| |
| 2.5, LaunchWiskey (ok), 17:10, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
 А оно по-умолчанию по HTTP ходит? Писал близкий друг автора ключа-звёздочки из соседней новости?
| | |
| |
| 3.31, Аноним (31), 19:14, 06/11/2026 [^] [^^] [^^^] [ответить]
| –6 +/– |
Да. Дебиляновцы из коробки до сих пор plain http используют.
| | |
| |
| |
| 5.115, нах. (?), 10:06, 07/11/2026 [^] [^^] [^^^] [ответить]
| –4 +/– | |
там не нужны никакие атаки на https. Достаточно быть владельцем (или поломать, или предъявить красную книжечку владельцу) какого-нибудь mirror.yandex.ru - и точно так же этот дерьмокод посчитает сумму от реального пакета,а распакует тебе троянский.
И это гораздо более реальный сценарий чем ВРАГИИИИИ перехватывающие твой http-траффик. (так и вижу, стоит сомкнуть глаза, как они лезут с кусачками к кабелю)
то что эти дятлы даже не подумали о таком сценарии - в очередной раз говорит о качестве де6иллиана
| | |
|
| 4.161, Ык (?), 17:20, 08/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Http позволяет кэшировать файлы провайдерами икорпоративными прокси поэтому работает быстрее
| | |
|
| 3.45, Аноним (45), 20:12, 06/11/2026 [^] [^^] [^^^] [ответить]
| +4 +/– | |
Да, пакеты же подписаны блалбаллабал
А в чём проблема завернуть в https я не понимаю. Тот же ютуб трафик постоянно через него гоняет, которого в разы больше чем тех пакетиков. Тем более мажорные обновы раз в два года.
Может дебиан используют на таких ведрах, что они не смогут в еще один слой aes.
| | |
| |
| 4.46, Энтомолог_русолог (ok), 20:15, 06/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
 > А в чём проблема завернуть в https я не понимаю
Ни в чем проблемы нет
И большинство зеркал имеют https, так что можно прописать https в адресе и всех проблем
| | |
| |
| |
| 6.142, Аноним (142), 17:24, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Для тестовый инфры закрытой https гемор. У некоторых есть опасения по поводу перевыпуска серта, типо шаблон машины 2+ года и из коробки будет со старым сертом. Короче не хотят нормально инфру готовить и всем лень.
| | |
| |
| 7.151, Энтомолог_русолог (ok), 22:43, 07/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– | |
Сертификаты выпускаются автоматом, для этого есть целый протокол ACME и десятки клиентов к нему. Не нравятся LE или закрытая инфра? Поднимаешь свой CA с протоколом ACME. Ну да в закрытой инфре и не нужно, у тебя должен быть хост, который качает пакеты снаружи и как-то передает внутрь, этот хост спокойно по https может все тащить и выступать внутренней репой для твоей инфры
Ну, то есть тоже нет никаких проблем, даже надуманных
| | |
| |
| 8.158, нах. (?), 12:12, 08/11/2026 [^] [^^] [^^^] [ответить] | +/– | пока тебе дядя платит за отсиженное время а ты собираешься жить вечно и вечно по... текст свёрнут, показать | | |
|
|
|
|
|
| 3.86, selivan (ok), 00:41, 07/11/2026 [^] [^^] [^^^] [ответить]
| +3 +/– |
 Он совершенно правильно умеет ходить по http, потому что это позволяет:
- кешировать пакеты для кучи серверов, скачивая их один раз
- спокойно через apt-cacher, apt-mirror и похожие софтины обновлять сервера, по соображениям безопасности не имеющие доступа в интернет
При нормально реализованной проверке подписей https в общем-то нафиг не нужен.
| | |
| |
| 4.105, Инопланетянин (?), 04:14, 07/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> При нормально реализованной проверке подписей https в общем-то нафиг не нужен.
Ну вот судя из новости получается нет.
| | |
| |
| 5.139, дохтурЛол (?), 17:01, 07/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
Нет, не получается. Из новости получается, что после скачивания проверки подписи нет.
| | |
| |
| 6.152, Инопланетянин (?), 23:32, 07/11/2026 [^] [^^] [^^^] [ответить]
| –3 +/– | |
> Нет, не получается. Из новости получается, что после скачивания проверки подписи нет.
Это не так работает. Если дверь закрыта на 2 замка, то ломать надо оба, чтобы войти. Был бы httpS, митм бы не сделали.
| | |
| |
| 7.159, edo (ok), 12:55, 08/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
 И как вам поможет https в случае скомпрометированного зеркала?
| | |
|
|
|
| 4.123, Анонисимус (?), 11:39, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Про проделки РКН не надо забывать. У меня с F-Droid без VPN качаются все пакеты, кроме Tor. Умет, анализируют и режут загрузочный трафик.
Сейчас правда загрузка еще и медленной стала
| | |
| |
| 5.125, selivan (ok), 11:42, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
РКН, если не может заблокировать что-то точечно, просто блокирует всё. AWS Cloudfront, Cloudflare, и так далее. От РКН https никак не поможет.
| | |
|
|
|
| 2.8, Аноним (-), 17:31, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
ну вроде как канал прикрывает, но если в репу подсунут - не спасёт. вроде везде уже поправили
| | |
| 2.17, Аноним (17), 18:33, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Это же lpe, какой https?) Подмена частично скачанного файла непосредственно на машине
| | |
| 2.26, Аноним (26), 19:06, 06/11/2026 [^] [^^] [^^^] [ответить]
| –7 +/– |
Апт не умеет https и скорее всего никогда не научится, целостность и доверие проверяется уровнем выше.
| | |
| |
| 3.35, Аноним (35), 19:23, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Апт не умеет https и скорее всего никогда не научится, целостность
> и доверие проверяется уровнем выше.
Надо рассказать все это apt-transport-https и apt-transport-tor всяким...
| | |
| |
| 4.44, Аноним (44), 20:02, 06/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
apt-transport-https давно не нужен (это dummy пакет). Поддержка HTTPS из коробки.
| | |
| |
| 5.147, Аноним (-), 21:18, 07/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
а вот нет. я хз за такие случаи, но при установке всегда есть выбор
| | |
|
|
|
|
| |
| 2.60, нах. (?), 22:10, 06/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– | |
нет, там реально чудовищный дерьмокод. И исправление еще хуже (потому что нимаги трогать то что натяпляпали до тебя, это может обидеть небинарных).
такому коду доверять работать не со 100% trusted external data действительно нельзя, переделывайте все на https и молитесь чтобы зеркало с которого качаете не подломили, а то точно так же могут напихать, и это разумеется дятлы не сообразили.
все что вы совершенно не хотели знать про деpьмиян но зачем-то спросили.
| | |
| |
| |
| 4.81, нах. (?), 23:45, 06/11/2026 [^] [^^] [^^^] [ответить]
| –3 +/– | |
открой патч да и посмотри. А, у тебя лапки. И ты ж не умеешь кодить.
причем и исправление кривое, и метод заслуживает шпицрутенов, и надо было не исправлять полумерами а выбросить код того васяна который его притащил ради каких-то совершенно бредовых use cases (но это низзя, он может абидетцо)
P.S. зато васян использовал греп на безопастном йезычке, не этот ваш дидовский! И очень походу этим горд.
| | |
| |
| 5.95, Инопланетянин (?), 01:16, 07/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
> открой патч да и посмотри. А, у тебя лапки. И ты ж
> не умеешь кодить.
Ну вот я тебя и спрашиваю, что конкретно тебе не нравится. С сылкой на гит.
| | |
| |
| 6.97, нах. (?), 01:28, 07/11/2026 [^] [^^] [^^^] [ответить]
| –3 +/– | |
ссылка прямо в новости. Ты ее, очевидно, даже не открывал.
Если ты не можешь понять два десятка строчек на по сути plain c (там "си с классами", что кстати само по себе показательно) и у тебя не появляется очевидных вопросов к остальным строчкам вида "да какого $%%!;!" и "да что они - совсем ... ели?" - с тобой просто не о чем разговаривать.
| | |
| |
| 7.98, Инопланетянин (?), 01:47, 07/11/2026 [^] [^^] [^^^] [ответить]
| +4 +/– |
> ссылка прямо в новости. Ты ее, очевидно, даже не открывал.
> Если ты не можешь понять два десятка строчек на по сути plain c (там "си с классами", что кстати само по себе показательно)
Ну и дальше что? Пришли конкретно ссылку на строку, к которой у тебя вопросы.
| | |
|
|
|
|
| 3.106, Ананимер (?), 04:47, 07/11/2026 [^] [^^] [^^^] [ответить]
| +3 +/– |
Зеркало это изначально недоверенная вещь,
Надо исправлять косяки в проверке подписи а не подсовывать костыли бездумного безопасничания.
| | |
|
|
| 1.4, Аноним (4), 17:07, 06/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> добиться установки подменённого неверифицированого варианта пакета
Дальше можно и не галлюцинировать про какие-то FileFd раз в систему устанавливается чужой бинарник.
| | |
| |
| 2.9, Аноним (9), 17:32, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Это похоже на отравление кеша, которое имеет место из-за возможности писать в соседний файл, которая появляется из-за флага
| | |
|
| 1.11, Аноним (11), 17:56, 06/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +4 +/– | |
Я сходил посмотреть на изменения и они выглядят какой-то нейрослоп, если честно... Какие-то переоткрытия файла, проверки бессмысленные. В итоге всё сводится к тому, что когда докачали, тогда и считаем контрольную сумму файла, но так и было изначально, только какие-то бессмысленные проверки добавили. Единсвенное наверное хорошо, что файл теперь в эксклюзивном режиме открывают, но это больше защита от того что кто-то локально пошалит, файл поломав, но проверка валидности то всё равно в итоге не прошла бы даже так
Может кто-то сможет лучше объяснить что там в изменениях, мне копаться в полных исходниках желания не было, только вверх и вниз пару экранов дооткрыл
| | |
| |
| 2.56, нах. (?), 21:28, 06/11/2026 [^] [^^] [^^^] [ответить] | –2 +/– | да, чушь какая-то полная Похоже прозапрошлогодней моделью нагенерено и то китай... большой текст свёрнут, показать | | |
| |
| 3.58, нах. (?), 21:41, 06/11/2026 [^] [^^] [^^^] [ответить] | +2 +/– | а, ладно, удалось уговорить опус ответить а не сливаться что небезопастно - аж с... большой текст свёрнут, показать | | |
|
| 2.59, нах. (?), 21:51, 06/11/2026 [^] [^^] [^^^] [ответить] | +1 +/– | 10095 what we will really lost if dropping completely idiotic idea of linking... большой текст свёрнут, показать | | |
| |
| 3.65, Аноним (11), 22:42, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
>The motivating case in that commit message is apt-get changelog a b c where a, b and c are built from one source. All three want the same changelog URI, but each item has its own DestFile
Действительно, создали проблему на пустом месте. Ещё и реализовали внутреннюю логику средствами файловой системы
| | |
| 3.140, mikhailnov (ok), 17:01, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
 > Когда ты зачем-то просишь apt changelog три раза одного и того же одной командой. Мы ведь каждый день именно это и делаем!
Видимо, когда из исходного пакета xxx собраны подпакеты xxx-y, xxx-z, xxx-w, и ты для каждого изз них запросил changelog, а по факту это один и тот же changelog.
| | |
| |
| 4.153, нах. (?), 01:02, 08/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
именно так. Мы ж каждый день именно так и делаем.
т.е. пооптимизировали совершенно бредовую ситуацию, сэкономив пару секунд.
| | |
|
|
| 2.70, Инопланетянин (?), 23:13, 06/11/2026 [^] [^^] [^^^] [ответить]
| –6 +/– |
> и они выглядят какой-то нейрослоп, если честно...
> Какие-то переоткрытия файла, проверки бессмысленные. В итоге всё сводится к тому, что когда докачали, тогда и считаем контрольную сумму файла, но так и было изначально, только какие-то бессмысленные проверки добавили.
Вот это аналитика. Нейпрослоперы не могут разобраться в пачте и называют всех вокруг нейрослоперами. Мда...
| | |
|
| 1.12, Bottle (?), 18:21, 06/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
По мнению апологетов Линукса свобода это зависимость от централизованных репозиториев.
| | |
| |
| 2.19, Аноним (19), 18:41, 06/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– | |
Ты вот язвишь, но местные линуксоиды ведь на полном серьезе воюют против всяких NPM и Cargo, кушая при этом пакеты из репозиториев.
Это то ли слабоумие, то ли лицемерие - то ли оба сразу.
| | |
| |
| 3.27, Аноним (27), 19:09, 06/11/2026 [^] [^^] [^^^] [ответить] | +4 +/– | Так там есть принципиальная разница - репозитории пакетов curated, а в NPM и Car... большой текст свёрнут, показать | | |
| |
| 4.34, Аноним (143), 19:19, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ну если бекдор делает много уважаемый Jia Tan, то это другое дело, такой XZ Utils можно и из репозитория скачать!
| | |
| |
| 5.52, Аноним (52), 20:28, 06/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
Пока что, истории успешного захвата руководства проектами личностями типа Jia Tan исчисляются одним самим Жиа Таном.
| | |
| |
| 6.78, нах. (?), 23:33, 06/11/2026 [^] [^^] [^^^] [ответить]
| +3 +/– | |
наоборот, неуспешного. Попался только Жуан Тян. Остальные успешно руководят.
вот, например, цепочка мутных комитов в apt, каждый из которых был феерично ненужным, но сам по себе безобидным... или откровенно троянский конь закомитивший в musl под видом "cleanup" неожиданное поведение в совершенно неочевидном месте в четыре часа утра.
| | |
| |
| |
| 8.101, нах. (?), 03:04, 07/11/2026 [^] [^^] [^^^] [ответить] | –1 +/– | внезапно, нет случай на который ты ссылаешься - это _апстрим_ наг08някал стопиц... большой текст свёрнут, показать | | |
| |
| 9.112, Аноним (112), 07:44, 07/11/2026 [^] [^^] [^^^] [ответить] | +1 +/– | который именно Думаю речь про CVE-2008-0166 opennet me opennews art shtml nu... большой текст свёрнут, показать | | |
|
|
|
|
| 5.53, Аноним (-), 21:11, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Ну если бекдор делает много уважаемый Jia Tan, то это другое дело,
> такой XZ Utils можно и из репозитория скачать!
В дебиане все получилось по уму - бэкдоры скачали только юзеры unstable. Ну так камикадзе с миноискателем затем и нужны чтоб проверить - есть ли мины на поле :). При том - они добровольно вписались в эту роль, их никто не заставлял юзать последний unstable.
| | |
| |
| 6.79, нах. (?), 23:35, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
их заставил супергерой дебиан, защищающий человечество от небезнадежно устаревшего софта.
И политика поддержки три года (и еще потом пять, вот, пажалуста, /bin/ls вам попатчили)
| | |
|
| 5.55, Аноним (27), 21:26, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Можно зубоскалить, но когда малварь обнаружат, репозиторий - единственное место где её можно прикрыть. А если бы ты тянул код из апстрима напрямую, как, например, в уродском go делают, или ставил приложения через setup.exe как в венде, то ты бы сидел с этим трояном до скончания века, и знать бы о нём не знал.
| | |
| |
| 6.80, нах. (?), 23:38, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
быстроприкрытое ж вляпавшимся не считается?
> А если бы ты тянул код из апстрима напрямую
то точно так же мог бы быстро стянуть исправленный. И setup.exe тоже.
Ну или не стянуть, а запустить троянский. И одного раза вполне хватит, в общем-то.
| | |
| 6.84, Аноним (19), 00:22, 07/11/2026 [^] [^^] [^^^] [ответить] | +/– | Или наоборот - получить Ибо репа - дополнительное звено, которое можно сломать ... большой текст свёрнут, показать | | |
|
|
|
| 3.43, Аноним (43), 19:59, 06/11/2026 [^] [^^] [^^^] [ответить] | +2 +/– | В случае Slackware я доверяю хозяинам пакетов, хозяевам их репозиториев, Патрику... большой текст свёрнут, показать | | |
| |
| 4.48, Аноним (-), 20:19, 06/11/2026 [^] [^^] [^^^] [ответить] | +1 +/– | На этом в общем-то можно закончить Это просто вариант религии , в стиле я вер... большой текст свёрнут, показать | | |
| 4.51, LaunchWiskey (ok), 20:26, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Что-то аж захотелось продовые сервера на Slackware перевести после таких обсуждений. Остановил меня лишь браузер, который отказался на сайт Slackware заходить, ибо там только HTTP.
| | |
|
| 3.68, Инопланетянин (?), 23:08, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> NPM и Cargo
Их васяны туда пушат, еще и без подписей. Давай лучше ты покажешь новость, где кто-то спецом из мэинтейнеров пакетов сделал что-то плохое?
| | |
| |
| 4.85, Аноним (19), 00:34, 07/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
>> NPM и Cargo
> Их васяны туда пушат, еще и без подписей.
И в репы линукса тоже пушат васяны: код из апстрима, который пишут вторые васяны. Только как это относится к обсуждаемой теме?
> Давай лучше ты покажешь новость, где кто-то спецом из мэинтейнеров пакетов сделал что-то плохое?
А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc пакетов сделали что-то плохое? Ты о чем вообще?
| | |
| |
| 5.89, Инопланетянин (?), 00:44, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
>>> NPM и Cargo
>> Их васяны туда пушат, еще и без подписей.
> И в репы линукса тоже пушат васяны: код из апстрима, который пишут
> вторые васяны. Только как это относится к обсуждаемой теме?
Причем тут репы upstream? Вообще-то часто при сборке
1. накладываются пачти
2. мейнтейнер следит за изменениями
=> вероятность пропихнуть что-то плохое сильное сложнее. И дойдет это сильно дольше, т.к. в нормальных дистрах есть unstable -> testing -> stable. В LTS это вообще доедет еще дольше.
>> Давай лучше ты покажешь новость, где кто-то спецом из мэинтейнеров пакетов сделал что-то плохое?
> А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc
> пакетов сделали что-то плохое? Ты о чем вообще?
Задавать такой вопрос про npm? Ты серъезно?
| | |
| |
| 6.91, Аноним (19), 01:01, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Причем тут репы upstream?
При том, что васян-маинтайнер с подписью не спасут тебя от зловредного кода с апстрима. Поэтому я вообще не понял, зачем ты о них упомянул.
> мейнтейнер следит за изменениями
> вероятность пропихнуть что-то плохое сильное сложнее
Не смеши ради бога: с каких это пор маинтайнеры пакетов делают аудит кода, лол?
>> А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc
> пакетов сделали что-то плохое? Ты о чем вообще?
> Задавать такой вопрос про npm? Ты серъезно?
Я же не просто так написал "авторы, а не воры учеток". Новый вредоносный пакет под новым аккаунтом конечно можно пропихнуть - но смысл, если его никто не юзает.
| | |
|
|
|
|
| 2.20, defcon.socialkosmocommunist (?), 18:41, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
Ничто не мешает добавить свои репозитории в систему, вполне децентрализовано, всё в руках пользователей и разработчиков. Например у браузера librewolf свои репозитории, чтобы его скачать с помощью apt надо ручками добавить их в систему.
Как ваше "замечание" относится к теме публикации?
| | |
| 2.21, Аноним (21), 18:43, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Это другое. Дистрибутив может и на зеркалах лежать.
А вот зеркало Windows Store - не сделаешь.
| | |
| |
| 3.37, Аноним (35), 19:27, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> А вот зеркало Windows Store - не сделаешь.
И свой appstore эпловский - хрен поднимешь. Особенно за 5 минут - как свои репы сабжа.
| | |
| 3.50, Аноним (3), 20:24, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Файло на помойках и официальных страничках кончились что ли? Под Вин всего навалом в отличии от лабы и во всех эпостасиях.
| | |
| |
| 4.110, Аноним (107), 07:25, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Под Вин всего навалом
Распакуешь установщик сам ручками или посмотришь что оно сейчас делать будет перед тем как запускать рандомную прогу скачанную с интернета?
| | |
|
| 3.73, Аноним (-), 23:23, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
с другой стороны - помните как пару лет назад всё легло на день-два - от аэропортов до конгломератов, когда вин_апдейт накосячил?
| | |
| |
| |
| 5.138, Аноним (-), 17:01, 07/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
но, по факту, всё прилетает оттуда же, и это единая репа для винды (уверен что у них есть гео-дупликанты - зеркала для регионов). а что конкретно там не так - индус, инопланетяне, секур-подрядчик - вторично же, нет?
если мы говорим про наш классический апт - это, по большей части, классический деби, который имеет свои отдельные зеркала в каждой крупной стране/регионе. и вот насколько такая схема опасна в подломе конкретного зеркала, столь может спасти при отравлении основного.
то на то - шило-мало
| | |
|
|
|
| 2.28, Аноним (27), 19:12, 06/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> По мнению апологетов Линукса свобода это зависимость от централизованных репозиториев.
Какое милое либо полное непонимание темы, либо намеренное низведение до абсурда.
Во-первых, зависимости нет - форкни реп, или свой с нуля сделай, замени урл и используй. Во-вторых, собственно если тут что-то не так, то как должно быть?
| | |
| |
| 3.38, Аноним (38), 19:30, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> зависимости нет - форкни реп, или свой с нуля сделай, замени урл и используй
Ну стало быть npm, cargo, pypi, и да далее тоже не проблема. ЧТД.
| | |
|
| 2.36, Аноним (35), 19:26, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> По мнению апологетов Линукса свобода это зависимость от централизованных репозиториев.
1) Пакеты ставятся хоть и совсем без реп.
2) Своя репа при желании поднимается минут за 5.
Т.е. это - удобство, а не единственный способ, как у всяких iDevice где кроме как из апстора и не поставишь нихрена, и конечно васян не сможет свой стор сетапнуть за 5 минут.
| | |
| |
| 3.42, Аноним (42), 19:55, 06/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> 2) Своя репа при желании поднимается минут за 5.
При условии что у тебя уже есть сервак - да за 5 минут можно попытаться.
> Т.е. это - удобство, а не единственный способ, как у всяких iDevice
А причем тут iDevice? У местного сбpoда горит от npm, cargo, pypi и тд
Хотя условный карго ты точно так же можешь развернуть локально или на сервере и накидать туда нужные данные.
> где кроме как из апстора и не поставишь нихрена, и конечно васян не сможет свой стор сетапнуть за 5 минут.
Ну так эпл ценится как раз за отсутствие васянов)
| | |
| |
| 4.54, Аноним (-), 21:16, 06/11/2026 [^] [^^] [^^^] [ответить] | +/– | Ну, э, быть линуксоидом и совсем не уметь какой-то минимальный http хоть из чего... большой текст свёрнут, показать | | |
| |
| 5.82, Аноним (38), 00:13, 07/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> рулятся вср@тыми корпоратами в основном. Им я сильно меньше доверяю чем майнтайнерам моего дистро.
То, что ядро и все мейнстримные "дистро" пилятся корпорациями для своих нужд, и то, что корпорации содержат на зарплате подавляющее большинство "майнтайнеров" тебе никак не жмёт? Как на счёт корпоративного железа? Кризис доверия не вызывает?
| | |
| |
| 6.111, Ivan_83 (ok), 07:27, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
 Как минимум с фряхой это не так.
ОС пилится на бабло пожертвованное фонду, и теми кто приносит туда патчи, как отдельные разрабы так и от корпов.
Порты типа вообще сообществом, отдельные порты тянут за зарплату, но уж точно не все.
На мне под 2 десятка портов, из которых по работе штуки 4.
| | |
| |
| 7.144, User (??), 20:04, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
И используется она...? А да, уже "никем" и "ни для чего", ага.
| | |
|
|
| 5.145, User (??), 20:11, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ну, это все конечно замечательно - но чудесТные реподержатели на длинном треке расписались в полной невозможности успевать за индус-триальными программистами. Еще до ИИ-бума расписались, заметим. Так что идея one tool to rule она конечно замечательная - но лошадь того, мертвая и дальше не поедет, увы.
Не, если к ней колесиков в виде snap\flatpack\curl|sudo\docker напихать - то с горки-то оно ничо так кувыркается, а вот "в горку" чего-нибудь разрабатывать - неа.
| | |
| |
| 6.156, нах. (?), 10:36, 08/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
ну вот теперь могут взять ыы и успеть, потому что он на поддержку расходует в миллионы раз меньше токенов чем на разработку.
А ты не можешь потому что для этого нужно оплачивать не токены а инфраструктуру.
| | |
| |
| 7.160, User (??), 14:24, 08/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Можно, а зачем?(с)
Т.е. Конкретно эти вот ещё и не могут, скорее всего - им религия не велит, да и токены денег стоят - но ежели вдруг почуют силушку молодецкую да каааак начнут leftpad'ы js'ные с питонятиной в deb-пакеты наперегонки с отсос-дателями собирать - так в раз npm/cargo/pypi/snapstor/flathub/dockerhub и выйдет, только всем хуже.
| | |
|
|
|
|
|
| 2.47, Аноним (52), 20:19, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
А чего ждать в децентрализованных: червей, вшитого шпионского кода?
| | |
| 2.69, Инопланетянин (?), 23:09, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> это зависимость от централизованных репозиториев.
Только для apt можно создать свой репозиторий хоть с CD-диска, хость с флешки и обновляться с него.
| | |
| |
| 3.83, Аноним (38), 00:14, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
А setup.exe или персональный cargo нельзя на флешку записать? Защита стоит какая-то?
| | |
|
| 2.131, уримои (?), 13:45, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ты одарён, но я помогу тебе. Центральный репозиторий - это возможность, а не зависимость, ведь вручную накачать с файлопомоек и поставить ты можешь и в линуксе. Погугли на досуге.
| | |
|
| |
| 2.96, LaunchWiskey (ok), 01:27, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Это что же теперь все сервера переставлять?
И все документы переписывать и работу переделывать, а то мало ли что видоизменённые пакеты туда добавили и вставили. Если хранились видео и фото - то переснимать. Почту - переотправлять.
| | |
|
| 1.40, Аноним (38), 19:32, 06/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– | |
> вклиниться в HTTP-трафик
Но это не повод прекращать священную борьбу против HTTPS на опеннете!
| | |
| 1.62, нах. (?), 22:15, 06/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
и да, https, ВНЕЗАПНО, тоже уязвим.
Только не для мифического mitm, а для куда более банального и куда более вероятного взлома или заведомо васянского "безопастного" зеркала.
- The attacker needs two things: redirects, and transient 5xx errors that
trigger retries. A server operator controls both. The MITM version needed
plain HTTP only to get into a position to send those responses. A rogue
endpoint already has that position, and TLS just encrypts the attack.
- The only HTTPS-specific redirect rule is "no downgrade": basehttp.cc:431-450
forbids https→http, and test-apt-https-no-redirect tests it. That doesn't
matter here. To merge B into A, the server redirects B's URL to A's URL,
normally on the same https:// host. Same scheme, no downgrade.
| | |
| 1.100, Аноним (100), 02:54, 07/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
мне уже с этими кибергеддоном кошмары снятся,как будто меня взломали и наустанавливали мне кучу реклмного софта по типу амиги и прочего...ахах
| | |
| |
| 2.109, Ivan_83 (ok), 07:23, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Жили же с амигой миллионами и ничего, а теперь вон какие эстеты...
Притом что вам и МС в пуск рекламы навалило с лопаты, а всякие хлаоми всю мобилу рекламой завалили - это типа ок?
| | |
|
| 1.108, Ivan_83 (ok), 07:21, 07/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– | |
> Судя по патчу, в котором открытие файла с флагом FileFd::Empty (O_TRUNC) заменено на FileFd::Exclusive (O_EXCL), при возобновлении прерванной загрузки атакующий мог добиться перезаписи данных, для которых при первой загрузке уже было выполнено хеширование.
"Смотрю в книгу - вижу фигу" - уровень понимания патча, при этом ещё и логика у автора отсутствует: как можно проверить хэш файла до его скачивания!?
Там была классическая атака: файл скачали, хэш проверили, потом некто подменил файл и/или симлинк на него на свой файл, который потом и установился.
| | |
| |
| 2.113, Аноним (113), 09:07, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Хэш можно считать прямо в процессе скачивания. Или блоками произвольного размера. Он всё равно не изменится.
| | |
| |
| 3.117, нах. (?), 10:30, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
не, не угадал - оно считает хэш от уже скачаного. А потом радостно скачивает поверх уже посчитанного - троянца, и уже ничего не считает - оно ж уже скачалось.
| | |
| |
| 4.119, Ivan_83 (ok), 10:35, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ну это просто радость какая то.
Лучше бы автор писал на шелл скрипте, может меньше бы натяпляпал :)
| | |
|
| 3.118, Ivan_83 (ok), 10:33, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Я знаю что хэш считается блоками, однако "при возобновлении прерванной загрузки атакующий мог добиться перезаписи данных, для которых при первой загрузке уже было выполнено хеширование." немного про другое.
| | |
|
| 2.116, нах. (?), 10:27, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> "Смотрю в книгу - вижу фигу" - уровень понимания патча
дааа, Ваня, а мы-то думали хоть ты тут умеешь понимать код.
там три строчки буквально. В чем ты ниасилил-то? Сэкономил клик?
> при этом ещё и логика у автора отсутствует
это у де6илли@новских авторов логика отсутствует начисто.
> как можно проверить хэш файла до его скачивания!?
вот если бы ты посмотрел код - не патч, а то что он патчит, и да, там много и запутанно и надо разбираться (и поглядев на чудо-патч ты бы ПОЛЕЗ разбираться в некотором охренении от увиденного, как это сделал я, правда, свалив на робота грязную работу) - то узнал бы что а вот они - СМОГЛИ!
> была классическая атака: файл скачали, хэш проверили, потом некто подменил файл и/или
> симлинк
как ты б... можешь подменить файл или симлинк на чужом локалхосте, расскажи-ка мне?
внезапно, файл подменяет - сама эта поделка. Да, вот именно так - считает одно, а пишет потом поверх другое, и ничего у нее не свисит кроме фляги того горе-улучшателя что это придумал (там и use-case такой что хоть стой хоть падай).
зачем автор патча полез еще и с симлинками бороться в рут-онли-райтабл каталогах - спроси у него. Мы с клавой не шмагли в этом месте перехватить полет его мысли.
(на мой взгляд если у тебя не сработал хардлинк ВНУТРИ /var/cache/apt - тебе не симлинки создавать надо а выдать ошибку и остановиться, или хотя бы перестать страдать ерундой и просто скопировать файл - тут либо фс битая либо васян что-то совсем странное у себя создал, симлинки могут скрыть проблему или создать новую неожиданную дыру)
| | |
| |
| 3.120, Ivan_83 (ok), 10:41, 07/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– | |
Там крестовый код, я открыл патч и у меня кровь из глаз потекла от кода %)
У нормальных людей в начале скачивание, потом проверка хэша, потом распаковка.
Если автор не осилил нормального разделения кода на блоки/стейты то он ещё хуже чем я об нём подумал :)
Короче остаётся только посочувствовать тем кто с этим имеет дела :)
| | |
| |
| 4.121, нах. (?), 11:04, 07/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> Там крестовый код
там в патче си-с-классами, образцовый кот из 96го года, я тоже такой писал (боюсь что и так же, но я ж его выкинул). Т.е. вопросы не к тому что там написано, там все совершенно понятно, вопрос который должен возникнуть у того кто умеет читать код - да что ж за НEX оно патчит-то?
> У нормальных людей в начале скачивание, потом проверка хэша
досюда все верно. А потом - суп. С кодом.
Лучше б я конечно туда не заглядывал. Сохранились бы хоть какие-то иллюзии...
причем это не код из 96го нагадил, он страшненький но в нем-то дыры не было, это модные-современные небинарно-ориентированные в вполне себе 15м году решали задачу ненужную никому на свете. Наверное помогло устроиться потом в FAANG младшим кодописцем. Ну или я уж не знаю что должно было этим человеком двигать.
Про тыщу шоколадных глаз и непосредственно отвечающего за принятие решений какие патчи принимать, а какие в помойку уж и не будем.
| | |
| |
| 5.122, Ivan_83 (ok), 11:35, 07/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
Как бы претензия ещё и к CamelCase и вообще тому как оно написано... ощущение что всё в куче и куча абстракций.
> вопрос который должен возникнуть у того кто умеет читать код - да что ж за НEX оно патчит-то?
Я такое только на работе практикую, чтобы понять кто творит дичь и чей код надо ревьювить с 100х подозрительностью. Недавно как раз такого хлопца отловил, после его правок продукт начал падать там где никогда не падал :)
Со своим кодом понятно кто - я ж один в основном пишу :)
А с совсем чужим только чтобы пнуть автора баги чтобы быстрее ревью прошло, а то будет висеть пару лет пока кто то знакомый с тем куском не найдётся и не сподобится посмотреть.
У тебя же был чудо ЫЫ, он тебе новых 1000500 багов там не нашёл?)
| | |
| |
| 6.154, нах. (?), 01:55, 08/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> У тебя же был чудо ЫЫ, он тебе новых 1000500 багов там не нашёл?)
там выше его анализ этого дерьма. Яйца глист обнаружены.
Нет, я не рискнул его спросить не видит ли он еще каких несуразностей в этом дерьмокоде - мне увиденного уже хватило (я-то умею читать си-с-классами, и ЫЫ спрашивал не что там написано, а ЗАЧЕМ оно такое и какую проблему решает-то. Ну он вон и вывалил.)
пользы от траты токенов подобным образом совсем никакой - ну попатчу я у себя свой один экземпляр на подкроватном сервере. А на тыщах устанавливаемых в конторе дистрибутивных - не попатчу, по очевидным причинам. Добиться от людей которые не моргнув глазом вон то накомитили, чтобы они что-то поменяли у себя - очевидно, без шансов.
отправил его вместо этого xray патчить. (там тоже шансов никаких, issue висит уже год, но это я вполне могу оставить себе. Кому нормального логгинга xhttp - обращайтесь в спортлото.)
| | |
|
|
|
|
|
| |
| 2.130, уримои (?), 13:39, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Примерно тоже, что и убунту/прочие apt-пользователи. Странно, что ты про альт не вспомнил. Хотя их возможно не затрагивает.
| | |
| |
| 3.157, Ponomar (?), 11:30, 08/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
В Альте извращение, там через apt ставится rpm, поэтому наверное сам apt там перелопачен
| | |
|
|
| 1.127, уримои (?), 13:10, 07/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– | |
Смахивает на создание повода к продолжению переписывания на руст. Причём по большей части именно комментарии здесь, а не сама дыра. Типичная ситуация "запутались в лапше"/"починили главным образом симптомы вместо причины" почему-то здесь вызывает особенную реакцию. Хотя везде ровно тоже самое. Вероятно это другое.
Особенно интересны тейки про говнокод(который везде), си с классами(тоже везде, притом что такое цпп, а не си с классами знают единицы) и самецКейс(практически везде, кроме базовых областей, хотя даже там вполне пишут так же - например в llvm).
Кстати, сам хттп(с) нареканий не вызывает, как и горы иного текста практически везде, начитая с метаданных этих пакетов. Наверное это тоже другое.
| | |
| 1.128, iZEN (ok), 13:13, 07/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– |
 И эти люди смеются над пользователями FreeBSD, которые устанавливают пакеты от рута.
| | |
| |
| 2.129, уримои (?), 13:38, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Пакеты все от рута устанавливают(либо из какого-то иного привелегированного сетапа). А в этом треде люди скорее всего кривят душой и не по детски.
| | |
|
| 1.132, Аноним (132), 14:21, 07/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Перванной загрузки - не загрузки конкретного файла за который вы тут бьётесь, а вообще. Он сохранен, хеш подсчитан. Возобновляется загрузка и какая-то магия заставляет скачать "такой же, но другой" файл и думать что это он. Не?
| | |
|
