Arch Linux временно запретил передачу пакетов AUR из-за атак злоумышленников
Разработчики Arch Linux временно отключили возможность перенимать заброшенные пакеты в Arch User Repository (AUR). Такое решение принято после серии инцидентов, в ходе которых неизвестные пользователи получали контроль над популярными пакетами и добавляли в них потенциально вредоносные изменения.
Ограничение объявил Робин Кандо от имени команды Arch Linux DevOps 30 июля. Точные сроки восстановления функции пока не называются: доступ к усыновлению пакетов вернут после завершения расследования и внедрения дополнительных мер защиты. Подробности инцидента и реакция проекта описаны в материале о вредоносных захватах пакетов Arch Linux AUR.
Механизм работает следующим образом: если сопровождающий прекращает поддержку проекта, пакет получает статус orphaned - "осиротевший". Любой зарегистрированный пользователь может принять его, стать новым мейнтейнером и публиковать обновлённые инструкции сборки. Такой подход позволяет сохранять полезные проекты, которые прежние авторы больше не обслуживают, однако одновременно создаёт риск подмены содержимого доверенных пакетов.
Именно этим воспользовались злоумышленники. Согласно сообщениям в рассылке AUR, некоторые заброшенные пакеты были быстро приняты новыми аккаунтами, после чего в их PKGBUILD появились незнакомые бинарные файлы. Изменения могли заставить систему загружать исполняемые компоненты из сторонних источников. После блокировки подозрительных учётных записей аналогичная активность продолжилась уже через новые профили.
Важно, что Arch Linux не перевёл весь AUR в режим "только чтение". Действующие сопровождающие по-прежнему могут обновлять собственные пакеты, исправлять ошибки и публиковать новые версии. Временно недоступна только функция принятия orphaned-пакетов, поэтому пользователям, желающим продолжить поддержку заброшенного проекта, придётся дождаться отдельного объявления команды.
Разработчики призывают сообщество сообщать о подозрительных передачах пакетов и сомнительных коммитах. Пользователям рекомендуется внимательно проверять PKGBUILD, install-скрипты, адреса загрузки исходников и появление новых бинарных файлов. Особенно осторожно следует относиться к пакетам, которые недавно сменили сопровождающего или неожиданно начали загружать данные с неизвестных доменов.
Инцидент стал продолжением более масштабной проблемы, о которой Arch Linux сообщил 12 июня. Тогда проект зафиксировал большое количество вредоносных принятий и обновлений пакетов и предупредил, что ограничения могут затронуть создание аккаунтов, загрузку новых сборочных сценариев, обновления и передачу пакетов между пользователями.
При этом официальные репозитории Arch Linux в произошедшем не задействованы. AUR представляет собой пользовательскую коллекцию PKGBUILD, а не централизованный репозиторий готовых бинарных программ, который полностью контролируется командой дистрибутива. Поэтому разработчики Arch давно рекомендуют самостоятельно изучать содержимое сборочных сценариев перед установкой.
Проблема особенно важна для тех, кто выбирает Arch Linux как дистрибутив Linux для разработчиков. AUR предоставляет огромное количество программ, инструментов и библиотек, но удобство сопровождается дополнительными рисками. В отличие от официальных пакетов, содержимое AUR не проходит такой же централизованный контроль, а ответственность за проверку фактически лежит на пользователе.
Безопасность Arch Linux при работе с AUR во многом зависит от привычек самого пользователя. Перед установкой стоит открыть PKGBUILD, посмотреть, какие команды выполняются, куда устанавливаются файлы и откуда загружаются исходники. Нежелательными признаками могут быть обфусцированный shell-код, загрузка готовых исполняемых файлов вместо исходников, обращения к случайным IP-адресам и попытки изменить системные настройки.
Тем, кто только разбирается, как установить Arch Linux, не следует воспринимать AUR как обязательную часть системы. Для базовой установки достаточно официальных репозиториев, а сторонние пакеты можно подключать постепенно, после проверки их репутации и содержимого. Желательно также создавать резервные копии важных данных и не запускать неизвестные сборочные сценарии с повышенными привилегиями без необходимости.
Некоторые участники сообщества предлагают ограничить принятие пакетов пользователями с подтверждённой историей активности - например, владельцами аккаунтов, зарегистрированных на форумах не менее года. Другие считают, что подобные требования усложнят развитие AUR и сделают поддержку заброшенных проектов менее доступной. Обсуждаются и дополнительные варианты: усиленная модерация, двухфакторная аутентификация, уведомления о смене сопровождающего и автоматическая проверка подозрительных изменений.
Пока Arch Linux сохраняет возможность устанавливать и обновлять уже доступные пакеты AUR, однако полностью исключить риск нельзя. Временно отключённая передача orphaned-пакетов показывает, что одной регистрации аккаунта недостаточно для защиты экосистемы. Вероятно, проекту потребуется сочетание технических ограничений, прозрачной истории изменений и более оперативной реакции на жалобы пользователей.
Команда Arch Linux обещает опубликовать новое сообщение после восстановления функции принятия пакетов. До этого пользователям следует проявлять осторожность, а при малейших сомнениях сравнивать изменения с предыдущими версиями и отдавать предпочтение официальным репозиториям. Дополнительную информацию о текущих ограничениях AUR можно найти в публикации о блокировке принятия пакетов AUR.
