Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Эксперимент по получению контроля над пакетами в репозитории AUR, opennews (??), 27-Окт-22, (0) [смотреть все] Проблемы AUR-помойки, не , Аноним (1), 14:13 , 27-Окт-22, (1) –2 // Да, но хороший повод проверить свою помойку , keydon (ok), 14:15 , 27-Окт-22, (3) +10 // http apt pashev ru, ip1982 (ok), 17:07 , 27-Окт-22, (39) –1 // Они заскамили никому не нужные мертвые пакеты, которые не удалили потому что все, ВлезВВетку (?), 17:25 , 27-Окт-22, (48) +6 да тут ситуация ваще вахх, прикинь из этих 20 пакетов 2 брошены и 4 удаленыmesen, Аноним (101), 21:52 , 27-Окт-22, (101) +1 лет 5-6 сидел в Арче, AUR не нужен а с появлением void и весь арч не нужен , лютый жабби.... (?), 14:33 , 27-Окт-22, (11) –8 // Один ты тут самый нужный НЕТ , Аноним (24), 15:34 , 27-Окт-22, (24) +3 Без AURопомойки на Арче пц как грустно, там в официальных репах пакетов кот напл, I.F.K. (?), 16:51 , 27-Окт-22, (31) +8 // Спасибо, кэп , Diozan (ok), 17:11 , 27-Окт-22, (43) +1 Согласен, но аргументация в стиле ынтыпрайз это круто и надежно, потому что это, Аноним (75), 19:19 , 27-Окт-22, (75) Мало ли что там в принципах, декларировать - не значит исполняется всеми на прак, I.F.K. (?), 20:29 , 27-Окт-22, (83) ты не кэп, ты сказочник пакетов под 10к, просто не надо зацикливаться на знаком, лютый жабби.... (?), 08:20 , 28-Окт-22, (118) +1 13468 штВ переводе на дебьяновские, кстати, все 20к, ибо не разбивают пакеты на , Аноним (131), 20:55 , 28-Окт-22, (131) Любой достаточно популярный репозиторий включая всякие аппсторы и снапкрафты , , Аноним (78), 19:43 , 27-Окт-22, (78) Поэтому aur лучше использовать по минимуму, особенно когда есть флатпак Это не , Герострат (?), 14:16 , 27-Окт-22, (4) –7 // в смысле когда есть лишний десяток терабайт , Аноним (5), 14:20 , 27-Окт-22, (5) +4 // Неужели во flatpack каждая программа занимает по террабайту Или у очередного экс, Аноним (71), 18:34 , 27-Окт-22, (71) –1 // Каждая программа во flatpack занимает примерно гиг, а если ей ещё и райнтайм сво, ан (?), 19:45 , 27-Окт-22, (79) +3 Сейчас 2022 года на секундочка, чисто чтобы ты был в курсе , Аноним (99), 21:42 , 27-Окт-22, (99) –3 Канешна, точна-точна, согласно программе информационной трансформации общества, , YetAnotherOnanym (ok), 23:28 , 27-Окт-22, (111) +3 Что ты несёшь , Аноним (123), 11:05 , 28-Окт-22, (123) Даже когда есть лишний десяток терабайт, ему можно найти применение получше , Michael Shigorin (ok), 21:13 , 27-Окт-22, (93) –2 Всё много проще, Arch не продакшон дистр, лучше вообще его не использовать для с, Мимокрокодил (?), 14:25 , 27-Окт-22, (7) –4 // Поехали по кругу почему линукс подразумевает для своей работы сборку всего мира , Аноним (18), 15:19 , 27-Окт-22, (18) –1 // Вас тяжело парсить, получается один обзац идёт вразрез с другим, не надо так, Я не шучу (?), 16:55 , 27-Окт-22, (32) +1 Нет , Michael Shigorin (ok), 21:14 , 27-Окт-22, (94) +1 Ну как бы уже rolling release намекает насчет продакшена А на хомячий ПК, чтобы , Lost Inside (ok), 15:30 , 27-Окт-22, (23) –1 // На хомячем ПК в лучшем случае стоит сорта бубна, как правило минт В последнее вр, Мимокрокодил (?), 16:58 , 27-Окт-22, (33) –3 Ну вот у меня хомячий комп для музыки, видео, тырнет-прокрастинации, редактуры ф, Timoteo Cirkla (ok), 19:39 , 27-Окт-22, (77) +1 И Это типа аргумент против или где Не пугайте меня пожалуйста , I.F.K. (?), 20:35 , 27-Окт-22, (84) Примерно аналогично, только альт поскольку эльбрус Граждане, не толкаемся, про, Michael Shigorin (ok), 21:15 , 27-Окт-22, (95) –2 Так flatpak тоже сорт того самого , iPony129412 (?), 15:20 , 27-Окт-22, (19) Ну значит следующим номером будет Эксперимент по получению контроля над контейн, Аноним (56), 17:38 , 27-Окт-22, (56) +1 Тем не менее, оказалось, что сопровождающие около 35 пакетов в AUR используют , CCs d ukfpf jmz hjcf (?), 14:23 , 27-Окт-22, (6) +1 // Сам писал PKGBUILD для себя, и что-то даже пушил в AUR И я проверяю PKGBUILD ис, lucentcode (ok), 15:36 , 27-Окт-22, (26) +5 // gt оверквотинг удален Скажу за себя, камень не в огорода Арча, но факт есть фа, Свинкс (?), 17:08 , 27-Окт-22, (40) +1 // В Арче есть ещё неофициальные бинарные репозитории пакетов, в том числе с AUR ht, Аноним (53), 17:33 , 27-Окт-22, (53) Справедливости ради, PPA не лезет за исходным кодом в интернет пакеты там собир, Аноним (69), 18:16 , 27-Окт-22, (69) // дайте угадаю, вам не нравится github поэтому предпочитаете Microsoft Store ведь, Аноним (101), 21:02 , 27-Окт-22, (91) –1 В Snap есть механизм подтверждения разработчика Что idea собрана jetbrains, а н, Аноним (71), 18:42 , 27-Окт-22, (72) –1 // winget в современных реалиях уже зачастую удобнее Ну или MS Store тоже Из того , Роман (??), 14:41 , 28-Окт-22, (128) Судя по названиям пакетов скриптов сборки их пользовательская база - 1-2 челов, Аноним (53), 16:58 , 27-Окт-22, (34) +2   // Прошу портянку с сылками на там и только там регулярные всплывающие уязвимости , Эксперт опеннета к эксперту опеннета (?), 17:13 , 27-Окт-22, (44) +1   // Поиск по Опеннету не работает , Аноним (53), 17:34 , 27-Окт-22, (54) –1   https www google ru search q уязвим grub debian site opennet ru, Аноним (53), 17:38 , 27-Окт-22, (55) –1   Во 1х это не испрашиваемый список, а приглашение самому искать за вас озвученное, Эксперт опеннета к эксперту опеннета (?), 20:41 , 27-Окт-22, (85)   Любой немодерируемый вручную репо - помойка и потенциальная дыра, которой, пока , Аноним (8), 14:25 , 27-Окт-22, (8) +4 // Всё так И мне непонятно почему об этом никто не трубит По сути выполняется с п, Аноним (12), 14:38 , 27-Окт-22, (12) +2 // Потому что альтернатива уже есть Полностью закрытый коммерческий проприетарный , Аноним (18), 15:21 , 27-Окт-22, (20) +1 // Закрытый коммерческий код выполняет на твоей машине всякую фигню с куда большей , Аноним (53), 17:07 , 27-Окт-22, (38) –1 С них спрос есть А с анонима на гитхабе - нет, Аноним (8), 17:52 , 27-Окт-22, (59) –2 Святая наивность Чел, в любом EULA сказано, что они тебе ничего не должны и ни , Аноним (69), 18:07 , 27-Окт-22, (65) +2 ты что наивный с кого спрос тебе никто ничем не обязан, вы же поставили гало, Аноним (101), 21:26 , 27-Окт-22, (96) Давайте-ка отделим мухи от котлет Я говорю о намеренном добавлении зловредного ф, Аноним (8), 21:54 , 27-Окт-22, (102) ну вы конечно сравнили анонима мелких пакетов и корпорации с их мегапроектами,, Аноним (101), 22:30 , 27-Окт-22, (105) Вижу, мой посыл требует уточнения Я не против а даже за открытого кода, и не т, Аноним (8), 23:18 , 27-Окт-22, (109) –1 ок, мы выяснили что анонимность это проблема мелкого софта, ну или периферии для, Аноним (101), 00:05 , 28-Окт-22, (112) +1 ведь не кто же не заставляет тебя этим пользоватьсяникто не заставляет, я сам , Аноним (8), 08:13 , 28-Окт-22, (117) но разве вы не вольны использовать менее рискованный софт просто найдите то чт, Аноним (101), 12:57 , 28-Окт-22, (127) С куда меньшей, потому что коммерческая заинтересованность обычно вполне явная -, пох. (?), 17:58 , 27-Окт-22, (62) –2 Внеочередной бред Особенно про aur Зайдите на арчвики и почитайте о его сути, , Xo (?), 20:43 , 27-Окт-22, (87) –3 Внезапно, запуск любого кода, написанный не _лично тобой_ 8212 вопрос доверия, Аноним (68), 18:12 , 27-Окт-22, (68) –1 Да и модерируемый тоже От давления на модераторов до элементарных человеческих , Аноним (30), 16:48 , 27-Окт-22, (30) // Создавать в лесу систему доверия Но какое доверие может быть между буржуями Че, Аноним (53), 17:09 , 27-Окт-22, (41) –1 // Самое забавное, что это краснопузики придумали В нормальном мире банально невыг, Аноним (68), 08:36 , 28-Окт-22, (119) Так не выгодно, что ты читаешь новости про уязвимости на опеннет, запираешь двер, Аноним (129), 18:25 , 28-Окт-22, (129) Под кроватью тоже небезопасно, может из космоса каменюка прилететь, или кровать , Ананоним (?), 19:25 , 27-Окт-22, (76) Конечно, лучше быть здоровым и богатым, чем бедным и больным Только где взять р, Аноним (68), 18:18 , 27-Окт-22, (70) +1 // Не знаю Искать решение Человечеству оказались по зубам и более серьезные пробле, Аноним (8), 23:22 , 27-Окт-22, (110) // Ага, я не знаю, а человечество пусть решит Без меня Таким-то вот образом челов, Аноним (68), 08:44 , 28-Окт-22, (120) Немодерируемые репозитории годны только тогда, когда содержимое не имеет никаког, Аноним (10), 14:31 , 27-Окт-22, (10) // Открой свой платный и хоть умодерируйся , Аноним (18), 15:21 , 27-Окт-22, (21) Аддоны играх могут дергать всё, что угодно, хоть файлы из ssh в Интернет отпр, Аноним (53), 17:13 , 27-Окт-22, (45) +1 проблема высосана из пальца , burik666 (ok), 14:52 , 27-Окт-22, (13) // Да, согласин Бизопасность нинужна , Аноним (14), 14:56 , 27-Окт-22, (14) +1 // Да с тем же успехом в AUR можно закинуть скрипт с rm -rf , burik666 (ok), 15:01 , 27-Окт-22, (15) –3 // интересно есть ли при приеме пакетов тест на патч бармина , pfg21 (ok), 15:56 , 27-Окт-22, (28) Могли бы просто мейнтейнеру пакета, который ему больше не нужен, заплатить , Аноним (56), 15:35 , 27-Окт-22, (25) +2 // Могли и не платить, просто попросить Многие майнтейнеры, давно потерявшие интере, пох. (?), 16:24 , 27-Окт-22, (29) +1 // В AUR, если пакет заброшен, разрешение сопроводителя не требуется Один из довер, Аноним (53), 17:17 , 27-Окт-22, (47) +1 // я ж говорю - незачем тратить время на ненужное ненужно - его может и не запустит, пох. (?), 17:49 , 27-Окт-22, (58) +1 Могли бы создать свои пакеты, какие угодно , helloworld (?), 17:00 , 27-Окт-22, (36) // А как уговорить тебя их поставить , пох. (?), 17:54 , 27-Окт-22, (60) +1 // Ну как -- социнженерия, хайп, всё как обычно Но это заморочиться больше надо, че, Michael Shigorin (ok), 21:41 , 27-Окт-22, (97) –2 А если не в теории, а на практике, то переполнение стека в RPM5 обслуживающий пе, n00by (ok), 09:28 , 28-Окт-22, (121) Для демонстрации можно было просто в hosts прописать, зачем покупать домен , gumanzoy (?), 17:28 , 27-Окт-22, (51) // ну так интереснее, всё же реальная демонстрация сильнее, iPony129412 (?), 17:40 , 27-Окт-22, (57) +1 норм теперича есть набор утилит для тестинга репозитория на троянов в пакетах , pfg21 (ok), 15:55 , 27-Окт-22, (27) Как минимум, стоило бы запретить дальнейший приём пакетов со SKIP и установить, Аноним (37), 17:06 , 27-Окт-22, (37) +2 // Это не репозиторий, там нет пакетов Это пользовательские скрипты сборки пакетов, Аноним (53), 17:25 , 27-Окт-22, (49) +1 // Основную массу рачехомячья это не останавливает, Твая мамка (?), 20:44 , 27-Окт-22, (88) SKIP в основном используется в vcs версиях пакетов, где софтинка собирается с по, Аноним (131), 17:28 , 27-Окт-22, (50) +1 // э в чем проблема-то Сто раз так делали , пох. (?), 17:54 , 27-Окт-22, (61) +1 // Я про предложенный в новости метод с угоном доменного имени Зловредный форк выло, Аноним (131), 18:04 , 27-Окт-22, (64) +1 Оригинал, зачем форк-то Уж четыре оригинала без особого желания владельцев их д, пох. (?), 18:10 , 27-Окт-22, (66) +1 Аудитория у заброшенных пакетов где-то 3 5 калеки, форк какой-нибудь модной штук, Аноним (131), 20:23 , 27-Окт-22, (82) –1 То есть из всего AURа они нашли всего 20 пакетов, где skip исплользовался только, Аноним (42), 17:09 , 27-Окт-22, (42) +3 // А этого недостаточно, надо было бы, чтобы 20 от всего , Аноним (46), 17:16 , 27-Окт-22, (46) +1 // четырех доменов на всех желающих не хватит, конечно Тем более один уже купили , пох. (?), 18:00 , 27-Окт-22, (63) ну вот смотри, в АУРе лежет порядка 80 тысяч рецептов для сборки пакетов и тольк, Аноним (101), 20:51 , 27-Окт-22, (90) –1 кстати, посмотрел сам статус этих пакетов в АУРе этих 20-ти пакетов4 удалены и 2, Аноним (101), 21:41 , 27-Окт-22, (98) –1 // да, но это вызовет ненужное внимание тысячеглазов - чойта брошенный пакет вдруг , пох. (?), 22:22 , 27-Окт-22, (104) –1 это похоже из разряда - вложить на рубль а получить на копейку ну или каждому ан, Аноним (101), 22:56 , 27-Окт-22, (107) Чтай внимательно , Аноним (69), 18:12 , 27-Окт-22, (67) +1 // и ты в курсе для чего используют SKIP не по большей часте для пакетов типа, Аноним (101), 20:42 , 27-Окт-22, (86) В Snap и flatpak программы хотабы в изолированном окружении выполняются в snap е, Аноним (71), 18:50 , 27-Окт-22, (74) –3 // Эта изоляция де факто миф , Аноним (81), 20:06 , 27-Окт-22, (81) +2 // поскольку сделана не из синей изоленты вроде openvz, угу Скорее оградка вок, Michael Shigorin (ok), 21:44 , 27-Окт-22, (100) –2 Миф это наличие коллективного или индивидуального разума на опеннет, на самом де, Аноним (108), 23:02 , 27-Окт-22, (108) // можно взглянуть под другим угломмы здесь генерируем данные для тренировки будуще, Аноним (101), 00:18 , 28-Окт-22, (113) Если ИР прочитает комментарии на opennet, он решит что люди являются не разумным, Аноним (108), 07:25 , 30-Окт-22, (132) ну так опенсорс про то, что любой, кто умеет, может модифицировать код, и любой , Аноним (89), 20:46 , 27-Окт-22, (89) // Любой может упаковать в пакетик трендовый сет иконок и сделать свой дистрибутив,, n00by (ok), 09:41 , 28-Окт-22, (122) +1 Хакер и солонка, Аноним (92), 21:08 , 27-Окт-22, (92) +1 Странно, что про солонки никто ещё не вспомнил , Аноним (68), 11:39 , 28-Окт-22, (125) 1,4,6,8,10,13,25,27,37,42,74,89,92,125

Сообщения

[Сортировка по времени | RSS]

	34. "Эксперимент по получению контроля над пакетами в репозитории..."	+2 +/–
	Сообщение от Аноним (53), 27-Окт-22, 16:58
	Судя по названиям пакетов (скриптов сборки) их пользовательская база - 1-2 человека. И даже среди столь непопулярных пакетов лишь малый процент оказался "уязвим". Так ещё и со стороны источника. Это при том, что многие сопроводители AUR чуть ли не сами себе предоставлены. Вот это, я понимаю, профессионализм и дисциплина, горжусь арчеводами. А что до корпоративной Убунты (а точнее её базы - продакшн-рэди Дебиана). Там есть, например, такой популярный пакет - Grub2, который стоит, пожалуй, что у каждого. И в который сопроводитель добавляет свои портянки на Си, по каким-то загадочным причинам не принятые апстримом, чтобы реализовать функциональность, которую можно добавить одной строчкой на Shell. И из-за этих патчей там (и только там) регулярно всплывают уязвимости. Но что-то не слышно воплей опеннет-экспертов по помойкам. Наверное потому, что эти "эксперты" - суть попугаи, что услышали, то и повторяют. Своего ума нету. А был бы ум, знали бы, что хорошо не там, где нет ошибок, ошибки есть везде, а там, где их ищут, находят и исправляют. И ситуация даже в одном дистрибутиве очень разнородная. Чему-то досталось больше внимания, что-то как-то работает - уж хорошо. Хочешь сделать хорошо, приди и сделай хорошо.
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	44. "Эксперимент по получению контроля над пакетами в репозитории..."	+1 +/–
	Сообщение от Эксперт опеннета к эксперту опеннета (?), 27-Окт-22, 17:13
	> А что до корпоративной Убунты (а точнее её базы - продакшн-рэди Дебиана). > Там есть, например, такой популярный пакет - Grub2, который стоит, пожалуй, > что у каждого. И в который сопроводитель добавляет свои портянки на > Си, по каким-то загадочным причинам не принятые апстримом, чтобы реализовать функциональность, > которую можно добавить одной строчкой на Shell. И из-за этих патчей > там (и только там) регулярно всплывают уязвимости. Прошу портянку с сылками на "там и только там регулярные всплывающие уязвимости"!
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Эксперимент по получению контроля над пакетами в репозитории..."	–1 +/–
	Сообщение от Аноним (53), 27-Окт-22, 17:34
	Поиск по Опеннету не работает?
	Ответить | Правка | Наверх | Cообщить модератору

	55. "Эксперимент по получению контроля над пакетами в репозитории..."	–1 +/–
	Сообщение от Аноним (53), 27-Окт-22, 17:38
	https://www.google.ru/search?q=уязвим+grub+debian site:opennet.ru
	Ответить | Правка | К родителю #44 | Наверх | Cообщить модератору

	85. "Эксперимент по получению контроля над пакетами в репозитории..."	+/–
	Сообщение от Эксперт опеннета к эксперту опеннета (?), 27-Окт-22, 20:41
	> https://www.google.ru/search?q=уязвим+grub+debian site:opennet.ru Во 1х это не испрашиваемый список, а приглашение самому искать за вас озвученное вами, что не одно и то же. Во 2х, каким образом это доказывает утверждение о "там (и только там) регулярно всплывают уязвимости"?!
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема