Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

В поставке открытого IRC-сервера UnrealIRCd обнаружен троянс..., opennews (?), 13-Июн-10, (0) [смотреть все] Чем от этого защититься Кто-нибудь знает подробные статьи о контроле содержимог, Zenitur (?), 11:40 , 13-Июн-10, (1) +1 // цифровые подписи больше ничем ну или публикацией хеша , mma (?), 11:51 , 13-Июн-10, (4) +2 // подписи к сожалению тоже весьма уязвимы, на вскидку их можно тупо подменить, или, thirteensmay (?), 14:45 , 13-Июн-10, (11) // А приватный ключ вы где возьмете для подмены подписей Ессно он должен храниться, User294 (ok), 16:24 , 13-Июн-10, (20) Как показал случай с взломом Redhat приватный ключ унесут вместе с публичным и б, Василий (??), 23:00 , 13-Июн-10, (44) –3 угу только ломали не RedHat, а Fedora А это всё таки разница и какая Но ред, aaim (?), 14:45 , 14-Июн-10, (63) +1 Освежу как я вам память пожалуй Внимательно прочитайте вот эту статью http ww, Василий (??), 16:12 , 14-Июн-10, (66) А ничего что исходный код не пострадал Взломали какое-то банальное зеркало файл, Аноним (-), 17:10 , 14-Июн-10, (67) читайте лучше первоисточник http rhn redhat com errata RHSA-2008-0855 html , aaim (?), 00:22 , 15-Июн-10, (104) А у федоры вроде ж не упирали, они из предосторожности сменили IIRC Унесут вмес, User294 (ok), 12:36 , 15-Июн-10, (114) уязвимы, но дают большую защиту от случаев получения контроля над ftp сервером, Аноним (-), 16:43 , 13-Июн-10, (25) это да, возможно народ считает что вероятность и последствия злоконтроля ftp мен, thirteensmay (?), 20:29 , 13-Июн-10, (32) Чем, чем, - Архив на DVD-R, чтоб DVDюк не сдох, правильно настроить Squid , pavlinux (ok), 14:54 , 13-Июн-10, (13) // Тогда можно подменить данные в кэше squid или сам squid заменить на модифицирова, F (?), 15:25 , 13-Июн-10, (15) +1 // Тогда Сквид обнаружит не совпадение и обновит кэш А так же glibc, ядро, заменить, pavlinux (ok), 21:46 , 13-Июн-10, (34) цвс-репа не пострадала а в тар после создания наверное никто кроме взломщика и, аноним (?), 16:42 , 13-Июн-10, (24) Пробовал раздавать торренты, лежащие на DVD-R Спать невозможно Всё время лаз, Zenitur (?), 21:32 , 13-Июн-10, (33) // У торрента, во время его работы, образуется по сути своя ФС Так что RANDOM READ, pavlinux (ok), 21:55 , 13-Июн-10, (35) +1 Обычное биение файла на блоки и битовая карта Ну, допустим, не совсем рандом П, User294 (ok), 15:35 , 15-Июн-10, (118) Можно в принципе воткнуть в систему read only флеш Сейчас уже 16 гб Так что DV, Михаил (??), 18:03 , 14-Июн-10, (76) // а монтирование в ридонли фс в ядре уже забанили хотя все что тут натролили - ред, аноним (?), 20:57 , 14-Июн-10, (95) Придет хаксор и перемаунтит в RW И Хотя если ФС squashfs тогда не перемау, User294 (ok), 15:38 , 15-Июн-10, (119) для хаксора такого уровня привилегий ни флеха, ни сквэш не помеха как любишь выр, аноним (?), 19:13 , 15-Июн-10, (128) Такого это какого Сетевые сервисы у мало-мальски вменяемых админов живут под об, User294 (ok), 14:28 , 16-Июн-10, (141) правильно сказал, у лузерских Dесли на твоем сервере любую фс может перемонтиро, аноним (?), 20:11 , 16-Июн-10, (143) Они такие и должны быть у сетевых сервисов, иначе потом в случае аварии - от а, User294 (ok), 19:29 , 17-Июн-10, (149) Можно и на винч В какомнить squashs Который тупо readonly, по определению Что, User294 (ok), 15:46 , 15-Июн-10, (121) В репозитариях систем портирования ПО обычно хранится хеш сорца при загрузке он, PereresusNeVlezaetBuggy (ok), 20:17 , 13-Июн-10, (31)   // Дятлы, чего ещё сказать Даже нет желания проводить анализ и разбор полётов, п, pavlinux (ok), 22:03 , 13-Июн-10, (36)   // Нет систем, которые нельзя взломать, есть системы, которые взламывать слишком до, PereresusNeVlezaetBuggy (ok), 22:08 , 13-Июн-10, (38) +1   Надо изучать не сколько это стоит, а кому это нужно Там и искать Мухи там - где, pavlinux (ok), 23:11 , 13-Июн-10, (45)   gt оверквотинг удален Причём сразу появится несколько таких центров, потом их , PereresusNeVlezaetBuggy (ok), 23:57 , 13-Июн-10, (46)   Взлом центра - подмена ключей - замена исходников жертвы - обнаружение взлома, pavlinux (ok), 00:56 , 14-Июн-10, (47) +1   Не-не-не В центре ведь не исходники хранятся, а ключи Поэтому взламывать надо , PereresusNeVlezaetBuggy (ok), 01:31 , 14-Июн-10, (48) +1   В общем, схема мне самому понравилась Естественно требуется детальная доработка, pavlinux (ok), 01:46 , 14-Июн-10, (49)   а для бинарных дистрибутивов надо чтоб была определена версия gcc и библиотек , JL2001 (ok), 20:48 , 14-Июн-10, (94)   Реализуемо, но Гентушники взбунтуются , pavlinux (ok), 00:59 , 15-Июн-10, (109)   А у гентушников и так троянец в репах вон , User294 (ok), 15:48 , 15-Июн-10, (122)   gt оверквотинг удален Не сработает Разработчики никак не придут к согласию пр, Михаил (??), 18:07 , 14-Июн-10, (77)   Причём тут подчинение Это будет иконка на сайте, но с линком на ЦУП где хранятс, pavlinux (ok), 18:38 , 14-Июн-10, (78)   Нет никаких проблем подменив файл заменить и его хэш Вот если там цифровые подп, User294 (ok), 12:39 , 15-Июн-10, (116)   ищите по слову AIDE , Gra2k (ok), 04:41 , 14-Июн-10, (52) Вот явное преимущества open source - уязвимость может обнаружить любой Не получ, joe (??), 11:47 , 13-Июн-10, (2) +4 // ну да с ноября прошлого года замалчивали Почему все считают, что еси опенсор, скай (?), 11:51 , 13-Июн-10, (3) +1 // Вообще-то должен бтыь ежедневный аудит, хотя бы автоматом сверка хэшей с эталоно, Аноним (-), 12:07 , 13-Июн-10, (5) +2 // Чего ради-то, им что, заняться нечем Вы глупости говорите , anonym (?), 12:21 , 13-Июн-10, (6) Аудит кода - такая же часть разработки как и его написание Если им, как Вы гово, Аноним (-), 08:42 , 14-Июн-10, (53) А они лично тебе обязаны аудит троводить да Ты им денег не платил, тебе дали AS , аноним (?), 20:09 , 14-Июн-10, (90) Наверно, хэши подменили , Zenitur (?), 13:54 , 13-Июн-10, (9) –1 при правильном подходе цифровые подписи подменить очень трудно, а коммиты в сист, User294 (ok), 16:31 , 13-Июн-10, (22) Иногда даже не молчат, просто отказываются править, не смотря на обещанные сроки, аноним (?), 13:33 , 13-Июн-10, (8) +5 // Office XP закопать как ненужную промежуточную версию Долгое время пользовался O, FSA (ok), 14:11 , 13-Июн-10, (10) // А кто-то платил своими, настоящими деньгами за промежуточную версию и верил m , аноним (?), 14:47 , 13-Июн-10, (12) По-моему, офис 2000 и XP - примерно одинаковы по степени глючности Как минимум , User294 (ok), 16:32 , 13-Июн-10, (23) +2 171 Microsoft Office XP не существует необходимой архитектуры для исправления , Tav (ok), 15:28 , 13-Июн-10, (16) +5 // это точно данная цитата очень красноречиво говорит о качестве их системы контрол, аноним (?), 16:47 , 13-Июн-10, (26) +2 171 В случае, если бы Microsoft взялась переписать Office XP таким образом, в , аноним (?), 17:07 , 13-Июн-10, (28) +1 Разработчики ядра линукса так постоянно делают и ничего , Konstantin (??), 16:28 , 13-Июн-10, (21) –4 // правда что ли , аноним (?), 16:49 , 13-Июн-10, (27) +1 Так это как И собственно пруфлинки , User294 (ok), 19:08 , 13-Июн-10, (30) +1 // По всей видимости, 171 так 187 8212 это замалчивая факт серьёзности испра, PereresusNeVlezaetBuggy (ok), 22:15 , 13-Июн-10, (41) oбcуждались, помню вышло ядро, в нем ченджлог, в нем черным по белому - исправле, аноним (?), 12:42 , 14-Июн-10, (57) +1 Ну, во первых, не постоянно, а во вторых - даденный вами ниже пруфлинк - на един, User294 (ok), 22:37 , 15-Июн-10, (132) Слили в одном треде, пытаетесь доказать тот же свой бред в другом Здесь я ничег, PereresusNeVlezaetBuggy (ok), 00:11 , 16-Июн-10, (135) Теперь тыкание в имеющиеся реальные проблемы оказывается сливом называется Так , User294 (ok), 15:36 , 17-Июн-10, (147) Проблемы только у вас, судя по всему По крайней мере вы единственный, кто страд, PereresusNeVlezaetBuggy (ok), 18:26 , 17-Июн-10, (148) gt оверквотинг удален А как вариант - прикрутить к протоколу начальный пароль , Arago (?), 12:17 , 18-Июн-10, (151) gt оверквотинг удален Заодно замечу, что злосчастные 30 CPU я наблюдал только, PereresusNeVlezaetBuggy (ok), 16:05 , 18-Июн-10, (152) А сколько лет в AWARD BIOS жила бэкдорина AWARD_SW Она кстати и сейчас в биос, User294 (ok), 19:06 , 13-Июн-10, (29) +1 Мил человек, вы сорцы ВСЕХ программ, входящих в ваш дистр, смотрели Нет Тогда , Krazy (?), 22:06 , 13-Июн-10, (37) –3 // Да ещё ладно смотреть, надо понимать, что там делается Закладку можно размазать, PereresusNeVlezaetBuggy (ok), 22:11 , 13-Июн-10, (40) +2 // О том и речь Утверждение о том, что в проектах open source все зашибись, потому, Krazy (?), 09:52 , 14-Июн-10, (54) +1 печально работать К О для наверное образованого человека зашибись потому, что, Dvorkin (ok), 10:38 , 14-Июн-10, (55) +2 Выше по треду человек сообщал, что попробуйте проверить на наличие закладки ВЕСЬ, Mad (??), 12:25 , 14-Июн-10, (56) +1 допустим я учавствую а я участвую в нескольких проектах мне они просто интерес, аноним (?), 13:00 , 14-Июн-10, (58) +1 да че ты ему обьясняешь даже школьнику понятно, что если открытый проект кому-т, Dvorkin (ok), 13:46 , 14-Июн-10, (61) ЗАЧЕМ , Dvorkin (ok), 15:45 , 14-Июн-10, (65) А вдруг там что то не так Вдруг уязвимость Или вы тоже полагаетесь на легион а, Михаил (??), 17:55 , 14-Июн-10, (73) нет конечно он полагается на 200 000 000 вложенных пентагоном в безопасность ви, аноним (?), 18:51 , 14-Июн-10, (81) я поражаюсь, скольким людям, оказывается, необходим для работы Ирк-сервер я, Dvorkin (ok), 20:06 , 14-Июн-10, (89) –1 Может быть мсье готов предложить более вменяемый групчат Почему-то за столько л, User294 (ok), 22:42 , 15-Июн-10, (133) если уж совсем нужно - то жаббер хотя я сомневаюсь что гропчаты вообще нужны по, Dvorkin (ok), 11:25 , 16-Июн-10, (139) Лучше полагаться на разработанный АНБ SELinux , Mad (??), 21:10 , 14-Июн-10, (96) конечно он открыт и всеми серьёзными специалистами в этой сфере уже давно прове, аноним (?), 21:24 , 14-Июн-10, (97) Супер Трояная случайно обнаружили сами разработчики через 210 дней Тем кого по, Василий (??), 17:25 , 14-Июн-10, (68) // А давайте не бухтеть Я вот слегка копался в коде анрылы Вот только так получил, User294 (ok), 17:05 , 15-Июн-10, (124) Открытый код дает возможность сообществу или отдельным пользователям обнаружит, AZ_from_Belarus (ok), 12:34 , 13-Июн-10, (7) +2 // Я конечно понимаю, что наболело, но причем тут взлом сервака и подмена дистрибут, pavlinux (ok), 22:09 , 13-Июн-10, (39) // Отчего ж наболело Это лишь пример И давненько это было, году этак в 98 А приме, AZ_from_Belarus (ok), 22:28 , 13-Июн-10, (42) // А в случае closed source сами разработчики поправить с приемлемыми трудозатратам, аноним (?), 22:48 , 13-Июн-10, (43) Они просто могут нормально разрабатывать и проверять свой код по одной из методи, Михаил (??), 17:43 , 14-Июн-10, (70) Ты лучше расскажи про их успехи в производстве секурного софта Я уже ржу - жду, аноним (?), 20:23 , 14-Июн-10, (91) как делает это мс видно и так касперский им очень благодарен за это,, аноним (?), 23:05 , 14-Июн-10, (102) Какие красивые слова Только почему-то ишак по прежнему дыряв, вирусы по прежнем, User294 (ok), 17:39 , 15-Июн-10, (125) Да ладно, wireshark или tcpdump запустит каждый чайнег, и увидит что трафик куда, pavlinux (ok), 02:17 , 14-Июн-10, (50) +2 ну и чем этот пост говорит 1 что лично вы этой возможностью не пользуетесь 2 е, аноним (?), 13:25 , 14-Июн-10, (59) И вы мельком просмотрев интересный вам код можете найти в нем уязвимости Очень , Михаил (??), 17:53 , 14-Июн-10, (72) 1 то что меня интересует я смотрю далеко не мельком 2 ну вы то в клозедсорсе в, аноним (?), 18:45 , 14-Июн-10, (80) gt оверквотинг удален Для сведения та самая пресловутая 10 летняя дыра о котор, Михаил (??), 19:12 , 14-Июн-10, (83) т е 10 лет усиленных проверок и такой результат - это нормально D210 дней ил, аноним (?), 20:47 , 14-Июн-10, (93) Да ладно заливать Поучите теорию чтобы не позориться Message Signing не возмож, Иван (??), 21:58 , 14-Июн-10, (98) –1 ну конечно это же фича и как я не догадался Dok хоть любую локальную уязви, аноним (?), 22:59 , 14-Июн-10, (100) 17 летpresent for 14 years If it is confirmed this vulnerablity is alsopresent, аноним (?), 23:39 , 14-Июн-10, (103) –1 Таки пруф линк или опять балаболим про мифические уязвимости Такую кучу текста , Иван (??), 00:27 , 15-Июн-10, (106) gt оверквотинг удален Если правильно помню, NTLMv1 не используется _по_умолчан, PereresusNeVlezaetBuggy (ok), 00:30 , 15-Июн-10, (107) gt оверквотинг удален По умолчанию в windows 2003 используется NTLM 2 Автомат, Иван (??), 00:58 , 15-Июн-10, (108) http www kb cert org vuls id 135940http news cnet com 8301-27080_3-10397759-, аноним (?), 11:42 , 15-Июн-10, (113) –1 gt оверквотинг удален Таки в данном случае вы неправы, так как путаете две вещ, PereresusNeVlezaetBuggy (ok), 00:23 , 15-Июн-10, (105) таки я ничего не путаю D1 вы точно уверены, что появление уязвимости и обнару, аноним (?), 11:07 , 15-Июн-10, (111) –1 Простите, вы читать где учились Это я вас или кто там из вас аноним ткнул в, PereresusNeVlezaetBuggy (ok), 15:45 , 15-Июн-10, (120) –1 а вы или гениальной вышеупомянутой системе поиска требуется 17 лет и пару хакеро, аноним (?), 15:55 , 15-Июн-10, (123) А в BSD находили баги 25-летней давности А в Linux таких нет по одной простой п, PereresusNeVlezaetBuggy (ok), 21:02 , 15-Июн-10, (129) было утверждение, что проприетарная разработка намного лучше, поскольку баги отс, аноним (?), 22:34 , 15-Июн-10, (131) Я к этому утверждению не имею никакого отношения Перечитайте тред Угу Всё равн, PereresusNeVlezaetBuggy (ok), 00:02 , 16-Июн-10, (134) Про то, что МС пренебрегает тестированием - для меня очевидный факт В свое время, AlexAT (ok), 14:27 , 17-Июн-10, (146) Ну так что ссылки будут на описание уязвимостей в 400 дней и 10 лет Или можно с, Иван (??), 22:14 , 14-Июн-10, (99) А почему Linux эксперты, кстати Сорс для всех платформ, даже для винды Давайте, User294 (ok), 17:41 , 15-Июн-10, (127) Загрепать system в сорсах очевидно ракетная наука Хотя бэкдор сделан технично, User294 (ok), 17:40 , 15-Июн-10, (126) Посмею высказать своё мнение по поводу приведённого выше обсуждения - По моем, pavel (??), 21:16 , 15-Июн-10, (130) // Очевидно, это одно из самых точных замечаний, из всего срача, написанного выше , Sugar (ok), 18:10 , 16-Июн-10, (142) В SuSE такого даже нет , pavlinux (ok), 23:18 , 17-Июн-10, (150) 1,2,7,130,150

Сообщения

[Сортировка по времени | RSS]

	31. "В поставке открытого IRC-сервера UnrealIRCd обнаружен троянс..."	+/–
	Сообщение от PereresusNeVlezaetBuggy (ok), 13-Июн-10, 20:17
	>> В ходе разбирательства было выявлено, что в ноябре 2009 года несколько файловых серверов проекта были взломаны, что позволило злоумышленникам подменить представленный для загрузки архив программы на вариант, содержащий троянскую вставку > >Чем от этого защититься? Кто-нибудь знает подробные статьи о контроле содержимого сервера? >Надёжен ли простой скрипт с проверкой контрольной суммы файлов в каталоге? В репозитариях систем портирования ПО обычно хранится хеш сорца; при загрузке он проверяется. Соответственно, пользователи таких систем обычно защищены. Более того, копии дистрибутивных файлы тоже могут[1] храниться в рамках такой системы, обеспечивая доступ к чистой версии. Единственный очевидный минус — это портирование новой версии с запозданием, когда в систему портирования заносится уже «подкорректированный» файл. [1] — все не проверял, но, по идее, так должно быть в любом солидном проекте ОС.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	36. "В поставке открытого IRC-сервера UnrealIRCd обнаружен троянс..."	+/–
	Сообщение от pavlinux (ok), 13-Июн-10, 22:03
	>[1] — все не проверял, но, по идее, так должно быть в любом солидном проекте ОС. Дятлы, чего ещё сказать... Даже нет желания проводить анализ и разбор полётов, почему это вышло, как их хакнули...
	Ответить | Правка | Наверх | Cообщить модератору

	38. "В поставке открытого IRC-сервера UnrealIRCd обнаружен троянс..."	+1 +/–
	Сообщение от PereresusNeVlezaetBuggy (ok), 13-Июн-10, 22:08
	>>[1] — все не проверял, но, по идее, так должно быть в любом солидном проекте ОС. > >Дятлы, чего ещё сказать... >Даже нет желания проводить анализ и разбор полётов, почему это вышло, как >их хакнули... Нет систем, которые нельзя взломать, есть системы, которые взламывать слишком дорого (в широком смысле). :) Больше интересно, сколько подобных инцидентов не предано огласке (в т.ч. среди open source проектов), и сколько вообще неизвестны. :) Боюсь только, что до тех пор, пока такие ситуации не станут массовыми (а они, боюсь, станут где-то в течение лет десяти), такую статистику не собрать даже приблизительно. :-\
	Ответить | Правка | Наверх | Cообщить модератору

	45. "В поставке открытого IRC-сервера UnrealIRCd обнаружен троянс..."	+/–
	Сообщение от pavlinux (ok), 13-Июн-10, 23:11
	>>>[1] — все не проверял, но, по идее, так должно быть в любом солидном проекте ОС. >> >>Дятлы, чего ещё сказать... >>Даже нет желания проводить анализ и разбор полётов, почему это вышло, как >>их хакнули... >Нет систем, которые нельзя взломать, есть системы, которые взламывать слишком дорого (в >широком смысле). Надо изучать не сколько это стоит, а кому это нужно. Там и искать. Мухи там - где больше г...на. Вывод: нужон Центр Безопасности ОСС В него перед релизом отдают дистрибутивные коды на подпись. С клятвой на крови, и здоровьем всего рода и будущих поколений, что преднамеренных закладок, бэкдоров, и т.п. разработчиками внедрено не было. Перед кнопкой Download ставить значок [Confirmed by SCOSS ] (Security Center OpenSource Software) Который в свою очередь, должен сравнивать чексуммы в базе и в реале. Разработчики проекта должны платить в SCOSS 120$ в год за эти подписи. За нарушение - Black list разработчиков и весь проект.
	Ответить | Правка | Наверх | Cообщить модератору

	46. "В поставке открытого IRC-сервера UnrealIRCd обнаружен троянс..."	+/–
	Сообщение от PereresusNeVlezaetBuggy (ok), 13-Июн-10, 23:57
	>[оверквотинг удален] > >Перед кнопкой Download ставить значок [Confirmed by SCOSS ] (Security Center OpenSource >Software) >Который в свою очередь, должен сравнивать чексуммы в базе и в реале. > > >Разработчики проекта должны платить в SCOSS 120$ в год за эти подписи. > > >За нарушение - Black list разработчиков и весь проект. Причём сразу появится несколько таких центров, потом их тоже начнут взламывать…
	Ответить | Правка | Наверх | Cообщить модератору

	47. "В поставке открытого IRC-сервера UnrealIRCd обнаружен троянс..."	+1 +/–
	Сообщение от pavlinux (ok), 14-Июн-10, 00:56
	> Причём сразу появится несколько таких центров, потом их тоже начнут взламывать… Взлом центра -> подмена ключей -> замена исходников жертвы -> обнаружение взлома центра -> восстановление из бэкапа -> ....... Много за это время успеют скачать затрояненый дистриб? -------- Не,...... всё гораздо проще... Сервак выдающий подписи живет в режиме полного READ-ONLY Записи в базу вносятся операторами в полуавтоматическом режиме, после подробного хандшейка:   - Запрос на внесение в базу новой версии дистриба.   * Проверка записей авторов, подписей, открытого ключа.   * Разрешение о приёме исходников. Передача разового ключа шифрования.   - Шифрование и передача исходников.     * Генерация контрольных сумм.   * Запрос у мантэйнера дистриба, по зарегистрированному ранее адресу ключа шифрования.   - Передача ключа шифрования.       * Возврат ссылки на подпись в базе SCOSS.   - Размещение ссылки на сайте дистриба. ---------------- Прое...ут ключи - в черный список, - за безответственное отношение к безопасности планеты! Взломали сайт- в черный список -  как чайнег недостойный звания OSS-программер. PHP программеры уйдут в полный андеграунд :)
	Ответить | Правка | Наверх | Cообщить модератору

	48. "В поставке открытого IRC-сервера UnrealIRCd обнаружен троянс..."	+1 +/–
	Сообщение от PereresusNeVlezaetBuggy (ok), 14-Июн-10, 01:31
	>> Причём сразу появится несколько таких центров, потом их тоже начнут взламывать… > >Взлом центра -> подмена ключей -> замена исходников жертвы -> обнаружение взлома центра -> восстановление из бэкапа -> ....... >Много за это время успеют скачать затрояненый дистриб? Не-не-не. В центре ведь не исходники хранятся, а ключи. Поэтому взламывать надо центр + место хранения исходников. Да, задача более сложная, но лишь сложность возрастает по времени, причём линейно. Схема такая получается: взломали центр, вытащили закрытые ключи для подписи исходников, подменили исходники, подменили контрольную сумму в центре. В итоге чухнутся всё тогда же — когда кто-то сравнит контрольные суммы имеющихся файлов на разных системах. В общем, было бы желание. :) >[оверквотинг удален] >  - Запрос на внесение в базу новой версии дистриба. >  * Проверка записей авторов, подписей, открытого ключа. >  * Разрешение о приёме исходников. Передача разового ключа шифрования. >  - Шифрование и передача исходников. >  * Генерация контрольных сумм. >  * Запрос у мантэйнера дистриба, по зарегистрированному ранее адресу ключа >шифрования. >  - Передача ключа шифрования. >  * Возврат ссылки на подпись в базе SCOSS. >  - Размещение ссылки на сайте дистриба. Хм. А не проще на шаге 4 шифровать и передавать уже подписанный автором исходник, не? Он верифицируется в центре и не надо гонять закрытый ключик. >---------------- >Прое...ут ключи - в черный список, - за безответственное отношение к безопасности >планеты! >Взломали сайт- в черный список -  как чайнег недостойный звания OSS-программер. > > > >PHP программеры уйдут в полный андеграунд :) *злобно улыбнулся и потёр ручки*
	Ответить | Правка | Наверх | Cообщить модератору

	49. "В поставке открытого IRC-сервера UnrealIRCd обнаружен троянс..."	+/–
	Сообщение от pavlinux (ok), 14-Июн-10, 01:46
	>Хм. А не проще В общем, схема мне самому понравилась. Естественно требуется детальная доработка. И главное, заинтересовать самих программеров в том, что этом им надо. Пусть даже этот проект это дипломная работа или резюме, а если резюме - тем более. Сразу будет доверие в том, что человек относится с ответственностью к любым своим делам.
	Ответить | Правка | Наверх | Cообщить модератору

	94. "В поставке открытого IRC-сервера UnrealIRCd обнаружен троянс..."	+/–
	Сообщение от JL2001 (ok), 14-Июн-10, 20:48
	а для бинарных дистрибутивов надо чтоб была определена версия gcc и библиотек + сборочные параметры =-> в итоге хеш бинарника должен совпадать при сборке любым человеком с хешем в хранилище? :)
	Ответить | Правка | Наверх | Cообщить модератору

	109. "В поставке открытого IRC-сервера UnrealIRCd обнаружен троянс..."	+/–
	Сообщение от pavlinux (ok), 15-Июн-10, 00:59
	> а для бинарных дистрибутивов надо чтоб была определена версия gcc и библиотек + сборочные параметры, в итоге хеш бинарника должен совпадать при сборке любым человеком с хешем в хранилище? :) Реализуемо, но Гентушники взбунтуются. :)
	Ответить | Правка | Наверх | Cообщить модератору

	122. "В поставке открытого IRC-сервера UnrealIRCd обнаружен троянс..."	+/–
	Сообщение от User294 (ok), 15-Июн-10, 15:48
	А у гентушников и так троянец в репах вон :)
	Ответить | Правка | Наверх | Cообщить модератору

	77. "В поставке открытого IRC-сервера UnrealIRCd обнаружен троянс..."	+/–
	Сообщение от Михаил (??), 14-Июн-10, 18:07
	>[оверквотинг удален] > >Перед кнопкой Download ставить значок [Confirmed by SCOSS ] (Security Center OpenSource >Software) >Который в свою очередь, должен сравнивать чексуммы в базе и в реале. > > >Разработчики проекта должны платить в SCOSS 120$ в год за эти подписи. > > >За нарушение - Black list разработчиков и весь проект. Не сработает. Разработчики никак не придут к согласию про формат пакетов deb или rpm или еще что-то кошернее. А вы к такому глобальному подчинению призываете. Прийдет Столман и объявит это все нарушением СВОБОДЫ. :)
	Ответить | Правка | К родителю #45 | Наверх | Cообщить модератору

	78. "В поставке открытого IRC-сервера UnrealIRCd обнаружен троянс..."	+/–
	Сообщение от pavlinux (ok), 14-Июн-10, 18:38
	> А вы к такому глобальному подчинению призываете. Причём тут подчинение. Это будет иконка на сайте, но с линком на ЦУП где хранятся чексуммы. Впиндюрить у себя на сайте top mail или top100 рамблер мы можем, а [ Checksum verifed by FOSS ] религия не позволит? > Прийдет Столман и объявит это все нарушением СВОБОДЫ. Он родился через 9 дней после смерти Сталина. =-o
	Ответить | Правка | Наверх | Cообщить модератору

	116. "В поставке открытого IRC-сервера UnrealIRCd обнаружен троянс..."	+/–
	Сообщение от User294 (ok), 15-Июн-10, 12:39
	>В репозитариях систем портирования ПО обычно хранится хеш сорца; при загрузке он >проверяется. Нет никаких проблем подменив файл заменить и его хэш. Вот если там цифровые подписи - проблемы могут быть, да. Потому как приватный ключ потребный для генерации валидной подписи как бы и не обязан быть доступен...
	Ответить | Правка | К родителю #31 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема