The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги ]

20.09.2017 Обновление Samba 4.6.8, 4.5.14 и 4.4.16 с устранением уязвимостей ( +1)
  Опубликованы корректирующие выпуски Samba 4.6.8, 4.5.14 и 4.4.16, в которых устранены три уязвимости:
  • CVE-2017-12150 - возможность установки соединений без верификации по цифровой подписи в некоторых ситуациях, что позволяет вклинится в клиентское соединение через проведение MITM-атаки;
  • CVE-2017-12151 - получение контроля над транзитным трафиком SMB3 через инициирование прекращения использования шифрования после выполнения DFS-редиректа;
  • CVE-2017-12163 - клиент с правами записи может вызвать оседание отрывков памяти серверного процесса при записи в файл или выводе на печать при использовании протокола SMB1 с некорректными значениями диапазонов (range).

  1. Главная ссылка к новости
  2. OpenNews: Критическая уязвимость в Heimdal Kerberos, затрагивающая Samba 4
  3. OpenNews: Уязвимость в Samba, позволяющая выполнить код на сервере
  4. OpenNews: Обновление Samba 4.6.1, 4.5.7 и 4.4.12 с устранением уязвимости
  5. OpenNews: Выпуск Samba 4.6.0
  6. OpenNews: Уязвимость в Samba 4, которая может привести к удалённому выполнению кода
Обсуждение ( +1) | Тип: Проблемы безопасности |
20.09.2017 Выпуск web-браузера Vivaldi 1.12 (7 +5)
  Состоялся выпуск проприетарного web-браузера Vivaldi 1.12, разрабатываемого на базе движка Chromium и продолжающего развитие идей классического браузера Opera, предоставляя широкий спектр возможностей, включая удобную систему группировки вкладок, боковую панель, конфигуратор с большим числом настроек, режим блокировки изображений и нежелательного контента, систему ведения заметок, режим горизонтального отображения вкладок. Интерфейс браузера написан на языке JavaScript с использованием библиотеки React, платформы Node.js, Browserify и различных готовых NPM-модулей. Сборки Vivaldi подготовлены для Linux, Windows и macOS. Для прошлых выпусков проект распространяет под открытой лицензией исходные тексты изменений к Chromium. Реализация интерфейса Vivaldi написана на JavaScript, доступна в исходных текстах, но под проприетарной лицензией.

Основные новшества:

  • Встроен интерфейс для просмотра свойств изображения и имеющихся метаданных, включая такие сведения как размер, дата создания, местоположение, программа в которой производилось редактирования, значение экспозиции, светочувствительности и других параметров камеры. Для просмотра информации в контекстном меню для изображения следует выбрать пункт "Свойства изображения";
  • В боковую панель управления загрузками добавлен блок с информацией об имени файла, скорости загрузки, URL, целевом каталоге и времени окончания загрузки. Также обеспечена возможность сортировки элементов в списке загрузок по типу, в дополнение к имени, размеру, адресу и дате окончания загрузки;
  • В настройки добавлен ползунок для корректировки насыщенности цвета, выбираемого для обрамления элементов интерфейса. Настройка может оказаться полезной в случае, если для сайта выбран слишком яркий цвет (цвет интерфейса меняется в зависимости от цветовой гаммы пиктограммы открытого сайта).

  1. Главная ссылка к новости
  2. OpenNews: Выпуск web-браузера Opera 47
  3. OpenNews: Создатель JavaScript и бывший руководитель Mozilla представил новый браузер Brave
  4. OpenNews: Выпуск web-браузера QupZilla 2.1
  5. OpenNews: Выпуск браузера Otter 0.9.12, предлагающего интерфейс в стиле Opera 12
  6. OpenNews: Выпуск web-браузера Chrome 61
Обсуждение (7 +5) | Тип: Программы |
20.09.2017 Завершено открытие серверной части сервиса мгновенного обмена сообщениями Wire (28 +7)
  Коммуникационный сервис Wire, предлагающий end-to-end шифрование для обмена сообщениями, голосовых звонков и видеовызовов, объявил о завершении открытия всех компонентов серверной части, необходимых для запуска сервиса. Код серверных компонентов написан на языке Haskell и открыт под лицензией AGPLv3.

Следующим шагом станет проведение адаптации открытой кодовой базы для предоставления возможности развертывания обособленного аналога сервиса на своём оборудовании. В настоящее время требуется проведение чистки кода от внешних зависимостей. Из планов на будущее также называется предоставление средств для создания объединённых систем, позволяющих обмениваться сообщениями между сетью Wire и системами, запущенными на собственных серверах.

Система обмена сообщениями Wire реализована на базе протокола Proteus и API Cryptobox, в которых применяются известные криптографические алгоритмы ChaCha20, HMAC-SHA256, Curve25519 и HKDF, реализация которых заимствована из библиотеки libsodium. В отличие от WhatsApp, Viber, Telegram и Signal, сервис Wire позволяет регистрироваться без привязки к номеру телефона и без анализа содержимого адресной книги - в качестве идентификатора для отправки сообщений в Wire служит email.

Основные компоненты серверной части:

  • nginz - открытый API для обращения через Reverse Proxy;
  • galley - организация общения;
  • proxy - интеграция со сторонними API;
  • brig - ведение учётных записей;
  • gundeck - Push Notification Hub;
  • cannon - система Push-уведомлений на основе WebSocket;
  • cargohold - хранилище ресурсов;
  • libs - набор вспомогательных разделяемых библиотек, включая API для ботов.

  1. Главная ссылка к новости
  2. OpenNews: Открыта часть серверного кода сервиса мгновенного обмена сообщениями Wire
  3. OpenNews: Сервис мгновенного обмена сообщениями Wire объявил о скором открытии серверного кода
  4. OpenNews: В клиенте для мгновенного обмена сообщениями Wire появилась поддержка Linux
  5. OpenNews: Четвёртый тестовый выпуск системы мгновенного обмена сообщениями от проекта Tor
  6. OpenNews: Открыт код сервиса мгновенного обмена сообщениями Gitter
Обсуждение (28 +7) | Тип: Программы |
20.09.2017 Проект GNOME примет участие в разработке ПО для свободного смартфона Librem 5 (14 +10)
  Организация GNOME Foundation присоединилась к инициативе по созданию смартфона Librem 5, оснащённого прошивкой на базе свободного ПО. Так как один из вариантов пользовательского окружение для Librem 5 планировалось построить на базе технологий GNOME (второй вариант развивается на базе KDE Plasma Mobile), разработчики GNOME решили принять участие в создании окружения для мобильных устройств.

В том числе, совместно с разрабатывающей смартфон компанией Purism, планируется организовать серию встреч разработчиков, принять участие в разработке инструментария и эмулятора, адаптировать GNOME Shell для работы на смартфонах и провести оптимизацию производительности.

  1. Главная ссылка к новости
  2. OpenNews: Адаптация Plasma Mobile для смартфона Librem 5
  3. OpenNews: Компания Purism намерена выпустить смартфон Librem 5 на базе СПО и Linux
  4. OpenNews: Ноутбук Purism Librem 13 будут поставляться с операционной системой Qubes
  5. OpenNews: Проект Qubes выступил с новой инициативой сертификации безопасных ноутбуков
  6. OpenNews: Успешно собраны средства для производства ноутбука Librem, отвечающего требованиям Фонда СПО
Обсуждение (14 +10) | Тип: К сведению |
20.09.2017 Компания Apple выпустила язык программирования Swift 4.0 (62 +12)
  После года разработки компания Apple представила релиз языка программирования Swift 4.0, второй значительный выпуск после открытия исходных текстов проекта. Официальные сборки подготовлены для Linux (Ubuntu 16.04, 16.10) и macOS (Xcode). Исходные тексты распространяются под лицензией Apache 2.0.

В отличие от прошлых выпусков в Swift 4.0 сохранена полная обратная совместимость с исходными текстами ветки Swift 3. Изменения в Swift 4.0 сосредоточены на расширении возможностей стандартной библиотеки и реализации таких возможностей, как архивирование/сериализация структур и перечисляемых типов (например, теперь поддерживается сериализация в JSON и plist). В состав включена новая реализация типа String, которая отличается более высокой производительностью, обеспечением корректности Unicode и предоставлением инструментов для создания, использования и манипуляций подстроками (substring, многострочные литералы). Расширены возможности словарей и коллекций (тип Collection).

Представлена новая команда "swift run" для сборки и запуска исполняемых файлов, определённых в текущем пакете. Реализована идея эксклюзивного доступа к памяти, предотвращающая ситуации, когда может быть произведено изменение переменой, которая в данный момент используется или изменяется в другой части программы. Расширены возможности пакетного менеджера, в который добавлена функциональность, упрощающая одновременную разработку нескольких пакетов (несколько пакетов одновременно могут помечаться для релиза), представлен новый Package API, позволяющий управлять настройками сборки.

Напомним, что язык Swift наследует лучшие элементы языков C и Objective-C, и предоставляет объектную модель, совместимую с Objective-C (Swift-код может смешиваться с кодом на С и Objective-C), но отличается использованием средств автоматического распределения памяти и контроля переполнения переменных и массивов, что значительно увеличивает надёжность и безопасность кода. Swift также предлагает множество современных методов программирования, таких как замыкания, обобщенное программирование, лямбда-выражения, кортежи и словарные типы, быстрые операции над коллекциями, элементы функционального программирования. Версия для Linux не привязана к Objective-C Runtime, что позволяет использовать язык в окружениях, в которых отсутствует поддержка Objective-C.

Pеализация Swift построена с задействованием технологий свободного проекта LLVM. Для обеспечения высокой производительности Swift-программы компилируются в машинный код, выполняемый в тестах Apple на 30% быстрее кода на Objective-C. Вместо сборщика мусора в Swift используются средства подсчёта ссылок на объекты. В поставку входит пакетный менеджер Swift Package Manager, предоставляющий средства для распространения модулей и пакетов с библиотеками и приложениями на языке Swift, управления зависимостями, автоматизированной загрузки, сборки и связывания компонентов.

  1. Главная ссылка к новости
  2. OpenNews: Создатель LLVM и Swift уходит из компании Apple
  3. OpenNews: Компания Apple представила язык программирования Swift 3.0
  4. OpenNews: В язык Swift добавлена начальная поддержка платформы Android
  5. OpenNews: Компания Apple представила Swift 2.2, первый выпуск с поддержкой Linux
  6. OpenNews: Компания Apple открыла реализацию языка Swift и реализовала поддержку Linux
Обсуждение (62 +12) | Тип: Программы |
19.09.2017 Уязвимости в Apache httpd и Apache Tomcat (20 +4)
  В http-сервере Apache выявлена уязвимость (CVE-2017-9798), которая опубликована под кодовым именем Optionsbleed. Уязвимость проявляется на системах с разрешённым HTTP-методом OPTIONS и может привести к утечке отрывков памяти, содержащих остаточные данные от обработки текущим процессом запросов от других клиентов системы совместного хостинга.

Для тестирования подверженности своих систем проблеме подготовлен прототип эксплоита. Проблема актуальна только для систем хостинга, на которых размещаются сайты разных пользователей, так как для атаки требуется изменение настроек через файл .htaccess. В частности, утечка данных из памяти возникает при выполнении запроса OPTIONS, если в директиве Limit задано ограничение для несуществующего или незарегистрированного HTTP-метода. В этом случае при выполнении запроса OPTIONS отдаётся содержимое уже освобождённого блока памяти, в котором могут находиться конфиденциальные данные от выполнения прошлых запросов.

Несмотря на специфичные условия проявления проблемы сканирование миллиона крупнейших сайтов по рейтингу Alexa выявило 466 проблемных хостов, в которых при имеющихся настройках происходит утечка данных. При этом, по заявлению разработчиков Apache, риск от данной уязвимости незначителен, так как можно получить лишь значение нескольких лишних байтов памяти. Исправление пока доступно в виде патча (для ветки 2.2, для ветки 2.4).

Дополнительно можно отметить выявление уязвимости (CVE-2017-12615) в Apache Tomcat 7.x, открытой реализации технологий Java Servlet, JavaServer Pages, Java Expression Language и Java WebSocket. Проблема позволяет загрузить на сервер JSP-файл через специально оформленный запрос HTTP PUT из затем выполнить его с правами серверного процесса. Проблема проявляется только на платформе Windows при включении метода HTTP PUT. Также сообщается об ещё одной уязвимости (CVE-2017-12616), которая может привести к просмотру кода размещённых на сервере JSP-файлов, если данные файлы упоминаются в настройках директивы VirtualDirContext. Проблемы устранены в выпуске Apache Tomcat 7.0.81.

  1. Главная ссылка к новости
  2. OpenNews: Проблемы в systemd и Apache httpd при обработке DNS-имён с символом подчёркивания
  3. OpenNews: Выпуск http-серверов Apache 2.4.27, nginx 1.13.3 и 1.12.1
  4. OpenNews: Выпуск http-сервера Apache 2.4.26 с полноценной поддержкой HTTP/2
  5. OpenNews: DoS-уязвимость в mod_http2 из состава http-сервера Apache
  6. OpenNews: Опасная уязвимость в Apache Tomcat
Обсуждение (20 +4) | Тип: Проблемы безопасности |
19.09.2017 Обеспечена возможность сборки ядер Linux 4.4 и 4.9 при помощи Clang (31 +16)
  Инженеры из компании Google выступили на конференции Linux Plumbers Conference с докладом, в котором рассказали об инициативе переноса в основное ядро оставшихся патчей от заброшенного последние несколько лет проекта LLVMLinux. В результате проведённой работы предоставлена возможность сборки LTS-ядер Linux 4.4 и 4.9 с использованием компилятора Clang. Поддерживается сборка для архитектур x86_64 и ARM64. Перед сборкой требуется наложение одного патча (4.4, 4.9). Работа проведена в рамках инициативы по переводу сборочного инструментария Android и Chrome OS на использование Clang/LLVM.

Также можно отметить поддерживаемый одним из сотрудников Google репозиторий clang-kernel-build и ветку в репозитории проекта Chromium с инструкциями и патчами для сборки ядра Linux 4.13 с использованием Clang.

  1. Главная ссылка к новости
  2. OpenNews: На базе Sparse создан LLVM-бэкенд, нацеленный на пересборку ядра Linux
  3. OpenNews: В Clang доведена до готовности поддержка стандарта C++11 и приняты патчи для пересборки ядра Linux
  4. OpenNews: Анонсирован проект LLVMLinux, нацеленный на обеспечение сборки ядра Linux при помощи Clang
  5. OpenNews: Продемонстрирован запуск openSUSE с ядром Linux, собранным при помощи Clang
  6. OpenNews: В Clang обеспечена возможность сборки Linux-ядра 2.6.36
Обсуждение (31 +16) | Тип: К сведению |
19.09.2017 Выпуск GitHub Desktop 1.0 (41 –17)
  Увидел свет первый стабильный выпуск продукта GitHub Desktop, предоставляющего графический интерфейс для обособленной работы с GitHub. GitHub Desktop позволяет редактировать код, создавать ветки, взаимодействовать с другими разработчиками и отправлять изменения не прибегая к выполнению операций в командной строке. Программа написана с использованием платформы Electron (надстройка над Chromium и Node.js) и поставляется в сборках для Windows и macOS. Исходные тексты распространяются под лицензией MIT.

  1. Главная ссылка к новости
  2. OpenNews: Red Hat представил проект AWX, в рамках которого открыт код Ansible Tower
  3. OpenNews: Google открыл Chrome для iOS и планирует открыть Google Earth Enterprise
  4. OpenNews: Уязвимость, позволяющая осуществить подстановку SQL-кода в GitHub Enterprise
Обсуждение (41 –17) | Тип: Программы |
19.09.2017 Представлен мультимедийный сервер PipeWire, идущий на смену PulseAudio (127 +24)
  Кристиан Шаллер (Christian Schaller), возглавляющий группу по развитию десктоп-систем в компании Red Hat и Fedora Desktop Team, официально анонсировал проект PipeWire, в рамках которого развивается мультимедийный сервер нового поколения, расширяющий возможности PulseAudio средствами для обработки потоков видео, и в будущем идущий на замену PulseAudio. Первым этапом внедрения станет поставка PipeWire в Fedora 27 для обработки видео, в то время как PulseAudio пока продолжит применяться для звука. Код проекта написан на языке Си и распространяется под лицензией LGPLv2.1.

Изначально проект развивался одним из создателей фреймворка GStreamer под именами PulseVideo и Pinos (в честь испанского города), но позднее было выбрано более подходящее имя. PipeWire расширяет область применения PulseAudio обработкой любых мультимедийных потоков и способен смешивать и перенаправлять потоки с видео. PipeWire также предоставляет возможности для управления источниками видео, такими как устройства захвата видео, web-камеры или выводимое приложениями содержимое экрана. Например, PipeWire позволяет организовать совместную работу нескольких приложений с веб-камерой и решает проблемы с безопасным захватом содержимого экрана и удалённым доступом к экрану в окружении Wayland.

PipeWire также может выступать в роли звукового сервера, обеспечивающего минимальные задержки и предоставляющего функциональность комбинирующую возможности PulseAudio и JACK, в том числе учитывающую потребности систем профессиональной обработки звука, на которую не мог претендовать PulseAudio. Кроме того, PipeWire предлагает расширенную модель безопасности, позволяющую управлять доступом на уровне отдельных устройств и конкретных потоков, и упрощающую организацию проброса звука и видео из изолированных контейнеров и в них. Одной из главных целей является поддержка самодостаточных приложений в формате Flatpak и работа в графическом стеке на базе Wayland.

Основные возможности:

  • Захват и воспроизведение звука и видео с минимальными задержками;
  • Средства для обработки видео и звука в режиме реального времени;
  • Многопроцессная архитектура, позволяющая организовать совместный доступ к контенту нескольких приложений;
  • Модель обработки на основании графа мультимедийных узлов с поддержкой циклов обратной связи и атомарных обновлений графа. Допускается подключение обработчиков как внутри сервера, так и внешних плагинов;
  • Эффективный интерфейс доступа к видеопотокам через передачу файловых дескрипторов и доступа к звуку через совместно используемые кольцевые буферы (shared ringbuffer);
  • Возможность обработки мультимедийных данных от любых процессов;
  • Наличие плагина к GStreamer для упрощения интеграции с существующими приложениями;
  • Поддержка изолированных окружений и Flatpak;
  • Поддержка плагинов в формате SPA (Simple Plugin API) и возможность создания плагинов, работающих в режиме жесткого реального времени;
  • Гибкая система согласования используемых мультимедийных форматов и выделения буферов;
  • Использование одного фонового процесса для маршрутизации звука и видео. Возможность работы в форме звукового сервера, хаба для предоставления видео приложениям (например, для gnome-shell screencast API) и сервера для управления доступом к аппаратным устройствам захвата видео.

  1. Главная ссылка к новости
  2. OpenNews: Выпуск мультимедийного фреймворка GStreamer 1.12
  3. OpenNews: Причина прекращения поддержки звуковой системы ALSA в Firefox
  4. OpenNews: Выпуск звукового сервера PulseAudio 11.0
  5. OpenNews: Разработчики Fedora представили Pinos, аналог PulseAudio для видео
Обсуждение (127 +24) | Тип: Программы | Интересно
19.09.2017 Выявлена скупка плагинов к WordPress для распространения вредоносного кода (47 +8)
  Плагин "Display Widgets", насчитывающий более 200 тысяч установок, окончательно удалён из каталога плагинов к WordPress после серии инцидентов, в результате которых была осуществлена подстановка вредоносного кода в новые выпуски. Указанный код представлял собой бэкдор, позволяющий владельцам плагина контролировать контент на использующих плагин сайтах и выполнять подстановку своих рекламных блоков. Всем пользователям Display Widgets рекомендуется прекратить использование ветки 2.6.x.

Проблемы начались после того, как автор плагина, заинтересованный в развитии коммерческого аналога, продал "Display Widgets" другому разработчику, который обещал продолжить сопровождение плагина. 21 июня, спустя месяц после завершения сделки, новым владельцем было выпущено обновление 2.6.0, в котором была представлена поддержка средств для определения местоположения по базе GeoIP.

На следующий день после релиза к администраторам каталога плагинов WordPress поступила жалоба о нарушении требований к размещаемым в каталоге дополнениям. В частности, было выявлено, что плагин загружает около 38 Мб данных, содержащих информацию о географической привязке IP-адресов от компании Maxmind. После удаления дополнения из каталога, через неделю новый владелец плагина выпустил обновление, в котором устранил проблему путём интеграции GeoIP БД в основную поставку в виде виде файла geolocation.php. Дополнение было восстановлено в каталоге.

После изучения нового кода вновь было найдено нарушение правил - плагин передавал сведения о посетителях на внешний сервер, нарушая конфиденциальность пользователей. 1 июля дополнение было блокировано второй раз, а 6 июля был выпущен релиз 2.6.2 с активной по умолчанию опцией для отключения отправки логов. Дополнение было восстановлено, но 23 июля стали поступать жалобы о появлении спама на сайтах с плагином "Display Widgets", подтверждённые ссылками на кэш Google.

Разбор проблем показал, что источником спама является файл geolocation.php, в котором оказался спрятан бэкдор, позволяющий владельцам плагина публиковать новый контент на сайтах пользователей, а также заменять или удалять содержимое страниц. При этом для зарегистрированных пользователей и администраторов вредоносный код отображал изначальное содержимое, а для остальных пользователей выводил изменённый контент. Вредоносный код использовался для подстановки сторонней рекламы, незаметно для постоянных пользователей и администраторов сайтов. 24 июля дополнение в третий раз было заблокировано.

2 сентября был сформирован релиз 2.6.3, а 7 сентября возобновились жалобы на появление спама на сайтах пользователей плагина. На жалобы пользователей разработчики отвечали советом почистить кэш браузера, установить новую версию "Display Widgets" и почистить содержимое таблицы wp_options. Разработчики также пытались ввести пользователей в заблуждение, указывая в качестве причины появления спама наличие уязвимости, проявляющейся только при включении режима GEO Location в сочетании с применением других дополнений.

В итоге в новой версии также был выявлен изменённый бэкдор и 8 сентября администрация WordPress в четвёртый раз заблокировала "Display Widgets" с предупреждением о наличии критических проблем с безопасностью, а для пользователей было сформировано обновление 2.7.0 в котором произведён откат на кодовую базу 2.0.5, последнюю версию до продажи.

Стефани Велс (Stephanie Wells), изначальный автор дополнения, прокомментировала, что дополнение было продано Мэйсону Сойза (Mason Soiza) за 15 тысяч долларов, который представлял компанию WP Devs, заявляющую о владении 34 плагинами c аудиторией более 10 млн пользователей. Примечательно, что ранее наблюдалась аналогичная ситуация со спамом в плагине "404 to 301", который тоже купил Сойза. Также была договорённость о покупке плагина Finance Calculator, но его автор отменил сделку, узнав об инциденте с "Display Widgets". Об остальных плагинах, купленных Сойза, пока ничего не известно. Из хостов, с которых загружался вредоносный код упоминаются stopspam.io, w-p.io, geoip2.io и maxmind.io.

  1. Главная ссылка к новости
  2. OpenNews: Создатель вредоносного ПО блокировал отчёт о проблеме под предлогом нарушения авторских прав
  3. OpenNews: Фишинг-атака по захвату браузерных дополнений для встраивания в них вредоносного кода
  4. OpenNews: Chrome-дополнение Particle было выкуплено у автора и превращено во вредоносное ПО
  5. OpenNews: Зафиксирована скупка популярных браузерных дополнений для распространения вредоносного кода
  6. OpenNews: В рекламных сетях выявлено вредоносное ПО, скрытое в графических баннерах
Обсуждение (47 +8) | Тип: Проблемы безопасности |
19.09.2017 Проект Elementary OS представил программу для создания презентаций Spice-up 1.0 (95 +18)
  Опубликован первый стабильный выпуск приложения Spice-up, развиваемого в рамках проекта Elementary OS. Spice-up является воплощением в коде концепта приложения для создания презентаций, предложенного группой дизайнеров DeviantArt. Основной целью разработки является создание удобного интерфейса для быстрой подготовки простых, но красивых презентаций. Код написан на языке Vala с использованием GTK+ и поставляется под лицензией GPLv3.

Среди возможностей приложения:

  • Компоновка текста, изображений и форм;
  • Поддержка градиентной заливки;
  • Средства для демонстрации презентации c поддержкой пультов управления проектором с интерфейсом USB или Bluetooth (поддержка пультов реализована через библиотеку libgamepad);
  • Экспорт в PDF;
  • Режим навигации по ранее подготовленным презентациям, позволяющий выбрать нужную презентацию в один клик;
  • Интеграция с внешними графическими редакторами - после изменения изображений, автоматически обновляются все связанные с ним слайды;
  • Возможность использования шаблонов для быстрого создания типовых презентаций.

  1. Главная ссылка к новости
  2. OpenNews: Разработка проекта Elementary OS переведена на Git и GitHub
  3. OpenNews: Выпуск дистрибутива Elementary OS Loki 0.4.1
  4. OpenNews: Доступно ПО для управления проведением презентаций OpenSlides 2.0
  5. OpenNews: Проект Elementary OS реализовал вводящую в заблуждение схему сбора пожертвований
  6. OpenNews: Проект Elementary продолжит развитие менеджера фотографий Shotwell в рамках форка Pantheon Photos
Обсуждение (95 +18) | Тип: Программы |
18.09.2017 Стабильный выпуск новой ветки Tor 0.3.1 (53 +15)
  Представлен выпуск инструментария Tor 0.3.1.7, используемого для организации работы анонимной сети Tor. Tor 0.3.1.7 признан первым стабильным выпуском ветки 0.3.1, которая развивалась последние пять месяцев.

Основные новшества:

  • Задействован более компактный формат документа со сведениями о состоянии сети (consensus), загружаемого клиентами для выбора шлюзов. Новый вариант включает только изменения по сравнению с уже имеющейся у клиента версией документа, что позволяет существенно сократить объём передаваемого трафика (до 94%), необходимого для поддержания актуальной информации о сети;
  • Для сжатия трафика с серверов директорий теперь могут применяться алгоритмы zstd и lzma. Так как lzma требует больших процессорных ресурсов при сжатии, он применяется только для документов, которые сжимаются один раз, а раздаются многократно;
  • На стороне шлюзов ресурсоёмкие операции сжатия и генерация данных об отличиях в документах вынесены в рабочие потоки (worker threads), которые не блокируют выполнение основного потока;
  • Новая система добавочного заполнения, устойчивая к системам анализа трафика, получающим сведения при помощи протокола Netflow;
  • В сборочную систему добавлена экспериментальная возможность сборки компонентов, написанных на языке Rust (пока подобные компоненты отсутствуют, добавлена лишь тестовая заглушка). Для включения поддержки Rust добавлена сборочная опция "--enable-rust";
  • В число обязательных сборочных зависимостей добавлена утилита pkg-config (требуется для сборки с zstd и lzma);
  • В файлах конфигурации torrc добавлена поддержка директивы "%include" для вставки содержимого других файлов.

Кроме того, представлены корректирующие выпуски прошлых веток Tor 0.2.8.15, 0.2.9.12 и 0.3.0.11. Кроме исправления накопившихся ошибок в новых выпусках устранена уязвимость (CVE-2017-0380) в коде обеспечения работы скрытых сервисов, которая может привести к записи в лог содержимого стека. Проблема проявляется только при установке значения 0 в опции SafeLogging (по умолчанию выставляется 1).

Дополнение: Началось тестирование первого альфа-выпуска Tor 0.3.2, в котором представлена поддержка протокола скрытых сервисов третьего поколоения ("v3") и новый планировщик цепочек проброса трафика "KISTLite". Третья версия протокола для onion-сервисов отличается переходом на 56-символьные адреса, более надёжной защитой от утечек данных через серверы директорий, расширяемой модульной структурой и использованием алгоритмов SHA3, ed25519 и curve25519 вместо SHA1, DH и RSA1024. Планировщик "KISTLite" является аналогом планировщика KIST, не привязанным к Linux (по умолчанию установлен порядок выбора планировщиков "KIST, KISTLite, Vanilla"), и нацелен на минимизацию перегрузки TCP и снижение задержек из-за излишней буферизации.

  1. Главная ссылка к новости
  2. OpenNews: Обновление Tor Browser 6.0.7 и Firefox 50.0.2 с устранением 0-day уязвимости
  3. OpenNews: В Tor Browser устранена уязвимость, допускавшая прямое соединение в обход Tor
  4. OpenNews: Выпуск Tor 0.3.0.9 с устранением уязвимости
  5. OpenNews: Выпуск Tor 0.3.0.8 с устранением DoS-уязвимостей в обработчике скрытых сервисов
  6. OpenNews: Первый стабильный выпуск ветки Tor 0.3.0
Обсуждение (53 +15) | Тип: Программы |
18.09.2017 Консорциум W3С утвердил средства DRM для Web в качестве стандарта (166 –43)
  Консорциум W3C присвоил финальному варианту спецификации Encrypted Media Extensions (EME) статус web-стандарта (рекомендации W3C). EME определяет средства применения DRM (Digital Rights Management) для организации защиты от копирования видео- и аудиоконтента, встраиваемого в web-страницы через HTML5-теги video и audio.

Основу EME составляет API для подключения к объекту HTMLMediaElement расширений, позволяющих обеспечить воспроизведение защищённого контента при помощи сторонних проприетарных бинарных модулей или аппаратных механизмов. Спецификация уже поддерживается популярными браузерами, в том числе Firefox, Chrome, Edge и Safari. EME является одной из самых противоречивых спецификаций, в результате обсуждения которой организация W3C столкнулась с волной критики и обвинений, что стандарт продвигается в интересах представителей медиаиндустрии и в ущерб открытому характеру Web. В процессе обсуждения сообщество раскололось на два лагеря.

Позиция W3C сводится к тому, что утверждение EME как Web-стандарта принесёт пользователям больше пользы, чем существование разрозненных DRM-платформ. Сторонники спецификации EME, продвижение которой форсируется такими компаниями как Netflix, Google, Microsoft, Apple и MPAA (Американская ассоциация кинокомпаний), указывают на то, что Web должен поддерживать поставку любых типов контента. Иначе распространяемый в Web защищённый контент останется привязан к отдельным устройствам и специфичным для каждого производителя плагинам, что не соответствует принципу открытого для всех Web и является источником дополнительных угроз (для просмотра пользователь вынужден устанавливать стороннее ПО).

Спецификация EME позволит унифицировать средства DRM за счёт абстрагирования доступа к штатным модулям шифрования, что даст возможность избавиться от необходимости установки проприетарных плагинов для просмотра защищённого контента. В итоге, решение для доступа к защищённому контенту реализуется целиком на стороне браузера, а отвечающие за воспроизведение защищённого контента бинарные модули мало чем отличаются от широко применяемых проприетарных мультимедиа-кодеков.

Противники стандартизации EME считают, что DRM подрывает принцип открытости Web и добавляет в системы обработки web-контента "чёрный ящик", выгодный индустрии развлечений и выведенный из под контроля браузера и конечного пользователя. Предложенные технологии отнимают у владельца компьютера право полностью контролировать своё устройство, при этом не решая проблем контрафактного распространения контента: если контент может быть показан на системе потребителя, то в любом случае он может быть скопирован на некотором этапе воспроизведения.

Кроме того, средства защиты видеоконтента могут стать основой для продвижения иных ограничительных механизмов, препятствующих копированию труда художников, музыкантов, писателей. Реализация DRM в Web может стать первым шагом к становлению Сети, в которой изображения и страницы не могут быть сохранены или найдены, реклама не может быть вырезана, а новые браузеры не могут реализовать конкурентные преимущества без разрешения крупных производителей контента.

Без получения согласия от производителей DRM-платформ исследователи безопасности не могут заниматься аудитом модулей, обеспечивающих ограничения DRM, что может способствовать интеграции скрытой функциональности (например, для слежки за пользователями) и накопления неисправленных уязвимостей. DRM также забирает у пользователя законное право создавать копии для личных нужд и использовать отрывки в ремиксах.

Дополнение: Правозащитная организация Electronic Frontier Foundation демонстративно вышла из состава W3C, так как ранее поданная апелляция не имела успеха и 58.4% участников W3C проголосовало за стандартизацию EME. Electronic Frontier Foundation также не удалось добиться принятия компромиссного варианта, запрещающего подавать судебные иски против исследователей безопасности, использующих методы обхода DRM для анализа наличия уязвимостей.

  1. Главная ссылка к новости
  2. OpenNews: Консорциум W3С дал зелёный свет стандартизации DRM для Web
  3. OpenNews: Тим Бернерс-Ли дал шанс предотвратить стандартизацию средств DRM для Web
  4. OpenNews: Консорциум W3С приступил к стандартизации средств DRM для HTML5-контента
  5. OpenNews: Создатель языка JavaScript выступил против стандартизации средств DRM для Web
  6. OpenNews: Организация EFF выразила официальный протест против действий W3C по продвижению DRM в Web
Обсуждение (166 –43) | Тип: К сведению | Интересно
18.09.2017 22 сентября в Калуге состоится XIV конференция разработчиков свободных программ (33 +3)
  22-24 сентября 2017 года в городе Калуга состоится четырнадцатая конференция разработчиков свободных программ, в работе которой примут участие ведущие разработчики свободных программ из России и других стран. Конференция ставит цель наладить личные контакты между специалистами, обсудить перспективы развития свободного программного обеспечения, инициировать новые проекты.

Для участия в конференции в качестве слушателя необходимо до 21 сентября выслать заявку по электронной почте conference@lists.altlinux.org с указанием ФИО, должности, организации, электронного и почтового адресов, а также желательных условий проживания. Организационные взносы для участников конференции не предусмотрены. С программой конференции можно познакомиться в данном документе.

  1. Главная ссылка к новости
Обсуждение (33 +3) | Автор: Michael Shigorin | Тип: К сведению |
18.09.2017 Выпуск панели Dash to Dock 61 с поддержкой оформления кнопок в стиле Unity (44 +12)
  Доступен релиз панели Dash to Dock 61, которая выполнена в виде расширения к оболочке GNOME Shell. Проект примечателен тем, что на его основе построена панель Ubuntu Dock, которая будет поставляться в Ubuntu 17.10 вместо оболочки Unity. Ubuntu Dock главным образом отличается настройками по умолчанию и необходимостью использования иного имени для организации обновления с учётом специфики поставки через основной репозиторий Ubuntu, а разработка функциональных изменений производится в рамках основного проекта Dash to Dock.

Выпуск Dash to Dock 61 интересен обеспечением поддержки недавно вышедшего рабочего стола GNOME Shell 3.26 и реализацией опционального режима, позволяющего стилизовать внешний вид пиктограмм запущенных приложений под оформление Unity 7 за счёт отображения вокруг картинки дополнительной фоновой области, подсвеченной цветом, преобладающим на пиктограмме. В новой версии также обновлены переводы на русский язык.

  1. Главная ссылка к новости
  2. OpenNews: В тестовых сборках Ubuntu 17.10 по умолчанию задействована панель Ubuntu Dock
  3. OpenNews: Выпуск дистрибутива Solus 3 и рабочего стола Budgie 10.4
  4. OpenNews: Ubuntu 17.10 перейдёт на Wayland по умолчанию и вернёт кнопки в правый угол окна
  5. OpenNews: Скрипт для стилизации GNOME под оформление Unity, Windows и macOS
  6. OpenNews: Доступен рабочий стол Budgie 10.3
Обсуждение (44 +12) | Тип: Программы |
Следующая страница (раньше) >>


  Закладки на сайте
  Проследить за страницей
Created 1996-2017 by Maxim Chirkov  
ДобавитьРекламаВебмастеруГИД  
Hosting by Ihor