op 5 december iemand de IRC bijnaam [ubuntu] werd Pine64 Discord’s #pinephone kanaal met een IRC brug. In de geest van december het geven van geschenken tradities, hebben zij op voorwaarde dat hun collega PinePhone personen met een met behulp van – een “Snake” game. Wat [ubuntu] vermoedelijk gemaakt had de aspirant om uiteindelijk een voorraad, out-of-the-box geïnstalleerde applicatie met een kleine maar toegewijde wijk fans, modders evenals Speedrunners.
Helaas, dat zou niet de afwisselende wereld waarin we online zijn, evenals alles was niet goed met de bundel wordt gedeeld samen met een aangename “hei gaiz Ik maak slang GAEM hier is koppeling www2-pinephnoe-games-com-tz vervangen dash met stip kthxbai”aankondiging. Schokkend, het was een trojan! onder lagen van Base64 evenals Bashfuscator we zouden shell code die mogelijk in de sectie “voorbeeld van het gebruik” van een hedendaags thesaurus vermelding voor het woord “yeet” tegenkomen.
De kwaadaardige deel van de code is niet zo ver gevorderd – naast verduistering, de meest complexe ding over het is dat het Bash, een taal met het onleesbaar zijn gebakken in als gevolg van de root privileges verstrekt bij het installeren van het pakket, de vondst op basis van de hedendaagse equivalent van rm. rf / * heeft geen enkele moeite doet haar vuile werk van het afvegen van het bestandssysteem schoon, het runnen van een stukje op elke data op voorhand, indien aan de dwarsbankje data recovery. als voor de “wipe firmware van de cellulaire modem” beloning deel, het gebruik van de CVE-2021-31.698. dat alles zal plaatsvinden op woensdag om 20:00, met arranging uitgevoerd door een systemd backed cronjob.
[Ubuntu] niet bronnen, alleen de binaries, verpakt voor eenvoudige installatie op Arch Linux te delen. een van de beroemde PinePhone wijk leden geïnstalleerd die binaire evenals had er plezier in het “spel” een deel ervan, vragen over plannen om het open-source te maken – het krijgen geruststelling van [ubuntu] dat de bronnen uiteindelijk zou worden vrijgelaten, “net verplichting om het schoon te maken”. Sommigen waren niet zo zeker van, met het argument dat mensen niet sudo zou moeten installeren-deze willekeurige games zonder een bron code repo link. mensen waren op laag alert, maar ook omdat er zo veel zou zijn geweest als over een veel installaties voor een zorgvuldige en smart lid untarred de bundel evenals geïnformeerde mensen om verdachte base64 in de .install script, ongeveer een halve dag later.
Hoe vertalen we dit?
Dit was een kleinschalige maar kwalitatief inspanning vernietigende aanval op PinePhone gebruikers, gericht op degenen die het gebruik van Arch in het bijzonder, door de manier waarop. De malware afzender onthulde hun “spel vooruitgang inspanningen” voor de publicatie, bleef in het kanaal het doen van een beetje beetje praten evenals Q & A, evenals anders was er niet snel werk te onderscheiden van een typische ontwerper met betrekking tot een mogelijke platform zegenen met hun allereerste app. veel van alles, de slang spel was zeer veel echte – het is niet te verwijderen of de code had kunnen hebben gestolen uit een aantal open-source project, maar zou je niet te onderscheiden van een niet-kwaadaardig slang spel. Het is merkwaardig dat de bundel niet lijkt te zijn het verzenden van persoonlijke gegevens op elk type servers (of versleutelen van bestanden, of je dwingen om te genieten van advertenties verwant aan de hedendaagse mobiele games) – het snel kon, maar het niet doet.
Met de hoeveelheid werk wordt gedaan op de PinePhone cellulaire modem reverse-engineering, het is merkwaardig dat de malware maakt gebruik van de CVE’s gevonden samen met die inspanning. Je zou niet verwachten dat een normale telefoon virus een cellulair modem baksteen truc uit te trekken, op voorwaarde dat de versnippering van Android wereld, evenals de verduistering van Apple wereld. Grappig genoeg, de community-ontwikkelde open-source firmware voor de Quectel cellulaire modem is immuun voor de bug wordt benut, alsmede wordt algemeen veel meer volledig uitgeruste, maar Pine64 is nodig om de exploiteerbare eigen firmware schip door de standaard voor naleving van de regelgeving redenen – de consequenties voor het uit de band op die drastisch genoeg zijn, volgens een Pine64 bron.
Vragen dringen zich op. Is PinePhone een risicovrije platform? Mijn nemen is – “ja” in vergelijking met wat anders, “nee” als je verwacht om onvoorwaardelijk zonder risico’s zijn bij gebruik van het. Zoals het nu is, het is een platform dat expliciet moet je begrijpen van wat je het sturen van deze te doen.
Met veel meer OS distributies aangeboden dan elke vorm van andere hedendaagse telefoon kan opscheppen over de mogelijkheid om ondersteuning, kun je zoiets als Ubuntu Touch voor een soepele ervaring te gebruiken. U krijgt het algemeen veel meer macht om jezelf risico-vrij te houden bij het gebruik van een PinePhone. mensen die de kandidaat van deze bevoegdheid te begrijpen zijn het soort mensen die een bijdrage leveren aan de PinePhone project, dat is waarom het is jammer dat ze vooral waren gericht aan dit evenement.
Andere platformen vast te stellen dergelijke kwesties op verschillende manieren, waarbij slechts een deel van de optie is eigenlijke software applicatie evenals architectonische werk gedaan door het platform, evenals een meer is door het trainen van de gebruikers. VoorBijvoorbeeld, je bent niet verwacht dat een derde partij appstore (of firmware, of de lader en grip methode) op je iPhone te gebruiken, evenals Android heeft designer mode checkboxes kunt u bereiken als je de derde beweging van “Flight of recreëren de Hommel”met uw vinger in het instellingenscherm. De Linux ecosysteem methode is afhankelijk van de kernel om betrouwbare veiligheid low-level primitieven te leveren, maar de verplichting is op de uitkeringen aan software-applicatie te integreren, alsmede configuraties die maken gebruik maken van deze primitieven.
Ik stel voor dat de mobiele Linux-distributies en moet definiëren als hun instelling te behouden op de “veiligheid” schaal ook, voortbordurend op de procedures die zij nemen wanneer het gaat om third-party apps. een half jaar geleden, toen ik de voorbereiding van een overzicht van verschillende besturingssystemen voor PinePhone evenals hun standpunten op app aangeboden zekerheid, het kostte me methode veel meer tijd dan ik comfortabel met iemand te besteden zou voelen op een taak van een dergelijke betekenis.
Wat zijn onze opties?
De kern van de aanbevelingen verstrekt naar nieuwkomers is “niet het opzetten van een willekeurige software-applicatie kun je niet vertrouwen”. Terwijl dit is geweldig aanbevelingen op zijn eigen, je zou ideaal zijn om erop te wijzen – een spel mag niet in staat zijn om uw systeem af te vegen, evenals “veel beter krijgen gebruikers” normaal gesproken is geen haalbare strategie. elke vorm van veiligheid strateeg in ontkenning over inherente menselijke feilbaarheid is niet van plan om het te maken in de hedendaagse wereld, dus laten we zien wat we de volgende kunnen doen om de normale “opvoeden gebruikers” deel. Zoals gebruikelijk is er een XKCD om te beginnen uit met.
Zelfs de mogelijkheid om samen naar een willekeurige gebruiker in handen data op een Linux-systeem is “game over”. Zeg, in $ HOME / .bashrc, kun je alias sudo om stdin-opname-app sudo evenals het bezit komen van het wachtwoord van de gebruiker volgende keer krijgen ze sudo in de terminal. .bashrc is niet de enige gebruiker beschrijfbare data krijgen regelmatig uitgevoerd, ook niet. Terwijl sandboxing opties worden opgericht om dit soort problemen op te lossen, het werk is traag, evenals de elementen ervan zijn niet triviaal, normaal mooiste aangeduid als “dynamische als complexe whitelisting”.
Een stuk van vaak uitgedeeld aanbevelingen is “als je niet kunt uitgecheckt de code evenals begrijpen wat het doet, niet het uit te voeren”, vermoedelijk, bedoeld om te gelden voor bundels evenals codebases langer dan een weekend project. Ironisch genoeg, dit brengt Linux op een ongerechtvaardigd nadeel van closed-source-systemen. De “delen een .exe” methode voor het distribueren van applicaties is ouder dan ik persoonlijk ben, evenals het is nog steeds een geaccepteerde techniek van het delen van software applicatie die iemand gecomponeerd voor Windows, met UAC hebben uiteindelijk toch een meer reflexieve clickthrough doos. Nogmaals, waardoor veel meer van een veiligheidsprobleem op de schouders van Linux-gebruikers is eenvoudig echter dwaas.
Zou het delen van de broncode zelfs helpen bij de malware situatie? Nee! In feite is het aanbrengen van een link naar een broncode repo zou helpen [ubuntu] maken van de verspreiding van malware veel meer plausibel. Wanneer u een pakket publiceert, zelfs op zogenaamd betrouwbare platforms, is er zelden enige vorm van controle over de vraag of de code binnen de bundel u overeenkomt met de code te publiceren in uw repo.
Dat geldt voor een groot deel van de locaties – GitHub evenals GitLab releases, DockerHub, NPM, RubyGems, browser extensie winkels, PyPi, evenals zelfs een aantal zogenaamde risico-free Linux repositories, zoals F-droid, zijn kwetsbaar. het leveren van broncode langs een kwaadaardige bundel voegt legitimiteit, evenals wegneemt prikkels voor bekwame mensen om de binaire te inspecteren in de allereerste plaats – hey, de code er al zien! Als [ubuntu] deed precies dat, misschien zouden we spreken over deze gebeurtenis een paar dagen later, evenals in een veel meer trieste toon. Supply-chain-aanvallen zijn de nieuwe hotness in 2020 als 2021.
Tal van veiligheidssystemen we hebben opgezet zijn op basis van vertrouwen. bundel ondertekening is de meest bekende, waarbij een cryptografische handtekening van een persoon die verantwoordelijk is voor het behoud van de bundel wordt gebruikt om “persoon X staat in voor de onschadelijkheid van dit pakket” op te richten. HTTPS is een meer op vertrouwen gebaseerde innovatie die we dagelijks gebruiken, hoewel, echt, je bent vertrouwen van uw browser of OS keystore onderhouder methode veel meer dan elke vorm van specifieke cruciale eigenaar.
Wanneer afgedwongen in de mate dat het maakt echt ons veel veiliger, op vertrouwen gebaseerde tech legt een probleem op nieuwe ontwerpers die niet hebben vrij sociale gepolijst evenals cryptografische dapperheid. Echter, wanneer vaak al tevreden met een gebrek aan documentatie onvolledig APIs evenals niet-geteste bibliotheken, moeten we echt worden het stimuleren van het probleem elk type verder? misschien dat is niet zo slecht.
Het vertrouwen gebaseerde ondertekening tech ik al gezegd dat vaak gebruikt wordt voor OS foto’s die u normaal downloaden naar uw pc (of telefoon!) Opstart met een Linux te installeren, maar het is nog niet prominent op PinePhone – bijvoorbeeld, in plaats van een paar OS foto’s voor PinePhone don ‘t hebben zulke handtekeningen, die ik was ontevreden door, gezien het feit dat veel van de grote distributies voor de PC sZowel deze en ik verwachtte het Linux-telefoongebied niet anders, evenals het niet hebben van handtekeningen kan rampzalig zijn. Eerder een paar veiligheidsgerelateerde functies, zoals deze zijn er voor het nemen, worden echter niet gebruikt omdat ze niet-triviale inspanningen nodig hebben om in vorm te brengen in de faciliteiten van een project als het niet van het begin is gemaakt met veiligheid in gedachten, of een extra probleem opleveren over de ontwikkelaars.
Wat hebben we echt nodig?
De PinePhone-wijk heeft enkele nieuwe regels geïmplementeerd, sommige kanaliseren in het territorium “Automatisering”. Dit zal mogelijk een bepaald type kwestie helpen in de toekomst minder impactvol te zijn – hoewel ik zou willen voorstellen dat het institutionele geheugen hierin een groter deel moet spelen. Wees voorzichtig met Grieken die geschenken draagt … omhoog totdat ze precies ontdekken hoe je om je de heuristieken van je Discord Bot kunt werken? Ik heb bijvoorbeeld al. Dit is een monumentaal onderwerp met wortels buiten de uitstekende PinePhone Snake-malware van 2021, evenals dit bericht is zelfs niet zo ongeveer dat het gaat om assisteren wat het is met cruciale elementen van Linux-beveiliging, of misschien zelfs de veiligheid van Alle open source-software.
Voor mij slaat deze malware de aantekeningen van “onvermijdelijk” evenals “Cursus-aanpassing” en “Groeiende Pijn”. Er zijn discussies afhankelijk van evenals softwareapplicatie plaats in elke buurt die groot genoeg is.
Wij vereisen de erkenning dat Linux Malware mogelijk is en uiteindelijk uiteindelijk wijdverspreid kan zijn, evenals een gezonde discussie over precies hoe te stoppen met het is cruciaal. Linux heeft nog steeds geen malware, maar de dag kunnen we niet langer specificeren, dus nadert ons.
Ik weet het niet zeker van de precieze programmadematificatie die we nodig hebben. Het begrijpen van het systeem gaat een lange weg, maar de veiligheidsprocedures die we verwachten, kunnen geen machtspersonen en beginnersontwikkelaars niet uitsluiten. Technisch gezien, of het nu gaat om containerisatie, sandboxing, oprusting gebaseerde infrastructuur of geheugenveilige talen, wij vereisen om te begrijpen wat we vereisen voordat we begrijpen wat ze moeten vragen.
Ik zou graag [Lukasz] van Pine64-buurt willen zeggen, evenals [Hacker Fantastic] voor hulp op de PinePhone-omstandigheidsfact-cheques.