Comments 19
Все зеркала проекта Gentoo на Github следует считать скомпрометированными.
Microsoft купили github, понеслось..
с каких пор emerge тянет portage из github?
Взломано лишь зеркало на GitHub, основная инфраструктура Gentoo, в том числе основной репозиторий (который располагается на их серверах) не затронута. Это зеркало, в основном, для приёма пулл-реквестов, оно не предназначено для того, чтобы пользователи тянули с него обновления, там нет ни Metadata с контрольными суммами, ни ebuild-ов.
Для пользователей, которые хотят обновляться именно с GitHub, есть отдельное зеркало, оно тоже не пострадало.
Для пользователей, которые хотят обновляться именно с GitHub, есть отдельное зеркало, оно тоже не пострадало.
это кто-то пытается скомпрометировать мс заранее? или мс так незамысловато добавляет экшена к сценарию?
Да это ж Microsoft просто решил поправить баги в gentoo.
Ну почему сразу "неустановленные субъекты"? Это вполне себе сотрупники Майкрософт.
Прошу прощения за нубский вопрос, только из любопытства
Как происходит обновление пакетов у Gentoo? Так же, как легендарная компиляция из исходников при установке ОС? Листал однажды FAQ по Emerge, но там только команды были, но не вывод.
Как происходит обновление пакетов у Gentoo? Так же, как легендарная компиляция из исходников при установке ОС? Листал однажды FAQ по Emerge, но там только команды были, но не вывод.
Так же. :) Сначала скачивается обновление ebuild-ов (sh-файлов с инструкциями для сборки) для всех пакетов (они как раз обычно подписаны, хотя это можно отключить и можно качать их из разных источников, о чём и говорится в статье) — это примерно то же самое, что apt update. А потом, да, для обновляемых пакетов выкачиваются архивы с исходниками и они компилируются, всё по-взрослому. Впрочем, если у Вас много однотипных серверов, то скомпилировать обновляемые пакеты можно на одном, а на остальные поставить обычные бинарные пакеты созданные на первом сервере.
Любопытно было бы почитать, как им это удалось. Надеюсь, опубликуют данные по расследованию инцидента.
Скорее всего, как обычно, общие пароли на разных сайтах.
Почему так считаю? Потому что взломали доступ к второстепенному сайту, а не основному.
Будь у злоумышленников прямой доступ к компьютеру разработчика, так просто бы не обошлось.
Почему так считаю? Потому что взломали доступ к второстепенному сайту, а не основному.
Будь у злоумышленников прямой доступ к компьютеру разработчика, так просто бы не обошлось.
Больше интересно что именно хотели и сделали злоумышленники? Какие проекты модифицировали и как.
Sign up to leave a comment.
Хакеры скомпрометировали репозитории Gentoo Linux на GitHub