Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Ретроспектива продвижения бэкдора в пакет xz, opennews (?), 30-Мрт-24, (0) [смотреть все] Таки работает схема с тысячей глаз , Аноним (2), 12:57 , 30-Мрт-24, (2) +69 // Скрыто модератором, Oe (?), 13:03 , 30-Мрт-24, (12) –74 // Скрыто модератором, Аноним (14), 13:06 , 30-Мрт-24, (14) // Скрыто модератором, Аноним (16), 13:10 , 30-Мрт-24, (16) +2 Скрыто модератором, Аноним (16), 13:09 , 30-Мрт-24, (15) +6 // Скрыто модератором, Аноним (26), 13:38 , 30-Мрт-24, (26) +16 Скрыто модератором, Аноним (82), 16:07 , 30-Мрт-24, (82) –1 Объясните, а что даст взломщику локальный рут у простого пользователя Файлы и т, microcoder (ok), 01:04 , 31-Мрт-24, (170) +1 оно сидит за 1 провайдерским натом 2 за роутероми нафиг никому не надоу более-, pelmaniac (?), 17:36 , 31-Мрт-24, (223) Как стать вменяемым Что надо сделать , microcoder (ok), 02:33 , 01-Апр-24, (242) Ага, покажите мне эти 171 тысячи способов получить рут 187 , у меня тут как р, вымя (?), 14:01 , 30-Мрт-24, (41) +9 Анализировали коды обоих Результаты представьте , Аноним (112), 17:44 , 30-Мрт-24, (112) +8 а как винде получить рут , Аноним (127), 19:27 , 30-Мрт-24, (127) +1 А винде фурифокс прям изолирован , Аноним (142), 20:14 , 30-Мрт-24, (142) +3 Напиши свой репозиторий за бесплатно Я тебе даже помогу 8212 имя придумаю П, Аноним (154), 21:00 , 30-Мрт-24, (154) В винде все просто работают из под рута Даже получать ничего не надо Удобно , Легивон (?), 08:14 , 31-Мрт-24, (192) Ты наивное дитя на поводу у зла 8230 Отсутствие изкоробочного root-а 8212 эт, AlexYeCu (ok), 09:36 , 31-Мрт-24, (196) Не работает Просто хакеры зевнули , Аноним (26), 13:39 , 30-Мрт-24, (27) Только в МС надо стукнуть чтобы посмотрели,а так да , сщта (?), 13:51 , 30-Мрт-24, (36) +4 Где же она работает Тыщщи глаз два года ничего не замечали Потом пришел профи и, Анонин (-), 15:04 , 30-Мрт-24, (65) –3 // не совсем так, месяц продержалось, в основном или на мелких дистрибутивах, котор, Всем Анонимам Аноним (?), 16:42 , 30-Мрт-24, (95) +1 // В Debian тоже не попало кроме testing-а, fhunter (?), 04:51 , 31-Мрт-24, (183) А кто, по вашему, пишет опенсорс Домохозяйки Вот эти самые профи из Майкрософ, Hashnames (?), 19:16 , 30-Мрт-24, (123) +9 с пауками чтоль , майнеймис (?), 19:15 , 30-Мрт-24, (122) –1 Так будет иск или расследование с открытием дела , pic (?), 12:58 , 30-Мрт-24, (3) +2 // Расследование уже началось Дело будет, если найдут подозреваемого Судя по всему, Аноним (16), 13:01 , 30-Мрт-24, (8) –1   // Proof https www cisa gov news-events alerts 2024 03 29 reported-supply-chain-, Аноним (16), 13:46 , 30-Мрт-24, (34)   Вот кто-то подумает, что во всем опять VPN виновен Архив релиза, говорят, был по, Аноним (47), 14:16 , 30-Мрт-24, (47) +11   // Ну вот, траванули разраба, а он передал управление проектом непонятно кому Где к, Аноним (47), 14:24 , 30-Мрт-24, (50) +4   На самом деле просто ключами PGP разработчики пользоваться не умеют в своей масс, timur.davletshin (ok), 15:11 , 30-Мрт-24, (70) +1   Лет 5 назад лично проводил исследование применение OpenPGP для подписи пакетов В, Аноним (47), 15:22 , 30-Мрт-24, (73) +1   Можно про методику , Аноним (118), 18:47 , 30-Мрт-24, (118) +1   man gpgСкрипт, написанный лет 5 назад, который проверяет PGP подписи файлов с Ge, Аноним (251), 10:44 , 01-Апр-24, (251)   Разработчики хм Вот к примеру раздают LibreOffice, сам пакет и подпись asc к н, Аноним (76), 15:34 , 30-Мрт-24, (76)   Инструкцию на сайте убрали уже рядом с предложением скачать подпись для проверки, timur.davletshin (ok), 15:45 , 30-Мрт-24, (77) –2   Добавь проверку публичного ключа Используй WoT и найди несколько цепочек к ключ, Аноним (91), 16:31 , 30-Мрт-24, (91)   Это типа - через гпг сервера Так на них кто угодно от твоего имени залить может, OpenEcho (?), 20:02 , 31-Мрт-24, (233)   Чтобы с высоким уровнем достоверности можно было полагатся на публичный ключ, не, Аноним (251), 11:04 , 01-Апр-24, (252)   Ну и как Удачно нашел ко ВСЕМ 4 цепочки В том то и дело, что ни с Вадимом и те, OpenEcho (?), 17:10 , 01-Апр-24, (258)   Да https git kernel org pub scm docs kernel pgpkeys git tree graphsОдну ошибк, Аноним (275), 17:45 , 04-Апр-24, (275)   Там львиня доля народа до которых у меня нет никакой цепочки чтоб им верить, и е, OpenEcho (?), 19:50 , 04-Апр-24, (276)   gpg --verify LibreOffice_24 2 2 2_Linux_x86-64_deb tar gz asc LibreOffice_24 2 2, Fedd (ok), 17:30 , 30-Мрт-24, (109)   Я же сказал что читал инструкцию и что знаю процедуру Вы поглядите что пишет при, Аноним (76), 19:20 , 30-Мрт-24, (125) +2   https www opennet ru openforum vsluhforumID3 133256 html 252, Аноним (251), 11:06 , 01-Апр-24, (253)   Кто пользует то что на работе работает , Аноним (136), 19:49 , 30-Мрт-24, (136)   У меня zip, все работает не просто отлично, а шикарно Пользователи виндоус кста, Oe (?), 12:59 , 30-Мрт-24, (4) –37 // Скрыто модератором, Daniil (??), 15:12 , 30-Мрт-24, (71) +2 // Скрыто модератором, Аноним (78), 15:45 , 30-Мрт-24, (78) –1 // Скрыто модератором, Аноним (141), 20:13 , 30-Мрт-24, (141) +2 Скрыто модератором, Аноним (78), 20:45 , 30-Мрт-24, (149) Кинул в Федору предложение https pagure io fesco issue 3185Может, соберутся и, Аноним (16), 12:59 , 30-Мрт-24, (5) –5 // Andres Freund, залогиньтесь , Аноним (39), 13:58 , 30-Мрт-24, (39) +2 Хорошее предложение , Rev (?), 14:22 , 30-Мрт-24, (49) С одной стороны выглядит назревшим и необходимым С другой - это ж дораспугает в, аннаним (?), 15:05 , 30-Мрт-24, (66) –1 Можно было бы помягче написать Троллить каждый может и советовать Проблема не , Всем Анонимам Аноним (?), 16:46 , 30-Мрт-24, (98) Так Fedora тебя тоже кинет , Аноним (141), 16:50 , 30-Мрт-24, (100) Разрабы Fedora сказали, что это предложение anti-freedom , при этом ничего не у, Аноним (169), 23:51 , 30-Мрт-24, (169) –1 // Кококо, name (??), 11:45 , 31-Мрт-24, (206) –1 Скрыто модератором, Карлос Сношайтилис (ok), 13:00 , 30-Мрт-24, (6) +4 // Скрыто модератором, Аноним (16), 13:01 , 30-Мрт-24, (10) +1 Скрыто модератором, Аноним (141), 13:46 , 30-Мрт-24, (32) +2 // Скрыто модератором, Карлос Сношайтилис (ok), 14:02 , 30-Мрт-24, (42) Майкрософт как обычно приходит и спасает положение, Аноним (7), 13:00 , 30-Мрт-24, (7) +11 // PostgreSQL же Всем известно, что Postgre - лучший мессенджер для передачи файло, Аноним (21), 13:25 , 30-Мрт-24, (21) +3 // postgre только для 1с годитсяу всех остальных postgres, Аноним (127), 19:40 , 30-Мрт-24, (132) –2 postgres, Аноним (259), 20:02 , 01-Апр-24, (259) Ну, по крайней мере тезис про тысячу глаз работает , Vf (?), 13:01 , 30-Мрт-24, (9) +5 // Нашли не глаза, malware заметили из-за глюков в работе Глаза - это не больше, че, Аноним (16), 13:02 , 30-Мрт-24, (11) –9 // Ну да, файлы же с бекдором bad-3-corrupt_lzma2 xz и good-large_compressed lzma н, Аноним (141), 13:52 , 30-Мрт-24, (37) +7 При этом тезис за 2 года спланированной деятельности бэкдур внедрён только в li, n00by (ok), 13:27 , 30-Мрт-24, (23) +3 // Либо можно интерпретировать как за 2 года спланированной деятельности бекдур ос, Аноним (39), 14:11 , 30-Мрт-24, (46) // Что можно так интерпретировать и на каком основании , n00by (ok), 14:25 , 30-Мрт-24, (52) –1 Это, кажется, требует личной встречи с участниками проекта для удостверения публ, Аноним (13), 13:04 , 30-Мрт-24, (13) –1 // Он просто зарегистрировался на местном гитлабе Мейнтейнером или девелопером он , Dmitry Shachnev (ok), 13:47 , 30-Мрт-24, (35) // Участник проекта Debian - это как раз участник с правом голоса и полномочиями са, Аноним (54), 14:25 , 30-Мрт-24, (54) Опять дебианчик со своими патчами Когда уже им по рукам надавают, чтобы переста, Шарп (ok), 13:10 , 30-Мрт-24, (17) // Можно копнуть еще глубже, и найти того кто протащил эту зависимость systemd для , Аноним (19), 13:15 , 30-Мрт-24, (19) +2 // Ты поаккуратнее с такими заявлениями, а то выяснится что за всем стоит дядя Лёня, Аноним (39), 14:02 , 30-Мрт-24, (43) +11 А зачем Если авторы systemd добавили зависимость, то это их дело Они же владел, Шарп (ok), 14:31 , 30-Мрт-24, (57) // Есть подозрение, что они и не стирали, aname (?), 02:26 , 31-Мрт-24, (174) +4 Есть и подтверждение этой гипотезе - слишком часто эксперты пишут душно , n00by (ok), 07:28 , 31-Мрт-24, (189) Не баг, а фича , aname (?), 11:13 , 01-Апр-24, (254) Потому что операционная СИСТЕМА 8212 это система, а не разрозненные никак не , Аноним (259), 20:04 , 01-Апр-24, (261) Изначальный автор xz-utils вообще ушел давно из проекта по состоянию здоровья Т, Аноним (7), 13:14 , 30-Мрт-24, (18) +7 А в винде есть zlib Хочу протроянить винду Или другой BSD лицензированный паке, kusb (?), 13:26 , 30-Мрт-24, (22) // Можешь искать людей с Git for Windows - в нем тоже есть xz, Аноним (68), 15:09 , 30-Мрт-24, (68) в cygwin есть и zlib и xz и sshd тоже есть а вот systemd нету , glad_valakas (-), 16:47 , 30-Мрт-24, (99) Вот что CoC животворящий делает , Аноним (141), 13:32 , 30-Мрт-24, (25) +1 // Надеюсь, CoC и дальше будет жить Потому, что весело , aname (?), 02:28 , 31-Мрт-24, (175) Сам напросился и пролез Всего лишь А теперь представьте, что там может натвори, AKTEON (?), 13:41 , 30-Мрт-24, (29) +1 // Скрыто модератором, Аноним (39), 14:03 , 30-Мрт-24, (44) +1 Я ведь уже блин писал в сети как работает разведка, спецслужбы етк Берётся отпра, robot228 (?), 20:25 , 30-Мрт-24, (146) +2 // Чел успешно внедрился и всё было хорошо, пока не обосрался на этапе написания хо, aname (?), 02:31 , 31-Мрт-24, (176) Это скорее всего она и есть, Отражение луны (ok), 23:42 , 30-Мрт-24, (167) Всё-таки надо подтверждать личности разработчиков и мэинтейнеров , Rev (?), 14:25 , 30-Мрт-24, (53) –2 // По паспорту непременно Чтобы кого надо только были разработчики , timur.davletshin (ok), 15:26 , 30-Мрт-24, (74) +1 // https state-services gov , Аноним (141), 16:22 , 30-Мрт-24, (85) Кем подтверждать Комитетом подтверждения образованным RH, Microsoft и иже с ни, Легивон (?), 08:23 , 31-Мрт-24, (193) +2 Максим Fedora 40 не была подвержена уязвимости, слава те, господи Я чуть не обо , birdie (ok), 14:32 , 30-Мрт-24, (58) // здесь все джентльмены, а истинные джентльмены верят друг другу на слово, аннаним (?), 14:53 , 30-Мрт-24, (61) // Не, просто сейчас видят китайское имя и с сомнением прищуривают глаза Времена-с, Kuromi (ok), 16:13 , 30-Мрт-24, (84) В Red Hat-овском отчёте сказано Fedora Linux 40 users may have received versio, Аноним (124), 19:16 , 30-Мрт-24, (124) И опять microsoft за день сделала для опенсорса больше чем все любители вместе в, Аноним (59), 14:32 , 30-Мрт-24, (59) +1 // И всё равно они зло , birdie (ok), 14:59 , 30-Мрт-24, (62) –1 // А почему это лучший друг опенсорса у тебя зло Кончено, с такими друзьями вр, Аноним (78), 15:10 , 30-Мрт-24, (69) –1 Ты имеешь в виду, что МС и внедрила Не исключено Сначала внедряем малварь в по, Аноним (78), 15:02 , 30-Мрт-24, (64) +3 // This , scriptkiddis (?), 20:03 , 30-Мрт-24, (139) а причем тут ms работник из ms нашел уязвимость , капитошка2 (?), 22:20 , 30-Мрт-24, (161) +1 Никогда такого не было, и вот опять , aname (?), 02:33 , 31-Мрт-24, (177) Ох и ржачная история Чел с 2022 года, как истинный стратег, шаг за шагом реализ, Аноним (60), 14:38 , 30-Мрт-24, (60) +3 // Причём здесь человек, это вполне может быть какая-нибудь трёхбуквенная контора , Аноним (67), 15:09 , 30-Мрт-24, (67) +1 // sap , Аноним (127), 19:45 , 30-Мрт-24, (134) // p g, аннаним (?), 22:54 , 30-Мрт-24, (162) +2 Самое интересное, что он не один такой Другие, пока что не вскрыли свои карты , Слава Линуксу (?), 15:49 , 30-Мрт-24, (79) +1 На самом деле нет Это как в фильмах про вычурные планы ограбления банка - все п, Kuromi (ok), 16:11 , 30-Мрт-24, (83) +3 // Это художественная выдумка Чем более вычурный план, тем больше в нём точек отка, Аноним (-), 18:02 , 30-Мрт-24, (113) // Это всё при условии что это одиночка, что далеко не факт Кто бы за этим ни стоя, Аноним (202), 10:34 , 31-Мрт-24, (202) Это может работать только в том случае, если такие атаки действительно можно про, Аноним (-), 17:54 , 31-Мрт-24, (226) Если чувак на зарплате в чем проблема Заплатишь 100к бачинских чуваку за внедре, Аноним (115), 18:26 , 30-Мрт-24, (115) // 100к за вечный бан на трудоустройство в денежных компаниях как-то слишком дёшево, Аноним (187), 06:30 , 31-Мрт-24, (187) –1 Погоди, хакеры интернетные спустя 40 лет только учиться начинаютhttps www open, robot228 (?), 20:28 , 30-Мрт-24, (147) Судя по имени - китайса С другой стороны, это имя тоже ничего не значит, но вне, Kuromi (ok), 16:06 , 30-Мрт-24, (81) // Китайцам доверять - себя не уважать И так во всем, от договоров до их поделок, , Аноним (93), 16:40 , 30-Мрт-24, (93) Уверены,что это имя реального человека , Аноним (101), 16:53 , 30-Мрт-24, (101) +1 // Ну ты вот каждый фейковый акаунт на шитхабе заводишь на John Smith, или все же н, нах. (?), 17:38 , 30-Мрт-24, (111) +2 Судя по идиотизму истории, можно сделать вывод что этим занималась бюрократия ил, Аноним (-), 18:18 , 30-Мрт-24, (114) –6 // Ничего себе идиотизм - разработали весьма хитрый способ внедрения малварного код, Аноним (179), 02:38 , 31-Мрт-24, (179) +1 // Да ещё и блестящая обфускация - код уже второй день ковыряют security-специалист, Аноним (203), 11:00 , 31-Мрт-24, (203) Ты на результат смотри, а не на хитрость кода Неизбежный провал оказался неизбе, Аноним (-), 17:59 , 31-Мрт-24, (227) Ну раз ты это уже знаешь, остается только принять мир таким, каков он есть И то, Аноним (184), 05:12 , 31-Мрт-24, (184) +2 // Прежде чем объяснять мне, как взрослеть, тебе бы не помешало бы самому сделать т, Аноним (-), 18:23 , 31-Мрт-24, (229) туда нормальному человеку вообще не попасть, в Debian, даже если ты захочешь им , Всем Анонимам Аноним (?), 16:29 , 30-Мрт-24, (89) +5 Заявление от Лассе Коллина, основного разработчика xz https tukaani org xz-ba, Аноним (92), 16:38 , 30-Мрт-24, (92) // Верим-верим, 146 что это не Лассе Коллин под sockpuppetом , Аноним (107), 17:25 , 30-Мрт-24, (107) Прекрасно, человек на связи и теперь дальше может продолжить работу над проекто, Hamanit (ok), 17:26 , 30-Мрт-24, (108) Если после этого везде выпилят xz, то как тогда работать с архивами tar xz , Аноним (101), 16:45 , 30-Мрт-24, (97) // Да выкинут тот бекдор вместе с нынешним мейнтером и дальше поедут , Аноним (141), 16:59 , 30-Мрт-24, (103) +1 7-zip их поддерживает , Аноним (169), 19:54 , 30-Мрт-24, (137) FAQ on the xz-utils backdoor 129761 https gist github com thesamesam 223949d5, Hamanit (ok), 17:00 , 30-Мрт-24, (104) +1 Ну вот тут - нашли А интересно, в скольких случаях - не нашли , Аноним (105), 17:06 , 30-Мрт-24, (105) // В ядре шинды и мака пока что ничего не нашли , Аноним (130), 19:31 , 30-Мрт-24, (130) // Потому что заобскьюрено , Аноним (141), 20:24 , 30-Мрт-24, (145) Ну то есть в одном случае нашли и в двух не нашли Ну тогда свободное по явно в , Аноним (186), 05:55 , 31-Мрт-24, (186) Так там еще только 100 строчек кода на Расте, просто не успели внедрить , Аноним (224), 17:36 , 31-Мрт-24, (224) Linux, Windows, а про Android забыли В этой стране официальный маркетплейс Goog, Аноним (106), 17:07 , 30-Мрт-24, (106) –1 // Может потому что сайт гугл плей забанен , Аноним (130), 19:31 , 30-Мрт-24, (129) // как же это случилось , Аноним (198), 09:41 , 31-Мрт-24, (198) +1 История поучительная, но совсем не эпичная И внедряли маскировали дырочку кривов, люблю Стекляные бусы (?), 18:44 , 30-Мрт-24, (116) +3 // Риск5 говорящее название , Аноним (130), 21:18 , 30-Мрт-24, (157) +1 Слабовато - потому что на дату активизации этого китайца надобно обратить прис, n00by (ok), 08:11 , 31-Мрт-24, (191) // Вывод сокращен или они 2 года не обновляли а потом внезапно решили обновить , аннаним (?), 12:29 , 31-Мрт-24, (208) +1 // В общедоступной для скачивания Роса Фреш xz 5 2 9 Там вообще достаточно странна, Аноним (-), 15:41 , 31-Мрт-24, (212) Точно, странная Иностранец за них исправил заменой zx на gz, а через 15 часов пр, n00by (ok), 17:28 , 31-Мрт-24, (221) +1 Роса 2023 1 ещё не успела выйти, а уже с бэкдором , Аноним (234), 20:05 , 31-Мрт-24, (234) Ну, из именно того пакетика бэкдор уже убрали Зато с 02 25, пока это всё тестир, n00by (ok), 07:59 , 01-Апр-24, (247) rosa2023 1-5 6 1-2 2024 03 30 rosa2023 1-5 6 1-1 2024 03 09 rosa2023 1-5 6, n00by (ok), 17:07 , 31-Мрт-24, (219) +1 Когда уже человечишки перестанут писать фичи ради кипиша Большинство пакетов мо, pelmaniac (?), 19:01 , 30-Мрт-24, (120) +1 // Фрибсд по факту заморожен, а толку , Аноним (130), 20:56 , 30-Мрт-24, (151) Все носятся как ошпаренные с Jia Tan и xz-5 6 0, 5 6 1 Using systemd on publicl, Аноним (121), 19:12 , 30-Мрт-24, (121) +2 // При чем тут Дебиан если все так же сделали И генту и арч и даже Федора роухайд , Аноним (130), 19:29 , 30-Мрт-24, (128) –2 // Арч так не делал, на нём не сработало, но на всякий случай откатили назад версию, Аноним (143), 20:15 , 30-Мрт-24, (143) +1 // Всё сработало раз объявили критикал https security archlinux org ASA-202403-1, Аноним (130), 20:55 , 30-Мрт-24, (150) вот же по твоей ссылке ясно написано что не подвержено уязвимости Impact Th, Аноним (143), 07:56 , 31-Мрт-24, (190) Не сработало, более того, 5 6 1-1 и 5 6 1-2 оказались бинарно идентичными, прост, Аноним (203), 11:06 , 31-Мрт-24, (204) в генту тоже насколько я понял не срабатывает, так как нет связки с systemd, 1 (??), 20:56 , 30-Мрт-24, (152) +2 // In Gentoo, we don t patch net-misc openssh with systemd-notify support which mea, 1 (??), 20:58 , 30-Мрт-24, (153) +1 Gentoo, как всегда, лучше всех Тем более там и systemd может не быть, Аноним (187), 06:33 , 31-Мрт-24, (188) +2 Содержимое deb, rpm пакетов запаковано lzma GCC использует lzma для сжатия отлад, Алексей (??), 21:49 , 30-Мрт-24, (160) –2 // Если бы ты еще объяснил инфо-папуасам нахрена systemd и всем остальным на хосте, Аноним (121), 23:40 , 30-Мрт-24, (166) +3 // Нет Попытаться снова поднять, если не поднялся Не всегда Бывают состояния вида, Алексей (??), 09:47 , 01-Апр-24, (249) Ну как в этом случае тебя спасет Type notify Возьмешь ноут и срочно поедешь в Ц, Аноним (121), 14:07 , 01-Апр-24, (256) Если notify вызывается в нужном месте кода, после открытия порта, получения kerb, Аноним (259), 20:10 , 01-Апр-24, (262) Мимо lzma since dpkg 1 14 0 deprecated https gcc gnu org onlinedocs gcc D, pavlinux (ok), 16:33 , 02-Апр-24, (270) Да, тоже удивило Либо этому факту 0 внимания, либо ыыыааа снова systemd Проце, Аноним (235), 21:06 , 31-Мрт-24, (235) +1 // Это все понятно и даже выглядит логично НО Можешь подсказать, или даже придума, Аноним (121), 23:25 , 31-Мрт-24, (239) // Чтобы sshd включался при runlevel 3, у его юнита в секции Install написано Wan, Аноним (235), 00:04 , 01-Апр-24, (240) Вопрос был о другом Какому сервису требуется старт After sshd, не важно явно , Аноним (121), 00:21 , 01-Апр-24, (241) На Пенни Сейчас мир больших облаков и HDD, чего мелочиться как детям , Аноним (136), 20:01 , 30-Мрт-24, (138) Вот что выходит когда пренебрегают безопасным языком, который умеет безопасно ра, Аноним (144), 20:22 , 30-Мрт-24, (144) +1 // Бэкдоры обнаруживают, а не спят годами в cargo , Аноним (224), 17:47 , 31-Мрт-24, (225) Уровень эпичности всей этой истории - 98 Операция длилась два года и такой про, Аноним (-), 21:14 , 30-Мрт-24, (155) +1 // Ну тут надо смотреть что первичнее Андрес или жор процессора в определенных усло, Аноним (130), 21:16 , 30-Мрт-24, (156) Санта Барбара Садить надо за такое, найти и посадить, чтобы неповадно было , Аноним (159), 21:36 , 30-Мрт-24, (159) // Ну найди , Аноним (195), 09:15 , 31-Мрт-24, (195) Кстати говоря, закачал сейчас последний veracrypt на debian testnig Вылет на л, AKTEON (?), 23:20 , 30-Мрт-24, (163) // Подозрения, что ты скачал файлы собранные под другой дистрибутив , Аноним (78), 23:34 , 30-Мрт-24, (165) // Подтверждаю git clone https github com veracrypt VeraCrypt git log commit 6e28, авпапварт (?), 23:43 , 30-Мрт-24, (168) Проблема в wxWidgets, решение там приведеноhttps github com veracrypt VeraCryp, Аноним (171), 01:48 , 31-Мрт-24, (171) Бросайте этот veracrypt, заместо него есть LUKS Или хочется GUI и еще один вект, Аноним (181), 02:52 , 31-Мрт-24, (181) // И как будет работать LUKS при установке другого дистрибутива с другой версией яд, Аноним (198), 10:01 , 31-Мрт-24, (201) // Нормально Я даже флэшки им шифрую , Аноним (-), 12:17 , 31-Мрт-24, (207) Прекрасно будет работать, потому что хранит параметры шифрации в своём заголовке, Грязный Гарри (-), 05:45 , 01-Апр-24, (246) 1 Ни GNU ld binutils , ни lld llvm НЕ используют glib 2 Если падает компоно, Алексей (??), 09:57 , 01-Апр-24, (250) Некоторые пакеты статически линкуют libunwind и статическая libunwind требует ст, Аноним (78), 23:34 , 30-Мрт-24, (164) // поживем увидем Это должна была быть ответкой, своего рода в час Х Ну вот и в , Sw00p aka Jerom (?), 01:51 , 31-Мрт-24, (172) Скрыто модератором, Аноним (198), 02:33 , 31-Мрт-24, (178) Вот дурень, сперва надо было получить все награды от гугла, а потом палиться , Аноним (198), 02:46 , 31-Мрт-24, (180) +1 Альт неуязвим , Аноним (-), 08:35 , 31-Мрт-24, (194) +1 // Не обновляли хз с 2021 года Красавцы , аннаним (?), 11:25 , 31-Мрт-24, (205) // Скрыто модератором, Аноним (-), 15:51 , 31-Мрт-24, (213) Технично Социальная инженерия для смены сопровождающего Исправление бага через, mustai (ok), 15:01 , 31-Мрт-24, (209) Чтобы избавиться от бэкдора достаточно вернуть xz-5 4 , Аноним (101), 15:05 , 31-Мрт-24, (210) // Да, но вас могли уже взломать , Аноним (-), 22:12 , 31-Мрт-24, (237) Оказывается выгорание очень опасно У меня сначало было выгорание на неделю, пот, Аноним (217), 16:58 , 31-Мрт-24, (217) // 129315 129315 129315 вы там осторожней с контейнерами под винду Контейне, АнонПапка (?), 18:23 , 31-Мрт-24, (228) Скрыто модератором, Алексей (??), 08:56 , 02-Апр-24, (267) Хорошо что вообще обнаружили, причем благодаря случайности А сколько таких же с, Аноним (224), 18:58 , 31-Мрт-24, (232) +1 // Посмотрел репозиторий Cargo - там нет ни макросов m4, ни automake, только нескол, Аноним (-), 21:47 , 31-Мрт-24, (236) +1 // А сколько в самом годе сидит Ведь никто не будет каждый файл исходников доскона, Neon (??), 04:57 , 01-Апр-24, (244) Сильно намудрил он с бекдором Если бы процесс сборки и производительность не да, Аноним (238), 23:01 , 31-Мрт-24, (238) +1 // да вы, прямо, переживает что их отловили о , sunjob (ok), 13:51 , 03-Апр-24, (272) Интересно, а сколько ещё не выявленных задних дверей в других пакетах прячется , Аноним (248), 09:14 , 01-Апр-24, (248) +2 Вот, отличное доказательство того, что критиков надо слать на три буквы не стесн, Аноним (255), 13:46 , 01-Апр-24, (255) // Правильно, критики они же все хотят тебя подсидеть Не может быть что в их критик, Аноним (257), 14:34 , 01-Апр-24, (257) // Таких, как эти Jigar Kumar и Hans Jansen 8212 да Ты открой почитай, там supe, Аноним (263), 23:06 , 01-Апр-24, (263) обычно-же критиканы пилят и поддерживают проекты о , sunjob (ok), 13:50 , 03-Апр-24, (271) Модель с тестированием и обкаткой приложений перед выпуском в официальный релиз , Аноним (-), 14:20 , 02-Апр-24, (268) Дальше не интересно , pavlinux (ok), 16:18 , 02-Апр-24, (269) FreeBSD не зацепило , Аноним (-), 18:08 , 03-Апр-24, (273) 2,3,4,5,7,9,13,17,18,22,25,29,53,58,59,60,81,89,92,97,104,105,106,116,120,121,138,144,155,159,163,164,180,194,209,210,217,232,238,248,255,268,269,273

Сообщения

[Сортировка по времени | RSS]

	8. "Ретроспектива продвижения бэкдора в пакет xz"	–1 +/–
	Сообщение от Аноним (16), 30-Мрт-24, 13:01
	Расследование уже началось. Дело будет, если найдут подозреваемого. Судя по всему, он (они) всегда ходил через VPN, так что найти настоящего человека будет нереально. NSA/CIA/RedHat/Microsoft уже в работе.
	Ответить | Правка | Наверх | Cообщить модератору

	34. "Ретроспектива продвижения бэкдора в пакет xz"	+/–
	Сообщение от Аноним (16), 30-Мрт-24, 13:46
	Proof: https://www.cisa.gov/news-events/alerts/2024/03/29/reported-...
	Ответить | Правка | Наверх | Cообщить модератору

	47. "Ретроспектива продвижения бэкдора в пакет xz"	+11 +/–
	Сообщение от Аноним (47), 30-Мрт-24, 14:16
	> всегда ходил через VPN > NSA/CIA/RedHat/Microsoft уже в работе. Вот кто-то подумает, что во всем опять VPN виновен. Архив релиза, говорят, был подписан. А значит проблема в ОРГАНИЗАЦИИ работы с ключами! Кто в глаза видел этого "Jia Tan"? Кто подписал его OpenPGP ключ? Где цепочка доверия между его OpenPGP ключом и ключами ментейнеров которые включили его пакет в дистрибутивы? Не даром Линус графики рисует с цепочками доверия к ключу КАЖДОГО разраба: https://git.kernel.org/pub/scm/docs/kernel/pgpkeys.git/tree/... И отдельно стережет все публичные ключи разрабов: https://git.kernel.org/pub/scm/docs/kernel/pgpkeys.git/tree/... https://git.kernel.org/pub/scm/docs/kernel/pgpkeys.git/tree/... https://mirrors.edge.kernel.org/pub/site/keyring.gpg https://mirrors.edge.kernel.org/pub/site/keyring.kbx
	Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

	50. "Ретроспектива продвижения бэкдора в пакет xz"	+4 +/–
	Сообщение от Аноним (47), 30-Мрт-24, 14:24
	> посетовал на выгорание и проблемы с психическим здоровьем, и передал право мэйнтейнера Jia Tan Ну вот, траванули разраба, а он передал управление проектом непонятно кому. Где крос подписи ключей Lasse Collin и Jia Tan? Где цепочка доверия между ключами Lasse Collin и Jia Tan?
	Ответить | Правка | Наверх | Cообщить модератору

	70. "Ретроспектива продвижения бэкдора в пакет xz"	+1 +/–
	Сообщение от timur.davletshin (ok), 30-Мрт-24, 15:11
	На самом деле просто ключами PGP разработчики пользоваться не умеют в своей массе. Это не домысел, это факт.
	Ответить | Правка | Наверх | Cообщить модератору

	73. "Ретроспектива продвижения бэкдора в пакет xz"	+1 +/–
	Сообщение от Аноним (47), 30-Мрт-24, 15:22
	Лет 5 назад лично проводил исследование применение OpenPGP для подписи пакетов. В Gentoo distfiles: <15% пакетов имели подписи. Среди них поддельных пакетов не обнаружил. 1 пакет подписан одновременно двумя разработчиками. было замечено несколько <10 пакетов которые меняли разработчика. среди них пару пакетов сменили разработчика и не было кросподписи ключей старого и нового разраба. То есть наш случай.
	Ответить | Правка | Наверх | Cообщить модератору

	118. "Ретроспектива продвижения бэкдора в пакет xz"	+1 +/–
	Сообщение от Аноним (118), 30-Мрт-24, 18:47
	Можно про методику?
	Ответить | Правка | Наверх | Cообщить модератору

	251. "Ретроспектива продвижения бэкдора в пакет xz"	+/–
	Сообщение от Аноним (251), 01-Апр-24, 10:44
	man gpg Скрипт, написанный лет 5 назад, который проверяет PGP подписи файлов с Gentoo distfiles, а так же следит за сменой подписи у файлов релиза. Если новый релиз подписан другой подписью, то дополнительно проверяется есть ли крос-подписи старого и нового ключа. Данная проверка охватывает <15% Gentoo distfiles и только пару пакетов ее не проходят, xz-utils тоже засветится ибо сменил разраба с Lasse Collin на Jia Tan и их ключи не имеют крос-подписей. Эти пару пакетов можно поставить на аудит и проследить за их разрабами. По остальным >85% пакетов даже авторство и аутентичность трудно подтвердить. Троян может не разраб добавить, а кто-то по дороге к тебе.
	Ответить | Правка | Наверх | Cообщить модератору

	76. "Ретроспектива продвижения бэкдора в пакет xz"	+/–
	Сообщение от Аноним (76), 30-Мрт-24, 15:34
	Разработчики ? хм. Вот к примеру раздают LibreOffice, сам пакет и подпись asc к нему. Вы может по шагам описать как правильно проверить этот пакет ? Я механизм знаю, проверял, какая то фигня а не проверка.
	Ответить | Правка | К родителю #70 | Наверх | Cообщить модератору

	77. "Ретроспектива продвижения бэкдора в пакет xz"	–2 +/–
	Сообщение от timur.davletshin (ok), 30-Мрт-24, 15:45
	> Разработчики ? хм. > Вот к примеру раздают LibreOffice, сам пакет и подпись asc к нему. > Вы может по шагам описать как правильно проверить этот пакет ? > Я механизм знаю, проверял, какая то фигня а не проверка. Инструкцию на сайте убрали уже рядом с предложением скачать подпись для проверки? Или ты из тех, кто их не читает? У меня тут буквально пару недель назад один носился "У меня образ Debian контрольную сумму выдаёт не ту. А! Меня ломанули!". Оказалось, что он умудрился сравнивать образ Debian с XFCE c контрольной суммой от "обычной" сборки.
	Ответить | Правка | Наверх | Cообщить модератору

	91. "Ретроспектива продвижения бэкдора в пакет xz"	+/–
	Сообщение от Аноним (91), 30-Мрт-24, 16:31
	> Я механизм знаю, проверял, какая то фигня а не проверка. Добавь проверку публичного ключа. Используй WoT и найди несколько цепочек к ключу которому доверяешь.
	Ответить | Правка | К родителю #76 | Наверх | Cообщить модератору

	233. "Ретроспектива продвижения бэкдора в пакет xz"	+/–
	Сообщение от OpenEcho (?), 31-Мрт-24, 20:02
	> Добавь проверку публичного ключа. Это типа - через гпг сервера? Так на них кто угодно от твоего имени залить может. Или это типа ломани хозяина приватного ключа? > Используй WoT и найди несколько цепочек к ключу которому доверяешь. Оптимисты ещё не все вымерли...
	Ответить | Правка | Наверх | Cообщить модератору

	252. "WoT"	+/–
	Сообщение от Аноним (251), 01-Апр-24, 11:04
	Чтобы с высоким уровнем достоверности можно было полагатся на публичный ключ, необходимо найти больше 4 цепочек доверия между твоим ключом и исследуемым. Примеры: https://git.kernel.org/pub/scm/docs/kernel/pgpkeys.git/tree/... https://www.linux.org.ru/forum/security/16839105?cid=16840324 > Так на них кто угодно от твоего имени залить может. Да, любой Васян может залить поддельный ключ любого Вована на сервера ключей. Но на ВСЕХ поддельных ключах Вована залитых на сервера ключей плохими Васянами не будет подписи Вадима которого ты знаешь. Подпись Вадима будет ТОЛЬКО на оригинальном ключе Вовы. Поэтому Web of Trust (WoT) работает и сегодня.
	Ответить | Правка | Наверх | Cообщить модератору

	258. "WoT"	+/–
	Сообщение от OpenEcho (?), 01-Апр-24, 17:10
	> необходимо найти больше 4 цепочек доверия между твоим ключом и исследуемым. Ну и как? Удачно нашел ко ВСЕМ 4 цепочки? > Но на ВСЕХ поддельных ключах Вована залитых на сервера ключей плохими Васянами не будет подписи Вадима которого ты знаешь. В том то и дело, что ни с Вадимом и тем более с Вованом у меня нет ничего общего, как врочем и с теми вымышленными WoT, которые приходят в бар, знакомятся, и показывают свои паспорта(липовые?) для сверки, а в реальности, вон Ху Тян пришел и xz рачком-с поставил. Пока нет достоверного, доверяемого центра сертификации - вся эта ЖПЖ ключеграфия - полный самообман
	Ответить | Правка | Наверх | Cообщить модератору

	275. "WoT"	+/–
	Сообщение от Аноним (275), 04-Апр-24, 17:45
	>> необходимо найти больше 4 цепочек доверия между твоим ключом и исследуемым. > Ну и как? Удачно нашел ко ВСЕМ 4 цепочки? Да: https://git.kernel.org/pub/scm/docs/kernel/pgpkeys.git/tree/... >> Но на ВСЕХ поддельных ключах Вована залитых на сервера ключей плохими Васянами не будет подписи Вадима которого ты знаешь. > В том то и дело, что ни с Вадимом и тем более  с Вованом у меня нет ничего общего, как врочем и с  теми вымышленными WoT, которые приходят в бар, знакомятся, и показывают свои  паспорта(липовые?) для сверки, а в реальности, вон Ху Тян пришел и  xz рачком-с поставил. Одну ошибку по пяне в баре с подписью ключа по липовому паспорту WoT OpenPGP выдержит. Некий уровень достоверности определяется несколкими цепочками доверия к проверяемому ключу. Не подписывайте ключи пяными в барах! Подпишите ключи тех кого вы хорошо знаете: своих одногрупников в универе, сотрудников на работе, членов месной LUG которых давно знаете, ... > Пока нет достоверного, доверяемого центра сертификации - вся эта ЖПЖ ключеграфия - полный самообман Пример работы "достоверного, доверяемого центра сертификации"; https://www.opennet.me/openforum/vsluhforumID10/5564.html Ошибаются или обманывают даже в церкви: https://www.opennet.me/openforum/vsluhforumID15/4883.html#15
	Ответить | Правка | Наверх | Cообщить модератору

	276. "WoT"	+/–
	Сообщение от OpenEcho (?), 04-Апр-24, 19:50
	> Да: https://git.kernel.org/pub/scm/docs/kernel/pgpkeys.git/tree/... Там львиня доля народа до которых у меня нет никакой цепочки чтоб им верить, и еще где гарантия чтоб тот веб сервак не ломанут и что самое интересное, - идентификация в виде огрызка хэша в по первым 8-ми байтам - это просто "вверх секьюрности", я уж не говорю о удобстве проверки при каждом апдэйте сотни софта >  Подпишите ключи тех кого вы хорошо знаете: своих одногрупников в универе, сотрудников на работе, членов месной LUG которых давно знаете, ... Вы с какой планеты вообще ??? Здесь, на Земле - это только в теории и среди 2 землекопов знающих друг друга > Пример работы "достоверного, доверяемого центра сертификации"; https://www.opennet.me/openforum/vsluhforumID10/5564.html Что то я там Торвальдаса не нашел, как впрочем большинство лидеров крупных проектов > Ошибаются или обманывают даже в церкви Здесь не про ошибку, а про то, что нет реального механизма достоверности в ПГП. Програмно, да есть, если обмениваться ключами из рук в руки при условии что 100% это те люди за которых себя выдают, но концептуально все сводится к тому, что Вася не может проверить с 100% достоверностью  Джона на другой стороне планеты. Ходить по одноглазникам и сотрудникам - это конечно хорошо в теории, но в реальности этим никто не занимается, даже больше, очень многие програмисты не догоняют как все плохо с достоверностью в ПГП
	Ответить | Правка | Наверх | Cообщить модератору

	109. "Ретроспектива продвижения бэкдора в пакет xz"	+/–
	Сообщение от Fedd (ok), 30-Мрт-24, 17:30
	gpg --verify LibreOffice_24.2.2.2_Linux_x86-64_deb.tar.gz.asc LibreOffice_24.2.2.2_Linux_x86-64_deb.tar.gz
	Ответить | Правка | К родителю #76 | Наверх | Cообщить модератору

	125. "Ретроспектива продвижения бэкдора в пакет xz"	+2 +/–
	Сообщение от Аноним (76), 30-Мрт-24, 19:20
	Я же сказал что читал инструкцию и что знаю процедуру. Вы поглядите что пишет при проверке ... но это еще пол беды. А если сайт с пуб ключом не доступен ? А кто докажет что пуб-кей тот что нужно ? А если ... Там этих если 2 вагона и тележка. Как раньше здорово было, выложат рядом md5,256-512 sum и т.д. скачиваешь и спокойно проверяешь. А тут фигня какая то... Кстати сделай : gpg --verify LibreOffice_24.2.2.2_Linux_x86-64_deb.tar.gz.asc LibreOffice_24.2.2.2_Linux_x86-64_deb.tar.gz а потом gpg --verify LibreOffice_24.2.2.2_Linux_x86-64_deb.tar.gz.asc и погляди на вывод.
	Ответить | Правка | Наверх | Cообщить модератору

	253. "Ретроспектива продвижения бэкдора в пакет xz"	+/–
	Сообщение от Аноним (251), 01-Апр-24, 11:06
	https://www.opennet.me/openforum/vsluhforumID3/133256.html#252
	Ответить | Правка | Наверх | Cообщить модератору

	136. "Ретроспектива продвижения бэкдора в пакет xz"	+/–
	Сообщение от Аноним (136), 30-Мрт-24, 19:49
	Кто пользует то что на работе работает )
	Ответить | Правка | К родителю #70 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема