Használsz-e nem hivatalos, közösségi csomagforrásokat (AUR, PPA, Copr, OBS, SlackBuilds, stb.) a disztribúciódhoz?

Linux

Az Arch AUR körüli újabb malware-esetek kapcsán felmerül a kérdés: a HUP Linux olvasói milyen forrásból telepítenek szoftvert? Csak a hivatalos repókra támaszkodnak, vagy bevállalják a közösségi (user-maintained) forrásokat is?

( Friczy v | 2025. 08. 05., k – 12:19 )

Volt egy időszak, amikor Arch volt a fő rendszerem, akkor néhány csomagot feltettem AUR-ból, mert máshol nem volt, és kellett. Aztán visszatértem Debianra, ott (szinte) minden megvan, ami kell. Ami meg nem, azt eredeti forrásból szedem le. Ezen kívül azért van egyéb tárolóm, amikor külön Unifi serverem volt a Unifi AP-k és switchek kezelésére, akkor a Ubiquiti tárolóját használtam, de abból csak a Unifi server jött, illetve az Enpass is hasonlóan saját tárolót használ, abban van .deb csomag. Ezen kívül a Docker is saját. Viszont ezek hivatalosak, még ha nem is a Debian sajátja.

( Botond | 2025. 08. 05., k – 12:30 )

Illetve ezek kombinációja. Többnyire 2 + 4.

( persicsb | 2025. 08. 05., k – 13:35 )

Használok nemhivatalos repository-t, RPMFusion-t. Ez valahol a kettő között van: nem hivatalos forrás, de nem is COPR-jellegű tároló.

( godot v | 2025. 08. 05., k – 14:28 )

Szerkesztve: 2025. 08. 05., k – 14:30

Mit jelent a "hivatalos" tároló?

A haproxy deb csomagot meg pl a bind9-et a Vendor "hivatalos" repójából szedem Debian-ra. Nem a Debian "hivatalos" tárolójából. Melyik a "hivatalosabb"? A forrást ugyanúgy a Vendor repóból szedi a Debian repo is.

Persze eltérő build környezet/ beállítások lehetnek a Vendor csomagjában. Meg eleve azért szedem onnan mert kell a frissebb verzió. Vagy kérhetsz/csinálhatsz "hivatalos" Debian backport (backports.debian.org) csomagot is.... aztán vagy befogadják vagy nem...

Az én értelmezésemben meg nem.

“Windows 95/98: 32 bit extension and a graphical shell for a 16 bit patch to an 8 bit operating system originally coded for a 4 bit microprocessor, written by a 2 bit company that can't stand 1 bit of competition.”

Nekem van olyan ügyfelem, ami csak a redhat hivatolsból enged bármit is telepíteni, mert az úgy secure, konténert viszont olyat használok, amiért felelősséget vállalok.  Igen szép számmal futnak konténerek a szervereiken.

Ha tartós rendszert építesz és okos csapatot nevelsz, akkor száz kiadásban sem érheti baj; ha csak a gépekre hagyatkozol, akkor egyszer jól jársz, máskor rosszul; de ha sem a rendszer nem bírja a terhet, sem a csapat nem tanul a hibákból, akkor minden egyes kiadás kockázat.

( VincentV | 2025. 08. 05., k – 17:05 )

Volt már rá példa, de fiatal voltam, és kellett a pénz :D (szó szerint)

( guszti | 2025. 08. 05., k – 18:48 )

Flatpak, Flathub minek számít? Van egy-két alkalmazás, ami onnan fájdalom mentesebben frissül és hamarabb is van új verzió, mint .deb csomagból pl.

> Miért kell, hogy a CUDA SDK PPA-ból jöjön? Annak van hivatalos tárolója.

onnan telepitem., az nem ppa? akkor csak fogalomzavar :) nekem minden ppa ami kulso forras, nem a distroe...

deb [signed-by=/usr/share/keyrings/cuda-archive-keyring.gpg] https://developer.download.nvidia.com/compute/cuda/repos/ubuntu2204/x86… /

> És a PHP? Azt tipikusan úgyis konténerben futtatod

vagy nem

Csak fogalomzavar :) A PPA az konkrétan a launchpad.net-es tároló, ami ilyen bárki odaviheti a csomagforrását, azt lesz belőre repo dolog.

Nyilván, technikailag lehetne, hogy a vendor provided repo ott lakik, csak hát valamiért nem szokták ezt a vendorok. Leginkább azért, mert nem kell nekik a külső függőség, meg a plusz egy platform*, egy nagyobb cégnek eleve van valami build rendszere, egyszerűbb annak a végén kiköpni egy repot.

* pláne, ha az olyan csodálatos, mint a launchpad. Azon kevés szoftver egyike, ahova ha odatévedek, sose tudom, hogy ez mi a fasz, és hol a faszban vannak ebben a dolgok. Rosszabb mint egy iphone.

> Csak fogalomzavar :) A PPA az konkrétan a launchpad.net-es tároló

ok, ertem. most megneztem jobban es igen, csak ugye mindig apt-add-repository kellett :)

ezt a konteneres PHP-t hogy kene elkepzelni a gyakorlatban? ha van mondjuk 100 website egy szerveren, 4-5 kulonbozo php verzioval, php fpm-el? bemountolod a tarhelyet a dockerbe, es kivulrol meg proxyzol?

hozzateszem nem vagyok egy docker guru, de meg amator se. foleg miota atvettem uzemeltetesre egy szervert, egy apt update/upgrade/reboot utan eltunt 2GB-nyi adat. vegul kiderul hogy valami nagyokos egy docker image-be rakta az adatbazisszervert, nem perzisztens storage-ra, ami a docker frissites/ reboot miatt ment a levesbe :)  meg szerencse hogy elotte kidumpoltam a db-t.

vegul kiderul hogy valami nagyokos egy docker image-be rakta az adatbazisszervert, nem perzisztens storage-ra

Ez konfigurációs kérdés cask.

 

ezt a konteneres PHP-t hogy kene elkepzelni a gyakorlatban? ha van mondjuk 100 website egy szerveren, 4-5 kulonbozo php verzioval, php fpm-el? bemountolod a tarhelyet a dockerbe, es kivulrol meg proxyzol?

Igen. Igazából a konténer nem más, mint egy saját process tree meg saját root fájlrendszer. Egyfajta "chroot on steroids". A kernel indít még egy processzfát a standard PID 1 mellé, minden konténerben saját processzek futnak, izoláltan a többitől. 

Most is futtatsz több PHP processzt, amit úgymond proxyzol, csak éppen nincsenek izolálva egymástól megfelelően, szenvedés lehet.

> Ez konfigurációs kérdés cask.

tudom... csak az a bajom a docker koncepciojaval hogy a hulyeket hagyja hulyenek lenni :)

> a konténer nem más, mint egy saját process tree meg saját root fájlrendszer

ezt is tudom... sot lxc-t hasznalok is lightweight virtualiaciora

csak azt nem ertem, miert jo minden processzt/servicet kulon kulon OS-ben (kontenerben) futtatni, miert lesz ez jobb mintha ugyanazon a linuxon futnanak... folosleges eroforras hasznalat, minimalis kenyelemert cserebe

> csak éppen nincsenek izolálva egymástól megfelelően

Ez konfigurációs kérdés cask. :)

> szenvedés lehet

nem az. szerintem ugyanezt docker imagekkel nagyobb szenvedes lenne osszetakolni...

csak azt nem ertem, miert jo minden processzt/servicet kulon kulon OS-ben (kontenerben) futtatni, miert lesz ez jobb mintha ugyanazon a linuxon futnanak... folosleges eroforras hasznalat, minimalis kenyelemert cserebe

Nem annyira minimális az a kényelem.
Az egyik dolog, hogy mindegyiket ugyanúgy kell alapvetően adminisztrálnod: service leállítás, elindítás, újraindítás, logok kinyerése mindegyiknél pont ugyanúgy megy, docker/podman CLI-vel megy az egész, nem kell megtanulnod ezerféle service menedzselésének ezerféle módját. És ez független attól, hogy te most systemd-t, rc.d-t vagy milyen initrendszert használsz.

Másrészt baromi nagy szopás lehet modern OS-en régi alkalmazást támogatni, lásd PHP 5.4-et használó alkalmazást futtatni 2025-ben. CentOS 10 alatt szerintem semmi régi PHP nem támogatott. Míg konténerben vígan elvan.

Ha egy alkalmazásnak más libek kellenek, mint ami az alaprendszerben van (akár azért, mert az alaprendszer túl új, vagy épp túl régi), attól még futhat. Futtathatsz te az atomstabil Debian 12 alatt is tök új vahy tök régi dolgokat, maximum a konténer fossa össze magát, a rendszer megy tovább.

( kroozo v | 2025. 08. 05., k – 20:01 )

Helyzetfüggő, de alapvetően nem nagyon, csak kontroll alatt. Feltéve, hogy a vendor repokat hivatalosnak vesszük, nem usernek, azokat szoktam használni, copr/ppt erősen szelektíven, többnyire ideiglenesen, ha kell valami (volt már, firssebb verzió meg fix miatt is), de ez elég ritka. Ilyen kvázi gyüjteményrepókat, mint pl rpmfusion azt nem, nem nagyon van van bennük bizodalmam, ha összehasonlítom a gainnel, amit kapok. Kivétel az EPEL, azt bizonyítottnak vélem tapasztalati úton.

Flatpackből van, hogy teszek fel ezt azt, az mondjuk nem annyira faszogányos....

( BehringerZoltan | 2025. 08. 05., k – 23:41 )

Zongorás pc-n Manjaro van, és használok AUR-t, mert rengeteg dolog kell onnan, mindenféle audio pluginek és ilyenek,amik jellemzően hivatalosban nincsenek meg. Nincs annyi időm, h összeszedjem a függőségeket meg forditgassam őket. Ez egy dedikált gép ami csak erre a célra van használva, de azért eléggé aggasztó ami történik. :-(

"antiegalitarian, antiliberal, antidemocratic, and antipopular"

( trey | 2025. 08. 06., sze – 07:47 )

Történelmi pillanat: az első, 100%-ban AI által generált szavazás a HUP-tól.

trey @ gépház

Megírattam vele a cikket, HUP elvárásoknak megfelelő, webálnévvel stb.:

https://hup.hu/cikkek/20250805/arch-aur-malware-ujra

Majd ahhoz kértem, hogy generáljon le egy szavazást a HUP-ra:

https://chatgpt.com/share/68930b89-ad48-800f-88d0-9b0c07992df4

1:1-ben azt tettem ki, amit generált.

trey @ gépház

Tizedannyi munka így. Itt egy betanítási folyamatot láttál szavazásra. Egy cikk írása már nekem 1-2 sor. Nem is begépelni sok a cikkeket, hanem fact check-elni, a forrásokat átnézni stb. Rohadtul megkönnyíti a munkám.

trey @ gépház

Neked valamilyen szintu uldozesi maniad lehet, ha azt gondolod hogy az itt forumozok nem ertekelik a munkadat amit a kozosseg erdekeben csinalsz. Nyugodtan nyomjon ide egy reply aki nem igy gondolja, szerintem nem lesznek sokan.

Tudod, ez a vak tyuk is talal szemet, annyi mindenbe fogtal mar bele, hogy... :)

Neked valamilyen szintu uldozesi maniad lehet, ha azt gondolod hogy az itt forumozok nem ertekelik a munkadat

Miután ezt explicit leírták nem egyszer az évek alatt, ez nem üldözési mánia. De az a baj, hogy burkoltan nem csak az userek ... Aztán amikor kiderült, hogy ha háttérbe vonulok, akkor kb. megáll az egész, akkor volt bociszem meregetés ... 

BTW: olvashatásra ajánlom, hogy amit csinálok, abból szerintetek mi a felesleges:

https://hup.hu/mi_ne_legyen

Én hallgatok a visszajelzésekre, ezek lassan már nincsenek. 🤷‍♂️

Valami az Arch ordas szopás témához? Mert ha így folytatódik, hogy zéró ontopik, csak a szardobálás a kommentekben, akkor inkább kommentjeim sem lesznek itt 🤷‍♂️

trey @ gépház

( ulysses v | 2025. 08. 06., sze – 08:45 )

A Fedora saját tárolói mellett kettő extra van, a Brave és a Visual Studio Code saját tárolójukból.

( PDA_FAN | 2025. 08. 06., sze – 10:31 )

Régen egy csomó nem repo-standard tárolót használtam, de mára a Mint-ben annyira ott van a minden is, hogy ezekre nincs szükségem.

Csak amit a Mint szoftverbolt felajánl, azt telepítem. Ha van natív, akkor azt. Ha csak Flatpak van, akkor azt. Feltételezem, hogy a Mint közösség által jónak ítélt Flatpak csomagokkal én sem fogok szívni :-)

Külön nem kurkászom a netet csomagokért, mert amire manapság szükségem van, azt mind megtaláltam.