AUR റിപ്പോസിറ്ററിയിൽ പാക്കേജുകളുടെ നിയന്ത്രണം നേടാനുള്ള പരീക്ഷണം

പ്രധാന ആർച്ച് ഡിസ്ട്രിബ്യൂഷൻ റിപ്പോസിറ്ററികളിൽ ഉൾപ്പെടുത്താതെ തന്നെ മൂന്നാം കക്ഷി ഡെവലപ്പർമാർ അവരുടെ പാക്കേജുകൾ വിതരണം ചെയ്യാൻ ഉപയോഗിക്കുന്ന ഒരു റിപ്പോസിറ്ററിയായ AUR (ആർച്ച് യൂസർ റിപ്പോസിറ്ററി)യിലെ പാക്കേജുകളുടെ നിയന്ത്രണം പിടിച്ചെടുക്കുന്നതിനുള്ള ഒരു പരീക്ഷണത്തിന്റെ ഫലങ്ങൾ പ്രസിദ്ധീകരിച്ചു. LinuxPKGBUILD, SRCINFO ഫയലുകളിൽ ലിസ്റ്റ് ചെയ്തിരിക്കുന്ന കാലഹരണപ്പെട്ട ഡൊമെയ്‌നുകൾ പരിശോധിക്കുന്ന ഒരു സ്ക്രിപ്റ്റ് ഗവേഷകർ വികസിപ്പിച്ചെടുത്തു. ഈ സ്ക്രിപ്റ്റ് പ്രവർത്തിപ്പിച്ചുകൊണ്ട്, 20 ഫയൽ ഡൗൺലോഡ് പാക്കേജുകളിൽ ഉപയോഗിച്ചിരിക്കുന്ന 14 കാലഹരണപ്പെട്ട ഡൊമെയ്‌നുകൾ അവർ തിരിച്ചറിഞ്ഞു.

ലളിതം ഡൊമെയ്ൻ രജിസ്ട്രേഷൻ ഡൗൺലോഡ് ചെയ്ത ഉള്ളടക്കം AUR-ലേക്ക് ഇതിനകം അപ്‌ലോഡ് ചെയ്ത ചെക്ക്‌സവുമായി താരതമ്യം ചെയ്തിരിക്കുന്നതിനാൽ, പാക്കേജ് സ്പൂഫിംഗിന് ഇത് പര്യാപ്തമല്ല. എന്നിരുന്നാലും, AUR-ലെ ഏകദേശം 35% പാക്കേജുകളുടെയും പരിപാലകർ ചെക്ക്‌സം വെരിഫിക്കേഷൻ മറികടക്കാൻ PKGBUILD ഫയലിലെ "SKIP" പാരാമീറ്റർ ഉപയോഗിക്കുന്നതായി കണ്ടെത്തി (ഉദാഹരണത്തിന്, sha256sums=('SKIP')' വ്യക്തമാക്കുന്നതിലൂടെ). കാലഹരണപ്പെട്ട ഡൊമെയ്‌നുകളുള്ള 20 പാക്കേജുകളിൽ, 4-ൽ SKIP പാരാമീറ്റർ ഉപയോഗിച്ചു.

ഒരു ആക്രമണം നടത്താനുള്ള സാധ്യത തെളിയിക്കാൻ, ഗവേഷകർ ചെക്ക്സം പരിശോധിക്കാത്ത പാക്കേജുകളിലൊന്നിന്റെ ഡൊമെയ്ൻ വാങ്ങി അതിൽ കോഡും പരിഷ്കരിച്ച ഇൻസ്റ്റാളേഷൻ സ്ക്രിപ്റ്റും ഉള്ള ഒരു ആർക്കൈവ് സ്ഥാപിച്ചു. യഥാർത്ഥ ഉള്ളടക്കത്തിന് പകരം, മൂന്നാം കക്ഷി കോഡിന്റെ നിർവ്വഹണത്തെക്കുറിച്ചുള്ള ഒരു മുന്നറിയിപ്പ് സന്ദേശം സ്‌ക്രിപ്റ്റിലേക്ക് ചേർത്തു. പാക്കേജ് ഇൻസ്റ്റാൾ ചെയ്യാനുള്ള ശ്രമം പകരം ഫയലുകൾ ഡൗൺലോഡ് ചെയ്യുന്നതിനും ചെക്ക്സം പരിശോധിക്കാത്തതിനാൽ, പരീക്ഷണാർത്ഥികൾ ചേർത്ത കോഡിന്റെ വിജയകരമായ ഇൻസ്റ്റാളേഷനിലേക്കും ലോഞ്ചിലേക്കും നയിച്ചു.

കോഡുള്ള ഡൊമെയ്‌നുകൾ കാലഹരണപ്പെട്ട പാക്കേജുകൾ:

• ഫയർഫോക്സ്-വാക്വം
• gvim-ചെക്ക്പാത്ത്
• വൈൻ-പിക്സി2
• xcursor-theme-wii
• ലൈറ്റ്‌സോൺ രഹിതം
• scalafmt-native
• coolq-pro-bin
• gmedit-bin
• മെസെൻ-എസ്-ബിൻ
• പോളി-ബി-പോയി
• erwiz
• totd
• kygekteampmmp4
• സർവീസ്വാൾ-ജിറ്റ്
• amuletml-bin
• ഈതർഡമ്പ്
• നാപ്-ബിൻ
• iscfpc
• iscfpc-aarch64
• iscfpcx

അവലംബം: opennet.ru