forum.opennet.ru - "В пакете для организации групповой работы Horde обнаружен бэ..." (47)

форумы

помощь

поиск

регистрация

майллист

вход/выход

слежка

"В пакете для организации групповой работы Horde обнаружен бэ..."

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"В пакете для организации групповой работы Horde обнаружен бэ..."	+/–
Сообщение от opennews (ok) on 14-Фев-12, 18:45
Разработчики проекта Horde (http://www.horde.org/), в рамках которого развивается серия свободных продуктов для организации совместной работы корпоративных пользователей, сообщили (http://permalink.gmane.org/gmane.comp.horde.announce/708) о выявлении факта внедрения бэкора в некоторые из установочных пакетов. Подробности совершения атаки не приводятся, известно лишь то, что пакеты были модифицированы в результате взлома первичного FTP-сервера проекта. Интегрированный бэкдор позволяет удалённому злоумышленнику выполнить произвольный PHP-код на сервере. Сообщается, что бэкдор был внедрён только в пакеты с Horde 3.3.12, Groupware 1.2.10 и Horde Groupware Webmail Edition 1.2.10. Модифицированные злоумышленниками версии распространялись с начала ноября по 7 февраля. Пользователям указанных версий рекомендуется удостовериться, что их системы не содержат вредоносного кода. Для этого достаточно осуществить поиск в исходных текстах по маске "$m[1]($m[2])". Производители Linux-дистриб... URL: http://permalink.gmane.org/gmane.comp.horde.announce/708 Новость: https://www.opennet.ru/opennews/art.shtml?num=33087
Ответить \| Правка \| Cообщить модератору

Оглавление

В пакете для организации групповой работы Horde обнаружен бэ..., Клыкастый, 18:45 , 14-Фев-12, (1) +2

В пакете для организации групповой работы Horde обнаружен бэ..., Аноним, 18:47 , 14-Фев-12, (3) +5

В пакете для организации групповой работы Horde обнаружен бэ..., rusty_angel, 19:01 , 14-Фев-12, (4)

В пакете для организации групповой работы Horde..., arisu, 19:05 , 14-Фев-12, (6) +2
В пакете для организации групповой работы Horde обнаружен бэ..., Lain_13, 19:20 , 14-Фев-12, (7) +4
В пакете для организации групповой работы Horde обнаружен бэ..., Аноним, 19:31 , 14-Фев-12, (9)

В пакете для организации групповой работы Horde обнаружен бэ..., klalafuda, 21:35 , 14-Фев-12, (23)

В пакете для организации групповой работы Horde обнаружен бэ..., rain87, 12:02 , 15-Фев-12, (38)

В пакете для организации групповой работы Horde обнаружен бэ..., Клыкастый, 20:21 , 15-Фев-12, (51)

В пакете для организации групповой работы Horde обнаружен бэ..., FFASM, 21:16 , 14-Фев-12, (21)
В пакете для организации групповой работы Horde обнаружен бэ..., Аноним, 15:17 , 15-Фев-12, (44)

В пакете для организации групповой работы Horde обнаружен бэ..., Аноним, 15:45 , 15-Фев-12, (46)

В пакете для организации групповой работы Horde обнаружен бэ..., Аноним, 15:47 , 15-Фев-12, (48)

В пакете для организации групповой работы Horde обнаружен бэ..., Клыкастый, 16:06 , 15-Фев-12, (49) –1

В пакете для организации групповой работы Horde обнаружен бэ..., Анон, 14:21 , 16-Фев-12, (55)

В пакете для организации групповой работы Horde обнаружен бэ..., Клыкастый, 22:47 , 16-Фев-12, (56)

В пакете для организации групповой работы Horde обнаружен бэ..., Аноним, 15:46 , 15-Фев-12, (47)

В пакете для организации групповой работы Horde обнаружен бэ..., Аноним, 18:46 , 14-Фев-12, (2) +1
В пакете для организации групповой работы Horde..., arisu, 19:04 , 14-Фев-12, (5) +3

В пакете для организации групповой работы Horde..., skJ, 19:29 , 14-Фев-12, (8)

В пакете для организации групповой работы Horde..., arisu, 19:51 , 14-Фев-12, (12) +2
В пакете для организации групповой работы Horde..., Клыкастый, 16:15 , 15-Фев-12, (50)

В пакете для организации групповой работы Horde..., Crazy Alex, 19:35 , 14-Фев-12, (10)

В пакете для организации групповой работы Horde..., анон, 19:39 , 14-Фев-12, (11)
В пакете для организации групповой работы Horde..., arisu, 19:55 , 14-Фев-12, (13) +3

В пакете для организации групповой работы Horde..., Клыкастый, 20:24 , 15-Фев-12, (52)

В пакете для организации групповой работы Horde..., _Vitaly_, 20:12 , 14-Фев-12, (16)
В пакете для организации групповой работы Horde..., Аноним, 20:32 , 14-Фев-12, (20) +1

В пакете для организации групповой работы Horde..., Crazy Alex, 21:38 , 14-Фев-12, (24) +1

В пакете для организации групповой работы Horde..., Michael Shigorin, 23:02 , 14-Фев-12, (30) +1

В пакете для организации групповой работы Horde..., Аноним, 22:56 , 14-Фев-12, (26)

В пакете для организации групповой работы Horde..., arisu, 23:05 , 14-Фев-12, (31) –1

В пакете для организации групповой работы Horde..., Аноним, 00:02 , 15-Фев-12, (34) +1

В пакете для организации групповой работы Horde..., Клыкастый, 20:32 , 15-Фев-12, (53)

В пакете для организации групповой работы Horde..., Michael Shigorin, 23:00 , 14-Фев-12, (29)

В пакете для организации групповой работы Horde..., arisu, 23:08 , 14-Фев-12, (32) –1

В пакете для организации групповой работы Horde обнаружен бэ..., _Vitaly_, 20:11 , 14-Фев-12, (15) –1

В пакете для организации групповой работы Horde обнаружен бэ..., klalafuda, 22:45 , 14-Фев-12, (25)

В пакете для организации групповой работы Horde обнаружен бэ..., Аноним, 22:58 , 14-Фев-12, (27)

В пакете для организации групповой работы Horde обнаружен бэ..., Аноним, 22:59 , 14-Фев-12, (28) +1

В пакете для организации групповой работы Horde обнаружен бэ..., Аноним, 21:24 , 14-Фев-12, (22)
В пакете для организации групповой работы Horde обнаружен бэ..., Аноним, 08:23 , 15-Фев-12, (35)

В пакете для организации групповой работы Horde обнаружен бэ..., Аноним, 13:01 , 15-Фев-12, (40)

В пакете для организации групповой работы Horde обнаружен бэ..., Michael Shigorin, 13:37 , 15-Фев-12, (42)

В пакете для организации групповой работы Horde..., arisu, 14:26 , 15-Фев-12, (43)
В пакете для организации групповой работы Horde обнаружен бэ..., фыва, 15:34 , 15-Фев-12, (45)
В пакете для организации групповой работы Horde обнаружен бэ..., R, 20:36 , 15-Фев-12, (54)

Сообщения по теме [Сортировка по времени | RSS]

1. "В пакете для организации групповой работы Horde обнаружен бэ..." +2 +/–

Сообщение от Клыкастый (ok) on 14-Фев-12, 18:45

пааанеслась. год назад ещё писал, что при усилении позиций опенсорса собсвенно эксплуатация уязвимостей будет применяться реже, а вот атаки на "первоисточник" - гораздо чаще. там - ахиллесова пята. разработчикам - терпения и внимательности.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "В пакете для организации групповой работы Horde обнаружен бэ..." +5 +/–

Сообщение от Аноним (??) on 14-Фев-12, 18:47

Ну нет же проблем если дистрибостроители верифицируют сорцы используя ЭЦП.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

4. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от rusty_angel (ok) on 14-Фев-12, 19:01

А откуда дистростроители берут исходники? С уже скомпрометированных серверов проектов. Вот если все будут вместе с архивами выкладывать контрольные суммы…

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

6. "В пакете для организации групповой работы Horde..." +2 +/–

Сообщение от arisu (ok) on 14-Фев-12, 19:05

> А откуда дистростроители берут исходники?
из окаменелостей. ну что стоит девелоперам перестать раздавать окаменелости и вместо этого просто публиковать sha релизного коммита?

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

7. "В пакете для организации групповой работы Horde обнаружен бэ..." +4 +/–

Сообщение от Lain_13 on 14-Фев-12, 19:20

Git не был скомпрометирован. Сломали только FTP.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

9. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от Аноним (??) on 14-Фев-12, 19:31

Во люди. Пишут же про ЭЦП. Контрольную сумму легко подделать, ЭЦП - нет (если рядом приватные ключи не раскидывать). И ничего страшного нет в том чтобы публиковать релиз. Да хоть патчи (с ЭЦП) публикуйте в таком случае.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

23. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от klalafuda on 14-Фев-12, 21:35

> Во люди. Пишут же про ЭЦП. Контрольную сумму легко подделать, ЭЦП - нет (если рядом приватные ключи не раскидывать). И ничего страшного нет в том чтобы публиковать релиз. Да хоть патчи (с ЭЦП) публикуйте в таком случае.
А если приватный ключ лежит рядом с password.txt из которого по всей видимости и увели аки на FTP?

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

38. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от rain87 on 15-Фев-12, 12:02

то ссзб, очевидно

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

51. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от Клыкастый (ok) on 15-Фев-12, 20:21

> то ссзб, очевидно
от этого не легче

Ответить | Правка | ^ к родителю #38 | Наверх | Cообщить модератору

21. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от FFASM (ok) on 14-Фев-12, 21:16

Это уже давно и делается всеми, кто пользуется git.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

44. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от Аноним (??) on 15-Фев-12, 15:17

А что мешает подменить запись о контрольной сумме на странице проекта?

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

46. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от Аноним (??) on 15-Фев-12, 15:45

Речь не о контрольной сумме, а о подписывании кода личной подписью разработчика, и последующей верификации авторами дистрибутивов.

Ответить | Правка | ^ к родителю #44 | Наверх | Cообщить модератору

48. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от Аноним (??) on 15-Фев-12, 15:47

^ пардон, не посмотрел кому отвечаю.

Ответить | Правка | ^ к родителю #46 | Наверх | Cообщить модератору

49. "В пакете для организации групповой работы Horde обнаружен бэ..." –1 +/–

Сообщение от Клыкастый (ok) on 15-Фев-12, 16:06

Я предлагаю посмотреть в общем и целом. Проблема стоит так, что опенсорс более уязвим именно на стадии написания и распространения исходников. И контрольные суммы - это даже не тень решения проблемы в целом.
- в проект надо набирать людей. надо как-то проверять их самих и требования к рабочему месту. это раз.
- разработчик должен иметь подпись.
- проект должен уметь работать с подписями и проверять валидность кода.
- должна быть секурити тим.
- тот, кто код берёт, должен иметь возможность проверить его аутентичность.
в общем и целом это уже совсем не пионэрство "пишу для удовольствия", это очень серьёзно. и требует слаженного взаимодействия между всеми участниками. но этим заниматься не хочется, хочется же побегать босиком за Столлманом и покидаться какашками в BSD.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

55. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от Анон on 16-Фев-12, 14:21

> в общем и целом это уже совсем не пионэрство "пишу для удовольствия", это очень серьёзно. и требует слаженного взаимодействия между всеми участниками. но этим заниматься не хочется, хочется же побегать босиком за Столлманом и покидаться какашками в BSD.
Вообще-то, базарная разработка - это Торвальдс как популяризатор и Реймонд как теоретик. Столлман же описывает модель распространения, а не разработки.

Ответить | Правка | ^ к родителю #49 | Наверх | Cообщить модератору

56. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от Клыкастый (ok) on 16-Фев-12, 22:47

> Вообще-то, базарная разработка - это Торвальдс как популяризатор и Реймонд как теоретик.
тем не менее именно линукс паровоз опенсорса.
> Столлман же описывает модель распространения, а не разработки.
описал он её уже давно, и за это ему спасибо гигантское. сейчас он описывает, как все должны жить. это не модель разработки, это проповедь.

Ответить | Правка | ^ к родителю #55 | Наверх | Cообщить модератору

47. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от Аноним (??) on 15-Фев-12, 15:46

В таком случае все есть вероятность заражения исходников на машине разработчика, до подписывания.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

2. "В пакете для организации групповой работы Horde обнаружен бэ..." +1 +/–

Сообщение от Аноним (??) on 14-Фев-12, 18:46

Еще один аргумент за использование цифровой подписи.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

5. "В пакете для организации групповой работы Horde..." +3 +/–

Сообщение от arisu (ok) on 14-Фев-12, 19:04

поэтому порочную практику «публикования релизов» давно пора отменить. вместо этого указывать на сайте команду для гита, которая вытащит именно то, что девелоперы назвали релизом.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

8. "В пакете для организации групповой работы Horde..." +/–

Сообщение от skJ on 14-Фев-12, 19:29

а всем желающим попользоватся активно ставить себе бегом клиента для коннекта к очередной _cvs_system_, ню ню

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

12. "В пакете для организации групповой работы Horde..." +2 +/–

Сообщение от arisu (ok) on 14-Фев-12, 19:51

> а всем желающим попользоватся активно ставить себе бегом клиента для коннекта к
> очередной _cvs_system_, ню ню
скажи мне, милый друг: сколько этих самых желающих таки тащат тарболы с офсайта, а не берут из репозиториев своих дистрибутивов? и если уж они таки тащат тарболы, то для них не составит труда взять не тарбол, а срез гита.
но ты вряд ли об этом подумал, у тебя типичная психология диванного мыслителя: «я-то, конечно, понимаю, как это и что, но вот люди — люди, увы, не поймут…»

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

50. "В пакете для организации групповой работы Horde..." +/–

Сообщение от Клыкастый (ok) on 15-Фев-12, 16:15

> а всем желающим попользоватся активно ставить себе бегом клиента для коннекта
apt-get отказывается ставить такие страшные вещи?
> к очередной _cvs_system_, ню ню
cvs, svn, git, mercurial. нет, я понимаю, что для рая на земле надо только apt-get, но у нас, обитателей мрачных лабиринтов соурс-бейзед, оно уже стоит. да. и я больше скажу. не будучи программистом как таковым приходится знать все четыре. хотя бы на уровне терминологии и общих принципов. и ты знаешь, ещё никто не умер. хотя я понимаю, проблема не в apt-get install mercurial, проблема потом разбираться. может случиться переполнение памяти ;)

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

10. "В пакете для организации групповой работы Horde..." +/–

Сообщение от Crazy Alex (ok) on 14-Фев-12, 19:35

А в чем принципиальная разница? Ну поломают сервер с репозиторием - результат тот же. Ну ладно, при взломе гит почует, что контрольные суммы изменились, а остальные версионники? Навскидку еще штук пять вспомнить можно (svn, mercurial, bazaar, fossil, darcs) - из них хоть половина целостность проверяет?

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

11. "В пакете для организации групповой работы Horde..." +/–

Сообщение от анон on 14-Фев-12, 19:39

пользуйтесь гитом - и будет безопасно :)
а также гораздо более удобно и функционально (имхо)

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

13. "В пакете для организации групповой работы Horde..." +3 +/–

Сообщение от arisu (ok) on 14-Фев-12, 19:55

(задумчиво) значит, надо переходить на те, которые проверяют. или допиливать проверки в любимые. то, что где-то фичи нет — не причина сидеть и плакать, это повод допилить фичу туда, где её нет. ну право, пора уже что-то с окаменелыми тарболами делать. ну, то есть, не «что-то», а «забыть о них в большинстве случаев».
p.s. централизованые системы я вообще тут не рассматриваю: это такая же окаменелая фигня, как и тарболы.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

52. "В пакете для организации групповой работы Horde..." +/–

Сообщение от Клыкастый (ok) on 15-Фев-12, 20:24

> (задумчиво) значит, надо переходить на те, которые проверяют. или допиливать проверки в
> любимые. то, что где-то фичи нет — не причина сидеть и
> плакать, это повод допилить фичу туда, где её нет.
истинно так. но легко свести лошадь к воде, но невозможно заставить её пить. фичи напишут, ещё бы на них не забивали.

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

16. "В пакете для организации групповой работы Horde..." +/–

Сообщение от _Vitaly_ (ok) on 14-Фев-12, 20:12

Упс, не туда ответ воткнулся. Это вам https://www.opennet.ru/openforum/vsluhforumID3/82997.html#15

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

20. "В пакете для организации групповой работы Horde..." +1 +/–

Сообщение от Аноним (??) on 14-Фев-12, 20:32

> А в чем принципиальная разница? Ну поломают сервер с репозиторием - результат тот же.
Ага, иди разломай гит так чтобы потом 100500 разработчиков не заметило этого. Удачи.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

24. "В пакете для организации групповой работы Horde..." +1 +/–

Сообщение от Crazy Alex (ok) on 14-Фев-12, 21:38

Да довольно легко на самом деле - если больше одного человека имеет право на пуш лишний коммит с большой вероятностью даже замечен особо не будет. Ну обновилось что-то. Для достаточно большого проекта - пройдёт со свистом.

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

30. "В пакете для организации групповой работы Horde..." +1 +/–

Сообщение от Michael Shigorin (ok) on 14-Фев-12, 23:02

> если больше одного человека имеет право на пуш
...то это уже SVN какой-то.

Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

26. "В пакете для организации групповой работы Horde..." +/–

Сообщение от Аноним (??) on 14-Фев-12, 22:56

> поэтому порочную практику «публикования релизов» давно пора отменить. вместо
> этого указывать на сайте команду для гита, которая вытащит именно то,
> что девелоперы назвали релизом.
Сравним:
Вы предлагаете скачивать из $VCSNAME. При этом это может быть git, svn, cvs, ...
Нужно всегда знать, как проверять "релиз" в очередной VCS. Хорошо, если это всегда git.
Тарболл можно подписать. Чем этот вариант вам не понравился? Обычно подписывают с помощью gpg. Способ проверки всегда одинаков, будь это хоть бинарник. Вы предлагаете мне заочно стать разработчиком, хотя я ничего и не разрабатываю обычно?

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

31. "В пакете для организации групповой работы Horde..." –1 +/–

Сообщение от arisu (ok) on 14-Фев-12, 23:05

(пожимает плечами) о боги, человек, ну что же вы такие линейные-то? вроде бы и скрипты давно придумали — а толку ноль… для этих ваших разных scs и билд-контролей можно скрипт написать. один раз. положить к себе в репозиторий. и больше не мучаться. попутно получив возможность проверять не только тарбол, который авторы выложить соизволили.
дала природа мозг, а зачем — пояснить забыла…

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

34. "В пакете для организации групповой работы Horde..." +1 +/–

Сообщение от Аноним (??) on 15-Фев-12, 00:02

> (пожимает плечами) о боги, человек, ну что же вы такие линейные-то? вроде
> бы и скрипты давно придумали — а толку ноль… для этих
> ваших разных scs и билд-контролей можно скрипт написать. один раз. положить
> к себе в репозиторий. и больше не мучаться. попутно получив возможность
> проверять не только тарбол, который авторы выложить соизволили.
> дала природа мозг, а зачем — пояснить забыла…
Я совершенно не понял вашего возмущения. Наверное, мы с разными окружениями работаем.

Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

53. "В пакете для организации групповой работы Horde..." +/–

Сообщение от Клыкастый (ok) on 15-Фев-12, 20:32

>> поэтому порочную практику «публикования релизов» давно пора отменить. вместо
>> этого указывать на сайте команду для гита, которая вытащит именно то,
>> что девелоперы назвали релизом.
> Сравним:
> Вы предлагаете скачивать из $VCSNAME. При этом это может быть git, svn,
> cvs, ...
> Нужно всегда знать, как проверять "релиз" в очередной VCS. Хорошо, если это
> всегда git.
в упор не вижу проблемы. md5/sha в портах/портежах проверяются, никто не парится. так же можно и подпись проверять.

> Вы предлагаете мне заочно стать разработчиком, хотя я ничего и не разрабатываю обычно?
исходники вам зачем тогда? если нужны - нет же проблем разобраться?

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

29. "В пакете для организации групповой работы Horde..." +/–

Сообщение от Michael Shigorin (ok) on 14-Фев-12, 23:00

> поэтому порочную практику «публикования релизов» давно пора отменить.
Да ну, тарболы порой лучше полной истории.
> вместо этого указывать на сайте команду для гита, которая вытащит именно то,
> что девелоперы назвали релизом.
Бишь аннотированный и (крайне желательно) подписанный тег.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

32. "В пакете для организации групповой работы Horde..." –1 +/–

Сообщение от arisu (ok) on 14-Фев-12, 23:08

>> поэтому порочную практику «публикования релизов» давно пора отменить.
> Да ну, тарболы порой лучше полной истории.
по-моему, у всех нормальных scs есть возможность не качать полную историю. зато — в отличие от тарбола — можно взять и проверить любой интересный срез, а не только то, что на сайте положили.
>> вместо этого указывать на сайте команду для гита, которая вытащит именно то,
>> что девелоперы назвали релизом.
> Бишь аннотированный и (крайне желательно) подписанный тег.
ну да. это уже частности организации конкретного процесса.
впрочем, «релизы» как таковые — тоже пережитки прошлого. зачем? «коммит xyz — стабильный коммит». чего ради релизы выпускать, номерами заморачиваться?

Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

15. "В пакете для организации групповой работы Horde обнаружен бэ..." –1 +/–

Сообщение от _Vitaly_ (ok) on 14-Фев-12, 20:11

google "%myvcs% sign commit"
git/mercurial/bazaar точно умеют коммиты подписывать. И на сервисах типа гитхаба генерация архивов интегрирована. C выкладыванием на ftp пацаны реально от жизни отстали. Так не делают.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

25. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от klalafuda on 14-Фев-12, 22:45

> C выкладыванием на ftp пацаны реально от жизни отстали. Так не делают.
Факт!
ftp://ftp.mozilla.org/pub/firefox/releases/latest-10.0/source/
ftp://ftp.kde.org/pub/kde/stable/latest/src/
ftp://ftp.gnome.org/pub/gnome/sources/
ftp://ftp.gnu.org/pub/gnu/
.............

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

27. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от Аноним (??) on 14-Фев-12, 22:58

>> C выкладыванием на ftp пацаны реально от жизни отстали. Так не делают.
> Факт!
> ftp://ftp.mozilla.org/pub/firefox/releases/latest-10.0/source/
> ftp://ftp.kde.org/pub/kde/stable/latest/src/
> ftp://ftp.gnome.org/pub/gnome/sources/
> ftp://ftp.gnu.org/pub/gnu/
> .............
У большинства есть http-зеркала, откуда качать зачастую намного удобнее, чем выкачивать с ftp, обычно без многопоточной загрузки (ftp ограничивают это, уже за это его пора бы отправить на свалку).

Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

28. "В пакете для организации групповой работы Horde обнаружен бэ..." +1 +/–

Сообщение от Аноним (??) on 14-Фев-12, 22:59

>ftp сервера обычно ограничивают это,

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

22. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от Аноним (??) on 14-Фев-12, 21:24

7 февраля какого года?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

35. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от Аноним (??) on 15-Фев-12, 08:23

Почему на kernel.org все исходники имеют свои цифровые подписи, а тут никто не позаботился? Чеще делать,чаще проверять - вот и все !)

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

40. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от Аноним (??) on 15-Фев-12, 13:01

Почему ты считаешь, что цифровая подпись хоть что-то гарантирует?
В концепции PKI важна не цифровая подпись сама по себе, а то, кто ее ставит. И доверяешь ли ты тому, кто подписывает. Причем лично я считаю, что понятия "доверие" и "безопасность" ортогональны. Нет доверия. Есть знание.

Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

42. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от Michael Shigorin (ok) on 15-Фев-12, 13:37

> Нет доверия.
> Есть знание.
Сколько будет два плюс два?

Ответить | Правка | ^ к родителю #40 | Наверх | Cообщить модератору

43. "В пакете для организации групповой работы Horde..." +/–

Сообщение от arisu (ok) on 15-Фев-12, 14:26

>> Нет доверия.
>> Есть знание.
> Сколько будет два плюс два?
например, 11.

Ответить | Правка | ^ к родителю #42 | Наверх | Cообщить модератору

45. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от фыва on 15-Фев-12, 15:34

2+2=22

Ответить | Правка | ^ к родителю #42 | Наверх | Cообщить модератору

54. "В пакете для организации групповой работы Horde обнаружен бэ..." +/–

Сообщение от R on 15-Фев-12, 20:36

>> Нет доверия.
>> Есть знание.
> Сколько будет два плюс два?
А сколько Вам надо? (С) ;)

Ответить | Правка | ^ к родителю #42 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "В пакете для организации групповой работы Horde обнаружен бэ..."	+2 +/–
Сообщение от Клыкастый (ok) on 14-Фев-12, 18:45
пааанеслась. год назад ещё писал, что при усилении позиций опенсорса собсвенно эксплуатация уязвимостей будет применяться реже, а вот атаки на "первоисточник" - гораздо чаще. там - ахиллесова пята. разработчикам - терпения и внимательности.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	3. "В пакете для организации групповой работы Horde обнаружен бэ..."	+5 +/–
	Сообщение от Аноним (??) on 14-Фев-12, 18:47
	Ну нет же проблем если дистрибостроители верифицируют сорцы используя ЭЦП.
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	4. "В пакете для организации групповой работы Horde обнаружен бэ..."	+/–
	Сообщение от rusty_angel (ok) on 14-Фев-12, 19:01
	А откуда дистростроители берут исходники? С уже скомпрометированных серверов проектов. Вот если все будут вместе с архивами выкладывать контрольные суммы…
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	6. "В пакете для организации групповой работы Horde..."	+2 +/–
	Сообщение от arisu (ok) on 14-Фев-12, 19:05
	> А откуда дистростроители берут исходники? из окаменелостей. ну что стоит девелоперам перестать раздавать окаменелости и вместо этого просто публиковать sha релизного коммита?
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	7. "В пакете для организации групповой работы Horde обнаружен бэ..."	+4 +/–
	Сообщение от Lain_13 on 14-Фев-12, 19:20
	Git не был скомпрометирован. Сломали только FTP.
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	9. "В пакете для организации групповой работы Horde обнаружен бэ..."	+/–
	Сообщение от Аноним (??) on 14-Фев-12, 19:31
	Во люди. Пишут же про ЭЦП. Контрольную сумму легко подделать, ЭЦП - нет (если рядом приватные ключи не раскидывать). И ничего страшного нет в том чтобы публиковать релиз. Да хоть патчи (с ЭЦП) публикуйте в таком случае.
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	23. "В пакете для организации групповой работы Horde обнаружен бэ..."	+/–
	Сообщение от klalafuda on 14-Фев-12, 21:35
	> Во люди. Пишут же про ЭЦП. Контрольную сумму легко подделать, ЭЦП - нет (если рядом приватные ключи не раскидывать). И ничего страшного нет в том чтобы публиковать релиз. Да хоть патчи (с ЭЦП) публикуйте в таком случае. А если приватный ключ лежит рядом с password.txt из которого по всей видимости и увели аки на FTP?
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	38. "В пакете для организации групповой работы Horde обнаружен бэ..."	+/–
	Сообщение от rain87 on 15-Фев-12, 12:02
	то ссзб, очевидно
	Ответить \| Правка \| ^ к родителю #23 \| Наверх \| Cообщить модератору


	51. "В пакете для организации групповой работы Horde обнаружен бэ..."	+/–
	Сообщение от Клыкастый (ok) on 15-Фев-12, 20:21
	> то ссзб, очевидно от этого не легче
	Ответить \| Правка \| ^ к родителю #38 \| Наверх \| Cообщить модератору


	21. "В пакете для организации групповой работы Horde обнаружен бэ..."	+/–
	Сообщение от FFASM (ok) on 14-Фев-12, 21:16
	Это уже давно и делается всеми, кто пользуется git.
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	44. "В пакете для организации групповой работы Horde обнаружен бэ..."	+/–
	Сообщение от Аноним (??) on 15-Фев-12, 15:17
	А что мешает подменить запись о контрольной сумме на странице проекта?
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	46. "В пакете для организации групповой работы Horde обнаружен бэ..."	+/–
	Сообщение от Аноним (??) on 15-Фев-12, 15:45
	Речь не о контрольной сумме, а о подписывании кода личной подписью разработчика, и последующей верификации авторами дистрибутивов.
	Ответить \| Правка \| ^ к родителю #44 \| Наверх \| Cообщить модератору


	48. "В пакете для организации групповой работы Horde обнаружен бэ..."	+/–
	Сообщение от Аноним (??) on 15-Фев-12, 15:47
	^ пардон, не посмотрел кому отвечаю.
	Ответить \| Правка \| ^ к родителю #46 \| Наверх \| Cообщить модератору


	49. "В пакете для организации групповой работы Horde обнаружен бэ..."	–1 +/–
	Сообщение от Клыкастый (ok) on 15-Фев-12, 16:06
	Я предлагаю посмотреть в общем и целом. Проблема стоит так, что опенсорс более уязвим именно на стадии написания и распространения исходников. И контрольные суммы - это даже не тень решения проблемы в целом. - в проект надо набирать людей. надо как-то проверять их самих и требования к рабочему месту. это раз. - разработчик должен иметь подпись. - проект должен уметь работать с подписями и проверять валидность кода. - должна быть секурити тим. - тот, кто код берёт, должен иметь возможность проверить его аутентичность. в общем и целом это уже совсем не пионэрство "пишу для удовольствия", это очень серьёзно. и требует слаженного взаимодействия между всеми участниками. но этим заниматься не хочется, хочется же побегать босиком за Столлманом и покидаться какашками в BSD.
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	55. "В пакете для организации групповой работы Horde обнаружен бэ..."	+/–
	Сообщение от Анон on 16-Фев-12, 14:21
	> в общем и целом это уже совсем не пионэрство "пишу для удовольствия", это очень серьёзно. и требует слаженного взаимодействия между всеми участниками. но этим заниматься не хочется, хочется же побегать босиком за Столлманом и покидаться какашками в BSD. Вообще-то, базарная разработка - это Торвальдс как популяризатор и Реймонд как теоретик. Столлман же описывает модель распространения, а не разработки.
	Ответить \| Правка \| ^ к родителю #49 \| Наверх \| Cообщить модератору


	56. "В пакете для организации групповой работы Horde обнаружен бэ..."	+/–
	Сообщение от Клыкастый (ok) on 16-Фев-12, 22:47
	> Вообще-то, базарная разработка - это Торвальдс как популяризатор и Реймонд как теоретик. тем не менее именно линукс паровоз опенсорса. > Столлман же описывает модель распространения, а не разработки. описал он её уже давно, и за это ему спасибо гигантское. сейчас он описывает, как все должны жить. это не модель разработки, это проповедь.
	Ответить \| Правка \| ^ к родителю #55 \| Наверх \| Cообщить модератору


	47. "В пакете для организации групповой работы Horde обнаружен бэ..."	+/–
	Сообщение от Аноним (??) on 15-Фев-12, 15:46
	В таком случае все есть вероятность заражения исходников на машине разработчика, до подписывания.
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору

2. "В пакете для организации групповой работы Horde обнаружен бэ..."	+1 +/–
Сообщение от Аноним (??) on 14-Фев-12, 18:46
Еще один аргумент за использование цифровой подписи.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору

5. "В пакете для организации групповой работы Horde..."	+3 +/–
Сообщение от arisu (ok) on 14-Фев-12, 19:04
поэтому порочную практику «публикования релизов» давно пора отменить. вместо этого указывать на сайте команду для гита, которая вытащит именно то, что девелоперы назвали релизом.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	8. "В пакете для организации групповой работы Horde..."	+/–
	Сообщение от skJ on 14-Фев-12, 19:29
	а всем желающим попользоватся активно ставить себе бегом клиента для коннекта к очередной _cvs_system_, ню ню
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	12. "В пакете для организации групповой работы Horde..."	+2 +/–
	Сообщение от arisu (ok) on 14-Фев-12, 19:51
	> а всем желающим попользоватся активно ставить себе бегом клиента для коннекта к > очередной _cvs_system_, ню ню скажи мне, милый друг: сколько этих самых желающих таки тащат тарболы с офсайта, а не берут из репозиториев своих дистрибутивов? и если уж они таки тащат тарболы, то для них не составит труда взять не тарбол, а срез гита. но ты вряд ли об этом подумал, у тебя типичная психология диванного мыслителя: «я-то, конечно, понимаю, как это и что, но вот люди — люди, увы, не поймут…»
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору


	50. "В пакете для организации групповой работы Horde..."	+/–
	Сообщение от Клыкастый (ok) on 15-Фев-12, 16:15
	> а всем желающим попользоватся активно ставить себе бегом клиента для коннекта apt-get отказывается ставить такие страшные вещи? > к очередной _cvs_system_, ню ню cvs, svn, git, mercurial. нет, я понимаю, что для рая на земле надо только apt-get, но у нас, обитателей мрачных лабиринтов соурс-бейзед, оно уже стоит. да. и я больше скажу. не будучи программистом как таковым приходится знать все четыре. хотя бы на уровне терминологии и общих принципов. и ты знаешь, ещё никто не умер. хотя я понимаю, проблема не в apt-get install mercurial, проблема потом разбираться. может случиться переполнение памяти ;)
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору


	10. "В пакете для организации групповой работы Horde..."	+/–
	Сообщение от Crazy Alex (ok) on 14-Фев-12, 19:35
	А в чем принципиальная разница? Ну поломают сервер с репозиторием - результат тот же. Ну ладно, при взломе гит почует, что контрольные суммы изменились, а остальные версионники? Навскидку еще штук пять вспомнить можно (svn, mercurial, bazaar, fossil, darcs) - из них хоть половина целостность проверяет?
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	11. "В пакете для организации групповой работы Horde..."	+/–
	Сообщение от анон on 14-Фев-12, 19:39
	пользуйтесь гитом - и будет безопасно :) а также гораздо более удобно и функционально (имхо)
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору


	13. "В пакете для организации групповой работы Horde..."	+3 +/–
	Сообщение от arisu (ok) on 14-Фев-12, 19:55
	(задумчиво) значит, надо переходить на те, которые проверяют. или допиливать проверки в любимые. то, что где-то фичи нет — не причина сидеть и плакать, это повод допилить фичу туда, где её нет. ну право, пора уже что-то с окаменелыми тарболами делать. ну, то есть, не «что-то», а «забыть о них в большинстве случаев». p.s. централизованые системы я вообще тут не рассматриваю: это такая же окаменелая фигня, как и тарболы.
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору


	52. "В пакете для организации групповой работы Horde..."	+/–
	Сообщение от Клыкастый (ok) on 15-Фев-12, 20:24
	> (задумчиво) значит, надо переходить на те, которые проверяют. или допиливать проверки в > любимые. то, что где-то фичи нет — не причина сидеть и > плакать, это повод допилить фичу туда, где её нет. истинно так. но легко свести лошадь к воде, но невозможно заставить её пить. фичи напишут, ещё бы на них не забивали.
	Ответить \| Правка \| ^ к родителю #13 \| Наверх \| Cообщить модератору


	16. "В пакете для организации групповой работы Horde..."	+/–
	Сообщение от _Vitaly_ (ok) on 14-Фев-12, 20:12
	Упс, не туда ответ воткнулся. Это вам https://www.opennet.ru/openforum/vsluhforumID3/82997.html#15
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору


	20. "В пакете для организации групповой работы Horde..."	+1 +/–
	Сообщение от Аноним (??) on 14-Фев-12, 20:32
	> А в чем принципиальная разница? Ну поломают сервер с репозиторием - результат тот же. Ага, иди разломай гит так чтобы потом 100500 разработчиков не заметило этого. Удачи.
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору


	24. "В пакете для организации групповой работы Horde..."	+1 +/–
	Сообщение от Crazy Alex (ok) on 14-Фев-12, 21:38
	Да довольно легко на самом деле - если больше одного человека имеет право на пуш лишний коммит с большой вероятностью даже замечен особо не будет. Ну обновилось что-то. Для достаточно большого проекта - пройдёт со свистом.
	Ответить \| Правка \| ^ к родителю #20 \| Наверх \| Cообщить модератору


	30. "В пакете для организации групповой работы Horde..."	+1 +/–
	Сообщение от Michael Shigorin (ok) on 14-Фев-12, 23:02
	> если больше одного человека имеет право на пуш ...то это уже SVN какой-то.
	Ответить \| Правка \| ^ к родителю #24 \| Наверх \| Cообщить модератору