@
pontiaq Bavme se spíše než o virech, o škodlivém kódu. To je myslí mnohem vhodnější označení. A ano, samozřejmě to možné je. Prostřednictvím addon se do počítače dostává vykonavatelný kód, takže se tam může dostat (a dostává se) i škodlivý kód. V případě Kodi je ho možné rozdělit na dvě skupiny.
První je ten obecný, tzn. že se prostřednictvím Kodi v PC objeví něco, co obecně škodí stejně, jako jakýkoliv jiný škodlivý kód, který je orientován na prostředí, HW a operační systém hostitelského systému. Druhým případem je škodlivý kód orientovaný přímo na Kodi a jeho addons, který škodí (či spíše zneužívá) cíleně s ohledem právě jen Kodi prostředí. Tady je třeba přiznat, že Kodi je z tohoto ohledu poměrně "děravé" a až na výjimky ochranu proti škodlivému kódu nijak neřeší. Je celkem jednoduché z jednoho addon získat data jiného addon, jeho nastavení, parametry, přihlašovací údaje, atp. a pak tyto údaje odeslat kamkoliv. Není ani problém získat i data mediálního obsahu, které jsou v Kodi nebo v lokální síti uložena. Jsou známy případy, kdy si addon se škodlivým kódem stahoval fotografie uložené v databázi. Vložit do nějakého addon kód, který odešle například playlist IPTV Simple Clienta, ve kterém máte odkazy na vámi zaplacenou OTT službu, je záležitost na pár řádků kódu python. Pak stačí na nějakém fóru vystavit novou (upravenou, lepší) verzi, kterou si během chvíle stáhne 200 uživatelů, a to by v tom byl čert, aby alespoň pár z nich nepřijímalo TV přes nějakou placenou OTT službu. Uvedu příklad. Nedávno přestaly fungovat doplňky podporující příjem O2TV (addon i playlisty). Po třech dnech zoufalého volání uživatelů jsem analyzoval změnu na rozhraní ke službe, upravil kód pro přihlašování a zveřejnil potřebnou úpravu. Okamžitě si to stáhly stovky uživatelů. Kdybych v té chvíli do addon vložil škodlivý kód, měl jsem během pár dní stovky přihlašovacích údajů ke službě O2TV.
Kolikrát ale za škodlivým kódem nemusí být úmysl. Je mnoho případů, kdy autor nějakého addon, v dobré víře, upraví nějaký servisní addon (script), protože se mu aktuální verze nelíbí nebo v ní něco postrádá, a tento označí jako závislost svého addon. Na fórech se okamžitě začnou objevovat rady, jak onen addon, který s původním (neupraveným) servisním addon nefunguje, zprovoznit. Jsme toho svědky téměr každodenně. Jde o rady typu "Tento addon potřebuje stáhnout novou verzi závislosti, Najdeš ho zde: hhtp://... ale musíš si vypnut automatickou aktualizaci..." Lidé jsou vděční, stahují jako o život, ale neuvědomují si, že upravený addon může mít pro zdravý život jejich Kodi neblahé důsledky. Buď okamžité, kdy jim jiné addon, které onu upravenou závislost také používají, přestanou fungovat, nebo pozdější, které se mohou porjevit například až při pozdější aktualizaci celého Kodi. To jsou pak ty případy, kdy se objevují nářky typu: "Stará verze mi fungovala bezvadně, aktualizoval jsem na novou, a přestalo mi to fungovat...".
Uvedl jsem jen pár příkladů. Těch variant, jak škodit, ať už úmyslně nebo neúmyslně, a co z toho získat, je nesrovnatelně více. Popsat je všechny, to by asi byla "neverending story". Podstatnější je tedy, jak se tomu bránit. Tady nemám dobrou zprávu. V podstatě to nejde. Jak už jsme napsal, Kodi je v tomto případě hodně děravé a zatím se moc o to, aby se do něj nedostal škodlivý kód moc bránit neumí a nechává to na uživatelích, aby se samo rozhodli, do jakého rizika půjdou. Obecné zásady principy, které by riziko absolutně vyloučily, neexistují. Lze ho jen statisticky významně snížit. K tomu jen několik rad:
- Snažit se maximálně omezit používání addons na ty z oficiálních repozitářů (ať už Kodi, které je součástí každé instalace, případně různých "distros" typuu *ELEC a podobných)
- Pokud už používat jiné repozitáře nebo přímo jen addons, pečlivě si vybírat. V tomto případě jsou "jakou takous" jistotou jména autorů. To ale znamená umět se v prostředí Kodi trochu vyznat a pohybovat se v něm delší dobu.
- Pokud už člověk zabrousí do neznámých vod, opět je třeba zjistit maximum o autorech a jejich produktech.
- V každém, případě se vyhnout těm addons a repozitářům, které jsou na černé listině Kodi. Pravda, většina z nich je tam kvůli šíření pirátského obsahu, ale co si budeme povídat, šíření pirátského obsahu a škodlivý kód jde v tomto případě ruku v ruce. Stačí se zamyslet nad tím, jak asi k některému pirátskému obsahu autoři addons mohli přijít? Dobrým východiskem k tomu může být Official:Forum rules/Banned add-ons.
- Pro znalce ještě doplním další možnost, jak se vyhnout škodlivému kódum, a to je prohlédnout si kód addons. Nejde to u všech, jde-li o tzv. binární addons, tak tam to tak jednoduché není, ale vzhledem k tomu, že binární addon jsou závislé na instalaci a jsou v drtivé většině součástí oficiálních repozitářů, tak to zas tolik nevadí. Projít si středně složitý addons, u kterého vzniklo důvodné podezření, že by mohl obsahovat škodlivý kód a vy ho přesto chcete používat je pak přímo nutností
- Zálohovat, zálohovat, zálohovat! Mějte vždy možnost přejít na Kodi které ještě fungovalo bez problémů. Ideální je periodická záloha, případně záloha před každou rizikovou operací. Co takovou rizikovou operací je? Instalace rizikového repozitáře či addon (viz body 2-5 výše), ale také například update Kodi (i když tady z docela jiných důvodů).
- V případě update Kodi bych se rád zmínil o nighties. Pokud už někdo nutně potřebuje instalaci těchto verzí (a není členem testovacího teamu Kodi), měl by si Kodi, s instalovanými nighities, držet v "karanténě". Tím myslím to, že pokud si někdy nainstalujete nighties a chtěli byste pak na stejném stroji pak někdy nainstalovat relesed verzi Kodi, je třeba vždy provést absolutně čistou instalaci. Svým způsobem byste se měli k nighties chovat tak, jako by obsahoval škodlivý kód. Vím, je to přitažené za vlasy, ale pouze tato zásada vám dává jistotu.
A jako poslední k tvému dotazu na VPN. To není ani tak záležitost Kodi, jako přístupu k bezpečnostním pravidlům a řešení vzdáleného přístupu k prostředí tvé lokální sítě z internetu (a samozřejmě i naopak). VPN je metoda a nástroj a používat je může mít mnoho důvodů. Opět by to bylo na minimálně stejně dlouhý text, jako byl ten předchozí a do toho se mi už nechce zabíhat...
