Gentoo na GitHubu hacknuto

Vývojáři linuxové distribuce Gentoo oznámili, že jejich mirror na GitHubu byl hacknut. Veškerý Gentoo obsah na GitHubu by měl být považován za kompromitovaný.

29.6.2018 00:22 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

The Gentoo organization on GitHub was rebranded into "Linux For Negroes" and all eBuilds were allegedly injected with a healthy dose of rm -rf /*.

[Michal Kubeček]

U Gentoo neběží build v chrootu (případně VM)?

[Filip Jirsák]

Standardně ne. Alespoň pokud se v poslední době nic nezměnilo. Ono se ani nerozlišovalo mezi závislostmi nutnými pro kompilaci a pro běh (i když v ebuildech to rozlišené bylo). Bylo dost práce s tím udržovat skripty vůbec tak, aby na většině systémů build proběhl bez zásahu uživatele – mít je ve stavu, kdy si s sebou do chrootu vezmou vše potřebné, by bylo sice hezké, ale ještě o několik řádů pracnější.

[Michal Kubeček]

To je dost nepraktické. U openSUSE už to dospělo do opačného stavu, kdy nikdo ani moc neřeší, jestli vůbec source RPM ještě jde buildit přímo rpmbuildem. U některých se dlouhodobě ví, že to za určitých okolností nejde (typicky když je příslušný balíček nainstalovaný a/nebo služba běží), ale nikoho to netrápí.

[Filip Jirsák]

To je prostě Gentoo, je to podstata distribuce kompilované na cílovém počítači ze zdrojových kódů. Má to své problémy a nemusí to vyhovovat každému.

[David Heidelberg]

Běží v sandboxu a samozřejmě nemůže sahat na jiné soubory než vlastní :)

Pokud chápu správně, tak při nejhorším se sestavení aplikace místo instalace souborů nenainstaluje nic... *

*pokud si samozřejmě někdo nevypne sandbox ve FEATURES

[Filip Jirsák]

Jenže sandbox není chroot, sandbox je jenom to, že se zdrojáky rozbalí do určeného adresáře, pak se v něm zkompilují, přesunou se do adresářového stromu imitujícího kořenový souborový systém, tam se provedou případné další úpravy, a teprve když vše projde, přesunou se odsud do samotného systému. Čte se ale pořád z originálního souborového systému (když kompilace závisí na nějaké knihovně nebo se spouští nějaká utilita, čte se to normálně z hlavního systému). A zápisu do hlavního souborového systému brání jenom Q&A testy, které ověřují, zda tohle ebuild nedělá. Když ebuild bude zapisovat přímo do cílového souborového systému, je jenom označen příznakem a když ho zkusíte nainstalovat, emerge vypíše varování, že bu bu bu, tohle by ebuild dělat neměl, někdo by to měl opravit.

ebuild je prostě pořád jenom shell skript, takže zaručit, že nebude dělat nějakou neplechu, je dost obtížné.

[Roman]

A proc tedy libsandbox dela PTRACE a filtruje syscalls?! https://wiki.gentoo.org/wiki/Project:Sandbox Prosim nekomentujte k vecem, kterym nerozumite a pouzivejte dal sve Ubuntu.

[Filip Jirsák]

Sandbox je především pomůcka pro autory ebuildů, není to spolehlivé bezpečnostní řešení. Jednak je aktivní jen v některých fázích buildu, jednak má takové zajímavé funkce jako třeba addwrite.

Bývaly doby, kdy jsme byli jako uživatelé Gentoo hrdí na to, že něco známe, a respektovali jsme, že někdo používá jinou distribuci. Evidentně je dnes už Gentoo i pro blbečky, kteří neumí číst a myslí si , že někoho urazí, kdžy ho označí za uživatele Ubuntu.

[Andrej]

Ne. Zatímco v Archu je fakeroot samozřejmost už snad 10 let, některé distribuce se na tuhle základní věc nezmohly dodnes.

[ehm]

Microsofte?

[deda.jabko]

Neco takoveho se pry jednou stalo i Debianu. ;-]

[Xerces]

Dnes už je to téměř jisté, mohli za to Gentooisté.

[Milan Beneš]

To není úplně přesné, gentoo-mirror na githubu zůstalo nejspíš nedotčeno. (https://github.com/gentoo-mirror/gentoo).

každopádně je to ostuda, pamatuji si, že se už něco podobného stalo (bylo to horší, byl modifikován přímo obsah portage, cca 12 nebo 15 let zpátky)

[Grunt]

Doufám že se jim nepodařilo ukrást zdrojové kódy.

[hahah]

snazis sa byt vtipny? kazdy vie ze gentoo nema zdrojove kody

[Grunt]

To je fakt. To by bylo vtipnější když by někdo ukradl nekompilované binárky, alias stovky hodin procesorového času v trapu…

[ehm]

Škoda že do toho museli tahat rasismus, mohli s tím udělat něco vtipného. Logo Ubuntu s tématikou meloumu? Dost ubohé a to nejsem žádný uječený soyboy.

[Olaf]

Kde je v tom rasismus?

[ehm]

Linux for negroes a meloun ti rasistické nepřijde? To bych potom rád věděl co ano...

[Olaf]

Nerozumím. Bledá tvář je také rasismus? Monte Negro? Niger? Nigeria? Skutečně? Meloun je jak Čech aka Knedlík. Je to fakt rasistické? Proboha, no tak.

[k3dAR]

a jakej jinej nez rasistickej duvod by mohlo mit ono zvoleni?

[ehm]

Tenhle druh rasismu, co předvádíš, je nejhorší

[Nic]

Nechte si obadva nesmyslné plky o rasismu, všichni víme od kterých Sorosů, neziskovek atd. ve skutečnosti tenhle vítr zášti vane, a vraťme se prosím k Linuxu.

Z cizích i z vlastní zkušenosti tu všichni dobře víme, že tohle není první a ani poslední distribuce a repozitáře, které se někdo pokusil kompromitovat. Moje zkušenost byla třeba taková, že jsem si zhruba před rokem na Mageie 5 nainstaloval nfs-utils a po namountování s úžasem zjistil, že je prováděn nějaký druh ARP útoku. Týkalo se to tehdy jak 32bit verze, tak 64bit verze. U Gentoo je to specifické jen tím, že to "jede" přímo ze zdrojáků, čili překlad té události je, že si někdo testuje, jestli si toho někdo všimne a případně za jak dlouho. Proč asi, je jasné že další ošklivé úmysly s tím mají také

Za tímto stojí často i hodně velké "týmy" a miliony dolarů, o čemž nepřímo svědčí například i to, že aktivně využívají intelí IME, takže vlastně kompromitovaný hardware (i zde se už psalo, co je IME za bezpečností propast do systému) a není tudíž na novějších procesorech a strojích možná žádná efektivní obrana (čerstvá zkušenost z minulého týdne, kdy stačil ke ztrátě dat pouze fyzicky připojený kabel, aniž by byl v systému aktivní síťový adaptér a "link up"). Takže otázka, která se vynořila už se systemd, pokračuje s penězi a zásahy do svobodného SW od Micro$oftu (nejen), i nadále zní: Jak zabránit erozi Linuxu jako principu svobodného software (tedy v podstatě svobody samotné) a jak ochránit Linux i svobodu před útoky mocných psychopatů, kteří mají o světě kolem sebe a lidech v něm svoje zvrácené představy, za kterými si ovšem reálně jdou (bohužel), a to za pomoci kohokoliv a čehokoliv, včetně Linuxu samotného i svobody jako takové ("svoboda škodit")? Teď mluvte, a ať to stojí za to, je-li vám Linux milý.

[k3dAR]

btw: nebyl kompromitovan repositar gentoo, ale "jen" mirror na githubu...

[Nic]

To je přeci jedno, řešíme to v širším záběru. Tedy pokud nechcete jen zbytečně odvádět pozornost někam jinam.

Jaký je váš návrh ohledně ochrany Linuxu, distribucí a repozitářů, a ochrany lidské svobody všech, tedy svobody jako takové? Není načase se proti žralokům např. nějak konsolidovat? A jak například, když mnozí ani nepoznají, že se něco děje (a jiní třeba zavádějí nesmyslnými poznámkami mimo téma)?

[k3dAR]

pokud si sam nechtel odvadet od tematu teto vetve, mohl si to postnout jako vetev samostatnou...

[Nic]

Tématem této větve jste udělali rasismus, a ten sem opravdu nepatří. Je jen na tobě, kterým směrem se chceš vydat, dveře jsi viděl.

[ehm]

Ty tu nerozhoduješ, bráško, tak se uklidni. Jestli vidiš dveře, tak jimi laskavě projdi a založ si nové vlákno.

[Nic]

Já ani nemám ambice tu o něčem rozhodovat, ale pár lidí si tu evidentně sedí na vedení.

[ehm]

Pravda, třeba jsi jenom blbej, .

[Titulář]

Nechte si obadva nesmyslné plky o rasismu, všichni víme od kterých Sorosů, neziskovek atd. ve skutečnosti tenhle vítr zášti vane, a vraťme se prosím k Linuxu.

Sis splet portal, ty kokote. Do rasismu zklouznout je jedna vec (i zde se stane a resi se vicemene konstruktivne), ale delat ze sebe nezavisleho spravedliveho a do toho stihnout hned v uvodu natahat kecy o Sorosech, neziskovkach a vetrech? Jen me vzdycky zajimalo - ty a tobe podobni, mate vzdy jako pomucku postit-ky na monitoru, nebo uz to vetisna z vas zvlada z hlavy?

Druhak by me zajimalo, jak to, ze nikde, kde byste mohli dostat na hubu nejste prakticky videt? V hospodach ve mestech vetsich, nez malych, to maximalne prohodi sem tam nejakej opilej strejda a mladi (under 50) se smeji, v nocnich hospach to neuslysis skoro vubec (tam nabiraji veci rychly spad). A s putykama pro 20 lidi, kde sedi nejakej vyvrhel, co uz ani Ultras nechtej na me nechod, chlapce.

Ale jesli to nebude tim, ze on ten "slunickar" v diskuzi nakonec nebude normalni capek, co si proste nenecha srat na hlavu a klidne se i hlavou do tupeho "nacka" pusti v realu (hint: vsimni si, kde jsou uvozovky a zapis na post-it). A stejne tak nemusi nikterak vitat ekonomicke a chirurgicke migranstvo.

[Nic]

Ani ne kokote, že nechápeš širší souvislosti je tvůj problém (no, nejsi v tom sám, jak zde vidno), což se týká i toho tvého textu dále - jako třeba že ti ani nedojde, že když někdo nepije, tak proč by chodil do hospody, například. "Yntelygence" par excellence. A pokud máš snad pocit, že dát někomu přes hubu v hospodě něco v tomto smyslu řeší, tak by sis měl napřed asi srovnat v hlavě fakt, že ten Soros a spol. tam taky nechodí, když už seš z něj teda tak napruženej, ty hospodskej hrdino.

A jen tak mimochodem, svou zášť tu předvádíš vskutku velmi osobním způsobem. Asi jsem se zas tolik nespletl, teď zbývá jen otázka jestli jsi blbej agent, nebo jen blbej (ale ne na mě, já tě dál řešit nebudu).

[Olaf]

Obyčejně bývám k lidem velmi slušný. Ale teď to rád poruším. Jsi vepř. Vlastně hloupější vepře. Protože absolutně nemáš a nemůžeš mít Ahnung, v jakém prostředí se pohybuji, zda mám kamarády a rodinné příslušníky z jiných ras a zda já jsem náhodou nejsem buď míšenec, nebo jiná než bílá rasa. No, naštěstí je pravda, že mé prostředí je nerasistické, takže si nemám problém promluvit racionálně se všemi o faktech.

A nyní předpokládejme, že v tvých očích skutečně platí, že jsem rasista. Tys řekl, že to, co předvádím, je nejhorší druh rasismu. Skvělé. Já třeba měl za to, že černoši v USA oběšení na stromech, zapálení loučemi KKK, bílí systematicky vyvražďováni v JAR nebo Češi hořící vzhůru nohama byli poněkud silnějším projevem rasové nenávisti.

[ehm]

Jak jsem předpokládal, záměrně ignoruješ kontext. Ono co je taky na pálení křížů špatného, vždyť jsou to jen kusy dřeva? A proč by někdo nemohl nosit bílé pyžamo, co nám to ten Soros a neziskovky zase cpou? Proč by někdo nemohl viset vzhůru nohama, Tyrš to dělal obden na ribstolích, tak jaký rasismus?

Takhle se vyjadřuješ, srovnej si to v hlavě vepřová hlavo.

[Nic]

Nemá cenu se tu s nimi zahazovat, šetřte si nervy a síly (což je řečnický obrat, kdyby to tu snad zas nějaký sociopat z nich nechtěl pochopit a rád by to překroutil na kecy o nějakém rozhodování, nebo co). Někdo hackne Gentoo github, a zde se v diskusi řeší rasismus a hospodské rvačky a když na to někdo upozorní a nabídne jiný směr, ještě schytá pár nadávek a urážek od anonymů - co na to říct? Asi "Jak hrdinské", ale jen tím potvrzují, že "Na tom jablku něco je". To chce klid.