Debian GNU/Linux スレッド Ver.99

**login:Penguin** · 2023/08/05(土) 12:02:34.30

公式
https://www.debian.org/index.ja.html

前スレ
Debian GNU/Linux スレッド Ver.98
https://mao.5ch.net/test/read.cgi/linux/1648420389/

**login:Penguin** · 2024/04/02(火) 15:55:42.58

今のところ判明している事実では違う
未知のバックドアがあることは否定しない

**login:Penguin** · 2024/04/02(火) 16:03:44.43

>>572
ちょっと調べてみたけどイスラエルはそういうことやる国らしいな…
国をあげてゴリゴリのハッキングのプロ集団を育成とかしてるらしい
もちろん諜報機関の一角として

**login:Penguin** · 2024/04/02(火) 18:31:58.66

ちょっと調べるまでもなく敵国に囲まれていればあたりまえ囲まれていなくてもあたりまえ

**login:Penguin** · 2024/04/02(火) 19:08:58.05

そも建国の経緯が権利を取り戻すため、つまり敵がいるから出来た国とも言える
大昔のことなんか知らんがな。失効失効
この件に関してだけはアラブの肩持つよ俺は

**login:Penguin** · 2024/04/02(火) 19:14:05.08

debianを知っているということは少しは高等教育なり知的職業に携わる人物かと思っていたが…
ソースコードと同じように新聞も読まんと…

**login:Penguin** · 2024/04/02(火) 19:34:35.95

>>572
夜型の中国人だろ
Firewall－1擁するイスラエルにしては拙速すぎる

**login:Penguin** · 2024/04/02(火) 19:52:44.98

露助に雇われた北チョン工作員

**login:Penguin** · 2024/04/02(火) 20:18:22.45

まぁネットの通信とくに国際間はUSAを経由しているからね
スノーデンさんの告発によるまでもなく

**login:Penguin** · 2024/04/02(火) 20:51:48.00

でも今回のはきちんとコード確認してるのかな？って確認してただけだったりしてね
そろそろばれるかな？しつこくプッシュしてたらばれるかな？ってやってたけど
誰も気付いてくれなかったからこのままだと大ごとになるからその前に自らばらしただけだったりして

**login:Penguin** · 2024/04/02(火) 21:02:45.16

>>586
中国だとやれって言われたらやらないと国家反逆罪
仕方ないからやったけど最後はバレるようにやったとか

**login:Penguin** · 2024/04/02(火) 21:12:46.57

>>584
だまれ糞ジャップ

**login:Penguin** · 2024/04/02(火) 21:14:30.30

犯人はイスラエル人
という説が出たら、急にスレが荒れだした。

答え合わせ終了だな。

イスラエル人も案外まぬけだ

**login:Penguin** · 2024/04/02(火) 21:39:18.52

なんとかして人のせいにする無駄な努力と厚顔無恥さは大小朝鮮の特徴
これだけでは断定できない

**login:Penguin** · 2024/04/02(火) 21:40:20.82

>>588-589 💩ウンコリアン💩

**login:Penguin** · 2024/04/02(火) 22:50:34.89

（Д`；　）なにこのスレ・・・

**login:Penguin** · 2024/04/02(火) 23:41:58.96

犯人はまだ不明でも、犯人が何を考えていたかは手口が語ってる
sshという強固でクリティカルな標的を落とすため、人の目が少ないxzを選んで、裏口から本丸を目指している
xz以外にも同じような半放置状態のプロジェクトが複数、犯人の攻略対象リストに上がっているとみていい

本丸に通じる裏道を作ってしまっていたsystemdの罪は重い

**login:Penguin** · 2024/04/03(水) 00:53:24.12

こういうことってこれからは頻発するんかね
困るんですけど

**login:Penguin** · 2024/04/03(水) 00:56:44.69

つまりGNUが諸悪の根源

**login:Penguin** · 2024/04/03(水) 01:02:48.22

>>594
今までもあったけれど広く知れ渡らなかっただけ

**login:Penguin** · 2024/04/03(水) 01:05:17.64

昔からバックドアは作られ続けてたけど、今回は仕込みの時点で一般人にバレたケースってことじゃね？
DARPAからOpenBSDが補助金もらってたり、openssh は時々バックドア見つかったり。
https://ascii.jp/elem/000/001/805/1805397/

**login:Penguin** · 2024/04/03(水) 01:16:15.22

ググれば判るけどバックドア作りの名人と言えばCIA
もちろん世界中の諜報機関が当たり前にやってる事なんだろな
俺がその役割の組織に所属してたら当たり前に同じような事をしてると思う
まだバレてないだけで結構な数のバックドア付きのオープンソースコード()製品は多数あるだろ

**login:Penguin** · 2024/04/03(水) 01:24:49.87

Flatpakも検証付いてないのは絶対に入れないほうがいいよ
有名なソフトでみんな使ってるから誰かが全て中身を確認し精査してるなんて勘違いはしない方がいい
マジな話で

**login:Penguin** · 2024/04/03(水) 01:29:58.24

>>593
systemd?
>>595
GNU?

**login:Penguin** · 2024/04/03(水) 01:35:18.58

バックドアがほぼ絶対に近いほど無いと言えるシステムってなんかあるのん？

**login:Penguin** · 2024/04/03(水) 01:47:53.21

systemdがxz(liblzma)に依存していて
一部のディストリではopensshをlibsystemdに依存させるアンオフィシャルな改造が入ってるので
それを利用してliblzmaに埋め込まれた不正なコードがsshdに干渉できるようになっている

**login:Penguin** · 2024/04/03(水) 03:36:21.71

ネオナチlinuxの ubuntu （バックドアいっぱい）は基本無傷なんだから
犯人の政治的傾向は明白w

**login:Penguin** · 2024/04/03(水) 05:19:06.56

>>597
全然違う
その記事はopensshが落とされたとは書いてない

>>602
こういう手口でしか攻略できなかった事が、逆にopensshのコードと開発体制の堅牢さの証明になってるな
systemdの危険性は警告されてたんだから、Debianにsystemdを採用した連中はDevuan勢に謝るべき
一番悪いのはRedHatだが

**login:Penguin** · 2024/04/03(水) 08:32:05.03

>>603
💩

**login:Penguin** · 2024/04/03(水) 10:26:53.07

>>602
ロギングで圧縮と暗号化がサポートされてるから
lzmaやgcryptが必要になるんだな

**login:Penguin** · 2024/04/03(水) 11:09:39.99

>>605
馬鹿は ubuntu でも使ってろw

**login:Penguin** · 2024/04/03(水) 13:13:40.22

openssh側にsystemdを直で (libsystemdを使わずソケットベースIPCで) 触るコードが入った模様
https://github.com/openssh/openssh-portable/commit/08f579231cd38a1c657aaa6ddeb8ab57a1fd4f5c

**login:Penguin** · 2024/04/03(水) 13:21:40.02

>>608
protocolを直接叩くわけね

**login:Penguin** · 2024/04/03(水) 14:05:12.19

>>608
🤔

**login:Penguin** · 2024/04/03(水) 14:09:33.14

>>607
🫏🦌💩

**login:Penguin** · 2024/04/03(水) 16:26:52.65

https://gigazine.net/news/20240403-timeline-of-xz-open-source-attack/

2024年3月29日に、圧縮ツールの「XZ Utils」に、悪意のあるバックドアが仕込まれていたことが明らかになりました。どのようにバックドアが仕掛けられたのかについて、Googleのエンジニアであるラス・コックスさんが時系列順にまとめました。

**login:Penguin** · 2024/04/03(水) 16:51:13.14

>>612
Russ Coxさんこんなことしてるのね

**login:Penguin** · 2024/04/03(水) 17:42:48.95

>>612
１．メンテナが鬱っぽいOSSプロジェクトを探す
２．善良なコントリビュータのふりをして潜り込む
３．時間をかけて信頼を得る
４．自作自演で複数垢から「あいつのパッチ早く取り込めよ」とメンテナに圧をかける
５．圧をかけられた鬱病メンテナは潜り込んだ人物を共同メンテナに指名
６．満を持してバックドアを仕込む

これ国家に支援された組織がやってるだろ

**login:Penguin** · 2024/04/03(水) 17:45:32.38

次からはもっと手口洗練させるだろうし
バックドアももっとバレにくいの入れるだろうし
こんな攻撃ガンガンやられたら世界中のOSSプロジェクト崩壊するわ

**login:Penguin** · 2024/04/03(水) 17:51:06.67

めんどくさいけどDebian Developerの選考手続きが正義なのかな
あれでもガチの悪意ある人間は弾けないだろうが

**login:Penguin** · 2024/04/03(水) 20:01:37.79

>>506
自己解決した。
過去スレなんか探しても見つからなかった。
やったのは、phpの古いやつを削除して、phpモジュールを一つづつ更新したらでなくなった。

**login:Penguin** · 2024/04/03(水) 22:26:05.82

狙われたのはあるプロジェクト単体ではなく、Linux生態系の脆弱性
コンドームもしないでやりまくるフリーセックス野郎が被害を深刻化させてる

**login:Penguin** · 2024/04/03(水) 22:36:49.15

結局ubuntu proとか入っとけば安心なの？
落ちてきたもの入れてるだけの自分にはどうしようもないな

**login:Penguin** · 2024/04/03(水) 23:52:51.27

>>618
実際ホモ多いしやっぱそういうとこなんだろうな

**login:Penguin** · 2024/04/04(木) 05:57:59.73

>>619
一般利用者の今回の教訓は
開発リリースを使うな
デストリは慎重に選べ
過去にOpenSSLでもあったことで
特段大騒ぎするようなことでもない

**login:Penguin** · 2024/04/04(木) 06:25:18.00

>>618
バックドアを発見できたのもオープンソースの利点
企業内のソフトだと一生気付かれないよ

**login:Penguin** · 2024/04/04(木) 06:42:53.16

"Given enough eyeballs, all bugs are shallow"
-- Eric Steven Raymond

**login:Penguin** · 2024/04/04(木) 09:23:26.32

オープンソースだからこそ仕込めたバックドアを
オープンソースだから発見できたとドヤる
まさにマッチポンプ

**login:Penguin** · 2024/04/04(木) 09:40:33.63

人間ってやつは欲望ってもんに翻弄される欠陥経済動物なんだからしょうがあるめえ

**login:Penguin** · 2024/04/04(木) 10:00:20.48

最近のWindowsにはOpenSSHもtarもcurlもその他諸々入ってるが、それは検証されてるのか？

**login:Penguin** · 2024/04/04(木) 10:24:22.47

板違い

**login:Penguin** · 2024/04/04(木) 10:39:31.53

一匹みつかれば100匹はいるみたいに、
このバグは運良く見つかっただけで
他にも凶悪な改悪がいろんな所に潜んでそうな気がする。

**login:Penguin** · 2024/04/04(木) 10:48:09.32

>>626
OpenSSHは直接関係ない
systemdのnd-notify対応で
libsystemdをリンクしたからまずかった
Windowsの場合MS提供の公式OpenSSLを使うから
systemd対応してない
WSL2上のOpenSSL使ってる奇特な人は
選んでるデストリ次第では影響が出る可能性ある

**login:Penguin** · 2024/04/04(木) 10:49:24.33

>>628
それはこれまでも同じだ
>>624みたいなこと言う人も前からいる
童貞みたいなこと言うのは辞めるんだ

**login:Penguin** · 2024/04/04(木) 11:05:08.71

AIでなんとか検知できんもんなの

**login:Penguin** · 2024/04/04(木) 11:16:30.31

AIでLinuxカーネルやgccを生成できない
それだけの能力

**login:Penguin** · 2024/04/04(木) 11:52:47.06

オープンソースと言っても全ての行を読んでる人なんて稀…というかいるのか？ってレベルだから
ましてやアプデの度に全ての行を読むなんて事に膨大な時間を使う奇特な奴はいないからね
そもそもGitHubのソースからビルド出来ない『再現可能ではない』人気アプリが余りにも多すぎて、オープンソースコードってものを誤解しまくってる人が多いなぁって思ってる
98%オープンソースソースだけどちょっとクローズドな部分もあります😆ってのも多すぎるけど、それは俺からしたらクローズドと何も変わらない

**login:Penguin** · 2024/04/04(木) 12:32:44.31

野菜ジュースとかと似てるな

**login:Penguin** · 2024/04/04(木) 14:29:47.78

>>633
最初の二行
そんなこと馬鹿げたこと言ってる人いるんだな

**login:Penguin** · 2024/04/04(木) 15:16:10.30

>>635
最初はフルオープンソースだけど人気が出て広まり始めたら一部だけをクローズドにするアプリって結構あるぞ
けど大体の人はそういうの気にしてないから誰も何も言わないパターン多い
特にウォレットアプリなんてそのパターンは見飽きるほどに見飽きた

**login:Penguin** · 2024/04/04(木) 17:43:25.97

>>636
>>633の後半についてはさほど異議はない
最後の１行がやや二極論過ぎないかと思うが

**login:Penguin** · 2024/04/04(木) 18:23:20.42

ソースに目を通して全てを確認してから自分でビルドして…なんて時間かかりすぎて現実的ではないから俺も妥協しちゃうけどね

**login:Penguin** · 2024/04/04(木) 18:37:05.68

一部がクローズドってことは特定の環境でしか動かないってことだからなあ

**login:Penguin** · 2024/04/04(木) 18:55:34.11

動く動かないの話ではないのでは

**login:Penguin** · 2024/04/04(木) 18:56:17.19

末端は降りてきたものを入れるだけだからメンテナーさん頑張ってねとしか言いようがない

**login:Penguin** · 2024/04/04(木) 19:03:03.69

>>637はビルドするときに全リンクライブラリのソースも読んでいるのか？すごいな

**login:Penguin** · 2024/04/04(木) 19:09:01.31

>>642
どうしてそんな主張してると思った?

**login:Penguin** · 2024/04/04(木) 19:24:37.61

>>643
皮肉だよ　どうせ読んでいないよね？というか読めないよね
>>633が書いているように事実上クローズドとたいして変わらないけどな
開発側にやや恩恵があるくらいだよ

**login:Penguin** · 2024/04/04(木) 19:25:22.28

id変わったけど642

**login:Penguin** · 2024/04/04(木) 20:23:53.10

>>639
動くにはどれも問題なく動くよ
ブラウザとかでもオープンソース歌ってるけど、よく調べたら一部分だけクローズドですってのもあるじゃん
あーいうの卑怯だなっていつも思う
ならオープンソース(一部だけクローズド)ってちゃんと書いとけと言いたいね
というかオープンソース名乗るなと

**login:Penguin** · 2024/04/04(木) 21:10:22.15

全部でなければその一部にバックドアなりマルウェアなり仕込めるからね

**login:Penguin** · 2024/04/04(木) 21:16:34.23

>>646
バイナリでしか提供されない部分があるということは
バイナリが提供されるOSやアーキテクチャでしか動かないだろ

**login:Penguin** · 2024/04/04(木) 23:59:34.52

>>629
systemdがないことがWindowsのメリットだな

**login:Penguin** · 2024/04/05(金) 00:47:58.26

ttps://cyberplace.social/@GossiTheDog/112208807973499815

Windowsに含まれるtar.exeがJirのコミットが含まれるバージョンで話題になってる
あと最近エクスプローラが.tar.xzの解凍をサポートしたのでそっちでもなんかあるかも

**login:Penguin** · 2024/04/05(金) 02:05:35.37

今はバックドアは塞がれたの

**login:Penguin** · 2024/04/05(金) 08:48:52.32

いつまで板違いやってんだ、このペクチョン

**login:Penguin** · 2024/04/05(金) 09:48:25.01

>>652
糞ジャップだまれ

お前は地獄落ちが決定済み

**login:Penguin** · 2024/04/05(金) 10:14:26.19

ペクチョンぶちギレﾜﾛﾀ

**login:Penguin** · 2024/04/05(金) 23:50:46.19

例の一件でsidからstableに数年ぶりに戻ったが、どういうわけか余程不安定だ

Thunarが落ちまくって用事にならない

**login:Penguin** · 2024/04/06(土) 00:06:24.87

ファイルマネージャー変えればいいじゃん

**login:Penguin** · 2024/04/06(土) 00:35:01.90

>>656
xfceなんだけどおすすめある？

**login:Penguin** · 2024/04/06(土) 00:44:08.74

うちのThunarはなんとも無いけどねぇ
Dolphinとか使ってみたら？

**login:Penguin** · 2024/04/06(土) 00:47:37.78

DolphinはKDEと連携し過ぎてるから、他のDEで使うならnemoのほうがおすすめ

**login:Penguin** · 2024/04/06(土) 00:53:55.53

別に試す気は無いがCinnamonのNemoとMATEのCajaってどう違うんだろ？

**login:Penguin** · 2024/04/06(土) 01:01:52.27

あまり違わんけど、CinnamonのxappシリーズはDE依存してないので他のDEから安心して使える

**login:Penguin** · 2024/04/06(土) 01:06:05.61

……今apt showしたらlibcinnamon-desktop4に依存してたのでちょっと過言だったかも
でもUbuntu Unityのファイルマネージャにnemoが採用されてしまうぐらいには依存が薄いよ

**login:Penguin** · 2024/04/06(土) 04:22:25.38

>Thunarが落ちまくって用事にならない
うちのDebian12は何も問題が無い
ファイルマネージャー変えてそのまま使い続けるのは、やめたほうが良いと思う

**login:Penguin** · 2024/04/06(土) 11:22:40.20

記憶デバイスとかメモリとか壊れてんだろう
よくあること

**login:Penguin** · 2024/04/06(土) 11:26:21.36

pcmanfmの名が挙がらないのカワイソス…
俺はターミナル内でrangerだな。全然使いこなしてないけど

**login:Penguin** · 2024/04/06(土) 19:11:21.47

どうやって戻したのかわからないけどsidのライブラリが残ってるとか設定が.conigやら.localに残ってるとか。

**login:Penguin** · 2024/04/06(土) 22:13:18.05

ずっとWorkerを使ってるけど何だかあまり話を聞かないね。

**login:Penguin** · 2024/04/07(日) 14:01:01.43

えらいスレ伸びてるな

>>599
flatpakはyamlにどこからダウンロードしたものをどういうふうにビルドするのか全部テキストで書いてあるだろ
それをflathub公式のビルドサーバーがビルドするのだからビルドサーバーさえ無事なら安全だ

**login:Penguin** · 2024/04/07(日) 14:04:27.33

xzの話でスレ来たんだけどぎがじん見たらdebianのビルドサーバー30日に再構築したって話あったんだけど
stable用のビルドサーバーはsid使ってるの？
stable(bookworm)のバイナリに変なもの混じってたり署名流出したりしてないのこれ？？
ツイッターみたいなのでdebian開発者が大丈夫だって言ってたけどそもそも通しちゃってるし再構築の理由も大丈夫判断の根拠も何も返信しないから不安
あれだけ枯れたバージョンは最高って言ってる奴らなのに開発サーバーも自分使ってるのもsidなんだね

**login:Penguin** · 2024/04/07(日) 14:08:00.39

>>655
ファイラーはpcmanfm-qt、プロセスビューアーはqps、テキストエディタはKate、画像ビューアーはMComix、スマホ転送はKDE Connect
これでWinより快適
とくにKateは設定次第で化ける

**login:Penguin** · 2024/04/07(日) 14:09:34.71

ゲームはHeroic Games Launcherがいいぞ

**login:Penguin** · 2024/04/07(日) 14:11:07.98

flatpakでもHeroic Games LauncherとLutrisとWine bottlerはなんか怪しいな
起動時に更新勝手にダウンロードしてる
権限強いし悪意あればなんでもできそう
なんかロシアっぽいし

**login:Penguin** · 2024/04/07(日) 14:43:20.66

>>669
sidだって書いてあったの?
xz5.4も避けただけじゃないの?

**login:Penguin** · 2024/04/07(日) 14:49:52.40

>>673
再構築したビルドサーバーのこと？
わざわざ再構築するんだからsidか次期バージョン（名前知らない）でしょう。混入したのはbookwormより上のバージョンだけなんだから

**login:Penguin** · 2024/04/07(日) 14:59:59.39

>>670
環境を作ることが趣味なのかな。ま、否定はしないけど。

**login:Penguin** · 2024/04/07(日) 15:06:04.74

>>675
KDE純正の抱き合わせソフトってほんとひどいでしょ。抱き合わせで削除できないし（おまえはIEか）
システムモニター？なんか買ったばかりの最新パソコンでも起動に２０秒くらいかかるよ(qpsなら一瞬）
ファイラーもめちゃくちゃ遅い

**login:Penguin** · 2024/04/07(日) 15:30:21.76

KDE抱き合わせソフトは確かに邪魔だな
kde-plasma-desktopだけインストールしてもkde-baseappsがついてくる

**login:Penguin** · 2024/04/07(日) 15:43:02.47

>>676
だｋら
kdeを使う上で、debianは最もおすすめできないディストリなんですよ
私は、debianが嫌いなのではなくて、debianでkde使おうとして
がっかりする人が可愛そうだから言っています
debianユーザーが触っているのは、何年もまえのバージョンで
不具合修正パッチも適用されてないものです