Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Ретроспектива продвижения бэкдора в пакет xz, opennews (?), 30-Мрт-24, (0) [смотреть все] Таки работает схема с тысячей глаз , Аноним (2), 12:57 , 30-Мрт-24, (2) +69 // Скрыто модератором, Oe (?), 13:03 , 30-Мрт-24, (12) –74 // Скрыто модератором, Аноним (14), 13:06 , 30-Мрт-24, (14) // Скрыто модератором, Аноним (16), 13:10 , 30-Мрт-24, (16) +2 Скрыто модератором, Аноним (16), 13:09 , 30-Мрт-24, (15) +6 // Скрыто модератором, Аноним (26), 13:38 , 30-Мрт-24, (26) +16 Скрыто модератором, Аноним (82), 16:07 , 30-Мрт-24, (82) –1 Объясните, а что даст взломщику локальный рут у простого пользователя Файлы и т, microcoder (ok), 01:04 , 31-Мрт-24, (170) +1 оно сидит за 1 провайдерским натом 2 за роутероми нафиг никому не надоу более-, pelmaniac (?), 17:36 , 31-Мрт-24, (223) Как стать вменяемым Что надо сделать , microcoder (ok), 02:33 , 01-Апр-24, (242) Ага, покажите мне эти 171 тысячи способов получить рут 187 , у меня тут как р, вымя (?), 14:01 , 30-Мрт-24, (41) +9 Анализировали коды обоих Результаты представьте , Аноним (112), 17:44 , 30-Мрт-24, (112) +8 а как винде получить рут , Аноним (127), 19:27 , 30-Мрт-24, (127) +1 А винде фурифокс прям изолирован , Аноним (142), 20:14 , 30-Мрт-24, (142) +3 Напиши свой репозиторий за бесплатно Я тебе даже помогу 8212 имя придумаю П, Аноним (154), 21:00 , 30-Мрт-24, (154) В винде все просто работают из под рута Даже получать ничего не надо Удобно , Легивон (?), 08:14 , 31-Мрт-24, (192) Ты наивное дитя на поводу у зла 8230 Отсутствие изкоробочного root-а 8212 эт, AlexYeCu (ok), 09:36 , 31-Мрт-24, (196) Не работает Просто хакеры зевнули , Аноним (26), 13:39 , 30-Мрт-24, (27) Только в МС надо стукнуть чтобы посмотрели,а так да , сщта (?), 13:51 , 30-Мрт-24, (36) +4 Где же она работает Тыщщи глаз два года ничего не замечали Потом пришел профи и, Анонин (-), 15:04 , 30-Мрт-24, (65) –3 // не совсем так, месяц продержалось, в основном или на мелких дистрибутивах, котор, Всем Анонимам Аноним (?), 16:42 , 30-Мрт-24, (95) +1 // В Debian тоже не попало кроме testing-а, fhunter (?), 04:51 , 31-Мрт-24, (183) А кто, по вашему, пишет опенсорс Домохозяйки Вот эти самые профи из Майкрософ, Hashnames (?), 19:16 , 30-Мрт-24, (123) +9 с пауками чтоль , майнеймис (?), 19:15 , 30-Мрт-24, (122) –1 Так будет иск или расследование с открытием дела , pic (?), 12:58 , 30-Мрт-24, (3) +2 // Расследование уже началось Дело будет, если найдут подозреваемого Судя по всему, Аноним (16), 13:01 , 30-Мрт-24, (8) –1 // Proof https www cisa gov news-events alerts 2024 03 29 reported-supply-chain-, Аноним (16), 13:46 , 30-Мрт-24, (34) Вот кто-то подумает, что во всем опять VPN виновен Архив релиза, говорят, был по, Аноним (47), 14:16 , 30-Мрт-24, (47) +11 // Ну вот, траванули разраба, а он передал управление проектом непонятно кому Где к, Аноним (47), 14:24 , 30-Мрт-24, (50) +4 На самом деле просто ключами PGP разработчики пользоваться не умеют в своей масс, timur.davletshin (ok), 15:11 , 30-Мрт-24, (70) +1 Лет 5 назад лично проводил исследование применение OpenPGP для подписи пакетов В, Аноним (47), 15:22 , 30-Мрт-24, (73) +1 Можно про методику , Аноним (118), 18:47 , 30-Мрт-24, (118) +1 man gpgСкрипт, написанный лет 5 назад, который проверяет PGP подписи файлов с Ge, Аноним (251), 10:44 , 01-Апр-24, (251) Разработчики хм Вот к примеру раздают LibreOffice, сам пакет и подпись asc к н, Аноним (76), 15:34 , 30-Мрт-24, (76) Инструкцию на сайте убрали уже рядом с предложением скачать подпись для проверки, timur.davletshin (ok), 15:45 , 30-Мрт-24, (77) –2 Добавь проверку публичного ключа Используй WoT и найди несколько цепочек к ключ, Аноним (91), 16:31 , 30-Мрт-24, (91) Это типа - через гпг сервера Так на них кто угодно от твоего имени залить может, OpenEcho (?), 20:02 , 31-Мрт-24, (233) Чтобы с высоким уровнем достоверности можно было полагатся на публичный ключ, не, Аноним (251), 11:04 , 01-Апр-24, (252) Ну и как Удачно нашел ко ВСЕМ 4 цепочки В том то и дело, что ни с Вадимом и те, OpenEcho (?), 17:10 , 01-Апр-24, (258) Да https git kernel org pub scm docs kernel pgpkeys git tree graphsОдну ошибк, Аноним (275), 17:45 , 04-Апр-24, (275) Там львиня доля народа до которых у меня нет никакой цепочки чтоб им верить, и е, OpenEcho (?), 19:50 , 04-Апр-24, (276) gpg --verify LibreOffice_24 2 2 2_Linux_x86-64_deb tar gz asc LibreOffice_24 2 2, Fedd (ok), 17:30 , 30-Мрт-24, (109) Я же сказал что читал инструкцию и что знаю процедуру Вы поглядите что пишет при, Аноним (76), 19:20 , 30-Мрт-24, (125) +2 https www opennet ru openforum vsluhforumID3 133256 html 252, Аноним (251), 11:06 , 01-Апр-24, (253) Кто пользует то что на работе работает , Аноним (136), 19:49 , 30-Мрт-24, (136) У меня zip, все работает не просто отлично, а шикарно Пользователи виндоус кста, Oe (?), 12:59 , 30-Мрт-24, (4) –37 // Скрыто модератором, Daniil (??), 15:12 , 30-Мрт-24, (71) +2 // Скрыто модератором, Аноним (78), 15:45 , 30-Мрт-24, (78) –1 // Скрыто модератором, Аноним (141), 20:13 , 30-Мрт-24, (141) +2 Скрыто модератором, Аноним (78), 20:45 , 30-Мрт-24, (149) Кинул в Федору предложение https pagure io fesco issue 3185Может, соберутся и, Аноним (16), 12:59 , 30-Мрт-24, (5) –5 // Andres Freund, залогиньтесь , Аноним (39), 13:58 , 30-Мрт-24, (39) +2 Хорошее предложение , Rev (?), 14:22 , 30-Мрт-24, (49) С одной стороны выглядит назревшим и необходимым С другой - это ж дораспугает в, аннаним (?), 15:05 , 30-Мрт-24, (66) –1 Можно было бы помягче написать Троллить каждый может и советовать Проблема не , Всем Анонимам Аноним (?), 16:46 , 30-Мрт-24, (98) Так Fedora тебя тоже кинет , Аноним (141), 16:50 , 30-Мрт-24, (100) Разрабы Fedora сказали, что это предложение anti-freedom , при этом ничего не у, Аноним (169), 23:51 , 30-Мрт-24, (169) –1 // Кококо, name (??), 11:45 , 31-Мрт-24, (206) –1 Скрыто модератором, Карлос Сношайтилис (ok), 13:00 , 30-Мрт-24, (6) +4 // Скрыто модератором, Аноним (16), 13:01 , 30-Мрт-24, (10) +1 Скрыто модератором, Аноним (141), 13:46 , 30-Мрт-24, (32) +2 // Скрыто модератором, Карлос Сношайтилис (ok), 14:02 , 30-Мрт-24, (42) Майкрософт как обычно приходит и спасает положение, Аноним (7), 13:00 , 30-Мрт-24, (7) +11 // PostgreSQL же Всем известно, что Postgre - лучший мессенджер для передачи файло, Аноним (21), 13:25 , 30-Мрт-24, (21) +3 // postgre только для 1с годитсяу всех остальных postgres, Аноним (127), 19:40 , 30-Мрт-24, (132) –2 postgres, Аноним (259), 20:02 , 01-Апр-24, (259) Ну, по крайней мере тезис про тысячу глаз работает , Vf (?), 13:01 , 30-Мрт-24, (9) +5 // Нашли не глаза, malware заметили из-за глюков в работе Глаза - это не больше, че, Аноним (16), 13:02 , 30-Мрт-24, (11) –9 // Ну да, файлы же с бекдором bad-3-corrupt_lzma2 xz и good-large_compressed lzma н, Аноним (141), 13:52 , 30-Мрт-24, (37) +7 При этом тезис за 2 года спланированной деятельности бэкдур внедрён только в li, n00by (ok), 13:27 , 30-Мрт-24, (23) +3 // Либо можно интерпретировать как за 2 года спланированной деятельности бекдур ос, Аноним (39), 14:11 , 30-Мрт-24, (46) // Что можно так интерпретировать и на каком основании , n00by (ok), 14:25 , 30-Мрт-24, (52) –1 Это, кажется, требует личной встречи с участниками проекта для удостверения публ, Аноним (13), 13:04 , 30-Мрт-24, (13) –1 // Он просто зарегистрировался на местном гитлабе Мейнтейнером или девелопером он , Dmitry Shachnev (ok), 13:47 , 30-Мрт-24, (35) // Участник проекта Debian - это как раз участник с правом голоса и полномочиями са, Аноним (54), 14:25 , 30-Мрт-24, (54) Опять дебианчик со своими патчами Когда уже им по рукам надавают, чтобы переста, Шарп (ok), 13:10 , 30-Мрт-24, (17) // Можно копнуть еще глубже, и найти того кто протащил эту зависимость systemd для , Аноним (19), 13:15 , 30-Мрт-24, (19) +2 // Ты поаккуратнее с такими заявлениями, а то выяснится что за всем стоит дядя Лёня, Аноним (39), 14:02 , 30-Мрт-24, (43) +11 А зачем Если авторы systemd добавили зависимость, то это их дело Они же владел, Шарп (ok), 14:31 , 30-Мрт-24, (57) // Есть подозрение, что они и не стирали, aname (?), 02:26 , 31-Мрт-24, (174) +4 Есть и подтверждение этой гипотезе - слишком часто эксперты пишут душно , n00by (ok), 07:28 , 31-Мрт-24, (189) Не баг, а фича , aname (?), 11:13 , 01-Апр-24, (254) Потому что операционная СИСТЕМА 8212 это система, а не разрозненные никак не , Аноним (259), 20:04 , 01-Апр-24, (261) Изначальный автор xz-utils вообще ушел давно из проекта по состоянию здоровья Т, Аноним (7), 13:14 , 30-Мрт-24, (18) +7 А в винде есть zlib Хочу протроянить винду Или другой BSD лицензированный паке, kusb (?), 13:26 , 30-Мрт-24, (22) // Можешь искать людей с Git for Windows - в нем тоже есть xz, Аноним (68), 15:09 , 30-Мрт-24, (68) в cygwin есть и zlib и xz и sshd тоже есть а вот systemd нету , glad_valakas (-), 16:47 , 30-Мрт-24, (99) Вот что CoC животворящий делает , Аноним (141), 13:32 , 30-Мрт-24, (25) +1 // Надеюсь, CoC и дальше будет жить Потому, что весело , aname (?), 02:28 , 31-Мрт-24, (175) Сам напросился и пролез Всего лишь А теперь представьте, что там может натвори, AKTEON (?), 13:41 , 30-Мрт-24, (29) +1 // Скрыто модератором, Аноним (39), 14:03 , 30-Мрт-24, (44) +1 Я ведь уже блин писал в сети как работает разведка, спецслужбы етк Берётся отпра, robot228 (?), 20:25 , 30-Мрт-24, (146) +2 // Чел успешно внедрился и всё было хорошо, пока не обосрался на этапе написания хо, aname (?), 02:31 , 31-Мрт-24, (176) Это скорее всего она и есть, Отражение луны (ok), 23:42 , 30-Мрт-24, (167) Всё-таки надо подтверждать личности разработчиков и мэинтейнеров , Rev (?), 14:25 , 30-Мрт-24, (53) –2 // По паспорту непременно Чтобы кого надо только были разработчики , timur.davletshin (ok), 15:26 , 30-Мрт-24, (74) +1 // https state-services gov , Аноним (141), 16:22 , 30-Мрт-24, (85) Кем подтверждать Комитетом подтверждения образованным RH, Microsoft и иже с ни, Легивон (?), 08:23 , 31-Мрт-24, (193) +2 Максим Fedora 40 не была подвержена уязвимости, слава те, господи Я чуть не обо , birdie (ok), 14:32 , 30-Мрт-24, (58) // здесь все джентльмены, а истинные джентльмены верят друг другу на слово, аннаним (?), 14:53 , 30-Мрт-24, (61) // Не, просто сейчас видят китайское имя и с сомнением прищуривают глаза Времена-с, Kuromi (ok), 16:13 , 30-Мрт-24, (84) В Red Hat-овском отчёте сказано Fedora Linux 40 users may have received versio, Аноним (124), 19:16 , 30-Мрт-24, (124) И опять microsoft за день сделала для опенсорса больше чем все любители вместе в, Аноним (59), 14:32 , 30-Мрт-24, (59) +1 // И всё равно они зло , birdie (ok), 14:59 , 30-Мрт-24, (62) –1 // А почему это лучший друг опенсорса у тебя зло Кончено, с такими друзьями вр, Аноним (78), 15:10 , 30-Мрт-24, (69) –1 Ты имеешь в виду, что МС и внедрила Не исключено Сначала внедряем малварь в по, Аноним (78), 15:02 , 30-Мрт-24, (64) +3 // This , scriptkiddis (?), 20:03 , 30-Мрт-24, (139) а причем тут ms работник из ms нашел уязвимость , капитошка2 (?), 22:20 , 30-Мрт-24, (161) +1 Никогда такого не было, и вот опять , aname (?), 02:33 , 31-Мрт-24, (177) Ох и ржачная история Чел с 2022 года, как истинный стратег, шаг за шагом реализ, Аноним (60), 14:38 , 30-Мрт-24, (60) +3 // Причём здесь человек, это вполне может быть какая-нибудь трёхбуквенная контора , Аноним (67), 15:09 , 30-Мрт-24, (67) +1 // sap , Аноним (127), 19:45 , 30-Мрт-24, (134) // p g, аннаним (?), 22:54 , 30-Мрт-24, (162) +2 Самое интересное, что он не один такой Другие, пока что не вскрыли свои карты , Слава Линуксу (?), 15:49 , 30-Мрт-24, (79) +1 На самом деле нет Это как в фильмах про вычурные планы ограбления банка - все п, Kuromi (ok), 16:11 , 30-Мрт-24, (83) +3 // Это художественная выдумка Чем более вычурный план, тем больше в нём точек отка, Аноним (-), 18:02 , 30-Мрт-24, (113)   // Это всё при условии что это одиночка, что далеко не факт Кто бы за этим ни стоя, Аноним (202), 10:34 , 31-Мрт-24, (202)   Это может работать только в том случае, если такие атаки действительно можно про, Аноним (-), 17:54 , 31-Мрт-24, (226)   Если чувак на зарплате в чем проблема Заплатишь 100к бачинских чуваку за внедре, Аноним (115), 18:26 , 30-Мрт-24, (115) // 100к за вечный бан на трудоустройство в денежных компаниях как-то слишком дёшево, Аноним (187), 06:30 , 31-Мрт-24, (187) –1 Погоди, хакеры интернетные спустя 40 лет только учиться начинаютhttps www open, robot228 (?), 20:28 , 30-Мрт-24, (147) Судя по имени - китайса С другой стороны, это имя тоже ничего не значит, но вне, Kuromi (ok), 16:06 , 30-Мрт-24, (81) // Китайцам доверять - себя не уважать И так во всем, от договоров до их поделок, , Аноним (93), 16:40 , 30-Мрт-24, (93) Уверены,что это имя реального человека , Аноним (101), 16:53 , 30-Мрт-24, (101) +1 // Ну ты вот каждый фейковый акаунт на шитхабе заводишь на John Smith, или все же н, нах. (?), 17:38 , 30-Мрт-24, (111) +2 Судя по идиотизму истории, можно сделать вывод что этим занималась бюрократия ил, Аноним (-), 18:18 , 30-Мрт-24, (114) –6 // Ничего себе идиотизм - разработали весьма хитрый способ внедрения малварного код, Аноним (179), 02:38 , 31-Мрт-24, (179) +1 // Да ещё и блестящая обфускация - код уже второй день ковыряют security-специалист, Аноним (203), 11:00 , 31-Мрт-24, (203) Ты на результат смотри, а не на хитрость кода Неизбежный провал оказался неизбе, Аноним (-), 17:59 , 31-Мрт-24, (227) Ну раз ты это уже знаешь, остается только принять мир таким, каков он есть И то, Аноним (184), 05:12 , 31-Мрт-24, (184) +2 // Прежде чем объяснять мне, как взрослеть, тебе бы не помешало бы самому сделать т, Аноним (-), 18:23 , 31-Мрт-24, (229) туда нормальному человеку вообще не попасть, в Debian, даже если ты захочешь им , Всем Анонимам Аноним (?), 16:29 , 30-Мрт-24, (89) +5 Заявление от Лассе Коллина, основного разработчика xz https tukaani org xz-ba, Аноним (92), 16:38 , 30-Мрт-24, (92) // Верим-верим, 146 что это не Лассе Коллин под sockpuppetом , Аноним (107), 17:25 , 30-Мрт-24, (107) Прекрасно, человек на связи и теперь дальше может продолжить работу над проекто, Hamanit (ok), 17:26 , 30-Мрт-24, (108) Если после этого везде выпилят xz, то как тогда работать с архивами tar xz , Аноним (101), 16:45 , 30-Мрт-24, (97) // Да выкинут тот бекдор вместе с нынешним мейнтером и дальше поедут , Аноним (141), 16:59 , 30-Мрт-24, (103) +1 7-zip их поддерживает , Аноним (169), 19:54 , 30-Мрт-24, (137) FAQ on the xz-utils backdoor 129761 https gist github com thesamesam 223949d5, Hamanit (ok), 17:00 , 30-Мрт-24, (104) +1 Ну вот тут - нашли А интересно, в скольких случаях - не нашли , Аноним (105), 17:06 , 30-Мрт-24, (105) // В ядре шинды и мака пока что ничего не нашли , Аноним (130), 19:31 , 30-Мрт-24, (130) // Потому что заобскьюрено , Аноним (141), 20:24 , 30-Мрт-24, (145) Ну то есть в одном случае нашли и в двух не нашли Ну тогда свободное по явно в , Аноним (186), 05:55 , 31-Мрт-24, (186) Так там еще только 100 строчек кода на Расте, просто не успели внедрить , Аноним (224), 17:36 , 31-Мрт-24, (224) Linux, Windows, а про Android забыли В этой стране официальный маркетплейс Goog, Аноним (106), 17:07 , 30-Мрт-24, (106) –1 // Может потому что сайт гугл плей забанен , Аноним (130), 19:31 , 30-Мрт-24, (129) // как же это случилось , Аноним (198), 09:41 , 31-Мрт-24, (198) +1 История поучительная, но совсем не эпичная И внедряли маскировали дырочку кривов, люблю Стекляные бусы (?), 18:44 , 30-Мрт-24, (116) +3 // Риск5 говорящее название , Аноним (130), 21:18 , 30-Мрт-24, (157) +1 Слабовато - потому что на дату активизации этого китайца надобно обратить прис, n00by (ok), 08:11 , 31-Мрт-24, (191) // Вывод сокращен или они 2 года не обновляли а потом внезапно решили обновить , аннаним (?), 12:29 , 31-Мрт-24, (208) +1 // В общедоступной для скачивания Роса Фреш xz 5 2 9 Там вообще достаточно странна, Аноним (-), 15:41 , 31-Мрт-24, (212) Точно, странная Иностранец за них исправил заменой zx на gz, а через 15 часов пр, n00by (ok), 17:28 , 31-Мрт-24, (221) +1 Роса 2023 1 ещё не успела выйти, а уже с бэкдором , Аноним (234), 20:05 , 31-Мрт-24, (234) Ну, из именно того пакетика бэкдор уже убрали Зато с 02 25, пока это всё тестир, n00by (ok), 07:59 , 01-Апр-24, (247) rosa2023 1-5 6 1-2 2024 03 30 rosa2023 1-5 6 1-1 2024 03 09 rosa2023 1-5 6, n00by (ok), 17:07 , 31-Мрт-24, (219) +1 Когда уже человечишки перестанут писать фичи ради кипиша Большинство пакетов мо, pelmaniac (?), 19:01 , 30-Мрт-24, (120) +1 // Фрибсд по факту заморожен, а толку , Аноним (130), 20:56 , 30-Мрт-24, (151) Все носятся как ошпаренные с Jia Tan и xz-5 6 0, 5 6 1 Using systemd on publicl, Аноним (121), 19:12 , 30-Мрт-24, (121) +2 // При чем тут Дебиан если все так же сделали И генту и арч и даже Федора роухайд , Аноним (130), 19:29 , 30-Мрт-24, (128) –2 // Арч так не делал, на нём не сработало, но на всякий случай откатили назад версию, Аноним (143), 20:15 , 30-Мрт-24, (143) +1 // Всё сработало раз объявили критикал https security archlinux org ASA-202403-1, Аноним (130), 20:55 , 30-Мрт-24, (150) вот же по твоей ссылке ясно написано что не подвержено уязвимости Impact Th, Аноним (143), 07:56 , 31-Мрт-24, (190) Не сработало, более того, 5 6 1-1 и 5 6 1-2 оказались бинарно идентичными, прост, Аноним (203), 11:06 , 31-Мрт-24, (204) в генту тоже насколько я понял не срабатывает, так как нет связки с systemd, 1 (??), 20:56 , 30-Мрт-24, (152) +2 // In Gentoo, we don t patch net-misc openssh with systemd-notify support which mea, 1 (??), 20:58 , 30-Мрт-24, (153) +1 Gentoo, как всегда, лучше всех Тем более там и systemd может не быть, Аноним (187), 06:33 , 31-Мрт-24, (188) +2 Содержимое deb, rpm пакетов запаковано lzma GCC использует lzma для сжатия отлад, Алексей (??), 21:49 , 30-Мрт-24, (160) –2 // Если бы ты еще объяснил инфо-папуасам нахрена systemd и всем остальным на хосте, Аноним (121), 23:40 , 30-Мрт-24, (166) +3 // Нет Попытаться снова поднять, если не поднялся Не всегда Бывают состояния вида, Алексей (??), 09:47 , 01-Апр-24, (249) Ну как в этом случае тебя спасет Type notify Возьмешь ноут и срочно поедешь в Ц, Аноним (121), 14:07 , 01-Апр-24, (256) Если notify вызывается в нужном месте кода, после открытия порта, получения kerb, Аноним (259), 20:10 , 01-Апр-24, (262) Мимо lzma since dpkg 1 14 0 deprecated https gcc gnu org onlinedocs gcc D, pavlinux (ok), 16:33 , 02-Апр-24, (270) Да, тоже удивило Либо этому факту 0 внимания, либо ыыыааа снова systemd Проце, Аноним (235), 21:06 , 31-Мрт-24, (235) +1 // Это все понятно и даже выглядит логично НО Можешь подсказать, или даже придума, Аноним (121), 23:25 , 31-Мрт-24, (239) // Чтобы sshd включался при runlevel 3, у его юнита в секции Install написано Wan, Аноним (235), 00:04 , 01-Апр-24, (240) Вопрос был о другом Какому сервису требуется старт After sshd, не важно явно , Аноним (121), 00:21 , 01-Апр-24, (241) На Пенни Сейчас мир больших облаков и HDD, чего мелочиться как детям , Аноним (136), 20:01 , 30-Мрт-24, (138) Вот что выходит когда пренебрегают безопасным языком, который умеет безопасно ра, Аноним (144), 20:22 , 30-Мрт-24, (144) +1 // Бэкдоры обнаруживают, а не спят годами в cargo , Аноним (224), 17:47 , 31-Мрт-24, (225) Уровень эпичности всей этой истории - 98 Операция длилась два года и такой про, Аноним (-), 21:14 , 30-Мрт-24, (155) +1 // Ну тут надо смотреть что первичнее Андрес или жор процессора в определенных усло, Аноним (130), 21:16 , 30-Мрт-24, (156) Санта Барбара Садить надо за такое, найти и посадить, чтобы неповадно было , Аноним (159), 21:36 , 30-Мрт-24, (159) // Ну найди , Аноним (195), 09:15 , 31-Мрт-24, (195) Кстати говоря, закачал сейчас последний veracrypt на debian testnig Вылет на л, AKTEON (?), 23:20 , 30-Мрт-24, (163) // Подозрения, что ты скачал файлы собранные под другой дистрибутив , Аноним (78), 23:34 , 30-Мрт-24, (165) // Подтверждаю git clone https github com veracrypt VeraCrypt git log commit 6e28, авпапварт (?), 23:43 , 30-Мрт-24, (168) Проблема в wxWidgets, решение там приведеноhttps github com veracrypt VeraCryp, Аноним (171), 01:48 , 31-Мрт-24, (171) Бросайте этот veracrypt, заместо него есть LUKS Или хочется GUI и еще один вект, Аноним (181), 02:52 , 31-Мрт-24, (181) // И как будет работать LUKS при установке другого дистрибутива с другой версией яд, Аноним (198), 10:01 , 31-Мрт-24, (201) // Нормально Я даже флэшки им шифрую , Аноним (-), 12:17 , 31-Мрт-24, (207) Прекрасно будет работать, потому что хранит параметры шифрации в своём заголовке, Грязный Гарри (-), 05:45 , 01-Апр-24, (246) 1 Ни GNU ld binutils , ни lld llvm НЕ используют glib 2 Если падает компоно, Алексей (??), 09:57 , 01-Апр-24, (250) Некоторые пакеты статически линкуют libunwind и статическая libunwind требует ст, Аноним (78), 23:34 , 30-Мрт-24, (164) // поживем увидем Это должна была быть ответкой, своего рода в час Х Ну вот и в , Sw00p aka Jerom (?), 01:51 , 31-Мрт-24, (172) Скрыто модератором, Аноним (198), 02:33 , 31-Мрт-24, (178) Вот дурень, сперва надо было получить все награды от гугла, а потом палиться , Аноним (198), 02:46 , 31-Мрт-24, (180) +1 Альт неуязвим , Аноним (-), 08:35 , 31-Мрт-24, (194) +1 // Не обновляли хз с 2021 года Красавцы , аннаним (?), 11:25 , 31-Мрт-24, (205) // Скрыто модератором, Аноним (-), 15:51 , 31-Мрт-24, (213) Технично Социальная инженерия для смены сопровождающего Исправление бага через, mustai (ok), 15:01 , 31-Мрт-24, (209) Чтобы избавиться от бэкдора достаточно вернуть xz-5 4 , Аноним (101), 15:05 , 31-Мрт-24, (210) // Да, но вас могли уже взломать , Аноним (-), 22:12 , 31-Мрт-24, (237) Оказывается выгорание очень опасно У меня сначало было выгорание на неделю, пот, Аноним (217), 16:58 , 31-Мрт-24, (217) // 129315 129315 129315 вы там осторожней с контейнерами под винду Контейне, АнонПапка (?), 18:23 , 31-Мрт-24, (228) Скрыто модератором, Алексей (??), 08:56 , 02-Апр-24, (267) Хорошо что вообще обнаружили, причем благодаря случайности А сколько таких же с, Аноним (224), 18:58 , 31-Мрт-24, (232) +1 // Посмотрел репозиторий Cargo - там нет ни макросов m4, ни automake, только нескол, Аноним (-), 21:47 , 31-Мрт-24, (236) +1 // А сколько в самом годе сидит Ведь никто не будет каждый файл исходников доскона, Neon (??), 04:57 , 01-Апр-24, (244) Сильно намудрил он с бекдором Если бы процесс сборки и производительность не да, Аноним (238), 23:01 , 31-Мрт-24, (238) +1 // да вы, прямо, переживает что их отловили о , sunjob (ok), 13:51 , 03-Апр-24, (272) Интересно, а сколько ещё не выявленных задних дверей в других пакетах прячется , Аноним (248), 09:14 , 01-Апр-24, (248) +2 Вот, отличное доказательство того, что критиков надо слать на три буквы не стесн, Аноним (255), 13:46 , 01-Апр-24, (255) // Правильно, критики они же все хотят тебя подсидеть Не может быть что в их критик, Аноним (257), 14:34 , 01-Апр-24, (257) // Таких, как эти Jigar Kumar и Hans Jansen 8212 да Ты открой почитай, там supe, Аноним (263), 23:06 , 01-Апр-24, (263) обычно-же критиканы пилят и поддерживают проекты о , sunjob (ok), 13:50 , 03-Апр-24, (271) Модель с тестированием и обкаткой приложений перед выпуском в официальный релиз , Аноним (-), 14:20 , 02-Апр-24, (268) Дальше не интересно , pavlinux (ok), 16:18 , 02-Апр-24, (269) FreeBSD не зацепило , Аноним (-), 18:08 , 03-Апр-24, (273) 2,3,4,5,7,9,13,17,18,22,25,29,53,58,59,60,81,89,92,97,104,105,106,116,120,121,138,144,155,159,163,164,180,194,209,210,217,232,238,248,255,268,269,273

Сообщения

[Сортировка по времени | RSS]

	113. "Ретроспектива продвижения бэкдора в пакет xz"	+/–
	Сообщение от Аноним (-), 30-Мрт-24, 18:02
	> Это как в фильмах про вычурные планы ограбления банка - все продумано до мелочей, а потом охранник во время обхода спотыкается Это художественная выдумка. Чем более вычурный план, тем больше в нём точек отказа, тем больше непредсказуемых событий могут повлиять на ход этого плана. И даже если каждое из этих событий имеет вероятность 0.01, то они запросто могут суммироваться в 0.9. Поэтому вычурные планы не работают. Чтобы вычурные планы работали бы, они должны развиваться эволюционно, через много проб и ошибок. То есть примерно так же, как и любая технология: хочешь запустить ракету, придётся несколько ракет взорвать на неудавшихся запусках. Проделывая такое многократно, можно научиться создавать ракету и успешно запускать её с первой попытки, так как это NASA с SLS сделала, но если ты поинтересуешься этой историей, ты увидишь характерные черты для таких сложных планов, сработавших с первой попытки: все сроки сорваны по нескольку раз, бюджет превзошёл все разумные и неразумные границы, и теперь все сидят, чешут репу и не знают, что делать с SLS. Списать его в провальные проекты и забыть о нём, чтобы не тратить больше денег, или может запустить его ещё пару раз, чтобы сделать свой провал чуть менее очевидным, и после этого списать. Но план развивающийся эволюционно, через много применений, имеет примерно ноль шансов остаться незамеченным.
	Ответить | Правка | Наверх | Cообщить модератору

	202. "Ретроспектива продвижения бэкдора в пакет xz"	+/–
	Сообщение от Аноним (202), 31-Мрт-24, 10:34
	Это всё при условии что это одиночка, что далеко не факт. Кто бы за этим ни стоял, там может быть сотня таких Джанов Танов пропихивающий вредоносные патчи в тысячи различных полудохлых пакетов, за которыми никто не следит. И вот тут уже, даже если вероятность фейла каждого отдельного Тана 0.9, кто-нибудь из них да преуспеет.
	Ответить | Правка | Наверх | Cообщить модератору

	226. "Ретроспектива продвижения бэкдора в пакет xz"	+/–
	Сообщение от Аноним (-), 31-Мрт-24, 17:54
	Это может работать только в том случае, если такие атаки действительно можно проводить массово и дёшево. И если возможные методы защиты от такого зашкаливающе дороги. Вот этот джун тан спалился и что будет дальше, как ты думаешь? Народ для начала разберёт как этот джун тан действовал, как он мог действовать эффективнее, и начнёт прикрывать лазейки. Начнёт, например, использовать статические анализаторы в принудительном порядке, и исправлять все варнинги, которые те дают, чтобы сделать обфускацию ещё сложнее. Начнёт все обновления пакетов гонять под валгриндом, требуя отсутствие варнингов. Будет тестовые программы autotools и cmake прогонять через статические анализаторы, приводя их к единому стилю. Проводить аудиты пакетов. Писать спецификации и проверять код на соответствие спецификациям. ... Это всё обойдётся атакуемому не бесплатно, но вероятности успеха вычурных планов уменьшатся на пару порядков и мало того реализация каждого плана станет дороже, потому что одного джуна тана будет уже недостаточно. А если атакующий будет настаивать, то система защиты будет набирать датасет о попытках атак, и оттачивать стратегию, вплоть до тренировки AI, который будет мониторить всё и вызывать команду аудиторов на любой подозрительный коммит. Подковёрные атаки могут работать пока они подковёрные, как только они прекращают быть подковёрными, они в пролёте. И в данном случае, защищающаяся сторона оказывается в выигрыше, потому что она будет в результате разрабатывать методы разработки надёжного софта, в то время как атакующая сторона будет отрабатывать навыки, которые абсолютно бесполезны за пределами этой узкой сферы деятельности. Вычурные планы работают только в художественных произведениях, потому что реальные дела слишком скучны. Минимизация рисков, минимизация потерь, постоянные оптимизации, длинные подготовки... 90% этой деятельности слишком скучна для художественного произведения, а то что не скучно понятно только специалисту.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема