Arch Linux 19

公式
https://www.archlinux.org/

ArchWiki
https://wiki.archlinux.org/

フォーラム
https://bbs.archlinux.org/

インストールガイド (英語, 日本語)
01. https://wiki.archlinux.org/index.php/Installation_guide
02. https://wiki.archlinux.jp/index.php/%E3%82%A4%E3%83%B3%E3%82%B9%E3%83%88%E3%83%BC%E3%83%AB%E3%82%AC%E3%82%A4%E3%83%89

※ 質問はインストールガイドを熟読し、ArchWiki、フォーラムを検索してから。
※ 次スレは>>980が建てること。

前スレ
Arch Linux 16
https://mao.5ch.net/test/read.cgi/linux/1613324251/
Arch Linux 17
https://mao.5ch.net/test/read.cgi/linux/1659058308/
Arch Linux 18
https://mao.5ch.net/test/read.cgi/c/linux/1703764780/

AURは消えても別に困らないだろ
消えて一番困るのはgithubだわ

頑張れCodeberg！

おじさんの俺はArch系はむずくて使っていないが
AURものは使う前にセキュリティサービス等(今話題のAIとか)でウイルス・マルウェアが入っていないか調べてから使うって感じがするんだが
ノーチェックで使っている奴が多いのかな。
俺ですらバイナリ配布か超普通のWinの野良物はセキュリティサービスで確認しているし
まぁ、今後はArchの中の人が気合を入れてAURのやばい物を排除してくれるんだろうが

>>822
いまやAIは当たり前って感じになっているから
ニュース読んでarch中の人がAI等を使ってAUR内の悪い物対策ぐらいしていたんじゃないのかって思た
が、何にもしていなかったんだろうな(お金なくてやりたくてもできなかった？)
でも、今後はAURの安全対策のための寄付がAUR利用者から来るだろうから対策するだろう

AIはそんな魔法の道具じゃないけどな…
平易なBashスクリプトで書かれていて読みやすいのがAURのビルドレシピの特徴で確認したり共有するのが楽なのにそれすら難しいレベルのユーザーがAI使いこなせるとは思えない

マルウェアチェックのスクリプトでCleanだったんで一安心だけど
汚染パッケージリストにはfcitxまで載っててやれやれって感じ

これ相当マイナーで放置されてるやつがやられただけか？
AUR普通に世話になってるからやべぇと思ったけど、とりあえず現状別に問題なさそうだった

とりあえず一つのノートはniriが快適に動いたのでfedoraに変えた。
aurが落ち着くまでこれでいく

落ち着くことあるの？

コミュニティパッケージっていう文化の問題だから
Archだけが特別危険と言うわけではないし
規模の大きいArchが狙われただけで他のディストリも同じく危険
epelだっていつやられるかわからんよ

落ち着くまでっていうなら
デスクトップアプリだけならflatpakとかじゃね？

fcitx4なんてとっくに開発終わってるんだからfcitx5に移行しておけよ
影響受けてる有名っぽいパッケージは大体どれも昔に新しいバージョンに移行したやつとかタイポスクワッティングとかマイナーなフォーク版とかばっかり

いま一生懸命対策してるからそのうち、ある程度安心して使えるようになるよ
なんせこの膨大な資産をすべてなくすわけにはいかんだろ

flatpakだって誰でもパッケージ投稿できるんだから絶対安全というわけでもないよなぁ
むしろ中身の確認がPKGBUILDよりも面倒な分だけマルウェア見つける難しいまである

Flathubのはオープンソースで開発元の認証済みのメジャーなアプリだけ利用するようにしてるわ
オンラインで使う必要がないものはネット接続禁止、アクセスできるディレクトリも最低限に絞って

これってPKGBUILD内のURLが変わってる感じ？
それならインストール前に確実に気づきそうなもんだが…

githubも安全ではないってわけだな

>>862
URLの細かい変更よりももっとわかりやすく変えてる感じだよ
https://aur.archlinux.org/cgit/aur.git/commit/?h=linux-rc&id=0e8e18c48152454f18d29fc263d3cc9f3cb4b408
https://aur.archlinux.org/cgit/aur.git/commit/?h=gulden-appimage&id=8188e5841b9d50384b7dde9136d80fbd1415c818
サプライチェーン攻撃としてはかなり程度が低いというかパッケージの中身とまるで関係ない変更加えてんだから普通なら気づく
それに問題のnpmのパッケージもnpmの運営側で削除されてるから今同じコード動かしても機能しない

/var/log/pacman.log

[2024-09-20T12:01:28+0900] [PACMAN] Running 'pacman -D --asdeps -q --config /etc/pacman.conf -- spamassassin texlive-formatsextra dillo
libical gumbo-parser libytnef libgdata poppler-glib docbook-utils valgrind'

[2024-09-20T12:05:49+0900] [ALPM] installed libgdata (0.18.1-3)
[2024-09-20T12:10:53+0900] [ALPM] removed libgdata (0.18.1-3)

何かの依存関係でインストールされたら気づかないよ。俺は

AUR経由させずにコンソールでビルドするの難しくね？

AURって何使ってる？
mozc-utとかvscodeぐらいかね。
noctalia-qsとかかな。

>>867
今はanthy-unicodeと実験的にkarukan入れてる
本家anthyは開発止まって、OSDN終了でサイトすら消滅しちゃってるからね…

あとはDEとかの大幅な仕様変更で不具合が出たアプリを一時的に開発版に差し替える程度でしか使ってないな
今回みたいなことが起きると思ってたから、使ってるのがAUR落ちしたら速やかにFlatpakや代替に切り替えるようにしてるわ

>>867
自分もmozc-ut関連ぐらいとフォントを少々ぐらいかな
あとは自分でPKGBUILD書いて管理してるわ

GNOMEの拡張機能なんてヤバそう…

GNOME の拡張機能には
公式なものと非公式なものが混在してる
非公式なものはまさに野良ビルドだよ

AURのgitcloneもやばいの？

lib32-gst-plugins-badとかみたいに、依存で他のAURを引っ張ってくるようなのだと全部は見きれない
goとかでgithubのコードをガンガン参照するのも全く追えない

>>870
Firefoxのアドオンなんかもだけど多少の審査はあるみたいだけどザルだし
悪意は無くてもバグが不具合を惹き起こしたり、仕様変更で機能しなくなったりするから
これもなるべく実績があって開発が滞ってないものを厳選して利用するのがいいね

>>873
依存するAURパッケージが多くて追いきれないようなのは俺は避けるかな
実際、Wineが64bit版に移行してWinetricksが機能しなくなったからFlatpakのBottlesに乗り換えたよ

pacman -Qm で見て意図しない変なの入ってなければ大丈夫？

大丈夫？ もクソもなくAURは自己責任でどうぞ

自分が意図してインストールしたパッケージでも攻撃者に乗っ取られてビルドスクリプトが改変されて情報抜き取ろうとしてくるので、AURのPKGBUILDは全て自力で確認する必要がある

ネット上だとcurl | bashでインストールしろみたいな謳ってるとこもあるからな…
AURに限らず自分のPCは自分で管理できる範囲にしとくべきだね

結局孤児パッケージだからそんな被害ないよな、勿論ゼロではないだろうし油断はせんほうがいいけど
CachyOS台頭して初心者も増えたからAURを使うのはこういうリスクはあるよって大した被害なく知られたのは良いことやね

この手のコミュニティには全部のAURを更新日で絞り込んでAI検査している奇特な人ぐらいいるんじゃね
知らんけど

その辺の検査はAURの全パッケージを自動ビルドしてるChaotic-AURあたりがやってるんじゃないか

>>881
あれ全パッケージなの？

結局aurの仕組み自体変えないとまた起きるっしょ

ローリングリリースで割と最新鋭でパッケージ豊富って事で
aurが安全になるまでtumbleweedに一時的に逃げようと思ってる
でもsuse系は堅牢だけど癖強いのがなー
ちょっと使ってみてるけど慣れないわ

ちなみにtumbleweedはバックに商用suseが付いてるから
比較的新しいけどちゃんとテスト済らしい

Fedoraじゃ駄目なん？

Fedora 的には Arch あった方がない場合に比べてバグ対応が劇的に楽になると思われ
個人の想像です

fedoraはarch以上にカオスでしょ
epel copr rpmfusion等々
redhat含めると歴史が古いだけあって非公式リポジトリ、野良リポジトリだらけで
archの次に狙われそう

もちろんsuseにもコミュニティリポジトリあるけどfedoraほどカオスじゃないし
コミュニティリポジトリ追加しなくてもtumbleweedのリポジトリだけでかなり豊富な雰囲気あるよ

そういやfedoraにはrawhideとかもあったな
個人的にはfedoraは痛い目見た記憶しかないから
魂が拒否してる

まあsuseもyast見てなんじゃこりゃって毎回なるんだけどなw
solarisでunixを学んだ人がaix触って驚愕する感じに似てる

じゃあdebianにでもいくか

公式リポジトリに入っているものだけで満足するならどのディストリでもいいというか
AURは危険だけどSuSEやFedora、Debianなら安全とかいって中身確認せずにコミュニティリポジトリ追加してるのはアホすぎる…

あと当然だけどFlatpakやSnapにも危険なパッケージは存在してサンドボックス化だって完全ではないからな？これらはバイナリだからPKBGUILDみたいに目で確認できないからより慎重にパッケージ選ばないと
https://blog.popey.com/2026/01/malware-purveyors-taking-over-published-snap-email-domains/
https://www.linuxjournal.com/content/when-flatpaks-sandbox-cracks-real-life-security-issues-beyond-ideal

pacmanは平気・・だよね？

win11にもどることにした

アレが危ないコレが危ないという前に実害がどう出たのか調べたほうが良い
個人情報が収集されるのはWindowsでもGoogleでもそうなんだからLinuxベンダーが収集していないわけがないだろう
アカウントのパスワードが盗まれるってそんなものとっくにみんなバレてるよ
AIを使って総当たりで回せばいいだけだろうに

>>890
archの場合はそれaurなの？ってのまでaurにあるイメージ
公式のリポジトリが変に偏ってる時あんのよね
なのでaurが必須って感じするけど
今のfedoraはしらんけどtumbleweedは公式リポジトリで一通り揃って過不足無い感じ

やっぱ商用がバックにあると変な偏りないよ
ただマイナーなアプリを発見する楽しさみたいなのはarchには敵わんね

いずれにしてもこの騒動落ち着くまでの避難先って話だよ
archに慣れちゃってるし結局戻ると思う
ただ普段の仕事から何からLinux使ってるから間違いがあると困るのさ

ライセンスの関係でバイナリ配布できないmozc-utが簡単らくらくにビルドできるのはArchとGentooだけなのでArchから離れる選択肢はないかな
そもそもAURはBKGBUILDをちゃんと読んだら安全かどうかすぐに分かるし、AURを使ってるような人は他のディストリでもパッケージ不足で結局野良リポジトリを入れることになる
PKGBUILDよりも分かりにくい分、その方がよっぽど危険では？

mozc-utってneologdだっけ？
あれ更新止まってるんじゃないの？

俺はあんま日本語入力せんから必要性感じてなくて入れてないけど
まあそういうのはあるよね
そういうのはarchの強みだと思う
辞書変換めんどいもんなぁ
mecabでneologd使ってたけど当時確か週一更新とかでcronでやってたわ

debian13にniriをいれた。fedora debianの2台体制で行く
みんな苦労してるみたいだけど、fcitx5-mozcは、fedoraでもdebianでも簡単に
インストールできるんだけど。まあniriがどちらも使えるんでとりあえずよしとする

今回のようAUR避けて公式しか使わないようにするとほんと見つからないものが多いな

今時はAIの言うままにコピペ、実行ってのも多いし。
逆にユーザーが多いから発覚も対応も早いってのもあるしね。

pacmanにないアプリ本当にどうしよー・・って悩んだわ
代わりのアプリを探してとりあえず作業できる所まで行くけど使ってるアプリはどこか不便なんだよな・・。

汚染リストみてもピンとくるようなのは今のところないよね。
日本特有のコレはダメとかあったら教えて欲しい。

公式パッケージの豊富さなら最近はNixがいい感じじゃないかな
ただビルドレシピとしてはやっぱりPKGBUILDが一番シンプルで作ったり改変しやすいとは思う
AlpineやMSYS2もその仕組み取り込んで繁栄してるわけだし

バージョンが常に最新安定版になるというローリングリリースの特徴とも合ってる
そのせいでいつまでも古いライブラリに依存してるようなソフトウェアはAUR落ちしやすくいずれorphanになって動かないのはあるけどね
ただそういうソフトウェアは脆弱性も放置されてる可能性もあるわけで向き不向きがある

nix alpineとか相当な変わりもんしか使ってないし

壁打ち相手3つのサービスに課金したから
Ubuntu Server 26.04 LTS
と
ArchLinux
に絞って、コマンド表をつくるかな。
小さな英語でやりたい。

nginxを採用することに決定。
プログラミング言語はPythonを採用することに決定。


小さな英語で大きなことをする。

Small words, big world.

ぬるぽ

ﾌﾞｯ

株式会社アイ・エス・ビー
https://kizuna.5ch.io/test/read.cgi/infosys/1756826944/

https://archive.md/Zg0Yp
ISB人事

linux 7.1.2.arch3-1

pacmanにまともなwebブラウザが無いのがネック
よくてbraveぐらい ひどいわ・・

braveてゆうかchromium自体ゴミみたいなのばっか定期

AUR (en) - Packages
https://aur.archlinux.org/packages?K=brave

そもそも素のArchはAURにしかbraveはないけどな

AURのbraveパッケージはbrave開発元がメンテナしてるんだな

まともなブラウザとは？

Emacs Web Wowser

Chromiumのソースコードの量は、すでにLinux kernelのコードよりも多い

Braveを使うならこのまえリリースされた有料版(Linuxは無料)が良さげ

https://brave.com/ja/origin/

G と MS がフリーソフト文化を屠殺する

最近fontconfigの仕様変わったのかな？
個人ディレクトリにあるフォントに対して、個人設定で指定したaliasが反映されなくなった。

2.18からルール適用まわりがなんかおかしくなってる感じはするね
https://gitlab.freedesktop.org/fontconfig/fontconfig/-/work_items/532

>>920
fonts.conf で
<alias binding="strong">
のように binding="strong" を設定する

ふむ。なんか下の方で2.18.1で旧来のに近くなったって言ってるけど、自分の場合は明らかにおかしくなったのは、2.18.1からといえる。
なぜなら、Braveの方で先に現象が起きていたのは気がついてたけど、放置していたらthunarやらfirefoxにまで影響出てきて、なんで？となった。

俺もchromeのあるバーだけ中国フォントになったなあ

>>922
遅くなったけど、ありがとう。いまのところこれが正解みたいね。

cachyos-handheld-linux-260628.iso のsha256が一致しない....
ハッシュ 670b～ と 0567～ の.iso.sha256ファイルが存在してる なんだこれ..

>>922
2.18.2になってこの記述がいらなくなったかな。
これ以上は詮索するつもりはないけど、書かなくて済むならない方がいいかもしれない。

むしろ書いたらダメだよ

ってか 2.17.x 使え

2.18.x への変更したやつはほんとクソ

glibc-2.44 ﾏﾀﾞｰ?

Ollama関連
日本語
https://wiki.archlinux.jp/index.php/Ollama
英語
https://wiki.archlinux.org/title/Ollama
(Webスクレイピングを疑われるね。というか、Webスクレイピングbotが大量発生しているっぽい。)

昨日、 ollama 、入ったっぽいね。
https://archlinux.org/packages/?name=ollama

またAURにスパム襲来か

AUR packages adoption disabled
https://lists.archlinux.org/archives/list/[email protected]/thread/DRDEU3JUSC72CB265XHXPFA3DFSLXPBP/

ここ何日かAURパッケージのマルウェアチェックツールがいくつか更新、新規登録されてるのを見かけたがそういうことか

Prominent Arch Linux Developer Resigns After 10 Year Run
https://www.phoronix.com/news/Arch-Linux-Foxboron

もうだめかもわからんね

何処かの企業がサポートして、人もお休み出来る体制にしないと疲れちゃうよね

>>919
屠殺なんかせんよ
下僕にしてすりつぶすだけ

buildbtwが完成さえすればgitlabにマージリクエスト作れば自動でパッケージ更新できるようになるんだけどね
サーバー費用はValveがかなり出してくれてるから後はインフラ周りの完成待ちかな
開発メンバーにもValveが支援してくれてるけどPoCまでもうちょっとかかりそう

結局企業の資金頼みか・・・

そもそもカーネル作ってるのも大企業

>>938
まぁSteamOSはArchベースだからお金出して開発進めてくれるのはウィンウィンだろう

Archの凋落も近いのかなあ

>>941
ある特異点では、Archの凋落も近いかもしれませんね

属人性が強すぎるからなarchは
Felix Yangがやめたらその瞬間に完全終了する

Gentoo というがあってだね

>>944
同じこと思った
でもGentooも人手不足か主要なパッケージのメンテナが足りていないことが多いんだよな

Arch Linuxでみんなはなんの用途で使いたいの？


OpenBSDみたいなポジションを築ければいいんじゃないの？
今も本家で(開発)合宿をやっているか、わからないけどさ。

日本語ローカルだと何をメンテしたいの？

>>946
あなたはなんの用途で使っているの？

openssl-4.x ﾏﾀﾞｰ?