pe 5 decembrie, cineva prin porecla IRC de [Ubuntu] sa alăturat canalului de telefon #pine din Pine64 cu un pod IRC. În spiritul tradițiilor de dăruire a cadourilor din decembrie, au oferit colegilor lor persoane de pinephone cu o utilizare – un joc de șarpe “. Ce [ubuntu] se presupune că a creat prospectivul de a fi de a fi un stoc, out-of-the-instalat o aplicație instalată, cu un cartier puțin devotat de ventilatoare, modori, precum și de supravegheri.

Din păcate, aceasta nu ar fi lumea alternativă pe care am fost on-line, precum și totul nu a fost bine cu pachetul care a fost împărtășit împreună cu un “hei gaiz am făcut de șarpele de șarpe chiar aici este link www2-pinphnoe-games-com-tz înlocuire Dash cu Dot Kthxbai “Anunț. Șocant, era un troian! Sub straturi de bază64, precum și Bashfuscator, ne-am întâlni codul Shell care ar putea fi în secțiunea “Exemplu de utilizare” a unei intrări de tezaur contemporan pentru cuvântul “yeet”.

Partea rău intenționată a codului nu este avansată – în afară de obfuscație, cel mai complex lucru despre asta este că este bash, o limbă cu necitabilitate coaptă în. Din cauza privilegiilor de rădăcină furnizate la instalarea pachetului, echivalentul contemporan bazat pe RM -RF / * nu are nici o dificultate de a-și face activitatea murdară de ștergere a sistemului de fișiere curat, rulează o bucată pe fiecare date în avans, dacă este oferită pentru recuperarea datelor ThWART. În ceea ce privește partea de recompensă “Ștergerea firmware-ului modemului celular”, acesta exploatează CVE-2021-31698. Toate acestea ar avea loc în miercuri ulterioară la ora 20:00, cu aranjarea făcută de un Cronjob susținut de sistem.

[Ubuntu] nu a împărtășit sursele, doar binarele, ambalate pentru o instalare simplă pe Arch Linux. Unul dintre celebrele membri de vecini de pin din pinephone a instalat acea binară, precum și a avut plăcerea în “jocul” parte din ea, întrebându-se despre planuri de a face o sursă deschisă – obținerea de reasigurare din [Ubuntu] că sursele vor fi eliberate în cele din urmă “, doar cerința de ao curăța “. Unii nu erau atât de siguri, argumentând că oamenii nu ar trebui să instaleze – aceste jocuri aleatorii fără un cod de reco de cod sursă. Oamenii au fost pe o alertă scăzută, precum și s-ar putea să fi fost la fel de multe se instalează în fața unui membru atent, precum și inteligent, a nevăzut pachetul, precum și oamenii informați la baza suspicioasă64 în scriptul de azi, aproximativ o jumătate de zi mai tarziu.

Cum traducem asta?

Acesta a fost un atac distructiv cu scară mică, dar de mare efort asupra utilizatorilor de pine, care vizează cele care utilizează arc în mod specific, apropo. Sendanul Malware a dezvăluit “eforturile de avansare a jocului” înainte de publicare, a rămas în canal făcând un pic de discuții mici, precum și Q & A, cât și altfel nu a fost rapid distins de un designer tipic care să binecuvânteze o platformă potențială cu prima lor platformă aplicație. O mulțime de toate, jocul de șarpe a fost extrem de autentic – nu este eliminat dacă codul ar fi putut fi furat de la un proiect open-source, totuși nu l-ați diferenția de la un joc de șarpe non-rău intenționat. Este curios că pachetul nu pare să trimită date personale la orice tip de servere (sau să cripte fișiere sau să vă forțeze să vă bucurați de anunțuri asemănătoare cu jocurile mobile contemporane) – ar putea, totuși, nu.

Cu cantitatea de muncă făcută pe ingineria reversă a modemului celular de pinon, este specifică că malware-ul profită de Cves găsite împreună cu acest efort. Nu v-ați aștepta ca un virus de telefon normal să scoată un truc de cărămidă modem celular, cu condiția fragmentarea lumii Android, precum și obfuscația lumii Apple. Destul de frezitor, firmware-ul dezvoltat de comunitate pentru modemul celular Quetel este imun la exploatarea bug-ului, precum și este mult mai completă, cu toate acestea, pin64 este necesar pentru a expedia firmware-ul exploatabil de proprietate în mod implicit pentru respectarea reglementărilor Motive – Consecințele pentru a ieși din linie pe care sunt suficient de drastici, conform unei surse de pin64.

Întrebări de primăvară în minte. Este pinephon o platformă fără risc? Luarea mea este – “da” când este comparată cu orice altceva, “nu” dacă vă așteptați să fiți fără riscuri necondiționate atunci când îl utilizați. După cum stă, este o platformă care are nevoie în mod explicit cu înțelegerea a ceea ce îl conduceți să faceți.

Cu o mai mare distribuție a sistemelor de operare oferite decât orice alt tip de alt telefon contemporan s-ar putea să se laude de a fi capabil să susțină, puteți utiliza ceva de genul Ubuntu Touch pentru o experiență netedă. Sunteți oferit general mai multă putere pentru a vă menține fără risc atunci când utilizați un pinephon. Persoanele care înțeleg perspectiva acestei puteri sunt tipul de oameni care contribuie la proiectul de pinon, motiv pentru care este regretabil că au fost vizați în mod deosebit în acest eveniment.

Alte platforme fixează astfel de probleme în moduri diferite, unde numai o parte din opțiune este aplicația software reală, precum și lucrările arhitecturale efectuate de platformă, precum și unul mai mult prin instruirea utilizatorilor. PentruInstanță, nu sunteți de așteptat să utilizați o aplicație de partid terță parte (sau firmware sau încărcător sau o metodă de prindere) pe iPhone, precum și Android are casetele de selectare a modului de designer pe care le puteți atinge dacă recreați a treia mișcare a “zborului de Bumblebee “cu degetul în ecranul Setări. Metoda ecosistemului Linux este de a depinde de kernel pentru a furniza primitive de siguranță la nivel scăzut la nivel scăzut, totuși obligația este pe distribuții pentru a integra aplicația software, precum și configurațiile care utilizează aceste primitive.

Aș sugera că distribuțiile mobile Linux ar trebui să definească, precum și să-și păstreze situația pe scara “Securitate”, elaborarea procedurilor pe care le ia atunci când se referă la aplicațiile terțe. Cu o jumătate de an în urmă, când pregăteam un rezumat pe diferite OSE oferite pentru pinephone, precum și pozițiile lor pe securitatea aplicațiilor, mi-a luat metoda mult mai mult timp decât m-aș simți confortabil să-și petreacă o sarcină de o asemenea semnificație.

Care sunt opțiunile noastre?

Gistul recomandărilor prevăzute la nou-veniți este “Nu configurați aplicația software aleatorii pe care nu puteți avea încredere”. În timp ce aceasta este recomandările minunate pe cont propriu, ați fi ideal pentru a sublinia – un joc nu ar trebui să vă poată șterge sistemul, precum și “obțineți mai mulți utilizatori” în mod normal nu este o strategie viabilă. Orice tip de strateg de siguranță în negare cu privire la falsificarea inerentă a omului nu o va face în lumea contemporană, așa că să vedem ce putem face lângă partea normală “educați utilizatorilor”. Ca de obicei, există un XKCD cu care să înceapă.

Chiar și posibilitatea de a compune o date arbitrare deținute de utilizatori pe un sistem Linux este “Jocul peste”. Spuneți, în $ acasă / .Bashrc nu este singurul dintre datele care se referă în mod regulat efectuate în mod regulat. În timp ce opțiunile de sandboxing sunt stabilite pentru a repara aceste tipuri de probleme, lucrarea este lentă, precum și elementele sale sunt non-triviale, în mod normal mai fine, denumite “dinamice, precum și albirea complexă”.

O bucată de recomandări frecvent înmânate este “dacă nu puteți verifica codul, precum și înțelegeți ce face, nu o conduceți”, probabil, menit să se aplice la pachete, precum și de coduri de cod mai mult decât un proiect de weekend. În mod ironic, acest lucru pune Linux la un dezavantaj nejustificat la sistemele cu surse închise. Metoda “Share AEXE” de distribuire a aplicațiilor este mai veche decât am personal, precum și este încă o tehnică acceptată de partajare a aplicației software pe care cineva le-a compus pentru Windows, cu UAC a ajuns să fie încă o cutie de clic pe o clipă reflexivă. Din nou, punerea mult mai mult de o problemă de siguranță pe umerii utilizatorilor Linux este simplă, oricât de nebună.

Ar împărtăși codul sursă chiar ajută în situația malware? Nu! De fapt, atașarea unui link către un cod sursă repo ar ajuta [ubuntu] face ca distribuția malware-ului să fie mult mai plauzibilă. Când publicați un pachet, chiar și pe platforme presupuse de încredere, există rareori orice tip de cecuri cu privire la modul în interiorul pachetului pe care îl publicați corespunde codului în repo.

Acest lucru este valabil pentru o mulțime de locații – Github, precum și lansări Gitlab, DockerHub, NPM, RUBEGEMS, magazine de extensie a browserului, PIPI, precum și un anumit număr de depozite Linux fără riscuri, cum ar fi F-Droid, sunt vulnerabile. Furnizarea de coduri sursă de-a lungul unui pachet rău intenționat adaugă legitimitate, precum și preluarea stimulentelor pentru persoanele calificate pentru a inspecta binarul în prima locație – Hei, codul e acolo pentru a vedea deja! Dacă [Ubuntu] a făcut asta, poate că vom vorbi despre această apariție câteva zile mai târziu, precum și într-un ton mult mai trist. Atacurile lanțului de aprovizionare sunt noua hotness în 2020, precum și în 2021.

O mulțime de sisteme de siguranță pe care le-am înființat sunt bazate pe încredere. Bundle Semnarea este cea mai faimoasă, unde se utilizează o semnătură criptografică a unei persoane responsabilă pentru conservarea pachetului pentru a stabili “voucurile personale x pentru inofensia acestui pachet”. HTTPS este o inovație bazată pe încredere pe care o folosim zilnic, deși, într-adevăr, aveți încredere în metoda metodei de întreținere a browserului sau a sistemului OS mai mult decât orice tip de proprietar crucial specific.

Când ne impune în gradul pe care-l face cu adevărat mult mai sigur, tech-ul bazat pe încredere pune o problemă asupra noilor designeri care nu au o pricepere socială atât de lustruită, cât și criptografică. Cu toate acestea, atunci când în mod obișnuit deja mulțumit de lipsa documentației, API-urile incomplete, precum și bibliotecile netestate, trebuie să stimulând cu adevărat problema în continuare? Poate că nu este atât de rău.

Tech-ul de semnătură bazat pe încredere pe care îl menționează în mod obișnuit este folosit pentru imaginile de operare pe care le descărcați în mod normal pentru a bootstrap PC-ul (sau telefonul!) Cu o instalare Linux, dar nu este încă proeminent pe pinephone – de exemplu, mai degrabă câteva imagini de operare pentru pinephone Don “Am astfel de semnături, pe care am fost nemulțumit de, având în vedere că o mulțime de distribuții majore pentru PC-urileUPPLY Acestea, precum și mă așteptam ca zona telefonului Linux să nu fie diferită, precum și fără semnături pot fi dezastruoase. Mai degrabă câteva caracteristici legate de securitate, cum ar fi acest lucru, toate pentru luarea, totuși nu sunt utilizate deoarece au nevoie de efort non-trivial pentru a forma în facilitățile unui proiect dacă nu a fost creat cu siguranță în minte de la început, sau produce o problemă suplimentară asupra dezvoltatorilor.

Ce avem cu adevărat nevoie?

Cartierul Pinephone a implementat câteva reguli noi, unele canalizări în teritoriul “automatizării”. Acest lucru va ajuta în mod potențial un anumit tip de problemă să fie mai puțin afectat în viitor – deși aș sugera că memoria instituțională trebuie să joace o parte mai mare în acest lucru. Fii atent la greci care poartă cadouri … până când ei descoperă exact cum să lucrezi în jurul valorii de euristică a discordiei tale? Am deja, de exemplu. Acesta este un subiect monumental cu rădăcini dincolo de programele excelente de șarpe de pinon din 2021, precum și acest post nu este chiar despre faptul că, la fel de mult ca să vă ajute să înțelegeți ce se întâmplă cu elemente cruciale ale securității Linux sau poate chiar și siguranța Toate software-ul Open Source.

Pentru mine, acest malware lovește notele “inevitabile”, precum și “ajustarea cursului”, precum și “dureri în creștere”. Discuțiile despre depind de aplicația software ia locația în fiecare cartier care devine suficient de mare.

Ne cerem să recunoaștem că este posibilă malware-ul Linux, cât și în cele din urmă, ar putea fi în cele din urmă larg răspândită, precum și o discuție sănătoasă despre exact cum să se oprească este crucială. Linux încă mai are cu succes nici un malware, cu toate acestea ziua în care nu mai putem specifica, așa se apropie de noi.

Nu sunt sigur de modificarea precisă a programului de care avem nevoie. Îngrijirea sistemului merge mult, totuși procedurile de siguranță pe care le așteptăm nu pot exclude indivizii de putere, precum și dezvoltatorii începători. Din punct de vedere tehnic, indiferent dacă este de containerizare, sandboxing, infrastructură de încredere sau limbi de memorie, cerințăm să înțelegem ce ne cerem să înțelegem ce să cerem.

Aș dori să spun mulțumiri lui [Lukasz] din cartierul Pine64, precum și [Hacker Fantastic] pentru asistență în circumstanță de pini-verificări de fapt.