Le protocole apt qu’est ce que c’est ?

Vous aimerez aussi...

38 réponses

  1. tenshu dit :

    incroyable il faut mettre a jour tout le wiki :q

  2. FredB dit :

    « Quand vous cliquerez sur le lien apt://smplayer, vous appellerez de ce fait le gestionnaire de paquets (synaptic) pour installer un paquet qui est déjà disponible dans votre sources.list avec des dépôts qui sont correctement signés par une clef d’authentification connue »

    Et si le lien pointe vers un dépot alternatif n’y a t-il pas un risque?

  3. mr_pouit dit :

    > Certains pourront penser que ce dispositif peut mettre en péril la sécurité du système, mais voila pourquoi il n’y a aucun risque.

    Bien sûr qu’il y a des risques, c’est même en cours de discussion sur les listes de diffusion ubuntu (en anglais) :
    https://lists.ubuntu.com/archives/u
    https://lists.ubuntu.com/archives/u

    Le problème principal étant que l’utilisateur « lambda » cliquera sur ‘Ok’ à chaque boîte de dialogue sans faire attention (ce qui se passe tout le temps), donc n’importe quel dépôt tiers peut installer un paquet vérolé…

  4. Guy KPADJIK dit :

    Juste pour ajouter que c’est le paquet apturl qui gère ça. J’utilise Kubuntu Gutsy depuis les premières semaines et les mises à jours quotidiennes ne m’ont jamais installé ce paquet. Donc si vous êtes dans le même cas que moi, installez simplement le package apturl et ca sera tout bon (Comme Jacques).

  5. Diti dit :

    Je vois que tu parles enfin de apt://, c’est trop bien ce truc 😉 !

  6. mr_pouit dit :

    @Cedynamix > Aapturl est aussi mal conçu à la base : perso, je n’entre pas mon mot de passe sur une fenêtre « qui vient » du navigateur (c’est pas très dur d’imiter la fenêtre gksudo avec du javascript), et ça, ce n’est pas la faute de l’utilisateur. Globalement, apturl donne l’impression d’avoir été développée à la va-vite par Canonical, et c’est à 15 jours de la release qu’on s’inquiète des problèmes de sécurité, ce n’est pas sérieux du tout.

    Quant à l’utilisateur, il ne sait pas lire (sauf le manuel de la machine à laver), c’est pas nouveau, et on fait déjà tout pour éviter les soucis (pas de compte root pour éviter les logins graphiques de root), donc considérer subitement qu’il doit savoir lire ça ne marchera pas. 😉

  7. Ner0lph dit :

    @mr_pouit> C’est un problème d’interface chaise-clavier. Mais tu as raison.

  8. ben13 dit :

    apt est vraiment un outil fantastique

    à rappeler à toutes les personnes qui n’arretent pas de rabacher les « faiblesses » (selon eux ) de linux tout en oubliant les outils qui n’ont aucun equivalent sous windows ou mac

  9. Cedynamix dit :

    @ Fred B : La réponse est dans l’article : Si le paquet fait partie d’un dépôt officiel d’Ubuntu cela ne posera aucun problème, autrement il faudra indiquer la clef dans l’Url et que l’action soit validé par vous.

    @mr_pouit : L’utilisateur Lambda devrai peut être faire une cure de désintoxication anti-MS ou apprendre à lire alors. Parce que là on ne pourra jamais rien faire pour eux. 😉

  10. TorF dit :

    Un commentaire pas très constructif mais…. SERIEUX CA TUE CE APT:// !!!!! 😀

  11. Cedynamix dit :

    @ mr_pouit : je te rejoins sur ce que tu viens de dire c’est vrai, que je n’ai pas cette vision global vis-à-vis des utilisateurs lambda qui pourrait se faire abuser par ce genre de manœuvre ce sont des choses auxquels je fais personnellement attention . +1 🙂

  12. kvtt dit :

    Fort interessant cet article, je test en rentrant…

    Sinon question secu, pourquoi ils ne limitent pas le protocole aux logiciels qui sont dans le sources.list, sans la possibilité d’ajouter un depot dynamiquement dans l’url apt:// …

  13. fabien26 dit :

    C’est tous simplement génial ce truc !!!

    Pour en revenir à l’imitation de la fenêtre gksudo …

    C’est pas possible, car elle est en plein écran avec transparence artificielle … c’est pas facile de faire la même chose avec du javascript …

    Par contre kdesu peut être facilement cloné lui …

    PS: la syntaxe apt://truc, machin

    ne marche pas ….

  14. Martien dit :

    Superbe techniquement, mais terriblement insécure.
    Si on pouvait faire confiance à l’utilisateur pour savoir juger à bon escient, ça se saurait.
    Un OS sécurisé est un OS qui ne met pas l’utilisateur devant des choix tendancieux niveau sécurité.
    Là encore, la question est la suivante : Ubuntu est-il pour des geeks ou pour tous ?

    Si on veut mettre Linux entre toutes les mains, il faut abandonner ce genre de gadget dangereux.

  15. ktulu77 dit :

    oue c’est une idée tout ça ! suffit juste d’interdire l’installe sur un depot non officiel.
    Le coup du mot de passe à tapper après le navigateur aussi ça fait un peu peur.

    Apparement, ça n’est pas par defaut en tout cas ce gadget.

    Ils devraient s’attarder sur des trucs plus urgent comme pouvoir arreter le fsck pendant le trentieme démarrage. C’est chiant quand ça arrive au mauvais moment.

  16. lalain dit :

    Je trouve que l’idée est bonne, pour ce qui est de la sécurité, pourquoi ne pas faire comme sur firefox lors de l’ajout d’extension venant d’un site pas encore répertorié dans la liste de base des sites de confiances .. histoire de bien faire comprendre qu’il faut remettre en question le site sur lequel on va télécharger un .deb, mais il faut laissé le choix à d’autres dépôts sinon ça perd beaucoup de son utilité.

    Édité par Cedynamix ( 😉 Merci )
  17. Flav dit :

    Effectivement, il serait mieux d’interdire l’installation de paquets provenant d’un dépôt qui n’est pas dans sources.list …

    Sinon, l’idée est excellente!

  18. adam0509 dit :

    Mouais enfin ça change rien au fait que si une nouvelle version de logiciel arrive, faut attendre 4,6, 10 voir 24 mois pour avoir la mise-a-jour… (pour peu qu’on soit une feignasse qui n’installe que les releases de printemps -car ce sont les seules vraiment stables-, ou pire, une feignasse qui n’installer que les LTS…).

    En tout cas sous mon Windows je clique sur le .exe et j’ai la nouvelle version du logiciel…

    (ou la nouvelle version du virus ^^)

  19. adam0509 dit :

    genre nouvelle release de openoffice (la 2.3), sur le PC windows, suffit de désinstaller l’ancienne version et de réinstaller la nouvelle…

    (au passage c’est un très mauvaise exemple car open-office a ses *.deb :D)

  20. adam0509 dit :

    ktulu77 => Il existe « bonager » en interface graphique, mais malheureusement, il n’est pas dans les dépots officiels…

    (une fois j’ia voulu télécharger un *.deb custom, et bah j’ai jamais réussi a le virer… surtout que le logiciel n’a jamais fonctionné :D)

  21. Scrounch dit :

    Par contre kdesu peut être facilement cloné lui … -> habon ? pourquoi plus que gksudo ?

    Sinon, wep c’est sur que niveau sécurité ca doit pas etre top top :/

    Je demande a voir ce que ca vas donné! 🙂

  22. fabien26 dit :

    kdesu plus, car c’est juste une petite fenêtre pas en plein écran sans fading … c’est tous donc plus facilement falsifiable .

  23. racoon97 dit :

    Juste pour signaler que apturl est bien installé par défaut sur Gutsy Beta. Un petit apt://mon_programme dans firefox et un mot de passe est demandé pour l’installation du logiciel… C’est pertubant mais efficace !

    Au sujet de la sécurité, on peut-être pour ou contre, ça je le comprends. En tout cas je crois que on atteint là les limites de l’ergonomie proposé à l’utilisateur, à ne pas dépasser donc 😉 Et comme dit plus haut , on ne pourra jamais faire un apt-get upgrade chaise-clavier 😀

  24. NaWer dit :

    > Et comme dit plus haut , on ne pourra jamais faire un apt-get upgrade chaise-clavier

    apt://chaise-clavier 😉

    C’est puissant cette commande, mais un peu trop. je suis pour supprimer les dépots tierces, c’est pas sain. Que l’utilisateur sois Geek ou pas, les dépots tierces sont dangeureux… sauf que le non geek, lui, ne le sait pas.

  25. wolux dit :

    c’est génial ce truc!! apturl ou comment rendre ultra accessible l’installation de paquets.
    Pour finaliser une installation et rajouter tous les paquets liés à la vidéo, la gravure, les codecs et polices supplémentaires, les formats de compression, les plugins java et flash… Et j’en oublie ! En un simple clic c’est fait !! Génial !

  26. Diti dit :

    Les gens, je crois que vous vous faites du souci pour rien. Javascript est une technologie client, il est assez chiant d’implémenter ne serait-ce qu’une simple fenêtre personnalisée qui demande à l’utilisateur d’entrer un texte (ouais, prompt() suffit pas), quant à l’interface elle est trop diversifiée (entre les différents ddérivés d’Ubuntu) pour être correctement falsifiable.

    De plus, l’idée d’interdire les dépôts tierces n’est pas nouvelle, mais a déjà été longuement débattue sur le forum officiel d’Ubuntu. Nous, en bons utilisateurs, on y voit de l’insécurité, mais je vous mets au défi de me démontrer que l’on peut « foutre la merde » sur un Ubuntu. Les probabilités sont infimes (vous pouvez me contacter par mail si vous voulez plus d’infos).

    Au plaisir 😉 !

  27. antistress dit :

    Ça fait quelques temps que j’inclue les commandes apturl dans les billets que je rédige sur mon blog

    je savais pas qu’on pouvait ajouter des dépôts par contre, ça fout les boules !

    Diti, souviens toi du blogueur (génial) qui avait changé le fonds d’écran des utilisateurs de son dépôt pour leur faire remarquer que c’était pas anodin d’ouvrir un dépôt non officiel
    Ouvrir un passage directement sur sa distribution c’est quand même un acte grave, à considérer sérieusement

  28. Navaati dit :

    C’est super excitant ce genre de fonctions, mais il faudrait désactiver la fonction d’ajout de dépots par défaut, et mettre quelque part dans les options un bouton pour activer le bazar, histoire qu’il faille vraiment prendre la décision, y aller volontairement pour le faire.

  29. zippy dit :

    antistress les dépôt tiers son activé que temporairement je crois 😉 (juste le temps d’installer un logiciel quoi..)

    perso je suis pour les dépôt tiers si c’est bien indiquer que c’est un dépôt non officiel qui peut avoir des danger

    le fait d’avoir des dépôt tiers permettra par exemple de simplement faire cliquer un lien pour installer les w32codecs sur medibuntu

    je me demande par contre si on peut supprimer certain paquet (genre si il y a conflit..)

  30. antistress dit :

    si c’est un canal ouvert provisoirement c’est déjà mieux

    sinon, pas besoin de medibuntu ni des w32codecs

    sudo apt-get install gstreamer0.10-plugins-bad gstreamer0.10-plugins-bad-multiverse gstreamer0.10-ffmpeg ubuntu-restricted-extras

    et après avoir installé gstreamer0.10-plugins-ugly (par exemple via ubuntu-restricted-extras) ou vlc (les deux paquets installant libdvdread3 en dépendance), taper :
    sudo /usr/share/doc/libdvdread3/install-css.sh

  31. Ju. dit :

    Pas sur que ce soit ultra secure en l’etat, a la rigueur si ca ne permet que des ajouts de paquets disponibles sans toucher au sources.list, a la rigueur, c’est un confort.

    A part ca, tu ecris : « après avoir validé et entré son mot de passe Root, » ce n’est pas correct : « après avoir validé et entré_ son_ mot de passe, s’il est autorise a utiliser synaptic (utilisateur faisant partie du groupe pouvant administrer le systeme) » .

  32. Diti dit :

    « Diti, souviens toi du blogueur (génial) qui avait changé le fonds d’écran des utilisateurs de son dépôt pour leur faire remarquer que c’était pas anodin d’ouvrir un dépôt non officiel »

    Je me souviens ; la différence est que, d’après moi, le programme lancé par ce dépôt ne peut pas l’être en administrateur, ainsi il n’a pu que modifier le fond d’écran, manipulation tout-à-fait normale en tant que simple utilisateur.

    Peut-être y a-t-il d’autres risques, mais les packagers Debian y font attention.

  33. wolux dit :

    sudo /usr/share/doc/libdvdread3/install-css.sh

    @anitstress : Ca fait quoi ton truc là??? C’est une alternative aux w32codecs ?

  34. antistress dit :

    oui, chez moi tout passe avec gstreamer sauf le realmedia
    et pas besoin de medibunutu non plus pour lire les dvd
    c-a-d aucun nouveau dépôt à configurer !

  35. Mymyoux dit :

    >kdesu plus, car c’est juste une petite fenêtre pas en plein écran sans fading … c’est tous donc plus facilement falsifiable .

    en fait non, parce que apturl utilise synaptic sous kde.. et pas adept. Du coup on a le même effet que sous gnome:)

  36. geek85 dit :

    est ce qu’on peut installer plusieurs programme en même temps?
    je demande parce que la commande du style:

    apt://amule, dame blanc, brasero, tilda, mplayer, vlc, aptoncd

    ne fonctionne pas.

  37. Dedalus dit :

    @geek85: tu as essayé sans les espaces après les virgules ?

Votre avis peut être utile alors laisser le ici

%d blogueurs aiment cette page :