Userbase

Hackers blijken erin geslaagd te zijn om in te breken op de website van Linux Mint. Eenmaal binnen hebben zij via de website aangepaste iso-bestanden van de Linux-distro verspreid; hierin was een backdoor verstopt. De geïnfecteerde iso betrof versie 17.3 Cinnamon van Linux Mint.

http://tweakers.net/nieuws/108507/hacke ... anden.html

Ik had in der tijd Linux mint 17.1 gedownload niet de 17.3 , ik heb gewoon geupdate naar 17.3.
Is er een mogelijkheid dat de hackers ook iets gedaan hebben aan de updates?

Nee, de iso heeft niets te maken met de repo (waarlangs de updates gebeuren).

Als je een programma van het web download moet je altijd de auteurs en de website veiligheid vertrouwen. Het vertrouwen in de website veiligheid kan je verhogen door de md5 som (of andere hash) van je download te vergelijken met gepubliceerde hashes. Dit is ook wat Linux Mint voorstelt om te zien als jouw iso besmet is.

Als je download via een package manager, dan zijn alle packages ondertekend met hashes (bij de meeste besturingssystemen toch), dus moet je dit niet meer manueel doen, en moet je enkel de auteurs vertrouwen (wat meestal wel in orde is in de open-source wereld, aangezien iedereen hun code kan meelezen).

Checksums zijn eigenlijk ook makkelijk te omzeilen, je moet ze alleen maar mee aanpassen bij het hacken.
Signatures zijn op dat vlak beter.

Als de checksums op dezelfde pagina staan bedoel je? Ja, dan kan je die inderdaad mee aanpassen met de binaries.

Checksums op zich zijn eigenlijk alleen een pleister die werkt bij externe hosting en/of mirror sites.
Maar dan nog zijn signatures beter. Hoewel, als je met pgp zit moet je de public key ook wel vertrouwen; vraag me af of daar geen x509 oplossing voor is.