The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы
правила/FAQ
поиск
регистрация
вход
слежка
RSS


Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Эксперимент по получению контроля над пакетами в репозитории AUR, opennews (??), 27-Окт-22, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


12. "Эксперимент по получению контроля над пакетами в репозитории..."  +2 +/–
Сообщение от Аноним (12), 27-Окт-22, 14:38 
Всё так. И мне непонятно почему об этом никто не трубит. По сути выполняется с полномочиями пользователя произвольный код.
Ответить | Правка | Наверх | Cообщить модератору

20. "Эксперимент по получению контроля над пакетами в репозитории..."  +1 +/–
Сообщение от Аноним (18), 27-Окт-22, 15:21 
Потому что альтернатива уже есть. Полностью закрытый коммерческий проприетарный софт. И не понятно почему ты не хочешь за это платить.
Ответить | Правка | Наверх | Cообщить модератору

38. "Эксперимент по получению контроля над пакетами в репозитории..."  –1 +/–
Сообщение от Аноним (53), 27-Окт-22, 17:07 
Закрытый коммерческий код выполняет на твоей машине всякую фигню с куда большей вероятностью, с коммерческой заинтересованностью. Какая же это альтернатива? В открытом, хотя бы, проблему когда-нибудь найдёт либо твоя пара глаза, либо одна из тысячи других.
Ответить | Правка | Наверх | Cообщить модератору

59. "Эксперимент по получению контроля над пакетами в репозитории..."  –2 +/–
Сообщение от Аноним (8), 27-Окт-22, 17:52 
С них спрос есть. А с анонима на гитхабе - нет
Ответить | Правка | Наверх | Cообщить модератору

65. "Эксперимент по получению контроля над пакетами в репозитории..."  +2 +/–
Сообщение от Аноним (69), 27-Окт-22, 18:07 
Святая наивность. Чел, в любом EULA сказано, что они тебе ничего не должны и ни за что не отвечают.
Ответить | Правка | Наверх | Cообщить модератору

96. "Эксперимент по получению контроля над пакетами в репозитории..."  +/–
Сообщение от Аноним (101), 27-Окт-22, 21:26 
ты что наивный ? с кого спрос ? тебе никто ничем не обязан, вы же поставили галочку под километровым пользовательским соглашением, верно ? вот, а теперь иди в суд и что-то там докажи.
да и вообще, твоё дело выполнять план по телеметрии, а не сомневаться в добросовестности мегакорпораций.
Ответить | Правка | К родителю #59 | Наверх | Cообщить модератору

102. "Эксперимент по получению контроля над пакетами в репозитории..."  +/–
Сообщение от Аноним (8), 27-Окт-22, 21:54 
Давайте-ка отделим мухи от котлет.
Я говорю о намеренном добавлении зловредного функционала в свой код с целью украсть деньги у конечного пользователя своего продукта.
Не про баги и дыры, которые у всех есть и от открытости/закрытости почти не зависят.
Так вот, в таком поведении даже MS с их виндой (которых вы наверняка первыми упомянете в качестве примера разработчика/продукта, не отвечающих ни за что), даже бездоказательно, никто никогда не обвинял.
Если кто-то из разработчиков коммерческого продукта попытается с его помощью ограбить своих пользователей - то получит колоссальный репутационный (и в свою очередь денежный) ущерб, пропорциональный популярности продукта. Навряд ли (имхо точно нет) они смогут украсть больше с от одной до десятков машин (пока не поднимется большой кипеш), чтобы сумма украденного перекрыла эти потери. И если все же да - то у них (фирм) есть названия, адреса, фамилии и т.д., которые известны всем. И никакая ЕУЛА от уголовного кодекса их не защитит.
А теперь с той же позиции посмотрим например на безымянного разработчика маленького, но очень часто загружаемого (угораздило попасть в зависимости к очень популярному проекту) npm-пакета. Что он теряет, если добавит зловред в свой код? Деньги? Нет - он на нем ничего не зарабатывает. Репутацию? Да у большинства мелких пакетов вы даже личности авторов никогда не сможете узнать, чтобы потом попытаться найти у них репутацию :)
Так что, я считаю, очень маловероятно, что коммерческий вендор попытается вас явно обокрасть. Смысла нет (объяснение выше).
И очень вероятно, что это может сделать аноним с гитхаба, который вообще ничем не рискует.
Ответить | Правка | К родителю #59 | Наверх | Cообщить модератору

105. "Эксперимент по получению контроля над пакетами в репозитории..."  +/–
Сообщение от Аноним (101), 27-Окт-22, 22:30 
ну вы конечно сравнили "анонима мелких пакетов" и корпорации с их мегапроектами, как-то однобоко, ненаходите ? сравнивайте уж мелкие открытые пакеты с мелкими закрытыми программами, и вот беда, у мелких закрытых программ может быть такая же болезнь с анонимностью их создателя но в добавок еще у вас черный ящик вместо открытого кода. Что касается мегапроектов то срени основных разработчиков анонимов нету и репутацией будут дорожить намного больш, как раз в силу открытости кода + git как логирование того - кто, как и когда чего добавил. Для закрытых же проектов при любой непонятной ситуации будут скрывать проблему и заниматься отписками, а чтобы доказать свою правоту у вас банально не хватит ресурсов, а судится на основании догадок это дорогое удовольствие которое простым смертным не по карману, и в лучшем случае вам скажут скачать новую версию в которой уязвимость уже закрыли, но была она намеренной или нет вы никогда не узнаете.
Ответить | Правка | Наверх | Cообщить модератору

109. "Эксперимент по получению контроля над пакетами в репозитории..."  –1 +/–
Сообщение от Аноним (8), 27-Окт-22, 23:18 
Вижу, мой посыл требует уточнения.
Я не против (а даже за) открытого кода, и не топлю за закрытый.
Я против:
- использования кода от анонимов - потому что никакой ответственности и (скорее всего) никто не проверяет изменения;
- размытия ответственности (как например, установка 100500 пакетов зависимостей при установке чего-то более-менее большого с npm). тут проблема в том, что часть из 100500 пакетов будут от анонимов (с соответствующими рисками). кроме того, вероятность захвата репы злоумышленником возрастает кратно их количеству.
То есть, самое безопасное - это когда в одном продукте используется код только из одного верифицированного неанонимного источника.
Сравним:
1) Коммерческая IDE, у которой весь код написан в одном месте. Либо также поддерживаются внешние плагины, но они распространяются через их сервер, куда попадают после ручной проверки.
2) Мой vim с 20 плагинами из 20 разных реп, 5 из которых принадлежат анонимам.
Думаю, не сильно ошибусь, если скажу, что второй вариант в ~25 раз менее безопасен. Потому что реп 20, вероятность получения доступа хоть к одной из них в 20 раз выше, чем просто к одной. Плюс один из 5 анонимов может решить поиметь своих юзеров, раз уж ничем не рискует.
Ответить | Правка | Наверх | Cообщить модератору

112. "Эксперимент по получению контроля над пакетами в репозитории..."  +1 +/–
Сообщение от Аноним (101), 28-Окт-22, 00:05 
ок, мы выяснили что анонимность это проблема мелкого софта, ну или периферии для крупного как-то плагины. Но разве это проблема когда у тебя есть выбор ? ведь не кто же не заставляет тебя этим пользоваться, ну вот допустим, завтра скажут что на github код можно будет выкладывать тока по паспорту, минимум половина сразу же свалит, это будет мудрое решение ?
все хотят чтобы софта было побольше и бесплатно, а риски чтобы целиком лежали на разработчике, это конечно круто, но ты сам бы желал впрягаться в такие проекты ?
Ответить | Правка | Наверх | Cообщить модератору

117. "Эксперимент по получению контроля над пакетами в репозитории..."  +/–
Сообщение от Аноним (8), 28-Окт-22, 08:13 
< ведь не кто же не заставляет тебя этим пользоваться
никто не заставляет, я сам хочу. но, не хочу нести такие существенные риски, какие есть. поэтому я озвучиваю проблему и начинаю размышлять в сторону того, как ее можно решить. многие ведь вообще не знают о ее существовании, или просто не хотят думать о ней.

< завтра скажут что на github код можно будет выкладывать тока по паспорту
отличная идея. только не *только*, а опционально по паспорту. а я в настройках своего менеджера плагинов vim поставлю "не устанавливать плагины от неверифицированных авторов". и все счастливы - те, кто хочет выкладывать код анонимно, и кто согласен юзать такой код - ничего не потеряют. а кто хочет чуть-чуть каких-то (ограниченных, но тем не менее) гарантий - те будут юзать только код от авторов с паспортом. и, я уверен, репы с паспортом будут популярнее, чем без, при прочих равных. и, порядочные анонимы на гитхаб поймут, что в их интересах показать паспорт, раз порядочный. а еще чуть позже в сторону кода без паспорта даже смотреть никто не захочет, кроме единиц маргиналов.

Ответить | Правка | Наверх | Cообщить модератору

127. "Эксперимент по получению контроля над пакетами в репозитории..."  +/–
Сообщение от Аноним (101), 28-Окт-22, 12:57 
>но, не хочу нести такие существенные риски

но разве вы не вольны использовать менее рискованный софт ? просто найдите то что вам по вкусу и пользуйтесь, а попытка загнать всех под одну гребёнку никогда ничем хорошим не заканчивалась.

>начинаю размышлять в сторону того, как ее можно решить. многие ведь вообще не знают о ее существовании, или просто не хотят думать о ней.

ну почему же, люди которые хоть немного связанные с IT довольно осознанно принимают риски и не строят из себя бабочек летящих на свет (ну или мух на г..но, каму как нравиться), а думать за блондинок то такое, дело неблагодарное.
что же до оповещений то и их хватает, взять тот же пресловутый АУР, там черным по белому написанно
на самом видном месте главной странницы да и еще выделенно жирным:
=== Отказ от ответственности: Пакеты в AUR содержат предоставленный пользователями контент. Любое использование предоставляемых файлов выполняйте на свой риск. ===
плюс еще в самом внизу каждой страницы дубль, если вдруг забыли
=== Пакеты в AUR содержат предоставленный пользователями контент. Любое использование предоставляемых файлов выполняйте на свой риск. ===
так что с информированием и осознанием проблем быть не должно

>... а еще чуть позже в сторону кода без паспорта даже смотреть никто не захочет, кроме единиц маргиналов.

то что вы предлагаете похоже на бесплатный фрилансинг да еще и при полной ответственности автора за любой косяк в его коде. Идея конечно замечательная, но вы так и не ответили на вопрос - "ты сам бы желал впрягаться в такие проекты ?", ведь от тех же ошибок никто не застрахован и кто знает что случится у многомиллионной компании из за сбоя по вине написанного тобой плагина, ты готов потом несколько лет в судах доказывать что не верблюд ? ага, потом заговорим о профсоюзах для свободных авторов которые бы защищали их интересы в судах и т.д. кроме как разбухание бюрократии и счастливых лиц адвокатских контор это мало чем сулит в будущем.
Если вы считаете что "код по паспорту" может стать популярным трендом то вперёд, организуйте стартап который приблизит это "светлое" будущее, было бы увлекательно посмотреть на заинтересованность разрабов двигаться в данном направлении.

как по мне то золотой серединой в данном вопросе является подпись пакета(пример для арча https://wiki.archlinux.org/title/Pacman/Package_signing) что позволяет верифицировать источник, но вот связывать подпись и реальное "лицо" это уже дело самого разработчика.

Ответить | Правка | Наверх | Cообщить модератору

62. "Эксперимент по получению контроля над пакетами в репозитории..."  –2 +/–
Сообщение от пох. (?), 27-Окт-22, 17:58 
> Закрытый коммерческий код выполняет на твоей машине всякую фигню с куда большей
> вероятностью, с коммерческой заинтересованностью.

С куда меньшей, потому что коммерческая заинтересованность обычно вполне явная - вот код, он решает твою проблему, ты за это платишь владельцу.

Зачем ему резать курицу, несущую пусть и не золотые яйца, но регулярно?

А вот что за васян пишет код опакечивания в aur, нахрена он это делает и не придут ли ему завтра на ум идеи быстро поправить пошатнувшееся благосостояние, как ты думаешь?

> Какая же это альтернатива? В открытом,

трень-брень-хрень, секта свидетелей тысячегласса. Его никто не видит но он есть.

Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

87. "Эксперимент по получению контроля над пакетами в репозитории..."  –3 +/–
Сообщение от Xo (?), 27-Окт-22, 20:43 
Внеочередной бред. Особенно про aur. Зайдите на арчвики и почитайте о его сути, если умеете.
Ответить | Правка | Наверх | Cообщить модератору

68. "Эксперимент по получению контроля над пакетами в репозитории..."  –1 +/–
Сообщение от Аноним (68), 27-Окт-22, 18:12 
Внезапно, запуск любого кода, написанный не _лично тобой_ — вопрос доверия. Параноики могут собирать из исходников, лично их предварительно проверив (удачи с каким-нибудь блендером). Для проприетарного софта есть дизассемблер (тоже проприетарный, лол).
Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей 		Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру