| |
| 2.34, pavlinux (ok), 05:52, 26/10/2011 [^] [^^] [^^^] [ответить]
| +5 +/– |
 Пользователям рекомендуется проверить сайт на наличие PHP.
После обнаружения, сжечь, съесть, улететь в Чили, там нагадить
и размазать по Андам.
| | |
|
| |
| |
| |
| 4.11, Аноним (-), 20:13, 25/10/2011 [^] [^^] [^^^] [ответить]
| +2 +/– |
>> Аналог вроде md5sum -c ? Спасибо.
> Нет, цифровая подпись.
Я о простоте использования.
| | |
| |
| 5.12, Аноним (-), 20:18, 25/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
Лучше сразу поясню.
Алгоритм проверки контрольной суммы (хеша):
1) качаем тарбол
2) смотрим на оф. сайте, или чему мы там еще доверяем, хеш (или качаем текстовый файл с циферками)
3) md5sum
Хотелось бы узнать преимущества использования цифровой подписи, и алгоритм ручной проверки. С пакетными манагерами итак вся понятно и автоматизировано.
| | |
| |
| 6.18, dry (ok), 21:31, 25/10/2011 [^] [^^] [^^^] [ответить]
| +2 +/– |
 Если действительно хочется узнать, а не просто потролить,
то качаем Брюса Шнаера "Прикладная криптография".
Глава 2. Основные элементы протоколов -> 2.6 Цифровые подписи.
| | |
| |
| 7.25, Аноним (-), 00:18, 26/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Если действительно хочется узнать, а не просто потролить,
> то качаем Брюса Шнаера "Прикладная криптография".
> Глава 2. Основные элементы протоколов -> 2.6 Цифровые подписи.
Вот вы развели тут фигню, а всего-то надо было ответить что-то вроде
gpg --verify [[sigfile] [signed-files]]
Эх, никакого живого общения.
Профит по сравнению с md5sum при разовом применении отсутствует, ибо все равно нужно тянуть ключ. Некоторое удобство возникает лишь после импорта ключа. Ну про родные репы дистрибутива и не говорим - самое верное дело.
| | |
| |
| |
| |
| 10.56, arisu (ok), 12:32, 30/10/2011 [^] [^^] [^^^] [ответить] | +/– |  171 достали вы своей физикой нет, чтобы внятно ответить человеку, что трамвай... текст свёрнут, показать | | |
|
| 9.46, Аноним (-), 14:51, 26/10/2011 [^] [^^] [^^^] [ответить] | +/– | Либо ты отвечаешь _тут_ и по сути вопроса, либо я засчитываю повторный слив пер... текст свёрнут, показать | | |
|
|
|
|
|
|
|
|
| 1.4, anonymous (??), 19:24, 25/10/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +4 +/– | |
> С целью предотвращения подобных инцидентов в будущем, разработчики MyBB намерены начать распространение контрольных сумм
Т.е. в использовании eval они подвоха так и не заподозрили. Удач.
| | |
| |
| |
| 3.17, Anonim (??), 21:04, 25/10/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
Через веб интерфейс спокойно можно скачать архив определенной версии.
| | |
| |
| 4.31, Аноним (-), 03:39, 26/10/2011 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> Через веб интерфейс спокойно можно скачать архив определенной версии.
И с новой версией git'а или интерфейса у него будет изменится чексумма, ага.
| | |
|
| |
| |
| 5.36, тигар (ok), 08:33, 26/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
 > Кому они нужны россыпью? Софт распространяется тарболлами.
у СпецЫалистаф софт распространяется deb'ами
| | |
| |
| 6.43, Аноним (-), 14:01, 26/10/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> у СпецЫалистаф софт распространяется deb'ами
deb'ы это одноразовый мусор. Весь source-based живёт на тарболах, потому что их можно сохранять локально, миррорить и, собственно, проверять их чексуммы.
| | |
| |
| 7.44, тигар (ok), 14:03, 26/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
>> у СпецЫалистаф софт распространяется deb'ами
> deb'ы это одноразовый мусор. Весь source-based живёт на тарболах, потому что их
> можно сохранять локально, миррорить и, собственно, проверять их чексуммы.
спасибо за просветление, но я в курсе.
| | |
| 7.50, Аноним (-), 20:43, 26/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
>Весь source-based живёт на тарболах, потому что их
> можно сохранять локально, миррорить и, собственно, проверять их чексуммы.
Итак:
1) сохранять локально
2) миррорить
3) проверять чексумы
Что из перечисленного нельзя делать с бинарными пакетами?
| | |
| 7.58, arisu (ok), 12:36, 30/10/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> Весь source-based живёт на тарболах, потому что
…кульхацкеры-сборщики-из-исходников cannot into VCS.
| | |
|
|
|
|
|
|
| 1.7, Аноним (-), 20:04, 25/10/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Все отлично, пару проектов взломают - тысяча других о безопасности подумает(а часть может и усилит защиту, а не только подумает).
| | |
| 1.13, Аноним (-), 20:42, 25/10/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
>С целью предотвращения подобных инцидентов в будущем, разработчики MyBB намерены начать распространение контрольных сумм для проверки целостности изначально опубликованных архивов.
>Контрольные суммы планируется распространять через сторонний сервер, чтобы исключить ситуацию, при которой злоумышленники могут подменить файлы с контрольными суммами.
>Второй вариант, который рассматривают разработчики MyBB - использование для организации загрузки релизов сетей доставки контента (CDN).
Эти люди не слышали про OpenPGP/GnuPG? Срочно им расскажите, а то бедные опять костыли городят.
| | |
| |
| 2.59, arisu (ok), 12:37, 30/10/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> Эти люди не слышали про OpenPGP/GnuPG?
тебе eval в коде ни на что не намекает?
| | |
|
| 1.20, delin (?), 21:41, 25/10/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
 Больше похоже на преднамеренный "бекдор", чем на "они к нам залезли хз как, заменили хз как, и у нас нету инфы кто и когда", который был кем то спален.
| | |
| |
| 2.32, Аноним (-), 03:40, 26/10/2011 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Потому что, блин, скачивать надо из Git'а.
Не надо скачивать из git'а. Да и нельзя.
| | |
|
| 1.28, eigrad (ok), 03:08, 26/10/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
 блин... ни одного форума уязвимого найти не могу, мало слишком народу под раздачу попало %(
| | |
| |
| 2.29, eigrad (ok), 03:19, 26/10/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
попадается много форумов с надписью "закрыто"... как будто их кто-то через этот бэкдор и позакрывал)
| | |
|
| 1.45, DFX (ok), 14:37, 26/10/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 >> Разработчики считают, что проблема безопасности присутствует не в коде их CMS, который не распространяется публично, а в используемых внешних фреймворках.
ога, ога - "мы не знаем где дыра, но уж точно не у нас!".
стоило бы всё таки сначала найти косяк и опубликовать, перед тем как воспевать security-trough-obscurity в своём закрытом коде и срать на "сторонние открытые фреймворки". как-то это лицемерненько выглядит от вроде как открытого проекта.
| | |
| |
| 2.60, arisu (ok), 12:38, 30/10/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> ога, ога — «мы не знаем где дыра, но уж точно не у нас!».
…"ведь мы умеем круто использовать eval!"
| | |
|
|
