W repozytorium AUR systemu Arch Linux wykryto ponad 400 zainfekowanych pakietów

W tym tygodniu repozytorium użytkowników Arch Linuxa AUR padło ofiarą zakrojonej na szeroką skalę kampanii złośliwego oprogramowania, w wyniku której zainfekowano ponad 400 pakietów dostarczonych przez użytkowników.

[psiversum]

Jedyne co może dziwić to dlaczego dopiero teraz. Spokojnie można założyć, że od dawna siedzą tam paczki z niespodziankami, których latami nikt nie wyczaił.

Same oryginalne repozytoria są swego rodzaju obarczone umową honorową, bo nie da się sprawdzać każdego kontrybutora. Tym bardziej, że ludzie o niecnych zamiarach potrafią latami udawać zaangażowanych fanbojów. Do tego tacy kontrybutorzy nie zawsze muszą korzystać z właściwych źródeł oprogramowania, czy rozumieć nakładane przez siebie łatki.
I o

[FLAC]

@psiversum: bo teraz AI wkracza do skanowania kodu, wcześniej nie było komu tego przeglądać a często też człowiek nie wyłapie dziury. AI nauczone jest w stanie wyłapać dziury podobne do innych, znanych już.

[kwanty]

bo teraz AI wkracza do skanowania kodu, wcześniej nie było komu tego przeglądać a często też człowiek nie wyłapie dziury. AI nauczone jest w stanie wyłapać dziury podobne do innych, znanych już.

@FLAC: Ten miecz ma niestety dwa ostrza - AI potrafi łatwiej wyłapywać podatności/błędy ale również łatwiej je umieszczać w kodzie (łatwiej w sensie taniej i na masową skalę). Ciekawe na jakim poziomie ustali się equilibrium...

[3g4w4re3ewedw]

Jako dwudziestoletni samotny facet uważam, że naprawdę ciężko jest znaleźć dziewczynę, która faktycznie interesuje się wolnym oprogramowaniem. Zdarzało mi się, że dziewczyny żartobliwie proponowały „Netflix and chill”, ale kiedy mówiłem im, że nie korzystam z Netflixa, ponieważ wymaga on zamkniętego oprogramowania do strumieniowania treści, przestawały ze mną rozmawiać. Co gorsza, jeśli jednak zostawały, uważały mnie za dziwaka, ponieważ zablokowałem adresy IP Google w moim pliku host i nie mogliśmy nawet oglądać Youtuba.

[Tortoveno]

@3g4w4re3ewedw: Do czarodzieja Stallmana wciąż jeszcze daleko. Powodzenia padawanie! ;)

[nameisnull]

Efekt coraz większej popularności + AI gdzie czas napisania dowolnego szkodliwego skryptu jest praktycznie zerowy. Wstrzykiwanie kodu - łatwizna. Teraz kazdy pakiet aur trzeba będzie dodatkowo skanować ai bo człowiek nie ogarnie. Co za ciekawe czasy idą

[eSUBA94]

@nameisnull: idzie dostać k-----y i nic nie aktualizować z pakietów

[DuckDuckDog]

sam się kiedyś załapałem na zainfekowanego skype'a z AUR. Arch dobry jest, póki korzystasz z oficjalnego repo a nie AUR

[fervi]

@DuckDuckDog: Tylko po co korzystać z Archa bez AUR? :D

[blargotron]

@DuckDuckDog: Nie mówię, że obwiniasz, tylko, że pakiety binarne nie gwarantują, że sam soft nie jest malware.

No desktop ma po prostu działać i dlatego używam Archlinux. Bo aktualizuje sobie ciągle latami i jest git. W takim Debian i jego odmianach jest absurd, gdzie musisz co jakiś czas robić reinstall albo konwersję na nowe repozytorium (dist upgrade), która może ci rozwalić system.

[Sztajmes_Nikczemny_Szlifierz]

Ja się przesiadłem na Fedorę. Coś pomiędzy stabilnością Debiana a nowością archa. Ba w zeszłym tygodniu zainstalowałem ojcu Fedorę z kde plasma. Nie mam do czego się przyczepić.

[ydnaa]

@Sztajmes_Nikczemny_Szlifierz: Od ponad 3 lat na Fedorce i mogę powiedzieć to samo.

btw,
Polecam się zainteresować wersją Atomic.

[jeanpaul]

w Fedorze też masz flathub z uj wie czym

@PopeLeon: apikacje z flathub flatpak'a sa zdecydowanie bezpiczeniejsz bo funkcjonuja w sanboxach, ktorym mozesz (i powinienes ograniczac uprawnienia. Flathub zawiera tez oprogramowanie certifikowane, wiec z zalozenia od certifikoweanych dostawcow.

Zdecydowanie wiekszym problemem sa repozytoria copr (Community Projects Repositories):

[strach_overflow]

~0.35% - faktycznie sporo. Ale z drugiej strony to nie jest oficjalne repo, Cała idea AUR polega na tym, że pozwala instalować najnowsze (nieoficjalne) wersje paczek programów, często w ogóle nieistniejąchych w normalnych repo. Instalowanie z AUR w zasadzie nie różni się od odpalania skryptów pobranych bezpośrednio z githuba (w wielu wypadkach dokładnie to ma miejsce). Jak nie chcesz ryzykować, to ogranicz się do oficjalnego repo, które i tak jest bogatsze niż

[blargotron]

@strach_overflow: Jakich skryptów z githuba? Pakiety buduje makepkg i skrypt PKGBUILD jest ściągany z AUR.

[3g4w4re3ewedw]

Pozwolisz, że wtrącę się na momencik. Rzecz do której się odnosisz jako Linux, to w gruncie rzeczy GNU/Linux lub jak ostatnio zacząłem to nazywać - GNU plus Linux. Sam Linux nie jest systemem operacyjnym, lecz kolejnym wolnym (od wolności) składnikiem w pełni funkcjonalnego systemu GNU, użytecznego dzięki głównym bibliotekom GNU, narzędziom powłoki oraz niezbędnym składnikom systemu, składającym się na kompletny system operacyjny, zdefiniowany przez POSIX (ang. Portable Operating System Interface for Unix

[vingrosz]

@3g4w4re3ewedw: Ciekawe dzięki za wyjaśnienie

[jeanpaul]

użyj Alpine to się zdziwisz. Tam nawet glibc nie ma

@Senex: napisałeś prawdę a cie minusuja.

+

[a7c8]

Mam prawie 10% programów z listy( ͡° ʖ̯ ͡°)

[chillybilly]

@a7c8: odpaliles skrypt sprawdzajacy z powiazanych?

[Commodore_64]

Czekam na Debiana po ostatnich zmianach kadrowych. ( ͡° ͜ʖ ͡°)

[xe29gR3xL3Z1]

@sylwke3100: lepiej żebyś nie wiedział, ale to nie jest system dla białych heteroseksualnych Mężczyzn

[derylio1]

@sylwke3100 pachnie curry