Новый выпуск примечателен кардинальной переработкой кодовой базы и рефакторингом архитектуры проекта. Инструментарий и компоненты runtime переписаны на языке Go (ранее использовался язык Си). Проведена большая работа по улучшению интеграции Clear Containers в сформировавшуюся экосистему контейнерной изоляции, в том числе расширены средства для задействования в проекте кода, используемого в контейнерах на базе namespaces и cgroups.

Функции для обеспечения работы аппаратно виртуализированных контейнеров вынесены в модульную и независящую от типа гипервизора библиотеку virtcontainers. Новая реализация runtime (cc-runtime) построена поверх библиотеки virtcontainers и приведена к полной совместимости со спецификацией OCI, определяющей унифицированный формат образов контейнеров и runtime-компонентов, что позволяет использовать cc-runtime совместно с Docker в качестве прозрачной замены runc. Кроме того обеспечена поддержка прослойки CRI-O для использования cc-runtime в кластере на базе Kubernetes.

В состав добавлен выполняемый внутри контейнера агент cc-agent на базе libcontainer, который заменил собой hyperstart и позволяет применять политики ограничения доступа SELinux и фильтры seccomp в гостевых окружениях на базе Clear Containers. Для повышения производительности ввода/вывода и достижения полного соответствия спецификациям POSIX в контейнерах Clear Containers также предоставлена возможность использования бэкенда virtio-blk. Расширены возможности вложенной виртуализации, которые позволяют выполнять немодифициованные контейнеры Clear в окружениях HyperV и VMware. Для взаимодействия между компонентами cc-shim, cc-proxy и cc-runtime реализован новый упрощённый протокол.

По сравнению с традиционными контейнерами на базе пространств имён применение гипервизора позволяет добиться более высокого уровня безопасности, защищающего от совершения атак через эксплуатацию уязвимостей в ядре Linux. По сравнению с системами полноценной виртуализации в Clear Containers удалось минимизировать время запуска изолированного окружения и снизить потребление памяти, приблизив эти показатели к характеристикам обычных контейнеров. К окружениям Clear применимы традиционные для контейнеров методы управления и развёртывания, в том числе можно на лету запускать упакованные в виртуальные окружения приложения, в моменты, когда в них возникает необходимость.

Внутри виртуального окружений Clear, которое запускается гипервизором, используется специально оптимизированное ядро Linux, содержащее только минимальный набор необходимых возможностей. Системное окружение включает в себя только демон инициализации на базе systemd и агент cc-agent. Агент обеспечивает выполнение определённых пользователем образов контейнера в формате OCI. В одном виртуальном окружении Clear может запускаться один или несколько пользовательских контейнеров (для контейнеров Docker для каждого контейнера создаётся отдельная виртуальная машина). Для каждого контейнера внутри виртуального окружения создаются отдельные пространства имён (NS, UTS, IPC и PID), т.е. запускаемое поверх гипервизора окружение Clear служит плацдармом для вложенного запуска контейнеров. Работа пользовательских контейнеров обеспечивается при помощи cc-runtime.

В условиях выполнения большого числа типовых окружений, накладные расходы на каждое последующее окружение составляет 18-20 Мб, что даёт возможность уместить 3500 виртуальных машин на сервере с 128 Гб ОЗУ. Для уменьшения потребления памяти применяется механизм DAX (прямой доступ к ФС в обход страничного кэша без применения уровня блочных устройств), а для дедупликации одинаковых областей памяти применяется технология KSM (Kernel Shared Memory), что позволяет организовать совместное использование ресурсов хост-системы и подключить к разным гостевым системам общий шаблон системного окружения. Начиная с выпуска 3.0 в Clear Containers также предоставляются средства регулирования активации процесса выявления дубликатов (KSM throttling).

1. OpenNews: Intel представил Clear Linux с контейнерами приложений на базе виртуализации
2. OpenNews: SUSE и openSUSE представили Kubic, платформу для развёртывания контейнерной инфраструктуры
3. OpenNews: Компания Oracle открыла код инструментария для изолированных контейнеров
4. OpenNews: Утверждена единая спецификация для образов и runtime изолированных контейнеров
5. OpenNews: Выпуск системы управления контейнерами LXC 2.1

Перелицензирование будет проведено на следующей неделе, одновременно с выпуском новых версий проектов, в том числе под лицензией MIT будут сформированы релизы React 16, Jest 22, Flow 0.56 и Immutable.js 4.0. Что касается остальных проектов Facebook, продолжающих поставляться под связкой "BSD+Patent", то вопрос возможного перелицензировния будет приниматься индивидуально, если в этом возникнет необходимость.

В качестве причины вводимых уступок называется нежелание создания препятствий для развития экосистемы открытого ПО для Web, завязанного на применении React, из-за разногласий нетехнического характера. При этом, Facebook продолжает разделять мнение, что ранее применяемая лицензия "BSD+Patents" предоставляет больше преимуществ для пользователей, но компания не смогла убедить в этом сообщество.

Из-за признания лицензии "BSD+Patent" несовместимой с проектами Фонда Apache такие проекты как Apache CouchDB были поставлены в условия необходимости переработки кодовой базы и миграции на другие web-фреймворки. Сложившееся состояние неопределённости в отношении лицензии "BSD+Patent" также привело к переходу с React на другие фреймворки ряда не связанных с Apache проектов. Сменой лицензии Facebook не пытается подстегнуть команды разработчиков к изменению принятых решений, но оставляет двери открытыми, если эти проекты захотят вернуться на React.

Напомним, что в июле Фонд Apache добавил "BSD+Patent" в список несовместимых лицензий, код под которыми не разрешается использовать в проектах Apache. Проектам Apache было предписано избавиться от зависимостей под лицензией "BSD+Patent". Как вариант выхода из сложившейся ситуации Facebook было предложено перелицензировать код React под более современной лицензией Apache 2.0, которая включает пункты для минимизации рисков от патентных исков. Вначале Facebook отказался сменить лицензию, указав, что патентное дополнение, в котором фонд Apache усмотрел несбалансированное перекладывание рисков на потребителей продуктов, является ценой текущей политики открытости и дополнительным рубежом защиты от возможных патентных исков.

1. OpenNews: Facebook отказался перелицензировать React для проектов фонда Apache
2. OpenNews: Проектам Apache запрещено использование кода с вариантом лицензии BSD от Facebook
3. OpenNews: Конфликт между WordPress и Wix, связанный с нарушением лицензии GPL
4. OpenNews: Микроядерная ОС Genode переходит на лицензию AGPL
5. OpenNews: OpenSSL переходит на новую лицензию, совместимую с GPL

LIL позволяет разработчикам при открытии кода обойтись без публикации дополнительного патентного соглашения, а пользователей и авторов модификаций защищает от возможных патентных претензий со стороны других участников разработки открытого проекта. Ещё одним отличием от MIT является явное упоминание, что любые модификации, переданные авторам приложения, могут быть включены в состав оригинального приложения на условиях текущей лицензии. Пункт о снятии ответственности с авторов за вызванные приложением проблемы дополнен определением отсутствия обязательств по оказанию поддержки и выпуску обновлений.

Несколько дней назад также предложена ещё одна лицензия для распространения кода - Zero, которая нацелена на разработчиков, которые с одной стороны хотят развивать код своего проекта в открытом доступе, но с другой стороны желают стимулировать компании для покупки коммерческих версий или открытию своих наработок, связанных с заимствованным кодом.

Zero базируется на пермиссивной лицензии BSD, которая дополнена пунктом, что код можно свободно использовать и модифицировать только в некоммерческих целях, а для включения в коммерческие продукты предоставляется возможность использования кода только ограниченное время, после истечения которого предлагается два варианта: покупка коммерческой лицензии или открытие кода коммерческого продукта под лицензией BSD. Условия выбираются лицензиаром и представлены в виде двух разных форм лицензии Zero - Noncommercial Public License и Reciprocal Public License.

1. OpenNews: Проектам Apache запрещено использование кода с вариантом лицензии BSD от Facebook
2. OpenNews: Лицензии GPLv3 исполнилось 10 лет
3. OpenNews: Критерии присуждения компаниям статуса Open Source (введение термина Open Core)
4. OpenNews: Основатели MySQL начали продвижение лицензии BSL, как альтернативы Open Core
5. OpenNews: Canonical и модель разработки Open Core

Разработанная в рамках проекта OpenJDK эталонная реализация Java 9 полностью открыта под лицензией GPLv2 с исключениями GNU ClassPath, разрешающими динамическое связывание с коммерческими продуктами. Используя OpenJDK в качестве эталонной реализации сторонние производители могут создавать полностью совместимые с Java SE 9 производные открытые реализации Java. Проприетарный Oracle JDK 9 отличается от OpenJDK наличием некоторых закрытых компонентов, таких как система плагинов, которые не определены в Java-стандарте и не входят в эталонную реализацию Java 9. Oracle JDK поставляется под лицензией BCL (Binary Code Licence). В дальнейшем компания Oracle намерена полностью открыть код коммерческих компонентов и обеспечить полную взаимозаменяемость OpenJDK и Oracle JDK, а также перейти на новый цикл разработки Java SE, подразумевающий формирование выпусков раз в полгода с постепенным переносом новой функциональности, стабилизированной в непрерывно развиваемой ветке.

Основные новшества Java SE 9:

• Интеграция принципиально новых для Java средств разбиения программ и JDK на модули, развиваемых в рамках проекта Jigsaw:
  • JEP 200 - определение модульной структуры JDK.
  • JEP 201 - Реорганизация кода JDK в модули, усовершенствование системы сборки для поддержки компиляции модулей, раздельная обработка модулей на этапе сборки.
  • JEP 220 - реструктуризация бинарных образов JDK и JRE для поддержки модулей и увеличения производительности, безопасности и удобства сопровождения.
  • JEP 282 - компоновщик jlink для связывания и оптимизации модулей с учётом зависимостей;
  • JEP 261 - реализация Java Platform Module System;
  • JEP 275 - пакетный менеджер javapackager для модульных Java-приложений.

  Разбиение кода платформы Java на модули упростит создание, сопровождение и распространение больших приложений, позволив избавиться от наблюдаемых в настоящее время проблем с монолитными JAR и распространением наборов классов. Система модулей даст возможность легко выделять функциональность и формировать настраиваемые конфигурации, адаптируемые как для развёртывания на больших серверах, так и на встраиваемой технике. Модульные приложения, построенные на основе модульной платформы Java, потребуют загрузки меньшего объёма данных и позволят достигнуть более высокой производительности за счёт более эффективной оптимизации специфичных для используемой конфигурации модулей;

• Легковесный JSON API для обработки и генерации данных в формате JSON;
• Новый API для разработки HTTP-клиентов, идущий на замену HttpURLConnection и поддерживающий HTTP/2.0 и websockets;
• Улучшенный API для управления процессами на уровне операционной системы;
• Добавлена интерактивная оболочка jshell, упрощающая запуск однострочников в процессе разработки, экспериментов с новыми возможностями и API;
• Модернизирована система документации Javadoc, в которой добавлены средства для генерации руководств в формате HTML5 и функции для поиска документации по API и информации об определении классов и интерфейсов в модулях;
• Улучшен Streams API, в котором реализована возможность использования методов для ситуационного добавления или удаления элементов из потоков Stream, перебора элементов Stream и создания Stream из обнуляемых значений. Расширен набор Java SE API, которые могут выступать источником для Stream.
• Формат JAR расширен возможностью поставки в одном архиве нескольких версий файлов с классами, использующих возможности, специфичные для разных релизов Java;
• Представлены порты архитектур Linux/AArch64 и Linux/s390x. Добавлен унифицированный порт для arm32 и arm64;
• В JavaScript-движок Nashorn, работающий поверх виртуальной машины Java (JVM), добавлена порция новых возможностей, определённых в спецификации ECMAScript 6. Реализован Parser API для разбора синтаксиса ECMAScript;
• В разряд устаревших переведены Applet API (для запуска Java-приложений в браузере рекомендована технология Java Web Start);
• Реализована поддержка хэшей SHA-3. Отключена возможность использования сертификатов на базе SHA-1;
• Задействована новая упрощённая система сборки HotSpot, основанная на фреймворке build-infra;
• Расширен набор диагностических команд: print_class_summary, print_codegenlist, datadump_request, print_codeblocks, set_vmflag и т.д.
• Оптимизации:
  • Улучшение работы блокировок для конкурирующих Java-объектов, позволившие повысить производительность в условиях, когда разные потоки одновременно пытаются получить доступ к объектам;
  • Сегментирование кэша JIT-компилятора, позволившее повысить производительность длительно выполняемых программ, сократить фрагментацию и время запуска;
  • Интеграция в компилятор sjavac (Smart Java compiler) средств параллельной и раздельной сборки. Улучшения для обеспечения сборки JDK и крупных проектов. Переработка кода разбора аннотаций;
  • Обеспечено более компактное внутреннее представление строк (класс String), позволяющее экономить память;
  • Для 32- и 64-разрядных серверных систем по умолчанию задействован сборщик мусора G1, ограничивающий размер пауз в процессе сборки мусора;
  • Обеспечена возможность упреждающей (Ahead-of-Time) компиляции классов в машинный код перед запуском виртуальной машины, что позволяет заметно сократить время старта крупных приложений;
  • Реализован сегментированный кэш для кода, в котором используется раздельное кэширования различных типов кода;
• Возможности для создания GUI:
  • Для графических приложений, основанных на JavaFX, Swing и AWT, помимо GTK+ 2 обеспечена поддержка библиотеки GTK+ 3 на платформе Linux;
  • Поддержка использования в графических приложениях возможностей, специфичных для разных рабочих столов. Например, API для взаимодействия с панелью задач, системным лотком и системой уведомлений, обработка событий от других приложений;
  • Поддержка экранов с высокой плотностью пикселей (HiDPI), при работе на платформах Linux и Windows. Вывод текста, изображений и пиктограмм теперь осуществляется с учётом параметров экрана;
  • Для однородной отрисовки текста на всех поддерживаемых системах вместо движка ICU OpenType задействована библиотека HarfBuzz;
  • Компоненты JavaFX/Media переведены на новую ветку GStreamer 1.x;
  • Добавлен API для манипуляции изображениями, доступными в нескольких разрешениях;

Одновременно компания Oracle анонсировала спецификацию Java EE 8 (Java Platform, Enterprise Edition 8) и открытый сервер приложений GlassFish 5.0, позиционируемый в качестве эталонной реализации данной спецификации. Код GlassFish распространяется под двумя лицензиями: CDDL v1.0 и GPL v2. Java EE 8 станет последним выпуском, сформированным силами Oracle. Заявлено о планах передать фонду Eclipse технологии Java EE и наработки, связанные с проектом GlassFish, включая эталонные реализации, наборы для оценки совместимости (TCK) и всю документацию. В будущем Java EE будет развиваться в рамках независимой модели разработки c более гибкой системой лицензирования и открытым процессом принятия решений.

Основные новшества Java EE 8:

• Новая версия Servlet API 4.0 с поддержкой протокола HTTP/2;
• Представлен новый JSON binding API для манипуляции данными в формате JSON и расширены возможности JSON-P 1.1;
• В JAX-RS добавлена поддержка событий, инициируемых сервером (Server-Sent Events), и реализован новый клиентский API (REST Reactive Client API);
• Добавлен новый переносимый Security API для управления доступом в приложениях, запускаемых в облачных системах и PaaS;
• Внесена большая порция улучшений в CDI, включая поддержку асинхронных событий;
• Обеспечена поддержка новых возможностей Java SE 8 (Data & Time API, Streams API, расширенные аннотации);
• Обновлены версии API:
  • Contexts and Dependency Injection (CDI) 2.0
  • The Java API for JSON Binding (JSON-B) 1.0
  • Java Servlet 4.0
  • Java API for RESTful Web Services (JAX-RS) 2.1
  • JavaServer Faces (JSF) 2.3
  • Java API for JSON Processing (JSON-P)1.1
  • Java EE Security API 1.0
  • Bean Validation 2.0
  • Common Annotations 1.3
  • Java Persistence 2.2
  • Java API for WebSocket 1.1
  • JavaMail 1.6

1. OpenNews: Компания Oracle выбрала Eclipse Foundation для передачи разработки Java EE
2. OpenNews: Сообщество и Oracle рассматривают возможность изменения модели разработки Java SE
3. OpenNews: Компания Oracle выпустила Java 8
4. OpenNews: Увидел свет сервер приложений GlassFish 4.0 с эталонной реализацией Java EE 7

Ключевые изменения в Samba 4.7:

• Стабилизированы средства для создания контроллеров домена, работающих в режиме только для чтения (RODC, Read-Only Domain Controller). Ранее поддержка RODC находилась в категории экспериментальных возможностей. В Samba 4.7.0 проведена работа по устранению критических ошибок и проблем с совместимостью, что позволило перевести режим в разряд рекомендованных к использованию;
• После четырёх лет разработки в Samba реализована поддержка компиляции и запуска Active Directory с MIT Kerberos (вместо Heimdal Kerberos). Использование MIT Kerberos активируется опцией "--with-system-mitkrb5" в скрипте configure и требует наличия как минимум MIT Kerberos версии 1.15.1 и установки пакеов krb5-devel и krb5-server. По сравнению со сборкой с Heimdal пока отсутствует поддержка PKINIT, S4U2SELF/S4U2PROXY и RODC;
• Добавлены средства для аудита механизмов аутентификации и авторизации, позволяющие сохранять в логе детальную информацию о входах пользователей, включая IP-адрес клиента, имя пользователя, тип операции и сопутствующие параметры. Для записи данных аудита в лог введены два новых класса отладочной информации: "auth_audit" и "auth_json_audit" для обычных текстовых логов и записей в формате JSON;
• LDAP-сервер для контроллера домена Active Directory переведён на многопроцессную модель работы и теперь может одновременно запускать несколько процессов-обработчиков;
• Внесены изменения в поведение утилиты 'smbclient': Прекращён вывод баннера 'Domain=[...] OS=[Windows 6.1] Server=[...]' при соединении с первым сервером. Максимальная версия протокола по умолчанию повышена до "SMB3_11", что позволяет использовать 'smbclient' с серверами без поддержки SMB1, но по умолчанию не задействует unix-расширения SMB1. Добавлена новая команда 'deltree' для рекурсивного удаления дерева каталогов;
• Обеспечено применение полной блокировки всей БД LDB на чтение для обеспечения согласованности данных при выполнении операций поиска в LDAP и репликации (в прошлых выпуска применялась блокировка на уровне записей, что могло приводить к состоянию гонки при переименовании или удалении и сбоям при репликации и поиске);
• Изменён диапазон сетевых портов, используемых в сервисах RPC. Вместо портов "1024-1300" теперь применяются порты "49152-65535" по аналогии с Windows Server 2008 и более новыми выпусками. Для изменения диапазона портов можно использовать опцию "rpc server dynamic port range";
• Добавлена возможность хэширования паролей при помощи алгоритмов SHA-256 и SHA-512 вместо применения обратимого шифрования в атрибуте supplementalCredentials. Для генерации хэшей реализована опция 'password hash userPassword schemes', а также добавлены средства для извлечения хэшей в утилиту 'samba-tool';
• При выполнении команды подсоединения к контроллеру домена ("samba-tool domain join") через RPC обеспечено создание записей A и GUID в DNS, а также динамической генерации элемента mname в записи SOA;
• Существенно увеличена производительность поиска в Active Directory и репликации информации о членах группы. Ускорение обеспечено за счёт сохранения в БД отсортированных атрибутов, привязанных к членам группы, на разбор которых раньше тратилось много ресурсов CPU. В итоге, операции поиска существующих членов группы теперь выполняются в два раза быстрее, чем в прошлых выпусках Samba. Также увеличена производительность поиска непроиндексированных данных в LDAP и разбор списков управления доступом;
• При генерации самоподписанных сертификатов для LDAPS теперь применяется алгоритм SHA256 вместо SHA1;
• Представлена порция улучшений в компоненте CTDB, отвечающем за работу кластерных конфигураций, в том числе добавлен новый тип БД "replicated", реализована переменная конфигурации CTDB_NFS_CHECKS_DIR и запрещено использование разных версий CTDB в кластере;
• При сборке на системах x86_64 реализована поддержка процессорных инструкций AES для ускорения шифрования и создания цифровых подписей в SMB3. Для включения следует использовать сборочную опцию "--accel-aes=intelaesni";
• По умолчанию активирован параметр конфигурации "strict sync", обеспечивающий безопасный способ сброса буферов на диск при выполнении запросов на синхронизацию незаписанных данных в smbd;
• Опция 'ntlm auth' переименована в 'ntlmv2-only' и расширена поддержкой режимов 'mschapv2-and-ntlmv2-only' (разрешает MSCHAPv2, но запрещает NTLMv1) и 'disabled' (запрещает аутентификацию NTLM и смену пароля).

1. OpenNews: Выпуск Samba 4.6.0
2. OpenNews: Релиз Samba 4.5.0
3. OpenNews: Раскрыты детали уязвимости Badlock в Samba
4. OpenNews: Релиз Samba 4.4.0 с поддержкой многоканального SMB3
5. OpenNews: Релиз Samba 4.3.0 с поддержкой SMB-расширений, появившихся в Windows 10

В отличие от прошлого варианта, в новом обязательстве область неприменения патентного воздействия расширена на ПО, распространяемое под любой лицензией, одобренной организацией OSI (Open Source Initiative) или Фондом свободного ПО. Т.е. отныне обязательства распространяются и на пермиссивные открытые лицензии. Если принятое в 2002 году прошлое обязательство охватывало примерно 35% открытого ПО, то в новое обязательство применимо к 99% открытого кода. Любой открытый проект теперь может легально использовать запатентованные технологии Red Hat, не опасаясь возможного судебного преследования.

1. OpenNews: IBM использует неприкосновенные патенты против открытого ПО (дополнено)
2. OpenNews: IBM пояснила ситуацию с упоминанием неприкосновенных патентов
3. OpenNews: Лидер Debian предложил добиться соответствия требованиям Фонда СПО к полностью свободным дистрибутивам
4. OpenNews: Компания Tesla Motors разрешила использование своих патентов всем желающим
5. OpenNews: Google и Microsoft договорились о прекращении патентной войны

Возможно создание условий, при которых на каждый поступающий через сетевой интерфейс пакет будет перезаписано 10 байт памяти за пределами выделенного буфера. Например, продемонстрирована возможность использования данной уязвимости для повреждения данных в дисковом разделе XFS при эксплуатации уязвимости в процессе выполнения копирования файлов через rsync (были повреждены структуры в памяти, которые влияют на содержимое данных на диске).

Так как для обращения к AF_PACKET требуется наличие полномочий CAP_NET_RAW, атака имеет смысл только из изолированных контейнеров с пользователем root, запущенных с применением пространств имён идентификаторов пользователей (user namespaces) и изолированного сетевого стека (net namespaces). В Debian и Red Hat Enterprise Linux поддержка user namespaces по умолчанию не активирована, но она включена в Ubuntu и Fedora. Проблема проявляется в ядрах с 4.6 по 4.12 включительно и уже устранена в Fedora 26 и Debian. Все версии RHEL/CentOS, Ubuntu и SUSE/openSUSE проблеме не подвержены. Исправление также доступно в виде патча.

1. OpenNews: Уязвимости в реализации сокетов AF_PACKET и UDP-стеке ядра Linux
2. OpenNews: Локальная root-уязвимость в подсистеме inotify ядра Linux
3. OpenNews: Локальная root-уязвимость в реализации сокетов AF_PACKET в ядре Linux
4. OpenNews: Уязвимость в реализации NFS-сервера, поставляемой в ядре Linux
5. OpenNews: В Android и старых ядрах Linux устранена уязвимость, эксплуатируемая через отправку UDP-пакетов

Следующим шагом станет проведение адаптации открытой кодовой базы для предоставления возможности развертывания обособленного аналога сервиса на своём оборудовании. В настоящее время требуется проведение чистки кода от внешних зависимостей. Из планов на будущее также называется предоставление средств для создания объединённых систем, позволяющих обмениваться сообщениями между сетью Wire и системами, запущенными на собственных серверах.

Система обмена сообщениями Wire реализована на базе протокола Proteus и API Cryptobox, в которых применяются известные криптографические алгоритмы ChaCha20, HMAC-SHA256, Curve25519 и HKDF, реализация которых заимствована из библиотеки libsodium. В отличие от WhatsApp, Viber, Telegram и Signal, сервис Wire позволяет регистрироваться без привязки к номеру телефона и без анализа содержимого адресной книги - в качестве идентификатора для отправки сообщений в Wire служит email.

Основные компоненты серверной части:

• nginz - открытый API для обращения через Reverse Proxy;
• galley - организация общения;
• proxy - интеграция со сторонними API;
• brig - ведение учётных записей;
• gundeck - Push Notification Hub;
• cannon - система Push-уведомлений на основе WebSocket;
• cargohold - хранилище ресурсов;
• libs - набор вспомогательных разделяемых библиотек, включая API для ботов.

1. OpenNews: Открыта часть серверного кода сервиса мгновенного обмена сообщениями Wire
2. OpenNews: Сервис мгновенного обмена сообщениями Wire объявил о скором открытии серверного кода
3. OpenNews: В клиенте для мгновенного обмена сообщениями Wire появилась поддержка Linux
4. OpenNews: Четвёртый тестовый выпуск системы мгновенного обмена сообщениями от проекта Tor
5. OpenNews: Открыт код сервиса мгновенного обмена сообщениями Gitter

В отличие от прошлых выпусков в Swift 4.0 сохранена полная обратная совместимость с исходными текстами ветки Swift 3. Изменения в Swift 4.0 сосредоточены на расширении возможностей стандартной библиотеки и реализации таких возможностей, как архивирование/сериализация структур и перечисляемых типов (например, теперь поддерживается сериализация в JSON и plist). В состав включена новая реализация типа String, которая отличается более высокой производительностью, обеспечением корректности Unicode и предоставлением инструментов для создания, использования и манипуляций подстроками (substring, многострочные литералы). Расширены возможности словарей и коллекций (тип Collection).

Представлена новая команда "swift run" для сборки и запуска исполняемых файлов, определённых в текущем пакете. Реализована идея эксклюзивного доступа к памяти, предотвращающая ситуации, когда может быть произведено изменение переменой, которая в данный момент используется или изменяется в другой части программы. Расширены возможности пакетного менеджера, в который добавлена функциональность, упрощающая одновременную разработку нескольких пакетов (несколько пакетов одновременно могут помечаться для релиза), представлен новый Package API, позволяющий управлять настройками сборки.

Напомним, что язык Swift наследует лучшие элементы языков C и Objective-C, и предоставляет объектную модель, совместимую с Objective-C (Swift-код может смешиваться с кодом на С и Objective-C), но отличается использованием средств автоматического распределения памяти и контроля переполнения переменных и массивов, что значительно увеличивает надёжность и безопасность кода. Swift также предлагает множество современных методов программирования, таких как замыкания, обобщенное программирование, лямбда-выражения, кортежи и словарные типы, быстрые операции над коллекциями, элементы функционального программирования. Версия для Linux не привязана к Objective-C Runtime, что позволяет использовать язык в окружениях, в которых отсутствует поддержка Objective-C.

Pеализация Swift построена с задействованием технологий свободного проекта LLVM. Для обеспечения высокой производительности Swift-программы компилируются в машинный код, выполняемый в тестах Apple на 30% быстрее кода на Objective-C. Вместо сборщика мусора в Swift используются средства подсчёта ссылок на объекты. В поставку входит пакетный менеджер Swift Package Manager, предоставляющий средства для распространения модулей и пакетов с библиотеками и приложениями на языке Swift, управления зависимостями, автоматизированной загрузки, сборки и связывания компонентов.

1. OpenNews: Создатель LLVM и Swift уходит из компании Apple
2. OpenNews: Компания Apple представила язык программирования Swift 3.0
3. OpenNews: В язык Swift добавлена начальная поддержка платформы Android
4. OpenNews: Компания Apple представила Swift 2.2, первый выпуск с поддержкой Linux
5. OpenNews: Компания Apple открыла реализацию языка Swift и реализовала поддержку Linux

Изначально проект развивался одним из создателей фреймворка GStreamer под именами PulseVideo и Pinos (в честь испанского города), но позднее было выбрано более подходящее имя. PipeWire расширяет область применения PulseAudio обработкой любых мультимедийных потоков и способен смешивать и перенаправлять потоки с видео. PipeWire также предоставляет возможности для управления источниками видео, такими как устройства захвата видео, web-камеры или выводимое приложениями содержимое экрана. Например, PipeWire позволяет организовать совместную работу нескольких приложений с веб-камерой и решает проблемы с безопасным захватом содержимого экрана и удалённым доступом к экрану в окружении Wayland.

PipeWire также может выступать в роли звукового сервера, обеспечивающего минимальные задержки и предоставляющего функциональность комбинирующую возможности PulseAudio и JACK, в том числе учитывающую потребности систем профессиональной обработки звука, на которую не мог претендовать PulseAudio. Кроме того, PipeWire предлагает расширенную модель безопасности, позволяющую управлять доступом на уровне отдельных устройств и конкретных потоков, и упрощающую организацию проброса звука и видео из изолированных контейнеров и в них. Одной из главных целей является поддержка самодостаточных приложений в формате Flatpak и работа в графическом стеке на базе Wayland.

Основные возможности:

• Захват и воспроизведение звука и видео с минимальными задержками;
• Средства для обработки видео и звука в режиме реального времени;
• Многопроцессная архитектура, позволяющая организовать совместный доступ к контенту нескольких приложений;
• Модель обработки на основании графа мультимедийных узлов с поддержкой циклов обратной связи и атомарных обновлений графа. Допускается подключение обработчиков как внутри сервера, так и внешних плагинов;
• Эффективный интерфейс доступа к видеопотокам через передачу файловых дескрипторов и доступа к звуку через совместно используемые кольцевые буферы (shared ringbuffer);
• Возможность обработки мультимедийных данных от любых процессов;
• Наличие плагина к GStreamer для упрощения интеграции с существующими приложениями;
• Поддержка изолированных окружений и Flatpak;
• Поддержка плагинов в формате SPA (Simple Plugin API) и возможность создания плагинов, работающих в режиме жесткого реального времени;
• Гибкая система согласования используемых мультимедийных форматов и выделения буферов;
• Использование одного фонового процесса для маршрутизации звука и видео. Возможность работы в форме звукового сервера, хаба для предоставления видео приложениям (например, для gnome-shell screencast API) и сервера для управления доступом к аппаратным устройствам захвата видео.

1. OpenNews: Выпуск мультимедийного фреймворка GStreamer 1.12
2. OpenNews: Причина прекращения поддержки звуковой системы ALSA в Firefox
3. OpenNews: Выпуск звукового сервера PulseAudio 11.0
4. OpenNews: Разработчики Fedora представили Pinos, аналог PulseAudio для видео

Проблемы начались после того, как автор плагина, заинтересованный в развитии коммерческого аналога, продал "Display Widgets" другому разработчику, который обещал продолжить сопровождение плагина. 21 июня, спустя месяц после завершения сделки, новым владельцем было выпущено обновление 2.6.0, в котором была представлена поддержка средств для определения местоположения по базе GeoIP.

На следующий день после релиза к администраторам каталога плагинов WordPress поступила жалоба о нарушении требований к размещаемым в каталоге дополнениям. В частности, было выявлено, что плагин загружает около 38 Мб данных, содержащих информацию о географической привязке IP-адресов от компании Maxmind. После удаления дополнения из каталога, через неделю новый владелец плагина выпустил обновление, в котором устранил проблему путём интеграции GeoIP БД в основную поставку в виде виде файла geolocation.php. Дополнение было восстановлено в каталоге.

После изучения нового кода вновь было найдено нарушение правил - плагин передавал сведения о посетителях на внешний сервер, нарушая конфиденциальность пользователей. 1 июля дополнение было блокировано второй раз, а 6 июля был выпущен релиз 2.6.2 с активной по умолчанию опцией для отключения отправки логов. Дополнение было восстановлено, но 23 июля стали поступать жалобы о появлении спама на сайтах с плагином "Display Widgets", подтверждённые ссылками на кэш Google.

Разбор проблем показал, что источником спама является файл geolocation.php, в котором оказался спрятан бэкдор, позволяющий владельцам плагина публиковать новый контент на сайтах пользователей, а также заменять или удалять содержимое страниц. При этом для зарегистрированных пользователей и администраторов вредоносный код отображал изначальное содержимое, а для остальных пользователей выводил изменённый контент. Вредоносный код использовался для подстановки сторонней рекламы, незаметно для постоянных пользователей и администраторов сайтов. 24 июля дополнение в третий раз было заблокировано.

2 сентября был сформирован релиз 2.6.3, а 7 сентября возобновились жалобы на появление спама на сайтах пользователей плагина. На жалобы пользователей разработчики отвечали советом почистить кэш браузера, установить новую версию "Display Widgets" и почистить содержимое таблицы wp_options. Разработчики также пытались ввести пользователей в заблуждение, указывая в качестве причины появления спама наличие уязвимости, проявляющейся только при включении режима GEO Location в сочетании с применением других дополнений.

В итоге в новой версии также был выявлен изменённый бэкдор и 8 сентября администрация WordPress в четвёртый раз заблокировала "Display Widgets" с предупреждением о наличии критических проблем с безопасностью, а для пользователей было сформировано обновление 2.7.0 в котором произведён откат на кодовую базу 2.0.5, последнюю версию до продажи.

Стефани Велс (Stephanie Wells), изначальный автор дополнения, прокомментировала, что дополнение было продано Мэйсону Сойза (Mason Soiza) за 15 тысяч долларов, который представлял компанию WP Devs, заявляющую о владении 34 плагинами c аудиторией более 10 млн пользователей. Примечательно, что ранее наблюдалась аналогичная ситуация со спамом в плагине "404 to 301", который тоже купил Сойза. Также была договорённость о покупке плагина Finance Calculator, но его автор отменил сделку, узнав об инциденте с "Display Widgets". Об остальных плагинах, купленных Сойза, пока ничего не известно. Из хостов, с которых загружался вредоносный код упоминаются stopspam.io, w-p.io, geoip2.io и maxmind.io.

1. OpenNews: Создатель вредоносного ПО блокировал отчёт о проблеме под предлогом нарушения авторских прав
2. OpenNews: Фишинг-атака по захвату браузерных дополнений для встраивания в них вредоносного кода
3. OpenNews: Chrome-дополнение Particle было выкуплено у автора и превращено во вредоносное ПО
4. OpenNews: Зафиксирована скупка популярных браузерных дополнений для распространения вредоносного кода
5. OpenNews: В рекламных сетях выявлено вредоносное ПО, скрытое в графических баннерах

Среди возможностей приложения:

• Компоновка текста, изображений и форм;
• Поддержка градиентной заливки;
• Средства для демонстрации презентации c поддержкой пультов управления проектором с интерфейсом USB или Bluetooth (поддержка пультов реализована через библиотеку libgamepad);
• Экспорт в PDF;
• Режим навигации по ранее подготовленным презентациям, позволяющий выбрать нужную презентацию в один клик;
• Интеграция с внешними графическими редакторами - после изменения изображений, автоматически обновляются все связанные с ним слайды;
• Возможность использования шаблонов для быстрого создания типовых презентаций.

1. OpenNews: Разработка проекта Elementary OS переведена на Git и GitHub
2. OpenNews: Выпуск дистрибутива Elementary OS Loki 0.4.1
3. OpenNews: Доступно ПО для управления проведением презентаций OpenSlides 2.0
4. OpenNews: Проект Elementary OS реализовал вводящую в заблуждение схему сбора пожертвований
5. OpenNews: Проект Elementary продолжит развитие менеджера фотографий Shotwell в рамках форка Pantheon Photos

Основные новшества:

• Задействован более компактный формат документа со сведениями о состоянии сети (consensus), загружаемого клиентами для выбора шлюзов. Новый вариант включает только изменения по сравнению с уже имеющейся у клиента версией документа, что позволяет существенно сократить объём передаваемого трафика (до 94%), необходимого для поддержания актуальной информации о сети;
• Для сжатия трафика с серверов директорий теперь могут применяться алгоритмы zstd и lzma. Так как lzma требует больших процессорных ресурсов при сжатии, он применяется только для документов, которые сжимаются один раз, а раздаются многократно;
• На стороне шлюзов ресурсоёмкие операции сжатия и генерация данных об отличиях в документах вынесены в рабочие потоки (worker threads), которые не блокируют выполнение основного потока;
• Новая система добавочного заполнения, устойчивая к системам анализа трафика, получающим сведения при помощи протокола Netflow;
• В сборочную систему добавлена экспериментальная возможность сборки компонентов, написанных на языке Rust (пока подобные компоненты отсутствуют, добавлена лишь тестовая заглушка). Для включения поддержки Rust добавлена сборочная опция "--enable-rust";
• В число обязательных сборочных зависимостей добавлена утилита pkg-config (требуется для сборки с zstd и lzma);
• В файлах конфигурации torrc добавлена поддержка директивы "%include" для вставки содержимого других файлов.

Кроме того, представлены корректирующие выпуски прошлых веток Tor 0.2.8.15, 0.2.9.12 и 0.3.0.11. Кроме исправления накопившихся ошибок в новых выпусках устранена уязвимость (CVE-2017-0380) в коде обеспечения работы скрытых сервисов, которая может привести к записи в лог содержимого стека. Проблема проявляется только при установке значения 0 в опции SafeLogging (по умолчанию выставляется 1).

Дополнение: Началось тестирование первого альфа-выпуска Tor 0.3.2, в котором представлена поддержка протокола скрытых сервисов третьего поколоения ("v3") и новый планировщик цепочек проброса трафика "KISTLite". Третья версия протокола для onion-сервисов отличается переходом на 56-символьные адреса, более надёжной защитой от утечек данных через серверы директорий, расширяемой модульной структурой и использованием алгоритмов SHA3, ed25519 и curve25519 вместо SHA1, DH и RSA1024. Планировщик "KISTLite" является аналогом планировщика KIST, не привязанным к Linux (по умолчанию установлен порядок выбора планировщиков "KIST, KISTLite, Vanilla"), и нацелен на минимизацию перегрузки TCP и снижение задержек из-за излишней буферизации.

1. OpenNews: Обновление Tor Browser 6.0.7 и Firefox 50.0.2 с устранением 0-day уязвимости
2. OpenNews: В Tor Browser устранена уязвимость, допускавшая прямое соединение в обход Tor
3. OpenNews: Выпуск Tor 0.3.0.9 с устранением уязвимости
4. OpenNews: Выпуск Tor 0.3.0.8 с устранением DoS-уязвимостей в обработчике скрытых сервисов
5. OpenNews: Первый стабильный выпуск ветки Tor 0.3.0

Основу EME составляет API для подключения к объекту HTMLMediaElement расширений, позволяющих обеспечить воспроизведение защищённого контента при помощи сторонних проприетарных бинарных модулей или аппаратных механизмов. Спецификация уже поддерживается популярными браузерами, в том числе Firefox, Chrome, Edge и Safari. EME является одной из самых противоречивых спецификаций, в результате обсуждения которой организация W3C столкнулась с волной критики и обвинений, что стандарт продвигается в интересах представителей медиаиндустрии и в ущерб открытому характеру Web. В процессе обсуждения сообщество раскололось на два лагеря.

Позиция W3C сводится к тому, что утверждение EME как Web-стандарта принесёт пользователям больше пользы, чем существование разрозненных DRM-платформ. Сторонники спецификации EME, продвижение которой форсируется такими компаниями как Netflix, Google, Microsoft, Apple и MPAA (Американская ассоциация кинокомпаний), указывают на то, что Web должен поддерживать поставку любых типов контента. Иначе распространяемый в Web защищённый контент останется привязан к отдельным устройствам и специфичным для каждого производителя плагинам, что не соответствует принципу открытого для всех Web и является источником дополнительных угроз (для просмотра пользователь вынужден устанавливать стороннее ПО).

Спецификация EME позволит унифицировать средства DRM за счёт абстрагирования доступа к штатным модулям шифрования, что даст возможность избавиться от необходимости установки проприетарных плагинов для просмотра защищённого контента. В итоге, решение для доступа к защищённому контенту реализуется целиком на стороне браузера, а отвечающие за воспроизведение защищённого контента бинарные модули мало чем отличаются от широко применяемых проприетарных мультимедиа-кодеков.

Противники стандартизации EME считают, что DRM подрывает принцип открытости Web и добавляет в системы обработки web-контента "чёрный ящик", выгодный индустрии развлечений и выведенный из под контроля браузера и конечного пользователя. Предложенные технологии отнимают у владельца компьютера право полностью контролировать своё устройство, при этом не решая проблем контрафактного распространения контента: если контент может быть показан на системе потребителя, то в любом случае он может быть скопирован на некотором этапе воспроизведения.

Кроме того, средства защиты видеоконтента могут стать основой для продвижения иных ограничительных механизмов, препятствующих копированию труда художников, музыкантов, писателей. Реализация DRM в Web может стать первым шагом к становлению Сети, в которой изображения и страницы не могут быть сохранены или найдены, реклама не может быть вырезана, а новые браузеры не могут реализовать конкурентные преимущества без разрешения крупных производителей контента.

Без получения согласия от производителей DRM-платформ исследователи безопасности не могут заниматься аудитом модулей, обеспечивающих ограничения DRM, что может способствовать интеграции скрытой функциональности (например, для слежки за пользователями) и накопления неисправленных уязвимостей. DRM также забирает у пользователя законное право создавать копии для личных нужд и использовать отрывки в ремиксах.

Дополнение: Правозащитная организация Electronic Frontier Foundation демонстративно вышла из состава W3C, так как ранее поданная апелляция не имела успеха и 58.4% участников W3C проголосовало за стандартизацию EME. Electronic Frontier Foundation также не удалось добиться принятия компромиссного варианта, запрещающего подавать судебные иски против исследователей безопасности, использующих методы обхода DRM для анализа наличия уязвимостей.

1. OpenNews: Консорциум W3С дал зелёный свет стандартизации DRM для Web
2. OpenNews: Тим Бернерс-Ли дал шанс предотвратить стандартизацию средств DRM для Web
3. OpenNews: Консорциум W3С приступил к стандартизации средств DRM для HTML5-контента
4. OpenNews: Создатель языка JavaScript выступил против стандартизации средств DRM для Web
5. OpenNews: Организация EFF выразила официальный протест против действий W3C по продвижению DRM в Web

OpenJ9 может применяться совместно с набором классов и компилятором из состава OpenJDK. Из особенностей OpenJ9 отмечается ориентация на выполнение промышленных Java-проектов, обеспечение высокой производительности, низкое потребление памяти, быстрый запуск и пригодность для выполнения большого числа Java-приложений в облачных окружениях. В основе OpenJ9 лежат проверенные и уже зарекомендовавшие себя технологии, на базе которых построены многие промышленные программные продукты IBM, в том числе линейка продуктов WebSphere.

По сравнению с Hotspot упоминается более совершенный JIT-компилятор и наличие средств тонкой настройки под специфику выполняемых приложений. Например, можно менять режимы работы сборщика мусора, выбирая различные сценарии управления памятью для различных видов нагрузки. Кроме того, имеются средства для привлечения специфичных аппаратных возможностей для ускорения выполнения приложений, такие как вынос некоторых вычислений на плечи GPU.

Предоставляемые в OpenJ9 технологии совместного использования классов и упреждающей компиляции позволяют на 20-40% сократить время запуска Java-приложения, что делает OpenJ9 хорошим решением для облачных систем и задач, в которых требуется запуск большого числа приложений с коротким временем жизни. Для большего сокращения времени запуска также предоставляется режим "-Xquickstart", позволяющий разработчикам без задержек тестировать разрабатываемые проекты.

1. OpenNews: Компания Oracle выбрала Eclipse Foundation для передачи разработки Java EE
2. OpenNews: Red Hat передаёт язык Ceylon на попечительство организации Eclipse Foundation
3. OpenNews: Первый релиз интегрированной среды разработки Eclipse Che
4. OpenNews: Компания Red Hat возглавила разработку OpenJDK 7
5. OpenNews: В рамках проекта jvm.go развивается вариант JVM, написанный на языке Go