The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги ]

22.03.2017 Релиз среды разработки приложений KDevelop 5.1 (55 +19)
  Состоялся релиз интегрированной среды программирования KDevelop 5.1, полностью поддерживающей процесс разработки для KDE 5, в том числе с использованием Clang в качестве компилятора. Код проекта распространяется под лицензией GPL и использует библиотеки KDE Frameworks 5 и Qt 5.

Основные новшества:

  • Добавлена поддержка LLDB в качестве альтернативного бэкенда для организации отладки кода в KDevelop, работающего напрямую с обособленным LLDB MI Driver (lldb-mi). Реализован новый фреймворк для взаимодействия с внешними отладчиками, который может использоваться как с GDB, так и с отладчиком LLDB, развиваемым проектом LLVM;
  • В меню добавлена новая секций "Analyzer", в которой предложен набор инструментов для работы с плагинами для анализа кода. В основной состав включён плагин analyzer, предоставляющий средства для статического анализа при помощи утилиты Cppcheck, позволяющей выявлять типовые ошибки в коде на языках C/C++, такие как обращение к области за границами буфера, утечки памяти, разыменования нулевых указателей, использование неинициализированных переменных и т.п. Кроме Cppcheck также реализована поддержка проверки кода через Valgrind, clang-tidy и krazy2, но код плагинов для данных систем пока полностью не стабилизирован и развивается в отдельных репозиториях (планируется включить их в основной репозиторий в одном из следующих выпусков);
  • Добавлена начальная поддержка разработки проектов с компонентами на языке OpenCL, применяемом для организации параллельных вычислений с привлечением мощностей GPU. Входящий в состав KDevelop бэкенд на базе Clang адаптирован для разбора кода на языке OpenCL. В следующем выпуски ожидается включение поддержки технологии NVIDIA CUDA;
  • Расширена поддержка языка Python. Добавлен разбор новых элементов синтаксиса и семантики Python 3.6. Решены многие проблемы в движке анализа семантики Python (например, значительно улучшены средства определения типов), переписан код для интеграции с компонентами проверки стилей;
  • Обеспечена интеграция с системой управления версиями Perforce, реализованная в виде надстройки над утилитой p4 по аналогии с надстройкой для Git и Bazaar;
  • Добавлен интерфейс для выбора цветовой схемы не выходя из KDevelop, что удобно при запуске в окружениях рабочего стола, отличных от KDE Plasma, в которых усложнено изменение настроек цветовой схемы;
  • Улучшена работа на платформе Windows и готовится к выпуску первый вариант KDevelop для macOS.

  1. Главная ссылка к новости
  2. OpenNews: Релиз среды разработки приложений KDevelop 5.0
  3. OpenNews: Релиз среды разработки приложений KDevelop 4.7.0. Планы развития KDevelop 5
  4. OpenNews: Для KDevelop подготовлены средства для разработки на Python 3
  5. OpenNews: Релиз среды разработки приложений KDevelop 4.6.0
  6. OpenNews: Для текстовых редакторов KDE и IDE KDevelop представлена поддержка языка D
Обсуждение (55 +19) | Тип: Программы |
22.03.2017 Критическая уязвимость в обучающей среде Moodle (28)
  В Moodle (Modular Object-Oriented Dynamic Learning Environment), свободной модульной системе для организации дистанционного обучения, выявлена критическая узявимость (CVE-2017-2641), позволяющая осуществить подстановку SQL-кода и организовать выполнение произвольного PHP-кода на сервере. На основе Moodle построены обучающие системы многих известных университетов. В каталоге Moodle зарегистрировано более 78 тысяч обучающих сайтов, в том числе 2160 в России, 655 - Украине, 151 - Беларуси и 116 - Казахстане.

В ветке Moodle 3.2 уязвимость могут эксплуатировать зарегистрированные пользователи через манипуляции с настройками профиля пользователя в web-интерфейсе. В более ранних выпусках атака возможна только через API для взаимодействия c web-сервисами при наличии соответствующих расширенных прав доступа. Уязвимость позволяет осуществить подстановку SQL-кода, которая может быть использована для получения привилегий администратора Moodle, после чего атакующий может загрузить свой плагин или шаблон и добиться выполнения произвольного PHP-кода. Уязвимость устранена в выпусках 3.2.2, 3.1.5, 3.0.9 и 2.7.19.

  1. Главная ссылка к новости
  2. OpenNews: Релиз модуля Электронный деканат 2.4.4 для системы дистанционного обучения Moodle 2.2.x
  3. OpenNews: Новая версия системы дистанционного обучения Moodle 2.2
  4. OpenNews: Релиз системы дистанционного обучения Moodle 2.0
  5. OpenNews: В Moodle добавлена поддержка отечественной формы организации учебного процесса
Обсуждение (28) | Тип: Проблемы безопасности |
22.03.2017 Выпуск nginx 1.11.11 (11 +12)
  Доступен новый выпуск основной ветки высокопроизводительного HTTP-сервера nginx 1.11.11, в котором реализованы следующие изменения:
  • Реализована директива "worker_shutdown_timeout", позволяющая задать время ожидания корректного завершения работы рабочих процессов. Если за указанное время рабочие процессы не успеют довести до конца обработку имеющихся запросов, то связанные с ними соединения будут закрыты принудительно;
  • Расширены возможности скриптов для обеспечения подсветки синтаксиса файлов конфигурации nginx в vim;
  • Устранён крах рабочего процесса, который мог возникать при установке пустого значения в директиве $limit_rate;
  • Решены проблемы с некорректной работой директив "proxy_cache_background_update", "fastcgi_cache_background_update", "scgi_cache_background_update", и "uwsgi_cache_background_update" при их использовании совместно с директивой "if";
  • Устранён крах в рабочем процессе, который мог возникать если число буферов, определённое директивой large_client_header_buffers в блоке настроек виртуального сервера, отличается от числа буфров, заданных по умолчанию;
  • Устранены ошибки в реализации почтового прокси.

  1. Главная ссылка к новости
  2. OpenNews: Выпуск nginx 1.11.10
  3. OpenNews: Обновление nginx 1.10.3
  4. OpenNews: Увидел свет HTTP-сервер nginx 1.10.0
  5. OpenNews: Root-уязвимость из-за некорректных настроек в пакете nginx для Debian и Ubuntu
  6. OpenNews: Выпуск http-сервера nginx 1.11.0
Обсуждение (11 +12) | Тип: Программы |
21.03.2017 Предварительный выпуск платформы Android 8 (68 +14)
  Компания Google анонсировала предварительный выпуск следующей редакции открытой мобильной платформы Android - Android O Developer Preview. Релиз Android O, который будет поставляться под номером Android 8, ожидается в третьем квартале 2017 года. До этого времени периодически будут выпускаться предварительные выпуски Developer Preview, предоставляющие средства для разработки приложений с учётом новых возможностей платформы.

Для оценки новых возможностей платформы предложена программа бета-тестирования, в рамках которой экспериментальную ветку можно установить и поддерживать в актуальном виде через штатный интерфейс установки обновлений (OTA, over-the-air), без необходимости ручной замены прошивки. Обновления доступны для пользователей устройств Nexus 5X, Nexus 6P, Nexus Player, Pixel и Pixel XL.

Ключевые особенности Android O Developer Preview:

  • Для сокращения энергопотребления и продления времени автономной работы представлена новая система для автоматического ограничения активности фонового выполнения приложений. Ограничение производится в трёх направлениях: блокирование неявных broadcast-обработчиков, лимитирование доступа к сервисам в фоновом режиме и снижение частоты предоставления информации о местоположении;
  • Реализация каналов уведомлений, позволяющих приложениям разделять уведомления на категории с предоставлением пользователю гибких возможностей по управлению различными типами уведомлений. Вместо управления всеми уведомлениями приложения как одним целым, появилась возможность настройки поведения или блокирования отдельных каналов, на которые приложение разделяет свои уведомления. Например, для приложения чтения новостей можно отключить уведомления о показе политических и спортивных мероприятий, оставив вывод уведомлений о новостях развития технологий. В новом выпуске также представлены новые методы оформления и группировки уведомлений;
  • Представлен новый API Autofill для создания индивидуальных приложений-обработчиков автоматического заполнения форм. По аналогии с тем, как можно подключать различные реализации экранных клавиатур, появилась возможность создания приложений, берущих на себя работу сохранения и безопасного доступа к таким данным, как адреса, имена пользователей, пароли, номера карт и т.п.
  • Поддержка нового многооконного режима "картинка в картинке" (PIP API, Picture in Picture), позволяющей приложениям выводить окна поверх мультимедийного контента. Например, при поступлении нового сообщения в чате во время просмотра видео можно отобразить окно для написания ответа непосредственно поверх видео. Ранее PIP API был доступен только для Android TV, но теперь адаптирован для смартфонов и планшетов. Кроме PIP API в новой версии также предоставлена возможность создания приложениям окон, выводимых поверх контетента (overlay window) вместо системного окна для отображения предупреждений;
  • Добавлена поддержка организации вывода на несколько экранов (multi-display). Если приложение поддерживает многооконный режим и к устройству подключено несколько экранов, то пользователь теперь может перемещать окна с из одного экрана на другой, а приложение выбирать на каком экране отобразить информацию;
  • Возможность разработки с использованием новых API, появившихся в Java 8, включая API java.time. Поддержка языковых возможностей Java 8 добавлена в компилятор javac и набор утилит dx. Инструментарий Jack переведён в разряд устаревших;
  • Проведена оптимизация Android Runtime. По сравнению с Android 7 скорость прохождения некоторых тестов увеличилась до двух раз;
  • Шрифты стали полноценными ресурсами и могут использоваться приложениями в XML-макетах, в том числе в XML можно определять семейства шрифтов, указывая стиль, размер и файлы со шрифтами;
  • Поддержка адаптивных пиктограмм, подстраивающихся под интерфейс, применяемый производителем устройства. Например, можно сделать пиктограмму, которая может быть как круглой, так и квадратной или со сглаженными углами. Также реализованы новые анимированные действия с пиктограммами, применяемые в ланчере, ярлыках, настройках, диалогах обмена данными и обзорном экране;
  • Возможность использования цветового пространства Wide-gamut в приложениях, работающих с изображениями;
  • Добавлена поддержка звуковых кодеков для высококачественной передачи звука через Bluetooth, таких как LDAC;
  • Добавлена поддержка технологии Wi-Fi Aware (Neighbor Awareness Networking или NAN), которая при наличии совместимого оборудования позволяет находить и подключаться к другим устройствам, поддерживающим Wi-Fi Aware, через установку прямого беспроводного соединения без необходимости использования точки доступа;
  • Представлен фреймворк Telecom, расширяющий API ConnectionService и позволяющий интегрировать сторонние программы дозвона с системным пользовательским интерфейсом и бесшовно взаимодействовать с другими звуковыми приложениями. Например, приложение может отображать информацию о поступившем звонке в различных видах интерфейсов, таких как головной экран автомобильной информационно-развлекательной системы;
  • Добавлены средства для организации навигации по интерфейсу с использованием клавиатуры. Например, перемещения указателя клавишами управления курсором или смена фокуса табуляцией. Возможность стала актуальной после реализации поддержки в Google Play возможности запуска приложений на устройствах с Chrome OS, снабжённых полноценной клавиатурой;
  • Представлен API AAudio API, предназначенный для использования в приложениях профессиональной обработки звука, требующих максимальной производительности и минимальных задержек при работе со звуком. При использовании AAudio отправка и получение звуковых данных производится через потоки;
  • В браузерном движке WebView появилась поддержка многопроцессного режима, при котором обработка разного web-контента выносится в отдельные изолированные друг от друга процессы. В Android O данный режим включен по умолчанию. Для приложений в WebView также предложены новые API для обработки ошибок и крахов. Опционально реализована возможность предварительной проверки URL на безопасность связанного с ним контента в сервисе Google Safe Browsing.

  1. Главная ссылка к новости
  2. OpenNews: Выпуск платформы Android 7.1
  3. OpenNews: Релиз мобильной платформы Android 7.0
Обсуждение (68 +14) | Тип: Программы |
21.03.2017 Выпуск Red Hat Enterprise Linux 6.9 (93 +13)
  После десяти месяцев разработки компания Red Hat представила релиз дистрибутива Red Hat Enterprise Linux 6.9. RHEL 6.9 является первым выпуском, подготовленным в рамках второй стадии сопровождения, на которой приоритеты сместились в сторону исправления ошибок и проблем безопасности, с внесением незначительных улучшений, связанных с поддержкой важных аппаратных систем. Включение значительных функциональных улучшений прекращено. Установочные образы RHEL 6.9 доступны для загрузки только зарегистрированным пользователям Red Hat Customer Portal.

10 мая 2017 года ветка Red Hat Enterprise Linux 6 перейдёт на третью стадию поддержки, на которой будут формироваться только обновления с устранением уязвимостей и особо важных ошибок. Внесение изменений, связанных с поддержкой нового оборудования будет прекращено, за исключением поддержания компонентов, необходимых для работы в системах виртуализации. Ветка RHEL 6.x сопровождается параллельно с веткой RHEL 7.x и будет поддерживаться до 30 ноября 2020 года.

Ключевые изменения в Red Hat Enterprise Linux 6.9:

  • Проведена большая чистка устаревших алгоритмов и протоколов, безопасность которых поставлена под сомнение. В том числе блокированы алгоритмы, фигурирующие в таких атаках как DROWN против SSL 2.0, SLOTH против MD5, LOGJAM и FREAK против TLS.

    • Полностью удалена поддержка протокола SSLv2 и экспортных наборов шифров, включающих недостаточно защищённые устаревшие алгоритмы шифрования;
    • Ограничено использование MD5 и SHA-0 в качестве алгоритма для создания цифровых подписей;
    • Запрещена установка защищённых соединений с сервером при использовании в TLS параметров DH (Diffie-Hellman), размером менее 1024 бит.
    • Отключено использование RC4 в контекстах, не приводящих к проблемам с нарушением совместимости (например, RC4 отключен в OpenSSH);
  • В OpenSSL, NSS, GnuTLS, rsyslog и vsftpd добавлена поддержка протокола TLS 1.2;
  • В Postfix обеспечена возможность задания в конфигурации допустимых версий TLS. Например, для запрета TLS 1.1 можно указать "smtpd_tls_mandatory_protocols = !TLSv1.1";
  • В NetworkManager добавлена поддержка ручной настройки DNS (при указании dns=none в настройках NetworkManager, прекращается автоматическое изменение /etc/resolv.conf);
  • В файл конфигурации /etc/sysconfig/network добавлена поддержка опции NO_DHCP_HOSTNAME, при указании которой скриптам инициализации не даётся получить имея хоста через DHCP;
  • В Perl-модулях Net::SSLeay и IO::Socket::SSL реализована возможность жесткого определения допустимой версии протокола TLS;
  • В состав включена утилита cpuid, выводящая информацию о возможностях CPU на основании данных, полученных через инструкцию CPUID;
  • В состав базовой системы включен инструментарий cloud-init, с реализацией конфигурируемого процесса инициализации, оптимизированного для обеспечения загрузки образов для cloud-окружений. Cloud-init позволяет унифицировать процесс задания конфигурации во время загрузки, таких как локаль, имя хоста, SSH-ключи и точки монтирования;
  • В PAM-модуль pam_faillock добавлена опция "unlock_time=never", при указании которой в случае превышения лимита на допустимое число попыток аутентификации, вход пользователя будет заблокирован бессрочно и разблокирование потребует вмешательства администратора;
  • В менеджере кластерных ресурсов Pacemaker добавлена возможность создания аварийных агентов (alert agents), позволяющих выполнить внешние действия в случае наступления определённых событий в кластере. В агентах ресурсов Pacemaker Oracle и OraLsnr добавлена поддержка СУБД Oracle 11g;
  • В состав включён интерфейс luci для обеспечения аутентификации узлов в кластере и защиты систем из нескольких узлов от MITM-атак;
  • В разряд поддерживаемых переведён пакет clufter с набором утилит для анализа и преобразования форматов конфигурации кластера. Версия пакета обновлена до clufter 0.59.8;
  • Различные компоненты приведены к соответствию требованиям стандартов PCI-DSS (Payment Card Industry Data Security Standards), определяющих требования к безопасности при хранении данных о держателях платёжных карт;
  • Добавлена поддержка контроллеров RealTek RTS5250S SD4.0, что позволяет использовать картридеры на базе Realtek RTS5205;
  • Добавлен драйвер smartpqi для новых систем хранения Microsemi smartPQI;
  • Прошивка Chelsio обновлена до версии 1.15.37.0;
  • Обновлены версии драйверов:
    • bnxt_en -добавлена поддержка BCM5731X, BCM5741X и 57404 Network Partitioning (NPAR);
    • ahci - добавлена поддержка контроллеров Marwell 88SE9230;
    • mpt3sas - добавлена поддержка SAS3416 , SAS3508, SAS3408 и SAS3516 Fusion-MPT Tri-Mode RAID On Chip;
    • megaraid_sas;
    • В device-mapper-multipath добавлена конфигурация для дисковых массивов Huawei XSG1;
  • Добавлены средства для проведения бесшовной миграции стационарных окружений на базе RHEL 6 на RHEL 7 или в форму изолированных контейнеров, пригодных для выполнения в системах на базе RHEL 7, Red Hat Enterprise Linux Atomic Host и Red Hat OpenShift Container Platform.

  1. Главная ссылка к новости
  2. OpenNews: Объявление о прекращении поддержки Red Hat Enterprise Linux 5 и репозитория EPEL 5
  3. OpenNews: В Red Hat Enterprise Linux 6.9 будет проведена чистка небезопасных алгоритмов и протоколов
  4. OpenNews: Доступен дистрибутив SUSE Linux Enterprise 12 SP2
  5. OpenNews: Релиз Red Hat Enterprise Linux 7.3
  6. OpenNews: Выпуск Red Hat Enterprise Linux 6.8
Обсуждение (93 +13) | Тип: Программы |
21.03.2017 GitHub добавил защиту от атак, использующих коллизии SHA-1 (20 +10)
  GitHub сообщил о внедрении системы определения и блокирования атак, связанных с использования коллизий SHA-1 в Git-репозиториях. Несмотря на то, что пока не зафиксировано реальных атак по подмене объектов в Git через манипуляцию коллизиями SHA-1, GitHub решил перестраховаться и предоставил превентивную защиту.

Напомним, что существующая атака на PDF, позволяющая создать два документа с одним хэшем и разным содержанием, основана на задействовании уже рассчитанной коллизии SHA-1. Атака строится на использовании шаблона, состоящего из вызывающей коллизию известной последовательности и дополняющего эту последовательность набора данных, который подобран таким образом, чтобы не влиять на итоговый хэш SHA-1. Так как во всех атаках используется один и тот же шаблон известной коллизии, а вычисление новой коллизии требует гигантских вычислительных мощностей, то для блокирования атаки достаточно блокировать известный шаблон, по крайней мере до нахождения новой коллизии.

В Git применение данного метода атаки затруднено, так как для подмены объекта, необходимо, чтобы подменяемый объект уже содержал шаблон коллизии, т.е. произвольный блок подменить не получится. Теоретически возможна лишь замена уже ранее добавленного атакующим блока, но она затруднена тем, что в изначально принятом в репозиторий блоке должен присутствовать достаточно большой кусок вызывающих коллизию бинарных данных, что при работе с кодом не останется незамеченным.

Кроме того, проведение атаки усложняет то, что каждый объект в Git дополнительно содержит служебный заголовок, содержимое которого не может контролироваться атакующим, но который участвует при вычислении проверочного хэша. Иными словами имеется лишь возможность создать два набора данных, содержащих большую порцию идентичных бинарных данных и небольшой блок специально подобранных различающихся данных, но после помещения их в Git из-за добавления заголовка с параметрами коммита, условия возникновения коллизии нарушатся.

Как вариант обхода данной проблемы упоминается атака по замене репозитория. Например, атакующий может добиться принятия своего кода (с бинарным блоком, вызывающим коллизию) в репозиторий и создания SHA-1 подписи для тега или коммита. Затем он может подготовить вариант этого репозитория, в котором содержимое его коммита будет подменено без изменения проверочного хэша SHA-1. Остаётся подменить настоящий репозиторий на подготовленный атакующим изменённый вариант, что может быть совершено, например, через взлом сервера, на котором размещён репозиторий.

Тем временем разработчики Git начали работу по реализации возможности использования альтернативных хэшей, отличных от SHA-1. Уже представлен набор изменений, избавляющий код Git от жёсткой привязки к SHA-1. План ухода от SHA-1 подразумевает добавление опциональной поддержки SHA3-256, которая сможет применяться параллельно с SHA-1. Таким образом, переведённый на SHA3-256 локальный репозиторий сможет взаимодействовать с Git-серверами (как минимум на уровне push/fetch), поддерживающими только SHA-1, а пользователи смогут одновременно использовать идентификаторы объектов SHA-1 и SHA3-256.

  1. Главная ссылка к новости
  2. OpenNews: Энтузиасты воссоздали метод мгновенной генерации PDF-файлов с одинаковым хэшем SHA-1
  3. OpenNews: Google продемонстрировал первую успешную атаку на алгоритм хеширования SHA-1
  4. OpenNews: До конца года ожидается появление практических атак по подбору коллизий для SHA-1
  5. OpenNews: В рамках соблюдения закона DMCA в 2015 году из GitHub было удалено более 8 тысяч проектов
  6. OpenNews: Уязвимость, позволяющая осуществить подстановку SQL-кода в GitHub Enterprise
Обсуждение (20 +10) | Тип: К сведению |
21.03.2017 Выпуск менеджера фотографий Shotwell 0.26 (39 +5)
  Подготовлен стабильный релиз программы для управления коллекцией фотографий Shotwell 0.26.0. Shotwell предоставляет удобные возможности каталогизации и навигации по коллекции, поддерживает группировку по времени и тегам, предоставляет инструменты для импорта и конвертации новых фотографий, поддерживает выполнение типовых операций по обработке изображений (вращение, устранение эффекта красных глаз, корректировка экспозиции, оптимизация цветности и т.п.), содержит средства для публикации в социальных сетях, таких как Facebook, Flickr и Picasa (для MediaGoblin существует экспериментальный плагин).

В новом выпуске:

  • Добавлен инструмент для усиления контраста изображения;
  • Добавлена поддержка тегов ACDSEE;
  • Обеспечена совместимость с новой версией компилятора Vala;
  • Переработан код аутентификации для web-сервисов. Код для аутентификации во внешних службах вынесен в отдельную библиотеку, что позволяет оперативно отражать изменения в API не трогая код Shotwell;
  • Проведена чистка устаревших вызовов GTK+ и GSettings. Прекращено использование Gtk.IconFactory, GtkUIManager и Gtk*Action*. Некоторые диалоги переведены на GtkTemplate, нижняя панель реализована при помощи Gtk.Revealer. Обновлены требования к минимальным версиям библиотек: GExiv2 0.10.4, GCR 3, GLib 2.40, GTK+ 3.14;
  • Плагины переведены на libsoup API;
  • Обеспечено сохранение настроек экспорта изображений;
  • Реализовано скрытие пустых боковых панелей;
  • Добавлена клавиатурная комбинация Ctrl-f для быстрого вызова сроки поиска;
  • Добавлена поддержка автоопределения кодировки, если строка не соответствует UTF-8;
  • Обновлены ключи для Google API. Налажен процесс загрузки на Youtube, благодаря переходу на использование libgdata.

  1. Главная ссылка к новости
  2. OpenNews: Новая версия менеджера фотографий Shotwell 0.25
  3. OpenNews: Новая версия менеджера фотографий Shotwell 0.24
  4. OpenNews: Новая версия менеджера фотографий Shotwell 0.23.2
  5. OpenNews: Имущественные права на Shotwell и Geary переданы организации Software Freedom Conservancy
  6. OpenNews: Группа Yorba, создавшая Shotwell и Geary, прекратила разработку
Обсуждение (39 +5) | Тип: Программы |
21.03.2017 Разработчики KDE обсудили интеграцию web-браузера с рабочим столом Plasma (74 –9)
  На очередной встрече разработчиков KDE рассмотрена работа по расширению интеграции браузера в окружение Plasma. На рабочий стол будет добавлена поддержка вывода уведомлений от web-приложений, реализован индикатор загрузки файлов через браузер и предложена функция управления воспроизведением мультимединой информации. Для реализации подобных возможностей будет подготовлено специальное дополнение для web-браузеров, организующее обмен информацией между браузером и оболочкой Plasma.

KDE также экспериментирует с новыми путями распространения приложений, используя для этого самодостаточные пакеты, что предоставит разработчикам приложений больший контроль над жизненным циклом продукта, а также даст возможность не привязываться к циклам разработки KDE и более оперативно выпускать обновления. Кроме того, так как сборка подобных пакетов сможет осуществляться автоматически из Git-репозиториев, существенно упростится цепочка развёртывания продукта (не нужно заботится о соответствии версий для зависимостей). Поддержка самодостаточных пакетов будет интегрирована в центр установки приложений Discover и каталог-магазин KDE Store. В качестве основных претендентов рассматриваются Flatpak, Snap и AppImage, но окончательное решение в пользу какой-то определённой технологии пока не принято.

Из планов также обсуждалась поддержка использования жестов на тачпадах для управления оконным менеджером. Например, пользователи получат возможность использования мультитач жестов для переключения между виртуальными рабочими столами, обзора открытых окон или сводного просмотра на одном экране содержимого всех виртуальных рабочих столов.

Рассматривая состояние развиваемой с 2015 года мобильной платформы Plasma Mobile, разработчики рассказали об использовании смартфона Nexus 5X в качестве нового эталонного устройства, используемого при разработке. Первые сборки Plasma Mobile ограничивались устройствами Nexus 5 и Oneplus One, которые уже устарели. В ближайшее время ожидается появление пригодных для широкого тестирования образов для Nexus 5X, не требующих замысловатой установки.

  1. Главная ссылка к новости
  2. OpenNews: Проект KDE ввёл в строй новый дизайн сайта и опубликовал новый макет интерфейса Plasma Mobile
  3. OpenNews: Мобильная платформа Plasma Mobile портирована для устройств Nexus 5X
  4. OpenNews: Планы разработки KDE Plasma
  5. OpenNews: Проект KDE опубликовал первый релиз Kirigami UI, фреймворка для построения интерфейса
  6. OpenNews: Проект KDE представил ультрабук KDE Slimbook
Обсуждение (74 –9) | Тип: К сведению |
21.03.2017 Выпуск браузерного движка WebKitGTK+ 2.16 (11 +11)
  Представлен выпуск новой стабильной ветки WebKitGTK+ 2.16.0, порта браузерного движка WebKit для платформы GTK+. WebKitGTK+ позволяет использовать все возможности WebKit через GNOME-ориентированный программный интерфейс на основе GObject и может применяться для интеграции средств обработки web-контента в любые приложения, от использования в специализированных HTML/CSS-парсерах, до создания полнофункциональных web-браузеров. Из известных проектов, использующих WebKitGTK+, можно отметить Midori и штатный браузер GNOME (Epiphany).

Ключевые изменения:

  • Аппаратное ускорение теперь включается только при выполнении 3D-операций и не активно по умолчанию. Ранее аппаратное ускорение было включено постоянно, что приводило к накладным расходам и значительному потреблению памяти в Epiphany при работе с большим числом открытых вкладок. Задействование 3D-ускорения только при необходимости позволило существенно сократить потребление памяти;
  • Решена проблема в коде сборки мусора для JavaScript, которая мешала запуску сборщика мусора в некоторых ситуациях, что в итоге приводило к повышенному потреблению памяти;
  • Включена по умолчанию поддержка CSS Grid Layout, нового метода многослойной компоновки элементов страницы, выровненных по сетке. В основе метода заложена идея разбиения страницы на области по аналогии с табличной компоновкой с выравниванием по столбцам и строкам. В отличие от таблиц, CSS Grid Layout не определяет структуру содержимого, что позволяет применять методы адаптивной вёрстки и выстраивать произвольные макеты, которые недостижимы с использованием обычных таблиц (например, дочерние элементы могут перекрывать друг друга и переноситься в случае нехватки экранного пространства). По сравнению с Flexbox, который позволяет выравнивать элементы только в одной вертикальной плоскости, в CSS Grid Layout обеспечена возможность выравнивания элементов одновременно как по вертикальным, так и по горизонтальным направляющим, т.е. позволяет привязать выравнивание элеменов в разных столбцах.
  • Добавлен новый параметр WebKitSetting "hardware-acceleration-policy" для настройки правил включения аппаратного ускорения;
  • Добавлен новый a API для управления настройками для работы через прокси;
  • Добавлен API для создания эфемерных web-окружений, позволяющих не сохранять какие-либо данные на диск в процессе работы с сайтом в режиме инкогнито (ранее, в Epiphany режим инкогнито был реализован через создание профиля во временной директории, что могло приводить к утечке данных, фигурирующих при работе с сеансом);
  • API для обработки данных сайта WebKitWebsiteDataManager расширен методами для извлечения и удаления данных, сохраняемых сайтом на стороне клиента. Кроме таких данных, как дисковый кэш, cookie и IndexedDB, также предоставлена возможность управления данными из кэша в ОЗУ и непостоянными сессионными Cookie;
  • В системе автозаполнения форм добавлена поддержка динамически генерируемых форм ввода, изначально отсутствующих на странице и подставляемых JavaScript-кодом на лету;
  • Реализована возможность добавления собственных вкладок с настройками в виджет с параметрами вывода на печать;
  • Приложениям предоставлена возможность установки начальных прав на вывод уведомлений для избежания повторного вывода запросов на подтверждение полномочий;
  • В инструменты для отладки добавлен программный интерфейс для отслеживания потребления памяти и всплывающее окно для контроля за расходованием ресурсов.

22 марта ожидается релиз web-браузера Epiphany 3.24 (GNOME Web), основанного на движке WebKitGTK+ 2.16. Из изменений можно отметить:

  • Проведена значительная модернизация интерфейса. Представлена новая реализация адресной строки, в которой решена серия проблем, мешающих удобной работе. Добавлено новое всплывающее меню (popover) со списком открытых вкладок, которое упрощает поиск нужной страницы при большом числе вкладок;
  • Переработана система закладок. Реализован новый простой интерфейс для добавления закладки на страницу в один клик, а также всплывающее меню для быстрого доступа к закладкам. Полностью переработан интерфейс для управления коллекцией закладок;
  • Улучшена реализация режима инкогнито - как было отмечено выше, данные сеансов теперь не оседают во временной директории;
  • Представлено новое, более заметное, предупреждение, выводимое для небезопасных форм ввода пароля (открываемых без HTTPS);
  • Для дополнительной защиты от отслеживания пользователя произведена интеграция чёрного списка EasyPrivacy;
  • Добавлен диалог для контроля за персональными данными, сохраняемыми сайтами на локальный диск. В том числе, диалог позволяет просмотреть и удалить содержимое кэша, хранилища сеансов, IndexedDB и WebSQL;
  • Улучшено обнаружение форм с паролями, параметры аутентификации теперь могут сохраняться для динамически создаваемых форм.

  1. Главная ссылка к новости
  2. OpenNews: Выпуск браузерного движка WebKitGTK+ 2.14 с полноценной поддержкой Wayland
  3. OpenNews: Выпуск браузерного движка WebKitGTK+ 2.12.0
  4. OpenNews: Выпуск браузерного движка WebKitGTK+ 2.10.0
  5. OpenNews: Релиз Midori 0.5.11, легковесного веб-браузера на базе движка WebKit
  6. OpenNews: В WebKitGTK+ выявлены несвободные файлы
Обсуждение (11 +11) | Тип: Программы |
20.03.2017 Использование PVS-Studio для поиска дефектов безопасности (реклама) (68 +4)
  Разработчики PVS-Studio, коммерческого статического анализатора кода на языках C, C++ и C#, выступили с инициативой выявления в открытых проектах ошибок, которые могут привести к возникновению уязвимостей. Для упрощения анализа подобных ошибок составлена таблица соответствия предупреждений PVS-Studio и идентификаторов CWE (Common Weakness Enumeration), определяющих типовые ошибки, которые могут привести к появлению уязвимостей. Для примера продемонстрировано несколько предупреждений в Apache httpd, которые потенциально представляют угрозу безопасности.

Анализатор PVS-Studio всегда умел искать слабые места (потенциальные уязвимости) в коде программ, но исторически сложилось, что PVS-Studio позиционировался как инструмент для поиска ошибок, а не потенциальных уязвимостей. Станет та или иная ошибка в коде причиной уязвимости зависит от множества различных факторов - дефект иногда можно эксплуатировать, а иногда нет, как повезёт. Существенно то, что, устраняя ошибки, описанные в CWE, программист заранее защищает код от множества уязвимостей.

Команда разработчиков PVS-Studio заинтересовалась устранением потенциальных уязвимостей в различных проектах и решила отражать отдельные мероприятия по поиску уязвимостей в виде небольших еженедельных отчётов. В первом таком отчёте разработчики PVS-Studio написали о дефектах в C# проектах (CoreFX, MSBuild). Второй отчёт более интересен сообществу программистов на C и C++, и рассматривает потенциальные проблемы с безопасностью в таких проектах как FreeBSD, GCC и Clang. Как результат, разработчикам проверенных проектов направлены патчи или заведены сообщения о проблемах.

Дополнительно можно отметить новую статью о том, как и почему статические анализаторы борются с ложными срабатываниями.

  1. Главная ссылка к новости
  2. OpenNews: Рейтинг самых опасных ошибок при создании программ
  3. OpenNews: Статический анализатор PVS-Studio доступен для Linux (реклама)
  4. OpenNews: Отчёт о разработке Linux-версии PVS-Studio и результаты проверки LLVM (реклама)
  5. OpenNews: PVS-Studio доступен для бесплатного использования открытыми проектами (реклама)
  6. OpenNews: Методы работы и история возникновения анализатора кода PVS-Studio (реклама)
Обсуждение (68 +4) | Тип: К сведению |
20.03.2017 Релиз OpenSSH 7.5 (11 +22)
  Сформирован релиз OpenSSH 7.5, открытой реализации клиента и сервера для работы по протоколам SSH 2.0 и SFTP. В OpenSSH также временно оставлена поддержка протоколов SSH 1.3 и 1.5 на стороне клиента (серверная часть уже удалена), которая требует сборки со специальной опцией. Летом 2017 года планируется полностью прекратить поддержку SSHv1 и удалить компоненты с реализаций шифров Blowfish и RC4, а также RIPE-MD160 HMAC, которые в настоящее время по умолчанию отключены в настройках. В будущих выпусках также планируют запретить использование RSA-ключей размером менее 1024 бит и отключить по умолчанию поддержку шифров CBC на стороне SSH-клиента (в сервере CBC был отключен несколько лет назад).

В новой версии устранены накопившиеся ошибки и внесено несколько изменений, в основном связанных с удалением устаревших возможностей:

  • Внесена дополнительная защита для блокирования атак, манипулирующих различиями при формировании добавочного заполнения (padding oracle) в шифрах CBC (на стороне сервера CBC уже давно отключен по умолчанию и запланирован к удалению в следующем выпуске);
  • В утилите sftp-client устранена уязвимость, проявляющаяся при запуске в окружении Cygwin и позволяющая создать или изменить файлы за пределами целевой директории на стороне клиента при инициировании рекурсивной загрузки данных с сервера, подконтрольного атакующим;
  • В ssh и sshd добавлен оператор "=-", предназначенный для исключения методов из списков. Например, "Ciphers=-*cbc" исключит из списка допустимых шифров все алгоритмы с CBC;
  • Отключена возможность запуска OpenSSH без разделения привилегий. Опция UsePrivilegeSeparation объявлена устаревшей и режим разделения привилегий теперь не может быть отключен (по умолчанию данный режим активирован уже почти 15 лет);
  • Изменён формат некоторых сообщений в логе, информирующих о закрытии соединения, таймаутах, отсоединении удалённой стороны и некоторых фатальных ошибках. Для данных групп сообщений в лог теперь добавлены сведения о пользователе и состоянии аутентификации, что может потребовать модификации анализаторов логов и систем мониторинга. Например:
    
       Connection closed by user x 1.1.1.1 port 1234 [preauth]
       Connection closed by authenticating user x 10.1.1.1 port 1234 [preauth]
       Connection closed by invalid user x 1.1.1.1 port 1234 [preauth]
    
  • Прекращена поддержка версий библиотеки OpenSSL до ветки 1.0.1 (поддержка ветки 1.0.1 была прекращена проектом OpenSSL более года назад).

  1. Главная ссылка к новости
  2. OpenNews: Релиз OpenSSH 7.4
  3. OpenNews: DoS-уязвимость в OpenSSH
  4. OpenNews: Релиз OpenSSH 7.3
  5. OpenNews: Обход защиты OpenSSH, препятствующей определению наличия пользователя
  6. OpenNews: Разработчики OpenSSH опубликовали план прекращения поддержки протокола SSHv1
Обсуждение (11 +22) | Тип: Программы |
20.03.2017 Adblock Plus объявил состав независимого комитета по приемлемой рекламе (154 –49)
  Компания EYEO, курирующая разработку блокировщика рекламы Adblock Plus, представила первых членов независимого комитета по приемлемой рекламе, который возьмет контроль над программой Acceptable Ads. Комитет включает представителей 9 групп, разделённых на три коалиции - представители лиц, получающих прибыль от размещения рекламы, защитники интересов пользователей и эксперты. В первую коалицию вошли рекламодатели, разработчики рекламных технологий, рекламные агентства, рекламные агенты, издатели и создатели контента. Во второй коалиции представлены представители организаций по защите цифровых прав и пользователи, а в третьей исследователи, разработчики браузеров и "творческие агенты".

Независимый комитет получит полный контроль над критериями приемлемой рекламы и формированием белых списков. Это поможет достичь компромисса между пользователями, которые хотят блокировать навязчивую рекламу, и издателями, которые живут за счет доходов от коммерческих размещений. В соответствии предложенными критериями, реклама считается приемлемой, если представлена статическим контентом (текст или изображение без анимации, звуков, видео и интерактивных блоков), достаточно отдалена от контента, явно воспринимается как реклама и не перекрывает другое содержимое.

Блокировщики рекламы Adblock Plus, AdBlock, Adblock Browser и Crystal будут придерживаться критериев приемлемой рекламы, разработанных комитетом, предлагая пользователям возможность блокировать нежелательные объявления и видеть более качественную рекламу. На данный момент в комитет выбраны восемь представителей, остаются свободными два места для представителей организаций по защите цифровых прав и одно место пользователя (всего 11 членов). Одним из членов комитета станет обычный интернет-пользователь, который в процессе принятия решений получит равные права с профессионалами рекламной индустрии. Выбор пользователя будет произведён через социальные сети, заявки принимаются с 15 март.

Утвержденные члены комитета:

  • Рекламодатели: Dell, Ad-tech, Rocket Fuel Inc, Criteo, Rakuten Marketing, Native Ads, Sharethrough, The Media Trust;, BuySellAds.com, Look Listen, ZEDO, Bidio, Instinctive, Adtoma AB;
  • Рекламные агентства: M&C Saatchi Mobile Saatchi & Saatchi, The Tombras Group, TLGG, Schaaf-PartnerCentric;
  • Издатели и создатели контента: Condé Nast, TED Talks, Dennis Publishing, Local Media Consortium, Leaf Group;
  • Творческий агент: Jay Morgan (J. Walter Thompson Worldwide)
  • Исследователь: Bloor Research International Ltd.
  • User Agent: UC Web (подразделение компании Alibaba, развивающее браузер UC Browser).

  1. Главная ссылка к новости
  2. OpenNews: Adblock Plus запустил собственную рекламную сеть с приемлемой рекламой
  3. OpenNews: Adblock для Chrome продан и по умолчанию перестанет блокировать приемлемую рекламу
  4. OpenNews: Проект AdBlock Plus выиграл второе разбирательство в немецком суде
  5. OpenNews: AdBlock Plus отстоял свободу блокировки рекламы в немецком суде
  6. OpenNews: Google, Amazon и Microsoft заключили соглашение с AdBlock Plus
Обсуждение (154 –49) | Автор: EYEO PR | Тип: К сведению |
20.03.2017 Истёк срок действия последнего патента на технологию AC-3 (Dolby Digital) (68 +40)
  Истёк срок действия последнего патента, охватывающего технологию многоканального кодирования звука AC-3 (Dolby Digital), применяемую в стандартах цифрового телевидения (ATSC, DVB), на дисках DVD и Blu-ray, в системах потокового интернет-вещания с поддержкой объёмного звука 5.1. Ранее производители телевизоров, музыкальных центров, домашних кинотеатров, игровых приставок, аппаратных и программных мультимедийных проигрывателей вынуждены были оплачивать отчисления при реализации стандартов, в которых используется AC-3.

Если изначально объектом сбора отчислений были в основном производители звуковой техники и аппаратных устройств, то в 2012 году компания Dolby провела кампанию против разработчиков программ для воспроизведения видео, потребовав у них начать выплачивать отчисления или удалить поддержку Dolby Digital. Отныне появилась возможность реализации стандарта сжатия многоканального звука ETSI TS 102 366 без пересечения с действующими патентами, что освобождает основанные на AC-3 продукты от необходимости оплаты патентных отчислений, а также даёт возможность включения AC-3 в состав дистрибутивов, не допускающих включение пакетов обременённых патентами на ПО (Fedora, Debian).

После истечения действия патентов, для использования AC-3 в своих приложениях теперь достаточно убедиться, что в программе не упоминается торговая марка "Dolby Digital" (для избежания исков следует использовать название технологии "AC-3" или "A/52"). Также необходимо иметь в виду, что расширенные методы кодирования, такие как E-AC-3 ("Dolby Digital Plus"), MLP и TrueHD, всё ещё охватываются патентами и их применение требует отчислений.

Для кодирования и декодирования AC-3 можно использовать открытую библиотеку libavcodec (LGPLv2.1+) из состава ffmpeg с применением сборочных опций "--disable-everything --enable-decoder=ac3 --enable-demuxer=ac3 --enable-parser=ac3". Также доступны открытые библиотеки liba52 (GPLv2), которая используется проектом VLC, и valib (GPLv2, имеет неотключаемую встроенную поддержку E-AC-3) от проекта AC3Filter.

Несмотря на то, что формат кодирования AC-3 включён во многие открытые стандарты, компании Dolby удавалось около 25 лет успешно собирать отчисления с производителей звуковой техники и DVD/Blu-ray дисков, благодаря применению стратегии "evergreening". Для получения роялти в течение срока, превышающего отведённый законом период, применялись такие методы как сокрытие пересечений c уже имеющимися патентами в процессе формирования стандарта, регистрация новых патентов, охватывающих части стандарта, и скупка патентов у конкурентов, с выставлением их как важных для реализации стандарта.

Несмотря на то, что все патенты в официально заявленном списке теперь просрочены, компания Dolby не теряет надежды найти новые патенты для сбора отчислений. В частности, в 2012 году у Panasonic был куплен патент US6339757, действующий ещё три года и описывающий метод оптимизации битового распределения для цифровых звуковых сигналов. Патент US6339757 специфичен только для отдельных кодировщиков и не затрагивает декодировщики, а также кодировщик ac3enc.c от проекта ffmpeg, в котором не выполнятся корректировка битового потока после инициализации. Данный патент не включён в официальных список патентов ETSI IPR для AC-3 и применяется для точечных ударов на конкретные реализации кодировщиков.

  1. Главная ссылка к новости
  2. OpenNews: В Fedora добавлена встроенная поддержка MP3
  3. OpenNews: В Fedora добавлена встроенная поддержка H.264
  4. OpenNews: Проект Debian обозначил свою позицию в отношении патентов на ПО
  5. OpenNews: Лидер Debian предложил добиться соответствия требованиям Фонда СПО к полностью свободным дистрибутивам
  6. OpenNews: Формат GIF теперь полностью свободен
Обсуждение (68 +40) | Тип: К сведению |
19.03.2017 Ошибка в GCC привела к игнорированию режима выявления проблем с форматированием строк (34 +17)
  Разработчики Fedora Linux столкнулись с заслуживающей внимания проблемой, связанной с ненадлежащей работой предоставляемых в GCC дополнительных проверок для блокирования проблем, вызванных ошибками форматирования строки. Начиная с Fedora 21 пакеты в дистрибутиве собираются с опцией "-Werror=format-security", которая приводит к выводу ошибки в случае выявления компилятором GCC проблем с форматированием строк, которые потенциально могут привести к появлению уязвимостей.

В процессе тестирования новой ветки Fedora, в которой будет задействован GCC 7 (релиз GCC 7 ожидается в апреле), разработчики столкнулись с ошибкой, вызванной тем, что флаг "-Werror=format-security" игнорировался при определённом стечении обстоятельств. В итоге возникла ситуация когда массовая пересборка всех пакетов проходила без ошибок, но фактически сборка ряда пакетов должна была завершиться ошибкой, чего не произошло, и проблемы с форматированием строк в данных пакетах оставались незамеченными.

Проблема всплыла только после внесения в GCC 7 изменения, исправляющего ошибку разбора параметров командной строки (одновременное указание "-Werror=format-security" и "-Wall" или "-Wformat" приводило к игнорированию "-Werror=format-security"). Ошибка присутствует достаточно давно и проявлялась как минимум в ветке GCC 4. При обновлении GCC 7 некоторые пакеты в Fedora перестали собираться и уполномоченным разработчикам пришлось в экстренном порядке вносить правки (как правило замена printf(variable) на printf("%s", variable)), не дожидаясь реакции мэйнтейнеров.

Дополнительно можно отметить решение отложить альфа-выпуск Fedora 26 на одну неделю в связи с невыполнением критериев качества. В частности, в репозитории остаются неисправленными 4 проблемы, которые отнесены к категории блокирующих выпуск: проблемы с настройкой ssh-ключей в cloud-init, сбой в запуске gnome-initial-setup, если в инсталляторе не был добавлен пользователь, крах пакета с ядром на Allwinner SoC, проблемы с настройкой FreeIPA в инсталляторе. В качестве новой даты релиза Fedora 26 названо 20 июня, вместо изначально запланированного 6 июня. Напомним, что начиная с Fedora 27 подготовка альфа-выпуска будет упразднена.

  1. Главная ссылка к новости
  2. OpenNews: В DNS-сервере BIND устранен серьёзный сбой, возникший из-за изменений в оптимизаторе GCC
  3. OpenNews: Разработчики Mozilla столкнулись с проблемой производительности в GCC 4.5
  4. OpenNews: Линус Торвальдс выступил с резкой критикой GCC 4.9.0
  5. OpenNews: Оптимизация кода компилятором может привести к появлению проблем безопасности в приложениях
  6. OpenNews: Дэниэл Бернштейн выступил с инициативой создания Си-компилятора для защищённого ПО
Обсуждение (34 +17) | Тип: Обобщение |
19.03.2017 Релиз мозаичного оконного менеджера Awesome 4.1 (110 +17)
  Cостоялся релиз мозаичного (тайлового) оконного менеджера Awesome 4.1, предоставляющего интерфейс на основе неперекрывающихся окон. Awesome построен на базе переработанных исходных текстов оконного менеджера dwm и отличается поддержкой использования языка Lua в файлах конфигурации для контроля всех аспектов работы оконного менеджера и создания дополнений. Код проекта распространяется под лицензией GPLv2 и написан с использованием асинхронной библиотеки XCB вместо Xlib для обеспечения хорошей отзывчивости интерфейса.

Awesome позволяет оптимизировать выполнение типового рабочего процесса и организовать управление окнами с использованием только клавиатуры, без необходимости передвижения мыши. Вместо виртуальных рабочих столов в Awesome предлагается группировка по тегам c возможностью отображения разом только окон соответствующих заданному тегу. Оконный менеджер хорошо адаптирован для работы в многомониторных конфигурациях, поддерживает привязку окон к экранам с использованием тегов и может работать в режимах XRandR, Xinerama и Zaphod. Поддерживаются стандарты Freedesktop: EWMH, XDG Base Directory, XEmbed, Desktop Notification и System Tray. Для управления может использоваться передача команд при помощи D-Bus.

Awesome 4.1 преподносится как первый стабильный выпуск Awesome 4 API. В новой версии представлено около 350 изменений, например, в виджете prompt добавлена подсветка синтаксиса, расширено число переменных для управления темами оформления, представлена новая раскладка в виде 2D-сетки, расширены возможности при использовании нескольких мониторов, улучшена поддержка HiDPI, возобновлена поддержка FreeBSD и OpenBSD.

  1. Главная ссылка к новости
  2. OpenNews: Релиз мозаичного оконного менеджера Awesome 4.0
  3. OpenNews: Релиз мозаичного оконного менеджера Awesome 3.5
  4. OpenNews: Доступен оконный менеджер i3 4.8
  5. OpenNews: Первый выпуск abduco, легковесной альтернативы tmux и screen
  6. OpenNews: Программа, имитирующая экран компьютера хакеров по мотивам голливудских фильмов
Обсуждение (110 +17) | Тип: Программы |
<< Предыдущая страница (позже)
Следующая страница (раньше) >>


  Закладки на сайте
  Проследить за страницей
Created 1996-2017 by Maxim Chirkov  
ДобавитьРекламаВебмастеруГИД  
Hosting by Ihor TopList