Sobre o malware encontrado na Snap Store do Ubuntu - Diolinux - O modo Linux e Open Source de ver o Mundo

Responsive Ad Slot

Sobre o malware encontrado na Snap Store do Ubuntu

Muitos estão condenando um formato por conta de uma falha, mas acho que o problema é menos específico.

quinta-feira, 17 de maio de 2018

/ por Dionatan Simioni
Neste semana tivemos a notícia de que existia um game dentro da Snap Store da Canonical que tinha propriedades de mineração de cripto moedas. Algo que ligou os alertas da comunidade Linux, vamos discutir sobre isso.

Ubuntu Snap com malware






Como os nossos amigos do OMG!Ubuntu fizeram um belo artigo sobre o ocorrido, eu vou me reservar a debater e levantar alguns tópicos referentes ao ocorrido. 

Como um pouco de contexto é interessante para você entender o que aconteceu, o motivo do alarde é que um desenvolvedor submeteu com sucesso na Snap Store um game que tem licença MIT chamado "2048", um game muito popular inclusive, que por conta da sua licença permite a redistribuição com softwares proprietários inclusos. O problema é que este software além de rodar o game de fato, alocava recursos da máquina para minerar cripto moedas, sem que esta atividade estivesse descrita na loja.

Um problema não exatamente do Snap


Acho que o meu ponto de debate reside aqui. Uma falha como esta fez com que muitos "entendidos" por aí condenassem pacotes como Snap, Flatpak e AppImage, dizendo que eles são "um perigo" para os computadores...

Problemas de segurança são inevitáveis em qualquer plataforma, mesmo utilizando Linux é importante se preocupar com rotinas básicas de segurança online, ainda mais atualmente, onde cada vez mais as distros vem sendo utilizadas por pessoas com menor ou nenhum conhecimento técnico.

O problema que ocorreu com este Snap poderia ter ocorrido de outra forma qualquer, Flatpak, AppImage, um pacote .deb,um script, etc, ou seja, o formato em si não é culpado, como muitos apontam, mas o sistema de segurança no entorno dele, este sim que deverá ser aprimorado sempre.

Assim como no Android ou mesmo no iOS, a intenção de Google e Apple, respectivamente, é nunca ter softwares nas lojas de aplicativos que possam prejudicar os usuários, ainda assim, alguma coisa passa despercebida eventualmente.

Os sistemas de análise de segurança de aplicativos como os Snaps geralmente são automatizados, e esse processo eventualmente pode falhar, isso é natural e até esperado, ainda que seja indesejável.

Nessas horas, assim como diz o Linus Torvalds: "às vezes é mais importante a velocidade da correção do problema do que evitá-lo".

Uma vez identificado e comprovado o problema, a Canonical tirou do ar o Aplicativo que estava causando-o, ou seja, a correção foi efetiva. Assim como no Kernel Linux, quando um problema for descoberto é importante que a solução seja rápida e eficiente, uma vez que adivinhar por onde o ataque pode vir é quase que literalmente "prever o futuro", sendo assim é importante sempre reforçar as rotinas de verificação e segurança para evitar qualquer implicação ao máximo no futuro, aprendendo com as falhas.

Mesmo que problemas assim possam acontecer, os formatos Snap e Flatpak (e AppImage) acabaram fomentando um novo mercado que sempre teve dificuldade de oferecer software para distribuições Linux e acabaram viabilizando que empresas que antes não lançavam softwares para a plataforma do pinguim agora o fizessem. Não podemos esquecer que problemas de segurança no Linux sempre existiram e sempre existirão, mesmo que sejam muito menores e corrigidos (geralmente) com grande velocidade. Antes dos Snaps e Flatpaks ficarem mais populares, problemas de segurança envolvendo o Linux já existiam.

O que muda com a chegada desses formatos e que agora a cada dia mais desenvolvedores e empresas vem fazendo softwares para a plataforma e com a pluralidade vem também a possibilidade de pessoas mal intencionadas aparecerem neste meio.

A questão é que softwares proprietários não podem ter seu código verificado e por mais que sempre pensemos que o ideal é usar código aberto, boa parte do mercado detém seu maior valor no software em si e não no serviço oferecido (isso quando existe um serviço), os pacotes Snap permitiram que empresas colocassem seus softwares proprietários pela primeira vez no mundo Linux e para todas as distros ao mesmo tempo, oferecendo mais opções para as pessoas, um pequeno passo para o "lado 'Open Source' de ser", mas inegavelmente algo positivo para o mercado.

O problema do Ubuntu não exigir um login para instalar Snaps (ou outra distro qualquer) é que isso faz com que seja difícil saber quantas pessoas efetivamente baixaram esse App malicioso. Em sistemas como o Android, quando um App é considerado perigoso, a Google consegue removê-lo dos Smartphones automaticamente, ou enviar alguma mensagem ao usuário. Essa possibilidade não existe ainda nos desktops Linux, muito por conta da preocupação com privacidade.

Eu poderia dizer que uma das formas mais simples de evitar todos esses problemas é utilizar 100% de software livre com software vindo somente do repositório curado da distro, mas uma vez que o mundo não é feito de pessoas que pensam da mesma forma e sempre haverão pessoas que achem que é melhor para o negócio ou produto que desenvolvem usar licenças proprietárias (e elas tem o direito de agirem assim), as distros precisam se adaptar a esse tipo de coisa, a tecnologia é feita de uma mescla de tipos de softwares e dificilmente uma dia haverá qualquer hegemonia, de um lado ou de outro.
_____________________________________________________________________________
Viu algum erro ou gostaria de adicionar alguma sugestão a essa matéria? Colabore, clique aqui.


Blog Diolinux © all rights reserved
made with by templateszoo