Fremdquellen

Aus Ubuntu-Forum Wiki

Begriffserklärung

1 Allgemeines

Als Fremdquelle bezeichnet man im Allgemeinen Paketquellen, die nicht direkt vom Ubuntu-Projekt stammen. Aus diesen können Erweiterungen für das Softwareangebot von Ubuntu, aktuellere Versionen, allerdings auch Gefahren stammen.

2 Gefährdung

Das Hinzufügen von Fremdquellen birgt grundsätzlich Gefahr für System und Daten.

Über Fremdquellen können nicht nur gewünschte Pakete installiert werden. Es ist auch möglich, Schadsoftware ins System zu schleusen. Daher sollte man mit dem Einsatz von Fremdquellen sparsam umgehen und nur unbedenkliche Quellen nutzen.

Auftretende Gefährdungen dabei sind u.a.:

• aktives Einschleusen von Schadsoftware durch den Betreiber der Fremdquelle
• fehlerhafter Code in den Fremdquellen
• Aufgeben der Fremdquelle durch den Betreiber » daraus resultierende Verwaisung des Pakete
  • Sicherheitslücken werden nicht geschlossen bzw. erst gar nicht erkannt
  • Pakete werden evtl. inkompatibel zum restlichen System

3 Hinzufügen von Fremdquellen

Fremd-, wie alle Paketquellen, werden in der sources.list eingetragen. Alternativ kann man dafür auch eine entsprechende Datei im Verzeichnis /etc/apt/sources.list.d/ erstellen. Beide Quellangaben sind dabei gleichberechtigt. Nutzt man die zweite Möglicgkeit konsequent für alle Fremdquellen, erhöht sich die Übersicht. Die zu erstellenden Dateien tragen den meist den Namen der Fremdquelle bzw. sollten sie dies. Der Inhalt ist mit der Angabe in der sources.list (wie er dort anderenfalls eingetragen worden wäre) identisch.

Letztere kann mit Root-Berechtigung in einem Texteditor bearbeitet werden. Es ist aber auch möglich, diese Konfigurationen in Synaptic oder mit KPackageKit vorzunehmen.

Grundsätzlich ist es notwendig, neue Paketquellen mit ihrem Schlüssel zu verifizieren. Viele Fremdquellen stammen von launchpad.net, der Plattform für Ubuntu-Entwickler. Beim Eintragen der Paketquellen muss man darauf achten, dass man die eigene Ubuntu-Version nach der URL einträgt. Mischt man die Software verschiedener Ubuntu-Versionen, kann dies zu starken Konflikten in den Abhängigkeiten führen.

Es ist auch möglich, Paketquellen von Debian einzubinden. Das sollte dann aber nur für einzelne Pakete, geschehen, niemals aber für die System-Pakete.

Die Community der Ubuntu-Entwickler stellt über ihre Plattform Launchpad ebenfalls eine Vielzahl von Paketquellen (Personal Package Archives) bereit. Diese sollten im Bedarfsfall der Vorzug gegenüber rein privat gehostete Paketquelleni gegeben werden. Auf Launchpad ist die Wahrscheinlichkeit höher, dass die Pakete auch von anderen Entwicklern gesichtet wurden.

Seit Ubuntu 9.10 Karmic Koala existiert das Paket apt-add-repository. Mit diesem kann man komfortabel PPAs hinzufügen:

sudo apt-add-repository ppa:name_der_paketquelle

Persönlich sehe ich von der Verwendung rein privatex-gehosteten Paketquellen ab und rate, solche ebenfalls nicht zu nutzen.

Ist ein Paket lediglich in einer solchen Paketquelle zu finden, so kann man dies auch manuell herunterladen und installieren. Die Gefährdungen sind aber auch gegeben. Man verhindert so lediglich, dass andere Software ebenfalls über diese Paketquelle aktualisiert/installiert wird.

Zum Abschluss muss dem System die neue Paketquelle bekannt gegeben und es auf den aktuellen Stand gebracht werden:

sudo apt-get update && sudo apt-get dist-upgrade