Arch's AUR Belongs to the Past Source Code Ep. 23

SYNTHÈSE STRUCTURÉE

L’attaque Atomic Arch : une exploitation méthodique des orphelins

Le 11 juin, le chercheur Ayad Hassan (Sonotype) a signalé une campagne nommée Atomic Arch (score CVSS 8.7). Les attaquants n’ont pas forcé de mot de passe : ils ont simplement adopté des paquets orphelins via la procédure légitime de l’AUR. « Ils ont utilisé la porte d’entrée », résume l’intervenant. En modifiant le PKGBUILD pour ajouter un hook post-installation, ils ont déclenché l’installation silencieuse d’un paquet malveillant depuis npm (atomic-lock-file). Le vrai payload était un voleur de credentials écrit en Rust, ciblant spécifiquement les machines de développeurs : cookies, clés SSH, tokens GitHub, sessions Slack/Discord/Teams, credentials cloud/containers (Docker, Podman), et même des jetons pour services d’IA.

L’AUR : un modèle de confiance sociale devenu obsolète

L’AUR n’héberge pas de paquets binaires, mais des recettes de construction (PKGBUILD). « Un script qu’un inconnu sur Internet exécute sur votre machine avec vos permissions », rappelle l’intervenant. Les dépôts officiels (core, extra, multilib) sont signés et revus ; l’AUR repose sur un simple avertissement : « Use at your own risk. » Avec 107 000 paquets, 142 000 utilisateurs et surtout 13 000 paquets orphelins (abandonnés par leur mainteneur), le modèle s’effondre : « La confiance n’est pas un contrôle de sécurité. »

L’adaptation en temps réel des attaquants

La campagne a évolué en trois vagues. La première utilisait npm install. Quand la communauté a écrit des règles de détection, la deuxième vague a basculé vers bun et un autre paquet malveillant. La troisième a caché les commandes derrière des scripts hex encodés pour échapper aux scanners automatiques. Un chercheur a dû utiliser un modèle d’IA local pour analyser les PKGBUILD contaminés. Arch a finalement désactivé les nouvelles inscriptions – « un projet en mode confinement », selon l’intervenant.

Un précédent ignoré : l’attaque de 2018

En 2018, un utilisateur nommé « exactor » avait adopté un paquet orphelin (acroread) et glissé une commande curl qui téléchargeait un script depuis un pastebin, installait un timer systemd et exfiltait des données toutes les 360 secondes. La réponse d’un mainteneur Arch à l’époque : « Nous avons un gros avertissement. Lisez-le et passez à autre chose. » L’intervenant souligne : « La tactique est identique, huit ans plus tard. Ce qui a changé, c’est l’échelle et le payload. »

Le décalage entre la base d’utilisateurs et le modèle de sécurité

L’AUR a été conçu pour une petite communauté technique qui lisait réellement les PKGBUILD. Aujourd’hui, des distributions comme CachyOS attirent des utilisateurs novices qui tapent yay sans comprendre qu’ils exécutent un script arbitraire. « Un modèle de sécurité qui dépend de chaque utilisateur comme expert s’effondre dès que la majorité ne l’est plus. » L’intervenant oppose ce modèle à Guix, qui permet à l’utilisateur de vérifier cryptographiquement qu’un binaire correspond à son source via guix challenge.

La comparaison avec le noyau Linux 7.1

Linux 7.1 supprime 140 000 lignes de code obsolète (support des processeurs 486, code réseau antique, contrôleurs legacy). « Le noyau traite le code mort comme un passif à nettoyer. L’AUR traite 13 000 orphelins comme un inventaire à adopter. » Cette différence philosophique illustre l’écart entre un système qui réduit sa surface d’attaque et un autre qui la maintient ouverte.

Le conflit LibreOffice vs Euro-Office : la souveraineté des documents

Euro-Office, un fork d’OnlyOffice promu pour la souveraineté numérique européenne, enregistre par défaut en OOXML (format Microsoft). La fondation LibreOffice dénonce une contradiction : « Un logiciel qui sauvegarde par défaut dans un format conçu et contrôlé par Microsoft est un allié du verrouillage propriétaire. » L’intervenant précise son choix personnel : « Je préfère un outil humble qui respecte le principe qu’un bel outil qui rend les clés à Redmond. » Il utilise AbiWord pour cette raison.

Firefox : un crédit mérité mais temporaire

Mozilla a supprimé le plafond de données de son VPN intégré pour l’été et étendu la liste des serveurs à 28 pays. L’intervenant salue « une fonctionnalité utile que les utilisateurs veulent vraiment ». Mais il détaille les limites : promotion jusqu’à fin août, retour à 50 Go/mois en septembre, VPN navigateur uniquement (pas système), limité à 5 pays, nécessité d’un compte Mozilla. « Crédit là où il est dû, mais un sourcil levé. »

Firefox 152 : JPEG XL et une refonte des paramètres

La version 152 expérimente le support de JPEG XL (meilleure compression) activable dans about:labs. L’intervenant apprécie ce « gain technique substantiel » mais relativise la refonte des paramètres : « Un menu qui ressemble à la concurrence, ce n’est pas pour ça qu’on aime un navigateur. »

Le noyau Linux 7.1 : un pilote NTFS réécrit

La réécriture complète du pilote NTFS avec support écriture complet, basé sur l’infrastructure moderne d’E/S du noyau, est présentée comme « l’exact opposé d’une dépendance npm non auditée ». L’intervenant y voit une illustration de l’interopérabilité ouverte et revue, contrastant avec le modèle de l’AUR.

CONCEPTS CLÉS

• PKGBUILD : Script de construction pour l’AUR, contenant les instructions pour télécharger, compiler et installer un paquet. Exécuté avec les droits de l’utilisateur.
• Paquet orphelin : Paquet AUR dont le mainteneur s’est retiré, pouvant être adopté par n’importe quel utilisateur via la procédure standard.
• Reproducible builds : Processus garantissant que la compilation d’un même source produit des binaires identiques bit à bit, permettant une vérification cryptographique par l’utilisateur.
• Guix challenge : Commande Guix permettant de comparer un binaire local avec ceux produits par des fermes de construction indépendantes, pour détecter d’éventuelles corruptions.
• Odf (Open Document Format) : Format standardisé ISO (depuis 2006) pour les documents bureautiques, conçu pour garantir l’interopérabilité et la souveraineté des données.
• Ooxml (Office Open XML) : Format par défaut de Microsoft Office, propriétaire et contrôlé par Microsoft, bien que normalisé.

CONCLUSION

La leçon centrale est que la confiance par réputation, jadis suffisante dans une petite communauté technique, est devenue un risque systémique à l’ère des chaînes d’approvisionnement logicielles massives. L’attaque Atomic Arch n’est pas un accident mais la conséquence logique d’un modèle qui n’a pas évolué. L’avenir appartient aux systèmes qui donnent à l’utilisateur les moyens de vérifier par lui-même – par la reproductibilité, les signatures cryptographiques et les environnements de construction isolés. Comme le dit l’intervenant : « Le futur appartient à la vérification que vous pouvez exécuter vous-m