| |
| 2.5, LaunchWiskey (ok), 17:10, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
 А оно по-умолчанию по HTTP ходит? Писал близкий друг автора ключа-звёздочки из соседней новости?
| | |
| |
| 3.31, Аноним (31), 19:14, 06/11/2026 [^] [^^] [^^^] [ответить]
| –5 +/– |
Да. Дебиляновцы из коробки до сих пор plain http используют.
| | |
| |
| |
| 5.115, нах. (?), 10:06, 07/11/2026 [^] [^^] [^^^] [ответить]
| –3 +/– | |
там не нужны никакие атаки на https. Достаточно быть владельцем (или поломать, или предъявить красную книжечку владельцу) какого-нибудь mirror.yandex.ru - и точно так же этот дерьмокод посчитает сумму от реального пакета,а распакует тебе троянский.
И это гораздо более реальный сценарий чем ВРАГИИИИИ перехватывающие твой http-траффик. (так и вижу, стоит сомкнуть глаза, как они лезут с кусачками к кабелю)
то что эти дятлы даже не подумали о таком сценарии - в очередной раз говорит о качестве де6иллиана
| | |
|
|
| 3.45, Аноним (45), 20:12, 06/11/2026 [^] [^^] [^^^] [ответить]
| +3 +/– | |
Да, пакеты же подписаны блалбаллабал
А в чём проблема завернуть в https я не понимаю. Тот же ютуб трафик постоянно через него гоняет, которого в разы больше чем тех пакетиков. Тем более мажорные обновы раз в два года.
Может дебиан используют на таких ведрах, что они не смогут в еще один слой aes.
| | |
| |
| 4.46, Энтомолог_русолог (ok), 20:15, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
 > А в чём проблема завернуть в https я не понимаю
Ни в чем проблемы нет
И большинство зеркал имеют https, так что можно прописать https в адресе и всех проблем
| | |
| |
| |
| 6.142, Аноним (142), 17:24, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Для тестовый инфры закрытой https гемор. У некоторых есть опасения по поводу перевыпуска серта, типо шаблон машины 2+ года и из коробки будет со старым сертом. Короче не хотят нормально инфру готовить и всем лень.
| | |
| |
| 7.151, Энтомолог_русолог (ok), 22:43, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Сертификаты выпускаются автоматом, для этого есть целый протокол ACME и десятки клиентов к нему. Не нравятся LE или закрытая инфра? Поднимаешь свой CA с протоколом ACME. Ну да в закрытой инфре и не нужно, у тебя должен быть хост, который качает пакеты снаружи и как-то передает внутрь, этот хост спокойно по https может все тащить и выступать внутренней репой для твоей инфры
Ну, то есть тоже нет никаких проблем, даже надуманных
| | |
|
|
|
|
| 3.86, selivan (ok), 00:41, 07/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
 Он совершенно правильно умеет ходить по http, потому что это позволяет:
- кешировать пакеты для кучи серверов, скачивая их один раз
- спокойно через apt-cacher, apt-mirror и похожие софтины обновлять сервера, по соображениям безопасности не имеющие доступа в интернет
При нормально реализованной проверке подписей https в общем-то нафиг не нужен.
| | |
| |
| 4.105, Инопланетянин (?), 04:14, 07/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> При нормально реализованной проверке подписей https в общем-то нафиг не нужен.
Ну вот судя из новости получается нет.
| | |
| |
| 5.139, дохтурЛол (?), 17:01, 07/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Нет, не получается. Из новости получается, что после скачивания проверки подписи нет.
| | |
| |
| 6.152, Инопланетянин (?), 23:32, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Нет, не получается. Из новости получается, что после скачивания проверки подписи нет.
Это не так работает. Если дверь закрыта на 2 замка, то ломать надо оба, чтобы войти. Был бы httpS, митм бы не сделали.
| | |
|
|
| 4.123, Анонисимус (?), 11:39, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Про проделки РКН не надо забывать. У меня с F-Droid без VPN качаются все пакеты, кроме Tor. Умет, анализируют и режут загрузочный трафик.
Сейчас правда загрузка еще и медленной стала
| | |
| |
| 5.125, selivan (ok), 11:42, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
РКН, если не может заблокировать что-то точечно, просто блокирует всё. AWS Cloudfront, Cloudflare, и так далее. От РКН https никак не поможет.
| | |
|
|
|
| 2.8, Аноним (-), 17:31, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
ну вроде как канал прикрывает, но если в репу подсунут - не спасёт. вроде везде уже поправили
| | |
| 2.17, Аноним (17), 18:33, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Это же lpe, какой https?) Подмена частично скачанного файла непосредственно на машине
| | |
| 2.26, Аноним (26), 19:06, 06/11/2026 [^] [^^] [^^^] [ответить]
| –6 +/– |
Апт не умеет https и скорее всего никогда не научится, целостность и доверие проверяется уровнем выше.
| | |
| |
| 3.35, Аноним (35), 19:23, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Апт не умеет https и скорее всего никогда не научится, целостность
> и доверие проверяется уровнем выше.
Надо рассказать все это apt-transport-https и apt-transport-tor всяким...
| | |
| |
| 4.44, Аноним (44), 20:02, 06/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
apt-transport-https давно не нужен (это dummy пакет). Поддержка HTTPS из коробки.
| | |
|
|
|
| |
| 2.60, нах. (?), 22:10, 06/11/2026 [^] [^^] [^^^] [ответить]
| –3 +/– | |
нет, там реально чудовищный дерьмокод. И исправление еще хуже (потому что нимаги трогать то что натяпляпали до тебя, это может обидеть небинарных).
такому коду доверять работать не со 100% trusted external data действительно нельзя, переделывайте все на https и молитесь чтобы зеркало с которого качаете не подломили, а то точно так же могут напихать, и это разумеется дятлы не сообразили.
все что вы совершенно не хотели знать про деpьмиян но зачем-то спросили.
| | |
| |
| |
| 4.81, нах. (?), 23:45, 06/11/2026 [^] [^^] [^^^] [ответить]
| –3 +/– | |
открой патч да и посмотри. А, у тебя лапки. И ты ж не умеешь кодить.
причем и исправление кривое, и метод заслуживает шпицрутенов, и надо было не исправлять полумерами а выбросить код того васяна который его притащил ради каких-то совершенно бредовых use cases (но это низзя, он может абидетцо)
P.S. зато васян использовал греп на безопастном йезычке, не этот ваш дидовский! И очень походу этим горд.
| | |
| |
| 5.95, Инопланетянин (?), 01:16, 07/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
> открой патч да и посмотри. А, у тебя лапки. И ты ж
> не умеешь кодить.
Ну вот я тебя и спрашиваю, что конкретно тебе не нравится. С сылкой на гит.
| | |
| |
| 6.97, нах. (?), 01:28, 07/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– | |
ссылка прямо в новости. Ты ее, очевидно, даже не открывал.
Если ты не можешь понять два десятка строчек на по сути plain c (там "си с классами", что кстати само по себе показательно) и у тебя не появляется очевидных вопросов к остальным строчкам вида "да какого $%%!;!" и "да что они - совсем ... ели?" - с тобой просто не о чем разговаривать.
| | |
| |
| 7.98, Инопланетянин (?), 01:47, 07/11/2026 [^] [^^] [^^^] [ответить]
| +4 +/– |
> ссылка прямо в новости. Ты ее, очевидно, даже не открывал.
> Если ты не можешь понять два десятка строчек на по сути plain c (там "си с классами", что кстати само по себе показательно)
Ну и дальше что? Пришли конкретно ссылку на строку, к которой у тебя вопросы.
| | |
|
|
|
|
| 3.106, Ананимер (?), 04:47, 07/11/2026 [^] [^^] [^^^] [ответить]
| +3 +/– |
Зеркало это изначально недоверенная вещь,
Надо исправлять косяки в проверке подписи а не подсовывать костыли бездумного безопасничания.
| | |
|
|
| 1.4, Аноним (4), 17:07, 06/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> добиться установки подменённого неверифицированого варианта пакета
Дальше можно и не галлюцинировать про какие-то FileFd раз в систему устанавливается чужой бинарник.
| | |
| |
| 2.9, Аноним (9), 17:32, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Это похоже на отравление кеша, которое имеет место из-за возможности писать в соседний файл, которая появляется из-за флага
| | |
|
| 1.11, Аноним (11), 17:56, 06/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +4 +/– | |
Я сходил посмотреть на изменения и они выглядят какой-то нейрослоп, если честно... Какие-то переоткрытия файла, проверки бессмысленные. В итоге всё сводится к тому, что когда докачали, тогда и считаем контрольную сумму файла, но так и было изначально, только какие-то бессмысленные проверки добавили. Единсвенное наверное хорошо, что файл теперь в эксклюзивном режиме открывают, но это больше защита от того что кто-то локально пошалит, файл поломав, но проверка валидности то всё равно в итоге не прошла бы даже так
Может кто-то сможет лучше объяснить что там в изменениях, мне копаться в полных исходниках желания не было, только вверх и вниз пару экранов дооткрыл
| | |
| |
| 2.56, нах. (?), 21:28, 06/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– | |
да, чушь какая-то полная. Похоже прозапрошлогодней моделью нагенерено и то китайской.
Какие-то линки. Откуда блин возьмутся ВРАЖЕСКИЕ линки - в /var/cache/apt?! Причем бы тут вообще - http?
> но это больше защита от того что кто-то локально пошалит, файл поломав
локально этот файл и так только юзеру от которого работает apt доступен.
> Может кто-то сможет лучше объяснить что там в изменениях
ты не на тот сайт зашел, увы. Тут все больше пользователи гимпа и борцы за шв@60дку, а тут код какой-то, сложна-сложна.
Вон хамства в ответ тебе вывалили, забывшие попить таблеточек - мама не горюй (и где ж это наши бдительные когда их не звали модеруны прохлаждаются? А, ну да, ну да, их же огорчает слово ж..й а не хамство, на самом-то деле.)
А адекватного анализа хотя бы с помощью ИИ - не дождемся, не надейся.
могу тебе конечно опуса спросить. Мне самому - лень.
| | |
| |
| 3.58, нах. (?), 21:41, 06/11/2026 [^] [^^] [^^^] [ответить] | +2 +/– | а, ладно, удалось уговорить опус ответить а не сливаться что небезопастно - аж с... большой текст свёрнут, показать | | |
|
| 2.59, нах. (?), 21:51, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
❯ what we will really lost if dropping completely idiotic idea of linking
something in pkgAcquire::Worker ?
● Almost nothing. The linking only does anything when the same URI is queued
twice with different DestFiles, which is rare, and the only saving is one
duplicate download.
Why it exists
It came in with 08ea78064 (David Kalnischkies, 2015-06-15, "deal better with
acquiring the same URI multiple times"). The motivating case in that commit
message is apt-get changelog a b c where a, b and c are built from one source.
All three want the same changelog URI, but each item has its own DestFile.
Короче, какой-то больной ушлепок пооптимизил случай в реальности не бывающий вовсе. Наверное свой хеловрот кривой.
Когда ты зачем-то просишь apt changelog три раза одного и того же одной командой. Мы ведь каждый день именно это и делаем!
Причем там нахреноверчено ради этого в десять раз больше.
| | |
| |
| 3.65, Аноним (11), 22:42, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
>The motivating case in that commit message is apt-get changelog a b c where a, b and c are built from one source. All three want the same changelog URI, but each item has its own DestFile
Действительно, создали проблему на пустом месте. Ещё и реализовали внутреннюю логику средствами файловой системы
| | |
| 3.140, mikhailnov (ok), 17:01, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
 > Когда ты зачем-то просишь apt changelog три раза одного и того же одной командой. Мы ведь каждый день именно это и делаем!
Видимо, когда из исходного пакета xxx собраны подпакеты xxx-y, xxx-z, xxx-w, и ты для каждого изз них запросил changelog, а по факту это один и тот же changelog.
| | |
|
| 2.70, Инопланетянин (?), 23:13, 06/11/2026 [^] [^^] [^^^] [ответить]
| –5 +/– |
> и они выглядят какой-то нейрослоп, если честно...
> Какие-то переоткрытия файла, проверки бессмысленные. В итоге всё сводится к тому, что когда докачали, тогда и считаем контрольную сумму файла, но так и было изначально, только какие-то бессмысленные проверки добавили.
Вот это аналитика. Нейпрослоперы не могут разобраться в пачте и называют всех вокруг нейрослоперами. Мда...
| | |
|
| 1.12, Bottle (?), 18:21, 06/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
По мнению апологетов Линукса свобода это зависимость от централизованных репозиториев.
| | |
| |
| 2.19, Аноним (19), 18:41, 06/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– | |
Ты вот язвишь, но местные линуксоиды ведь на полном серьезе воюют против всяких NPM и Cargo, кушая при этом пакеты из репозиториев.
Это то ли слабоумие, то ли лицемерие - то ли оба сразу.
| | |
| |
| 3.27, Аноним (27), 19:09, 06/11/2026 [^] [^^] [^^^] [ответить] | +4 +/– | Так там есть принципиальная разница - репозитории пакетов curated, а в NPM и Car... большой текст свёрнут, показать | | |
| |
| 4.34, Аноним (143), 19:19, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ну если бекдор делает много уважаемый Jia Tan, то это другое дело, такой XZ Utils можно и из репозитория скачать!
| | |
| |
| 5.52, Аноним (52), 20:28, 06/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
Пока что, истории успешного захвата руководства проектами личностями типа Jia Tan исчисляются одним самим Жиа Таном.
| | |
| |
| 6.78, нах. (?), 23:33, 06/11/2026 [^] [^^] [^^^] [ответить]
| +3 +/– | |
наоборот, неуспешного. Попался только Жуан Тян. Остальные успешно руководят.
вот, например, цепочка мутных комитов в apt, каждый из которых был феерично ненужным, но сам по себе безобидным... или откровенно троянский конь закомитивший в musl под видом "cleanup" неожиданное поведение в совершенно неочевидном месте в четыре часа утра.
| | |
| |
| |
| 8.101, нах. (?), 03:04, 07/11/2026 [^] [^^] [^^^] [ответить] | –1 +/– | внезапно, нет случай на который ты ссылаешься - это _апстрим_ наг08някал стопиц... текст свёрнут, показать | | |
| |
| 9.112, Аноним (112), 07:44, 07/11/2026 [^] [^^] [^^^] [ответить] | +1 +/– | который именно Думаю речь про CVE-2008-0166 opennet me opennews art shtml nu... большой текст свёрнут, показать | | |
|
|
|
|
| 5.53, Аноним (-), 21:11, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Ну если бекдор делает много уважаемый Jia Tan, то это другое дело,
> такой XZ Utils можно и из репозитория скачать!
В дебиане все получилось по уму - бэкдоры скачали только юзеры unstable. Ну так камикадзе с миноискателем затем и нужны чтоб проверить - есть ли мины на поле :). При том - они добровольно вписались в эту роль, их никто не заставлял юзать последний unstable.
| | |
| |
| 6.79, нах. (?), 23:35, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
их заставил супергерой дебиан, защищающий человечество от небезнадежно устаревшего софта.
И политика поддержки три года (и еще потом пять, вот, пажалуста, /bin/ls вам попатчили)
| | |
|
| 5.55, Аноним (27), 21:26, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Можно зубоскалить, но когда малварь обнаружат, репозиторий - единственное место где её можно прикрыть. А если бы ты тянул код из апстрима напрямую, как, например, в уродском go делают, или ставил приложения через setup.exe как в венде, то ты бы сидел с этим трояном до скончания века, и знать бы о нём не знал.
| | |
| |
| 6.80, нах. (?), 23:38, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
быстроприкрытое ж вляпавшимся не считается?
> А если бы ты тянул код из апстрима напрямую
то точно так же мог бы быстро стянуть исправленный. И setup.exe тоже.
Ну или не стянуть, а запустить троянский. И одного раза вполне хватит, в общем-то.
| | |
| 6.84, Аноним (19), 00:22, 07/11/2026 [^] [^^] [^^^] [ответить] | +/– | Или наоборот - получить Ибо репа - дополнительное звено, которое можно сломать ... большой текст свёрнут, показать | | |
|
|
|
| 3.43, Аноним (43), 19:59, 06/11/2026 [^] [^^] [^^^] [ответить] | +2 +/– | В случае Slackware я доверяю хозяинам пакетов, хозяевам их репозиториев, Патрику... большой текст свёрнут, показать | | |
| |
| 4.48, Аноним (-), 20:19, 06/11/2026 [^] [^^] [^^^] [ответить] | +2 +/– | На этом в общем-то можно закончить Это просто вариант религии , в стиле я вер... большой текст свёрнут, показать | | |
| 4.51, LaunchWiskey (ok), 20:26, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Что-то аж захотелось продовые сервера на Slackware перевести после таких обсуждений. Остановил меня лишь браузер, который отказался на сайт Slackware заходить, ибо там только HTTP.
| | |
|
| 3.68, Инопланетянин (?), 23:08, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> NPM и Cargo
Их васяны туда пушат, еще и без подписей. Давай лучше ты покажешь новость, где кто-то спецом из мэинтейнеров пакетов сделал что-то плохое?
| | |
| |
| 4.85, Аноним (19), 00:34, 07/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
>> NPM и Cargo
> Их васяны туда пушат, еще и без подписей.
И в репы линукса тоже пушат васяны: код из апстрима, который пишут вторые васяны. Только как это относится к обсуждаемой теме?
> Давай лучше ты покажешь новость, где кто-то спецом из мэинтейнеров пакетов сделал что-то плохое?
А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc пакетов сделали что-то плохое? Ты о чем вообще?
| | |
| |
| 5.89, Инопланетянин (?), 00:44, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
>>> NPM и Cargo
>> Их васяны туда пушат, еще и без подписей.
> И в репы линукса тоже пушат васяны: код из апстрима, который пишут
> вторые васяны. Только как это относится к обсуждаемой теме?
Причем тут репы upstream? Вообще-то часто при сборке
1. накладываются пачти
2. мейнтейнер следит за изменениями
=> вероятность пропихнуть что-то плохое сильное сложнее. И дойдет это сильно дольше, т.к. в нормальных дистрах есть unstable -> testing -> stable. В LTS это вообще доедет еще дольше.
>> Давай лучше ты покажешь новость, где кто-то спецом из мэинтейнеров пакетов сделал что-то плохое?
> А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc
> пакетов сделали что-то плохое? Ты о чем вообще?
Задавать такой вопрос про npm? Ты серъезно?
| | |
| |
| 6.91, Аноним (19), 01:01, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Причем тут репы upstream?
При том, что васян-маинтайнер с подписью не спасут тебя от зловредного кода с апстрима. Поэтому я вообще не понял, зачем ты о них упомянул.
> мейнтейнер следит за изменениями
> вероятность пропихнуть что-то плохое сильное сложнее
Не смеши ради бога: с каких это пор маинтайнеры пакетов делают аудит кода, лол?
>> А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc
> пакетов сделали что-то плохое? Ты о чем вообще?
> Задавать такой вопрос про npm? Ты серъезно?
Я же не просто так написал "авторы, а не воры учеток". Новый вредоносный пакет под новым аккаунтом конечно можно пропихнуть - но смысл, если его никто не юзает.
| | |
| |
| 7.92, Инопланетянин (?), 01:08, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
>> Причем тут репы upstream?
> При том, что васян-маинтайнер с подписью не спасут тебя от зловредного кода
> с апстрима. Поэтому я вообще не понял, зачем ты о них
> упомянул.
Могут и спасти. Пусть лучше будут.
>> мейнтейнер следит за изменениями
>> вероятность пропихнуть что-то плохое сильное сложнее
> Не смеши ради бога: с каких это пор маинтайнеры пакетов делают аудит
> кода, лол?
Банально патч может не наложиться на новые изменения. А это значит, что кое-какое знакомство с кодом надо иметь. Или какие-то фичи явно будут отключены при сборке, к примеру поход в сеть, если мэинтейнер так решит для безопасности. Как минимум он может посмотреть на изменения, которые были, поэтому добавление вредоносного кода абы как не пройдет.
Это разумеется касается не всех мэинтейнеров. Где-то возможно что-то автоматом все делается.
>>> А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc
>> пакетов сделали что-то плохое? Ты о чем вообще?
>> Задавать такой вопрос про npm? Ты серъезно?
> Я же не просто так написал "авторы, а не воры учеток". Новый
> вредоносный пакет под новым аккаунтом конечно можно пропихнуть - но смысл,
> если его никто не юзает.
Похожие имена пакетов или угон учеток. Угон учетки мэинтейнера пакета в студию. Даже для таких случаев есть отзыв ключей.
| | |
|
|
|
|
|
| 2.20, defcon.socialkosmocommunist (?), 18:41, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
Ничто не мешает добавить свои репозитории в систему, вполне децентрализовано, всё в руках пользователей и разработчиков. Например у браузера librewolf свои репозитории, чтобы его скачать с помощью apt надо ручками добавить их в систему.
Как ваше "замечание" относится к теме публикации?
| | |
| 2.21, Аноним (21), 18:43, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Это другое. Дистрибутив может и на зеркалах лежать.
А вот зеркало Windows Store - не сделаешь.
| | |
| |
| 3.37, Аноним (35), 19:27, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> А вот зеркало Windows Store - не сделаешь.
И свой appstore эпловский - хрен поднимешь. Особенно за 5 минут - как свои репы сабжа.
| | |
| 3.50, Аноним (3), 20:24, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Файло на помойках и официальных страничках кончились что ли? Под Вин всего навалом в отличии от лабы и во всех эпостасиях.
| | |
| |
| 4.110, Аноним (107), 07:25, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Под Вин всего навалом
Распакуешь установщик сам ручками или посмотришь что оно сейчас делать будет перед тем как запускать рандомную прогу скачанную с интернета?
| | |
|
| 3.73, Аноним (-), 23:23, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
с другой стороны - помните как пару лет назад всё легло на день-два - от аэропортов до конгломератов, когда вин_апдейт накосячил?
| | |
| |
| |
| 5.138, Аноним (-), 17:01, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
но, по факту, всё прилетает оттуда же, и это единая репа для винды (уверен что у них есть гео-дупликанты - зеркала для регионов). а что конкретно там не так - индус, инопланетяне, секур-подрядчик - вторично же, нет?
если мы говорим про наш классический апт - это, по большей части, классический деби, который имеет свои отдельные зеркала в каждой крупной стране/регионе. и вот насколько такая схема опасна в подломе конкретного зеркала, столь может спасти при отравлении основного.
то на то - шило-мало
| | |
|
|
|
| 2.28, Аноним (27), 19:12, 06/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> По мнению апологетов Линукса свобода это зависимость от централизованных репозиториев.
Какое милое либо полное непонимание темы, либо намеренное низведение до абсурда.
Во-первых, зависимости нет - форкни реп, или свой с нуля сделай, замени урл и используй. Во-вторых, собственно если тут что-то не так, то как должно быть?
| | |
| |
| 3.38, Аноним (38), 19:30, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> зависимости нет - форкни реп, или свой с нуля сделай, замени урл и используй
Ну стало быть npm, cargo, pypi, и да далее тоже не проблема. ЧТД.
| | |
|
| 2.36, Аноним (35), 19:26, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> По мнению апологетов Линукса свобода это зависимость от централизованных репозиториев.
1) Пакеты ставятся хоть и совсем без реп.
2) Своя репа при желании поднимается минут за 5.
Т.е. это - удобство, а не единственный способ, как у всяких iDevice где кроме как из апстора и не поставишь нихрена, и конечно васян не сможет свой стор сетапнуть за 5 минут.
| | |
| |
| 3.42, Аноним (42), 19:55, 06/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> 2) Своя репа при желании поднимается минут за 5.
При условии что у тебя уже есть сервак - да за 5 минут можно попытаться.
> Т.е. это - удобство, а не единственный способ, как у всяких iDevice
А причем тут iDevice? У местного сбpoда горит от npm, cargo, pypi и тд
Хотя условный карго ты точно так же можешь развернуть локально или на сервере и накидать туда нужные данные.
> где кроме как из апстора и не поставишь нихрена, и конечно васян не сможет свой стор сетапнуть за 5 минут.
Ну так эпл ценится как раз за отсутствие васянов)
| | |
| |
| 4.54, Аноним (-), 21:16, 06/11/2026 [^] [^^] [^^^] [ответить] | +/– | Ну, э, быть линуксоидом и совсем не уметь какой-то минимальный http хоть из чего... большой текст свёрнут, показать | | |
| |
| 5.82, Аноним (38), 00:13, 07/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> рулятся вср@тыми корпоратами в основном. Им я сильно меньше доверяю чем майнтайнерам моего дистро.
То, что ядро и все мейнстримные "дистро" пилятся корпорациями для своих нужд, и то, что корпорации содержат на зарплате подавляющее большинство "майнтайнеров" тебе никак не жмёт? Как на счёт корпоративного железа? Кризис доверия не вызывает?
| | |
| |
| 6.111, Ivan_83 (ok), 07:27, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
 Как минимум с фряхой это не так.
ОС пилится на бабло пожертвованное фонду, и теми кто приносит туда патчи, как отдельные разрабы так и от корпов.
Порты типа вообще сообществом, отдельные порты тянут за зарплату, но уж точно не все.
На мне под 2 десятка портов, из которых по работе штуки 4.
| | |
| |
| 7.144, User (??), 20:04, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
И используется она...? А да, уже "никем" и "ни для чего", ага.
| | |
|
|
| 5.145, User (??), 20:11, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ну, это все конечно замечательно - но чудесТные реподержатели на длинном треке расписались в полной невозможности успевать за индус-триальными программистами. Еще до ИИ-бума расписались, заметим. Так что идея one tool to rule она конечно замечательная - но лошадь того, мертвая и дальше не поедет, увы.
Не, если к ней колесиков в виде snap\flatpack\curl|sudo\docker напихать - то с горки-то оно ничо так кувыркается, а вот "в горку" чего-нибудь разрабатывать - неа.
| | |
|
|
|
| 2.47, Аноним (52), 20:19, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
А чего ждать в децентрализованных: червей, вшитого шпионского кода?
| | |
| 2.69, Инопланетянин (?), 23:09, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> это зависимость от централизованных репозиториев.
Только для apt можно создать свой репозиторий хоть с CD-диска, хость с флешки и обновляться с него.
| | |
| |
| 3.83, Аноним (38), 00:14, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
А setup.exe или персональный cargo нельзя на флешку записать? Защита стоит какая-то?
| | |
|
| 2.131, уримои (?), 13:45, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ты одарён, но я помогу тебе. Центральный репозиторий - это возможность, а не зависимость, ведь вручную накачать с файлопомоек и поставить ты можешь и в линуксе. Погугли на досуге.
| | |
|
| |
| 2.96, LaunchWiskey (ok), 01:27, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Это что же теперь все сервера переставлять?
И все документы переписывать и работу переделывать, а то мало ли что видоизменённые пакеты туда добавили и вставили. Если хранились видео и фото - то переснимать. Почту - переотправлять.
| | |
|
| 1.40, Аноним (38), 19:32, 06/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– | |
> вклиниться в HTTP-трафик
Но это не повод прекращать священную борьбу против HTTPS на опеннете!
| | |
| 1.62, нах. (?), 22:15, 06/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
и да, https, ВНЕЗАПНО, тоже уязвим.
Только не для мифического mitm, а для куда более банального и куда более вероятного взлома или заведомо васянского "безопастного" зеркала.
- The attacker needs two things: redirects, and transient 5xx errors that
trigger retries. A server operator controls both. The MITM version needed
plain HTTP only to get into a position to send those responses. A rogue
endpoint already has that position, and TLS just encrypts the attack.
- The only HTTPS-specific redirect rule is "no downgrade": basehttp.cc:431-450
forbids https→http, and test-apt-https-no-redirect tests it. That doesn't
matter here. To merge B into A, the server redirects B's URL to A's URL,
normally on the same https:// host. Same scheme, no downgrade.
| | |
| 1.100, Аноним (100), 02:54, 07/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
мне уже с этими кибергеддоном кошмары снятся,как будто меня взломали и наустанавливали мне кучу реклмного софта по типу амиги и прочего...ахах
| | |
| |
| 2.109, Ivan_83 (ok), 07:23, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Жили же с амигой миллионами и ничего, а теперь вон какие эстеты...
Притом что вам и МС в пуск рекламы навалило с лопаты, а всякие хлаоми всю мобилу рекламой завалили - это типа ок?
| | |
|
| 1.108, Ivan_83 (ok), 07:21, 07/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– | |
> Судя по патчу, в котором открытие файла с флагом FileFd::Empty (O_TRUNC) заменено на FileFd::Exclusive (O_EXCL), при возобновлении прерванной загрузки атакующий мог добиться перезаписи данных, для которых при первой загрузке уже было выполнено хеширование.
"Смотрю в книгу - вижу фигу" - уровень понимания патча, при этом ещё и логика у автора отсутствует: как можно проверить хэш файла до его скачивания!?
Там была классическая атака: файл скачали, хэш проверили, потом некто подменил файл и/или симлинк на него на свой файл, который потом и установился.
| | |
| |
| 2.113, Аноним (113), 09:07, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Хэш можно считать прямо в процессе скачивания. Или блоками произвольного размера. Он всё равно не изменится.
| | |
| |
| 3.117, нах. (?), 10:30, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
не, не угадал - оно считает хэш от уже скачаного. А потом радостно скачивает поверх уже посчитанного - троянца, и уже ничего не считает - оно ж уже скачалось.
| | |
| |
| 4.119, Ivan_83 (ok), 10:35, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ну это просто радость какая то.
Лучше бы автор писал на шелл скрипте, может меньше бы натяпляпал :)
| | |
|
| 3.118, Ivan_83 (ok), 10:33, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Я знаю что хэш считается блоками, однако "при возобновлении прерванной загрузки атакующий мог добиться перезаписи данных, для которых при первой загрузке уже было выполнено хеширование." немного про другое.
| | |
|
| 2.116, нах. (?), 10:27, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> "Смотрю в книгу - вижу фигу" - уровень понимания патча
дааа, Ваня, а мы-то думали хоть ты тут умеешь понимать код.
там три строчки буквально. В чем ты ниасилил-то? Сэкономил клик?
> при этом ещё и логика у автора отсутствует
это у де6илли@новских авторов логика отсутствует начисто.
> как можно проверить хэш файла до его скачивания!?
вот если бы ты посмотрел код - не патч, а то что он патчит, и да, там много и запутанно и надо разбираться (и поглядев на чудо-патч ты бы ПОЛЕЗ разбираться в некотором охренении от увиденного, как это сделал я, правда, свалив на робота грязную работу) - то узнал бы что а вот они - СМОГЛИ!
> была классическая атака: файл скачали, хэш проверили, потом некто подменил файл и/или
> симлинк
как ты б... можешь подменить файл или симлинк на чужом локалхосте, расскажи-ка мне?
внезапно, файл подменяет - сама эта поделка. Да, вот именно так - считает одно, а пишет потом поверх другое, и ничего у нее не свисит кроме фляги того горе-улучшателя что это придумал (там и use-case такой что хоть стой хоть падай).
зачем автор патча полез еще и с симлинками бороться в рут-онли-райтабл каталогах - спроси у него. Мы с клавой не шмагли в этом месте перехватить полет его мысли.
(на мой взгляд если у тебя не сработал хардлинк ВНУТРИ /var/cache/apt - тебе не симлинки создавать надо а выдать ошибку и остановиться, или хотя бы перестать страдать ерундой и просто скопировать файл - тут либо фс битая либо васян что-то совсем странное у себя создал, симлинки могут скрыть проблему или создать новую неожиданную дыру)
| | |
| |
| 3.120, Ivan_83 (ok), 10:41, 07/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– | |
Там крестовый код, я открыл патч и у меня кровь из глаз потекла от кода %)
У нормальных людей в начале скачивание, потом проверка хэша, потом распаковка.
Если автор не осилил нормального разделения кода на блоки/стейты то он ещё хуже чем я об нём подумал :)
Короче остаётся только посочувствовать тем кто с этим имеет дела :)
| | |
| |
| 4.121, нах. (?), 11:04, 07/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> Там крестовый код
там в патче си-с-классами, образцовый кот из 96го года, я тоже такой писал (боюсь что и так же, но я ж его выкинул). Т.е. вопросы не к тому что там написано, там все совершенно понятно, вопрос который должен возникнуть у того кто умеет читать код - да что ж за НEX оно патчит-то?
> У нормальных людей в начале скачивание, потом проверка хэша
досюда все верно. А потом - суп. С кодом.
Лучше б я конечно туда не заглядывал. Сохранились бы хоть какие-то иллюзии...
причем это не код из 96го нагадил, он страшненький но в нем-то дыры не было, это модные-современные небинарно-ориентированные в вполне себе 15м году решали задачу ненужную никому на свете. Наверное помогло устроиться потом в FAANG младшим кодописцем. Ну или я уж не знаю что должно было этим человеком двигать.
Про тыщу шоколадных глаз и непосредственно отвечающего за принятие решений какие патчи принимать, а какие в помойку уж и не будем.
| | |
| |
| 5.122, Ivan_83 (ok), 11:35, 07/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
Как бы претензия ещё и к CamelCase и вообще тому как оно написано... ощущение что всё в куче и куча абстракций.
> вопрос который должен возникнуть у того кто умеет читать код - да что ж за НEX оно патчит-то?
Я такое только на работе практикую, чтобы понять кто творит дичь и чей код надо ревьювить с 100х подозрительностью. Недавно как раз такого хлопца отловил, после его правок продукт начал падать там где никогда не падал :)
Со своим кодом понятно кто - я ж один в основном пишу :)
А с совсем чужим только чтобы пнуть автора баги чтобы быстрее ревью прошло, а то будет висеть пару лет пока кто то знакомый с тем куском не найдётся и не сподобится посмотреть.
У тебя же был чудо ЫЫ, он тебе новых 1000500 багов там не нашёл?)
| | |
|
|
|
|
| |
| 2.130, уримои (?), 13:39, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Примерно тоже, что и убунту/прочие apt-пользователи. Странно, что ты про альт не вспомнил. Хотя их возможно не затрагивает.
| | |
|
| 1.127, уримои (?), 13:10, 07/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– | |
Смахивает на создание повода к продолжению переписывания на руст. Причём по большей части именно комментарии здесь, а не сама дыра. Типичная ситуация "запутались в лапше"/"починили главным образом симптомы вместо причины" почему-то здесь вызывает особенную реакцию. Хотя везде ровно тоже самое. Вероятно это другое.
Особенно интересны тейки про говнокод(который везде), си с классами(тоже везде, притом что такое цпп, а не си с классами знают единицы) и самецКейс(практически везде, кроме базовых областей, хотя даже там вполне пишут так же - например в llvm).
Кстати, сам хттп(с) нареканий не вызывает, как и горы иного текста практически везде, начитая с метаданных этих пакетов. Наверное это тоже другое.
| | |
| 1.128, iZEN (ok), 13:13, 07/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– |
 И эти люди смеются над пользователями FreeBSD, которые устанавливают пакеты от рута.
| | |
| |
| 2.129, уримои (?), 13:38, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Пакеты все от рута устанавливают(либо из какого-то иного привелегированного сетапа). А в этом треде люди скорее всего кривят душой и не по детски.
| | |
|
| 1.132, Аноним (132), 14:21, 07/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Перванной загрузки - не загрузки конкретного файла за который вы тут бьётесь, а вообще. Он сохранен, хеш подсчитан. Возобновляется загрузка и какая-то магия заставляет скачать "такой же, но другой" файл и думать что это он. Не?
| | |
|
