绑定完请刷新页面
取消
刷新

分享好友

×
取消 复制
树莓派悄悄放了个微软“后门”,系统加入微软源却未告知,用户怒了
2021-02-19 15:02:32


作者 | 晓查 发自 凹非寺  量子位  公众号 QbitAI

树莓派官方系统最近的一项更新,在树莓派玩家中炸开了锅。

有开发者发现,自己的Raspberry Pi OS在更新后,apt的软件源列表中加入了微软仓库

一些用户觉得,apt的源是Linux用户软件“大本营”,没有通知用户就塞进来一个地址,让人感到不安。

更新后的树莓派官方系统,会在软件包管理文件夹/etc/apt/sources.list.d/中加入了一个vscode.list文件。

而这个vscode.list文件指向了微软的软件源地址http://packages.microsoft.com/repos/code,这个地址带有stable和main两个分支,其中有三个不同版本的VS Code软件包。

为什么要添加微软仓库

树莓派软件工程总监表示,官方此举为了让初学者安装VS Code之类的工具更加容易。

虽然对于大多数开发者而言,手动添加微软仓库再安装软件并不困难,但树莓派的初衷就是推广低价计算机,促进计算机教育。

对于想学习代码的初学者来说,可能安装IDE会存在障碍。而加入微软仓库后,只需apt install code一行代码即可安装VS Code。

开发者觉得不好

本来应该是方便用户安装软件的事情,为何却遭到了很多开发者的质疑?

很多树莓派用户觉得,官方突然更新了这么一下,事前事后都没有任何说明,利用了大家对官方的信任,可能会给大家带来安全风险。

Raspberry Pi OS不仅加入了新的软件包地址,还安装了微软的GPG密钥,用于对微软仓库中的软件包进行签名。

开发者担心这可能打开“潘多拉盒子”。

如果你准备的软件包需要一个依赖项,而这个依赖项又在微软仓库中,那么它将被系统自动信任。

而如果这个依赖项有开源版本,同时又有微软的版本,这个开源软件会不会被微软的软件替代呢?

而且有了微软仓库,以后你每次更新Raspberry Pi OS和软件包时,系统都将对微软服务器执行ping操作。微软可以借此获得树莓派用户的IP地址。

倘若再用这个IP地址去访问Bing搜索,微软就可以收集到树莓派用户的习惯,以后甚至可以推送个性化广告。

总之,对于激进的开源用户而言,树莓派基金会没打招呼就加入了一家商业公司的专有软件包地址,让人难以接受。

树莓派基金会CEO回应外媒Gizmodo时表示,少数人对安装软件时的信任感有着不切实际的看法,专有软件也不代表不安全。“说我们选择信任微软是在背叛人们,这很荒谬”。

解决方案

不管这位CEO怎么说,有些开发者已经开始手动删除微软了,他们给出了几大解决方案:

  • 继续使用Raspberry Pi OS,请将文件 /etc/apt/sources.list.d/vscode.list 的内容全部注释掉,删除密钥 /etc/apt/trusted.gpg.d/microsoft.gpg;

  • 如果担心今后的更新还会修改apt软件包列表,可以在/etc/hosts文件中加入一句:

    127.0.0.1 packages.microsoft.com

由于只有Raspberry Pi OS加入了微软源,一些反对声更激烈的用户决定“跳船”,改用原生Debian等系统:

对不起Raspbian(官方系统旧名称),但我不得不对你说再见。别往心里放。祝你一切顺利,万事如意。

一位Reddit用户如是说。

而你会选择支持树莓派基金会,还是抵制他们呢?

参考链接:
https://www.reddit.com/r/linux/comments/lbu0t1/microsoft_repo_installed_on_all_raspberry_pis/
https://gizmodo.com/is-your-raspberry-pi-phoning-home-to-microsoft-1846223934
https://arstechnica.com/gadgets/2021/02/raspberry-pi-os-added-a-microsoft-repo-no-its-not-an-evil-secret/



分享好友

分享这个小栈给你的朋友们,一起进步吧。

微服务专区
创建时间:2020-07-01 15:22:43
微服务是一种架构风格,是以开发一组小型服务的方式来作为一个独立的应用系统,每个服务都运行在自已的进程中,服务之间采用轻量级的HTTP通信机制 ( 通常是采用HTTP的RESTful API )进行通信。
展开
订阅须知

• 所有用户可根据关注领域订阅专区或所有专区

• 付费订阅:虚拟交易,一经交易不退款;若特殊情况,可3日内客服咨询

• 专区发布评论属默认订阅所评论专区(除付费小栈外)

技术专家

查看更多
  • markriver
    专家
戳我,来吐槽~