The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Разработчики bzip2 потеряли контроль над доменом bzip.org, opennews (??), 10-Авг-18, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


147. "Разработчики bzip2 потеряли контроль над доменом bzip.org"  +/
Сообщение от Ivan_83 (ok), 10-Авг-18, 16:04 
"Многие дистрибутивы и операционные системы (Debian, FreeBSD и т.д.) ссылаются на сайт или используют bzip.org в качестве первичного источника для загрузки кода при сборке пакетов с утилитой bzip2. Данным фактом могут воспользоваться злоумышленники для распространения вредоносного ПО"

Не могут.
Во фряшечке чекается sha2-256 от всех скачиваемых файлов.
SHA2-256 ещё не научились делать любым для заданного файла.

Ответить | Правка | Наверх | Cообщить модератору

198. "Разработчики bzip2 потеряли контроль над доменом bzip.org"  +/
Сообщение от пох (?), 11-Авг-18, 10:08 
оно уже давно у всех чекается - поэтому, как с мрурзилохромоэкстеншном  - выпускаешь новую версию, с логом "many bugs fixed" (можно даже реально что-нибудь улучшить, порывшись в гитхабовых клонах - самому ничего не придется делать).
Большинство майнтейнеров (обычные студенты, имеющие еще тыщу дел и желающие летом отдыхать) не приходя в сознание обновляют циферки версий. sha обновится сам.

Ответить | Правка | Наверх | Cообщить модератору

199. "Разработчики bzip2 потеряли контроль над доменом bzip.org"  +/
Сообщение от пох (?), 11-Авг-18, 10:10 
а, кстати, дебиllиан давно уже ничего не проверяет, потому что почти все зачем-то склонировал себе в самопальный гит.
Соответственно, все что откуда либо в тот гит попало, автоматически считается доверенным (и все контрольные суммы правильно посчитает). Проверяют ли они апдейты из апстрима - спроси себя, зная что там за люди и сколько их там ;-)
Ответить | Правка | Наверх | Cообщить модератору

204. "Разработчики bzip2 потеряли контроль над доменом bzip.org"  +/
Сообщение от myhand (ok), 11-Авг-18, 11:38 
> а, кстати, дебиllиан давно уже ничего не проверяет, потому что почти все
> зачем-то склонировал себе в самопальный гит.

Что склонировал, куда, болезный?  Вы о том что в Debian часто держат оригинальные тарболы в отдельной ветке с помощью pristine-tar?

> Соответственно, все что откуда либо в тот гит попало, автоматически считается доверенным
> (и все контрольные суммы правильно посчитает).

Ну, оно ж туда не откуда-нибудь попадает, а от мейнтейнера пакета.

> Проверяют ли они апдейты из апстрима - спроси себя, зная что там за люди и сколько их там ;-)

А зачем людям надо работу машины делать?  Если апстрим подписывает как-то архив или хоть чексуммы выкладывает - это проверяется автоматически.  А если как обычно - извините...

Ответить | Правка | Наверх | Cообщить модератору

206. "Разработчики bzip2 потеряли контроль над доменом bzip.org"  +/
Сообщение от пох (?), 11-Авг-18, 12:22 
нет, последнее время они держат гит-репы - вероятнее всего, изначально клоны оригиналов (не проверял), с напиханными в них своими мусорными деталями. Лезешь пересобирать - а там там тадам в ридми - "тут мы какой-то мусор автоподложили в _orig, но вообще-то иди в git.debian.org, если тебя интересует что мы вообще имели в виду и что сделали с момента выкладывания этого в репо". В целом и понятно почему - у кучи современного софта нет понятия release, или оно фейковое, как у nginx.
(собственно, у деби11иана изначально была крайне неаккуратная концепция - зачем-то переименовывали оригиналы, попробуй потом угадай из чего, зачем-то хранили их отдельно - почти разумный подход был у rpm, когда ничего никогда не переименовывалось, архив запаковывался внутрь src.rpm (и можно signed) и был с ним и сборочными инструкциями одним целым, не размазанным по мелким файликам), совсем разумный (к сожалению - был) у freebsd с MASTER*.

> Ну, оно ж туда не откуда-нибудь попадает, а от мейнтейнера пакета.

а это кто? Вот и я говорю - студент с излишком свободного времени, осиливший написать rules.
Или поправить две строки в брошенном предыдущим (поскольку тот выпустился и нанялся в орацле), что чаще теперь бывает. Скан паспорта и резюме с пяти прошлых мест работы у кандидатов не требуют.

> А зачем людям надо работу машины делать?  Если апстрим подписывает как-то архив или хоть
> чексуммы выкладывает

то достаточно захватить его сайт, чтобы выложить что-то свое. Чексуммы пересчитает скрипт в недрах сайта, "зачем работу машины делать". В случае с подписью - чуть посложнее, но это если была, если студент удивится и пойдет выяснять, чего это она другая, а не gpg за него скачает с keyserver новую и "проверит", что да, хрен-с-горы подписал, всьо чотко. Это ж не репо дистрибутива, где ключей один-два-три и не больше, и там действительно возникают вопросы, если подписать другим. Это интернет, где подписей больше чем времени на их детальные проверки (особенно с hierarchical trust, когда поимев хз чей private key, внезапно, можно им подписать свой - и на куче систем вполне станешь доверенным - родовая травма pgp).

Ответить | Правка | Наверх | Cообщить модератору

208. "Разработчики bzip2 потеряли контроль над доменом bzip.org"  +1 +/
Сообщение от myhand (ok), 11-Авг-18, 13:52 
> нет, последнее время они держат гит-репы - вероятнее всего, изначально клоны оригиналов
> (не проверял), с напиханными в них своими мусорными деталями.

Может вы от греха подальше сперва все-таки проверите, прежде чем объяснять мейнтейнеру Дебиан что он что-то там "напихивает"?

В orig ничего не пихается.  Единственная известная мне причина модификации оригинального архива - если там с лицензиями проблема, чтобы в non-free не попасть.  При этом, как минимум, из архива должны _выпихивать_ нечто, а не наоборот.

> почти разумный подход был у rpm, когда ничего никогда не переименовывалось,
> архив запаковывался внутрь src.rpm (и можно signed) и был с ним

Ничего разумного в потакании помойке нету.  Если можно навести какую-никакую стандартизацию, то почему нет?

> попробуй потом угадай из чего

Зачем гадать?  apt-cache search, apt-get download...  Какую уж такую страшную проблему составляет преобразование "-" в "_" - теряюсь в догадках.

>> Ну, оно ж туда не откуда-нибудь попадает, а от мейнтейнера пакета.
> а это кто? Вот и я говорю - студент с излишком свободного времени, осиливший написать rules.
> Или поправить две строки в брошенном предыдущим (поскольку тот выпустился и нанялся
> в орацле), что чаще теперь бывает. Скан паспорта и резюме с
> пяти прошлых мест работы у кандидатов не требуют.

Знаний стандартов проекта покуда таки требуют.  Плюс еще ftp-masterы есть.  Даже если у вас есть право загрузить пакет - не значит, что он попадет в архив.

>> А зачем людям надо работу машины делать?  Если апстрим подписывает как-то архив или хоть
>> чексуммы выкладывает
> то достаточно захватить его сайт, чтобы выложить что-то свое. Чексуммы пересчитает скрипт
> в недрах сайта, "зачем работу машины делать".

Вы не поняли.  Есть какой-то проект.  Никто не мешает ему выпускать релизы, подписывая их открытым ключем, например.  Если апстрим такое делает - у мейнтейнеров Debian есть штатные средства для автоматической проверки целостности при импорте архива.   Если апстрим не чешется, чтобы такую возможность своим пользователям предоставить - у них ее и не будет, включая Debian.

> хрен-с-горы подписал, всьо чотко. Это ж не репо дистрибутива, где ключей один-два-три и не
> больше, и там действительно возникают вопросы, если подписать другим. Это интернет,
> где подписей больше чем времени на их детальные проверки

И с этим есть решение.  Есть Web of Trust Дебиана.  Ничто не мешает апстриму стать туда включенным.

Ну а если ничего подобного авторы софтины не делают - да, действительно, возможны все прелести с захватом сайта и т.д.  Бдительных мейнтейнеров на безалаберных авторов софта не напасешься, увы.

Ответить | Правка | Наверх | Cообщить модератору

210. "Разработчики bzip2 потеряли контроль над доменом bzip.org"  –1 +/
Сообщение от пох (?), 11-Авг-18, 18:01 
> Может вы от греха подальше сперва все-таки проверите

дык, буквально на днях и вляпался.
Даже зачем-то склонировал тот дурацкий гит, потом плюнул, стер все нахрен, и поставил вручную ту версию и с такими настройками, как мне надо - мне так проще.

> В orig ничего не пихается.  Единственная известная мне причина модификации оригинального архива

говорю же вам - нет архива. Ну или смысла в нем нет - он автогенерится у авторов прямо гитхабом  хз с какого среза все того же гита. Сейчас так модно :-(

> Ничего разумного в потакании помойке нету.  Если можно навести какую-никакую стандартизацию, то
> почему нет?

потому что это не ваши исходники и не ваш архив. И нехер его от балды переименовывать - чтобы я потом гадал, какой оригинал вы на самом деле переименовали. (и да, чую я мышевозителей, потому что ни один человек, владеющий слепым набором, не включит в стандарт имени файла символ, набираемый мизинцем с зажатым шифтом)

А вот запаковать все целиком в один файл, внутри оставив оригинальные имена и форматы, которые были у автора - вполне себе правильно (если кто вдруг до сих пор не в курсе - да, разумеется, это делается автоматически). Файл - твой, и его уже можно и должно именовать как тебе кажется разумным. А оригиналы внутри - чужие, и их лучше оставить неизмененными.
(да, у srpm, точнее не у него, а у самого rpm есть больное место - оно потом кучей валится в SOURCES - до подкаталогов по имени пакета эти дятлы не додумались. Ну, типа, когда это писали, пакетов было мало. А потом уже не было ни тех людей, ни тех возможностей менять окостенелые "стандарты".)

> И с этим есть решение.  Есть Web of Trust Дебиана.  Ничто не мешает апстриму стать туда
> включенным.

а оно ему вот - надо?
Особенно если там народу немного, и дебиан все (оба) в гробу видали?

> Бдительных мейнтейнеров на безалаберных авторов софта не напасешься, увы.

ну да, ну да - все силы и время ушли на изучение "стандартов проекта". :-(
(на самом деле, понятно, вовсе не на это, а на то чтобы убедить других что таки да, изучил и достоин)

Ответить | Правка | Наверх | Cообщить модератору

212. "Разработчики bzip2 потеряли контроль над доменом bzip.org"  +/
Сообщение от myhand (ok), 11-Авг-18, 20:15 
>> Может вы от греха подальше сперва все-таки проверите
> дык, буквально на днях и вляпался.

Но вам не покажу, понятно.

>> В orig ничего не пихается.  Единственная известная мне причина модификации оригинального архива
> говорю же вам - нет архива. Ну или смысла в нем нет

Так нет или все-таки есть, но еще и автогенерится?   Иногда действительно регулярных релизов просто нет и мейнтейнеры вынуждены паковать срез репозитория проекта.  Тут уж ничего не поделаешь.

>> Ничего разумного в потакании помойке нету.  Если можно навести какую-никакую стандартизацию, то
>> почему нет?
> потому что это не ваши исходники и не ваш архив.

А если какому-то полудурку непечатные символы захочется в имя архива включить?

> чтобы я потом гадал, какой оригинал вы на самом деле переименовали.

Нет, я конечно, завидую вашей памяти, способной удержать все подчеркивания
и дефисы в 30 тыщах пакетов.  Но обычные люди на это не способны, увы.
Для них Debian, в котором есть apt-cache & apt-get.

>> И с этим есть решение.  Есть Web of Trust Дебиана.  Ничто не мешает апстриму стать туда
>> включенным.
> а оно ему вот - надо?

Ну не надо - извиняйте, а чего вы тогда хочите?  Однажды придет злобный хакир, подкинет вам
фигню в исходники, которые вы не подписывали и никто не поверит после этого, что виноваты
дистрибутивы, а не вы, если фигня в какой-то из них таки попадет.

>> Бдительных мейнтейнеров на безалаберных авторов софта не напасешься, увы.
> ну да, ну да - все силы и время ушли на изучение "стандартов проекта". :-(

Вообще-то даже Debian Policy - не пара страниц.  И это то, что мейнтейнеры должны и реально могут знать.  А ожидать, что все как один побегут уламывать авторов привести дистрибуцию в божеский вид - наивно.  Немало просто считающих, что выложив куда-то архив с исходниками - они сделали о**енную услугу человечеству и более ничего не должны делать, включая сопровождение.  Тоже понять можно, они в общем-то и не должны...

> (на самом деле, понятно, вовсе не на это, а на то чтобы
> убедить других что таки да, изучил и достоин)

Я не знаю с чего вы такого ужасного мнения о других.  Зряплату людям не плотют - они добровольно
пришли, стараются по мере сил.  Неплохой дистрибутив, особенно учитывая что прямым
конкурентом является развивающийся коммерческой компанией.

Знания участников проверяются.  Если вы думаете, что это не так - попробуйте стать
полноправным разработчиком или хоть мейнтейнером.

Ответить | Правка | Наверх | Cообщить модератору

239. "Разработчики bzip2 потеряли контроль над доменом bzip.org"  +/
Сообщение от yet another anonymous (?), 14-Авг-18, 13:52 
Чуть выше была ссылка на репозиторий

git remote -v
origin https://salsa.debian.org/debian/bzip2.git

Если туда посмотреть, то вылезает, что пох говорит то, что
действительно имеет место быть.

Ответить | Правка | Наверх | Cообщить модератору

240. "Разработчики bzip2 потеряли контроль над доменом bzip.org"  +/
Сообщение от myhand (ok), 14-Авг-18, 14:08 
> Если туда посмотреть, то вылезает, что пох говорит то, что
> действительно имеет место быть.

Давайте посмотрим на что вы там смотрите.  pristine-tar ветки там нету, upstream ветка не обновлялась хрен знает с когда.  Фактически, там есть только master, в котором делаются изменения в каталоге debian/.

Теперь внимание: данный репозитарий к генерации orig архива не имеет вообще никакого отношения.

А зеленые чертики у вас по столу не бегают?  Я волнуюсь.

Ответить | Правка | Наверх | Cообщить модератору

241. "Разработчики bzip2 потеряли контроль над доменом bzip.org"  +/
Сообщение от yet another anonymous (?), 14-Авг-18, 15:16 
Ну-ну. Вопросов больше не имею. На сём прощайте.
Ответить | Правка | Наверх | Cообщить модератору

242. "Разработчики bzip2 потеряли контроль над доменом bzip.org"  +/
Сообщение от myhand (ok), 14-Авг-18, 16:10 
Если вы почему-то считаете, что тарбол с оригинальными исходниками генерируется из репозитария в Debian - вы меня заинтриговали, как мейнтейнера Debian.  Не пойму что сложного было бы вам объяснить как именно это делается, т.к. я следов подобного не вижу.  Не путайте, пожалуйста, наличие в репе файлов апстрима (помимо каталога debian/) и генерацию *.orig.tar.gz, которой в данном случае не происходит вовсе.

Дело ваше, конечно.  Я объяснил вам как происходит работа в этом конкретном проекте.  Могу рассказать подробнее: например, какими именно инструментами люди пользуются при выходе нового апстрим релиза.

Ответить | Правка | Наверх | Cообщить модератору

231. "Разработчики bzip2 потеряли контроль над доменом bzip.org"  +/
Сообщение от funny.falcon (?), 13-Авг-18, 11:24 
мало того: любым для заданного файла не научились делать даже md5. Т.е. создавать файл, имеющий заранее заданную md5 сумму всё ещё не умеют. Умеют только создавать два файла, имеющие одинаковую md5 сумму.
Ответить | Правка | К родителю #147 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру