Группа исследователей из Университета Миннесоты, приём изменений от которой на днях был заблокирован Грегом Кроа-Хартманом, опубликовала открытое письмо с извинениями и пояснением мотивов своей деятельности. Напомним, что группа занималась исследованием слабых мест рецензирования поступающих патчей и оценкой возможности продвижения в ядро изменений со скрытыми уязвимостями. После поступления от одного из участников группы сомнительного патча с бессмысленным исправлением было сделано предположение, что исследователи вновь пытаются проводить эксперименты над разработчиками ядра. Так как подобные эксперименты потенциально представляют угрозу безопасности и отнимают время у коммитеров было решено заблокировать приём изменений и отправить все ранее принятые патчи на повторное рецензирование...Подробнее: https://www.opennet.me/opennews/art.shtml?num=55026
Цирк
Все они там так говорят: "Во имя безопасности!"...
> Все они там так говорят: "Во имя безопасности!"...Во имя и во славу бездарных преподов и профессоров руками неизвестных студентов-иммигрантов. Самых способных потом отчислят и депортируют.
Не прокатило
теперь надо своих людей на рецензирование посадить.
"Мы хорошие, пустите нас снова коммитить бэкдоры!"
> когда поймали на коммитах с хренью и теперь ответочка от разрабов ставит жирный крест на всей шараге:"Плак-плак-плак, это не мы такие, это жизднь такая! Мы оченно-оченно сожалеем(нет), но это сделано ради чистоты експеримента! Все во имя сцаенс! А почему не сказали по завершении? Ээээ... Мээээ... Бэээ... А хотите древнюю мудрость расскажу - "Листья сакуры над руслом Дона...". Как не прокатило? Ну мы же это, ученые! А-а-а-а-а, мы больше так не бу-у-у-у-удем! <плач> "
Я бы вообще дырки продал.
Гусары, молчать!
В глухомани в лесу, несмотря на красу, дни проводит Лиса Патрикевна,
Я никак не пойму, отчего почему не пускают Куму на деревню!
Я надежна вполне! Стать бы птичницей мне, я б тоску в пух и перья развеяла!
Я б ночей ни спала, все бы кур стерегла, петушка как родного лелеяла!
(с) Буренка из Масленкино
Чего там пояснять? Для исследователя правило простое: Надо пенетрировать всё, что пенетрируется.
🤨
Чем исследователь отличается от преступника?
Исследователь открыто и публично ПУБЛИКУЕТ результаты своих пенетраций. Сначала разрабам, потом - общественности.
> Чем исследователь отличается от преступника?Мне это еще на первом курсе юрфака разжевывали, странно что тебе нет.
"исследователь" - вон напротив, к стулу привязанный сидит, ждет пока я ему проводок к яйцам приложу еще разок.А "преступник" он будет когда уже все подпишет, и поедет по этапу, согласно решению строгого но справедливого суда, и там его уже п-дить будут сотрудники совсем другого ведомства.
Публикует, не публикует - похрену. Занимался антиобщественной деятельностью - значит, враг.
а где тут пострадавшая сторона? кого фактически затронули внесенные уязвимости? где доказательства ушерба от этих конкретно добавленных уязвимостях? Тем же успехом можно и Линуса судить за баги в прошлом. Поясните, Тов. майор
Ты не понял. Это диванный борцунишка про ужасы кровавого режЫма (r) выступил. На уязвимости в ядре ему с прибором
Пострадавшие - как минимум те рецензенты, которые потратили своё время на анализ этих патчей. То, что они бесплатно отдают своё время проекту, не значит, что любой "исследователь" может его отнять на свои выкрутасы. Косвенно пострадали авторы других патчей, которые были рассмотрены позже, чем могли бы, и пользователи, которым нужная фича прилетела на релиз позже из-за того, что рецензент был занят анализом патчей с намеренно внесёнными ошибками.
>Пострадавшие - как минимум те рецензенты, которые потратили своё время на анализ этих патчей.ну шо это такое, пожарные пострадали от пожаров? это говорит только о некомпетентности пожарных.
>прилетела на релиз позже из-за того, что рецензент был занят анализом патчей с намеренно внесёнными ошибками.
могу я подать в суд на Линуса за то, что в релизе нет желаемых мной изменений? (подсказка: отказ от ответственности)
Давайте (не) будем звонить в спецслужбы и сообщать о пожарах, проверяя как быстро они доедут до той или иной точки города. И пусть они не жужжат пока едут ведь это их работа.
> Давайте (не) будем звонить в спецслужбы и сообщать о пожарах, проверяя как
> быстро они доедут до той или иной точки города. И пусть
> они не жужжат пока едут ведь это их работа.какие действия должны выполнять пожарные, описаны в их уставах, для начала прочтем, потом уже будем делать эксперименты.
Вообще-то специальные люди за наши с вами деньги этим регулярно занимаются. Потому что иначе во-первых, можно пропустить момент, когда служба перестанет работать. А во-вторых, легче исследовать что можно улучшить.И вояки всякие тоже учения проводят, между прочим. А не ждут когда настоящие боевые действия начнутся.
Проводят, конечно. Но если ты вздумаешь устроить "учения" охране склада с оружием по собственной инициативе - тебя просто шлепнут. Без всяких "да я ж исследователь".
ну дык и тут заблокировали присылавших дыры в патчах - эксперимент удачный, я считаю.
значит патчи действительно проверяются ответственными людьми.
Постродавшие добровольно родписались на это все. Грех жаловаться
Если трата времени других разработчиков-- это преступление, то фактически любой серьёзный опенсорс разработчик -- это преступник.
Эдак можно и судью пострадавшим признать от того что ты разбил чужое окно и отнял его рабочее время. А еще твое нездоровое питание угрожает благополучию врачей.
Рецензенты хотят в вакууме жить и раскрашивать поней, а не искать рлаьные закладки?
Неправильная аналогия. Правильная - это когда следователь приносит судье раз за разом фальсифицированные дела. А когда его ловят на фальшаке, начинает лепить отмазки, мол, я хотел компетентность судьи проверить. Такого следователя в лучшем (для него) случае просто выгонят, в худшем (и это более вероятно) - посадят.
Что касается аналогии с врачами - есть практика (в странах, где люди сами сами заботятся о своей страховке), когда за здоровый образ жизни пациенту снижают стоимость страховки. А в пандемию ковида предлагали с тех, кого застукали в общественном месте без маски, в случае заболевания взыскивать полную стоимость лечения.
Так что - да, если ты создаёшь другим людям лишнюю работу, тебе прилетит. И это справедливо.
>мол, я хотел компетентность >судьи проверить.отличный пример, как раз таки говорит о некомпетентности судьи. А теперь скажите, кто из них несет больше ответственности? кто выносит решение по судьбе человека? каким бы поганым чертом не был прокурор, судья тут должен подходить к своей работе с большей ответственностью. И как практика показывает, в данном случае уволят и судью и прокурора.
> говорит о некомпетентности судьиСудья, который отказался принимать сфальсифицированные доказательства - некомпетентен? Серьёзно?
> Судья, который отказался принимать сфальсифицированные доказательства - некомпетентен?
> Серьёзно?вы же сами в примере указали "раз за разом", если он в первый раз не среагировал - некомпететен, иначе на оборот.
Так не обязательно же, чтобы судья принимал эти доказательства. Он их мог отвергнуть по каким-то соображениям, но при этом не усмотреть достаточных оснований для того, чтобы заподозрить следователя в намеренной фальсификации.
Например, следователь подшил к делу показания свидетеля, которые потом, уже на суде, адвокат опроверг документами. Свидетель сослался на темноту и усталость. Обознался, бывает. Можно ли подозревать следователя в фальсификации? Скорее всего, нет.
Но представим, что такие ситуации повторяются раз за разом, и это уже повод задуматься. А потом - опппа... Я же этому свидетелю сам вчера штраф выписал за мелкое хулиганство - пьяный справлял малую нужду на дерево в парке. А ну-ка, секретарь, сгоняй в архив, принеси вчерашнее дело, хочу посмотреть каого числа его ППСники взяли? Тааак... А протокол допроса как свидетеля каким числом датирован? Тааак, допрос был на следующий день, причём в том же отделении. Похоже, этот следователь просто берёт задержанного из обезьянника, диктует показания и заставляет расписаться. Придётся все его дела достать из архива и заново проанализировать. Сколько мороки... Да ещё и люди, может быть, сели ни за что.
> Придётся все его дела достать из архива и заново проанализировать. Сколько мороки... Да ещё и люди, может быть, сели ни за что.зачем, если этот анализ на стадии рассмотрения дела должен проводиться? а случай мол другие дела рассматривал другой судья рассматривать не имеет смысла, ибо не схоже с ситуацией которая указана в новости.
пс: если Грег полез в прошлые комиты отыскивать "нехорошие" патчи, то о чем это говорит? как по мне это уже говорит о некомпетентности. Ибо если он поймал на первой попытке этих горе исследователей, то он компетентен и смысл искать старые комиты.
Затем, что в ранее рассмотренных делах могли быть представлены следователем доказательства, которые суд отверг (как те патчи от Миннесоты, в которых рецензент выявил другую ошибку, а не ту, которую преднамеренно внесли "исследователи"), но расследования по подозрению в фальсификации не возбудил. А если вдруг окажется, что суд доказательства принял и вынес приговор, а следователь не остановил судью сразу же ("Ваша честь, подождите, эти доказательства фальшивые, я просто Вашу адекватность проверить хотел" - смешно, правда?), то отмазки "я исследователь" после того, как его уличили в фальсификации - это не более чем отмазки.
ваши слова иной раз доказывают некомпетентность как судьи так и следователя.
Это считать чистосердечным в 117?
Ничем. Хакер должен иметь свободу действия, не хватало ещё всяких картманов с широкой костью уведомлять. А если попался, сам виноват.
Ну вот их и отпенетрировали.
>отопеннетрировалиfixed
На самом деле товарищи из учебного заведения сделали очень хорошее дело.
Потому что практика замалчивания уязвимости, сокрытия возможной проблемы- она как бы не решает проблему а только усугубляет ее.
Товарищи провели очень ценное исследование. Их наградить надо. А то что их заблокировали - типичный пример тупости, лени и безграмотности.
А никто не спорит про сам дизайн эксперимента.
Правда, как в анекдоте про Чапая, есть один нюанс...делающий их из хероев преступниками: они никому из разрабов ведерка не сообщили о самом эксперименте и результатах по окончании и не отозвали свои сомнительные патчи взад, за них это сделал Грег.
То есть приём и отправка патча основывается на доверии?
А что если очень злобный хакер-студент преднамеренно внесет вредный код, очень хорошо его скрыв?
В мире, несмотря на существование сверхдоходов, не существует сверхлюдей. Поэтому любая система сложнее дырки от бублика полагается на доверие, как на второй фактор после компетенции. Ведь от ошибок никто не застрахован: ни присылающий код, ни проверяющий. Код-ревью не панацея. Взаимоуважение и доверие никто не отменял. Поэтому хорошо, что тот, кто злоупотребляет доверием, за это расплачивается. (Это только руководству МС нaсpать, каких дырок по своему усмотрению насовали их сотрудники в твою ОСь для "адекватов".)
Вот только эти ребята ни одной дырки не пропихнули и не собирались.
>Вот только эти ребята ни одной дырки не пропихнули и не собирались.Это ты так решил или они сказали, откуда ты знаешь, что они пропихнули или собирались?
Это уже не часть сообщества, а кучка пранкеров типа "насpать под дверь и проверить, заметит кто-нть или нет".
Заметили.
И сразу "это инсталляция была, можно нам продолжить, запах то не сразу чувствуется? Мы вам помогли обоняние улучшить, давайте еще наинсталлируем".
Тебе уже здесь выдержки из пдф кинули. От февраля месяца. Но ты и их прочитать не способен, не то что по ссылкам ходить.
We
send the minor patches to the Linux community through email
to seek their feedback. Fortunately, there is a time window
between the confirmation of a patch and the merging of the
patch. Once a maintainer confirmed our patches, e.g., an email
reply indicating “looks good”, we immediately notify the
maintainers of the introduced UAF and request them to not
go ahead to apply the patch. At the same time, we point out
the correct fixing of the bug and provide our correct patch.
In all the three cases, maintainers explicitly acknowledged
and confirmed to not move forward with the incorrect patches.
Мне никаких pdf не кидали. Если интересно, сам почитай в форуме, кто, кого и куда.
> Это ты так решил или они сказали, откуда ты знаешь, что они пропихнули или собирались?В новосте вроде достаточно ясно написано и ссылки даны. Кроме того слышали про принцип "Beyond Reasonable Doubt"? Я к тому, что бремя доказательства всегда лежит на стороне обвинения.
> Заметили
Что заметили? Они ни у кого под дверью не гадили, насколько известно.
Включаем мозг.
Тебе доверяют. Ты присылаешь хз что.
Два китайца и индус отмазываются: "это был эксперимент с целью проверки на говно".
Дальше думай сам.
Если эти Китайцы работают исследователями в этой сфере в соответствующем учебном/научном заведении, то лично я нахожу их объяснение вполне вероятным.
>то лично я нахожу их объяснение вполне вероятным.Паздравляю, ты выиграл! Пирожок на полке твой.
Уметь читать - бесполезный навык, да. Главное уметь свои домыслы высирать.
> делающий их из хероев преступниками: они никому из разрабов ведерка не сообщили о самом эксперименте
>> https://github.com/QiushiWu/QiushiWu.github.io/blob/main/pap...
>> было сделано предположение, что исследователи вновь пытаются проводить эксперименты над разработчиками ядра.
> и результатах по окончании и не отозвали свои сомнительные патчи взад,
> за них это сделал Грег.
>> Вызвавшее опасение исследование по продвижению скрытых уязвимостей было проведено в августе прошлого года и ограничилось отправкой трёх патчей с ошибками, ни один из которых не попал в кодовую базу ядра. Связанная с данными патчами активность ограничилась только обсуждением и продвижение патчей было остановлено на стадии до добавления изменений в Git.Наглядное чтение жопой от КМЧЖ, демонстрация <EOVERFLOW>-ая ...
Сообщить об эксперименте заранее значит загубить эксперимент. Тут для требуется чистота (и неосведомлённость рецензирующей стороны).
> Сообщить об эксперименте заранее значит загубить эксперимент. Тут для требуется чистота
> (и неосведомлённость рецензирующей стороны).Бляяяя!!!!
> Их наградить надо. А то что их заблокировали - типичный пример тупостиА что если предметом исследования является то, сойдет ли "Я исследователь!!!" за отмазку? Поэтому нет, банить и банить таких. Банить всех, кто пытается отправлять в ядро какую-то хрень. А то, как они там оправдываются впоследствии, вполне может быть социнженерией.
человеческий фактор и есть уязвимость. рецензия патчей должна быть, не говорю уже о строгом обосновании того или иного изменения присланного. Если Линусу в лом это делать, то это его вина.
От этого новые новые "иследователи" появлятся не перестанут
И будут стройными рядами идти в бан. И это правильно.
> На самом деле товарищи из учебного заведения сделали очень хорошее дело.На самом деле ничего хорошего они не сделали.
Они взяли в целом неплохую тему, но исследование провели бездарно.
Нормальные исследователи ищут как улучшить ситуацию, как помочь разработчикам ядра, сэкономить их время, или улучить качество их работы. И такие исследования действительно есть. Пример: https://www.usenix.org/system/files/atc19-bai.pdf
А сабжевые "исследователи", похоже, наоборот, сами засирали рассылки сотнями бажных патчей, ОТНИМАЯ время разработчиков. А потом ещё и собирали статистику — сколько багов разработчики найдут.
Их исследование почти бесполезно. Ничего нового они не открыли. То, что разработчиков ядра мало, и они неидеальны — было известно всегда. И ругать их за неидеальность — отличный способ потерять и этих.
Да и банят их не за исследование, а за их методы.
За то, что они отнимают время у разработчиков сотнями бесполезных патчей.
>На самом деле товарищи из учебного заведения сделали очень хорошее дело.Похерили работу по разработке ядра на несколько дней.
обмазать в смоле и обвалять в перьях, а также разрешить современным индейцам санти сиу снять скальп, чьих предков казнили после восстания, начавшегося на реке Миннесота
А почему структуру отвечающую за прием патчей в ядро нельзя исследовать? Это какие-то неприкасаемые небожители не делающие ошибок? Как показало исследование- имеется серьезные проблемы в этом бизнес-процессе.
И то что наказали исследователей- просто тупость и страх. Им неприятно выглядеть некомпетентными, вот и злобствуют..
А никто не говорит, что нельзя. Исследуйте. Только результатами делитесь.
Ой, почему же если не сказали, а потом от нас еще какая-то хрень всплыла - откатили и побанили всех? Вот ведь дурачьё, микропрохфессоры просто все забыли! Понять и простить!
наказывать нужно ответственных за рецензию и прием патчей. Доказать умысел "исследователей" сложно будет, даже если будет пострадавшая конкретно от этих патчей сторона.
Так они и поделятся. Вроде бы никто и не отрицает, что поделиться и было их изначальным планом.
Это они тебе под присягой поведали?
Слышали мы такие пестни, ага.
А докажи, что не так. Если они занимаются исследованиями в такой области, то их действия вполне логичны. Будь это уголовный суд с присяжными, и будь я присяжные, я бы голосовал "не виновен".
>А докажи, что не так.Не так что? Что они присылали говно в ядро? Мы с суде или в сообществе тех, кто хочет сделать лучше?
>Если они занимаются исследованиями в такой области, то их действия вполне логичныА если не занимаются?
>я бы голосовал "не виновен".голо суй.
> наказали исследователейНаказали отправителей сомнительных патчей. А то, выдают они себя за "исследователей" или нет -- не важно.
> имеется серьезные проблемы в этом бизнес-процессе
Где проблемы? Бэкдорщиков выявили и забанили, по-моему сработали хорошо. Проблемы были бы, если бы их не заметили. Или заметили, но клюнули на отмазу про "исследования".
> Где проблемы? Бэкдорщиков выявили и забанили, по-моему сработали хорошо. Проблемы были бы, если бы их не заметили. Или заметили, но клюнули на отмазу про "исследования".Наша песня хороша, начиная сначала. С какого там года они коммитят? С 14 минимум? Олично зоркие глаза заметили. Если и через 10-20 лет бы обнаружили попытки - ничего не поменялось. Читали такие же баечки: сработали хорошо. Им достаточно было сделать ещё один шаг. Просто передать процесс отправки патчей китайцам или индусам. Несколько десятков команд отправляющих маленькие патчи. Никак напрямую не связанных с университетом. Вот это было бы дело.
>Просто передать процесс отправки патчей китайцам или индусам.Ты письмо читал?
Kangjie Lu, Qiushi Wu, and Aditya Pakki
Не уверен что ты мой коммент то прочитал, не то что письмо. Повторю:
> Просто передать процесс отправки патчей китайцам или индусам. Несколько десятков команд отправляющих маленькие патчи. Никак напрямую не связанных с университетом.
>Никак напрямую не связанных с университетом."Команда из Университета Миннесоты пояснила мотивы экспериментов с сомнительными коммитами в ядро Linux"
?
>Никак напрямую не связанных с университетом."Команда из Университета Миннесоты пояснила мотивы экспериментов с сомнительными коммитами в ядро Linux"
?
Каких бекдорщиков? Они не добавили ни одного бекдора.
А где тут "исследование", кроме как в оправданиях? Исследованием было бы, если бы они отправили патч с бэкдором и одновременно приватно проинформировали Линуса или Грега о том, что этот патч вредоносный и его нельзя включать в ядро, даже если рецензент его пропустит. Вот тогда это было бы "исследование". А так - попытка протолкнуть в ядро малварь в чистом виде.
а если они хотели доказать некомпетентность самого Линуса, сказали бы они ему об эксперименте?
А они кто такие и чем знамениты, чтоб судить других? У них заказывали эту услугу? Нет. Значит это просто вредительство, даже если с благими намерениями.
такие же вредители создали Ынтернет и атомную бомбу если че.
> а если они хотели доказать некомпетентность самого Линуса, сказали бы они ему
> об эксперименте?Для этого достаточно проанализировать принятые и отвергнутые им патчи. И буде найдётся патч с ошибкой, пропущенный лично Линусом - можно вызывать автобус.
> А почему структуру отвечающую за прием патчей в ядро нельзя исследовать? Это какие-то неприкасаемые небожители не делающие ошибок? Как показало исследование- имеется серьезные проблемы в этом бизнес-процессе.Конечно, можно.
Никто не говорит, что их нельзя исследовать.
Только банят их не за исследование, а за их методы — они уже несколько лет засирают рассылки своими бесполезными или кривыми патчами. Этим они только отнимают время разработчиков.
Решение мистера Кроа-Хартмана является скоропалительным и в корне ошибочным и должно быть отменено сразу же после получения исчерпывающих разъяснения от группы разработчиков из Университета Миннесоты.
NO!
А вас не спросят. Тот случай, когда бэкдоры это кого надо бэкдоры, и только в закрытом ПО всё под ковёр сметают обычно, а тут вылезло из-за недостаточно толерантных разработчиков -- самое время принять новый кок.
Угу ЦРУ и АНБ сказали больше денег не дадим, сразу сказки пошли мол эксперимент, для вас стараемся... Да, да, да...
> ЦРУ и АНБ сказали больше денег не дадимЖили-были однажды два студента и решили они при поддержке некоторых кое-каких инвесторов продавать пользовательские данные, авось прокатит... А не прокатит - скажем, эксперимент был. Прокатило. Да так удачно, что сейчас фирмочка - главная цитадель добра.
Попытались закоммитить бэкдор в ядро - были оперативно вычислены и забанены.Считаю, что эксперимент увенчался успехом.
> Попытались закоммитить три бэкдора в ядро - сами в конце отменили комит и проинформировали ревьющикаПоправил, не благодари
> Считаю, что эксперимент увенчался успехом.
Эксперимент на опеннете по выявлению читателей жопой - несомненно!
> Эксперимент на опеннете по выявлению читателей жопой - несомненно!Ну тут как бы на святыню покусились, поэтому и реакция такая бурная - "нет времени объяснять, сжечь!".
Опеннет как срез общества - 95% имеют такой же низкий IQ как обезьяны.
Вот только они не пытались закоммитить бекдор.
Врач не может ставить эксперименты на пациенте, иначе это преступник.
Вот, все правильно. Я и не ставил. В смысле - я на рабах ставил, не на пациентах.
И помер от инсульта в почтеннейшем возрасте.Не то что этот неуданик Эйхман, который был не учоным, а просто обычным палачом на окладе.
тут эксперимент на врачах поставлен, Линус и его сообщество не пациенты.
Вообще-то, если бы врачи не ставили эксперименты на пациентах, то у них даже до трав и корешков дело бы не дошло, просто гладили бы пациента по голове, чтобы ему не так больно умирать было.
Другое дело, что нельзя просто подойти и вколоть больному новое лекарство, не проверив его до этого на мышах, кроликах и обезьянах, не поставив в известность лечащего врача и не подготовившись к возможным нежелательным последствиям.
и решение то принимает не медсестричка со шприцом в руках.
> Вообще-то, если бы врачи не ставили эксперименты на пациентах, то у них
> даже до трав и корешков дело бы не дошло, просто гладили
> бы пациента по голове, чтобы ему не так больно умирать было.Шаманы и знахари были сами себе пациентами. Кто выживал, того признавало племя. Именно поэтому "должность" наследовалась.
"Впервые живую вакцину против чумы создала и испытала на себе в 1934 году Магдалина Петровна Покровская."
"ЦРУ-АНБ-бэкдоры-зонды-расрасрас111"На Опеннете ничего не изменилось, картины Васи Ложкина иллюстрируют и эту реальность тоже.
А что, не бэкдоры? То есть сомнительные патчи отправлять это нормально по-твоему? Или пользователь шиндовс?
Нет, не бэкдоры. Посмотри в википедии определение этого термина. Уж насколько компетентными оказались мейнтейнеры ядра, настолько же некомпетентны в теме обсуждения комментаторы на опеннете.
Намеренное внесение уязвимостей почти всегда работа спецслужб, и потом эти бэкдоры десятилетиями сидят в коде и используются при необходимости всеми заинтересованными сторонами. Исправляют только когда кто-то другой находит и начинает активно использовать, только если кто-то сумеет заметить и проанализировать вектор атаки.
это все иной раз говорит о некомпетентности сообщества разработчиков и не вина спецов, они то свою работу выполняют. впускать к себе домой преступника разве вина преступника?
> впускать к себе домой преступника разве вина преступника?О, а вот и виктим-блейминга подвезли. А хозяин просто так дверь открыл, по своему капризу, или преступник как-то добился, чтобы хозяин его пустил?
ну вот ожидаемый комент, спасение утопающих .... (сами знаете что)
"она вызывающе оделась и насильник её изнасиловал" - такие утверждения порождают понятие "виктим-блейминга". Но прикол в том, что каждый имеет право на выбор, да и преступник имеет право совершать преступление, все это поступки, за которые необходимо нести ответственность, вызывающая одежда такой же поступок и выбор, а к чему приведут данные действия и нести ответственность за них должен тот кто совершил эти действия. Не надо перекладывать вину и тем более ответственность. Каждый должен отвечать за свои поступки и нести ответственность за них как минимум перед собой.
не вину надо вменять за действия, а требовать нести ответственность.
Ответственность несут сугубо за вину. Попробуй это выучить и прочувствовать, а то прямо тварь дрожащая или право он имеет...
- согрешил я, святой отец
- покайся, в чем твоя вина?
- в бездействии
- да простит Всевышний все твои грехи. Аминь.читаем внимательно
https://ru.m.wikipedia.org/wiki/%D0%92%D0...
Яйца у тебя в штанах и яйца в глазунье на сковородке - разные вещи.Так же и с злонамеренным действием, действием по ошибке, повлекшим вред _другому_ и действием по ошибке, повлекшим вред _для себя_. Не вали всё в одну кучу, пытаясь выковырять себе какие-то придуманные права. Ты можешь мечтать про то, как будешь воровать, убивать и сношать гусей, но права на эти действия у тебя есть только в воображаемом мирке. А право нормально жить, не оглядываясь каждую минуту на то, что где-то в закоулках бродит вот такая мечтательная школота - вот оно как раз есть у всех.
> Не вали всё в одну кучу, пытаясь выковырять себе какие-то придуманные права.:) расскажите пор мои права
> Ты можешь мечтать про то, как будешь воровать, убивать и сношать гусей, но
> права на эти действия у тебя есть только в воображаемом мирке.это по какому закону природы мне запрещено сношать и убивать?
> А право нормально жить, не оглядываясь каждую минуту на то, что
> где-то в закоулках бродит вот такая мечтательная школота - вот оно
> как раз есть у всех.розовые очки запотели
> :) расскажите пор мои праваЧитать умеешь? Го сайт Конституции. Можешь нашей, можешь штатовской, можешь какой угодно.
> это по какому закону природы мне запрещено сношать и убивать?
Ты в природе живешь? Огорчу - ты живешь в обществе. И ходишь под Богом. И даже если ты не веришь в божественные законы, человеческие существуют, в чём ты можешь убедиться на практике, было бы желание. Но, судя по задвигам - ты явно остался животным. Ну так имей в виду, пока зоошиза окончательно не прибрала тему к рукам - животных ещё можно отстреливать :-)
> Читать умеешь? Го сайт Конституции. Можешь нашей, можешь штатовской, можешь какой угодно.:) пустой текст
> И даже если ты не веришь в божественные законы,
> человеческие существуютну приведите мне пример закона "человеческого" писанного, который я не смогу нарушить. А вот Божьи законы (законы той же природы) увы не нарушу, как бы того я не хотел.
> Но, судя по задвигам - ты явно остался животным.
прятного аппетита, из меня получиться отличный стейк.
> так имей в виду, пока зоошиза окончательно не прибрала тему к
> рукам - животных ещё можно отстреливать :-):) ага, а у вас уже есть право по "конституции" носить оружие?
пс:58586
> пустой текстБраузер переустанови, у него глюки. Или у тебя. Придется переустанавливать мозг.
> ну приведите мне пример закона "человеческого" писанного, который я не смогу нарушить
Если бы ты не был логически недоразвит и интоксицирован какой-то разновидностью либертарианского нигилизма, то быстро бы понял разницу между "я могу нарушить" и "я имею право нарушить". И не разводил всей этой бодяги.
> то быстро бы понял разницу между "я могу нарушить" и
> "я имею право нарушить".простите, а где это написано про "право" нарушать?
"я могу нарушить" любой "людской писанный" закон - истина.
"я имею право нарушить" любой "людской писанный" закон? - конечно, ибо нет контр примера, который меня остановит. "Людские писанные" законы - не "природные" законы, которые я по определению не смогу нарушить и собственно можно считать что не имею прав на это.
> простите, а где это написано про "право" нарушать?Ты сам продекларировал это право в начале ветки. Тебе процитировать? Это там же, где ты начал озвучивать виктимблейминг и что-то там такое про "ответственность".
>"я могу нарушить"
! = "я имею право нарушить"
Именно тогда, когда ты не имеешь права - и следует возмездие. Либо в посмертии / согласно карме /... (что можно опустить, если ты какой-нибудь атеист), либо по законам общества, в котором ты живешь.
"сделать что-то не имея права" == "нарушить закон" (Божеский или человеческий)
"_Мочь_ сделать что-то, не имея права" - не является логическим противоречием, потому что отсутствие права не означает автоматической блокировки модулей, отвечающих за желаемые действия.
>>"я могу нарушить"
> ! = "я имею право нарушить"они равны, право тут избыточно, "я имею право" равносильно "я могу", "я умею", "никакой физ. закон мне не запрещает" и т. д.
> "сделать что-то не имея права" == "нарушить закон" (Божеский или человеческий)
Нарушить (разрушить) можно только то, что "рушиться", Божеский - нет. Всякий людской рушимый закон, могу нарушить (разрушить) с моего желания (это если заменить слово право). Есть желание - имею право, нет его - значить не имею право - не желаю, но ни как не "не могу". И это право (желание) даю себе сам.
> "_Мочь_ сделать что-то, не имея права" - не является логическим противоречием, потому
> что отсутствие права не означает автоматической блокировки модулей, отвечающих за желаемые
> действия.вот "желаемые действия" дают вам право, нарушать. Считает человек себя правым, убив в ответ? Считается он таким же убийцей?
пс: Дайте себе право жить вечно.
> И это право (желание) даю себе сам"Тварь я дрожащая или право имею?" (с) убийца старушек на почве метафизической интоксикации (кончил каторгой)
> убийца старушек на почве метафизической
> интоксикации (кончил каторгой)На его месте я бы еще и "кончил" бы самого себя, чтобы достигнуть полноты этой самой метафизической интоксикации (видимо автору такой сценарий показался банальным, но я бы описал бы не просто чувства после свершения преступления по отношению к другому, но и те чувства свершения преступления по отношению к самому себе - не путаем тут с чувствами самобичевания). Не буду дальше развивать мысль об этом, так как грозит "РОСКОМкакеготам" и забанят опеннет :)
>Тварь я дрожащая или право имею?
в любом случае - тварь (в хорошем смысле), "Тварь ли я дрожащая или могучая (от слова могу свершить)" - да, ты "могучая тварь", Бог создал тебя таким какой ты есть не более.
Что ж Опеннет-то так фриков притягивает... Вопрос риторический - риск для фритарда поехать на почве "свободы" не только в IT-сфере фактически гарантирован.
главное "РОСКОМкакеготам" не притягивал :)
И не притянет, потому что никому в экстремизм и разжигание нельзя, кроме Шигорина ;-)
>Ответственность несут сугубо за вину.Продолжай так думать. Тебе полезно. Думать.
Всем полезно, прикинь?
> Намеренное внесение уязвимостей почти всегда работа спецслужбА когда молоко скисает - работа ведьм.
Чума случилась - демоны виноваты.
Мор свиней - это все чернокнижники.А кто скажет, что это всё какие-то там бактерии, наука-шмаука - сам колдун и проплаченный демонами, вот.
виновного же надо найти, не легче свалить на тех же демонов чем признать свою некомпетентность в хранении молока.
В Fedora пришло обновление до 5.11.15.
Зато это исследование показало уровень и качества ревью, и компетентности ревьюверов, и адекватности руководства в целом.Потому что использовать при код-ревью понятие "доверие" это вообще за гранью. Даже самый супер программер может опечататься, может плохо себя чувствовать когда сел кодить, может иметь семейные или психологичекие проблемы. И его ошибку пропустять в прод, именно как это произошло сейчас потому что "ну это же универ был, мы ему доверяли... как они могли... плак-плак... мы обидились и забанили их..."
> мы обидились и забанили их...Так у нас есть кок!
> Потому что использовать при код-ревью понятие "доверие" это вообще за гранью.действительно. его же сверхечеловеки проводят, способные видеть на три метра сквозь бетон.
А не обычные люди, занятые своими проектами, бегло глянули - ну, вроде да, исправляет проблему, принимается.
> Даже самый супер программер может опечататься, может плохо себя чувствовать когда сел кодить,
> может иметь семейные или психологичекие проблемы.может. А проект может послать этого проблемного лесом, если он несколько раз подряд тратит чужое время на свой г-но код или намеренно подложенных из-за "психологических проблем" свиней.
Тем самым сэкономив ресурсы. А разбираться с каждым вредителем отдельно - намеренно он вредит, на деньги товарищмайора или просто "психологические проблемы" - а зачем? Судят по делам, не по "намерениям", все правильно делают.
> бегло глянули - ну, вроде да, исправляет проблему, принимаетсястранно, всегда думал что это называет "х*як-х*як и продакшн", особенно от людей занимающихся этим фултайм... но наверное неправ и это норм для таких проектов.
Вы статью откройте и посмотрите что они напропускали (напр. страница 10, секция D).
> Тем самым сэкономив ресурсы.
Тем самым уже утянув это в прод, ну молодцы, чо. А от тех кого еще не заметили мы будем принимать прикрыв глаза, мы же им пока доверяем.
... и в продакшен - это когда ты точно знаешь, что сделал каку, но в продакшен вот прям щас.
> странно, всегда думал что это называет "х*як-х*як и продакшн", особенно от людей занимающихся
> этим фултайм..ты деньги этим людям - фултайм платишь? А, нет, хер от тебя им с маслом.
Нет таких людей. Их примерно миллион понадобился бы. Столько денег нет ни у ibm, ни у microsoft (им еще своих настоящих разработчиков при этом оплачивать надо). Причем весь этот миллион ни на чем кроме "псевдоязыка" не пишущих, только дающих ценные советы как правильно (что вызовет массу желания приносить им на коленях свой код, еще больше чем его есть сейчас - между прочим, в этом месте копчоный не то чтобы не переигрывал, но проблему использовал реально существующую).
> А от тех кого еще не заметили мы будем принимать прикрыв глаза, мы же им пока доверяем.
а от тех кого не заметили - будут принимать с обычной проверкой - "вроде делает что написано, и написано - что надо".
Да, так и есть.
А твой манямирок, с идеальными анализаторами в уме идеального кода, к сожалению, существует только в твоей фантазии с твоими воображаемыми друзьями. К сожалению, мы не можем запустить их воображаемый код, приходится как-то пользоваться тем, который пишут и принимают в проект живые люди. У которых и время ограничено, и возможности. Поэтому для них вполне разумно будет заведомо попавшихся диверсантов вообще больше не пускать на порог.
Этим людям - практически всем - платят LF и фирмы типа RedHat/IBM/... И не важно плачу я или нет (донаты это кстати плата? или это как благодарность?)
А свою работу неплохо бы делать хорошо, тем более за деньги.Когда в твою булку хлеба в офисной столовой случай попадет порченный ингредиент потому что человек (на зарплате у завода) плохо выполнил свою работу... то ты не в праве возмущаться?) Потому что ты не заплатил этому человеку?)
Классный пассаж про манямирок, но эти профессионалы пропустили типичнейшие си ошибки вроде use-after-free. Для этого не нужны ни супер-анализаторы, ни идеального кода. И даже воображаемые друзья не нужны.
И я надеюсь что это простимулирует LF внести изменения в процесс ревью чтобы таких факапов было меньше.
> Этим людям - практически всем - платятлично счета проверял?
Этим людям не хватит всех денег мира заплатить за то, что тебе мстится.
Тратят они свое время, которое предпочитают потратить на другие вещи. Времени и людей способных на такую работу - всегда очень ограничено.> И не важно плачу я или нет (донаты это кстати плата? или это как благодарность?)
нет, это подачка бомжу корки хлеба. Который ты сам уже не сожрешь, не лезет, да и черствая она.
Ты ни разу не последние три копейки отдаешь, и те кривя губу. Да и не хватило бы твоих денег всех, чьим трудом ты пользуешься, отблагодарить даже копейками.Никакой достаточно крупный проект на подачки частных лиц существовать не может. Даже freebsd - которой вообще-то миллиардер подает.
> Когда в твою булку хлеба в офисной столовой случай попадет порченный ингредиент
то это, внезапно - уголовка. И автора "случайности", если его удается поймать - закрывают на неиллюзорный срок, а не перевешивают ответственность на директора офисной столовой, что не следил за ним ежесекундно.
> но эти профессионалы пропустили типичнейшие си ошибки
Манямирок как он есть - ты-то, конечно, ошибок не допускаешь. И чужой код на три метра вглубь видишь (жаль, правда, что у тебя даже воображаемых друзей нет. так что на самом деле ты даже воображаемого кода не анализировал никогда)
> И я надеюсь что это простимулирует LF внести изменения
да, на хрусте все начнут переписывать. Уже начали, правда, злой Линус что-то не пустил.
P.S. кто хочет не болтовней а делом доказать что да, может разбираться в чужом коде - я с радостью готов показать прекрасный образец. Который иногда работает, но непонятно, почему.
Надысь напоролся. Там все прекрасно - и уровень требуемых знаний, и в общем-то изолированность куска (не надо понимать о чем весь остальной проект) и размер кода. Да только вот хрен у вас получится. Многие уже пытались. epic fail
> лично счета проверял?О, я ждал этого коммента)) Ведь как же приятно думать что ядро написали безвоздмезно (т.е. даром) сделали добрые волонтеры в свое свободное время (а раз так - то "что вы от них хотите, они никому ничего не должны!")
Разумеется счета сам не проверял, это как бы незаконно. Но можем обратиться как какому-то достоверному источнику... напр. к LinuxFoundation, надеюсь достаточно авторитетный?
Открой первоисточник - офф страницу kernel'а (https://www.kernel.org/doc/html/v4.10/process/howto.html#bec...)
Там есть ссылка на офф-сайт для новичков https://kernelnewbies.org/KernelDevViewpoint
где черным по белому написано "However, most of the top kernel maintainers are employed by companies that produce Linux distributions or sell hardware that will run Linux or Android."Они уже трудоустроены и получают деньги. Часть от самой LinuxFoundation из денег спонсоров, часть от спонсоров напрямую (тот же РедХат, IBM, Майкрософт и куча других).
Открой какой-нибудь Linux Kernel Development Report (напр. за 2017 год https://www.linuxfoundation.org/resources/publications/state.../ )Далее страница 15:
"It is worth noting that [...] over 85 percent of all kernel development is demonstrably done by developers who are being paid for their work.Interestingly, the volume of contributions from unpaid developers has been in slow decline for many years. It was 14.6 percent in the 2012 version of this report, but is 8.2 percent this time around." Надеюсь осилишь, ну или гугл-транслей в помощь.
Это еще в бородатом 2012 году 85%+ разрабов были на зарплате. А сейчас вообще смешная цифра.
Так что да - этим людям платят деньги (LF или другие) за проделанную работу. Которую как показал этот пример они делают недостаточно хорошо.> да, на хрусте все начнут переписывать. Уже начали, правда, злой Линус что-то не пустил.
Прелестно, просто прелестно. Ты и раст сюда приплел. Единственный из 167 комментариев. Ты даже фрактала опередил!
> ошибок не допускаешь
Ошибки допускают все. Но одно дело когда это "потому что мы не заметили", а другое "ну, мы им доверяли, поэтому не особо и смотрели". Первая это нормальный рабочий процесс, вторая - пофигизм и некомпетентность.
> Да только вот хрен у вас получится. Многие уже пытались. epic fail
У вас? У тебя получается получилось?
> И автора "случайности", если его удается поймать - закрывают на неиллюзорный срок, а не перевешивают ответственность на директора офисной столовой, что не следил за ним ежесекундно.Мне кажется ты не очень знаком с правоприменительной практикой - кроме автора случайности готовы полетят и у проверяющего, и у директора. Возможно уголовку им не дадут (хотя тут как повезет), но административка + ограничения будут однозначно.
> Ошибки допускают все. Но одно дело когда это "потому что мы не заметили", а другое "ну, мы им
> доверяли, поэтому не особо и смотрели".а на деле ровно наоборот - мы уже их поймали и больше смотреть не будем - сразу в мусорку.
>> Да только вот хрен у вас получится. Многие уже пытались. epic fail
> У вас? У тебя получается получилось?я так и думал. Ты не умеешь кодить?
А как дысал, как дысал...
> Судят по делам, не по "намерениям"Ага. Запаслись оружием, нашли тачку, поехали грабить кооператора Иванова. Тачка в столб врезалась, стволы все на проезжей части, братки в крови и соплях, "- а что, не доехали-то до Ивановой дачи, нет? - нет, начальник, не доехали... - ну идите себе с Богом, сынки, не шалите!".
Не дошло до дела - должно быть покаяние. Слышал такое слово? Нет покаяния - преступник. И слава Богу, что не успел ничего натворить, всё равно гниль и сволота, пока не раскаялся и нормальным человеком не стал. Если получится стать, да.
А то в натуре, развели понятия вместо справедливости. "Не пойман - не вор." Тьфу...
>ну идите себе с Богом, сынки, не шалите!".да вы что, они за усатым ехали :)
> - нет, начальник, не доехали...- ну молодцы, покушение на преступление, закрываем на меньший срок, чем если бы доехали (это уже - совершение).
Вот как это происходит в реальности, а не в маня-мирке.
(Если тачка была ржавый запорожец, дороги к кооператору вообще нет, только вертолет, а стволы ржавые еще с первой мировой войны и порох тогда же отсырел - увы, тоже закроют. В рашкованском праве нет "попытки с негодными средствами", вопреки анекдоту. Ну, в смысле, как отдельного смягчающего обстоятельства.)
> в маня-миркеНу, про то, что надо токмо по делам, а намерения не трогать - это ты начал.
> увы, тоже закроют
Отчего ж, "увы"? Ну оказались бандосы идиотами, ну, не выгорело из-за идиотизма, но в следующий раз может и повезти. А с преступлениями эффективнее бороться превентивно, если стоит цель защитить граждан, а не просто очередную премию за раскрываемость получить.
>А с преступлениями эффективнее бороться превентивно:) ага и следуют поговорке - "не можешь победить - возглавь"
пс:10060
> Ну, про то, что надо токмо по делам, а намерения не трогать - это ты начал.про намерения - это к попу, для исповеди.
Для товарищмайора они неинтересны. А как в тачку сели - пусть даже тачка была без колес - это уже действие.
Вот за него и ответить можно. Не вижу ничего неправильного.
> про намерения - это к попу, для исповеди.Не-а. Имел намерение, обломился - скорее всего, совершишь преступление в будущем. Потенциальный преступник. Если прихлопнуть его сейчас - это отменит кучу дерьма, которую он может насовершать. Она просто не состоится.
Иногда права человека, презумпция невиновности, а также законы, вдохновленные ими, конкретно играют на руку козлам. Которых положено считать за людей.
> Иногда права человека, презумпция невиновности, а также законы, вдохновленные ими, конкретно
> играют на руку козлам.нет человека - нет проблемы, мусорская логика у вас.
> мусорская логикаДа уж не блатная, как у некоторых.
У вас вот тоже мысли нехорошие про убийство людей ничего не совершивших.
надеюсь вы уже застрелились?
Почитатель Толстого и Ганди? Бла-бла-бла ненасилие бла-бла-бла?
я не знаю чей вы почитатель, но по вашей логике из предыдущего коментария вы должны выпилиться из жизни окружающих, так как имеете преступные намерения.
Если же вы не хотите применять свои убеждения к себе, то просто признайте что вы п*здобол обыкновенный.
Закон != справедливость, насилие = просто инструмент. Если вы не хотите следовать рациональным аргументам, то просто признайте, что вы д*бил обыкновенный.
>> Зато это исследование показало уровень и качества ревью, и компетентности ревьюверов, и адекватности руководства в целом.То есть отправил патч с бякой - ну ладно бывает.
А если на ревью бяку пропусти - сжечь живьём.
Так да?
И кто кого сжёг в данном случае?
> Зато это исследование показало уровень и качества ревью, и компетентности ревьюверов, и адекватности руководства в целом.Нет, не показало.
> Потому что использовать при код-ревью понятие "доверие" это вообще за гранью.
А кто говорит, что его используют? Исследователи? Или ревьюверы?
> И его ошибку пропустять в прод, именно как это произошло сейчас потому что "ну это же универ был, мы ему доверяли... как они могли... плак-плак... мы обидились и забанили их..."
Так, хватит путаться в показаниях! То ли они добавляли уязвимости, то ли не добавляли. И то ли делали это от имени университета, то ли он рандомных gmail-овых аккаунтов... Что за Анонимы нынче пошли...
>> Мотивом скрытой деятельности было желание добиться чистоты эксперимента, так как уведомление могло привлечь отдельное внимание к патчам и их оценке не на общих основаниях.Правильный подход, если хочешь чистоты эксперимента добится. Только обиженки из сообщества теперь им этого никогда не простят.
Правильный подход, и результат правильный - теперь могут опубликовать статью "как вбрасывателей вредного кода банят нахрен, в корне предовтращая попытки еще разок что-то вбросить".Эксперимент удался, что вам не нравится?
А что "экспериментатору" потом будут рады те на ком он поэкспериментировал - это вам никто и не обещал.
Эксперименты совершают с санкции общества! Тут - банальное хулиганство, несущие общественную опасность! Это тоже самое, что вы бы стали на всех "замахиваться" на улице, и получили ...!
ага вы еще предупреждайте хозяев дома когда соберетесь вламываться к ним в дом, "перступник" свой умысел то докажет в суде, а вот вы обратного нет. Ему достаточно вломав дверь поставить спящего хозяина перед фактом. И в случае почему они не сообщили о результатах, то эксперимент разве был окончен? вы этого не докажите и не сможите предьявить за скрытие результатов, ибо эксперимент был остановлен.
Здесь по морде бьют, не по паспорту.
> Здесь по морде бьют, не по паспорту.имеете право, так и сделало сообщество забанив.
> не простятИ их можно понять, потому что "белые шляпы" были те, кто вносил злопатчи или таки нечистые хацкеры, а вони теперь будет изрядно: уже тут постили комментарии, что "ага, вот теперь видно, что грош цена вашему открытому коду, его все равно толком не проверяют, кто угодно может что угодно!" - неважно, так это на самом деле или нет, говно все равно полилось.
Можно чужую компанию отпентестить с налета. А в своей - надо договариваться хотя бы с кем-то одним, кто знал бы и молчал до поры до времени. Иначе - нагадили там, где едят. И подорвали доверие к сообществу разработки в частности и к опенсорсу как таковому.
Где Линус?
>Где Линус?У психолога на приёме. Медитирует пытаясь успокоить свой гнев.
...бало бы им начистить, в целях повышения безопасности
Ну честнслово это же бред, это если бы в Microsoft обиделись на Ваньку из Саратова, который придумал троян под винду, а тут целый университет показал, насколько уязвимо ядро. Да им спасибо нужно сказать, мля...
Как раз показали, что ядро неуязвимо. Говно в релиз не попало, говнюки - в бан попали.
>> We submit the three patches using a random Gmail account to the Linux community and seek their feedback—whether the patches look good to them.
>> ...
>> Once a maintainer confirmed our patches, e.g., an email reply indicating “looks good”, we immediately notify the maintainers of the introduced UAF and request them to not go ahead to apply the patch. At the same time, we point out the correct fixing of the bug and provide our correct patch....
>> Therefore, we ensured that none of our introduced UAF bugs was ever merged into any branch of the Linux kernel,
> Как раз показали, что ядро неуязвимо. Говно в релиз не попало, говнюки - в бан попали.Как раз показали, что адепты Великого Ядра предпочитают читать избирательно и, скорее всего, гузочкой.
На мой взгляд легко отделались! Если бы им удалось тоже самое проделать в Microsoft или Apple - получили ... от армии юристов и тоны макулатуры исков с истерикой об недополученной прибыли и порывом "репутации"!
Этих "экспериментаторов" надо везде где можно забанить, так как они реально несут общественную опасность!
Раз уж ты перешёл на сослагательное наклонение, то продолжай свою мысль до конца. Если бы в том же Микрософт существовал бы отдел аудита, то получил бы этот отдел прежде всех за то, что пропустил бяку в ядро.
Зачем, если можно просто выйти из платиновых спонсоров?
> мотивирована исключительно благими намерениямиБлагими намерениями вымощена дорога в ад.
Они уже в пути)
Ну зачем так унижаться? Можно ведь анонимусом комитить
Доэкспериментировались и получили закономерный результат. А то понимаешь ли, сообщество разработчкиов для них - лабораторные макаки. А теперь могут оправдяваться, могут не оправдываться - репутация всё равно уже убита. И лишний раз продемонстрована устойчивость свободного ПО к неправомерным действиям: гадость в релиз не попала, а говнюки в бан - попали.
>> продвижение патчей было остановлено на стадии до добавления изменений в Git.
>> Once a maintainer confirmed our patches, e.g., an email reply indicating “looks good”, we immediately notify the maintainers of the introduced UAF and request them to not go ahead to apply the patch. At the same time, we point out the correct fixing of the bug and provide our correct patch..
> И лишний раз продемонстрованно устойчивое умение опеннетных адептов Единственноверного Ядра читать опой
> батхерт скиппедПоправил, не благодари!
"Благими" намерениями выложена дорога в ад. Нельзя их допускать снова. А то будут считать, что можно если что извиниться и все исправится. Люди платят программистам огромные деньги и теперь им придется потратить время чтобы понять что за ересь они в ядро навтыкали. Бан пожизненно каждому и их возможным фирмежкам/университетам в которых они могут оказаться.
Это линуксоидов с базарной моделью нельзя допускать до разработки ядер. А фс вы и так ниасилили.
Таки есть что-то лучше ext4? Может быть ntfs (ближайший конкурент), которая рассыпалась все первые 20 (простите последнее было 2018 получается 25) лет своего существования и коммерческого использования (безальтернативного) рассыпалась и теряла данные?
XFS в многопотоке немного может обходить EXT4 и там данные стабильнее держатся (не знаю насчет восстановления, ведь это сложно именно с XFS). Так что кому нужно - будут пользоваться обеими. Одну на систему, другию на базу данных.
Нтфс, зфс. Вся линейка экстрак устаревшее оно родом из начала 90-х.Ниасилили картманы.
> Нтфс, зфс.какая там версия ntfs-кода предлагается Алмазом свет Александрычем - 30я уже? (он там опять сломал совместимость с не совсем модными ядрами, поскольку в ядро примут только совсем модное, поэтому я перестал следить за их прогрессом)
Но это от неизвестно кого комит, его не примут и с 60й попытки.
Любишь дисяточкой пользоваться, люби и систему обновлять. Или ты рассчитывал, что будет "бе-бе-безопасно" и за малый прайс?Тебя нае...и. Будешь платить и каяться.
А для бэкапов есть облачка. Бе-бе-бе-зопасные. И приватные, гы.
Что? Базарная модель это рыночная модель? Так линукс можно продавать. Вон в отечественных посмотри. У нас же в России создают свое ответвление кодовой базы чтобы исключить возможность внесения вот таких изменений. Это вынужденная мера так как никто не ждет порядочности от западных партнеров. У них чуть что - отмазка. Если ты что-то сделал неправильно в целях эксперимента, то ты должен в случае принятия изменений в ядро сразу же сообщить об этом, а не через несколько лет. ФС уже давно есть со времен EXT и не одна. Вот даже ZFS пилит линукс сообщество. Оракл то после 30-х годов может и прекратить работать с солярисом. Вот FreeBSD и пользуется этими благами потому что не может само осиливать. Уж что говорить - даже OpenIndiana в этом участвует. И да, пока что хватит и EXT/XFS.
>У нас же в России создают свое ответвление кодовой базы чтобы исключить возможность внесения вот таких изменений. Это вынужденная мера так как никто не ждет порядочности от западных партнеров."Очередная жертва россиянской пропаганды" - подумал Штирлиц.
Что? Тебя читать не научили?
Мда, герр штандартенфюрер был прав... И ты правда такие портянки читаешь буквально?
> Вот даже ZFS пилит линукс сообщество.
>> Delphix is the industry leader in programmable data infrastructure, providing an API-first data platform for digital transformation.
>> Solutions
>> AWS Azure Google Cloud Platform Oracle
>> SAP Oracle EBS Guidewire Trizetto/0
Что это за рекламный слоган? Те, кто изначально пилил ZFS могут и дальше у себя его использовать, но выбирают линуксовую ветку ZFS для того чтобы были качественно лучшие изменения и в большем количестве. И прекращай бухать, а то начинаешь верить всему, что маркетологами написано.
>>> Вот даже ZFS пилит линукс сообщество.
>> https://github.com/openzfs/zfs/search?q=delphix
>> 1,609 code results for 'delphix' in openzfs/zfs
> Что это за рекламный слоган?"Знатоки" в треде, все в машину!
Какое в опу сообщество? Слюниксоиды смогли лишь позаимствовать коммерческие продукты, затем, заразив бациллами своей лицензии заявить, как та муха на рогу у быка: "мы пахали!"
Лучше бы мифическое "линуксообщество" не пилило зфс, а оставило ее в покое.Играйте с со своим БТР.
Чтоб ты знал FreeBSD его тоже выбрало, равно как и многие драйвера из линукса. Лицензия там была специально сделана против GPL, так что вряд ли они что-то поменяли. Сначала проверяй прежде чем громкими заявлениями бросаться!
И правильно. Ее лицензия кстати тоже уродливый копилефт.Но я не об этом, амо том, что маленькие плагиаторы большого юникса не осилили родить фс совершеннее экст. Ну нишмагли. И не сможете.
А так даже нтфс лучше во всем, кроме скорости. Скорости про...ба данных.
Это не уродливый копилефт, ведь использовать ее можно и посвободнее джавы. И кроме того не стотит недооценивать линукс. BRTRFS как раз и ест такой навороченный вариант файловой системы развиваемой ораклом. Им для баз данных ненужна файловая система, но они свою пилили. А так каждая папка может иметь свою файловую систему и этих имеющихся размеров на многое хватит не переживай. При большой необходимости гигантские кластеры так уж и быть потратят пару секунд ан компиляцию всего и вся из исходников. Но это будут делать разве что энтузиасты вроде линуса на тытрубе. Там они покажут как подлючить массу накопителей по шине PCIE напрямую к процессору. И вот только тогда когда скорость в разы превышает возможности пропускной способности железа начинает как-то иметь значение уже ZFS так как она неповоротливая. Но когда железо упирается в ограничения и ее можно разогнать в потолок. Ты же не думал что файловая система нужна только чтобы хранить массу данных? Оракл знаешь свой дистрибутив линукса тащит и там включает патчи необходимые для BTRFS. Потому что конкурент ред хат принцципиально не хочет такое поддерживать. Потмоу что это ред хат неспособен такое создать/написать. NTFS ничем не выделяется. И ты наверное неслабо так удивишься, но шиндошз запускают и на ZFS. И внезапно мелкомягкие тоже не смогли написать такую файловую систему на 128 бит. Но если тебе религия не позволяет использовать ZFS на линуксе (в составе бубунты или Gentoo), то ты всегда можешь предпочесть FreeBSD и OpenIndiana. Внезапно тбя никто не заставляет использовать "устаревшие" файловые системы.
> И внезапно мелкомягкие тоже не смогли написать такую файловую систему на 128 бит.Чем там РеФС тебе плоха?
> Чтоб ты знал FreeBSD его тоже выбрало, равно как и многие драйвера из линукса.Т.е. хотя бы штук 10 тебя назвать не затруднит? По возможности - именно линуксовых, т.е. не под MIT/BSD/проч. пермиссивными лицензиями.
А то есть там дровины видео от интеля - вроде и опенсорц, но без зажатой тех. документации и знания забагованных до нельзя внутренностей железа, остается только любоваться на код - ни что-то сущесвтенно подправить, ни тем более написать свой вариант не выйдет. "Аргумент" уровня вантуза "а у нас в винде есть для Х дрова, а у вас в линухе нету, бебебе!"> Лицензия там была специально сделана против GPL, так что вряд ли они что-то поменяли.
Там - это где? В изначальном ZFS, который Delphix портировал под пингвинчик?
FreeBSD в общем то страдала в основном от нехватки драйвером на AMD. И там будет пачка драйверов. Это важно, ведь половина карт вполне себе от красных. Драйвер AMDGPU пилят по спецификациям AMD, так что не портировать "драйвер" на всю архитектуру массы карт это сойдет за 10 примеров.Что значит там? Разработали ZFS в Sun Microsystems и открывали постепенно код. Но открывали так чтобы была несовместимость с GPL. Именно поэтому Линус не станет ее код включать в состав линукса без явного разрешения.
> FreeBSD в общем то страдала в основном от нехватки драйвером на AMD.Угу-угу. Хреново работающий из-за кучи костылей для обхода багов в железе, "нативный" порт интеля - был "давно и неправда".
> И там будет пачка драйверов.Какая-какая пачка?
https://www.freshports.org/graphics/drm-fbsd13-kmod/
/boot/modules/amdgpu.ko
/boot/modules/drm.ko
/boot/modules/i915kms.ko
/boot/modules/linuxkpi_gplv2.ko
/boot/modules/radeonkms.ko
/boot/modules/ttm.ko
Пачка будет исключительно фирмварных блобов, которые "bin".
https://git.kernel.org/pub/scm/linux/kernel/git/firmware/lin...> Это важно, ведь половина карт вполне себе от красных. Драйвер AMDGPU пилят по спецификациям AMD, так что не портировать "драйвер" на всю архитектуру массы карт это сойдет за 10 примеров.
"Дрова-блобики" с лицензией "No reverse engineering, decompilation, or disassembly of this Software is permitted." теперь новый линуховый стандарт?
Да поставь себе Libreboot и пользуйся без блобов всем. Да разные фирмвари это разные операционные системы, которые работают на стороне устройств типа вафель, сетевых контроллеров и т.д. и т.п.. Radeon и AMDGPU поддерживают множество разных карт на относящихся к ним архитектурах. Ну и главное это то, что декомпилировали прошивку для радеонов и не нашли ничего подозрительного, после чего бросили это дело не расковыривая до конца. Это значит, что для десктопа хватит карт на том драйвере radeon. Можешь даже поправить драйвер чтобы было доступно разрешение 4К@30, ну или хотя бы 2560х1440@60 на HDMI1.4, который по утверждению производителя не проектировал карты под 4К. Radeon 6870 хватит чтобы в 4К@60 десктоп запилить на мониторе поддерживающем возможность получения сигнала из двух источников для формирования картинки. Или вам там гигабайта DDR5 вообще мало? Это куда лучше, чем на штеуде, и браузер ускоряет и с h264ify можно смотреть h264 с ускорением на видеокарте. Конечно качество тытуба не блещщет и там 4К хуже хороше 1080, но ведь так хочется верить, что без 4К видео не жизнь правда?
> Да поставь себе Libreboot и пользуйся без блобов всем. Да разные фирмвари
> это разные операционные системы, которые работают на стороне устройств типа вафель, сетевых контроллеров и т.д. и т.п.. Radeon и AMDGPU поддерживают множество разных карт на относящихся к ним архитектурах.
> ...
> Ну и главное это то, что декомпилировали прошивку для радеонов и не нашли ничего подозрительногоСпасибо, но я более-менее представляю, что такое фирварь. Просто решил подстраховаться и спросить - мало ли, вдруг пингвинята сами прошивки писали. Но если бы писали сами, то не пришлось бы (нарушая лицензию) декомпилировать.
А про блобики я к тому, что по сути, _1_ драйвер, являющийся еще и загрузчиком фирмварных блобиков (т.е. закрытых прошивок от AMD) здесь пошел "за 10 примеров", просто потому умеет грузить "пермиссивные" амд-шные блобики для кучи карт.
Не, конечно можно натянуть сову на глобус, но как-то уж неубедительно получается с "кучей дров".
А кто сказал нарушая? Кинули кому-нибудь прошивку, сказали что от роутера вроде и что надо разобраться. Разобрались и не нашли никаких скрытых подвохов. И не пингвинята, а люди. Пользоваться бздой, хардом, да хоть KolibriOS могут все и не станут от этого кем-то. Те кто использует Hurd станут препятствиями по такой логике или препятсвиемистами? По роже то видимо давно не получал раз понтуешься. Драйвер знает как говорить с блобом и как его к ядру подключить. Если у тебя библиотека используется в 10 программах это будут разные программы или все одни? Подумай старательно над этих, а то многие программы используют GTK и QT и не особо пересекаются полностью. А то знаешь когда надо аппаратно декодировать подключается блоб. Потому что драйвер открытый, а вот апаратный модуль декодирования видео несвободный. Внезапно. Они различаются по устройству и производительности, так что по моей логике это разные видеокарты и соответственно когда пишут, что добавили поддержу нового поколения видеокарт, пусть и на уже известной архитектуре это все же новая видеокарта со своим драйвером к которому не относится вся часть драйвера, относящаяся к другим видеокартам.
> бла-бла не по теме скиппедТак примеры "многие драйвера" таки будут или это окончательный съезд с темы?
Если не можешь, так и скажи. Только тогда нечего бросаться громкими заявлениями о том, что БСД берут "многие драйвера" из линукса.> По роже то видимо давно не получал раз понтуешься.
Ути-пути, какой ты грозный и с какими аргументативными аргументами! По айпи вычислишь, бал^W фантазер опеннетный?
> Драйвер знает как говорить с блобом и как его к ядру подключить.
> Если у тебя библиотека используется в 10 программах это будут разные программы или все одни?Давай я скажу прямо: мне не интересны ни отмазки, ни абсолютно кривые аналогии с библиотеками, ни постоянные съезды с темы.
Под "драйвером" все, кроме тебя, понимают (плюс минус лапоть) ядерный модуль, будь он для одного устройства или для целой линейки.Если у тебя свое, особое и единственно верное понимание, то будь добр пояснить это сразу при высказывании твоего (наверняка для кого-то) очень ценного мнения, а не в третьем комментарии.
Короче, кто-то писал "многие драйвера из линукса", но привел как формально, так и в _общеупотребительном_ понимании только 1 драйвер, да еще и под пермиссивом.
> * Copyright 2007-8 Advanced Micro Devices, Inc.
> * Copyright 2008 Red Hat Inc.
> *
> * Permission is hereby granted, free of charge, to any person obtaining a
> * copy of this software and associated documentation files (the "Software"),В общем-то, "все как обычно на опеннете" (с)
Предвосхищая спор насчет того является ли универсальный драйвер один или множеством поясню. Для этого проще всего откатиться во времени и взглянуть на линейку видеокарт попроще. Вот была ATI Rade 128. Педивикия не даст совратьhttps://en.wikipedia.org/wiki/ATI_Rage_series
Линейка полная, а драйвер r128 (ATI Rage 128). В драйвере нет разделения потому что точно также все драйвера собрали в кучу в линуксе, а может и в шинде тоже. Но ATI Rage II с поддержкой DVD это же не то же самое, что и другие карты. Также была двухголовая карта в 1996 году. Она же одна такая. Не преполагалось наличие связки как SLI. Заодно внизу в статье можешь поглядеть как выглядят кристаллы. Они очень различаются. раз это фактически разные карты, значит фактически они работают по-разному. Значит в драйвер просто добавили описание как работать с похожими, но разными железками. Кому очень нравится вспоминать толстых баранов может и не соглашаться. Но это то же самое, что заявить, что все клавиатуры одинаковые раз они могут работать со стандартным драйвером. Но тем не менее с этим же драйвером работают мультимедийные кнопки. Потому что система понимает как общаться, но драйверов конкретных клавиатур вагоны. Драйвер управляет видеокартой, но если есть хоть малейшее расхождение, то либо не удастяся полностью реализовать возможности видеокарты (помним да про обещания на шейдерных процессорах декодировать видео? А ведь VP9 не требует отчислений и его почему-то даже в последних видеокартах не стали воплощать красные в металле). Так вот драйвер это прога, но не всегда реализующая все возможност и со старым драйвером может не получиться фокус прикручивания нового блоба, раз столько кивков в его сторону. Как бы с таким же успехом можно условно рабочим считать драйвер VESA. А что? Вот крайзис можно на процессоре полностью запускать. Ему и этого хватит.
> Предвосхищая спор насчет того является ли универсальный драйвер
> ...
> много бла-бла, почему все дураки и только один аноним зрит в корень.Короче, примеров "многих"/10 драйверов не будет, будут отмазки вида "как правильно стчитать". Яснопонятно.
То есть их повторно забанили, а они "пообещали, что больше не будут"?
Ничтожества без научной смелости и чувства самоуважения.
А чо так у психдонимуса подгорает-то?
Абыдна. Я похвалил студентов в предыдущей новостии слов назад не беру. Печально, что руководство вуза оказалось УГ.
Здесь нужно разобраться: это могут быть обычные ребята, которые используют научные гранты в своих целях, а могут быть реально полезные спеццы, правда похоже в сообществе никто пока не слышал об их пользе. Пока что мы непонятно что обсуждаем.
АНБ не даст следующий секретный грант лже-исследоватедям
Человека, который угонял автомобили, оправдывался тем, что сел покататься, если его поймали зимой, то он говорил, что залез погреться.Такие дела.
Ну ващет чуваки намекнули на существование проблемы, которая ОЧЕВИДНА.
Просто до этого никто ее и за проблему не считал, т. к. не было вот-этих-чуваков. Теперь пусть думают, бу-го-га!
> т. к. не было вот-этих-чуваковНо это не точно)) Никто же не знает!
Спорим, потом выяснится что вот это "открытое письмо" является новым раундом и этапом в исследовании уязвимости систем рецензирования? Мол, следующая фаза - "попытаться отбрехаться будучи пойманными за руку".
Не было бы никаких "раундов", если бы код, который попадает в ядро, рецензировался бы не абы каким местом.
Зато повестку сменили. И никто уже не обсуждает и не голосует за 1 из 50 писем
Кроме репутации, что им мешает коммитить с любых д
> Кроме репутации, что им мешает коммитить с любых д
>> We submit the three patches using a random Gmail account to the Linux communitythis
Война "авторитетов" - "начальника" основной ветки и "начальника" команды университета. Результат этой "войны" находится вне плоскости полезности для линукса - решаются репутационные проблемы мейнтейнеров и университета. Скорее всего, конфликт потушат или раздуют деньгами.
Причём здесь репутация? Есть огромная зияющая дыра в безопасности,которую надо срочно закрывать, а не истерить на тему "нас подло обманули".
> Причём здесь репутация? Есть огромная зияющая дыра в безопасности,которую надо срочно закрывать, а не истерить на тему "нас подло обманули".Точно, давайте закроем! Но... как?
Пойдёшь волонтёром ревьювить патчи "правильно"?
А то сабжевые "исследователи" почему-то ничего нового не предложили.
Только если они ректором Столлмана сделают!
Вместо того, чтобы молча обтекать и хотя бы пообещать пересмотреть подход к анализу кода, мэйнтейнеры ядра решили устроить истерику.
> Вместо того, чтобы молча обтекать и хотя бы пообещать пересмотреть подход к анализу кода, мэйнтейнеры ядра решили устроить истерику.А как его можно пересмотреть? Предлагайте, чо! А то исследователи что-то ничего толкового не предложили.
>отправил в Университет Миннесоты письмо с изложением конкретных действий, которые нужно предпринять для восстановления доверия к группе.Почему это письмо не открытое? 402 Payment Required?
Нет худа без добра - теперь, вероятно, будет чуть больше паранойи по поводу любых патчей от ранее неизвестных адресов. Но время и нервы потрачены, это да.Ну и если приходится писать такую оправдательную простыню в стиле "вы нас не так поняли" - значит, затея непродуманна с самого начала.
в том и дело что от ранее - известных. От неизвестных и так хрен что принималось, без миллиона поклонов в пол и простирания ниц (да и с ними тоже - ntfs v30 не даст соврать)
> в том и дело что от ранее - известных.Ты тоже слышал только в пересказе? Речь о "специально подготовленных" патчах. Их, в отличие от, принимают намного более охотнее.
>> We submit the three patches using a random Gmail account to the Linux community and seek their feedback—whether the patches look good to them.
>> ...
>> Once a maintainer confirmed our patches, e.g., an email reply indicating “looks good”, we immediately notify the maintainers of the introduced UAF and request them to not go ahead to apply the patch. At the same time, we point out the correct fixing of the bug and provide our correct patch.Ну это если они не врут (хотя немного чревато в публикации).
А так-то у этого доцента куча разных статей-проектов в этом направлении
https://www-users.cs.umn.edu/~kjlu/papers/
> Detecting Kernel Memory Leaks in Specialized Modules with Ownership Reasoning
> Cross-Architecture Testing for Compiler-Introduced Security Bugs
> Detecting Kernel Refcount Bugs with Two-Dimensional Consistency Checking
> Static Detection of Unsafe DMA Accesses in Device Drivers
Всё верно, именно про "случайные учётные записи GMail".В любом случае - может, бардака станет чуть меньше, тоже хорошо.
Статьи, к слову, там довольно интересные.
так забанили не случайные, в том и дело.К случайным и так было максимально предвзятое отношение (просто потому что "не с нашего района", а не потому что что-то подозревали)
Посмотрим, что воспоследует.Мне интереснее всего, опубликуют ли те самые требования к университету. Что за покаяние им там предписали.
Очень подозрительные ребятки
Вот-вот и мы о том же говорим весь тред.
Это как попытаться ограбить банк, и после ареста говорить: "Я просто проверял насколько хорошо работает охрана. Всё из благих побуждений, на благо банка".
если нет ущерба и пострадавших, суд присяжных может оправдать, при условии что за вами не числилось в прошлом других правонарушений, или имеете заслуги перед обществом.
пранки так делаются, и крайне редко там дело доходит до суда, поржут и после будут более бдительными. а вот когда в следующий раз пранкер решится пошутить и охрана при винтаже переломает ему ноги, то будет весело - пойдет ли пранкер со своим "я решил пошутить" в суд, выиграет он его? как говорится, не играйтесь дети с огнем, обожгетесь. и тут опять таки ответственность в большей степени лежит на охране, главное не переборщить, как в случае в америке, удушил коленом правонарушителя, и не смотря на резонанс он там явно переборщил, за что и собственно понес ответственность в виде срока заключения.
> Утверждается, что все из отправленных на повторное рецензирование 190 патчей являются легитимными, исправляют существующие проблемы и не содержат преднамеренных ошибок или скрытых уязвимостей.Будет весело, если что-то найдут.
> Будет весело, если что-то найдут.Уже некоторые понаходили.
Большинство патчей завернули ещё на этапе ревью, и до ядра они не дошли.
Но были и бажные патчи, которые не заметили. Смотри где-то в этом треде: https://lore.kernel.org/lkml/YIgSIoBZ7pW78u2d@kroah.com/
(баги не в смысле уязвимости, просто кривой патч, который делает драйвер неработоспособным)