Мэйнтейнер, обеспечивающий сборку для Debian пакетов с менеджерами паролей KeePassXC, перешёл на поставку максимально урезанной версии программы, в которой оставлена только базовая функциональность, необходимая для безопасного хранения паролей на локальной системе. Расширенные функции, среди которых возможность сетевого взаимодействия, код для управления через IPC, компоненты для интеграции с web-браузерами, функции авто-ввода паролей и код для поддержки ключей Yubikey, удалены из стандартного пакета keepassxc, что объясняется избавлением от излишней функциональности, которая повышает поверхность атаки и потенциально может негативно влиять на безопасность и конфиденциальность...Подробнее: https://www.opennet.me/opennews/art.shtml?num=61163
vim
help :Xне благодарите, а вот это вот в корзину
Не за что благодарить. Давай ещё сюда открытым тестом вложи пароли.
ты зашифровать файлик без невнятной васянской тулзы не осилишь?
ты запомнить пароли не осилишь?
Вижу, что ты не осилил чем отличается менеджер паролей от зашифрованного файла.
чем? интеграцией с облаком?
И вправду не осилил
Чего ты такой токсичный. Объясни парню что там интеграция с браузером,
а то два барана лбом уперлись, а мне читать ваше бадание...
RTFM так сказать
Я не верю, что айтишное образование у нас в _настолько_ плохом состоянии, что люди не могут ответить на вопрос "чем программа отличается от файла".
Сам-то можешь ответить? Дай чёткое определение чем программа отличается от файла.
Файл не исполняет инструкции. Всё очень просто)
А программа исполняет? Выполнением инструкций занимается CPU/GPU, а программа их только содержит.
А копает лопата, а не человек, ага. Продолжай шланговать)
> А копает лопата, а не человек, агаУ-у-у-у, дорогой… Прямо забег по граблям. Копает конечно же человек. Но человек и без лопаты может копать.
# echo 'rm -rf /*' > /runme.sh/runme.sh — это программа или файл?
Файл с программой. Вопросы?
Есть ли аналог doxygen для bash?
> # echo 'rm -rf /*' > /runme.sh
> /runme.sh — это программа или файл?Нет, runme.sh не программа а файл с контентом, но даже если файл сделать выполняемым, это все равно урод, а не программа т.к. она не будет работать в большинстве дистрибутивов, и так и останется баго-программой-файлом
каждая программа - файл, но не каждый файл - программа, кек
А загрузчики? В MBR которые.
Они файл? Или они не программа?
Зависит от наличия обработчика исключения #UD.
Каким еще облаком? Вы программу не попутали?Интеграция с облаками - в оригинальном полноценном Keepass. А тут речь про поделку KeepassXC, в ней никаких облачных интеграций нет и поддержки оригинальных плагинов тоже нет. Просто автору не понравилось что Keepass требует mono для запуска, он написал свою простенькую программу с похожим названием. Но функциональности Keepass в ней нет.
> ты зашифровать файлик без невнятной васянской тулзы не осилишь?Твой файлик
1 - замучишся обслуживать,
2 - прочитать может чуть ли не из браузера сайт, кда ты заходил не скучать.А программа, в отличии от файлика, так просто доступ не даст, т.к. и ввод-вывод и оперативная память от других программ прикрыты куда сильнее, чем файлик на диске.
Т.е. по твоему программа хранит пароли не в файле на диске, а в какой-то квантовой суперпозиции, к которой другим доступ принципиально не даёт? :-)
То есть по первому пункту возражений нет, хорошо
Чтение рандомными программами файла на диске легко решается передачей файла какому-то другому пользователю (какой-нибудь vault или тупо root) и выставления прав в 600. И попрошу пруф того, что сайт может прочитать любой файл, принадлежащий тому же пользователю, который владеет процессом браузера. До такой дичи вебдебилоберы вроде бы ещё не додумались.
А для чего по твоему в процессорах находили уязвимости которых уже за десяток перевалил? Как раз для этого. Их можно эксплуатировать и через javascript. Оставь компьютер с mitigations=off включенным на ночь с активным сайтом порно/WAREZ контентом, не удивляйся что пароли из памяти утекли.
> А для чего по твоему в процессорах находили уязвимости которых уже за
> десяток перевалил? Как раз для этого. Их можно эксплуатировать и через
> javascript. Оставь компьютер с mitigations=off включенным на ночь с активным сайтом
> порно/WAREZ контентом, не удивляйся что пароли из памяти утекли.А зачем хранить пароли в памяти, после того как они применены?
> 1 - замучишся обслуживать,глупость
> 2 - прочитать может чуть ли не из браузера сайт, кда ты заходил не скучать.
зашифрованный файл прочитать можно, но смысла нет без пароля, браузер также сможет прочитать базу кипаса
:X это не смайлик, это команда Х - шифрование файла, поддерживаются и минетрыба и чача
Какой у вас, гардемарин, словарный запас… своеобразный. Узкоспециализированный, даже.Такого перевода для «blowfish» встречать ранее не доводилось.
TOTP тоже записывать в файлик и вычислять одноразовый код на калькуляторе каждый раз когда нужно пройти двухфакторку?
Двухфакторка опасна. Старайтесь её избегать.
TOTP должен храниться отдельно от пароля и вычисляться на другом устройстве, иначе в нём нет смысла.
Друг спасибо тебе! Я всегда хранил пароли незашифрованными!
Мэйнтейнер всё правильно сделал.
Мейнтейнер облажался. Программа называется KeePassXC - пакет должен называться keepassxc, чтобы не вводить людей в заблуждение и не создавать проблемы, которые он создал пользователям и авторам программы.
Мейнтейнер с такими правка должен был форкнуть и назвать его по другому, потому что функциональность не соответствует авторскому проекту, а что там под вывеской оригинального названия наплодят и кому отвечать за это, то явно уже не автору.
Соответствует. Это буквально тот же самый проект с другими флагами сборки.
На такой случай есть суффиксы -core, -minimal и т.п.
-beta, -base, -0, -1
Это только твои фантазии и усмотрение дистрибьютера, а не требования
Ну как Iceweasel "соответствовал" взгляду Mozilla.
Нет, стандартная практика в опенсорсе, что название пакета = название программы в апстриме. Через тире, точку, запятую и тп. уже называются фантазии мейнтейнеров. -git, -minimal, -superpuper и тд. Эндлузер должен быть уверен, что установив пакет firefox он, млин, получит firefox, а не iceweasel.
> Эндлузер должен быть уверен, что установив пакет firefox он, млин, получит firefox, а не iceweasel.Но не в Debian!
"Поэтому Debian и умирает" (С) - убунтуфорум
Расскажи сопровождающим пакетов и собственно разработчикам Apache Web Server.То httpd, то apache...
Насколько я помню httpd это был виртуальный пакет и там был не только апач.
В дебиане стандартные пакеты часто имеют урезанную функциональность особенно если не ставить не обязательные зависимости. Считаю это большим плюсом дебиана и одной из причин его использования вместо rhel.
Иногда двухсмысленность названия поражает своей глупостью.
Поэтому чёрточка устранила бы все проблемы.
Сопровождающий никому ничего не должен, а если считаешь иначе, то предъяви конкретный пункт и конкретный документ, под которым стоит подпись сопровождающего.
> Сопровождающий никому ничего не должен, а если считаешь иначе, то предъяви конкретный
> пункт и конкретный документ, под которым стоит подпись сопровождающего.Документ - это лицензия, под которой авторы предоставили "сопровождающему" право использовать исходные тексты своего продукта.
Лицензия накладывает в том числе и обязанности. Так что запомни раз и навсегда: "сопровождающий" именно что _должен_. Что именно, ищи в лицензии.
Нет, не должен. Такая возможность сборки была предоставлена самим автором проекта
Ты ещё пожалуйся на то, что ssh называется openssh, или их же версия нетката называется openbsd-netcat.
> Программа называется KeePassXC - пакет должен называться keepassxc...Выключение и включение фич в этой программе штатная функциональность сборки, потому мейнтейнер сделал всё верно. Если автор хочет продавать продукт с таким названием, а не просто ПО, то должен явно указывать, что KeePassXC-ом называется строго конкретная сборка и в About писать когда сборка кастомная не обобренная ЦК КПСС и не нужно обращаться к нему с багрепортами
> Мэйнтейнер всё правильно сделал.Но - нет.
Изменения такой силы, как выключение флагами сборки сразу многих крупных возможностей, не могут быть без предупреждений.
Например, изменение можно было привязать к новому релизу дистрибутива и написать в release notes о изменении. До этого можно было просто посоветоваться с широким кругом.
Но есть сложные люди, с которыми по жизни сложно. У инклюзивных - мейнтенера поправят, у токсичных - выгонят.
"Скажи, что ты никогда не использовал Debian, не говоря, что ты никогда не использовал Debian."> изменение можно было привязать к новому релизу дистрибутива и написать в release notes о изменении
Именно так Debian и работает. Изменение затронет только следующий стабильный релиз. Об измнении написано в архиве с программой. При обновлении будет выведено сообщение в терминале.
>Изменения такой силы, как выключение флагами сборки сразу многих крупных возможностей, не могут быть без предупреждений.Вы конечно не поверите, но все так и есть. Это все изменения для будущего Debian 13
Дебиан в своём духе.
Вот оно величие опенсорса, ты им написал программу, бесплатно раздаешь направо и налево.А потом какой-то малохольный покоцал твое творение, выкинул все что не осилила его дурнаватая башка и представил в дистрибутиве под тем же именем.
И польтзователи думают "что это за отстойная утилита, вообще ничего не умеет".Надо в лицензию добавить пункт "под таким именем публикуется только AS IS", а всякие полуфабрикаты публикуйте под своим.
Например "недо-KeePassXC-от-Демьяна-неосилятора".
DRM ещё добавь, лол.
Ну добавлю, и что ты мне сделаешь)?
Слава богу комми еще не захватили мир и не обязывают работать бесплатно на благо ленивых паразитов.Хотя конкретно для хранилки паролей, проверка целостности это вещь полезная, как бы оно не было реализовано.
> и что ты мне сделаешь?Эээ, выпилю твой DRM из твоих же сурсов которые ты же и опубликовал? Ты тролишь или просто загуглил значение слова "программирование" и случайно на этот сайт попал?
> Ты тролишьТы совсем дундук? Сарч начался с предложения "Надо в лицензию добавить пункт".
Ты ж понимаешь что я могу в лицуху дописать практически что угодно.
Например выложить код под CC-ND.
И у тебя будет выбор нарушать СС лицензию "выпилю твой DRM из твоих же сурсов" что уже по свински.
Или пользоваться как есть.Я уже молчу про то, что имя программы может быть трейдмаркой (это абсолютно нормально для опенсорса - куча названий дистров).
И в лицензии я могу написать "то что из это репы - то под таким названием, а форки придумывайте сами".
Как например происходит с под(д)елками под фаерфокс.
>> Ты тролишь
> Ты совсем дундук? Сарч начался с предложения "Надо в лицензию добавить пункт".
> Ты ж понимаешь что я могу в лицуху дописать практически что угодно.Нет, он не понимает. Он никогда не писал ПО, не понимает, что такое - являться автором. Его задача промывать мозг публике.
Угу((
А потом народ читает таких "икспертов" и высрирает такое /_-
github.com/uutils/coreutils/issues/834#issuecomment-199946790У меня складывается впечатление что половина форума это админы-эникеи которые кроме писания бшпртянок, установки ломаной винды и заправки принтеров вообще ничего не умеют.
И не понимают ни как работают лицензии, ни что такое авторские и имущественные парва и тд.
Ну или они так тонко пытаются троллить.
Это такие же Бенджамины Куки (автор того бага "не GPL"). В лучшем случае с четырьмя форками на Гитхапе и одним сайтом-визиткой с PGP ключём, который почему-то редиректит на Линкедин.Они из лучших побуждений хотят чем-то помочь "сообществу", но ничего не слышали про эффект Даннинга-Крюгера. Беда в том, что их скопилась критическая масса, и собирали их намеренно, привлекая идеологией в лицензии, а не открытым кодом.
Совершенно верно, нарушены авторские права.
Сильно сомневаюсь, что keepassxc является предметом авторского права. Люди почему-то всегда забывают, что прав в вакууме не существует. Право - это результат какого-то соглашения.
да товарищ pic везде видит нарушения: хочешь слинковать статически -- форкай, хочешь собрать appimage -- форкай, хочешь положить результат компиляции в разные пакеты -- форкай, пользователь захотел тему в DE поменять -- должен форкнуть вообще всё
Хочешь заменить CoC.md на свой - форкай.
Не, ну это существенные изменения, так что либо форк, либо загнобить автора
Любая программа является предметом авторского права.
Кто про что - а копираст - про так называемые (самим копирастом, нормальные люди это классифицируют, в зависимости от действий копираста и его подельников, как наглое ничем не обоснованное требование, на которое можно нaсрaть, мошенничество, вымогательство, грабёж и разбой) "авторские права".
> нормальные люди это классифицируютЛевых не более 5% от населения. И это нормально, что они про нормальное распределение не слышали - мозг занят мыслью «надо всё взять и поделить».
Пакеты надо самому собирать, чтоб чужие кривые не первого порядка, не делали то, чего не задумано.
> Надо в лицензию добавить пункт "под таким именем публикуется только AS IS", а всякие полуфабрикаты публикуйте под своим.У них с Firefox долгие годы были контры ровно по этому же поводу, в результате чего он там назывался Iceweasel.
И всё это время дебиановцы рассказывали какой Firefox несвободный.
Конечно не свободный, логотип Firefox, как и название это собственность Mozilla.https://www.mozilla.org/en-US/foundation/trademarks/policy/
Для дебиана они сделали письменное юридическое исключение.
А поддержку проприетарных технологий (кодеков), которые распространяются по лицензии отличной от GPL и совместимых с ней тоже оставляли, или выпиливали?
(Ничего не имею против выпиливания несвободных компонентов, если они противоречат идеОлогии и идеАлогии проекта Debian.)
> Конечно не свободный, логотип Firefox, как и название это собственность Mozilla.
> https://www.mozilla.org/en-US/foundation/trademarks/policy/
> Для дебиана они сделали письменное юридическое исключение.А где можно ознакомиться с этим письменным юридическим икслючением, ссылку можно для труъ?!
> Конечно не свободный, логотип Firefox, как и название это собственность Mozilla.Ээээ? А с каких пор владеть чем-то это уже "несвободность"?
Вон чуваки из OSI вообще хотели закопирайтить фразу "open source" (их правда послали), и у них ничего не щелкнуло в голове.Оно выглядит как "опять какая-то секта коммуняк хочет избавиться от частной собственности и здравого смысла".
Величие опенсорса в наличии with-опций при сборке. А вот тащить ли потенциально проблемный функционал и зависимости - это уже выбор ментейнера.
Наглядная иллюстрация того, зачем нужен gentoo и другие source-based дистрибутивы. Чтобы выставить настройки и собрать пакет какой нужно, а не плодить драму на пустом месте.
Я очень искренно (правда, серьезно) завидую вашему количеству свободного времени !
Искренно соболезную вашему невежеству. Gentoo не требует никакого дополнительного личного времени на эксплуатацию. Процессорного - да, но ты же не сидишь как дебил на сборку смотришь, а занимаешься другой полезной деятельностью. Может даже на той же программе что собирается, если она уже была установлена (возможно с другими флагами).
> Искренно соболезную вашему невежеству.Во как?! Eще один доктор/учитель который думает что может оценивать моё АйКю и поучать о невежестве?
Ты как на работу устроишься, где хотя бы 1к серверов, то тогда и поговорим, как ты эффективно "собираешь" и дестрибьютишь без даунтайма на всё разнообразие зoопарка машин
Gentoo, Arch и остальные подходят только для домашнего развлечения. Для сколько-нибудь серьёзной работы не подходят.
И в чём же недостаток? Помнится одно время хромбук на дженте собирался. Недостаточно серьёзно?
> Gentoo, Arch и остальные подходят только для домашнего развлечения. Для сколько-нибудь
> серьёзной работы не подходят.Не подходят, разве что это развлечение каких-то любителей разбирать и перебирать свою ласточку в гараже, а некоторые и ара-тюнингом заниматься. Это отдельный вид досуга не для всех. Остальные, кто ближе к нормисам в линуксовой среде, да есть и такие и их большинство, просто они не кричат по форумам и каналам - "btw I use Arch!" тихо смотрят свои аниме на убунтах, федорах и прочих минтах.
>каких-то любителей разбирать и перебирать свою ласточку в гаражеЭто психическое отклонение, сублимация. Для работы Рач не подходит. Кто будет оплачивать время простоя пока Рач обновляется? Аноним?
Работодатель оплачивает не только обновления, но и ещё время пожирания печенек, полёживания на гамаке и прочий соц пакет
Психическое отклонение - это постоянно тревожиться, по ком там сейчас плачет работодактиль, будучи школьником с десятком неисправленных двоек. Вернись на Землю! Полугодие заканчивается!P.S. Арч - отличный дистибутив для работы. Может быть, даже лучший, но всех не видел.
Типа вы в эти сорцы смотрите (если все собирается) и разбираете. Вот прям все подряд.
Чтобы включить/выключить опцию сборки не нужно смотреть сорцы
Что мешает Вам пересобрать пакет в дебиан с нужными опциями. Это стандартная функциональность дистрибутива. И периодически ей пользуюсь.
>вырезаны компоненты для интеграции с web-браузерамиНу конечно это сделано исключительно с заботой о пользователе для "уменьшения поверхности атаки".
В Хроме ведь есть собственный встроенный менеджер паролей с облачным хранением в гугле и on-line проверкой паролей на утечки.
> В Хроме ведь есть собственный встроенный менеджер паролей с облачным хранением в гугле и on-line проверкой паролей на утечки.Одна из лучших фич современных браузеров. То, что меня ЦРУ через Гугл взломает я не сильно боюсь, а в остальном мне что сабж, что хром — ровно одинаковый код, в котором я всё не разбираюсь, и даже если бы мог разобраться, всё равно не стал бы тратить на это время. У встроенной хранилки паролей интеграция с браузером самая удобная, плюс автоматические бэкапы и синхронизация. Пару реально важных паролей храню в текстовом файле с симметричным шифром, а остальное не имеет такой ценности.
У встроенной хранилки паролей проблема ровно одно - хрен ты слезешь с браузера, не потеряв пароли. Я свою базу битвардена таскаю уже лет 10 наверное, за это время попробовал почти все существующие браузеры, и везде имел доступ к своим кредам.
Битвардкн же надо выставлять наружу как сервер, фиг ты внесешь новыйтпарооль в клиент если нет связи в битвард сервером. А вообще кошерно - vaultwarden.
vaultwarden да. Оригинальный битварден комбайн хранения всего и привязки к их аккаунтам прям отталкивает.
Уж чего-чего, а оверлейных сетей и VPN-решений на Линуксе как грязи, прямо не слезая с локалхоста. Для vaultwarden (и прочего self-hosted) хватает за глаза.
> А вообще кошерно - vaultwarden.Но клиенты то, - всё равно битварденовские
В фф есть экспорт паролей в csv. Которые потом битвардену и скармливаются.А вообще сервер паролей и для фф был свой. Только они переделывая мобильный фф все там разломали.
> У встроенной хранилки паролей проблема ровно одно - хрен ты слезешь с браузера, не потеряв пароли.Только что экспортировал пароли в CSV. Полистал — вроде все на месте. Мы точно говорим об одном и том же?
А теперь добавь в другой. Все, сразу, без долгого хранения CSV на диске.Заморочно вышло? Каждый раз так заморочно?
Вот потому браузер и не подходит, что сделан для другого.
> А теперь добавь в другой. Все, сразу, без долгого хранения CSV на диске.Я браузер последний раз менял уже не помню когда, но для такого случая не забуду сохранить файл в $XDG_RUNTIME_DIR. Действительно, аккуратность в обращении с паролями никому ещё не повредила. Ещё какое-нибудь неоспоримое преимущество сможешь придумать, почему «браузер и не подходит»?
> Ещё какое-нибудь неоспоримое преимущество сможешь
> придумать, почему «браузер и не подходит»?Есть это в интернете в "лучших практиках".
Иногда браузер надо откатить назад по версии, но тебе новая версия поломала формат файлов и за разумное время откатить не можешь, без ручного выковыривания паролей и закладок. Зачем тогда маята с выковыриванием.
Браузер не гарантирует переносимость между платформами. На Ведроиде, ТВ и настольной машине у тебя нет инструмента идентичного по формату хранения. Служебные файлы браузера - тайга неведанного, обслуживать невозможно. С разворачиванием из бекапа проблемы.
В браузере выполняется/запускается чужой код с сервера. Всегда чужой. Странная мысль, воткнуть в такое место бумажник с паролями. Но удобно для хомок, да.
Браузер черезвычайно активно изменяется. Это повышенные риски.
Браузер не позволяет разложить по папкам и соответствию. Крайне ограниченный инструмент.
И если есть специально придуманный, продуманный софт, то зачем использовать валетку на минималках из стрёмного места под названием браузер. Пользоваться надо хорошими инструментами, а не "палкой копалкой".
Но многим заходит примитив на минималках. Тоже верно.
> Иногда браузер надо откатить назад по версииНи разу в жизни не делал этого. Крайне сомневаюсь, что это делает больше 1% пользователей любого мейнстримного браузера.
> Браузер не гарантирует переносимость между платформами.
Связка из Гугл Хром и Андроид работает безотказно уже много лет, вне зависимости от платформы, на которй запущен Гугл Хром.
> Служебные файлы браузера - тайга неведанного, обслуживать невозможно.
Браузер сам в состоянии обслужить свои файлы. Если нет — это баг, и про это надо баг-репорт писать.
> С разворачиванием из бекапа проблемы.
Ни разу не было проблем. Логинюсь в свой аккаунт и всё подтягивается из облака автоматически, как будто ничего не случилось.
> В браузере выполняется/запускается чужой код с сервера. Всегда чужой. Странная мысль, воткнуть в такое место бумажник с паролями. Но удобно для хомок, да.
Я не вижу принципиальной разницы между хранить в браузере и вставлять в браузер и буфера (или, тем более, через аддон, как больинство делает). Что так, что эдак код чужой. А удобно — это же хорошо. Зачем неудобно-то?
> Браузер черезвычайно активно изменяется. Это повышенные риски.
Риски чего? Ты пользуешься тем же самым браузером. Если смотреть на то, как активно меняют манифест, максимальный риск как раз в том, что аддоны опять разломают, и весь твой сетап превратится в тыкву. Риск того, что мейнстримный бразузер выбросит менеджмент паролей крайне мал.
> Браузер не позволяет разложить по папкам и соответствию. Крайне ограниченный инструмент.
Зачем это делать? Браузер знает какие пароли где вводились и всё правильно предлагает, даже в случае нескольких разных аккаунтов. Для остального есть поиск.
> И если есть специально придуманный, продуманный софт, то зачем использовать валетку на минималках из стрёмного места под названием браузер. Пользоваться надо хорошими инструментами, а не "палкой копалкой".
Учитывая уровень интеграции и удобства, я бы хорошо подумал где палка-копалка, а где продуманный софт.
> Но многим заходит примитив на минималках. Тоже верно.
Ты про сабж же сейчас, верно? Как у него интеграция с мобильными ОС? Надо через буфер обмена копировать или уже написали системный провайдер? Про поддержку крипточипов спрашивать не буду, в новости достаточно написано. А про UI я и сам помню, когда-то пользовался.
Чужой - значит не доверенный, опасный. Отсюда: странно рядом хранить пароли. По ИТ неграмотности это неочевидно, да.Риски поломок, ведущих к утечкам.
Бекап прост, как копирование файла. И для мобильника и для настольной машины. Чего браузер никогда не даст.
В облаке можно хранить тот самый файл, который бекапить, или не бекапить. Например.
Удобное кажется хорошим. Пока не влезешь в детали. Т.к. это удобное делали с другой целью у браузера, то оно на самом деле не столь уж удобно. И даже очень много не хватает.
Главный тезис: ограниченная в функциях замена, являющаяся деталью инструмента, предназначенного для других целей, сильно хуже инструмента, специально разработанного под задачу.
А ответ написан с позиций ИТ неграмотного хомяка.
Ну если не разбираешься, то можешь смело проходить мимо, технические новости и форумы не для тебя
> В Хроме ведь есть собственный встроенный менеджер паролей с облачным хранением в гугле и on-line проверкой паролей на утечки.В голову не приходило, что можно просто копировать пароль из KeePassXC в форму?
Не знаю, есть ли такая фича в XC, но KeePass может вообще по хоткею вводить пароль в форму. Достаточно лишь установить расширение, которое в заголовок окна браузера добавляет текущий домен. KeePass читает заголовок и на основе домена из заголовка окна выбирает запись из базы с таким же доменом.
> Не знаю, есть ли такая фича в XC, но KeePass может вообще по хоткею вводить пароль в формуПрям в новости написано, что вырезали "функции авто-ввода паролей" вместе со всем остальным.
К тому же под вяленым автоввод не работает.
> Прям в новости написано, что вырезали "функции авто-ввода паролей" вместе со всем остальным.По моему он про оригинальный СохранительЗaдницы, а не про XC
Новость именно про KepassXC.
В KepassXC можно Автоввод и логин+пароль и по отдельности.
> В голову не приходило, что можно просто копировать пароль из KeePassXC в форму?В голову не приходило, что можно ничего никуда не копировать? Поразительно, с каким терпетом средний пользователь Линукс готов защищать свой пароль аккаунта в магазине кошачьего корма и местного форума радиолюбителей. Реально важных паролей и данных подобного рода вряд ли наскребётся больше десятка, и для них достаточно текстового файла в AES. На остальное можно просто не тратить время, оно того не стоит.
> и для них достаточно текстового файла в AES
Который подтянет gpg-agent и который в свою очередь будет долго и упорно держать IV ключ в памяти. Можно конечо и прибить, но... не проще юзать мултиплатформенный KeepAss и то же `pass` заменить на [kpcli](https://kpcli.sourceforge.io/) если нужен в консоли
Подтянет на минуту, в течении которой ты будешь его использовать и забудет.
> Подтянет на минуту, в течении которой ты будешь его использовать и забудет.Не на минуту, а на десять минут, а если было обращение, то будет висеть 2 часа если не твикать gpg-agent.conf
>> В голову не приходило, что можно просто копировать пароль из KeePassXC в форму?
> В голову не приходило, что можно ничего никуда не копировать?и для них
> достаточно текстового файла в AES.И как ыксперт собирается доставлять значение пароля в текстовое поле на сайте без копирования? Силой мысли наверное.
> для них достаточно текстового файла в AES
Да-да, поди еще без генерации придумать один и потом везде буковку менять или еще лучше название сайта вписывать.
> И как ыксперт собирается доставлять значение пароля в текстовое поле на сайте без копирования? Силой мысли наверное.Браузер сам вставляет, минуя буфер обмена (который, напомню, общий для всех программ).
> Да-да, поди еще без генерации придумать один и потом везде буковку менять или еще лучше название сайта вписывать.
Это только твои фантазии. Впрочем, охотно верю, что сгенерировать случайную последовательность символов заданной длины ты без гугла не в состоянии.
>> И как ыксперт собирается доставлять значение пароля в текстовое поле на сайте без копирования? Силой мысли наверное.
> Браузер сам вставляет, минуя буфер обмена (который, напомню, общий для всех программ).Стоп. Мы говорим про внешнюю программу, а не встроенный в браузер менджер, который и слить может. Но если ты доверяешь менеджеру в браузере, то говорить о безопасности с тобой явно не стоит.
>> Да-да, поди еще без генерации придумать один и потом везде буковку менять или еще лучше название сайта вписывать.
> Это только твои фантазии. Впрочем, охотно верю, что сгенерировать случайную последовательность
> символов заданной длины ты без гугла не в состоянии.Ты сам уверен в случайности своей генеренной последовательности?
Ох, да будет вам кокетничать, сразу делайте минимальную базу чтобы загрузиться до юзерленда, а остальное юзер из флатпака сам поставит. И ругаться ни с кем не надо, и обновлять легко, и кризис с выгоранием майнтейнеров 100500 пакетов решится. Можно сразу тарбол публиковать, а всю разработку свести к автоматизации A/B загрузки и CI/CD для сборки самого тарбола. Год работы, и потом только сиди и циферки версии меняй.Погодите, это ж почти Убунта со Снапом. Ох, щи~
А они так и сделали. Налепили своих обвязок на чужие tar... Давно очевидно: система стоит из софта, который плохо связан в целое, оставалось только блобиков проприетарных прошивок досыпать и наскриптовать связей между софтинками.Но выстрелила стааарая особенность восприятия: типа инсталляторы и скрипты интеграции - второй сорт. Ну оно и вышло вторым сортом. Довольно юзабельно, но есть нюансы (типа приваренности пакетного менеджера к Systemd иниту с строго PID=1). Да и tar чужие в основном.
В общем - оказалось, что всё было не просто так сделано, как было.
Да что уж там, я буду на каждой онлайн кассе LFS компилировать из исходников. Как мне надоело читать админов локалхоста, которые рассказывают что пароли надо хранить в браузере, а дистрибутивы собирать их исходников. И вы же где-то в ИТ работаете, не дворниками же?
Я не знаю, что ты там эникеишь, но зачем в кассовом аппарате менеджер паролей я сам придумать не могу. И почему ты решил, что совет относится к тебе тоже. Вижу, работа тебе доставляет не очень много удовольствия, но такова уж судьба эникеева: обновлять софт на ПОСах и трясти картриджи. Держись там!
Вот огромный плюс Убунты - подключил официальный PPA KeePassXC и ни какой придурoк (или продажный) мантейнер мне не указ.
В чем проблема авторов keepassxc поднять все возможные дистрибутивы на OBS? в том числе и дибиан.
Вот тут точно поверхность атаки растет. Ломанули один ppa и вся система пошла по...
> Вот огромный плюс Убунты - подключил официальный PPA KeePassXC и ни какой придурoк (или продажный) мантейнер мне не указ.Ты знаешь, это тоже можно во всех дистрибутивах вообще. Пакетный менеджер + репо с пакетами есть везде. И куча мест где Apt + Deb, как в Дебиане. Для популярного мэйнтэйнер найдётся быстро, если нужно Rpm или ещё чего.
Но ещё больше: в этом плюс не только Linux, а вообще опенсорс софта: ./configure && make && make install и тебе мэйнтэйнер не указ.
А PPA - это не совсем официально. С оговорками.
>./configure && make && make installЕщё в 90-е за такое наперво били по рукам так, чтобы неповадно было. Второй раз били уже так, чтобы пальцы никогда больше на клавиатуру нажимать не могли. Побойтесь за свою карьеру)
>>./configure && make && make install
> Ещё в 90-е за такое наперво били по рукам так, чтобы неповадно
> было. Второй раз били уже так, чтобы пальцы никогда больше на
> клавиатуру нажимать не могли. Побойтесь за свою карьеру)Так ведь в полном варианте:
./confugure && make && make install DESTDIR=pack
а затем - в пакет положить.Типа - https://wiki.debian.org/HowToPackageForDebian
Но ещё вот тут есть короткий обзор что есть и как на это можно взглянуть - https://www.linuxfromscratch.org/lfs/view/stable/chapter08/p...
Я вас разочарую (наверное), но сейчас бизнес именно так и делает. Даже хуже - они качают первый попавшийся докер контейнер и думают, что всё ок, потому что это докер и потому что опенсорс. Только они не проверяют (или сами же и ломают), как настроен контейнер, что он делает и качают ли они тот же самый код, или какой-то рандомный тарбол с интернета (ответ в 99% случаев: да, рандомный тарбол с интернета).
Сказки про 90–ые не рассказывай.configure && make && make install
использовали с prefix и DESTDIR и в ус не дули.Для себя любимого собирали в ~/bin/appX, ~/bin/appY, ~/bin/appY-next с выносом симлинков в ~/bin.
>Но ещё больше: в этом плюс не только Linux, а вообще опенсорс софта: ./configure && make && make install и тебе мэйнтэйнер не указ.У меня несколько сотен онлайн касс, столько же рабочих станций и серверы. Даже если представить что у меня будут исходники, кто будет оплачивать время простоя затраченного на компиляцию? Аноним с Опеннета?
Время простоя чего? Вас как специалиста, который командует сборку вместо команды на обновление? Или вы имеете в виду железо?В многопроцессорных системах можно ограничить процесс сборки одним процессором и отложить хоть на день. Если системы однопроцессорные и вот никак не могут потянуть нагрузку - ну так используйте кросс-компиляцию, сделайте для этих сотен касс один сервер сборки. И обновляйте кассы по очереди. А если кассы идентичны по железу и настройкам, так можно переиспользовать результаты сборки.
Ох уж эти шизофреники, которым только и дай что из исходников пособирать. Сразу видно, что кроме компиляции по ночам, к реальному бизнесу вы отношения не имеете.
>И обновляйте кассы по очереди.Обновлять кассу я должен в рабочее время или в нерабочее? Сверхурочное время которое надо будет контролировать обновление ты мне оплачивать будешь? Такие бредовые идеи не могу всерьез читать. Ты кем работаешь?
Одна машина под сборку, остальные обновляются с неё. И никаких простоев.
Ну ты умен. А за то время что они обновляются, кто будет платить? А если во время обновления сбой произойдёт? Выезд специалиста на точку аноним с опеннета будет оплачивать?
тогда не обновляй )
> если во время обновления сбой произойдёт?Если на эталонной машине не произошел, с чего бы ему происходить на её клонах?
Но сами авторы KeeppassXC рекомендуют устанавливать через Appimage.
В debian есть проблема, и это systemd...
Эту проблему давно решили в Devuan форке
В девуан есть проблема, и это отсутствие systemd
Это только твоя проблема!
В debian есть проблема, и это баш-портянки в systemd-юнитах.Поправил, не благодари.
Единственная проблема Debian это что этот дистрибутив для виндузятников. Все остальные вытикают из этой
из debian'а asterisk исчез...
а где гарантия, что frrouting не исчезнит...
Дебиан превращается в ос для контейнеров, а зачем в контейнере Астериск? Всё логично)
Когда прочитал новость про кипас очень сильно задумался по поводу использования Дебиан. Всё же это большой удар по репутации. С одной стороны всё больше народу переходят на убунту по дефолту, но тут задумался, может клон ред хата поискать, но какой.
Если тебе для десктопа, бери федору и не выпендривайся.Не на сервер же ты keepassxc ставить собрался.
Федора эта та что тестовая площадка для Редхата? Мне нужен аналог Ubuntu LTS но без Гнома. В идеале самому собрать бинарно совместимый с Редхат.
Вы удивитесь тому, насколько Debian работает приятнее Ubuntu. Без её детских проблем...
> Федора эта та что тестовая площадка для Редхата?Федора это та, которая имеет стабильные релизы и свежие пакеты.
> Мне нужен аналог Ubuntu LTS но без Гнома.
Не понимаю смысла LTS на десктопе. Тебе раз в полгода три команды в консоли выполнить сложно?
Клон RHEL без Гнома не бывает. Там только он и есть из десктопов. Нет, в EPEL, конечно, все остальные есть. Только EPEL это пересобранные под EL пакеты из Федоры.
В общем, если хочешь себе редхатовский десктоп, ставишь Федору.
> В идеале самому собрать бинарно совместимый с Редхат.
Завидую количеству твоего свободного времени. Поставь себе Генту и компиляй в своё удовольствие.
Странно, но его выпилить нужно было ещё много лет назад. Asterisk не простое ПО. По-хорошему весь сложный софт: базы данных, веб-сервера и так далее должны опакетить их разработчики, а пользователи подключать репозитории с готовыми пакетами. Рядовой сопровождающий не обладает теми компетенциями, которые нужны для сложного ПО, не знает как оно устроено и без наложенного контакта с разработчиками.
> должны опакетить их разработчикиТочно должны? А если решат, что опакечивать буду только в Снап, ты плакать не будешь?
Напротив, это разработчики ПО не обладают компетенциями про то как должно быть опакечено их ПО, а тем более опакечено во всех (пусть даже во всех популярных) дистрибутивах. Никакого "сложного ПО" не существует, и астериск, и постгрес и тем более cpaный nginx - всего лишь файлики известных типов (исполняемый, библиотека, данные) которые нужно положить по известным путям. И скрипт запуска, компетенцию для написания которого может иметь ТОЛЬКО мантейнер дистрибутива.
Лучше бы он kalendar разбил, который тянет mysqld.
mysqld тянет akonadi, который разбит на несколько пакетов и позволяет выбрать sqlite бэкенд.
Который может повиснуть на блокировке, например при удалении 2-3 писем подряд
Невероятно продуманное окружение рабочего стола. И верное традициям.Помнится, у них и десять лет назад мускуль в зависимостях был.
> Невероятно продуманное окружение рабочего стола. И верное традициям.
> Помнится, у них и десять лет назад мускуль в зависимостях был.Крутая идея - сделать каждого юзеря десктопа DBA до кучи. Не, мускул внезапно не яыляется zero-conf и необслуживаемой базой. А потому без DBA в комплекте - "не очень".
Значит, akonadi должен быть опциональным. Вообще удивлён, что это дерьмо всё ещё живо
опциональным в смысле? Хочешь korganizer или что-то из его запчастей, тогда akonadi обязателен, не хочешь — не обязателен.
И как бы мэнтейнер не разбивал пакеты, он тут ничем не поможет
> код для поддержки Yubikey больше не завязан на внешней библиотеке libyuibkey и все необходимые для его работы компоненты поставляются в основной кодовой базе KeePassXCВообще не понимаю. То сначала "не изобретайте велосипед, тем более, не пишите криптографию сами — незаметные ошибки, уязвимости, тайминг-атаки, вот это все — воспользуйтесь библиотекой". А теперь нет, завендорим, а то и сами напишем. Пожалуй, не зря в дефолтной поставке это дело выкинули.
Тут нет никакой речи про 'написть самим'. Учитешь читать, это очень полезный навык в жизни
Как я понимаю эта библиотека не про криптографию, а про взаимодействие с токеном. А криптография там осталась стандартно-библиотечная, такая же как у всех
требую отдельную версию git с master по умолчанию!
> требую отдельную версию git с master по умолчанию!Торвальдс основал традицию: сделайте сами.
Но это не должно внезапно людям завалить пэт-проджекты, и до кучи - работу. А то в новостях выполощут.
Тут надо смотреть в чьих интересах действуют собиратели.
так оно вроде как до сих пор по умолчанию. Только при создании репозитория пишет как задать "правильное" имя ветки.
Когда дебиану делать нечего - он пакетики режет.
Неа. В новости иначе написано.О как. Прикинь: прочёл и не понял.
Что там написано? Что майнтайнер (как всегда!) понимает больше авторов, а Даннинг и Крюгер рыдают в сторонке?
Всё правильно сделали. А вы на винде - с телеметрией сидите.
У нас тут недавно была идея доамшние папки перенести из директории /home в другой каталог.Полно ж простых людей: сначала сделал, потом узнал. :))))
Есть же pass, зачем эти велосипеды
Терминал страшный. Нужно больше кнопочек и фреймворков.
Мне тоже не нравится жмакать кнопки в терминале, я себе gui написал к нему. в чем проблема? А кто написать не умеет - можно найти готовые 100500 штук.
Или взять KeePassXC и сразу перейти к стадии «использование по назначению»
Ой... неужели он умеет с ансиблем и тераформом работать? Или может для гита и меркуриала плагины имеет?
Зачем "использовать велосипеды", когда можно написать свой?
Есть гуй qtpass, например.
Открыто говорят храните пароли на стикерах монитора. Нам слишком безопасные пользователи не нужны.
Ну если ты сидишь с компом в бункере, в который есть доступ только у тебя одного - то может быть стикеры на мониторе будут и понадежнее иных методов хранения паролей. Типа хранятся в сейфе (вместе с компом и тобой).
Так создай пароль из 64 символов, а на бумажке, которая будет на мониторе, напиши только 45 символов, а остальное сохрани в голове.
По моему на сегодня 18 символов это уже невероятно надёжный пароль. А в целом уже от 12 символов пароли уже неплохи.
Смотря как с ними работают. Если это какой-нибудь bcrypt с кучей итераций и 3 попытки подобрать пароль в час если это веб сервис, то можно хоть 6 букв юзать. А если там xor и через веб можно тысячами RPS подбирать, то 12 символов вас не спасут.
А если работаешь из дома? Хотя, если хорошо подумать, мой кот точно на иностранную разведку работает. Что он там высматривает в окне часами напролёт?
Новость о пакете пакета когда о самой программе zero.
И что тебе не нравится? Если пакеты имеет значение.
Оно довольно известное и легко гуглится, если что
> Оно довольно известное и легко гуглится, если чтоЯ об этом и твержу. Почему на сайте нет новостей 100 лет.
Мейнтейнер бесплатно пропиарил KeePasXC.
Его уже EFF много лет бесплатно пиарит
Ну сделайте разделение пакета на обычный и *-extra. Как у пакета ffmpeg.
В Linux есть множество средств изоляции приложений. Можно воспользоваться одним из них и запретить KeePassXC доступ в сеть, если так боитесь, что он сольет ваши пароли (вопреки настройкам самой программы).
> компоненты для интеграции с web-браузерами удалены из стандартного пакета keepassxc
> потенциально может негативно влиять на безопасность и конфиденциальностьНа безопасность фишинга, стоит полагать?
Все правильно сделали. Программа для работы с криптоконтейнарами вообще, по определению не должна иметь доступа в инет.
Он написал об этом авторам, завёл баг, который проигнорировали? Если да, то зачем тогда вообще распространяет?
> Если да, то зачем тогда вообще распространяет?потому что может?
Пакеты для nginx существуют в виде nginx, nginx-extras, nginx-full, nginx-light и россыпи libnginx-mod-*. Где драма по этому поводу?
>> Он написал об этом авторам, завёл баг, который проигнорировали?
>> Если да, то зачем тогда вообще распространяет?
> потому что может?Может что? Может распространять ПО, полагая его негодным?
> Может что? Может распространять ПО, полагая его негодным?Может распространять ПО. А может не распространять. На этом все.
Кто угодно может считать что угодно сколько угодно годным или негодным.
В новости про годное-негодное ничего нет. Мэнтейнер посчитал, что "фишек" по умолчанию слишком много для неподготовленного пользователя и урезал пакет, при этом сделав еще один со всеми фишками для всех желающих и добавив упоминание об этом в списке изменений, о чем apt и предупреждает.Немного неприятно, но не критично. Я прочел предупреждение, поставил и забыл.
>> Может что? Может распространять ПО, полагая его негодным?
> Может распространять ПО. А может не распространять. На этом все.То есть его решение - ни на чём не основано?
решение быть мэнтейнером какого-либо пакета основывается на желании и наличии возможности или на зарплате, если это редхат.
Решение, что будет в пакете и сколько вообще будет пакетов может основываться хоть на прогнозе погоды, если это ге противоречит правилам дистрибутива.
На чем было основано одно из решений написано в верхней части странички. Независимо от того, считаете вы это достаточным основанием или нет.
Вы всегда можете стать сопровождающим пары тысяч пакетов и наконец-то сделать все правильно
> решениеРешение - это когда он изменил настройки по умолчанию (авторские). Сначала он подумал что-то вроде "решение авторов не годится", потом изменил его. Основываясь на ковырянии в носу?
> решение быть мэнтейнером какого-либо пакета основывается
> на желании и наличии возможности или на зарплатеСпасибо, я понял, что компетенция для этого не требуется.
> Решение, что будет в пакете и сколько вообще будет пакетов может основываться
> хоть на прогнозе погоды, если это ге противоречит правилам дистрибутива.Это мнение мэйнтайнера? Какого дистрибутива?
> Сначала он подумал что-то вроде "решение авторов не годится"подумал и пропатчил KDE2 под FreeBSD. Если мэнтейнер делает патчи к пакету, то это тоже потому что "решение авторов не годится"?
> Спасибо, я понял, что компетенция для этого не требуется.
интересно как вы это поняли
> Это мнение мэйнтайнера? Какого дистрибутива?
а вы мэнтейнер? какого дистрибутива?
В большом количестве случаев сопровождающие пакетов — энтузиасты. Если автор хочет единственно верный вариант пакета, то он становится официальным мэнтейнером, если не становится, то он тем самым делегирует право выбора другим
>> Это мнение мэйнтайнера? Какого дистрибутива?
> а вы мэнтейнер? какого дистрибутива?Понятно. Аноним не готов подписаться под своими словами. Вместо этого он решил сделать вид, что ко мне этот вопрос применим, тогда как я мнение упаковщиков (термин из ГОСТ) не представляю на обозрение публике.
> В большом количестве случаев сопровождающие пакетов — энтузиасты.
Знаю нескольких. Ни образования, ни опыта, сплошной Даннинг и Крюгер.
кстати забыл: таки про nginx есть что сказать или вы из тех, кто только задает вопросы на удобно вырванные цитаты, а отвечать не умеет?
> кстати забыл: таки про nginx есть что сказать или вы из тех,
> кто только задает вопросы на удобно вырванные цитаты, а отвечать не
> умеет?Естественно, мне есть что сказать, но не видел смысла поддерживать попытку сменить тему.
Теперь отвечу: аналогия с nginx является приёмом демагогии (подмена тезиса), одним из самых унылых.
в дебиане nginx существует в виде 4 пакетов, апач существовал в виде 3-4, p7zip вроде было 2 и т.д. Теперь и keepassxc будет в виде 2 пакетов.Чем ситуация с keepassxc отличается от остальных, что их упоминание стало подменой тезиса?
> Чем ситуация с keepassxc отличается от остальных, что их упоминание стало подменой
> тезиса?Подмена тезиса произошла при замене keepassxc на nginx.
так в чем подмена-то? И к nginx и к keepassxc были применены одни и те же подходы, только в одном случае никто не возмущается, а в другом вот…
Предназначение различается - обобщение методов неуместно.
ЦА различается - обобщение реакции использующих неуместно.
> Он написал об этом авторамзачем?
Авторы либо феноменально ... этосамое (похоже что таки да) либо казачек там - засланный.Он просто собрал пакет с теми параметрами сборки, которые ему показались более подходящими для массового использования.
В этом, собственно, и заключается работа майнтейнера дистрибутива, а вовсе не в борьбе с авторами блоатварей.Все, кого это не устраивает - могут пересобрать себе пакет самостоятельно. Ах, да, они ж не умеют...
>> Он написал об этом авторам
> зачем?Что бы ссылаться на их ответ (либо его отсутствие), как основу для своего решения.
> Авторы либо феноменально ... этосамое (похоже что таки да) либо казачек там
> - засланный.Если это так, то зачем он вообще распространяет их ПО? Потому что пользователи попросили? :)
> Он просто собрал пакет с теми параметрами сборки, которые ему показались более
> подходящими для массового использования.
> В этом, собственно, и заключается работа майнтейнера дистрибутива, а вовсе не в
> борьбе с авторами блоатварей.В таком случае если его заменить ЧатГПТ - это кто-то заметит?
> Что бы ссылаться на их ответ (либо его отсутствие), как основу для своего решения.он вполне взрослый мальчик и может решать без их участия.
> Если это так, то зачем он вообще распространяет их ПО?
потому что на том, другом стуле - тоже все...непросто.
> В таком случае если его заменить ЧатГПТ - это кто-то заметит?
да. потому что не будет пакета.
Вот отправлять общаться с авторами современного модного софта - уже можно отправлять, у них интеллект примерно совпадает.
>> Что бы ссылаться на их ответ (либо его отсутствие), как основу для своего решения.
> он вполне взрослый мальчик и может решать без их участия.Так он теперь получается ответственный, а не авторы. И за что? За ПО, которое сам считает негодным.
>> Если это так, то зачем он вообще распространяет их ПО?
> потому что на том, другом стуле - тоже все...непросто.Боюсь мне не понять эту аналогию... в известной загадке вроде бы следует пики точёны взять и отрезать ими лишнее, а не садиться на оба стула по очереди.
> Так он теперь получается ответственный, а не авторы.обычно пользователи (вменяемые) в случае проблем с софтом в дистрибутиве - таки да, первым делом обращаются к сопровождающим дистрибутив, а не ищут каждого уникума-автора (который скорее всего вообще отпихнется "поставьте самую наираспоследню версию, ваша на два года устарела, нипомню, нихачю разбираться")
> Боюсь мне не понять эту аналогию...
потому что аксиома эскобара в том что никакого хорошего выбора сделать нельзя.
Раз нас заставляют хранить миллионы незапоминаемых паролей - приходится прибегать к подобным уродливым инструментам.Но я бы предпочел без доступа в интернеты и модных rest api.
> отпихнется "поставьте самую наираспоследню версию, ваша на два года устарела, нипомню, нихачю разбираться"Если юзер обращается с багом, который починен в новой версии или пусть даже еще не починен, но, если и будет, то тоже уже в новой версии, то какой ответ может автор дать такому юзеру? Ставь тимвьюевер, ща буду у тебя патчить твой протухший бинарник или что? 🤣
>> отпихнется "поставьте самую наираспоследню версию, ваша на два года устарела, нипомню, нихачю разбираться"
> Если юзер обращается с багом, который починен в новой версии или пусть
> даже еще не починен, но, если и будет, то тоже уже
> в новой версии, то какой ответ может автор дать такому юзеру?ну вот поэтому мы идем не к авторам, а к майнтейнерам.
Да, патчат. Иногда до того как почешется автор (или вместо).
>> Так он теперь получается ответственный, а не авторы.
> обычно пользователи (вменяемые) в случае проблем с софтом в дистрибутиве - таки
> да, первым делом обращаются к сопровождающим дистрибутив, а не ищут каждого
> уникума-автора (который скорее всего вообще отпихнется "поставьте самую наираспоследню
> версию, ваша на два года устарела, нипомню, нихачю разбираться")Тут ситуация не обычная, а «вопрос безопасности». Я бы скорее удалил этот пакетик - больше толку, чем обращаться к какому-то некомпетентному васяну.
весь дистрибутив уже удалил, надеюсь?А то там куда ни ткни - вопросы безопастносте. И представляешь - пакеты собирает мильен других васянов. Не спрашивая у тебя, с какими параметрами их конфигурить.
В лучшем случае - могут послушать твои соображения на тему и принять во внимание. А могут и не.
> весь дистрибутив уже удалил, надеюсь?Ну да, давно. Официальный дериватив. По другой причине - не понял, как сборка deb работает. Собрал, работает, но ничего не понял. А мне надо иногда собирать с удобствами, а не в состоянии тран... то есть медитации.
> А то там куда ни ткни - вопросы безопастносте. И представляешь -
> пакеты собирает мильен других васянов. Не спрашивая у тебя, с какими
> параметрами их конфигурить.Ну всё же вопросы удалённого исполнения кода, получения root и всё в этом духе - это не про то, как удобен сканер отпечатков: можно не запоминать пароли, а купить кусачки за 100 рублей.
> По другой причине - не понял, как сборка deb работает.vi debian/suxx
ой.. rulesкак мэйкфайл-переросток оно работает.
Помню, что-то там исправлял, потом делал патч, что-то запускал, собралось, работало. Это не имеет ничего общего с пониманием. Вот с ebuild мне достаточно понятно как работает inherit, и почему иногда можно не писать реализацию «методов», или как там оно называется. Со spec от rpm понятно, что это похоже на макросы от древнего ассемблера, прикрученные сбоку к bash синей изолентой.> как мэйкфайл-переросток оно работает.
В Винде это старательно обходил стороной, однажды даже прочитал доку по F#, что бы вместо «всем же понятной!» белиберды написать нескучную систему сборки со скачиванием исходников и другими ныне модными штуками.
> Помню, что-то там исправлял, потом делал патч, что-то запускал, собралось, работало. Это не имеет
> ничего общего с пониманием.что может быть непонятного - в unix make?
>> Помню, что-то там исправлял, потом делал патч, что-то запускал, собралось, работало. Это не имеет
>> ничего общего с пониманием.
> что может быть непонятного - в unix make?Про unix не знаю, а с GNU Make мне вроде бы уже всё понятно:
# Функция всего лишь удаляет суффикс -unstable-v с цифрой из имени файла.
unvers = $(strip $(foreach v,1 2 3 4 5 6 7 8 9,\
$(if $(findstring -v$(v),$(1)),$(subst -unstable-v$(v),,$(1)),)))кроме как - почему программисты Makefile в темах про LISP плюются на скобочки.
> За ПО, которое сам считает негодным.можно цитату, где он это сказал?
>> За ПО, которое сам считает негодным.
> можно цитату, где он это сказал?Можно почитать ветку начиная с #188 и увидеть там моё «если». Что там говорит этот сопровождающий - не имеет значения, поскольку он не особо понимает, что делает. Именно своими действиями (изменение конфигурации по умолчанию) он признал решение авторов негодным.
> поскольку он не особо понимает, что делает.не думаю, что у вас есть право выносить такой вердикт
> Именно своими действиями (изменение конфигурации по умолчанию) он признал решение авторов негодным.
он сделал ДВА пакета, предоставив пользователям выбор устанавливать нужный на основании своих требований и предпочтений
Вы создали соломенное чучело и успешно с ним боретесь: приписываете мэнтейнеру слова которые он не говорил, а заодно и обязанности, которых у него нет.
Вдобавок искажаете слова других людей и уходите от прямого ответа предлагая оппоненту самостоятельно защитить вашу точку зрения.
Это уныло.
>> поскольку он не особо понимает, что делает.
> не думаю, что у вас есть право выносить такой вердиктПринимаю как аргумент и применяю зеркально, с поправкой на анонимность. Надо ли объяснять, что вся писанина помножается на 0?
>> Именно своими действиями (изменение конфигурации по умолчанию) он признал решение авторов негодным.
> он сделал ДВА пакета, предоставив пользователям выбор устанавливать нужный на основании
> своих требований и предпочтенийПри этом ввёл пользователей в заблуждение и устроил DDoS атаку на авторов.
> Принимаю как аргумент и применяю зеркально, с поправкой на анонимность. Надо ли
> объяснять, что вся писанина помножается на 0?Вы в чем-то обвиняете мэнтейнера, но не говорите, что именно он нарушил. Множим на 0 — к мэнтейнеру нет претензий.
Я говорю, что он не виноват. Множим на 0 — к мэнтейнеру нет претензий
Меня устраивает> При этом ввёл пользователей в заблуждение и устроил DDoS атаку на авторов.
это тестовый выпуск дистрибутива, в нем по умолчанию что-то ломается.
Сидеть на тестовом выпуске и игнорировать предупреждения apt — от таких пользователей ничто не спасет.
>> Принимаю как аргумент и применяю зеркально, с поправкой на анонимность. Надо ли
>> объяснять, что вся писанина помножается на 0?
> Вы в чем-то обвиняете мэнтейнера, но не говорите, что именно он нарушил.Обвиняет прокурор, а я, основываясь на не только своём опыте, утверждаю, что специалист на его месте поступил бы иначе - прикрыл бы себе спину, предварительно написав авторам.
> Множим на 0 — к мэнтейнеру нет претензий.
«Множу». Сначала изучаем русский язык, алгебра идёт в следующих классах.
> Я говорю, что он не виноват.
Чем известен этот «я», что бы его мнение имело вес?
Под винду это однозначно лучший кипасс-менеджер.
как можно на разных ОС пользоваться разными менеджерами, база же одна.
вопрос исключительно поддержки KDBX.можешь пользоваться KeePass на шиндавс и KeePassXC на лине и наоборот, еще и в DX на мобилу синкатт
KeeWeb еще есть.
KeePass не поддерживает KDBX
Почему сразу не kpcli?
Потому что мантейнер им не пользуется, судя по всему, а просто собирает пакет
> возможность сетевого взаимодействия, код для управления через IPC,
> компоненты для интеграции с web-браузерами, функции авто-ввода паролейОфигенные фичи, чтобы пароли было удобнее 3.14ть из манагера паролей. Товарищ майор очень недоволен был что ему IPC и прочие сети отключили. Это что, теперь самому надо пешком идти?!
"компоненты для интеграции с web-браузерами"
Ну я верил в его адекватность до этого момента
Кто бы ещё из qbittorrent всякую ерунду вроде rss и webserver выкинул
>объясняется избавлением от излишней функциональности, которая увеличивает поверхность атаки и потенциально может негативно влиять на безопасностьsystemd ? dbus ? avahi ? python ? ebpf ? rust ?
Это другое. (с)
Python не трожь! Всё остальное меня не интересует.
Чем бы не заниматься, лишь бы USE флаги не делать.
А потом часами софт собирать, пересобирать, ручками фиксить как в Gentoo.Таким можно было заниматься в пятнадцать лет, когда у тебя нет семьи, детей, работы.
> А потом часами софт собирать, пересобирать, ручками фиксить как в Gentoo.это вообще никак не связано. Можно иметь И управление сборкой без необходимости лазить внутрь сборочной системы, и бинарные репо.
насколько я помню - в deb они не предусмотрены (в смысле - никакого штатного аналога rpm'овским макросам сборки нет, а тащить что попало из user environment так себе идея - ты можешь даже и не узнать что одна из твоих любимых личных переменных совпала с определяющей правила сборки)но поменять одну строчку в rules ты тоже всегда можешь.
(если у тебя не лапки и ты знаешь как выйти из vim)
> каждый включённый плагин потенциально приводит к дополнительному риску наличия уязвимостей или внедрения бэкдораА также каждый включенный патч, который никто, кроме сопроводителя, не анализировал. Пакет GRUB2 с уникальными для Debian уязвимостями не даст соврать.
А он не ах*ел ли делать такие изменения и оставлять название оригинальной программы? Пусть и правда назовёт это как-то иначе и все будут счастливы. Минимал, шминимал...
У сопровождающих нет обязательств сохранять код и выполнять сборку так, как задумал автор этого кода. Если автору что-то не нравится, то он может взять на себя сопровождение своего ПО или на своих ресурсах написать, что он не имеет отношения к ошибкам его ПО, которое собрано не им самим, а сопровождающими дистрибутивов, поэтому отчеты об ошибках направляете соответствующим сопровождающим.
> У сопровождающих нет обязательств сохранять код и выполнять сборку так, как задумал
> автор этого кода. Если автору что-то не нравится, то он может
> взять на себя сопровождение своего ПОПотрясающе офигенная схемка. Это мнение майнтайнера, или пользователя?
И мэйнтейнера, и пользователя.
Почему за Афанисия отвечает Аноним?> И мэйнтейнера, и пользователя.
Мэйнтейнера какого дистрибутива? В идеале хотелось бы увидеть список всех, где считают нормой. Не боитесь же?
> В идеале хотелось бы увидеть список всех, где считают нормой. Не боитесь же?первым в этом списке ысе равно будет дебиан.
они в этом списке уже лет тридцать, еще со времен срача между Шиллингом и мейнтейнерами cdrtools.
ето когда заботливо испорченный шаловливыми патчами пакет не работал, и полизыватклю приходилось собираться из оригинальных исходников.
мейнтейнерам было пофиг, они БЛЮЛИ ЖЭПЭЭЛЬ!!1
вот и сейчас, дорогая редакция, извините за неровный по...
Мне и так понятно, что мэйнтейнеры - это особая прослойка незаменимых, без которых создание ПО прекратится вообще. Другое дело, что и в случае из новости, и с cdrtools - люди не стеснялись подписываться и что-то при этом делали. А тут появляется неизвестно кто и начинает выступать от имени мэйнтейнеров - то ли он их подставить хочет, то ли уровень управленцев сообществом упал ниже плинтуса.
> У сопровождающих нет обязательств сохранять код и выполнять сборку так, как задумал автор этого кода. Если автору что-то не нравится, то он может взять на себя сопровождение своего ПО или на своих ресурсах написать, что он не имеет отношения к ошибкам его ПО, которое собрано не им самим, а сопровождающими дистрибутивов, поэтому отчеты об ошибках направляете соответствующим сопровождающим.Ты неправ. Публикация изменённого программного обеспечения под старым названием считается нарушением авторских прав, даже если опенсорс. Большая часть людей не хочет чесаться об этом, но это не значит, что у них нет прав защищать свою интеллектуальную собственность. В частности, случаи преследования таких прав нередко случаются для опенсорс браузеров.
Дело не в "не хочет", а в возможностях. У Мозиллы есть отдел юристов. Автор может сменить лицензию и запретить что-то явно, но его тут же объявят противником свободы, корпорастом и затравят.
Автор keepassxc сем виноват. Надо было не монолит делать, а модульную архитектуру. А доп. плагины - отдельными пакетами.
Мэйнтейнер зло. Этот класс должен исчезнуть. Софт должен поставляться только напрямую от разработчика!
snap?
> snap?Да или AppImage или другой вариант.
Чтобы софта под какой-нибудь riscv вообще никогда не было? Чтобы было всего два дистрибутива, причём одна половина софта работала бы на одном, а другая - на другом? Чтобы bsd, haiku, syllable и других не-linux систем вообще никогда не существовало? Чтобы и самого linux вообще не существовало, учитывая что множество авторов сидит на винде и макоси? Чтобы ещё и антивирусы стали нормой?