| 1 |
On Sun Jun 15 13:09:31 2014 Pavel Labushev <pavel.labushev@××××××.no> wrote: |
| 2 |
> On Sat, 14 Jun 2014 21:31:04 +0300 |
| 3 |
> Alex Efros <powerman@××××××××.name> wrote: |
| 4 |
[snip] |
| 5 |
> > точно emerge-webrsync не скачает, и что делать если разработчик оверлея |
| 6 |
> > подписывает ebuild-ы и хочется его подписи тоже проверять (или |
| 7 |
> > считается, что раз у оверлеев нет зеркал, то и смысла в подписывании |
| 8 |
> > тоже нет)? |
| 9 |
> |
| 10 |
> Невнимание к безопасности _вообще_ свойственно Gentoo-сообществу. |
| 11 |
> Например, никого по большему счёту не интересует ни аутентичность |
| 12 |
> дистфайлов (да и как её проверить?), ни тем более аудит изменений в |
| 13 |
> новых версиях. Обновления в основном тестируются вслепую, попадают в |
| 14 |
> portage и теструются вслепую уже пользователями. В код заглядывают |
| 15 |
> редко и избирательно - для решения конкретных проблем. Безопасность |
| 16 |
> машин разработчиков обеспечивается по самому минимуму, в рамках |
| 17 |
> ретроактивного подхода и часто с опозданием. В такой ситуации, даже |
| 18 |
> если все файлы portage будут подписаны и аутентичность ключей |
| 19 |
> удостоверена, лишь чуть-чуть уменьшится поверхность атаки. И ничего с |
| 20 |
> этим не поделаешь: или понимать и осознанно принимать риски, или искать |
| 21 |
> другой дистрибутив, с другой командой, и осваивать другие практики |
| 22 |
> работы. |
| 23 |
|
| 24 |
Не очень понятно, почему вышеперечисленные примеры свойственны только Gentoo, и как эти проблемы решены в других дистибутивах, вернее как они вообще могут быть решены. Так себе и представил редхатовцев и дебианщиков, проводящих аудит изменений в апстримном коде, ага. |
| 25 |
|
| 26 |
-- |
| 27 |
Alexander Tsoy |
Archives