| |
| 2.8, Аноним (8), 11:18, 10/02/2021 [^] [^^] [^^^] [ответить]
| +11 +/– |
Не зря же в расте даже базовые возможности - во внешних модулях. Растаманы приготовили благодатную почву...
| | |
| |
| |
| 4.147, topin89 (ok), 20:08, 10/02/2021 [^] [^^] [^^^] [ответить]
| +5 +/– |
 Озвучу для тех, кому лень переходить:
Нет, в карго такой уязвимости нет. Но это вышло случайно, о такой атаке никто не думал заранее.
| | |
| |
| 5.202, rex (??), 13:30, 18/02/2021 [^] [^^] [^^^] [ответить]
| +/– | |
В смысле, никто не думал заранее?
Я всегда считал это багом многих утилит работы с пакетами.
А вот, например, в 'docker pull' явно прописывается адрес регистри.
| | |
|
|
|
| 2.10, Аноним (10), 11:20, 10/02/2021 [^] [^^] [^^^] [ответить]
| +9 +/– |
Больше зависимостей богу зависимостей! Да здравствует leftpad.
| | |
| |
| 3.180, ЧешкиЧехова (?), 19:07, 11/02/2021 [^] [^^] [^^^] [ответить]
| +4 +/– | |
ЛапкоКодеры импортируют на лету непроверенное гавно из внешних источников в прод рантайм.
Так вообще можно было сразу форму отправки для загрузки произвольного крипта сделать и повесить на главную, механика даже не уровня xss.
Виток "Кнута-Смузи":
1
Тяжёлые времена
рождают сильных кодеров.
2
Сильные кодеры
ролждают либы и фреймворки.
3
Фреймворки и либы
рождают слабых кодеров.
4
Слабые кодеры
рождают тяжёлые времена.
Мы где то в середине 4ой стадии. А все умы идут в децентрализацию, trust computing и прочие умные модели, чтобы закрыть эпоху смузихлебов танцующих дырявую Тьюринг машину.
| | |
| |
| 4.196, Aga (??), 00:03, 14/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
давайте тогда делать вебсайты без этих ваших фреймворков и MVC, будем складывать все в условный index.php, чтобы чувствовать себя сильными кодерами
| | |
| |
| 5.198, Аноним (-), 08:14, 14/02/2021 [^] [^^] [^^^] [ответить]
| +2 +/– |
> давайте тогда делать вебсайты без этих ваших фреймворков и MVC, будем складывать
> все в условный index.php, чтобы чувствовать себя сильными кодерами
ЧСХ пока так делали - работало явно лучше. Во всяком случае, гиг RAM на рендер не жрало и не грузилось по 5 минут, даже несмотря на тормозные диалапы с GPRS и ADSL-ями.
| | |
| |
| 6.203, rico (ok), 18:52, 18/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
 Принцип модульности Орлова: если из распечатки одного модуля программы можно свить веревку, на которой можно повесить программиста, его написавшего, то все это следует сделать.
| | |
|
|
| 4.204, RedEyedMan (ok), 14:09, 26/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
 Вполне нормальное явление. Иначе зачем все эти либы и фреймворки, сильные обойдутся и без них. А я слабый, пользуюсь либами и фреймворками.
| | |
|
|
| |
| 3.184, Аноним (-), 03:38, 12/02/2021 [^] [^^] [^^^] [ответить] | –1 +/– | Так, блин, это ж программировать надо А вот это вебмакаки не умеют Ну, скольк... большой текст свёрнут, показать | | |
|
| 2.48, Аноним (48), 13:08, 10/02/2021 [^] [^^] [^^^] [ответить]
| +7 +/– |
Правильно, если у тебя в большом проекте 1 000 000 однострочников и ты использовал этот проект как платформу для 1000 других проектов, то весь код между проектами нужно копировать. И не в коем случае не использовать менеджеры зависимости! И когда ты фиксишь например 100 функций-однострочников в одном проекте, то все их вручную нужно копировать в 100 других проектов. Гениально, надо продвигать эту идею в массы.
| | |
| |
| 3.84, YetAnotherOnanym (ok), 14:19, 10/02/2021 [^] [^^] [^^^] [ответить]
| +11 +/– |
 Вообще-то, когда приходится фиксить сотни чужих пакетов, это достаточный повод сесть, подумать, и выбрать какую-то более другую платформу.
| | |
| |
| 4.183, Bob (??), 00:09, 12/02/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
Или заводить трактор, взяв месяц больничного и месяц отпуска, оплачиваемых)
| | |
|
| 3.102, Аноним (102), 15:06, 10/02/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
Так писали наши деды. Раньше позорным считалось переиспользование кода не только в соседних отделах, но даже в рамках одной программы. Если ты не можешь написать оригинальный код ad-hoc, то ты даже не программист, ты просто макака-копипастер.
| | |
| 3.185, Аноним (-), 03:39, 12/02/2021 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Правильно, если у тебя в большом проекте 1 000 000 однострочников
...то ты сделал что-то ну вот вообще совсем не так...
| | |
|
| 2.153, InuYasha (??), 22:27, 10/02/2021 [^] [^^] [^^^] [ответить]
| +6 +/– |
Вообще от зависимостей надо лечиться, а то в диспансер на учёт поставят :)
| | |
| 2.200, Аноним (200), 14:14, 15/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
Ваш комментарий в моей голове был озвучен голосом нежити из Варкрафта 3 ))
| | |
|
| |
| 2.51, AHOHUM (?), 13:14, 10/02/2021 [^] [^^] [^^^] [ответить]
| –2 +/– |
Природа красива в простоте сложности и сложности простоты. Не удаётся скрыться от сложности в простоту.
| | |
| |
| 3.194, Аноним (194), 00:49, 13/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
Недавно я с удивлением заметил, какому количеству полезных вещей мы обязаны растительному миру нашей планеты.
IT-корпорации должны быть разрушены.
| | |
|
|
| |
| 2.18, Лудакрис (?), 11:36, 10/02/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
а есть упоминание? читайте внимательнее, глупые аноны, это нелегко, знаю, но пытайтесь!
| | |
| |
| 3.21, Аноним (21), 11:41, 10/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
Нет упоминанй, потому что Растом и его пакетником в не пользуются?
| | |
| 3.49, Аноним (48), 13:12, 10/02/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
Я не тот анон, но там написано "в других системах, таких как..." и дальше приводится пример (именно пример, а не весь список!!!) систем "таких как". То есть из текста следует, что проблеме может быть подвержен любой менеджер зависимостей даже если он не перечислен в данной статье.
| | |
| |
| 4.113, An O Nim (?), 16:13, 10/02/2021 [^] [^^] [^^^] [ответить]
| +3 +/– | |
Проблема ещё шире: переменчивость артефактов во внешних сетях.
Человеки делают неустойчивые системы. За первую половину молодости ооочень много кому не случается встретить, но эффект есть и существует - системы неустойчивы, могут исчезать или нужные подменяться на ненужные.
| | |
| |
| 5.195, Аноним (194), 00:51, 13/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
Да. В интернете может что угодно в любой момент исчезнуть навсегда, не оставив следов, и не достучишься.
Страшное чувство.
| | |
|
|
|
| 2.30, cheater (?), 12:03, 10/02/2021 [^] [^^] [^^^] [ответить]
| +5 +/– | |
Не раста, а cargo.
Именно эта не касается, тк. зависимости качаются по дефолту с crates.io, если явно не сказано иное.
Проблемам компрометации пакетов cargo подвержен так же как и все остальные, например если указать в конфиге Cargo.toml version ">=0.2" то никто не мешает скомпрометировать v0.3 в репозитории
| | |
| |
| 3.32, Аноним (5), 12:09, 10/02/2021 [^] [^^] [^^^] [ответить]
| +3 +/– |
Да, это проблема и не только cargo, но и всего раста, потому что все используют cargo. В общем, недостатки - это продолжение достоинств. Хотелось бы, чтобы появилась полноценная возможность опираться в пакетах (крейтах) только на то, что идет с самим дистрибутивом линукса, не компрометируя себя связями с единственным иностранным внешним репозиторием. Обычно всем пофиг на это, но есть области программирования, где совсем не пофиг. Короче, исходная тема новости лишний говорит, что бесплатного сыра [в мышеловке] не бывает.
| | |
| |
| |
| 5.39, Dzen Python (ok), 12:53, 10/02/2021 [^] [^^] [^^^] [ответить]
| –2 +/– |
 И?
На локальные пакеты он сможет сослаться в уже скомпилированном состоянии?
А на локальные системные либы при сборке?
Или для этого все равно нужно тянуть обертки с крейтс?
Просто интересно
| | |
| |
| 6.68, Аноним (68), 13:38, 10/02/2021 [^] [^^] [^^^] [ответить]
| +1 +/– | |
В уже скомпилированном состоянии он будет содержать крейты в себе.
Раст все растовые (в т.ч. удаленные крейты) зависимости вкомпиливает статически. В нем нет динамической линковки, поскольку нет стабильно ABI https://github.com/rust-lang/rfcs/issues/600 . Динамическая линковка доступна только при FFI (с либами, написанными на других языках)
Лично мне это нравится благодаря достигаемой скорости исполнения при использовании LTO. Понимаю тех, у кого места на диске мало. Или кому нужно множество связанных раст-процессов запускать.
| | |
| |
| 7.79, Аноним (8), 13:58, 10/02/2021 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> В нем нет динамической линковки, поскольку нет стабильно ABI
Карл, а что делали растаманы 15 лет?!
| | |
| |
| 8.90, Ordu (ok), 14:30, 10/02/2021 [^] [^^] [^^^] [ответить] | –2 +/– |  Ничего не делали, я уже говорил в соседнем топике Раскручивали язык, чтобы взят... текст свёрнут, показать | | |
|
| 7.186, Аноним (-), 03:43, 12/02/2021 [^] [^^] [^^^] [ответить]
| –3 +/– | |
> доступна только при FFI (с либами, написанными на других языках)
Да у них и сам яп бесполезен без сишно-сиплюсплюсного LLVM'а. Это не мешаер растаманам быковать на си и плюсы, в таких мелочах "системные" вебмакаки не парятся :)
| | |
|
|
| 5.41, Аноним (5), 12:54, 10/02/2021 [^] [^^] [^^^] [ответить]
| +3 +/– |
Мне интереснее, а можно ли при сборке приложения с помощью cargo использовать только то, что идет с дистрибутивом, вообще, не залезая в интернет (например, если это запрещено или даже, если нет интернета)?
| | |
| |
| 6.134, cheater (?), 18:25, 10/02/2021 [^] [^^] [^^^] [ответить] | +1 +/– | Вопрос не очень понятен 99 999 процентов пакетов в расте имеют внешние завис... большой текст свёрнут, показать | | |
| |
| 7.146, Аноним (5), 19:53, 10/02/2021 [^] [^^] [^^^] [ответить]
| –1 +/– |
Даже если сделать "cargo vendor", то изначально все равно крейты попадут в локальное хранилище (подкаталог проекта) из ненадежного сайта crates.io, т.е. такие крейты не будут вызывать доверия. Я же предпочел бы, чтобы крейты брались из дистрибутива линукса. Точнее, мне самому это не так важно, а важно то, что такое требование могут выставить потенциальные заказчики - к гадалке не ходи!
| | |
|
|
|
|
|
| 2.156, Аноним (156), 23:38, 10/02/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
а там написано, но это ж читать букавки надо, чему многи не обучены )))
| | |
|
| 1.7, тоже Аноним (ok), 11:17, 10/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +13 +/– |
 Рекомендации по защите не работают.
Работает только система, которая безопасна из коробки и требует чтения рекомендаций для того, чтобы сделать ее небезопасной.
| | |
| 1.11, Lex (??), 11:20, 10/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– | |
> Проблема в том, что пакетные менеджеры, такие как npm .. пытаются загрузить внутренние зависимости компаний в том числе и из публичных репозиториев
Они что, объявляли их просто как пакеты, а не ссылкой на каталог/файл типа file:// или ссылки на конкретную гитОвую репу типа git://github.com/<user>/<project>.git#<branch> !?
-Если так, то руководителей отделов разработки тех контор надо гнать сс.ными тряпками, поскольку в противном случае пакет вообще почти откуда угодно может стягиваться даже просто ввиду случайного совпадения имен
| | |
| |
| 2.40, Dzen Python (ok), 12:54, 10/02/2021 [^] [^^] [^^^] [ответить]
| –2 +/– |
Ты что! Там жЫ уважаемые девляпсы и сениоры! Они такой код пишуть - аж закачаешься (от эмоций!)!
| | |
| |
| 3.54, AHOHUM (?), 13:20, 10/02/2021 [^] [^^] [^^^] [ответить]
| +3 +/– | |
Не пишуть! А рисуютЪ!!! :)) Баги фиксят в продукте исправлением пары строк в конфигурации запуска.
Как стройбат: такие звери, что даже автомат не выдают.
| | |
|
|
| 1.23, Аноним (-), 11:46, 10/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– | |
> а также внутренние зависимости, которые не распространяются публично и загружаются из собственных репозиториев.
Руст или вообще какой-нибудь петон. Мы то знаем.
| | |
| |
| 2.26, Аноним (24), 11:55, 10/02/2021 [^] [^^] [^^^] [ответить]
| +3 +/– | |
> как исследователь случайно обратил внимание, что в публикуемом на GitHub общедоступном коде многие компании не очищают из manifest-файлов упоминание дополнительных зависимостей, применяемых во внутренних проектах или при реализации расширенной функциональности.
А если кто то забудет там пароли ?
| | |
| |
| 3.197, Аноним (-), 05:43, 14/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
На этот случай есть безопасТное восстановление паролей через ваши безопасТные мобильники. Номера на которых сейчас не подделывает только ленивый.
| | |
|
| 2.29, kissmyass (?), 12:02, 10/02/2021 [^] [^^] [^^^] [ответить]
| +3 +/– | |
ну например если дотнет то прям в файле проекта
<PackageReference Include="Fck.U.MS" Vesion="666-go-to-hell-beta2" />
| | |
| |
| 3.85, Аноним (24), 14:20, 10/02/2021 [^] [^^] [^^^] [ответить]
| –1 +/– | |
В смысле ? Разве оно первым делом не локальный файл ищет ?
Весь смысл подобных штук, проксей, кешей и т.д. в начале ЭТО ищут локально и если нет то тогда уже в ...
| | |
| |
| 4.100, kissmyass (?), 15:03, 10/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
> В смысле ? Разве оно первым делом не локальный файл ищет ?
> Весь смысл подобных штук, проксей, кешей и т.д. в начале ЭТО
> ищут локально и если нет то тогда уже в ...
Локально это где? Nuget пакет не поставляется с самим проектом.
| | |
|
|
| 2.31, kissmyass (?), 12:04, 10/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
а если доступа к коду нет, но есть к бинарникам, то обычно одна ассембли - один nuget пакет
| | |
|
| 1.28, kissmyass (?), 11:58, 10/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– | |
Я тоже немного офигел когда приватные пакеты искались на nuget.org
Самый очевидный но не самый простой способ на мой взгляд это юзать что-то типа Sonatype Nexus и проксировать nuget.org... полностью убрав nuget.org из списка источников.
| | |
| |
| 2.86, JL2001 (ok), 14:21, 10/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
 > Я тоже немного офигел когда приватные пакеты искались на nuget.org
> Самый очевидный но не самый простой способ на мой взгляд это юзать
> что-то типа Sonatype Nexus и проксировать nuget.org... полностью убрав nuget.org из
> списка источников.
а Nexus не накачает с nuget.org более новых версий, чем локальные??
| | |
| |
| 3.103, kissmyass (?), 15:09, 10/02/2021 [^] [^^] [^^^] [ответить]
| –1 +/– |
>> Я тоже немного офигел когда приватные пакеты искались на nuget.org
>> Самый очевидный но не самый простой способ на мой взгляд это юзать
>> что-то типа Sonatype Nexus и проксировать nuget.org... полностью убрав nuget.org из
>> списка источников.
> а Nexus не накачает с nuget.org более новых версий, чем локальные??
Насколько я знаю, там надо апрувить пакеты на кеширование.
Если пакета нет, то пофик какой версии его нет )))
Он заберется из приватной репы.
| | |
| |
| 4.109, JL2001 (ok), 15:55, 10/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
>>> Я тоже немного офигел когда приватные пакеты искались на nuget.org
>>> Самый очевидный но не самый простой способ на мой взгляд это юзать
>>> что-то типа Sonatype Nexus и проксировать nuget.org... полностью убрав nuget.org из
>>> списка источников.
>> а Nexus не накачает с nuget.org более новых версий, чем локальные??
> Насколько я знаю, там надо апрувить пакеты на кеширование.
> Если пакета нет, то пофик какой версии его нет )))
> Он заберется из приватной репы.
возможно от настроек зависит, наш выкачивает автоматом
| | |
|
|
|
| 1.42, Аноним (42), 12:54, 10/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– | |
>многие компании не очищают из manifest-файлов упоминание дополнительных зависимостей
Защита методом "безопасность через неясность" - говно.
В нормальных компаниях просто с публичных репозиториев ничего не ставится. Ставится со своего, все чужие пакеты в котором проверены службой безопасности.
| | |
| |
| |
| |
| 4.162, JL2001 (ok), 02:17, 11/02/2021 [^] [^^] [^^^] [ответить]
| +/– | |
> *банк
огласите название, плз
банк резервного фонда сша имени масонов?
их СБ памятник в платине поставить надо, если они акцептуют зависимости не по типу некст-некст-некст-инстал
| | |
| |
| 5.174, Атон (?), 14:41, 11/02/2021 [^] [^^] [^^^] [ответить]
| –1 +/– |
>> *банк
> огласите название, плз
крупный банк. сбер, втб, райф, другие
> их СБ памятник в платине поставить надо, если они акцептуют зависимости не
> по типу некст-некст-некст-инстал
никто не знает как, но времени это занимает много.
| | |
|
|
|
| 2.44, Dzen Python (ok), 12:58, 10/02/2021 [^] [^^] [^^^] [ответить]
| –2 +/– |
В нормальных компаниях к тому моменту, когда они выкладывают код/имеют зрелый продукт на руках уже есть набор нормальных опенсорцных .so'шников ИЛИ свой набор отлаженных, оптимизированных homebrew-либ. Ни или в сама крайнем случае - нормальная купленная библитека на внутреннем сервере. А не набор васянских лефтпадов из NPM
| | |
| 2.46, Аноним (46), 13:05, 10/02/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
Если уж этим на "проверены службой безопасности" не хватает, то где тогда "нормальные" водятся?
| | |
| 2.87, JL2001 (ok), 14:23, 10/02/2021 [^] [^^] [^^^] [ответить]
| +/– | |
> Ставится со своего, все чужие пакеты в котором проверены службой безопасности.
втф? ловите эльфа/наркомана!!
| | |
| |
| 3.106, www2 (??), 15:33, 10/02/2021 [^] [^^] [^^^] [ответить]
| +3 +/– | |
Пользователи Windows, скачавшие её с торрентов у Васяна и потом качающие на неё софт с кряками по первой ссылке из поиска - вот настоящие эльфы и наркоманы.
Самые серьёзные люди используют списки контроля доступа, системны мандатного доступа и сертифицированные операционные системы, поставить на которые обновлённый пакет - значит лишиться сертификации.
Новость тут в том, что даже качая из официального источника, проверяя хэш-суммы и цифровые подписи скачанного, можно всё равно нарваться на подлог из-за неправильно выставленных (или не выставленных вовсе) приоритетов источников.
| | |
| |
| 4.132, JL2001 (ok), 18:15, 10/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
> сертифицированные операционные системы, поставить на которые обновлённый пакет - значит
> лишиться сертификации.
покажите мне сертефицированную ОСь, где сертефицированные обновления безопасности появляются быстрее, чем эксплойты у скрипткидисов
| | |
|
|
|
| 1.45, Gogi (??), 13:02, 10/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– | |
Этот случай только лишний раз доказывает ущербность идеи "автоматических пакетов". Сеть априори считается ОПАСНЫМ местом. А вы оттуда тягаете пакеты на автомате и надеетесь, что хакеры это пропустят?? :)
Я уже несколько лет выступаю против нюГетов и подобных rовноподелий - им не место в продакшене! Для самопальных перделок - ради бога, но где идёт коммерческое ПО - сразу вон поганой метлой!
| | |
| |
| 2.47, Аноним (-), 13:06, 10/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
Может наоборот ? Там где комерческое - то пофиг, барин то платит.
| | |
| |
| 3.114, An O Nim (?), 16:18, 10/02/2021 [^] [^^] [^^^] [ответить]
| +/– | |
Считается, что так тоже не катит. Т.к. в полезного в коммерческом вырастет тот, кто заботится. Двуличка с хорошим результатом - редкость.
Кому пофиг - халтурщики. Они уходят на сторону или не растут.
| | |
|
| 2.89, JL2001 (ok), 14:28, 10/02/2021 [^] [^^] [^^^] [ответить]
| –1 +/– |
> Этот случай только лишний раз доказывает ущербность идеи "автоматических пакетов". Сеть
> априори считается ОПАСНЫМ местом. А вы оттуда тягаете пакеты на автомате
> и надеетесь, что хакеры это пропустят?? :)
> Я уже несколько лет выступаю против нюГетов и подобных rовноподелий - им
> не место в продакшене! Для самопальных перделок - ради бога, но
> где идёт коммерческое ПО - сразу вон поганой метлой!
а линуксы в продакшене ты как обновляешь, братюнь?
зы: какова ответственность редхата за появление в его репозитории дырявого или протрояненого самим автором программы пакета?
| | |
| |
| 3.115, An O Nim (?), 16:24, 10/02/2021 [^] [^^] [^^^] [ответить]
| –2 +/– | |
Редхат как раз и есть внутренние штатные репо самого дистра RHE Линукс. Репы RHEL как раз внутренние репо самого RHEL.
А вот бездумное добавление в yum-dnf.conf реп третьих сторон даст уязвимость как в новости. И некоторые и так тоже делают... Всякие там PPA репо и прочие с хабров и т.п. "авторитетных" площадок.
Шапкины репы - внутренние для Шапки. Тут-то очень всё норм.
| | |
| |
| 4.133, JL2001 (ok), 18:24, 10/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
> Редхат как раз и есть внутренние штатные репо самого дистра RHE Линукс.
> Репы RHEL как раз внутренние репо самого RHEL.
> А вот бездумное добавление в yum-dnf.conf реп третьих сторон даст уязвимость как
> в новости. И некоторые и так тоже делают... Всякие там PPA
> репо и прочие с хабров и т.п. "авторитетных" площадок.
> Шапкины репы - внутренние для Шапки. Тут-то очень всё норм.
я купил суппорт редхата, подключил их репы, автор оченьНужнойПрограммы обсфурцировал трояна в обновлении (крызыс, все выживают, как могут), оно попало в редхатовские репы, я обновился, меня хакнули
какую ответственность несёт редхат?
| | |
| |
| 5.152, Аноним (152), 22:25, 10/02/2021 [^] [^^] [^^^] [ответить]
| +2 +/– |
 В теории ментейнер пакетов это не просто человек-компилятор, а ещё и в код смотрит и правит перед компиляцией если нужно. Хотя я почти уверен, что у красной шляпы соглашение написано не хуже чем у MS.
| | |
| |
| 6.163, JL2001 (ok), 02:20, 11/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
> В теории ментейнер пакетов это не просто человек-компилятор, а ещё и в
> код смотрит и правит перед компиляцией если нужно. Хотя я почти
> уверен, что у красной шляпы соглашение написано не хуже чем у
> MS.
это то понятненько, что смотрит (в теории)
но вот сейчас у меня вопрос - какая ответственность прописана у редхата/оракла/итд если их мантейнер не смог рассмотреть если пришедший пакет повлёк денежный, репутационный, моральный ущерб
| | |
| |
| 7.178, fske (?), 18:44, 11/02/2021 [^] [^^] [^^^] [ответить]
| +/– | |
>какая ответственность прописана у редхата/оракла/итд
очень простая - ни одна айти контора не будет нести ответственность за твой бизнес, который может пострадать из-за использования или неиспользования их продуктов.
| | |
|
|
|
|
| 3.124, пох. (?), 17:50, 10/02/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
> зы: какова ответственность редхата за появление в его репозитории дырявого или протрояненого
> самим автором программы пакета?
ну раздавал же редхат непонятно кем и как модифицированный (и, что характерно - подписанный) ceph - и ничего, никто не пострадал.
Причем, кажется, так и не выяснилось, что это было и что случилось у тех кто успел савтоапгрейдиться.
Ну да, редхат врал что я не я, корова не моя, и вообще это другой, неправильный редхат сделал.
А разбор инцидента, по-моему, так и зажал.
| | |
|
| 2.139, Аноним (139), 19:01, 10/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
Поддерживаю. Собственно поэтому приходится у себя в гит репозитории хранить все эти миллиарды пакетов. Неудобно, да. Но куда деваться?
| | |
|
| |
| 2.60, Аноним (58), 13:27, 10/02/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
Это фича. А сабж это атака через фичу. Почти что социнженерия.
| | |
| 2.62, Аноним (62), 13:28, 10/02/2021 [^] [^^] [^^^] [ответить]
| –1 +/– |
Это квантовое программирование, багофича Шредингера. Будущее наступило.
| | |
|
| 1.52, Аноним (58), 13:15, 10/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– |
И как раст от такого спасет? А вы говорите безопасный язык. А раст такая же дырень со своим крейтсом.
| | |
| |
| 2.172, anonymous (??), 11:19, 11/02/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
Во-первых в rust этой уязвимости нет. Во-вторых rust -- это про safety, а не про security.
| | |
|
| 1.55, Аноним (55), 13:21, 10/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
Не глупо ли это само по себе - выкладывать на публику проекты, зависящие от неопубликованных библиотек.
| | |
| |
| 2.91, JL2001 (ok), 14:32, 10/02/2021 [^] [^^] [^^^] [ответить]
| +3 +/– |
> Не глупо ли это само по себе - выкладывать на публику проекты,
> зависящие от неопубликованных библиотек.
они и не выкладывают
в манифесте внутри опубликованного "бинарника" осталась инфа о том, из чего он собран, включая внутренние пакеты
| | |
|
| 1.61, Аноним (61), 13:27, 10/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
запускайте npm/pip/gems install на машинах разработчиков без изоляции, он вам и shell установит пользователям для кражи ssh-keys агента и вместе с вашими криптокошельками и рабочими местами.
| | |
| |
| 2.125, пох. (?), 17:51, 10/02/2021 [^] [^^] [^^^] [ответить]
| +/– | |
> запускайте npm/pip/gems install на машинах разработчиков без изоляции
а иначе нихрена не работает и не собирается. И что вот делааааать будииим?
| | |
| |
| 3.154, Аноним (152), 22:28, 10/02/2021 [^] [^^] [^^^] [ответить]
| +2 +/– |
Микросервис в вебассемблю в контейнер в виртуальную машину в облаке.
| | |
|
|
| 1.66, JL2001 (ok), 13:36, 10/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– | |
> добавив в скрипт, запускаемый перед началом установки (preinstall в NPM), код для сбора информации о системе и отправки полученных сведений на внешний хост
pred/post-install запускать от рута, говорили они, ничего не будет, всегда так делали, говорили они
ей, пацаны с репозиториями, вас там ещё не во все дыры?
мантейнеры успевают все патчи мониторить, или как с Kubernetes - напихали с гита в пакет, и всё отлично?
| | |
| 1.71, PetrG (ok), 13:44, 10/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– |
 Мой любимый кошмар на работе - почти каждый проект закачивает пол интернета при сборке. И мало кто понимает что там.
| | |
| |
| 2.93, Аноним (58), 14:46, 10/02/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
Выкачать всё в локальный репозиторий, сделать локальные пакеты. Запретить качать из инета, но не полностью. И ждать когда из интернет к тебе прилетит его клон.
| | |
| |
| 3.99, Аноним (61), 14:58, 10/02/2021 [^] [^^] [^^^] [ответить]
| +4 +/– |
Чем отличается фиксация пакетов с малварями от скачивания актуальной версии малвари?
| | |
| |
| 4.107, JL2001 (ok), 15:50, 10/02/2021 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Чем отличается фиксация пакетов с малварями от скачивания актуальной версии малвари?
типо о старых версиях типо уже должна была поднятья шумиха, если что :)
| | |
| |
| 5.142, Аноним (61), 19:27, 10/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
Поднялась шумиха, и твой пакетик на проде клиента дальше летит с вирусами.
| | |
|
|
|
|
| 1.80, Аноним (80), 14:01, 10/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
Очевидная атака. Удивительно что такие компании при сборке используют зависимости с инетов и не проверяют даже их подписи.
Всегда пишу eбылды и скачиваю все необходимые пакеты задолго до начала сборки.
| | |
| |
| 2.82, Аноним (61), 14:06, 10/02/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
Проверки подписи не у всех есть, да и проверяет вначале публичные репы и только потом приватные. Компании сами должен присылать патчи.
| | |
| |
| 3.110, Аноним (110), 15:59, 10/02/2021 [^] [^^] [^^^] [ответить]
| +1 +/– | |
Скачивают руками, локально и только потом собираю.
Шарится по сторонним репам все равно что кирпичем на минном поле футбол играть.
| | |
|
|
| 1.83, Аноним (74), 14:07, 10/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +4 +/– |
Для пистона это норма. Даже прожекты с мегатоннами звест на гитхубе, имеют мегатонны же проблем с зависимостями и всякого дерьма в своем составе. npm уже вообще что-то вроде мема. Go ждёт такое же будущее ибо язык рассчитан на идиотов. Это не значит что на нём пишут токма дураки, но даун-френдли политика, не доводит до добра.
| | |
| |
| 2.92, Аноним (58), 14:44, 10/02/2021 [^] [^^] [^^^] [ответить]
| –1 +/– |
Ну все значит нам нужна единая платформа, которая будет монолитна полностью запрещающая сторонние зависимости и имеет богатую дефолтную библиотеку. Только как её сделать?
| | |
| |
| 3.97, Аноним (97), 14:56, 10/02/2021 [^] [^^] [^^^] [ответить]
| +2 +/– |
Может не нужна платформа, а достаточно просто научиться программировать и делать зеродеп проги весом в десяток килобайт ? Или так не учили ?
| | |
| |
| 4.108, JL2001 (ok), 15:52, 10/02/2021 [^] [^^] [^^^] [ответить]
| –1 +/– |
> Может не нужна платформа, а достаточно просто научиться программировать и делать зеродеп
> проги весом в десяток килобайт ? Или так не учили ?
а вас то научили как коммунизм построить?
| | |
|
| 3.104, Аноним (74), 15:15, 10/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
Проблема не в зависимостях, а в навыках и культуре разработки, которые хромают у упомянутых язычков
| | |
| |
| 4.187, Стереопаштет (?), 06:10, 12/02/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
Проблема не в навыках, а в том что рынку нужно быстро и дешево. За идеальных сферических коней в вакууме никто не собирается платить. И если ты предложишь бизнесу писать велосипеды с нуля или перепроверять каждую версию каждой зависимости - на тебя как минимум посмотрят как на сумасшедшего. Либо ты находишь балланс между затратами-сесурити-скоростью разработки-багами-фичами, либо идешь ночевать под мостом (зато ты гордый и правильный! Не смузихлеб и не девляпс.).
| | |
|
|
|
| 1.94, Аноним (24), 14:54, 10/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– |
А что разве в GO уже переделали ? Раньше в GO чтобы цеплять файлы с гитхаба нужно было писать "github.com/mattn/go-sqlite3"
| | |
| |
| 2.181, еман (?), 22:15, 11/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
в Go - ещё лучше: на go get, go лезет к гуглу и спрашивает у него, можно ли скачать такой-то пакет, и качает только после утвердительного ответа. так что, если пакета нет в общественнодоступном ынтернете, нужно пользоваться специальными параметрами и специальными конфигурациями.
| | |
|
| |
| 2.98, Аноним (24), 14:58, 10/02/2021 [^] [^^] [^^^] [ответить]
| –1 +/– |
Тем проще ее заметить. Вон в ядре поди чего только нет ... исходники то открыты а толку от этого.
| | |
| |
| 3.126, пох. (?), 17:53, 10/02/2021 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> Тем проще ее заметить.
И как, заметили? Пока чуваки не пришли с мешком для денег?
| | |
|
|
| 1.105, Erley (ok), 15:23, 10/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +4 +/– |
 Странно что никто не озадачился проверкой базовых образов на которых собираются докер-контейнеры. Часто вижу как люди там используют какие-то мутные сборки убунты и тп. Вот где раздолье для хакеров!
Если уж качать бинарник из веба, то из проверенного источника и с проверкой подписи/хэша хотя бы.
| | |
| |
| 2.144, Аноним (145), 19:29, 10/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
Местные комментаторы уже давно знают что даже в надежном источнике с проверенной подписью есть сишная дырень.
| | |
| |
| 3.161, JL2001 (ok), 02:12, 11/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
> Местные комментаторы уже давно знают что даже в надежном источнике с проверенной
> подписью есть сишная дырень.
плюсую, бро!!!111
| | |
|
|
| 1.111, Брат Анон (ok), 16:09, 10/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
 Так-то вендоринг в golang великая сила))
Правда, это тоже не спасёт, если внешний пакет во время работы проги полезет в сеть хозяевам стучать (если админ -- снежинка с руками из от туда).
| | |
| |
| 2.135, JL2001 (ok), 18:28, 10/02/2021 [^] [^^] [^^^] [ответить]
| +/– | |
> Похоже, что пакетный ад Javascript дал о себе знать.
так и тут кровавая рука жаваскрипта?!!
| | |
|
| |
| 2.129, пох. (?), 17:57, 10/02/2021 [^] [^^] [^^^] [ответить]
| +2 +/– |
дык, норм у него была подпись - в точности того чувака, который его честно создал.
Только не тот и не там, где предполагалось манки-кодером.
| | |
| 2.136, JL2001 (ok), 18:30, 10/02/2021 [^] [^^] [^^^] [ответить]
| +/– | |
> Вообще-то когда скачивается пакет, должна подпись проверяться.
так она и проверилась, и верная
но репозиторий другой и автор пакета другой
я не знаю какие пакетные менеджеры умеют пинить подписи авторов пакетов
| | |
| |
| 3.167, Аноним (167), 05:19, 11/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
Есть лучше вариант — пинить версии пакетов (и всех зависимостей конечно) и умеют это чуть менее чем все современные менеджеры пакетов скриптовых языков.
| | |
| |
| 4.179, JL2001 (ok), 18:45, 11/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
> Есть лучше вариант — пинить версии пакетов (и всех зависимостей конечно) и
> умеют это чуть менее чем все современные менеджеры пакетов скриптовых языков.
у меня есть проект-либа и 100500 зависящих от неё проектов
я апаю версию либы и должен собрать релиз из 100500 проектов для глобального предпрод-тестирования
мне пойти и в каждом из них прописать "теперь я завишу от версии либы +1" ?
| | |
|
|
|
| 1.122, mumu (ok), 17:24, 10/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 Зачем тестировать? Просто пользуйтесь! Пользуйтесь все! Пока гром не грянет, мужик не перекрестится.
| | |
| |
| 2.130, пох. (?), 17:58, 10/02/2021 [^] [^^] [^^^] [ответить]
| –1 +/– |
Ну ты же понимаешь, что необходимость поддерживать функции оригинала (скачав его отдельно в обход автоматики) только немного усложнит троянский код?
И тест прекрасно пройден.
| | |
|
| |
| 2.150, пох. (?), 20:34, 10/02/2021 [^] [^^] [^^^] [ответить]
| –1 +/– | |
Чуваки просили передать, что мешок, в котором они уволокли дань, ничуть от этого не испортился, и они планируют зайти с ним через недельку, как только закончат подсчитывать предыдущую добычу.
| | |
|
| |
| |
| 3.188, Рр (?), 06:15, 12/02/2021 [^] [^^] [^^^] [ответить]
| –1 +/– |
Ненавижу девопсов. Меня в детстве огромный лохматый девопс покусал за ногу.
| | |
|
|
| 1.140, Аноним (140), 19:07, 10/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Девляпсы опять налетели на проблемы говнорепозитариев...
Удивительно, правда?
| | |
| 1.158, srgazh (ok), 00:13, 11/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
 75% от всех зафиксированных запусков кода были связаны с загрузкой NPM- Вот это ДЫРА. Как бороться с этим node и тп...
| | |
| 1.160, Аноним (160), 02:10, 11/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Внешние автоматически выкачиваемые зависимости — это всегда риск.
А вдруг завтра lodash зальют с бекдором?
| | |
| |
| 2.164, JL2001 (ok), 02:24, 11/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
> Внешние автоматически выкачиваемые зависимости — это всегда риск.
> А вдруг завтра lodash зальют с бекдором?
а "внешнее НЕ автоматическое выкачивание зависимостей" - это как? или у вас тоже СБ круче мантейнеров редхата?
| | |
|
| 1.165, deeaitch (ok), 04:05, 11/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 Вот кто бы сомневался во всех этох npn, ruby-чего-то там.
Там же будет и всё остальное подобное.
| | |
| 1.166, Аноним (167), 05:16, 11/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Надуманная проблема для python.
--extra-index-url там никто не использует, кроме Microsoft, как раз по этой причине.
Плюс версии пакетов блокируются в venv при разработке, так что в CI никаких чудес не будет. Скукота.
| | |
|
