Dan McGee: Podepisování balíčků v Arch Linuxu

Dan McGee, hlavní vývojář pacmanu, se na svém blogu vyjadřuje k podepisování balíčků v Arch Linuxu. Jde o dlouhodobý problém (2006), první patche se objevily v roce 2008. Pak však jejich původní přispěvatel ztratil zájem a vše poněkud utichlo do roku 2010. To se zájem ze strany komunity poněkud obnovil a vznikly nějaké patche, hlavní vývojáři však poněkud zaspali s jejich revidováním. Letos v únoru se však objevil mail v konferenci, který rozpoutal dlouhou debatu, aniž by z komunity vzešel nějaký kód, a také bouři v médiích včetně pochybného článku na LWN. Tento článek Dan vyvrací a shrnuje současný stav následovně: Na podepisování balíčků se pracuje, chcete-li tuto práci zrychlit, zašlete patch adresující úkoly v TODO a uvědomte si, že vývojáři Arch Linuxu jsou dobrovolníci.

25.3.2011 01:36 | Nicky726 | Komunita

Komentáře

[Max]

Podle mně je to jedna ze zásadních věcí, které archu chybí. Dalším bezpečnostním problémem je aur, u kterého člověk při častějším používání inklinuje k slepé důvěře a přestává ručně kontrolovat pkgbuildy.
Zdar Max

[vogo]

Ale to je chyba uživatele, protože kontrola PKGBUILDu je důrazně doporučena. viz ArchWiki. Arch Linux je hodně zvláštní distribuce a pokud člověk nedává pozor na všechno co se systémem dělá, nemůže se divit, že se něco pokazí.

[Nicky726]

Ju, také bych řekl, že to Archu chybí. Arch ale funguje způsobem, že komunita řeší, co jí chybí, no a v tomhle případě se ukazuje, že to té komunitě zjevně tak moc nechybí.

[Martin Matějek]

Koneckonců proč ne, Slackware komunita funguje víceméně stejně (místo bugzilly je fórum) , ale podepisovat balíky někoho napadlo už dávno. Nebezpečí podvrženého kódu ze SlackBuildů teoreticky hrozí úplně stejný, ale zatím není akutní proto, že SlackBuildy spravuje několik důvěryhodných lidí. Škoda, jako lehce paranoidního mě to nepodepisování od Archu odrazuje.

[Shadow]

Byl vlastně vůbec někdy AUR zneužit k propašování nějakého trojana nebo něčeho podobného? Arch používám hodně dlouho, ale něco takového jsem zatím nezaznamenal.

[Begleiter]

Byl vlastně vůbec někdy AUR zneužit k propašování nějakého trojana nebo něčeho podobného?

To by mě taky zajímalo.

A vůbec by mě zajímalo, kolik lidí opravdu poctivě kontroluje PKGBUILDy. Já obyčejně určitý PKGBUILD letmo zhlédnu na přítomnost příkazů typu rm -R apod. Ale vím, že to nestačí, protože PKGBUILD třeba může stahovat "závadné zdrojáky".

[stativ]

Nevím o tom, ale už jsem viděl dost NEUVĚŘITELNÝCH PKGBUILDů. Jeden z nejzábavnějších měl asi takovouto funkci build:

build() {
  cp -a /home/franta/bordel/neco/build /usr/bin
}

[stativ]

Nebo jsem viděl na AUR balíček, kde byl zatargzipovaný několikagigabytový prázdný soubor.

[Begleiter]

Já dám dost na to, kolik hlasů daný PKGBUILD dostal. PKGBUILDy s menším počtem hlasů kontroluju důkladněji.

[Petr Ježek]

Používám Arch 7 let, nikdy jsem neměl žádný ve zprávě a výše naznačený problém. Pravda, nepoužívám žádné obskurní balíky a AURu, pouze prověřené jinými archery nebo odvozené z jiných dister, kde jsou běžně v repozitářích.

[Jendа]

Používám Arch 7 let, nikdy jsem neměl žádný ve zprávě a výše naznačený problém.

Nebo o tom jenom nevíš.

[M.Š.]

Jsem dlouholetý uživatel Arch Linuxu a todle mi opravdu nikdy nechybělo. Samozřejmě ho asi nebudu instalovat na nějaký produkční server ale na jen svůj desktop a pro způsob, jakým používám počítač je to pro mě nejpohodlnější distribuce. Navíc se mi zdá, že tam kolem sebe kope akorát jeden člověk který jě nějak přehnaně posedlý bezpečností.

[x00]

Ano ale keby niekto infiltroval mirrory archu tak by si tu kvical jak oklamane dieta.

[M.Š.]

Tak moc určitě ne. A určitě ne tady. Nicméně to neznamená, že jsem proti implementaci podepisování. Určitě by se podepisovat mělo ale způsob jakým to teď mezi vývojáře Archu vyplulo na povrch je poněkud neštastný a demotivující.

[Petr Ježek]

Milý příteli, nesuďte jiné podle sebe. Neumíte sledovat běžící procesy včetně oprávnění? Cizí prstíčky ve svém systému sekám ihned poté, co o so bě dají vědět...

[michich]

Odhalíš rootkity tím, že sleduješ běžící procesy? To ti gratuluji.

[Jakub Lucký]

A backdoor v OpenSSH poznáš podle cat /usr/sbin/sshd ?

[Jendа]

Samozřejmě ho asi nebudu instalovat na nějaký produkční server ale na jen svůj desktop

Jenže pokud ze svého desktopu spravuješ ty produkční servery, je v podstatě jedno, jestli je ten Arch rovnou tam nebo „jenom“ na tvém desktopu.

[jiri.one]

ja tedy podepisovani vubec nepotrebuji.

[imploder]

Kvůli tomuhle nemůže být Arch velkým, běžně používaným distrem se zapnutými automatickými aktualizacemi. Protože pak by se na něj zaměřili hackeři. Člověk si nemůže být jistý, že to, co mu proudí do počítače, je pravé a ne podvržené od hackera.

[Nicky726]

Arch nemůže mít zapnuté automatické aktualizace, protože jde o upgrady, vzhledem k RR povaze distribuce, a těm se musí admin věnovat. Pokud hledáš distro, co bude dělat věci za tebe, zkus třeba Ubuntu.

[imploder]

Mám Fedoru a ta dělá za mě myslím věcí dost. Kromě toho má oproti Ubuntu novější verze softwaru, necpe mi zvrhlosti typu křížek vlevo a nabízí kvalitní open-source 3D ovladače na ATI.

[pavlix]

Nejen kvůli tomuhle :).