Ist es sicher Snaps mit classic Option zu installieren?

Dieser Artikel ist für jene, die einmal eine Applikation mit dem Verteilungssystem Snap für Linux installieren wollte und auf eine ähnliche Fehlermeldung wie folgt gestoßen ist:

error: This revision of snap "atom" was published using classic confinement and thus may perform arbitrary system changes outside of the security sandbox that snaps are usually confined to, which may put your system at risk.
If you understand and want to proceed repeat the command including --classic.*

Die Frage ist: kann ich die das geforderte Kommando mit der classic Einstellung verwenden und gefährdet es die Sicherheit meines Systems in irgendeiner Weise?

Was ist Snap überhaupt?

Snap möchte laut Eigenbeschreibung des Herstellers ein Verteilungssystem für Applikationen auf allen Linuxgeräten, aber auch Cloudanwendungen und Kleinstgeräten (Stichwort Internet of Things) sein. Es funktioniert ähnlich eines Appstores, wie wir es von unseren Smartphones her kennen.

Besonders Ubuntu und darauf aufbauende Distributionen haben Snap bereits vorinstalliert. Es funktioniert als Softwareverteilungsmechanismus neben den üblichen Systemen wie Apt. Unter Ubuntu unter dem Stichwort Software bereits eine Oberfläche installiert, welche optisch ganz an die allseits bekannten Appstores angelehnt ist und es vereint in sich bereits beide Verteilsysteme, Apt und Snap.

In einigen Derivaten (z.b. Kubuntu) ist dies nicht immer der Fall. Snap Pakete lassen sich jedoch auch einfach über die Kommandozeile installieren, wobei es zu der oben genannten Fehlermeldung kommen kann.

Welche Auswirkungen haben classic Installationen auf mein System?

Grundsätzlich funktionieren Snaps in einer Sandbox unter vollständiger Isolation vom Rest des Systems, auf welchem die Applikation installiert ist. Dies bietet ein hohes Maß an Sicherheit, da die so installierte Apps nicht auf Prozesse des darunterliegenden Betriebssystems zurückgreifen kann und damit verhindert wird, daß eine App sich Rechte oder Informationen aneignet, die für die Ausführung des eigentlichen Zwecks nicht notwendig sind. Für den Benutzer bietet dies ein Optimum an Schutz für Daten und Systemsicherheit. In Snap entspricht dies der Einstellung strict, was die Standardeinstellung für die meisten Applikationen ist.

Nun gibt es von diesem löblichen Konzept leider Ausnahmen, die notwendig wurden um bestimmte Apps in diesem Ökosystem lauffähig zu halten. Eine solche ist das leider immer noch häufig nachgefragte Skype (Nachtrag: stand heute ist dies nicht mehr der Fall, wie ein Leser in den Kommentaren richtig anmerkt. Skype unterliegt nun allen Standardmechanismen, denen Snap-Pakete unterliegen).
Die Installation desselben erfordert die Eingabe des Flags classic und funktioniert ganz ähnlich den herkömmlichen Installationsmethoden wie Apt. Die stringente Isolation der Applikation ist damit aufgehoben, die Sicherheitsvorteile von Snap sind gewissermaßen dahin, doch eine einfache Installation ist damit immerhin noch möglich und man genießt alle anderen Vorteile eines Paketmanagers, wie automatische Updates. Wie so oft geht Bequemlichkeit dann eben zu Lasten der Sicherheit und es obliegt dann dem Benutzer selbst zu entscheiden, ob der Softwarehersteller (im Falle von Skype ist es Microsoft) das Vertrauen des Benutzers genießt.

Immerhin verspricht der Store Applikationen grundsätzlich einer Prüfung zu unterziehen, um auffällige Formen des Mißbrauchs von vornherein zu unterbinden.

Wie lautet die Kommandozeile zur Installation mit classic Option?

Zunächst einmal muß in eurem System das Paket snapd installiert sein.

 sudo apt-get update
 sudo apt-get snapd install

Dann die Installation:

sudo snap install skype --classic

Weitere Kommandozeilenbefehle

Um eine Übersicht zu erhalten welche Pakete bereits mittels Snap installiert wurden:

snap list

Zu jeder Applikation in der so ausgegebenen Liste können wir weitere Informationen anfordern. Bleiben wir beim Beispiel Skype, so hieße das Kommando dann:

snap info skype --verbose

In der Ausgabe des Befehls können wir auch auslesen welche Form der Isolation die App nutzt (strict oder classic) in der Zeile confinement. Die Zeile ist durch mich fett hervorgehoben:

 name:    skype
 summary: One Skype for all your devices. New features. New look. All Skype.
 health:
 status:  unknown
 message: health has not been set
 publisher: Skype✓
 contact:   https://www.skype.com/
 license:   unset
 description: |
 Skype keeps the world talking. Say “hello” with an instant message, voice or video call – all for
 free. Skype is available on phones, tablets, PCs, Macs and Linux.
• Video calls – Don’t just hear the cheers, see it! Get together with 1 or 24 of your friends and
family on a video call. Watch everyone’s smiles and cries when you tell them “We’re engaged!!!"
• Chat – Reach people instantly. Send messages to your friends, liven up conversations with
emoticons and Mojis, or create a group chat to make weekend plans with up to 300 people.
• Share – Do more together. Easily share your screen, photos, videos, documents, and files with
your family and friends. Unlike email, Skype will transfer up to 300MB per file.
• Voice calls – Camera shy? Make voice calls to anyone on Skype. You can also call mobile and
landlines at low rates.
Microsoft Services Agreement - https://go.microsoft.com/fwlink/?linkid=2097426
commands:
- skype
notes:
private: false
confinement: classic
devmode: false
jailmode: false
trymode: false
enabled: true
broken: false
ignore-validation: false
snap-id: QRDEfjn4WJYnm0FzDKwqqRZZI77awQEV
tracking: stable
refresh-date: heute um 09:42 CET
channels:
stable: 8.55.0.141 2019-12-15 (109) 181MB classic
candidate: ↑
beta: ↑
edge: ↑
insider/stable: 8.56.76.35 2019-12-15 (108) 177MB classic
insider/candidate: ↑
insider/beta: ↑
insider/edge: ↑
installed: 8.55.0.141 (109) 181MB classic

Links

3 Gedanken zu „Ist es sicher Snaps mit classic Option zu installieren?“

  1. Als Nachtrag sollte man noch dazu schreiben, dass Skype längst kein „classic“ Snap mehr ist, sondern inzwischen ganz normal dem Confinement „strict“ unterliegt.

    Antworten

Schreibe einen Kommentar