Tema dannoso nello store di KDE

[caturen]

Gnome shell extension
https://www.bleepingcomputer.com/news/s ... eir-files/
ps

Non possiamo non ricordare come vi siano state e vi sono tutt’ora evenienze di malware anche su app store proprietari e monitorati, come Google Play e Apple Store e sarebbe, quindi, irragionevole aspettarsi risultati migliori da progetti e ambienti open-source che, senza eccezione, godono di meno budget e risorse dei giganti appena menzionati.

[woddy68]

chissà come fai a fidarti, che sei un ingegnere informatico e ti vai a vedere il codice e controlli le connessioni che il programma fa con la rete? Se un software ti viene messo nel software center della distribuzione come minimo devi pretendere che sia ok Guarda caso quello presente nei repository lo è. Purtroppo oggi non va di moda offrire i software in formato deb/rpm

"fidarsi"= AffidareAffidare, dare in consegna con fiducia. Non serve essere un ingegnere informatico. Se usi Ubuntu ti fidi di Ubuntu e dei relativi pacchetti.
Se scarico una applicazione, mi fido del suo dev., personalmente non mi fido di tutti, lo stesso flathub utilizza delle etichette "verificato" "non verificato" che non significa che il "non verificato" contenga malware, ma semplicemente che non è verificato, inoltre le applicazioni flatpak hanno delle restrizioni di esecuzione, non girano in / e non hanno accesso a tutto il sistema.
Tra l'altro le distribuzioni non fanno controlli così stringenti sulle applicazioni come si può credere e non lo fanno ad ogni aggiornamento, per cui non è da escludere che un malware possa finire nei repository di una distribuzione o pensi che Canonical o chiunque altro controlli il codice dei centinaia di migliaia di pacchetti e relativi aggiornamenti, davvero ? E comunque vai sempre in fiducia, potrebbe essere Canonical a spedirti un malware.

[emanuc]

lo stesso flathub utilizza delle etichette "verificato" "non verificato" che non significa che il "non verificato" contenga malware, ma semplicemente che non è verificato,

Il non "verificato" non significa che il manifest di flatpak non è stato verificato da nessuno prima della pubblicazione, ma ha un significato diverso da quel che pensi.
Il non verificato significa che a pubblicare il flatpak è stato qualcuno della comunità e non lo sviluppatore originario, cosi come avviene nei repository delle varie distro.
Ogni richiesta di unione su flathub, il manifest del pacchetto viene revisionato.

[woddy68]

lo stesso flathub utilizza delle etichette "verificato" "non verificato" che non significa che il "non verificato" contenga malware, ma semplicemente che non è verificato,

Il non "verificato" non significa che il manifest di flatpak non è stato verificato da nessuno prima della pubblicazione, ma ha un significato diverso da quel che pensi.
Il non verificato significa che a pubblicare il flatpak è stato qualcuno della comunità e non lo sviluppatore originario, cosi come avviene nei repository delle varie distro.
Ogni richiesta di unione su flathub, il manifest del pacchetto viene revisionato.

Appunto ""non verificato" che non significa che il "non verificato" contenga malware", io parlavo di fiducia...se mi fido di Google installo Chrome e so che dietro a esso c'è Google di cui mi fido (e' un esempio), se non è verificato, significa che non è Google che lo sta distribuendo, quindi dipende da me se fidarmi o meno di X o Y.

[emanuc]

Ti sfugge il fatto che le app su flathub vengono sempre revisionate, che sia l'autore dell'app o qualcuno della comunità non importa.
Esempio 1: https://github.com/flathub/flathub/pull ... 1968437452
Esempio 2 : https://github.com/flathub/flathub/pull ... 2009555195
Su KDE store dei temi c'è 0 controllo, sta qui la differenza! Sugli store come Google o altri ci sono gli sviluppatori trusted e hanno infrastrutture di build per il controllo automatico del codice, anche se non sono perfetti e può sfuggire, ma parliamo di milioni di APP e non può reggere il confronto.

[woddy68]

Ti sfugge il fatto che le app su flathub vengono sempre revisionate, che sia l'autore dell'app o qualcuno della comunità non importa.
Esempio 1: https://github.com/flathub/flathub/pull ... 1968437452
Esempio 2 : https://github.com/flathub/flathub/pull ... 2009555195
Su KDE store dei temi c'è 0 controllo, sta qui la differenza! Sugli store come Google o altri ci sono gli sviluppatori trusted e hanno infrastrutture di build per il controllo automatico del codice, anche se non sono perfetti e può sfuggire, ma parliamo di milioni di APP e non può reggere il confronto.

Non era mia intenzione paragonare flathub con lo store di KDE, se leggi tutta la discussione non sono io ad averli paragonati....cercavo solo di dare spiegazioni, se su flathub non sono ancora capitati problemi, sullo snap store si, malgrado i controlli, come anche su store di Google, Apple ecc.
KDE store non è uno store di applicazioni, ma di plugin, estensioni e temi, esattamente come lo store di Gnome, un posto dove gli utenti possono caricare una loro creazione e metterla a disposizione di tutti, non esiste un controllo, per questo che esiste un messaggio di allerta quando si vanno a scaricare.

[emanuc]

se su flathub non sono ancora capitati problemi, sullo snap store si, malgrado i controlli

Sullo snap store non c'erano controlli per ogni APP pubblicata se era in "restricted mode" e non in "classic mode", ma di recente hanno annunciato che revisioneranno ogni nuova APP pubblicata.E comunque nessuna APP si è messa a cancellare tutti i file degli utenti.
È sempre uno store che sia di temi o app, cambia poco se si va a rischiare i dati degli utenti. Sinceramente io non sapevo che i temi dallo store di KDE eseguissero script, soprattutto con privilegi di root...
E ripeto lo store delle estensioni di GNOME non è preinstallato con GNOME desktop, deve essere l'utente a cercare come installarli, quindi non a portata di click.

[GjMan78]

Sinceramente io non sapevo che i temi dallo store di KDE eseguissero script, soprattutto con privilegi di root...

Da quanto ho letto lo script malformato non aveva privilegi di root ma solo a livello utente (per fortuna) ma questo non gli ha impedito di svuotare la home ed ogni altro dispositivo montato in cui l'utente aveva permessi di scrittura.

[emanuc]

Comunque, se non rimedieranno non userò più KDE plasma perché per me la flessibilità nella personalizzazione non deve essere a discapito della sicurezza, la sicurezza deve essere al primo posto se una comunità vuole essere credibile.
Sto tenendo d'occhio Cosmic, ma in caso tornerò su GNOME.

[woddy68]

Comunque, se non rimedieranno non userò più KDE plasma perché per me la flessibilità nella personalizzazione non deve essere a discapito della sicurezza, la sicurezza deve essere al primo posto se una comunità vuole essere credibile.
Sto tenendo d'occhio Cosmic, ma in caso tornerò su GNOME.

...che dovrai personalizzare con le estensioni che soffrono dello stesso problema.
A me personalmente importa poco, utilizzo i temi di default, non installo mai plugin o estensioni.
Comunque se proprio per te è un problema, puoi sempre offrirti per farlo tu il revisore, è così che funziona nel mondo dell'open source. non pretendere, fallo tu !

[emanuc]

Comunque se proprio per te è un problema, puoi sempre offrirti per farlo tu il revisore, è così che funziona nel mondo dell'open source. non pretendere, fallo tu !

Ti sei gnomizzato anche tu?
Purtroppo non ho le competenze per farlo altrimenti già l'avrei fatto.
Io non pretendo nulla, se non mi piace come viene gestito il software semplicemente non lo uso, che sia closed o open.
Ti ricordo comunque che KDE plasma è su prodotti consumer come lo Steam Deck e una certa garanzia la devono dare. Ti immagini un utente di Steam Deck, vede quel bel pulsantino "Scarica" sulla pagina dei temi e poi si ritrova con lo Steam Deck inutilizzabile solo per aver installato un tema?

[woddy68]

Comunque se proprio per te è un problema, puoi sempre offrirti per farlo tu il revisore, è così che funziona nel mondo dell'open source. non pretendere, fallo tu !

Ti sei gnomizzato anche tu?
Purtroppo non ho le competenze per farlo altrimenti già l'avrei fatto.
Io non pretendo nulla, se non mi piace come viene gestito il software semplicemente non lo uso, che sia closed o open.
Ti ricordo comunque che KDE plasma è su prodotti consumer come lo Steam Deck e una certa garanzia la devono dare. Ti immagini un utente di Steam Deck, vede quel bel pulsantino "Scarica" sulla pagina dei temi e poi si ritrova con lo Steam Deck inutilizzabile solo per aver installato un tema?

Perché continui a insistere su una cosa che è talmente risaputa che vi è tanto di avviso ?
Poi a te può non piacere questo metodo e sei liberissimo di utilizzare GNOME o qualsiasi altra cosa malgrado tutte abbiano il medesimo problema, cambia solo la modalità in installazione.
Se lo sai prendi le dovute precauzioni...ma la differenza è che mentre molti utenti, me compreso non installano nulla dallo store di KDE e hanno una buona esperienza desktop, con GNOME è diverso e francamente non ho mai visto nessuno utilizzarlo senza estensioni.

Poi non è questione di essere gnomizzati, questo è il principio dell' open source e del software libero.

Comunque da quel che leggo, KDE prenderà ulteriori provvedimenti, per informare gli utenti sui possibili rischi nello scaricare roba dallo store.
Come recita quel detto "uomo avvisato, mezzo salvato".

EDIT,
...a tal proposito, questo mi sembra un buon post sulla questione sicurezza https://www.miamammausalinux.org/2024/0 ... a-un-tema/

[woddy68]

Comunque leggevo ieri (se ritrovo il link lo aggiungerò) che alcune misure preventive le stanno prendendo.
Ci sarà un'informazione più accurata, ad esempio un avviso in fase di installazione di temi, estensioni ecc. di terze parti.
Ci sarà un controllo, anche se dicono che è impossibile per loro fare un controllo accurato di tutto quello che c'è nello store.
Fondamentalmente comunque l'approccio sarà quello di informare meglio l'utente sui rischi, attualmente c'è solo un generico avviso, l'obiettivo è quello di rendere l'avviso più dettagliato e visibile nelle diverse fasi, compresa quella dell'installazione.
https://blog.davidedmundson.co.uk/blog/ ... e-content/

[wilecoyote]

Salve, notato solo adesso, questa discussione in sezione di supporto tecnico trattasi invece di baruffa su sicurezza e controlli preventivi.

Segnalo per spostamento in sezione Bar Ubuntu.

Ciao

[woddy68]

Salve, notato solo adesso, questa discussione in sezione di supporto tecnico trattasi invece di baruffa su sicurezza e controlli preventivi.

Segnalo per spostamento in sezione Bar Ubuntu.

Ciao

Si...non lo avevo notato. Va al bar

[caturen]

Comunque leggevo ieri (se ritrovo il link lo aggiungerò) che alcune misure preventive le stanno prendendo.
Ci sarà un'informazione più accurata, ad esempio un avviso in fase di installazione di temi, estensioni ecc. di terze parti.
Ci sarà un controllo, anche se dicono che è impossibile per loro fare un controllo accurato di tutto quello che c'è nello store.
Fondamentalmente comunque l'approccio sarà quello di informare meglio l'utente sui rischi, attualmente c'è solo un generico avviso, l'obiettivo è quello di rendere l'avviso più dettagliato e visibile nelle diverse fasi, compresa quella dell'installazione.
https://blog.davidedmundson.co.uk/blog/ ... e-content/

se la gente NON si fa i backup di che si parla? questa è tutta fuffa. Anche un semplice aggiornamento può mandare a catafascio il sistema. puoi installarti le più immonde cose del mondo senza nessun problema se prima ti sei premunito. Ma chi lo fa? Sempre a piangere lacrime di coccodrillo dopo.

[GjMan78]

se la gente NON si fa i backup di che si parla? questa è tutta fuffa. Anche un semplice aggiornamento può mandare a catafascio il sistema. puoi installarti le più immonde cose del mondo senza nessun problema se prima ti sei premunito. Ma chi lo fa? Sempre a piangere lacrime di coccodrillo dopo.

[emanuc]

Anche un semplice aggiornamento può mandare a catafascio il sistema.

Con la differenza che non ti elimina tutti i dati dell'utente e di tutti i mount con proprietario l'utente

[caturen]

non c'è nessun rimedio all'essere un pirla

[wilecoyote]

Salve,

non c'è nessun rimedio all'essere un pirla

Credo che per @emanuc sia più comprensibile cedda.

Ciao

P.S. conosco il termine causa l'uso da parte d'un collega di Catania.