Arch Linux 19

公式
https://www.archlinux.org/

ArchWiki
https://wiki.archlinux.org/

フォーラム
https://bbs.archlinux.org/

インストールガイド (英語, 日本語)
01. https://wiki.archlinux.org/index.php/Installation_guide
02. https://wiki.archlinux.jp/index.php/%E3%82%A4%E3%83%B3%E3%82%B9%E3%83%88%E3%83%BC%E3%83%AB%E3%82%AC%E3%82%A4%E3%83%89

※ 質問はインストールガイドを熟読し、ArchWiki、フォーラムを検索してから。
※ 次スレは>>980が建てること。

前スレ
Arch Linux 16
https://mao.5ch.net/test/read.cgi/linux/1613324251/
Arch Linux 17
https://mao.5ch.net/test/read.cgi/linux/1659058308/
Arch Linux 18
https://mao.5ch.net/test/read.cgi/c/linux/1703764780/

flatpakだって誰でもパッケージ投稿できるんだから絶対安全というわけでもないよなぁ
むしろ中身の確認がPKGBUILDよりも面倒な分だけマルウェア見つける難しいまである

Flathubのはオープンソースで開発元の認証済みのメジャーなアプリだけ利用するようにしてるわ
オンラインで使う必要がないものはネット接続禁止、アクセスできるディレクトリも最低限に絞って

これってPKGBUILD内のURLが変わってる感じ？
それならインストール前に確実に気づきそうなもんだが…

githubも安全ではないってわけだな

>>862
URLの細かい変更よりももっとわかりやすく変えてる感じだよ
https://aur.archlinux.org/cgit/aur.git/commit/?h=linux-rc&id=0e8e18c48152454f18d29fc263d3cc9f3cb4b408
https://aur.archlinux.org/cgit/aur.git/commit/?h=gulden-appimage&id=8188e5841b9d50384b7dde9136d80fbd1415c818
サプライチェーン攻撃としてはかなり程度が低いというかパッケージの中身とまるで関係ない変更加えてんだから普通なら気づく
それに問題のnpmのパッケージもnpmの運営側で削除されてるから今同じコード動かしても機能しない

/var/log/pacman.log

[2024-09-20T12:01:28+0900] [PACMAN] Running 'pacman -D --asdeps -q --config /etc/pacman.conf -- spamassassin texlive-formatsextra dillo
libical gumbo-parser libytnef libgdata poppler-glib docbook-utils valgrind'

[2024-09-20T12:05:49+0900] [ALPM] installed libgdata (0.18.1-3)
[2024-09-20T12:10:53+0900] [ALPM] removed libgdata (0.18.1-3)

何かの依存関係でインストールされたら気づかないよ。俺は

AUR経由させずにコンソールでビルドするの難しくね？

AURって何使ってる？
mozc-utとかvscodeぐらいかね。
noctalia-qsとかかな。

>>867
今はanthy-unicodeと実験的にkarukan入れてる
本家anthyは開発止まって、OSDN終了でサイトすら消滅しちゃってるからね…

あとはDEとかの大幅な仕様変更で不具合が出たアプリを一時的に開発版に差し替える程度でしか使ってないな
今回みたいなことが起きると思ってたから、使ってるのがAUR落ちしたら速やかにFlatpakや代替に切り替えるようにしてるわ

>>867
自分もmozc-ut関連ぐらいとフォントを少々ぐらいかな
あとは自分でPKGBUILD書いて管理してるわ

GNOMEの拡張機能なんてヤバそう…

GNOME の拡張機能には
公式なものと非公式なものが混在してる
非公式なものはまさに野良ビルドだよ

AURのgitcloneもやばいの？

lib32-gst-plugins-badとかみたいに、依存で他のAURを引っ張ってくるようなのだと全部は見きれない
goとかでgithubのコードをガンガン参照するのも全く追えない

>>870
Firefoxのアドオンなんかもだけど多少の審査はあるみたいだけどザルだし
悪意は無くてもバグが不具合を惹き起こしたり、仕様変更で機能しなくなったりするから
これもなるべく実績があって開発が滞ってないものを厳選して利用するのがいいね

>>873
依存するAURパッケージが多くて追いきれないようなのは俺は避けるかな
実際、Wineが64bit版に移行してWinetricksが機能しなくなったからFlatpakのBottlesに乗り換えたよ

pacman -Qm で見て意図しない変なの入ってなければ大丈夫？

大丈夫？ もクソもなくAURは自己責任でどうぞ

自分が意図してインストールしたパッケージでも攻撃者に乗っ取られてビルドスクリプトが改変されて情報抜き取ろうとしてくるので、AURのPKGBUILDは全て自力で確認する必要がある

ネット上だとcurl | bashでインストールしろみたいな謳ってるとこもあるからな…
AURに限らず自分のPCは自分で管理できる範囲にしとくべきだね

結局孤児パッケージだからそんな被害ないよな、勿論ゼロではないだろうし油断はせんほうがいいけど
CachyOS台頭して初心者も増えたからAURを使うのはこういうリスクはあるよって大した被害なく知られたのは良いことやね

この手のコミュニティには全部のAURを更新日で絞り込んでAI検査している奇特な人ぐらいいるんじゃね
知らんけど

その辺の検査はAURの全パッケージを自動ビルドしてるChaotic-AURあたりがやってるんじゃないか

>>881
あれ全パッケージなの？

結局aurの仕組み自体変えないとまた起きるっしょ

ローリングリリースで割と最新鋭でパッケージ豊富って事で
aurが安全になるまでtumbleweedに一時的に逃げようと思ってる
でもsuse系は堅牢だけど癖強いのがなー
ちょっと使ってみてるけど慣れないわ

ちなみにtumbleweedはバックに商用suseが付いてるから
比較的新しいけどちゃんとテスト済らしい

Fedoraじゃ駄目なん？

Fedora 的には Arch あった方がない場合に比べてバグ対応が劇的に楽になると思われ
個人の想像です

fedoraはarch以上にカオスでしょ
epel copr rpmfusion等々
redhat含めると歴史が古いだけあって非公式リポジトリ、野良リポジトリだらけで
archの次に狙われそう

もちろんsuseにもコミュニティリポジトリあるけどfedoraほどカオスじゃないし
コミュニティリポジトリ追加しなくてもtumbleweedのリポジトリだけでかなり豊富な雰囲気あるよ

そういやfedoraにはrawhideとかもあったな
個人的にはfedoraは痛い目見た記憶しかないから
魂が拒否してる

まあsuseもyast見てなんじゃこりゃって毎回なるんだけどなw
solarisでunixを学んだ人がaix触って驚愕する感じに似てる

じゃあdebianにでもいくか

公式リポジトリに入っているものだけで満足するならどのディストリでもいいというか
AURは危険だけどSuSEやFedora、Debianなら安全とかいって中身確認せずにコミュニティリポジトリ追加してるのはアホすぎる…

あと当然だけどFlatpakやSnapにも危険なパッケージは存在してサンドボックス化だって完全ではないからな？これらはバイナリだからPKBGUILDみたいに目で確認できないからより慎重にパッケージ選ばないと
https://blog.popey.com/2026/01/malware-purveyors-taking-over-published-snap-email-domains/
https://www.linuxjournal.com/content/when-flatpaks-sandbox-cracks-real-life-security-issues-beyond-ideal

pacmanは平気・・だよね？

win11にもどることにした

アレが危ないコレが危ないという前に実害がどう出たのか調べたほうが良い
個人情報が収集されるのはWindowsでもGoogleでもそうなんだからLinuxベンダーが収集していないわけがないだろう
アカウントのパスワードが盗まれるってそんなものとっくにみんなバレてるよ
AIを使って総当たりで回せばいいだけだろうに

>>890
archの場合はそれaurなの？ってのまでaurにあるイメージ
公式のリポジトリが変に偏ってる時あんのよね
なのでaurが必須って感じするけど
今のfedoraはしらんけどtumbleweedは公式リポジトリで一通り揃って過不足無い感じ

やっぱ商用がバックにあると変な偏りないよ
ただマイナーなアプリを発見する楽しさみたいなのはarchには敵わんね

いずれにしてもこの騒動落ち着くまでの避難先って話だよ
archに慣れちゃってるし結局戻ると思う
ただ普段の仕事から何からLinux使ってるから間違いがあると困るのさ

ライセンスの関係でバイナリ配布できないmozc-utが簡単らくらくにビルドできるのはArchとGentooだけなのでArchから離れる選択肢はないかな
そもそもAURはBKGBUILDをちゃんと読んだら安全かどうかすぐに分かるし、AURを使ってるような人は他のディストリでもパッケージ不足で結局野良リポジトリを入れることになる
PKGBUILDよりも分かりにくい分、その方がよっぽど危険では？

mozc-utってneologdだっけ？
あれ更新止まってるんじゃないの？

俺はあんま日本語入力せんから必要性感じてなくて入れてないけど
まあそういうのはあるよね
そういうのはarchの強みだと思う
辞書変換めんどいもんなぁ
mecabでneologd使ってたけど当時確か週一更新とかでcronでやってたわ

debian13にniriをいれた。fedora debianの2台体制で行く
みんな苦労してるみたいだけど、fcitx5-mozcは、fedoraでもdebianでも簡単に
インストールできるんだけど。まあniriがどちらも使えるんでとりあえずよしとする

今回のようAUR避けて公式しか使わないようにするとほんと見つからないものが多いな

今時はAIの言うままにコピペ、実行ってのも多いし。
逆にユーザーが多いから発覚も対応も早いってのもあるしね。

pacmanにないアプリ本当にどうしよー・・って悩んだわ
代わりのアプリを探してとりあえず作業できる所まで行くけど使ってるアプリはどこか不便なんだよな・・。

汚染リストみてもピンとくるようなのは今のところないよね。
日本特有のコレはダメとかあったら教えて欲しい。

公式パッケージの豊富さなら最近はNixがいい感じじゃないかな
ただビルドレシピとしてはやっぱりPKGBUILDが一番シンプルで作ったり改変しやすいとは思う
AlpineやMSYS2もその仕組み取り込んで繁栄してるわけだし

バージョンが常に最新安定版になるというローリングリリースの特徴とも合ってる
そのせいでいつまでも古いライブラリに依存してるようなソフトウェアはAUR落ちしやすくいずれorphanになって動かないのはあるけどね
ただそういうソフトウェアは脆弱性も放置されてる可能性もあるわけで向き不向きがある

nix alpineとか相当な変わりもんしか使ってないし

壁打ち相手3つのサービスに課金したから
Ubuntu Server 26.04 LTS
と
ArchLinux
に絞って、コマンド表をつくるかな。
小さな英語でやりたい。

nginxを採用することに決定。
プログラミング言語はPythonを採用することに決定。


小さな英語で大きなことをする。

Small words, big world.

ぬるぽ

ﾌﾞｯ

株式会社アイ・エス・ビー
https://kizuna.5ch.io/test/read.cgi/infosys/1756826944/

https://archive.md/Zg0Yp
ISB人事

linux 7.1.2.arch3-1