Snap-oj en Ubuntu: malpli da sekureco kaj aŭtomataj ĝisdatigoj

Per sia versio 22.04, kiu estos eldonita la 21an de aprilo, Ubuntu igos, ke programoj uzu Snap-pakojn anstataŭ la .deb-aj. Tiuj pakoj aŭtomate ĝisdatiĝas sen iri tra prova fazo kiel okazas kun la pakoj de Debiano kaj aliaj distribuoj. En la kazo de la pako de Firefox, estas la skipo de Mozilla (ne Ubuntu), kiu decidas kiel kaj kiam la retumilo ĝisdatiĝas.

Firefox estas libera programaro, sed ĝi enhavas proprieterojn kiel Pocket. Mozilla povas per Snap aldoni aliajn similajn erojn kaj malagrablajn funkciojn.

La Snap-oj havas iujn avantaĝojn: ili permesas paki programon kun ĉiuj iliaj dependaĵoj, ili funkcias en ĉiuj distribuoj, ktp. Tamen ili malrapidigas la startigan procezon; ili estas multe pli malrapidaj, kiam ili estas plenumitaj unuafoje; ili okupas pli da spaco, ĉar ili enhavas bibliotekojn, kiuj povus esti uzitaj de pluraj programoj; ilia defaŭlta deponejo («aĉetejo») estas proprieta; ili postulas la uzon de systemd, ktp.

Se la uzo de la Snap-oj estus nedeviga, ne estus tiom da polemiko, sed Ubuntu trudis ilin por kelkaj pakoj, por kiuj ne plu estas .deb-a alternativo.

Alia provizoĉena atako en npm: EventSource polyfill

npm jam pruvis esti malsekura pako-administrilo — lastatempe per la fiprogramaro de node-ipc —. Alia biblioteko tre uzata, elŝutita pli ol 600 000 fojoj semajne per npm, nomita EventSource polyfill aldonis propagandajn mesaĝojn skribitajn en la rusa favore al la ukraina reĝimo direktajn al tiuj, kiuj havas sian horzonon agorditan kiel regionon de Rusio, eĉ malfermante fenestron en la retumilo kun la URL de kolekto de subskriboj kontraŭ la milito.

Ĝi montras falsajn mensaĝojn kiel «91 % el la ukrainaj plene subtenas la prezidanton Volodimir Zelenskij», sed la partopreno en la 2019aj elektoj estis 49,84 % kaj la partio de tiu politikisto atingis entute 6 307 793 balotilojn (43,16 %). Ĝi ankaŭ rekomendas aliri al la ĵurnalo de la BCC (brita ŝtata ĵurnalo) per Tor (ĉar ĝi estas cenzurita en Rusio) kiel fidinda fondo de informo.

Reteja milito kontraŭ senkulpaj: pri la fiprogramaro enigita en node-ipc

La provizoĉena atako uzita de la programo node-ipc, dependaĵo de multaj aliaj programoj, sonigis la alarmilojn en la komunumo de la libera programaro. La fiprogramaro kreis dosieron kun protestmesaĝon en la dosierujo kaj forigis ĉiujn dosierojn de la komputiloj, kiuj havis rusan aŭ belorusan IP-adreson.

Kompreneble, ĉar la programo estis libera, oni povis kontroli tion, kion ĝi faris, antaŭ elŝuti ĝin, sed multaj homoj ne kutimas praktike fari tion. La atako montris, ke la aŭtomataj ĝisdatigoj de programoj ne estas sekuraj en pakaĵaj administriloj de programlingvoj, speciale de npm, kiu jam havis similajn problemojn estintece.

La atako kaŭzis perdon de konfido de la komunumo de la libera programaro al programisto Brandon Nozaki Miller. La atako kun la paca mesaĝo estas vere sabotigo, ne kontraŭ la militaj aŭtoritatoj de Rusio kaj Belorusio, sed kontraŭ homoj, kiuj loĝas en tiuj landoj aŭ kiuj uzas virtualan privatan reton kun IP-adreso de tiuj landoj, kaj faras programojn. Ĉu montri kiel malbonaj kaj ataki ĉiujn loĝantojn de lando kondukos al paco?