Jak infikovat balíčky v AUR

AUR je komunitní repositář balíčků pro distribuci ArchLinux. Nyní byl zveřejněn popis, jak provést útok na balíčky, které něco stahují z expirovaných domén, nebo mají závislosti na balíčky, které odkazují na expirované domény. Celkem bylo nalezeno 14 expirovaných domén, které se používaly ve 20 balíčkách. Podrobnější informace v článku Hijacking AUR Packages by Searching for Expired Domains.

27.10.2022 08:53 | Max | Zajímavý článek

Komentáře

[hm]

jojo tenhleto os uziva voodoo jak tu psal +1 za bezpecnost hele kolik programku ma archlinux a kolik od uzivatelu pro ostatni ??? velice profesionalni os nebudu se hadat

[Max]

Podobně jako u jiných distribucí, tak i u Archu si vystačíš s balíčkami z oficiálního repositáře, který je ověřený, kontrolovaný a nejsou s ním problémy. Zbytek je v AUR a při každé instalaci by jsi si měl ověřovat PKGBUILD, co se odkud stahuje a instaluje. To je celý princip. Díky tomu jsi pak schopný do Archu nainstalovat cokoli, samozřejmě za cenu nutné kontroly.
Podobný přístup má myslím Gentoo.
Nevidím v tom tedy takový problém.

Windowsí balíčkovací systém je pak založen na podobné "důvěře". Máš nějaký oficiální důvěryhodný seznam a pak komunitní balíčky. Jen to nemáš rozdělený do více repositářů, ale máš to všechno v rámci jednoho.
Zdar Max

[VoDo]

no prave to "mas overit pkgbuild" je takova zaminka ze pak za vsechno muze uzivatel, kdo to prochazi? Nikdo. Kdyz chci neco co neni v repo tak koukam po app image to by melo byt v piskovisti.

[Max]

Já si to ověřuji.
Zdar Max

[hm]

hele jsou tady japka a pak tu sou hrusky na windows stahuju z oficialni stranky original a ne z ulozto kamarade jo rozumime si a uzivatel ma kontrolovat pkgbuild joooo kolik archuiste to delaji delaji jen velike ramena a pritom jsou nikdo co nevi ani kontrolovat a jak tohleto je realita a nerikej ze ne kamarade

[VoDo]

Na linuxu stejne tak bud si to stahnes z ofiko repozitare, nebo ze storu jako flatpak nebo appimage (ma vyhodu ze se neinstaluje ale je to jako na jepku vse v sobe) z oficilanich stranek toho kdo ten program dela a nebo z AUR :)

[VoDo]

Archlinux se ani netaji tim ze: DISCLAIMER: AUR packages are user produced content. Any use of the provided files is at your own risk.

[Max]

Zjevně nevíš, že Windows mají balíčkovací systém, ve kterém mají hafec programů. A né, MS Store fakt nemyslím. Pokud jsi sto let za vopicema a nevíš to, tak by jsi se měl dovzdělat. Vtipný je, že tu hejtíš na Linux a vychvaluješ Windows a zjevně o něm nevíš nic :D. A nejvtipnější je, že tu hejtíš systém distribuce programů, aby jsi pak vzápětí prohlásil, že si vše stahuješ ve windows ručně ze zaručených zdrojů :D. tomu říkám pokrok z doby kamené do doby železné, jenomže už je rok 2022!!! A MS nezkopíroval jen UI z ostatních OS, ale i částečně balíčkovací systém, který je dostupný od Win7 .
Zdar Max

[VoDo]

On ma pisi jen na hry a na internety, bezny franta uzivatel, kterej dokaze nainstalovat hru treba na D misto na vychozi C a je z nej windows expert.

[hm]

kdybyjs tak vedel jake hry tedka jsou ale mozna jsi 100 let za vopicami a napoisled jsi hral asi tak tetris ??? radeji nechci protoze by jsi plakal ze to nejde na luniksu potrebujes poradny zelezo s radnou grafiku a procakem ne chrastitko co potahne pupi luniks

[VoDo]

me hry prestaly bavit nekdy v dobe kdy jsem zjistil fyzickej rozdil mezi holkou a klukem :)

[hm]

no joooo kdyz vidim jaky mas pristup ke bezpecnosti hledne os nechci vedet jaky bezpecni pristup k sobe mas k rozdilu mezi holkou a klukem :D snad rozumnejsi nez ten u luniksu hah

[VoDo]

covece a vypaltilo se to, misto hrani her jsem se zajimal o holky z toho mam rodinu a ve volnem case jsem se zajimal o software, dneska rikam jinejm jak ma program vypadat co ma delat, ja mam nohy na stole a beru vysoce nadprumernou vejplatu, hry jsou pro decka a pro dospelaka ztrata casu je treba se vzdelavat celej zivot, jsme tu docasne tak ho nepromarnit a jit do duchodu kolem padesatky!

[hm]

a ja vim co budes delat v duchodu buides vymejslet vlastni luniks os a pomenujes ho VodOS a mozna zacnes u dosu a po deseti letech zahodis cerny vokno znovuobjevis krasny vokenka a vis jak to cele dopadne stejne prejdes na vitezOS jen nekomu to trva mene jinemu o neco dele ale to je v poradku a na to prisel mnohem driv

[VoDo]

spatne, spatne, je tu moc linux distribuci, budu zase cestovat jako kdyz jsem byl v duchodu od 30 do 38 :).

[...]

Tohle mi prorokujou různí mudrlanti už od minulého milénia a samozřejmě se mýlí :)

( Jo, táhne se to ještě od dob, kdy mezi 500 nejvýkonnějšími počítači byly i nějaké bez Linuxu )

[hm]

kdyz ne ms store tak co jineho myslis

[VoDo]

cerny okno! A ne windows nemaj jen cmd ale i powershell a nekolik dalsich oken tak aby uspokojili windows adminy!

[Max]

Říká ti něco NuGet Gallery? To je prosím repositář pro vývojáře, přes který se v dnešní době distribuuje spousta věcí pro vývoj. Nu a na tomto distribučním řešení je založené Chocolatey repo, které má i placenou část pro firmy pro centrální správu a kontrolu. Obyčejnému uživateli stačí ta OSS verze.
Jednodušší už to snad ani být nemůže, ale chápu, že lozit někde po stránkách, stahovat ručně aplikace, pak je instalovat a pak přinejlepším ignorovat infa o nových verzích, nebo opět ručně kontrolovat, ručně stahovat a instalovat aktualizace je pro BFU jednodušší. Muhehe...
Zdar Max

[hm]

nelibi se mi ze rikas mojemu nazoru hejt a pritom je to jeste nazor kery se deje v realite a je overitelny nic nehejtuju ja rikam jak se veci maji a tohleto admini tady velice nechapou chapou to jako troling haha bez komentare.....

[Max]

Je to hejt, protože něco snižuješ a něco naopak vychvaluješ, ale přitom obě dvě věci jsou na podobné úrovni, resp. to, co vychvaluješ, je pak o něco horší, protože to plně nepokrývá aktualizace záplat.
Zdar Max

[hm]

kdyz neco snizuji a je to pravda tak pomenuj jsi to jak chces stejne se z toho nestane lez bude to pravda a jak si to tady nekdo vysvetluje bude jenom jeho problem mozna kdyz to nekoho dela smutek nech se zamysli nad sebou a vyjde z te pohadky ve ktere zije ja tu psajem to vod cemu zakryvate voci protoze se toho bojite ??? nevim a je mi to fuk ja jsem v pohode narozdil vod komplexadmina kery tu lita v oblaccich mujboze

[Max]

Podívej se na autora zprávičky . Také doporučuji si ještě jednou přečíst, co jsem napsal a na co reaguješ .
Zdar Max

[hm]

hele ja uz nevim vocem tady se toci kdo koho komu ja jenom tolik vukaz mi jednu vec kerou jsem tady napsal a byla to lez aneb nepravda co nemuze byt pravda aneb nesvobodnej pravoplatni nazor nekoho na neco rikam ti nic takove tady nenajdes kdyz to podle tebe je hejt tak je to tvuj nazor za kery te ja nebudu cenzurovat narozdil vod toho ruzovyho pohadkovo letajiciho konika :D takhle poznas level kamarade

[Max]

Když se ti něco nehodí do krámu, tak začneš dělat hloupého a psát nemysli? Ok, každý je nějaký.
Zdar Max

[VoDo]

Nepouzivam AUR. Prave z toho duvodu abych se vyvaroval nejaky pomsty od uhrouse, stejne jako na jepko neinstaluju nahodne programy a dokonce ani na windows ne!

[Jardik]

Toto je obecne problem u vsech dister, ty taky od nekud zdrojak stahuji, a kdyz se proste NSA rozhodne unest domenu a poruci cert autorite mu vystavit certifikat pro nejake to https,tak taky mate podvrzeny zdrojak. Je to problem fungovani internetu, ze kdykoliv muze kdokoliv prijit o domenu. Nebo i blbej operator to muze presmerovat, jak se ukazalo s cenzurou "proruskych" webu.

[petr_p]

A proto Phil Zimmermann vynalezl PGP, kde se na žádné autority nehraje. Zodpovědní autoři své výtvory podepisují.

[Jardik]

Jenze to bys ten klic musel dostat jinou cestou, nez zase pres internet, jinak to bezpecne neni. Na to se tak nejak zapomina...

[petr_p]

Proti diskutovanému útoku reálně stačí, že se klíč oproti podpisu verze vydané a viděné před měsícem, rokem, pěti lety nezměnil.

[VoDo]

Nalijme si cisteho vina, na linux je trivialni vytvorit nejakej skodlivej sw, daleko snaz nez na windows, staci jen ejakej navod (urocnik si projde fora co ted frci za problem a nabidne reseni) kde vetsina lidi bude jen delat kopy paste, sthane si nekde odnekud neco a je to, ALE cilova skupina je tak mala ze se to nevyplati.

[hm]

muj luniksovej kamo prijde den kdy budou mit vsichni archuiste nakopanej zadek a padnou na ten svuj veliky nos z tech jejich predstav jak bezpecni os maji to budou delat voci jak je to mozni vzdyt nas neni tolik a bum prask rikali ze se to nevyplati jooo tyhleto slova ti pak zopakuji jen vydrz kamo

[VoDo]

nikdy jsem nemel problem ani na windows ani na arch ani na jepku nevim co resis, problem maj korporaty ze nejaka blbka klikne na prilohu a stahne vira a jede jeste navic pod adminem :) Normalniho cloveka se zadna virova hrozba netyka, ted frci socialni podovdy kfy ti zavola interpol ze sis pujcil auto a je v nem mrtvola a na vyreseni problemu jim das pristup do bankovnictvi protoze to chces vyresit ne. Nebo bohata nevesta ktera chce jen pujcit atd...