Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

В исходных текстах FTP-сервера vsftpd обнаружен бэкдор, opennews (?), 04-Июл-11, (0) [смотреть все] Very, Very Secure FTP , indig0z (?), 15:30 , 04-Июл-11, (1) +10 // gpg BAD signature -- какбы намекает нам на то что чам vsftp не поражёнмало, Аноним123321 (ok), 03:44 , 05-Июл-11, (87) +5 EPIC FAIL, Аноним (-), 15:37 , 04-Июл-11, (4) –15 // А по-моему это отличный пример того, что подписи GPG detached signatures на up, solardiz (ok), 03:41 , 05-Июл-11, (86) +3 // По анализу архива, возможно до 3-4 дней http www openwall com lists oss-secur, solardiz (ok), 08:48 , 05-Июл-11, (88) +1 да для всех, кто не проверяет подписи , anonymous (??), 14:20 , 05-Июл-11, (100) в конце окажется, что взломали FTP хостинга, а FTP сервер там был не VS и разра, Denisiuk (ok), 15:46 , 04-Июл-11, (7) +4 Это такая скрытая реклама Не будет нас, будет как снами , Аноним (-), 16:07 , 04-Июл-11, (11) –1 Жаль, для таких проектов нужно иметь собственный сервер в стойке ДЦ или надежный, Аноним (-), 16:09 , 04-Июл-11, (12) +1   // Ты много спонсорской помощи проекту оказал Там кнопка PayPal было бы желание , PavelR (??), 16:25 , 04-Июл-11, (15) +1   Нда При том что оригинальные подписи остальсь нетронутыми и получив пакет сорцо, Джон (?), 16:31 , 04-Июл-11, (17) –9   // vsftpd имеет такое же отношение к Linux как и к FreeBSD , koblin (ok), 16:36 , 04-Июл-11, (18) +5   // Суть не в оси, а в подходе Фря чуть более параноидальна или продуманна кому, nikll (ok), 16:46 , 04-Июл-11, (19) –8   Во-первых, в любом линуксовом дистрибутиве есть проверка подписей пакетов Во-вт, koblin (ok), 16:49 , 04-Июл-11, (21) +3   Плюсую Дистриб, где софт ставится из сорцов Вот это тру , Миксер (?), 16:50 , 04-Июл-11, (22) –5   При чём тут исходники, ты их каждый раз на бэкдоры проверяешь перед установкой, , Аноним (-), 18:09 , 04-Июл-11, (33)   И много трушные перцы сорцев перечитали И как, в вашем, трушном - версия с спло, Аноним (-), 23:57 , 04-Июл-11, (63) +1   ну я в gentoo проверил сорцы сразу же ибо пользую vsftpd на продакшене а sha25, Mike Lee (?), 12:17 , 05-Июл-11, (95) +1   Ребят, тут рядом про openssh в последней серверной фре Почитайте, а потом пр, Michael Shigorin (ok), 20:21 , 05-Июл-11, (105) +1   Толсто Была устаревшая, пятилетней давности, 4-тая ветка , universite (ok), 23:21 , 05-Июл-11, (109) –1   У бздельников всегда так Попробуйте тоньше Факта наличия дыры это не отменяет , Аноним (-), 00:18 , 06-Июл-11, (110) –1   То бишь не найден Как найдете - опубликуйте свои исследованияБаги есть везде,, universite (ok), 00:44 , 06-Июл-11, (114)   а в чём проблема я не понимаю у бздюшников, что ли, принято патчить чем попало, anonymous (??), 09:40 , 06-Июл-11, (126) –1   Вообщето 4 версия фри как бы не последняя хотя для линуксоидов все может быт, nagual (ok), 13:03 , 07-Июл-11, (138)   Я-то знаю, потому и цитата в кавычки забрана Просто труъ -- это не характер, Michael Shigorin (ok), 14:26 , 07-Июл-11, (142)   По современным меркам - уже нет, как тут справедливо заметили, контрольные суммы, Аноним (-), 17:58 , 04-Июл-11, (31) +2   Не думаю что порт-коммитеры примут PR оформленный без make makesum portlint сра, жопка3 (?), 21:50 , 04-Июл-11, (43)   1 еще ни разу не встречал порты без чексумм, причем там сразу три проверки идет, nikll (ok), 10:17 , 05-Июл-11, (90) –1   О, нормально так А если вам ногу сломать - я тогда наверняка порву вас на стоме, Аноним (-), 13:42 , 05-Июл-11, (99) +1   а нормальным людям достаточно gpg 8230 , anonymous (??), 14:24 , 05-Июл-11, (102)   Более того, пересчитать контрольные суммы - элементарно А вот подогнать цифрову, Аноним (-), 00:20 , 06-Июл-11, (111)   Для ССЗБ в генте есть FEATURES digest , Аноним (-), 21:11 , 06-Июл-11, (136)   при установке из портежей также проверяются чексуммы проблема не в линуксе про, Клыкастый (ok), 22:29 , 04-Июл-11, (52) +1   Да, это так Но все они, безусловно, имеют отношение к опенсорцу, о котором и ре, Лоловой (?), 16:48 , 04-Июл-11, (20) –3   Много где, помимо фряхи, есть такая защита Непонятно с какой целю ее вытащили и, koblin (ok), 16:52 , 04-Июл-11, (24)   это жалкие потуги поговорить о freebsd vs linux Фан бой не знает про подписи в , szh (ok), 18:01 , 04-Июл-11, (32) +3   А потом они еще удивляются когда окружающие считают что бред про freebsd однозна, Аноним (-), 01:12 , 05-Июл-11, (79)   Я не знаю про федору, но на ней точно свет клином не сошелся Попробуй в генте ч, Alen (??), 17:04 , 04-Июл-11, (26) +1   В генте исходники не подписываются либо немногочисленные подписи не проверяются, коксюзер (?), 19:59 , 04-Июл-11, (39)   В debian тоже не обязательно иметь хэши в пакете Пакет ставится и без нихы, вш9 (?), 21:51 , 04-Июл-11, (44)   Там не только хеш, но и полноценная цифровая подпись Без нее конечно можно пост, Аноним (-), 00:00 , 05-Июл-11, (65)   Где это, уважаемый, я говорил про подписанные исходники Я вообще считаю что абсо, Alen (??), 21:56 , 04-Июл-11, (45)   Мечтать не вредно - они уже отгружали UnrealIRCD с сплойтом от Acid Bitches На , Аноним (-), 01:09 , 05-Июл-11, (77) +1   paxuser, перелогинься , Аноним (-), 01:07 , 05-Июл-11, (75) –1   А смысл И так ясно, что это я , коксюзер (?), 13:06 , 05-Июл-11, (96) +2   Спасибо , wechat (?), 02:48 , 06-Июл-11, (119)   Имхо, метадата там генерится на основе скачаных сорцов самим мантейнером Откуда, Анон9 (?), 20:02 , 04-Июл-11, (40)   Примеры того к чему это ведет - тут http www opennet ru opennews art shtml nu, Аноним (-), 01:11 , 05-Июл-11, (78)   md5 уже не проверяется, и контрольные суммы не создаются если только мейнтейнер, t (??), 17:24 , 04-Июл-11, (28)   Фанатики фрибсд такие фанатики О линуксе знают только понаслышке, да FYI в л, Аноним (-), 17:56 , 04-Июл-11, (29) +1   // Как говорится, не холиавра ради, а для поинтересоваться лишь Считаете ли вы, чт, Отсутствуют данные в поле Name (?), 18:25 , 04-Июл-11, (34) –3   В указанном случае они однофигственны оба проверяют чексуммы и подписи , Аноним (-), 01:02 , 05-Июл-11, (73) +1   Нет , wechat (?), 02:51 , 06-Июл-11, (120)   Так все таки как оно в бинари пролезло и как давно , nagual (ok), 20:24 , 04-Июл-11, (42)   Где Вы нашли бинари В новости речь идёт о пакете с _исходным кодом_ для котор, Аноним (-), 23:57 , 04-Июл-11, (64)   Сгенерить md5 и sha - легко, потом откуда берутся эти хеши, с сайта, который взл, анонимомус (?), 18:26 , 04-Июл-11, (35)   Попробуйте в Gentoo Linux подменить сорцы Увидите что получится , Eugene.Shiyanov (?), 22:20 , 04-Июл-11, (50)   // Что-то я стормозил выше об этом уже сказали , Eugene.Shiyanov (?), 22:24 , 04-Июл-11, (51)   Мы уже увидели как гентусятники раздали Unreal IRCD С бэкдором от AcidBitches , Аноним (-), 00:59 , 05-Июл-11, (72)   Ты хотя бы Gentoo живую в глаза собственную видел , wechat (?), 02:53 , 06-Июл-11, (121)   запускающий shell на TCP-порту 6200 при наличии в имени пользователя смайлика , Аноним (-), 16:55 , 04-Июл-11, (25) // Так шелл был вставлен в функцию str_contains_space Т е передаем имя несуществу, анонимный аноним (?), 17:09 , 04-Июл-11, (27) Так далеко не каждый пользователь - хаксор , Аноним (-), 00:56 , 05-Июл-11, (71) gpg BAD signature вместо gpg Good signature Спасибо, Кэп , Имени нету (?), 17:57 , 04-Июл-11, (30) +2 Странно почему доступно в именах пользователя Я думал - это запрещённы, Аноним (-), 19:47 , 04-Июл-11, (36) // а пользователь не обязательно должен существовать, в строке ввода должен присутс, Sylvia (ok), 19:54 , 04-Июл-11, (38) +1 Всё логично легальные пользователи не взведут случайно бэкдорный шелл , Клыкастый (ok), 22:32 , 04-Июл-11, (53) // случайно постучавшись на порт 6200 а так да, yopt (ok), 23:23 , 04-Июл-11, (57) –1 // FTP работает на стандартном порту, на 6200 открывается шелл, WhiteWind (ok), 03:01 , 05-Июл-11, (83) учитывая то, что бэкдор не претендует на серьезность, это просто демонстрация то, Sylvia (ok), 19:52 , 04-Июл-11, (37) // Обычно те кто сильно много верещит о безопасности, потом за это страдают Это ка, Аноним (-), 22:12 , 04-Июл-11, (47) // А причём здесь dj Ошибку же не в исходном коде vsftpd нашли, а в его хостинге , Аноним (-), 23:49 , 04-Июл-11, (60) // Безопасность имеет 2 уровня hi и нехай , Аноним (-), 00:55 , 05-Июл-11, (70) +3 Вы доверяете своему провайдеру DNS , Аноним (-), 10:57 , 05-Июл-11, (93) Мы доверяем, но проверяем В случае каких либо подозрений делается многоточечная, Аноним (-), 00:36 , 06-Июл-11, (112) cat usr portage net-ftp vsftpd Manifest 124 grep vsftpd-2 3 4 tar gzDIST v, Пиу (?), 20:07 , 04-Июл-11, (41) +1 Еще один дятел проверил на себе что бывает когда соседнего пионера разломали Ма, Аноним (-), 22:08 , 04-Июл-11, (46) Объясните мне в чем сила цифровой подписи Чем она может помочь в случае взлома, Аноним (-), 22:13 , 04-Июл-11, (48) // В продолжение Для дистрибутивов все ясно, проверочный публичный ключ изначально, Аноним (-), 22:16 , 04-Июл-11, (49) // Во-первых, лично я там его не нашел, киньте ссылку плз Во-вторых, каким нужно бы, Аноним (-), 23:05 , 04-Июл-11, (56) +1 К сожалению, вы ничего не понимаете в принципах работы криптографии с открытым к, Аноним (-), 23:02 , 04-Июл-11, (55) // Вы не поняли Закрытый ключ здесь вообще не причем Мне не нужен чужой закрытый , Аноним (-), 23:43 , 04-Июл-11, (58) // Вам всего лишь нужно заменить ключи на всех серверах ключей причём старые ключи, Аноним (-), 23:52 , 04-Июл-11, (61) А также удалить все ключи у тех кто их уже скачал и объяснить почему ключ измени, Аноним (-), 00:53 , 05-Июл-11, (68) К сожалению, вы ничего не понимайте в механизмах социальной инжинерии Для того , Аноним (-), 23:48 , 04-Июл-11, (59) –1 // Когда вы наконец прочитаете документацию то сможете узнать что ключ могут подпис, Аноним (-), 23:55 , 04-Июл-11, (62) Ну елки палки, разжёвываю Если удалось подменить архив, то можно подписать его , Аноним (-), 00:01 , 05-Июл-11, (66) +1 Собственно, на этом история взлома и закончится, коварный злодейский замысел б, Аноним (-), 00:43 , 05-Июл-11, (67) И каким образом криптография в действии поможет определить подставной характер, Аноним (-), 02:25 , 05-Июл-11, (80) Для юзеров придуманы репы Если вы совсем уж Пупкин, на кой черт вам сорц Так и, Аноним (-), 03:30 , 05-Июл-11, (84) после чего у окружающих будет много вопросов - а какого, собственно, не подх, Аноним (-), 00:54 , 05-Июл-11, (69) +1 Для этого и ломают через полгода после релиза, чтобы постоянных клиентов отсеять, Аноним (-), 02:29 , 05-Июл-11, (81) Вы привели всем известную очевидную вещь о которой GPG кричит при любой проверке, Аноним (-), 11:01 , 05-Июл-11, (94) И кто мешает взломщику использовать свой полноценный заверенный ключ Ключ злоу, Аноним (-), 13:10 , 05-Июл-11, (97) Наверное, 1 Необходимость чтобы этот ключ заверили, а это еще не факт что сдела, Аноним (-), 00:38 , 06-Июл-11, (113) С этим никак проблем, можно и украденный ключ использовать, их тонны можно набра, Аноним (-), 09:15 , 06-Июл-11, (125) –1 Проверил у себя на серверах с Gentoo 1 Бэкдор не работает 2 Аудит кода обрабо, bircoph (ok), 01:09 , 05-Июл-11, (76) // чётко значит не успели черпануть с другой стороны в полный росто встаёт вопрос, Клыкастый (ok), 02:34 , 05-Июл-11, (82) // Серьезные дистры ведут анализ изменений софта по пакетам Это гентусятники всяки, Аноним (-), 03:31 , 05-Июл-11, (85) –2 // в FreeBSD есть секурити тим и аудит пакетов - хотя казалось бы та же петрушка в , Клыкастый (ok), 10:50 , 05-Июл-11, (92) угу, а еще держат протухший софт и сами пытаются бекпартировать секюрные патчи, , Аноним (-), 13:12 , 05-Июл-11, (98) В случае дебиана - не все так однозначно их програмеры увидели возможную оптими, Аноним (-), 00:50 , 06-Июл-11, (115) Тем не менее, авторы openssl не стали включать эту возможность в апстрим, а не н, bircoph (ok), 03:15 , 06-Июл-11, (122) поразительно, сколько слов, маскирующих неправду а теперь правда 8212 как её, anonymous (??), 09:55 , 06-Июл-11, (129) Вы передергивайте, отладка - лишь цепляние к словам и отговорка В том коде че, Аноним (-), 13:01 , 06-Июл-11, (131) дадада когда говорят 171 для отладки можно 187 8212 это, конечно, значит, anonymous (??), 14:22 , 06-Июл-11, (132) Вы желчью попусту не истекайте, а вместо пустого трепа ссылку про упоминание тол, Аноним (-), 17:52 , 06-Июл-11, (134) я и не собираюсь тратить время на повторные поиски успокойся, всё нормально, бе, anonymous (??), 18:11 , 06-Июл-11, (135) кстати, камент выше 8212 реакция типического бебианщка 171 в гуано могут в, anonymous (??), 14:24 , 06-Июл-11, (133) Именно этим альт примерно до Master 2 4 включительно и занимался, в числе прочег, Michael Shigorin (ok), 20:31 , 05-Июл-11, (106) По-любому vsftpd ze best , Axel (??), 10:46 , 05-Июл-11, (91) // SFTP the best FTP TELNET RLOGIN - каменный век , Аноним (-), 15:06 , 05-Июл-11, (104) +1 // Для анонимной отдачи годится, хотя латентность у HTTP поменьше А вот чем rw ft, Michael Shigorin (ok), 20:33 , 05-Июл-11, (107) // Нагрузка на проц из-за ssh на хорошем канале , Sergey Kovalyov (?), 01:29 , 06-Июл-11, (118) Ммм да, ты прав, на десятке и без сжатия упирается в одно ядро 2 93GHz 95 9, Michael Shigorin (ok), 21:15 , 06-Июл-11, (137) Если это интел атом то и нагрузка на проц от ssh и нагрузка на проц от сетевой и, nagual (ok), 13:06 , 07-Июл-11, (139) AFAIK нет, просто слабенький CPU не так скрадывает ущербность какого rtl8168 , Michael Shigorin (ok), 14:29 , 07-Июл-11, (143) Не всегда Попробуйте гигабитный канал, да еще с слабого нетбука например Когда, Аноним (-), 00:51 , 06-Июл-11, (116) Что-то бекдор не работает На любые команды ругается command not found bin ls , Аноним (-), 23:15 , 05-Июл-11, (108) // Use strace, Luke , Аноним (-), 00:52 , 06-Июл-11, (117) // Да нифига он не работает в том виде что он есть Ну то есть соединение принимает, Аноним (-), 05:11 , 06-Июл-11, (123) // А не работает, но как-то частично Нормально только echo заработало, типа echo a, Аноним (-), 05:18 , 06-Июл-11, (124) наверное потому, что ls и ты пы 8212 вовсе не 171 башевские команды 187 , , anonymous (??), 09:42 , 06-Июл-11, (127) 1,4,7,11,12,25,30,36,37,41,46,48,76,91,108

Сообщения

[Сортировка по времени | RSS]

12. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+1 +/–
Сообщение от Аноним (-), 04-Июл-11, 16:09
Жаль, для таких проектов нужно иметь собственный сервер в стойке ДЦ или надежный хостинг от крупных компаний. А не винить потом хостинг.
Ответить | Правка | Наверх | Cообщить модератору

	15. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+1 +/–
	Сообщение от PavelR (??), 04-Июл-11, 16:25
	Ты много спонсорской помощи проекту оказал? Там кнопка PayPal (было бы желание) слева на сайте есть...
	Ответить | Правка | Наверх | Cообщить модератору

	17. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	–9 +/–
	Сообщение от Джон (?), 04-Июл-11, 16:31
	Нда. При том что оригинальные подписи остальсь нетронутыми и получив пакет сорцов можно легко проверить что чексуммы не совпадают... Линукс такой линукс... Толи дело freebsd - оно даже не подумает ставить софт, если md5 и sha сорцов не будут оригинальными, которые автор порта вписал в порт в день его создания.
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	18. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+5 +/–
	Сообщение от koblin (ok), 04-Июл-11, 16:36
	vsftpd имеет такое же отношение к Linux как и к FreeBSD..
	Ответить | Правка | Наверх | Cообщить модератору

	19. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	–8 +/–
	Сообщение от nikll (ok), 04-Июл-11, 16:46
	Суть не в оси, а в подходе. Фря чуть более "параноидальна"или "продуманна" (кому как нравится) в этом плане.
	Ответить | Правка | Наверх | Cообщить модератору

	21. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+3 +/–
	Сообщение от koblin (ok), 04-Июл-11, 16:49
	> Суть не в оси, а в подходе. Фря чуть более "параноидальна"или "продуманна" > (кому как нравится) в этом плане. Во-первых, в любом линуксовом дистрибутиве есть проверка подписей пакетов. Во-вторых, тут речь идет о распространении исходников программы безотносительно какого-либо дистрибутива или платфоры.
	Ответить | Правка | Наверх | Cообщить модератору

	22. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	–5 +/–
	Сообщение от Миксер (?), 04-Июл-11, 16:50
	> Суть не в оси, а в подходе. Фря чуть более "параноидальна"или "продуманна" > (кому как нравится) в этом плане. Плюсую. Дистриб, где софт ставится из сорцов. Вот это тру.
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	33. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от Аноним (-), 04-Июл-11, 18:09
	При чём тут исходники, ты их каждый раз на бэкдоры проверяешь перед установкой, что ли? Речь о том, что проверка контрольной суммы (не важно чего, исходников или бинарников) — штука полезная.
	Ответить | Правка | Наверх | Cообщить модератору

	63. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+1 +/–
	Сообщение от Аноним (-), 04-Июл-11, 23:57
	> Плюсую. Дистриб, где софт ставится из сорцов. Вот это тру. И много трушные перцы сорцев перечитали? И как, в вашем, трушном - версия с сплойтом или без? Вы хотя-бы знаете это? :)
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	95. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+1 +/–
	Сообщение от Mike Lee (?), 05-Июл-11, 12:17
	ну я в gentoo проверил сорцы сразу же. ибо пользую vsftpd на продакшене. а sha256 и md5 само проверяется так же как и в хваленой бзде.
	Ответить | Правка | Наверх | Cообщить модератору

	105. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+1 +/–
	Сообщение от Michael Shigorin (ok), 05-Июл-11, 20:21
	> Плюсую. Дистриб, где софт ставится из сорцов. Вот это тру. Ребят, тут рядом про openssh в "последней серверной фре".  Почитайте, а потом продолжайте говорить штампами... если захочется.
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	109. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	–1 +/–
	Сообщение от universite (ok), 05-Июл-11, 23:21
	Толсто. Была устаревшая, пятилетней давности, 4-тая ветка.
	Ответить | Правка | Наверх | Cообщить модератору

	110. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	–1 +/–
	Сообщение от Аноним (-), 06-Июл-11, 00:18
	> Толсто. У бздельников всегда так. Попробуйте тоньше. > Была устаревшая, пятилетней давности, 4-тая ветка. Факта наличия дыры это не отменяет; более того, факт отсутствия этой дыры в более новых версиях не был анонсирован. И если учесть что сложность freebsd 8 существенно выше - можно ожидать что багов в ней еще больше. Не боитесь что однажды будет мучительно стыдно за распостранение дезы? А то местные параноики как-то невысокого мнения о секурити фичах фри, а гента и вовсе облажалась с раздачей пробэкдореного софта.
	Ответить | Правка | Наверх | Cообщить модератору

	114. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от universite (ok), 06-Июл-11, 00:44
	>> Толсто. > У бздельников всегда так. Попробуйте тоньше. >> Была устаревшая, пятилетней давности, 4-тая ветка. > Факта наличия дыры это не отменяет; более того, факт отсутствия этой дыры > в более новых версиях не был анонсирован. То бишь не найден. :) Как найдете - опубликуйте свои исследования > И если учесть что > сложность freebsd 8 существенно выше - можно ожидать что багов в > ней еще больше. Не боитесь что однажды будет мучительно стыдно за > распостранение дезы? А то местные параноики как-то невысокого мнения о секурити > фичах фри, а гента и вовсе облажалась с раздачей пробэкдореного софта. Баги есть везде, но некоторые не хотят их замечать. А некоторые не могут обновиться. Тут есть полно любителей Линукса, которые любят патчить ядро. Через полгода вы сможете вспомнить, откуда вы брали патчи? Сможете их накатить на новую версию ядра?
	Ответить | Правка | Наверх | Cообщить модератору

	126. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	–1 +/–
	Сообщение от anonymous (??), 06-Июл-11, 09:40
	> Тут есть полно любителей Линукса, которые любят патчить ядро. > Через полгода вы сможете вспомнить, откуда вы брали патчи? > Сможете их накатить на новую версию ядра? а в чём проблема? я не понимаю: у бздюшников, что ли, принято патчить чем попало, даже не сохраняя лог работ, адреса, откуда взяли патчи и краткие замечания, зачем тот или иной патч накатили? если так — не надо думать, что остальные привыкли поступать так же.
	Ответить | Правка | Наверх | Cообщить модератору

	138. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от nagual (ok), 07-Июл-11, 13:03
	>> Плюсую. Дистриб, где софт ставится из сорцов. Вот это тру. > Ребят, тут рядом про openssh в "последней серверной фре".  Почитайте, а > потом продолжайте говорить штампами... если захочется. Вообщето 4 версия фри как бы не последняя ... хотя для линуксоидов все может быть :-))
	Ответить | Правка | К родителю #105 | Наверх | Cообщить модератору

	142. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от Michael Shigorin (ok), 07-Июл-11, 14:26
	Я-то знаю, потому и цитата в кавычки забрана. :) Просто "труъ" -- это не характеристика, а эмоции.  Что-то из жаргона техноблондинов, переобщавшихся с Эллочкой-людоедкой.
	Ответить | Правка | Наверх | Cообщить модератору

	31. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+2 +/–
	Сообщение от Аноним (-), 04-Июл-11, 17:58
	> Суть не в оси, а в подходе. Фря чуть более "параноидальна"или "продуманна" > (кому как нравится) в этом плане. По современным меркам - уже нет, как тут справедливо заметили, контрольные суммы считаются только при явном указании от мейнтейнера. В отличие от более продуманного линукса, в котором нужно сильно попотеть, чтобы отключить чексуммы :-)
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	43. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от жопка3 (?), 04-Июл-11, 21:50
	Не думаю что порт-коммитеры примут PR оформленный без make makesum. portlint сразу же за это скушает
	Ответить | Правка | Наверх | Cообщить модератору

	90. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	–1 +/–
	Сообщение от nikll (ok), 05-Июл-11, 10:17
	> Не думаю что порт-коммитеры примут PR оформленный без make makesum. portlint сразу > же за это скушает +1 еще ни разу не встречал порты без чексумм, причем там сразу три проверки идет md5 sha256 и размер в байтах, левый архив сорцов не пройдет, фря просто начнет ругатся и откажется ставить этот порт (хотя при желании можно снести файл distinfo и поставить с левого архива, если сииильно хочется то можно и в ногу выстрелить) центос просто выводит сообщение о несответствиях чексуммы (среди прочего вывода) и устанавливает (yum -y т.к. палец давить на [y] устанет пока на каждый глупый вопрос ответишь)
	Ответить | Правка | Наверх | Cообщить модератору

	99. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+1 +/–
	Сообщение от Аноним (-), 05-Июл-11, 13:42
	> (yum -y т.к. палец давить на [y] устанет пока на каждый > глупый вопрос ответишь) О, нормально так. А если вам ногу сломать - я тогда наверняка порву вас на стометровке! Правда это будет не совсем честное соревнование ;)
	Ответить | Правка | Наверх | Cообщить модератору

	102. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от anonymous (??), 05-Июл-11, 14:24
	> md5 sha256 и размер в байтах а нормальным людям достаточно gpg…
	Ответить | Правка | К родителю #90 | Наверх | Cообщить модератору

	111. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от Аноним (-), 06-Июл-11, 00:20
	>> md5 sha256 и размер в байтах > а нормальным людям достаточно gpg… Более того, пересчитать контрольные суммы - элементарно. А вот подогнать цифровую подпись без изменения ключа и не обладая приватной половиной ключа - проблематично, знаете ли.
	Ответить | Правка | Наверх | Cообщить модератору

	136. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от Аноним (-), 06-Июл-11, 21:11
	> В отличие от более продуманного линукса, в котором нужно сильно попотеть, чтобы отключить чексуммы :-) Для ССЗБ в генте есть FEATURES="digest"
	Ответить | Правка | К родителю #31 | Наверх | Cообщить модератору

	52. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+1 +/–
	Сообщение от Клыкастый (ok), 04-Июл-11, 22:29
	при установке из портежей также проверяются чексуммы. проблема не в линуксе. проблема в механизме установки софта. далее вопрос: а если бы взломщики поправили чексуммы?
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	20. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	–3 +/–
	Сообщение от Лоловой (?), 04-Июл-11, 16:48
	> vsftpd имеет такое же отношение к Linux как и к FreeBSD.. Да, это так. Но все они, безусловно, имеют отношение к опенсорцу, о котором и речь. И если на фряхе есть защита от такого косяка, то, как удалось выяснить, на fedora 13 нету - там запросто системный инсталер проинсталил софт из пакета с явно битыми чексуммами. Вот вам и лол.
	Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

	24. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от koblin (ok), 04-Июл-11, 16:52
	Много где, помимо фряхи, есть такая защита. Непонятно с какой целю ее вытащили из чулана в этом топике.
	Ответить | Правка | Наверх | Cообщить модератору

	32. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+3 +/–
	Сообщение от szh (ok), 04-Июл-11, 18:01
	это жалкие потуги поговорить о freebsd vs linux. Фан бой не знает про подписи в rpm и в deb.
	Ответить | Правка | Наверх | Cообщить модератору

	79. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от Аноним (-), 05-Июл-11, 01:12
	> это жалкие потуги поговорить о freebsd vs linux. Фан бой не знает > про подписи в rpm и в deb. А потом они еще удивляются когда окружающие считают что бред про freebsd однозначно детектирует школоло.
	Ответить | Правка | Наверх | Cообщить модератору

	26. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+1 +/–
	Сообщение от Alen (??), 04-Июл-11, 17:04
	Я не знаю про федору, но на ней точно свет клином не сошелся! Попробуй в генте что ни будь установить с различающимися контрольными суммами исходников ибилдов патчей, да хоть файла с инфрмацией о пакете :)
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	39. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от коксюзер (?), 04-Июл-11, 19:59
	> Я не знаю про федору, но на ней точно свет клином не > сошелся! Попробуй в генте что ни будь установить с различающимися контрольными > суммами исходников ибилдов патчей, да хоть файла с инфрмацией о пакете > :) В генте исходники не подписываются (либо немногочисленные подписи не проверяются автоматически), как и все другие файлы дерева. Если взломщик получил доступ к ебилдам, он и дайджест поправит. Более того, для модификации файлов eclass'ов не нужно даже дайджест менять, поскольку он для eclass'ов не считается. Вот вам и гента. Единственный, сколько-нибудь надёжный способ удостоверить целостность и аутентичность файлов дерева portage - получаеть его снэпшотами через emerge-webrsync с включённой и настроенной фичей webrsync-gpg. -- Пользователь Hardened Gentoo
	Ответить | Правка | Наверх | Cообщить модератору

	44. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от вш9 (?), 04-Июл-11, 21:51
	В debian тоже не обязательно иметь хэши в пакете. Пакет ставится и без нихы
	Ответить | Правка | Наверх | Cообщить модератору

	65. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от Аноним (-), 05-Июл-11, 00:00
	> В debian тоже не обязательно иметь хэши в пакете. Пакет ставится и без нихы Там не только хеш, но и полноценная цифровая подпись. Без нее конечно можно поставить, но по дефолту менеджеры пакетов на проблемы подписи верещат от всей души. Так что хаксор будет запален в первые же 10 минут после диверсии.
	Ответить | Правка | Наверх | Cообщить модератору

	45. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от Alen (??), 04-Июл-11, 21:56
	Где это, уважаемый, я говорил про подписанные исходники? Я вообще считаю что абсолютной защиты не существует! Однако в данном случае (внесение изменений в уже выложенную версию) безопасности генты вполне хватило бы для защиты системы от установки попатченной версии.
	Ответить | Правка | К родителю #39 | Наверх | Cообщить модератору

	77. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+1 +/–
	Сообщение от Аноним (-), 05-Июл-11, 01:09
	> безопасности генты вполне хватило бы для защиты системы от установки > попатченной версии. Мечтать не вредно - они уже отгружали UnrealIRCD с сплойтом от Acid Bitches. На что их там хватило? Отгрузить забэкдореный сервер? Так и еще раз хватит таким манером.
	Ответить | Правка | Наверх | Cообщить модератору

	75. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	–1 +/–
	Сообщение от Аноним (-), 05-Июл-11, 01:07
	> -- Пользователь Hardened Gentoo paxuser, перелогинься.
	Ответить | Правка | К родителю #39 | Наверх | Cообщить модератору

	96. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+2 +/–
	Сообщение от коксюзер (?), 05-Июл-11, 13:06
	>> -- Пользователь Hardened Gentoo > paxuser, перелогинься. А смысл? И так ясно, что это я. ;)
	Ответить | Правка | Наверх | Cообщить модератору

	119. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от wechat (?), 06-Июл-11, 02:48
	>-- Пользователь Hardened Gentoo Спасибо.
	Ответить | Правка | К родителю #39 | Наверх | Cообщить модератору

	40. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от Анон9 (?), 04-Июл-11, 20:02
	Имхо, метадата там генерится на основе скачаных сорцов самим мантейнером. Откуда он скачал этот сорец,  если в ебилде стоит mirror, известно только самому мантейнеру.
	Ответить | Правка | К родителю #26 | Наверх | Cообщить модератору

	78. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от Аноним (-), 05-Июл-11, 01:11
	> самому мантейнеру. Примеры того к чему это ведет - тут: https://www.opennet.ru/opennews/art.shtml?num=26945
	Ответить | Правка | Наверх | Cообщить модератору

	28. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от t (??), 04-Июл-11, 17:24
	md5 уже не проверяется, и контрольные суммы не создаются. если только мейнтейнер порта явно не перечислит asc-файлы в distinfo.
	Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

	29. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+1 +/–
	Сообщение от Аноним (-), 04-Июл-11, 17:56
	> При том что оригинальные подписи остальсь нетронутыми и получив пакет сорцов > можно легко проверить что чексуммы не совпадают... Линукс такой линукс... Толи > дело freebsd - оно даже не подумает ставить софт, если md5 > и sha сорцов не будут оригинальными, которые автор порта вписал в > порт в день его создания. Фанатики фрибсд такие фанатики... О линуксе знают только понаслышке, да. FYI: в любом нормальном линуксовом дистре для всех пакетов считаются хеши, которые, в свою очередь, подписываются ключами репозитария. Пакетный менеджер (например, rpm), без указания кучи параметров типа (--force --nomd5 --nodigest --nosignature), никогда не поставит битый пакет.
	Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

	34. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	–3 +/–
	Сообщение от Отсутствуют данные в поле Name (?), 04-Июл-11, 18:25
	Как говорится, не холиавра ради, а для поинтересоваться лишь. Считаете ли вы, что rpm лучше, чем  deb?
	Ответить | Правка | Наверх | Cообщить модератору

	73. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+1 +/–
	Сообщение от Аноним (-), 05-Июл-11, 01:02
	> Как говорится, не холиавра ради, а для поинтересоваться лишь. Считаете ли вы, > что rpm лучше, чем  deb? В указанном случае они однофигственны: оба проверяют чексуммы и подписи.
	Ответить | Правка | Наверх | Cообщить модератору

	120. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от wechat (?), 06-Июл-11, 02:51
	>Как говорится, не холиавра ради, а для поинтересоваться лишь. Считаете ли вы, что rpm лучше, чем  deb? Нет.
	Ответить | Правка | К родителю #34 | Наверх | Cообщить модератору

	42. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от nagual (ok), 04-Июл-11, 20:24
	Так все таки как оно в бинари пролезло ? и как давно ?
	Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

	64. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от Аноним (-), 04-Июл-11, 23:57
	> Так все таки как оно в бинари пролезло ? и как давно ? Где Вы нашли "бинари"? В новости речь идёт о пакете с _исходным кодом_ для которого даже чексумма не сошлась.
	Ответить | Правка | Наверх | Cообщить модератору

	35. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от анонимомус (?), 04-Июл-11, 18:26
	Сгенерить md5 и sha - легко, потом откуда берутся эти хеши, с сайта, который взломали, или со скаченного файла с того же самого сайта? Хеши в основном для проверки, что файл не изменился/не сломался по дороге. В арче в pkgbuild'ах тоже прописаны md5, когда хочется собрать пакет с новой версией, обычно скачиваются новые исходники и генерятся хеши. Другое дело цифровая подпись, ее без приватного ключа не сгенерить.
	Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

	50. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от Eugene.Shiyanov (?), 04-Июл-11, 22:20
	Попробуйте в Gentoo Linux подменить сорцы. Увидите что получится.
	Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

	51. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от Eugene.Shiyanov (?), 04-Июл-11, 22:24
	Что-то я стормозил :) выше об этом уже сказали :)
	Ответить | Правка | Наверх | Cообщить модератору

	72. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от Аноним (-), 05-Июл-11, 00:59
	> Попробуйте в Gentoo Linux подменить сорцы. Увидите что получится. Мы уже увидели как гентусятники раздали Unreal IRCD. С бэкдором от AcidBitches. Не вижу что помешает тамошним майнтайнерам повторить подвиг для чуточку более популярного vsftpd.
	Ответить | Правка | К родителю #50 | Наверх | Cообщить модератору

	121. "В исходных текстах FTP-сервера vsftpd обнаружен бэкдор"	+/–
	Сообщение от wechat (?), 06-Июл-11, 02:53
	>> Попробуйте в Gentoo Linux подменить сорцы. Увидите что получится. > Мы уже увидели как гентусятники раздали Unreal IRCD. С бэкдором от AcidBitches. > Не вижу что помешает тамошним майнтайнерам повторить подвиг для чуточку более > популярного vsftpd. Ты хотя бы Gentoo живую в глаза собственную видел?
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема