Sur mon Raspberry Pi 02W, j’utilise Manjaro ARM en ligne de commande avec Plex-Server PlexPass pour ma musique depuis un bout de temps.
J’avais installé Plex via la commande pamac -a et cela fonctionne parfaitement (je n’ai pas utilisé à l’époque ni flatpak ni yay etc) et je faisais sudo pamac update -a pour mettre à jour, ce qui compilait le programme automatiquement ensuite pour moi. Efficace.
Cependant, comme l’AUR a été compromis et présente un risque, je n’effectue plus de mise à jour. Je ne souhaite pas rencontrer de problèmes, et même si je me débrouille en ligne de commande, je ne suis pas capable de « vérifier le code pour voir si l’AUR est compromis » avant compilation.
Pensez-vous qu’il soit possible de faire une mise à jour sans risque bientôt ? Ou est-ce fichu ? Y aura-t-il une solution pour les utilisateurs de Manjaro/Arch, ou bien ma seule option pour garder mon serveur à jour est-elle de réinstaller une distribution Debian à la place de Manjaro ?
Toutes mes excuses, j’ai utilisé LibreTranslate pour traduire ce texte anglais en français.
Il est inexact de croire que l’AUR n’a jamais connu de problèmes de sécurité avant la récente vague d’attaques. Des acteurs malveillants ont toujours exploité l’ouverture de l’AUR. On pourrait même affirmer que la sécurité est meilleure aujourd’hui, car l’AUR fait l’objet d’une surveillance accrue et d’une recherche plus intensive de failles.
Est-ce parce que vous ne comprenez pas bien le script, ou s’il s’agit d’un problème technique vous empêchant de le visualiser ?
Pendant que les développeurs d’Arch Linux s’efforcent de sécuriser l’AUR, il est important de rappeler que cette plateforme n’a jamais été officiellement prise en charge par Arch ni par aucune de ses distributions dérivées. La solution consiste à apprendre à lire le PKGBUILD et à comprendre son fonctionnement.
Un autre point, souvent négligé, est la négligence des développeurs qui refusent de fournir le script d’installation nécessaire pour leurs paquets. Ceci est probablement dû en partie à l’existence de l’AUR : ils peuvent se permettre cette négligence car d’autres s’en chargent. La véritable solution, à mon avis, est donc d’exiger des développeurs qu’ils fournissent les scripts d’installation appropriés pour les systèmes basés sur Arch, et pas seulement pour Debian.
Les URL doivent toujours pointer vers le site officiel https://downloads.plex.tv.
Les changements soudains d’URL, les téléchargements à partir de serveurs tiers via wget ou curl, ou encore les appels vers d’autres installations (par exemple pip ou npm) sont suspec
ps: Traduit avec deepl.com
À l’époque, à l’école, au bout de six mois, j’ai compris que je n’étais pas fait pour le français.
même si mes camarades de classe trouvaient toujours ça très drôle. On riait beaucoup… enfin, les autres, pas moi…
Bonjour,
merci de vos réponses. Je suis allé voir les pages indiquées. je n’avais pas compris que c’était cela. Je croyais qu’il fallait lire le contenu des fichiers sources ou autres raffinements… Je suis aussi allé voir dans “diff”.
J’ai regardé les liens internet. Cela semble correct car c’est toujours plextv
Faut-il faire une autre vérification par exemple en ligne de commande avant de mettre à jour avec ‘pamac update -a’ depuis manjaro ? si oui, en écrivant quoi?
Si vous voulez, je peux continuer in English, my school English, but perhaps should I open an other topic in the general section, though I don’t know if duplicating this topic would be a good idea. Tell me if you’d prefer me to continue in English elsewhere. I’m so afraid to break my system that I’m almost ready to install dietpi based on Debian but specialized for raspberries with prebuilt apps like PlexServer. But it is not a rolling release and I’d prefer to keep a rolling release.
Regards, cordialement
Oui, vérifiez toujours le fichier PKGBUILD localement. Ne vous fiez pas à la version affichée par votre navigateur web, car il peut s’agir d’une version différente de celle téléchargée lors d’une mise à jour (par exemple, une copie en cache). La plupart des gestionnaires de paquets AUR proposent d’afficher le fichier PKGBUILD pendant l’installation.
Ce n’est pas nécessaire, mais d’après mon expérience, vous obtiendrez probablement plus de réponses à vos questions en anglais. Les traducteurs étant très faciles d’utilisation, je n’y vois pas d’inconvénient, à condition que nous soyons tous deux conscients qu’il peut y avoir des malentendus.
Assurez-vous d’avoir une bonne routine de sauvegarde - votre système tombera en panne à un moment donné et le seul moyen d’éviter cela est d’avoir de bonnes sauvegardes.
Comme l’a dit le célèbre informaticien George Spafford :
« Le seul système véritablement sécurisé est celui qui est mis hors tension, coulé dans un bloc de béton et scellé dans une pièce doublée de plomb avec des gardes armés — et même là, j’ai des doutes. »
Pour résumer ce qui a déjà été dit :
Consultez d’abord les dépôts officiels d’Arch avant de vous tourner vers l’AUR.
Examinez attentivement le script PKGBUILD afin de détecter toute commande malveillante ou suspecte.
Lisez les commentaires sur le site web officiel de l’AUR pour prendre connaissance des rapports et avertissements des utilisateurs.
Assurez-vous que les liens vers les sources en amont pointent vers des pages de développeurs officielles et fiables.
Compilez les paquets dans un environnement chroot propre afin de protéger votre système principal.
Vérifiez les différences entre les dépôts Git et les modifications apportées aux scripts avant d’approuver les mises à jour des paquets.
Maintenez votre système à jour avant d’installer un nouveau paquet depuis l’AUR.
Envisagez des alternatives sandboxées comme Flatpak pour les applications volumineuses ou complexes.
J’ai édité le pkgbuild apres avoir tapé ‘Pamac -a plex-server-plexpass
On dirait que le nom du mainteneur a changé (il y en a un qui s’appelle tix… (je ne me rappelle plus la fin) en plus
Cela peut-il être problématique ?
En tout cas merci je n’avais jamais osé appuyer sur « e » pour éditer et lire.
Je me demande s’il est urgent… d’attendre ou si cet AUR est propre. Il n’a aucune dépendance tierce et pointe bien vers Plex. Je ne l’ai pas trouvé dans les listes des dangers mais je ne sais pas si elles sont à jour.
Désolé pour ces doutes mais maintenant que je comprends mieux ce que je fais, je suis content que ce soit le seul programme en AUR sur mon système qui est dédié à Plex
Que dois-je penser du nom du mainteneur en plus de celui qui est « historique » ?
Bonne journée
The plex-media-server-plexpass package gets its binaries direct from downloads.plex.tv so there is no way to crosscheck maintainers unfortunately.
The PKGBUILD lists 2 maintainers in its header. Unfortunately neither are using a plex domain email address`, but they do seem to be the 2 maintainers that have updated AUR packages.
# Maintainer: Donald Webster <fryfrog@gmail.com>
# Maintainer: Shaun Bartlett <tixetsal@gmail.com>
Having a look at the rest of the PKGBUILD I see nothing concerning.
Mod edit- French translation
Le paquet plex-media-server-plexpass obtient ses binaires directement à partir de downloads.plex.tv, il n’y a donc aucun moyen de recouper les mainteneurs.
Le PKGBUILD répertorie 2 mainteneurs dans son en-tête. Malheureusement, ni l’un ni l’autre n’utilisent une adresse e-mail de domaine plex`, mais ils semblent être les 2 mainteneurs qui ont mis à jour les paquets AUR.
# Maintainer: Donald Webster <fryfrog@gmail.com>
# Maintainer: Shaun Bartlett <tixetsal@gmail.com>
Jetez un coup d’œil au reste du PKGBUILD. Je ne vois rien à propos.
Reponse dans les 2 langues (and sorry if my English is not with native phrases. No AI inside)
Hi,
I was going to answer the former post, writing I didn’t find anything and that links seemed to be clean. Thanks for your help. I think I am going to wait a bit till I can’t wait but updating in a compulsive movement
Bonjour,
J’allais répondre au post précédent, en écrivant que je n’avais rien trouvé et en précisant que le lien me paraissait propre. Merci pour votre aide. Je pense alors que je vais attendre un peu jusqu’à ne plus pouvoir résister à l’attrait compulsif de mettre à jour !
La période n’est pas propice à la prise de risque de mise à jour AUR surtout avec si peu d’informations de la part des mainteneurs de ce dont j’ai besoin. Et je viens de recevoir un mail de Plex qui me demande de mettre à jour le serveur pour cause de sécurité. Dommage pour Manjaro pour ce serveur mais je viens de passer mon raspberry pi02w sous la dernière version de Dietpi, en 30mn installation et mise en route de Plex-server incluse car des programmes bénéficient d’une installation et paramétrage inrégrés par la distribution. Et le tout est incroyablement rapide comme d’habitude sous Dietpi.
Je garde Manjaro pour mon laptop personnel mais je n’ai aucun AUR dessus. Là au moins je suis plus serein.
Bonne journée
