Quels sont les risques associés à l'exécution de 'sudo pip"?

• La menace s'appliquent uniquement pendant pip ou de les exécuter de quoi il installé?
• Le code installé uniquement avoir les privilèges root lors de l'exécuter en tant que root, pas toujours. Mais c'est encore du code à partir de l'Internet, s'il est malveillant, il peut aussi faire des choses mauvaises au moment de l'exécution.
• Mais c'est vrai que je sudo ou pas quand je pip, droit? Une fois qu'il est installé, nous sommes tous à risque, peu importe comment il en est arrivé là?
• Oui.
• Le risque est donc à l'instal de temps (comme tu le dis dans la réponse, je suis juste confirmer) et si je pouvais éviter que je serais en sécurité (ou au moins ne pas exposer à la ligue des dommages lors de l'installation). Puis-je accomplir que simplement me donner des autorisations d'écriture où (et) pip a besoin d'eux, et puis en exécutant pip que moi?
• C'est d'entrer dans le territoire, je suis mal à l'aise de répondre, non pas parce que je n'en ai aucune idée (j'ai un pressentiment et peut donner des raisons pour cela), mais parce qu'il est notoirement difficile de prévoir l'apparence de petits changements comme ceux-ci affectent la sécurité globale. En outre, il est généralement extrêmement simple pour éviter non seulement sudo, mais aussi à des problèmes d'autorisation par l'installation de ces paquets ailleurs (par exemple dans un virtualenv). Cela peut même être meilleures et plus fiables, même en ignorant toutes les préoccupations en matière de sécurité.
• Selon la nature exacte des autorisations d'écriture et la disposition des répertoires, j'ai peur que plus de logiciels malveillants sophistiqués serait de remplacer les autres plus de confiance de code, tels que le code utilisé par les utilitaires du système d'régulièrement exécuté en tant que root.
• Je pense que cela pourrait se transformer en un suivi sur la question (je pense que j'ai assez bien avoir ma réponse à la question posée ici), mais pourquoi me donner la permission d'écrire à site-packages et d'autres répertoires utilisés par pip installe en être autrement que de mettre les choses dans un nouveau dossier avec ces autorisations? Il semble que, aussi sûr que je peux m'attendre à obtenir, n'est-ce pas.
• mais pourquoi me donner la permission d'écrire à site-packages (...) – sudo pip ne vous donne pas des autorisations d'écriture dans des répertoires spécifiques comme site-packages seulement, mais à tous les répertoires dans le système.
• Donc, est-ce à dire que vous donnez la permission d'écrire à site-packages est de l'option recommandée? D'ailleurs je vois qu'une soluiton à installer sous un autre utilisateur. Est-il un recommandé meilleure façon d'exécuter pip sans l'aide de sudo? Qui serait le plus pythonic.
• Ma dernière note précise la méthode recommandée est de mettre en place un virtualenv. Le virtualenv aura un site-packages répertoire qui appartient à un utilisateur ordinaire.
• Cette réponse est pour le moins bizarre. Bien sûr, lorsque vous exécutez quelque chose avec sudo vous donner les privilèges de root; c'est le point de l'ensemble de sudo, et certainement pas spécifique à pip.

Tous les commentaires

• Donc tout ce que je besoin est, par exemple, me permettre d'écrire des autorisations de site-packages?
• pas seulement, comme certains paquets également installer des scripts d'assistance (comme pip lui-même, IPython, django, pygments, ...) de sorte que vous aurez besoin d'un accès quel que soit le répertoire dans lequel ils s'installent dans.
• Oui et non. Je ne suis pas expert en sécurité, mais je pense que c'est mieux si l'utilisateur qui exécute les scripts n'ont pas l'autorisation d'écriture. C'est pourquoi je suggère plutôt un utilisateur distinct.
• Oui, c'est logique; mais ces cas sont probablement facilement découvert que les choses ne sans les autorisations appropriées. Si bien que, n'est-ce pas le moyen le plus sûr pour aller ensuite le pire qui puisse arriver à mon système dans son ensemble est ce qui peut arriver quand je le lance rien, de toute façon, non? La seule différence est que je pourrais potentiellement ruiner mon installation de Python comme moi (plutôt que d'avoir à su le faire), à droite?
• Comment puis-je créer un utilisateur, dans le seul but de l'utilisation de pip (pas d'autres changements dans le système, comme un nouveau répertoire d'accueil, etc. besoin)? Après que je suppose que je viens de changer le propriétaire de site-packages à l'utilisateur, correct?
• Cela dépend de votre système. En supposant que linux, vous pourriez faire groupadd python; useradd -M pipuser -g python -d /tmp; passwd -l pipuser puis chgrp -R python site-packages; chmod -R g+w site-packages et enfin sudo --user pipuser pip install .... Je ne sais pas à propos de Mac.

Tous les commentaires