Nuevamente, un #viernesdeescritorio y esta ha sido una semana movida, yo soy usuario de CachyOs distribución basada en Arch Linux y dese hace unos días se han presentado una controversia por el uso AUR.
AUR son repositorios de paquetes manejados por la comunidad, donde los usuarios podían agregar paquetes que necesitaban y mantenerlos dejándolos a disposición de la comunidad.
AUR desde hace mucho tiempo ha sido el depósito de paquetes de todo tipo, controladores, aplicaciones y todo aquello que no era aceptado dentro de los repositorios oficiales de Arch, de esta forma cualquiera podía registrarse y subir un paquete en AUR, encargándose de su mantenimiento. El principal problema se presenta cuando el creador deja el paquete abandonado y este cae en un status de huérfano, en ese momento prácticamente cualquier colaborador registrado de AUR puede modificar ese paquete con la ide de colaborar en su mantenimiento.
Esta manera de confiar entre los colaboradores de los paquetes en teoría es bueno, porque la comunidad ha logrado así mantenr un repositorio muy grande por años, pero hace poco ha sucedido alguien, el problema de una comunidad de confianza es cuando tercero abusan del sistema para obtener rédito o dañar a terceros, así AUR ha recibido un ataque masivo, alguien barrio la base de datos identifico los paquetes huérfanos, abrió cuentas de colaboración falsas y empezó a modificar estos paquetes, de manera que los usuarios que la tienen instalada descargaran un malware la próxima ocasión que actualizan AUR, de igual forma quien instalaba un paquete afectado se veía afectado.
Ha sido necesario detener la creación de nuevos usuarios en AUR, empezar a borrar paquetes en masa y todo un revuelo en la comunidad por este problema, es importante destacar que los repositorios oficiales de Arch no están afectados, solo el repositorio comunitario AUR, en las primeras pesquisas se hablaba de 400 paquetes y luego mientras se revisaba se hablaba ya de 1500. Si bien es algo que se solucionara, el problema ahora es como se deberá modificar la esencia del repositorio, donde el trabajo de miles de personas que han colaborado se ve empañado, por alguien que abuso de un proyecto donde la confianza era vital.
El gran problema es que con el uso de herramientas de IA barra barrer información de bases de datos públicas y la posibilidad de automatizar ataques para inyección de código en repositorios comunitarios, es posible que la naturaleza de la confianza de estos cambie y sea necesario modificar ciertas políticas y aumentar las restricciones y verificaciones.
Este error ha afectado a la comunidad de ARCH y derivadas que usen AUR, así que CachyOs, EndeavourOS, Manjaro y muchas otras que los activan se ven afectadas. Curiosamente, Steam OS, la inmutable gaming que se basa solo en repos oficiales y se apoya en flatpak no tiene problemas al dejar por fuera los AUR y apoyarse en un escritorio como Plasma que esta integro en repositorio de pacman.
Tocando un segundo tema en un nuevo portátil he instalado Fedora 44 y luego de agregar los rpm-fussion non free ha bastado con ejecutar la siguiente línea para instalar codecs _ sudo dnf install gstreamer1-plugins-bad-free-devel gstreamer1-plugins-ugly libheif-freeworld ffmpegthumbnailer_
Ahora si los vídeos de la semana en el canal de Youtube.
Ahora si el #viernesdeescritorio
https://x.com/EntreVideos/status/2068031825805451630?s=20
https://social.linux.pizza/@manosymaquinasentrevideos/116778093480672534
Gracias por su atención Feliz Fin de Semana
Nota: Los vídeos colocados en este post pertenecen a mi canal de Youtube https://www.youtube.com/@MaquinasLinux y las imágenes del #ViernesDeEscritorio son capturas de pantalla de mis escritorios También se encuentra material en el Telegram https://t.me/+RlAVNsKQbM5Z0hkt
