È sicuro eseguire app che non richiedono installazione?

Ho Ubuntu 14.04 LTS

Ho scaricato Telegram da qui . Il file è stato compresso con l'estensione tar.xz.

Ho decompresso questo file ed eseguo il file Telegram(senza estensione) utilizzando un utente comune (non amministratore). L'applicazione è stata avviata e ha funzionato correttamente.

Ma perché Ubuntu non mi dice "Non eseguire questa app, perché non è sicura"?

È davvero sicuro eseguire tali applicazioni, che non necessitano di installazione, che si eseguono facilmente quando si fa doppio clic?

E come si chiamano app come questa? Che nome hanno? "Portatile"?

Il file è un eseguibile binario. È già stato compilato dal suo codice sorgente in un modulo che la tua CPU può eseguire e devi solo richiederne l'esecuzione per farlo funzionare.

Il software scaricato quando si esegue un gestore di pacchetti come APT in generale include anche file binari precompilati, quindi non c'è nulla di strano in questo tipo di file. Il packaging dei file fa cose utili come dire al gestore dei pacchetti dove devono essere copiati i file binari nel filesystem e fornisce script che assicurano che il programma possa trovare tutte le librerie condivise e altri programmi da cui dipende e l'ambiente che richiede è impostare se necessario.

Il motivo per cui potresti considerare questo programma insicuro è che proviene da una fonte sconosciuta, mentre i pacchetti dai repository Ubuntu provengono da una fonte nota e protetti da un processo di verifica della firma che assicura che non siano stati manomessi sulla strada per il tuo sistema.

Fondamentalmente, il download e l'esecuzione di file eseguibili da fonti sconosciute non è sicuro, a meno che non ti fidi del provider e puoi verificare che il download ti abbia raggiunto intatto. A tal fine, i distributori possono fornire un tipo di checksum che è possibile utilizzare per verificare che il file caricato abbia lo stesso contenuto di quello scaricato.

Una cosa incoraggiante su Telegram in particolare è che è open source:

Questo software è disponibile con licenza GPL v3.
Il codice sorgente è disponibile su GitHub .

Questo significa che chiunque può leggere il codice sorgente del programma per assicurarsi che non farà nulla di indesiderato al tuo sistema. In pratica, leggere il codice sorgente per assicurarsi che il programma sia sicuro non è qualcosa che la maggior parte degli utenti finali vuole trascorrere del tempo facendo o imparando a fare. Tuttavia, ho una certa fiducia nella comunità coinvolta nel trovare vulnerabilità della sicurezza e bug nel software open source.

Per quanto riguarda il motivo per cui Ubuntu non si lamenta del fatto che il programma non sia sicuro, beh, criticare l'utente in merito alle sue decisioni discutibili non è la tradizione di Linux. Un sistema Linux è in genere progettato per fare ciò che gli viene richiesto e nient'altro. L'utente è ritenuto responsabile della conoscenza dei problemi di sicurezza e di altre potenziali insidie ​​e raramente verrà avvertito che stanno per compromettere o danneggiare il proprio sistema.

Uso un PPA per Telegram, vedi questa risposta per tutte le modalità di installazione di Telegram . I PPA utilizzano il meccanismo di verifica della firma di APT, ma presentano ancora alcuni rischi perché ti stai affidando al manutentore. I PPA forniscono una certa comodità, aggiornandosi quando si eseguono gli aggiornamenti (se il manutentore aggiorna il PPA), rendendo il gestore dei pacchetti consapevole che si dispone del software e così via.

Software installato localmente

Il software, scaricato (o copiato localmente in alcun modo) ed eseguito localmente (dal tuo utente) può potenzialmente fare tutto ciò per cui non hai bisogno delle autorizzazioni di amministratore. Ciò include la rimozione dei file (personali), che la maggior parte di noi troverebbe dannosi.

Se hai effettuato l'accesso a qualsiasi cosa e il software funziona come utente, idem, ma pensa anche a script o comandi che potresti aver aggiunto al file sudoers.

Nel caso in cui tu abbia un account amministratore e il software richieda la tua password e tu la dia accidentalmente, tutto potrebbe succedere.

Avvertimento?

Senza fornire la password, il danno potenziale sarà limitato al proprio account. Non vorrai che Ubuntu ti avvertisse per ogni singolo comando che esegui, deliberatamente o no.

Ecco perché semplicemente non dovresti eseguire codice da fonti che non sai se puoi fidarti di loro, a meno che tu non comprenda appieno il codice.