Mitte Juni 2026 wurden über 1500 AUR-Pakete kompromittiert (siehe auch den vorigen Blog-Beitrag zu diesem Thema). Es zeugt natürlich von großer Überheblichkeit, als Mitautor eines Hacking-Buches zu glauben, selbst immun gegen Angriffe zu sein. Ein Update zum falschen Zeitpunkt hat mich auf den Boden der Tatsachen zurückgeholt und mir — einen Tag vor Urlaubsantritt — eine Menge sinnloser Arbeit beschert. Ich habe Anthropic- und OpenAI-Keys widerrufen, die SSH-Keys des betroffenen Notebooks von diversen Servern und Dienstleistern gelöscht und unzählige Passwörter geändert. Sch***!

Heute habe ich, natürlich ohne das System neuerlich zu booten, eine Analyse gemacht. Im Prinzip:

pacman --root /mnt/arch --dbpath /mnt/arch/var/lib/pacman -Qm

Ich habe 60 AUR-Pakete gefunden. Nur eines davon (libgdata, eine veraltete GNOME-Bibliothek für den Zugriff auf Google-Dienste) wurde kompromittiert. Ich habe es nur Stunden nach der Manipulation, aber eben noch vor der Berichterstattung über den Hack installiert. Extremes Pech im Timing!

Dieser Blog-Beitrag ist der Versuch einer persönlichen Aufarbeitung. Was ist passiert? Warum ist es passiert? Und was kann ich daraus lernen?

Eines vorweg. Dieser Artikel ist keine Kritik am Arch-Linux-Projekt. Dieses hat immer klar kommuniziert, dass AUR-Pakete — wie der Name schon sagt (Arch User Repository) — von den Benutzern selbst gepflegt werden und keiner Kontrolle unterliegen. Wer solche Pakete installiert, ist selbst verantwortlich, mit allen — dieses Mal sehr unerfreulichen — Konsequenzen.

Auch Updates können gefährlich sein

Die Sicherheitsempfehlung schlechthin lautet: »Installieren Sie regelmäßig Updates.« Aber diese Regel gilt nur für Pakete aus offiziellen Quellen.

Für extern gepflegte Pakete wäre eine Cool-Down-Phase sinnvoll. Im Prinzip: »Mach ein Update aller offiziellen Pakete sowie eines aller extern gepflegten Pakete, sofern dieses Update zumindest 4 Tage alt ist«. (Über die genaue Zeitspanne kann man streiten.) Ich kenne allerdings keinen Paketmanager, der so eine Funktion bietet.

In die richtige Richtung gehen die Auto-Update-Funktionen von Debian und Ubuntu: Unter Debian werden per Default ausschließlich offizielle Debian-Sicherheitsupdates berücksichtigt (Datei /etc/apt/apt.conf.d/50unattended-upgrades). Sonstige Updates werden ignoriert und müssen manuell installiert werden. Ubuntu ist etwas liberaler und installiert alle Updates aus offiziellen Quellen (aber ebenfalls keine aus externen Quellen).

Kurz gesagt: Ein blindes Update über alle Pakete ist nur sinnvoll, wenn Sie sich über die Herkunft aller Pakete sicher sind. Vielleicht werde ich in zukünftigen Blog-Artikeln Tipps zusammenfassen, wie Updates feiner gesteuert werden können.

Wozu überhaupt nicht-offizielle Pakete?

Eine andere Sicherheitsempfehlung lautet: »Verwenden Sie nur offiziell gepflegte Pakete.« Dennoch hat praktisch jede Distribution zusätzliche Paketquellen:

• Arch Linux: AUR
• Debian: externe Debian-Repositories
• Fedora: externe YUM-Paketquellen, COPR
• RHEL + Klone: EPEL, Remi und andere externe YUM-Paketquellen
• Ubuntu: externe Debian-Repositories, PPAs

Wenn externe Quellen unsicher sind, warum gibt es sie dann überhaupt? Weil sie manchmal der einzige und viel öfter der bequemste Weg sind, um Software zu installieren, die in den offiziellen Quellen fehlt. Für mich als Autor ist es wichtig, neue, nicht so bekannte Programme unkompliziert auszuprobieren. Viele Entwickler nutzen externe Pakete zur Installation von Tools, die nicht oder nur in veralteten Versionen zur Verfügung stehen. Schließlich fehlen kostenlose Programme mit kommerziellem Ursprung (also keine reine Open-Source-Software) wie Google Chrome in den offiziellen Quellen. Für »große« Distributionen gibt es zumeist »halb-offizielle« Pakete, aber für kleinere Distributionen wie Arch Linux sind Sie auf AUR-Pakete angewiesen.

Insofern ist der Rat, auf externe Quellen zu verzichten, für fortgeschrittene Benutzer und Software-Entwicklerinnen nur schwer umzusetzen.

Alles, worüber ich hier im Kontext von Linux-Paketen schreibe, gilt im Übrigen auch für die Erweiterungen/Bibliotheken aller wichtigen Programmiersprachen, Editoren und anderer Tools: also für Python-Module, NPM-Pakete, VSCode-Plugins etc. Der Überbegriff für Angriffe auf derartige Zusatzpakete lautet Software Supply Chain Attack (Lieferkettenangriff).

Weniger ist mehr

Für mich persönlich ist das AUR-Debakel ein Grund, die Nutzung externer Pakete viel stärker zu hinterfragen. Vorgenommen habe ich mir folgende Regeln:

• So wenig externe Pakete wie möglich! (Gibt es geeignete Alternativen in den offiziellen Quellen?)
• Ungenutzte externe Pakete deinstallieren. (Welche Pakete habe ich zwei, drei Monate nicht mehr gebraucht? Weg damit!)
• Eine stärkere Differenzierung zwischen Test- und Work-Systemen.

Schadensminimierung

Der AUR-Angriff hat auf Authentifizierungsdaten abgezielt, also Keys, Tokens, Passwörter etc. aus allen erdenklichen Quellen (.ssh-Verzeichnis, Passwörter diverser Browser usw.) Eine sehr detaillierte Analyse der Malware finden Sie auf ioctl.fail.

In meinem Fall war das größte Problem die Passwortsynchronisation von Google Chrome. Ich speichere im Webbrowser viele Passwörter. Die Passwort-Synchronisation ist durch ein zusätzliches, persönliches Passwort geschützt. Bookmarks und Passwörter sollten also für Google unlesbar sein. Wenn ich ein neues System einrichte (Linux, Windows, macOS, iOS oder Android), installiere ich Google Chrome, melde mich bei Google an, gebe das Master-Passwort für Bookmarks und Passwörter ein und synchronisiere die Daten. Das geht blitzschnell und ist komfortabel. Aber es ist eben ein riesiger Single Point of Failure! Das Master-Passwort schützt mich vor einem Passwort-Hack bei Google, aber es hilft nicht, wenn der Angreifer die lokale Passwort-Datenbank (sqlite-Format) auslesen kann. Und genau das war beim AUR-Angriff der Fall.

Die Konsequenz: Ich werde in Zukunft die Anzahl der so synchronisierten Passwörter auf ein absolutes Minimum reduzieren und länger nicht benutzte Passwörter löschen bzw. woanders speichern. Der naheliegende Ort wäre natürlich ein Passwort-Manager. Ich muss aber gestehen, dass ich diesen Programmen gegenüber auch skeptisch bin. Sie ersetzen einen Single Point of Failure durch einen anderen. Wer mit plattformübergreifenden Tools positive Erfahrungen gemacht hat, darf seine/ihre Erfahrungen gerne in den Kommentaren teilen :-)

Einmal mehr die Distributionsfrage

Auf meinem Linux-Notebook werde ich die aktuelle Parallel-Installation von Arch Linux und CachyOS bei nächster Gelegenheit durch Fedora ersetzen. Ich habe das Notebook zuletzt fast nur noch unterwegs verwendet. Im Büro habe ich mit dem Framework Desktop eine attraktivere Alternative. Dort habe ich mich im Rahmen meiner KI-Arbeiten gut an Fedora gewöhnt.

Zu glauben, Fedora sei frei von den skizzierten Gefahren, wäre natürlich naiv. Aber vermutlich sind die Risiken bei großen, weit verbreiteten Distributionen mit kommerziellem Hintergrund (Fedora ist ja eine Art offizielle Spielwiese von Red Hat) doch geringer als bei kleineren Distributionen — auch, was weit verbreitete, nicht-offizielle Paketquellen angeht.

Der Abschied von Arch Linux fällt mir schwer. Ich empfinde das Rolling-Release-Modell äußerst attraktiv. Arch Linux hat über mehrere Jahre sehr gut für mich funktioniert. Aber ich werde auch in Zukunft nicht ganz ohne externe Pakete auskommen. Mit AUR habe ich mir die Finger einmal verbrannt. Diese Art der Verwaltung externer Pakete ist vielleicht doch zu liberal; Paketmanager wie yay oder paru verschleiern das Risiko zu sehr. Ein zweites Mal will ich dieses Risiko nicht eingehen.

Quellen, Links

• https://ioctl.fail/preliminary-analysis-of-aur-malware/
• https://github.com/lenucksi/aur-malware-check (Test-Scripts, ob Sie betroffen sind)
• https://kofler.info/infos-zur-arch-linux-attacke

Ein Versionskontrollsystem speziell für Spiele- und Multimedia-Projekte gab es bislang nicht. Diese Lücke schließt Epic Games jetzt mit Lore.

Nordrhein-Westfalen wird Standort einer neuen Einheit innerhalb des European Laboratory for Learning and Intelligent Systems (ELLIS), einem der führenden europäischen Netzwerke für KI-Forschung.

Nach dem Release ist vor dem Release. Dementsprechend sind die KDE-Entwickler bereits fleißig bei der Entwicklung von Plasma 6.8, das im Oktober zur Veröffentlichung ansteht.

Als Highlight des Updates auf Mastodon 4.6 sehen die Entwickler die Funktion Collections, mit denen Nutzer kuratierte Profilsammlungen erstellen und teilen können.

Die Software Freedom Conservancy (SFC) hat Empfehlungen zur Nutzung von LLM-gestützten generativen KI-Systemen für FOSS-Beiträge veröffentlicht.

Mozilla hat eine öffentliche Entwicklungs-Roadmap für den Browser Firefox vorgestellt.

Canonical entwickelt Myna, eine lokale Spracherkennung für Ubuntu Desktop. Sie soll ab Version 26.10 eine Diktierfunktion bieten.

Angreifer können durch zwei Lücken in libssh2 Schadcode einschleusen oder SSH-Clients stören. Code-Patches gibt es, aber noch kein neues Release. (Sicherheitslücke, Server)

Pebble lädt geradezu dazu ein, dass man eigene Apps baut. Das kann richtig Spaß machen. Wir bauen ein simples GNU/Linux.ch Watchface.

Mit Yay 13.0 erscheint ein umfangreiches Update. Der beliebte AUR-Helfer erweitert Prüfmechanismen für Pakete, nachdem es zuletzt zu massiven Malwarebefall in AUR Paketen kam . Nutzer erhalten zusätzliche Werkzeuge vor Installationen und Aktualisierungen. Eine wichtige Neuerung zeigt das Änderungsdatum von PKGBUILDs. Suchergebnisse und Upgrade-Menüs enthalten nun Altersangaben. So werden kürzlich geänderte Pakete schneller sichtbar. Die […]

Der Beitrag Yay 13.0 für Arch Linux: Mehr Kontrolle nach AUR-Sicherheitsvorfällen erschien zuerst auf fosstopia.

Plasma 6.8 nimmt Form an und bringt früh erste sichtbare Verbesserungen für Alltag und Workflow. Die kommende Version soll Mitte Oktober erscheinen und langsam beginnt das Bild sich aufzuklaren. Die Entwickler arbeiten an einer besseren Monitor‑Erkennung. Künftig tragen Bildschirme farbige Nummern, die ihre Position eindeutig zeigen. Das erleichtert Setups mit mehreren gleichartigen Displays. Auch die […]

Der Beitrag KDE Plasma 6.8 rückt näher: Schwerpunkt liegt auf Multi-Monitor Verwaltung erschien zuerst auf fosstopia.

Den Lesenden dieses Blogs ist die FrOSCon sicherlich ein Begriff. Allen Neuzugängen sei kurz erklärt, das es sich dabei um die Free and Open Source Conference handelt, welche jedes Jahr im August an der Hochschule Bonn-Rhein-Sieg mit Hilfe des FrOSCon e.V. ausgerichtet wird.

Für viele meiner Bekannten und Freunde aus der FLOSS-Gemeinschaft ist es soetwas wie ein Familientreffen. Neben dem Wiedersehen vieler vertrauter Gesichter lockt auch ein Vortragsprogramm, welches stets mit interessanten Vorträgen zu unterschiedlichen Themen gefüllt ist. Dieses Jahr gab es 190 Einreichungen aus denen 77 Vorträge und 12 Workshops ausgewählt wurden. Ich freue mich schon darauf das Programm zu durchstöbern, welches voraussichtlich im Juli veröffentlicht wird.

Zumindest für mich war der Schreck groß, als die FrOSCon am 21. Mai ihre finanziellen Sorgen auf Mastodon teilte.

In der Folge haben viele FLOSS-Freunde bereits bei ihren Arbeitgeber:innen um Unterstützung gebeten und auch selbst gespendet. Meine Erleichterung war entsprechend groß, als bereits zwei Wochen später die gute Nachricht geteilt wurde: „Die Konferenz findet statt!“

Das Spendenziel ist allerding noch nicht erreicht. Daher bitte ich alle, die diese Veranstlatung kennen, schätzen, gerne besuchen oder ein bisschen Geld für gemeinnützige Projekte erübrigen können, über einen dieser Wege zu spenden.

Darüber hinaus könnt ihr die Konferenz auch unterstützen, indem ihr ein Businessticket kauft.

Ich möchte an dieser Stelle dem Veranstaltungsteam für dessen Ausdauer, Einsatz und Zeit danken, damit diese Konferenz jedes Jahr stattfinden kann. Ich danke auch den diesjährigen Partnern der FrOSCon, welche die Konferenz auch in einer wirtschaftlich angespannten Zeit unterstützen.

Ich freue mich schon heute auf das Wiedersehen im August.

Mozilla versucht, mit einer kürzlich vorgestellten neuen Roadmap für Firefox den weiteren Absturz bei den Marktanteilen zu bremsen. Ob das gelingt, bleibt abzuwarten.

Mozilla hat Firefox 152 für Android veröffentlicht. Die neue Firefox-Version bringt unter anderem Tab-Gruppen und eine Integration von Firefox Relay.

Download Firefox für Android im Google Play Store

Neuerungen von Firefox 152 für Android

Tab-Gruppen

Im letzten Jahr hatte Mozilla Tab-Gruppen in Firefox für Windows, macOS und Linux implementiert. Dabei handelte es sich um das meistgewünschte Feature der Firefox-Nutzer laut der Community-Plattform Mozilla Connect. Nun bringt Mozilla eine erste Implementierung von Tab-Gruppen auch in Firefox für Android.

Firefox Relay: E-Mail-Masken für mehr Datenschutz

Mit Firefox 152 integriert Mozilla seinen Dienst Firefox Relay in Firefox für Android. Mit Firefox Relay kann die echte E-Mail-Adresse geschützt werden, indem eine Alias-Adresse erzeugt wird, die auf Websites statt der tatsächlichen E-Mail-Adresse angegeben werden kann.

Passend dazu hat Mozilla vor kurzem die maximale Anzahl der möglichen E-Mail-Masken in der kostenlosen Version von Firefox Relay deutlich erhöht.

Sonstige Neuerungen von Firefox 152 für Android

Dazu kommen weitere neue Plattform-Features der aktuellen GeckoView-Engine, diverse Fehlerbehebungen, geschlossene Sicherheitslücken sowie Verbesserungen unter der Haube.

Der Beitrag Mozilla veröffentlicht Firefox 152 für Android mit Tab-Gruppen und Firefox Relay erschien zuerst auf soeren-hentzschel.at.

Mozilla hat Version 2.38 seiner VPN-Clients für das Mozilla VPN veröffentlicht. Die neue Version bringt unter anderem ein Startbildschirm-Widget für iOS.

Mit dem Mozilla VPN bietet Mozilla in Zusammenarbeit mit Mullvad sein eigenes Virtual Private Network an und verspricht neben einer sehr einfachen Bedienung eine durch das moderne und schlanke WireGuard-Protokoll schnelle Performance, Sicherheit sowie Privatsphäre: Weder werden Nutzungsdaten geloggt noch mit einer externen Analysefirma zusammengearbeitet, um Nutzungsprofile zu erstellen.

Jetzt Mozilla VPN nutzen

Die Neuerungen vom Mozilla VPN 2.38

Nachdem es bereits mit dem Mozilla VPN 2.37 ein paar Neuerungen speziell für iOS gab, macht Mozilla mit dem Mozilla VPN 2.38 dort weiter: Ab sofort gibt es ein Widget in zwei möglichen Größen, um das VPN über den Startbildschirm ein- und ausschalten zu können.

Beim Senden einer Support-Anfrage aus der Anwendung heraus gibt es nun eine zusätzliche Checkbox, um das Mitsenden von Logs aktivieren oder deaktivieren zu können.

Ansonsten bringt das Update auch wieder Fehlerbehebungen und Verbesserungen unter der Haube.

Der Beitrag Mozilla VPN 2.38 veröffentlicht erschien zuerst auf soeren-hentzschel.at.

In Woche 25 ist in der FOSS-Welt einiges los gewesen. Von Firefox über KDE und Element zu Mastodon.

Valve hat die Gaming-fokussierte Linux-Distribution SteamOS 3.8 veröffentlicht, die mit weitreichenden Änderungen aufwartet. Dabei macht der Hinweis auf einen „ersten Support für die kommende Steam Machine“ in den Patchnotes Hoffnung auf einen baldigen Release der Steam Machine.

Open Source ist längst kein Nischenthema mehr. Linux betreibt einen Großteil der Server im Internet, zahlreiche Unternehmen setzen auf freie Software und selbst Behörden und öffentliche Einrichtungen profitieren von Projekten, die von engagierten Entwicklern auf der ganzen Welt geschaffen werden. Doch hinter vielen dieser Projekte stehen Menschen, die ihre Freizeit investieren. Sie machen das unbezahlt, […]

Der Beitrag Open-Source-Arbeit als Ehrenamt anerkennen. Warum diese Petition wichtig ist erschien zuerst auf fosstopia.

CI/CD-Pipelines sind für Code-Deployments optimiert. Langlebige Betriebsprozesse und Self-Service-Workflows lassen sich flexibler mit Kestra orchestrieren.

Weltweit nutzen Unternehmen und staatliche Akteure Open Source, um Entwicklungskosten zu sparen. Die Open-Source-Kultur droht dabei Schaden zu nehmen, wenn die globale Community nichts von angemessenem Wert zurückerhält oder die Unterstützung abnimmt.

Firefox Klar ist ein spezialisierter Privatsphäre-Browser. Nun hat Mozilla Firefox Klar 152 für Android veröffentlicht.

Download Mozilla Firefox Klar für Google Android

Mozilla hat Firefox Klar 152 (internationaler Name: Firefox Focus 152) für Android veröffentlicht.

Die Neuerungen von Firefox Klar 152 für Android

Bei Firefox Klar 152 handelt es sich um ein Wartungs-Update, bei welchem der Fokus auf Fehlerbehebungen und Verbesserungen unter der Haube lag. Dazu kommen wie immer neue Plattform-Features der aktuellen GeckoView-Engine sowie geschlossene Sicherheitslücken.

Der Beitrag Mozilla veröffentlicht Firefox Klar 152 für Android erschien zuerst auf soeren-hentzschel.at.

Wer kompensiert den Ausfall von Lohnsteuern, falls KI eure Arbeit übernimmt? Lest meine wilden Theorien über eine notwendige Umverteilung von Unternehmenssteuern, um schwindende Kaufkraft auszugleichen.

Die EU-Kommission kürt ein Konsortium um die italienische Firma Domyn zum Sieger der „Frontier AI Grand Challenge“, um ein europäisches KI-Modell zu trainieren.

Das für Ubuntu 26.10 geplante Diktiertool ist ein wichtiger Schritt für die Barrierefreiheit und nebenbei auch ein nützliches Werkzeug zur Produktivität.