Исходное сообщение
"В AUR-репозитории Arch Linux найдено вредоносное ПО" Отправлено Аноним, 12-Июл-18 00:14
>А вот когда речь идет о количестве софта в репе, то арчеводы почему-то любят ходить гоголями и гордо кивать на АУР Объясняю для танкистов. Момент первый. В АУРе примерно 25-40% поддерживаемых сборочных скриптов (PKGBUILD). С помощью этих скриптов с пол пинка создаётся пакет, который потом под контролем пакетного менеджера (а не бардак, как у адептов configure && make && make install). Сюда же стоит отметить простоту синтаксиса, и как следствие простоту поддержки PKGBUILD в актуальном состоянии. Именно поэтому они кивают на АУР. Момент второй. АУР во многих аспектах создан по гугловому принципу "Don't be evil", который сейчас и нарушили - загрузили скрипт подтягивающий дрянь. Да в текущем виде подобных атак можно провести вагон и тележку - в постинстальные скрипты добавить патч Бармина, например. Отсюда и всякие "Any use of the provided files is at your own risk", который болдом висит на главной странице АУРа, отсюда и манёвры с Trusted Users, отсюда и голосовалка, чтобы откровенная дрянь или мало кому нужная херня не попала в community. Момент третий. И, на мой взгляд, самый важный. В стародавние времена, люди сами просматривали PKGBUILD перед тем, как собрать его с помощью makepkg. Сейчас, с появление автоматизаторок, и в особенности yaourt, который во многих в скользких ситуациях, предлагает решения в стиле "пох*й - пляшем", этап рецензирования просто выпал. Вот и всё - нагибание принципа "Don't be evil" и отсутствие минимальной гигиены привело к таким печальным результатам.