Tja, ist ja blöd gelaufen wenn man verwaiste Pakete „einfach“ an jemand neues übergibt.
Ich hoffe nur die finden eine Lösung und schalten es nicht komplett ab.
Deshalb sage ich es immer wieder: Das Problem ist nicht das AUR selbst, sondern weil die Leute zu faul sind um sich das PKGBUILD anzusehen. Wenn man es nicht versteht, kann man z.B. hier fragen, oder eine KI seiner Wahl.
Das ist wohl richtig, aber ich muss zugeben das ich das auch noch nie gemacht habe. Ich wüste auch gar nicht wie ich in der PKGBUILD erkennen könnte wenn damit was nicht stimmt.
Aber ich werde mir die Datei jetzt mal anscheuen wenn ich mal wieder was aus dem AUR installiere.
Mal sehen ob ich das verstehe.
naja, in diesem Artikel https://www.fosslinux.com/159893/arch-linux-aur-malware-security-crisis.htm
stehen leider ziemlich am Ende („How to Protect Yourself: The AUR Security Checklist“) ein paar Anweisungen, auf was man mindestens achten sollte: „Spend 30 seconds scanning for curl, wget, eval, exec, base64, or obfuscated strings.“
mit ein paar kleinen Kommandos wie git clone ... grep -n "curl|wget|eval|exec|base64|hidden" ... git log --oneline -5
zur Kontrolle
s. „Here is what a clean PKGBUILD review looks like in practice:“
Ja, kann ich nochvollziehen.
Aber, zum einen wie es @gosia bereits gesagt hat, und zum anderen, lasst euch überraschen was mein Paketmanager macht. Dauert aber noch etwas.
Ja sehe ich auch so. Ich habe auch das eine oder andere Programm aus dem Aur. Ich instaliere aber auch nur wenn in den Offizellen Repos nix finde. ICh wüsste auhc nciht wie man die OkBuild liest oder woran man erkennt is das gut oder böse.
Wenn ich die letzen atacken so ansehe is das Aur ja riesen gross und instalieren tute ich ja sogut wie selten was dadraus. Da habe ich noch Glück gehabt anscheinend. Aber wenn man leist das da Tausende Pakete betroffen sind und es es 100000 Pakete da gibt is das schon sehr heftig.
Da bin ich mal gespannt. Baust du eine Whiteliste rein? Aber wenn ja dann muste die am laufen halten da die Packer sich ja auch oft ändern neue dazukommen andre aussterben usw.
Das ist ja eben auch das Problem bei Aur da man am Ende keinen trauen kann und wenn da Pakete einfach so gekapert werden und von Hackern dann umgeschrieben werden das bekommt ja auch keiner so leicht mit.
Also leicht kann ich mir das net vorstellen was du da vorhast aber gutes gelingen.
Dauert aber noch etwas.