sebsauvage
@sebsauvage@framapiaf.org  ·  activity timestamp last month

🐧 #Linux#sécurité #malwares
Merde merde merde. C'est le truc auquel on avait échappé jusque là et que je craignais de voir arriver : Des packages malveillants dans les distributions Linux (Juste Arch pour le moment).
Je pense que nous n'en sommes qu'au début 🙁
https://lists.archlinux.org/archives/list/aur-general@lists.archlinux.org/thread/7EZTJXLIAQLARQNTMEW2HBWZYE626IFJ/
M.
@DP0RSS1@piaille.fr replied  ·  activity timestamp 4 weeks ago
@sebsauvage On y avait pas vraiment échappé hein. Tu te souviens de l'ISO vérolée distribuée par Mint en 2016 ? De XZ l'an dernier ? De PyPi ? Du github de Gentoo ou encore de phalanx sur kernel.org ? Des chercheurs du Minnesota qui ont réussi à compromettre volontairement près de la moitié des projets auxquels ils ont contribué.
Ici c'est AUR donc le risque est donc encore plus élevé puisque tout repose sur un random. Et malheureusement ça ne va pas aller en s'arrangeant.
Éric V.
@daks@mamot.fr replied  ·  activity timestamp 4 weeks ago
@sebsauvage
Le faut d'utiliser de plus en plus de packages faits par des utilisateurs, du type flatpak, snap ou appimage, va à mon avis augmenter ce risque fortement. Ça a qqs avantages (souplesse, rapidité et même qqs mécanismes de sécurité) mais on perd énormément sur la chaine de confiance. Je reste sur debian pour celle-ci 😉 (même si j'utilise aussi un peu de flatpak et appimage)
Franck Deniau
@bamapasmie@mastodon.social replied  ·  activity timestamp 4 weeks ago
@sebsauvage Ce n'est pas spécialement nouveau. Il y a quelques années, Linux Mint avait retrouvé des ISO vérolés sur son serveur. Ce n'était qu'une question de temps avant que ce soit les paquetages qui se retrouvent vérolés. Ah, on me murmure à l'oreillette que Canonical a été obligé de faire du ménage dans sa boutique de snap il y a quelques mois pour cause de vérolage de snap. Donc c'est bien ce que je dis : rien de nouveau sous le soleil.