse
deb http://ppa.launchpad.net/tualatrix/ubuntu hardy main

Medibuntu für die Codes und für Google Earth, Banshee für die aktuelle Version des gleichnamigen Programms, Schmidtke hauptsächlich für Pidgin und die letzte für Ubuntu-Tweak. Wenn mich mal wieder der Networkmanager nervt, dann kommt noch die Wicd-Quelle rein.

Folgende Quellen
Medibuntu
Nightly-Quellen
WineHQ-Quellen

Medibuntu hat sogar nen gpg-key muss nichts heißen, aber dem vertraue ich.
Nightly-Quellen: mit den Leuten die die maintainen öfter auch schon im IRC geredet und wirken recht sympathisch und nicht so als würden sie meinen PC töten wollen.
WineHQ glaube nicht das die sowas abziehen würden.

Stevi hat geschrieben:

Grundsätzlich bin ich aber ziemlich offen was Fremd-Repos betrifft, denn ansonsten würde ich mir die Programme so aus dem Netz ziehen (als .deb o.ä.) und da wäre das Risiko meiner Meinung nach kaum geringer.

Das gilt aber nur, wenn Du die Paketquelle sofort nach dem installieren eines Paketes wieder deaktivierst. Läßt Du sie dauerhaft in der source list, kann der Betreiber des Fremd-Repos theoretische jede beliebige Systemdatei auf Deinem Computer durch eine neuerer, von Ihm modifizierte Version ersetzen, die dann mit den normalen Updates eingespielt wird, ohne das es dir auffällt. Und auch wenn der Betreiber des Repos keine bösen Absichten hat, kann er durch mangelnde Systemkenntnisse wichtige Bibliotheken durch neuere Versionen austauschen, die möglicherweise Probleme mit anderen als von Ihm bereitgestellten Programmen machen. Insofern sollte man sich bei Frendquellen schon genau überlegen, wem mann vertraut. TV-Browser z.B. habe ich mir auch über eine Fremdquelle installiert, aber das Repos eben danach sofort wieder auskommentiert.

gfelix hat geschrieben:

Ich habe soeben versucht Medibuntu einzubinden, leider kam diese Fehlermeldung.

W: GPG error: http://de.packages.medibuntu.org hardy Release: Die folgenden Signaturen konnten nicht überprüft werden, weil ihr öffentlicher Schlüssel nicht verfügbar ist: NO_PUBKEY 2EBC26B60C5A2783

Tja, fühle mich da gerade leider etwas überfragt. Kann jemand helfen? Eine derartige Meldung ist mir beim Einbinden von zusätzlichen Quellen noch nicht untergekommen...

Hast Du den Schlüssel importiert?

Wiki:

Die Pakete dieser Quelle sind mit einem GPG-Key signiert. Damit die Signatur überprüft werden kann, muss medibuntu-key.gpg ⮷ heruntergeladen und in die Liste der Vertrauenswürdigen Software-Quellen eingetragen werden:

• GNOME: "System → Systemverwaltung/Administration → Software-Quellen → Authentifizierung/Echtheitsbestätigung → Schlüsseldatei importieren..."
  

  • KDE: im Adept Manager unter "Paketquellen verwalten → Authentication → Import Key File".

Alternativ kann alles in einem Schritt im Terminal erledigt werden:
wget -q http://de.packages.medibuntu.org/medibuntu-key.gpg -O- | sudo apt-key add - && sudo apt-get update

Herzlichen Dank, gfelix, hat super funktioniert, muss aber zugeben, mit dem Terminal noch nicht wirklich fit zu sein. Aber ich mag die Arbeit damit...

Welche Programme bezieht ihr über diese Quellen und warum? Bitte schildert auch eure persönliche Einschätzung über die Gefahr (Ist vermutlich gering, aber weshalb) die von diesen Quellen evtl. ausgehen könnten!

Laptop: keine
Server: keine
Musikbox: keine
Desktop: WineHQ, weil wine mit seinem 2-wöchigen Releaserhytmus, einfach in den offiziellen Quellen schnell veraltet ist, und mit jeder wine Version die Qualität der Emulation(ich weiß das wine kein emulator ist) steigt. Wine halte ich jetzt mal für ungefährlich, nen GPG-Key haben die auch sodass ich mich net mit Warnungen wegen unsignierten Paketen rumschlagen muss.