Raspberry Pi OS: Zoff um Microsoft-Paketverzeichnisse nach Update

Inhaltsverzeichnis

Die Macher von Raspberry Pi OS, der offiziellen, Debian-basierten Linux-Distribution für die Minicomputer der Raspberry-Pi-Serie, sehen sich aktuell teils heftiger Kritik aus der Raspberry-Pi-Community gegenüber. Grund ist eine kürzlich durchgeführte Änderung in Raspberry Pi OS, die Paketquellen für den Paketmanager APT hinzufügt: Damit Nutzer künftig Pakete wie Visual Studio leichter als bisher installieren können, integriert die Distribution ab sofort APT-Verzeichnisse von Microsoft. Und das nicht nur auf Neuinstallationen: Auch auf bereits bestehenden Systemen aktiviert Raspberry Pi OS die Microsoft-Verzeichnisse ungefragt.

Auch wenn Microsofts Ruf in der FL/OSS-Szene mittlerweile nicht mehr ganz so schlecht ist wie zu jener Zeit, als man in Redmond Linux offiziell noch als "Krebsgeschwür" bezeichnete, sehen manche Nutzer von Raspberry Pi OS in dem neuen Feature Potenzial zum Missbrauch durch den Konzern. Zudem kritisieren sie die Art und Weise, wie die Neuerung umgesetzt wurde. Ein Reddit-Thread bündelt die Kritik, die die Entwickler der Distribution indes nicht nachvollziehen können.

Rückverfolgbarkeit durch andere Microsoft-Dienste

Die Tatsache, dass Raspberry Pi Linux künftig zumindest bei jedem Aufruf von "apt update" auch mit Microsoft telefoniere, schaffe eine Möglichkeit zur unfreiwilligen Identifikation von Raspberry-Pi-Nutzern, so die Kritiker der neuen Funktion. Denn sei ein Nutzer vom gleichen Anschluss aus bei einem anderen Microsoft-Dienst angemeldet, etwa GitHub oder Microsoft 365, könne der Anbieter die IPs der Zugriffe korrelieren. So erfahre Microsoft, wer einen Raspberry Pi zuhause habe, ohne dass der Besitzer dem ausdrücklich zugestimmt hat.

Ob und inwiefern man diese Kritik für stichhaltig hält, muss letztlich jeder Anwender für sich selbst entscheiden. Denn klar ist auch: Nicht nur Microsoft ist bei entsprechendem Nutzerverhalten in der Lage, diese Art von Korrelation mittels vorliegender Kommunikationsmetadaten herzustellen. Genutzte DNS-Dienste von Drittanbietern, etwa des eigenen Internet-Providers, hätten dazu auch die Möglichkeit.

(Unwillkommener) Besuch mit eigenem Schlüssel

Ein weiterer Kritikpunkt ist die Art und Weise, wie die neue Version von Raspberry Pi OS die Microsoft-Verzeichnisse aktiviert. Zum Hintergrund: Das Paketwerkzeug APT enthält für das Hinzufügen zusätzlicher Paketverzeichnisse eigentlich einen robusten Mechanismus – Pakete enthalten die Datei mit den Paketquellen im "sources"-Format und legen sie in "/etc/apt/sources.list.d" ab. Zum guten Ton gehört es zudem, neue Paketquellen ab Werk deaktiviert zu lassen, so dass Anwender sie bei Bedarf händisch aktivieren müssen.

Beim Hinzufügen des Microsoft-Repos gehen die Raspberry-Pi-OS-Entwickler aber einen ganz anderen Weg. Mittels eines Skripts im Paket "raspberrypi-sys-mods", das nach dessen Installation ausgeführt wird, legen die Entwickler die Datei in "/etc/apt/sources.list.d" an und fügen Microsofts GPG-Schlüssel automatisch als vertrauten Schlüssel in den APT-Keyring zur Überprüfung von Paketquellen ein.

Diese Vorgehensweise bewirkt, dass der Paketmanager dpkg (Debian Package Manager) "/etc/apt/sources.list.d/vscode.list" nicht als Konfigurationsdatei betrachtet und sie mithin auch nicht unter besonderen Schutz stellt. Normalerweise verhindert dpkg bei Dateien in "/etc", dass diese bei Updates automatisch verändert werden. Nicht so in diesem Fall: ein künftiges Update von "raspberrypi-sys-mods" würde das Repository wieder aktivieren, und zwar selbst wenn der Admin die Datei zwischenzeitlich gelöscht hat.

Kritiker wittern bewusste Heimlichkeiten

Dass das Skript zudem Microsofts GPG-Schlüssel ohne Rückfrage als "vertrauenswürdig" im APT-Schlüsselring hinterlegt, schaffe überdies noch weiteres Missbrauchspotenzial. Denn andere Pakete aus Microsofts Repositories lassen sich später, etwa als Abhängigkeit eines anderes Pakets, installieren, ohne dass der Nutzer es merkt.

Das Fass zum Überlaufen brachte in den Augen mancher Nutzer schließlich auch, dass die Änderungen am Paket "raspberrypi-sys-mods" in dessen Git-Verzeichnis offenbar erst auftauchten, als das neue Paket bereits flächendeckend ausgerollt war. Wer den Entwicklern böse Absichten unterstellt, könnte darin einen Versuch sehen, die Einführung der Funktion zu verschleiern.

Rollback umständlich, aber möglich

Wer Microsofts Zugriffsmöglichkeiten auf seinem Raspberry-Pi-OS-Systemen (auf eigene Verantwortung!) unterbinden will, kommentiert alle Zeilen in "/etc/apt/sources.list.d/vscode.list" per "#" aus und löscht den GPG-Schlüssel "/etc/apt/trusted.gpg.d/microsoft.gpg" vom System. Der Befehl "apt-mark hold raspberrypi-sys-mods" sorgt dafür, dass das inkriminierte Paket nicht automatisch durch eine neue Version ersetzt wird, nachdem man die Repos deaktiviert hat – der Admin muss "raspberrypi-sys-mods" später aber zumindest einmal händisch aktualisieren, falls er das Paket doch aktualisieren möchte.

Wer die "harte Tour" bevorzugt, verbietet Änderungen an den beiden genannten Dateien in "/etc/apt" mittels "sudo chattr +i", riskiert damit allerdings, dass APT das genannte Paket später nicht aktualisieren kann und mit einer Fehlermeldung abbricht.

Unverständnis bei den Entwicklern

Die Entwickler von Raspberry Pi OS können die Aufregung indes nicht verstehen. Eben Upton, Chef der kommerziellen Firma hinter dem Raspberry Pi, äußerte via Twitter, dass das Hinzufügen eines Repositories ein alltäglicher Vorgang sei und eine Kontroverse dieses Ausmaße kaum rechtfertige. Angesichts der offensichtlichen Empörung und der durchaus nachvollziehbaren Argumente und Bedenken der Community scheint diese Auffassung zumindest etwas kurzsichtig.

(ovw)