AW: Imagesammlung für Solo2 Clones - Downloads,Wünsche und Anfragen bitte hier einste
Man könnte da was machen, aber dann hätte man auch keinen Zugriff mehr auf den Feed.
Das ist mit ein Grund, wieso ich mich nicht auf dieses Katz- und Mausspiel eingelassen habe:
Rein technisch betrachtet ist das Nachinstallieren vom Feed auch nichts anderes als ein Online-Update:
Ob das heruntergeladene Paket hinzukommt (= "Vom Feed nachinstallieren") oder eine ältere Version seiner selbst ersetzt (= "Online-Update") macht keinen Unterschied, es durchläuft dieselben Schritte (preinst- und postinst-Scripte).
VTi kann den Trojaner in jedes Paket auf dem Feed einbauen, über eine Bitbake-Klasse sogar vollautomatisch.
Er kann sogar schon auf der Box in einem prerm/postrm-Script eines häufig entfernten Paketes lauern.
Sprich:
Man kann Dein VTi 8.2.2 so nutzen wie es ist (Und hoffen, daß der Trojaner nicht auch im Python-Code steckt), aber
jede Paket-Nachinstallation ist ein Risiko, egal ob zwecks Ergänzung oder Update.
Kurz habe ich mal darüber nachgedacht, was man machen könnte (Festplatte
und USB aushängen, Kommando rm ebenfalls wrappen, ...), es dann aber verworfen:
Es gibt einfach zu viele Möglichkeiten, den gewünschten Schaden auf x verschiedene Wegen anzurichten.
Einigermaßen abzusichern wäre das nur, indem man Updates und Installationen in einer "entclonten" jailroot-Umgebung durchführt, dafür müßte der wrapper aber erst das gesamte Image z.B. auf den Stick duplizieren, dann dort jailen und am Ende die aktualisierte Umgebung zurückkopieren.
Viel Aufwand mit wenig dauerhaftem Nutzen:
Denselben Effekt kann VTi auch an beliebiger Stelle im Python-Code erzielen, wo er jederzeit aufgerufen werden kann.
Wie schon immer gesagt:
Wenn ein Image-Team verhindern will, daß sein Image auf einem Clone läuft, dann ist das problemlos möglich.
Und es war abzusehen, daß das am ehesten bei VTi und/oder BH passieren wird.
Bei den OpenXXX-Images ist eigentlich nur ViX realistisch "gefährdet". Die sind absolut clone-feindlich und waren total "begeistert" als ich gesagt habe, daß ich auch noch die enigma2.ipk einer Duo brauche, um denen auf meinem Solo² clone beim Debuggen zu helfen. Für die war es schon ein Diskussionsgrund, daß im oe-a-git inzwischen auch Zgemma-Boxen unterstützt werden, weil Zgemma früher Clones gebaut hat (Ich meine aber, daß selbst ViX inzwischen auch für Zgemma baut).
Alle anderen Teams beschränken sich darauf, Clones nicht offen zu unterstützen, z.B. durch das Nichtanbieten von pre-patched Images oder Ermahnungen, wenn man im Forum mehr über seine Box erzählt als die Supporter wissen wollen (Also daß es ein Clone ist).
Realistisch ist aber, daß je nach Team und Box bis zu 100% der Entwicklung auf Clones geschieht. Selbst schuld, wenn die Hersteller nicht genug Testboxen zur Verfügung stellen ...
Und nein, dabei rede ich nicht von ATV