Για όποιον δεν ξέρει τι είναι το AUR, το AUR ουσιαστικά είναι σελίδα που ο καθένας ανεβάζει συνταγές για τοπική δημιουργία πακέτων. Επειδή το πακέτο το φτιάχνεις τοπικά ουσιαστικά έχεις θεωρητικά τον πλήρη έλεγχο.
aur.archlinux.org
κοιτάξτε κάτω δεξιά:
| Packages | 107594 |
| Orphan Packages | 13029 |
| Packages added in the past 7 days | 273 |
| Packages updated in the past 7 days | 4920 |
| Packages updated in the past year | 37268 |
| Packages never updated | 23746 |
| Registered Users | 141963 |
πάνω από 100 χιλιάδες πακέτα. Πάνω από 140 χιλιάδες χρήστες που έχουν λογαριασμό και μπορούν να ανεβάσουν πακέτα.
Υπενθυμίζω ότι δεν έχει τα ίδια τα πακέτα το AUR για αυτό και μπορεί να είναι μια απλή ιστοσελίδα, έχει τις συνταγές για να τα φτιάξει ο τελικός χρήστης.
Όσο και να βλέπουμε ότι χτυπιέται από τέτοιου είδους επιθέσεις αυτό είναι εξορισμού πιο ασφαλές και αξιόπιστο από το να προσθέτει κάποιος PPAs στο Ubuntu. Με τα PPAs κάνεις την ίδια επικίνδυνη ενέργεια να εγκαθιστάς ξένο λογισμικό αλλά δεν έχεις κανέναν έλεγχο. Με το AUR το φτιάχνεις ο ίδιος και επίσης επειδή είναι μία ιστοσελίδα, που τα έχει ανοικτά σύντομα κάποιος θα δει ότι κάτι είναι κακόβουλο. Οπότε με λίγη προσοχή συνήθως δεν υπάρχει πρόβλημα.
Από την άλλη το σωστό βεβαίως είναι κανείς ποτέ να μην εγκαθιστά ξένο λογισμικό στο σύστημα. Προσωπικά τα τελευταία αρκετά χρόνια έχω μειώσει πάρα πολύ τα πακέτα από το AUR με κύριο τρόπο αντικατάστασης το flathub οπότε έχουν περιοριστεί σε πολύ διαχειρίσιμο αριθμό επίσης στην τακτική ενημέρωση που κάνω ποτέ δεν ενημερώνω το AUR. Το τελευταίο το ενημερώνω μόνο όταν έχω την διάθεση και πάντα αφού ελέγξω πρώτα τι μπορώ να σβήσω από το AUR. Επίσης σε συγγενείς που έχω εγκαταστήσει Arch-based, δεν τούς έχω κανένα πακέτο από το AUR. Ο περισσότερος κόσμος σήμερα δεν χρειάζεται να βάλει απολύτως τίποτα από το AUR.
Αυτό που κάνει την κατάσταση με το AUR κάπως πιο επικίνδυνη είναι ότι ο κόσμος για να αυτοματοποιήσει την διαδικασία χρησιμοποιεί AUR-βοηθούς (πχ yay/paru). Αυτό δεν υποστηρίζεται στο κανονικό Arch και ο τρόπος να τούς εγκαταστήσει κάποιος στο Arch είναι μαντέψτε, ναι από το AUR. Οι διανομές όμως που βασίζονται στο Arch (Manjaro/CachyOS/EndeavourOS) τούς έχουν στα δικά τους αποθετήρια. Αυτή η διευκόλυνση μπορεί να δημιουργήσει την λάθος αντίληψη ότι το AUR είναι κανονικά υποστηριζόμενο λογισμικό και αν κανείς το αντιμετωπίζει έτσι τότε αργά ή γρήγορα θα κατεβάσει κάτι κακόβουλο.
Το άλλο θέμα που μπορεί να την πατήσει ακόμα και κάποιος που ξέρει τι κάνει είναι ότι προσβλήθηκαν αρκετά ορφανά πακέτα. Αν ο χρήστης που διαχειρίζεται ένα πακέτο σταματήσει να ασχολείται αυτό γίνεται ορφανό και κάποιος άλλος μπορεί να το αναλάβει. Σε αυτό κάπως πρέπει να γίνουν πιο αυστηροί οι κανόνες γιατί μπορεί να την πατήσει οποιοσδήποτε χρήστης δεν το παρακολουθεί με αρκετή δόση παράνοιας. Ναι θεωρητικά όποτε ενημερώνεις το AUR και όχι μόνο όταν εγκαθιστάς πρέπει να προσέχεις αλλά στην πράξη ποιος κάνει κάτι τέτοιο;
Σε κάθε περίπτωση ο πολύς κόσμος μπορεί και πρέπει να αποφύγει τελείως το AUR και όσοι το χρησιμοποιούν πρέπει να κρατάνε την χρήση του πολύ περιορισμένη και να το ενημερώνουν με πολύ προσοχή.