そうだけど、サーバーが侵害されてたら、インストールしてるバイナリに直接マルウェアを注入される可能性もあるよね？結局のところ、別の信頼できるソースでハッシュを確認できるパッケージを直接ダウンロードしてるときだけ安全だと思う。その他は、ダウンロードしてるサーバーの思い通りになっちゃうよ。

これは理論上の問題で、実際には全く影響がないよね。

手動で読んでみると、すごくよく書かれたスクリプトも見たことがあるよ。そういうスクリプトは、インストール先や機能、Python環境とのオプション統合などを変更できるんだ。俺は、こういう方法でダウンロードしたスクリプトは、実行する前にざっと目を通すようにしてる。理由はいろいろあって、「これは悪意があるのか？」から「使いたいオプションがあるのに教えてくれないのか？」まで幅広い。特に気になるのは、俺のディストリビューションのパッケージマネージャーと統合する設定をしているのか、それともユーザーのファイルシステムのどこかに適当に放り込むのか、もしそうならどこに置くのかを知りたいんだ。

curl | bashがLinuxエコシステムで広まった理由の多くは、「単一のバイナリがそのまま動く」アプローチが実際には実現不可能だからなんだ（1）。さまざまなディストリビューションが十分な標準に従っていないからね。WindowsやMacOSは、単一のベンダーなので、アプリケーションを既存のエコシステムに追加するためのインストールツールが比較的簡単にできるように、十分に標準化された構成を持っている。どのオーディオサブシステムをインストールしたか、systemdの権力争いでどの側にいるか、どの人気のデスクトップ環境をインストールしたか、または/devディレクトリが完全に埋まっているかどうかを心配する必要がない。MacやWindowsでは、これらの質問に対する答えは一つだから、ランダムなバイナリをそこに放り込むだけでうまくいく。Linuxエコシステムのジャングルを考えると、そのbashスクリプトは、あなたのマシンでツールを立ち上げるために多くの互換性確認や代替選択を行っているんだ。「バイナリの塊を渡してもらって、彼らが提供したマニフェストに基づいて接続する方がいい」と言いたいなら、ほとんどの人はそのレベルの設定をしたくない。二つのOSエコシステムがうまく動いている中で、彼らは自分のLinuxディストリビューションも同じようにうまく動いてほしいと思っているんだ。（1）伝統的には実現可能。snapやflatpakのようなプロジェクトは、Dockerの成功からヒントを得て、実行可能ファイルとその依存関係をバンドルして、特定の「ホーム」ディストリビューションが何であるかを心配する必要がなくなるようにしている。ほとんどの場合、必要なオーディオやシステム、その他の依存関係を持っているからね。ただし、これらの冗長な技術スタックがディスクやメモリに常駐し、同じ親イメージの子パッケージでない限り統合できないというコストがかかる。

そうそう！こういうのに求めてるのは、インストールプロセスをサンドボックス化して、アンインストールが確実にできるようにすることなんだよね。

俺がこれに対して抱いてる問題は、安全じゃない行動を助長することだよ。初心者がそのパターンを何回繰り返すんだろう？それで、どっかのバカがDiscordでcurl|bashを投げ込んでくるっていう。IRCはこういうトリックの戦場だったし、Homebrewみたいな正当なプロジェクトがユーザーに、環境にランダムなコードを直接実行するのが普通だって教えてるのが気になる。

これが俺がずっと抱えてる不満なんだよね。特に、自動更新がないことと、強制的に不変の単調な公開バージョン履歴がないこと。これが原因で、各プログラムが独自の非標準な自己更新ロジックを実装する羽目になって、システムパッケージマネージャーに頼らなくなっちゃうんだよね。 https://docs.sweeting.me/s/against-curl-sh

まさにその通りだね。何をするか全然わからないよね。単にPythonとvirtualenvがあるかチェックして、全部を一つのディレクトリにインストールするだけなのか？それとも、信頼できるリモートソフトウェアリポジトリを追加してシステムを乗っ取るのか？新しいユーザーを作ったり、ネットワークポートを開いたり、必要な古いJavaのバージョンをインストールしたり、システムのバイナリを「より良い」ものに置き換えたり、Dockerをインストールしたりするのか？オペレーティングシステムには、エンドユーザーにソフトウェアを配布するための標準的な方法があるんだから、それを使おうよ！確かに、DebianパッケージやRPMをビルドできるようにするために一手間かかるかもしれないけど、少なくともソフトウェアが他のものとちゃんと共存できるからね。それに、もしあなたのソフトウェアがそんなにプライドが高くて独自のOSイメージが必要なら、Dockerコンテナにパッケージ化しちゃえばいいんだよ。でも本当に、車輪を再発明しようとするのはやめてくれ。

俺は「yy030」っていう小さなプログラムを、スクリプトやインタラクティブに一日に何度も使ってる。これは標準入力からURLをフィルタリングするんだ。ちょっと「urlview」に似てるけど、もっとシンプルな正規表現を使ってて、速いんだよね。「curl|bash」で配布されてるサードパーティのソフトウェアは使ってないし、実際にはcurlやbashも使わないけど、もし使ったらyy030を使ってinstall.shからURLを抽出するかも。例えば、こんな感じでね：curl https://example.com/install.sh|yy030とか、curl https://example.com/install.sh > install.sh yy030。別のフィルター「yy073」は、URLのリストをシンプルなウェブページに変えるんだ。例えば、curl https://example.com/install.sh|yy030|yy073 > 1.htm。そしたら、1.htmをHTMLリーダーで開いて、好きなファイルをダウンロードしたり、処理したりできるんだ。ちょっと「urlview」みたいにね。「fzf」とかは使ってないよ。yy030とyy073は50k未満の小さな静的バイナリで、コンパイルも1秒くらいで終わる。標準入力で受け取ったURLをダウンロードする小さなスクリプトもあるんだ。例えば、install.shから3番目のURLを1.tgzにダウンロードするには、yy030 "ftp"はクライアントがtnftpを意味して、"0"は標準入力を指すんだ。

え、なんでわざわざ別のツールを使うんじゃなくて、これをするために三つ目のツールを持ってくるの？ Curl -o script.sh Cat script.sh Bash script.sh なんか面白い発想だね。

いや、最初にスクリプトを見せてくれるって書いてあるから、レビューできるんだよ。俺が理解できないのは、なんでこれにプログラムが必要なのかってこと。スクリプトをファイルにcurlして、catしてレビューすればいいじゃん。

もし盲目的に実行するだけなら、vetは必要ないよ。自動じゃないし、実行する前にスクリプトを確認するチャンスをくれるだけだから。

でも、その場合はcurl | bashのアンインストールツールも必要だよね。ほとんどのインストールスクリプトは話の半分で、アンインストールの部分が存在しないんだから。

curl|bashを見かけるのは、大体リポジトリソースをパッケージマネージャー（Debian/Ubuntu）に追加するためだね。

「その対策はアンチウイルスソフトだった」って、どれくらい効果あったんだろうね？

「他のみんな」は、審査されたアプリがあるアプリストアを使ってるよね（つまり、あるべきだよね）。

みんな、何も考えずにnpm installやdocker runしてるし。まあ…時々、例えば昨日みたいに[1]、考え直すこともあるけどね。

curlとbashを使うと、コードが人間に読めるから、基本的なbashスクリプトの知識があれば簡単に確認できるよね。

Docker内で動いてるソフトウェアは、外で動かすよりも少しサンドボックス化されてるけど、完璧ではないよね。

Windowsは20年以上もACLやセキュリティディスクリプタを持ってるんだよ。Linuxはスーパーユーザーモデルだし。Windows Storeからのインストール、つまり約75%のインストールはサンドボックス化されていて、もはや権限昇格は必要ない。残りの特権インストールはUACモーダルで確認されて、MS Defenderが悪意のあるパターンから守ってる。sudoとWindowsのインストールを比較するのは、30年以上も遅れてるよ。sudoはほとんどすべてのメモリにアクセスできて、生のデバイスアクセスやディスク上のどこにでもアクセスできるんだから。

そうなんだけど、すごく使いにくいよね。curl x.sh | firejail --newみたいな感じで、a) overlayfsが欲しいか？ b) ネットワーク隔離が欲しいか？ c) ホームディレクトリアクセスを許可するか？って聞いてくれるものが必要だよね。それから、実際にインストールされたものを実行するための同等のものも必要だし。これには、インストールスクリプトが何をしたかを調べて、新しいバイナリを公開する必要があるんだ。もちろん、呼び出されたときはサンドボックス内で実行される。人々が「| bash」の怠惰なデフォルトを乗り越えるためには、覚えやすいコマンドが必要なんだ。これらのツールのUIの複雑さが普及を妨げてるよ。