Скинуть гайд по компляции шапочки из фольги или сам найдешь?

А про шапочку я вообще молчу: корпоративный дистр не может быть без закладок.

Каждый судит о маинтейнерах дистрибутивов по себе.

Вот я раньше выкладывал Pisaahriktux без закладок. И пакеты на всякие Яндекс-диски тоже выкладываю без закладок. Значит, судя по себе, я могу быть уверенным в том, что честные маинтейнеры бывают.

А яндекс-диск, значит, не может насовать закладок.

Зачем ему это надо?

Каждый судит о маинтейнерах дистрибутивов по себе.

Если бы я щас разом вернул все деньги, на которые меня кидали (в основном работодатели), хватило бы на квартиру.

Значит, судя по себе, я могу быть уверенным в том, что честные маинтейнеры бывают.

Разницу между кванторами существования и общности рассказать, или сам вспомнишь?

Вот я раньше выкладывал Pisaahriktux без закладок. И пакеты на всякие Яндекс-диски тоже выкладываю без закладок.

а теперь с закладками выкладываешь,что ли?)

Даже не так: по твоей логике выходит, что раз я не убиваю людей и не промышляю разбоем, то убийц и гопников не существует.

Последние годы я его вообще не собираю. Чтобы выложить нужно для начала собрать, да. Вот если надумаю вернуться в ядерную консоль с локалью KOI8-R, то соберу новую версию.

Они существуют, но где-то там. А про рандомного человека нельзя просто так взять и не разобравшись сказать кто он. Называется, презумпция невиновности. Пока не доказано что конкретные маинтейнеры вкручивают закладки в свои пакеты - их дистрибутивами можно спокойно пользоваться.

Это, конечно, не отменяет других очевидных мер предосторожности. Например, очевидно, что даже пользуясь самым безопасным софтом нельзя писать в интернетах, что «Я - миллионер! Проживаю по такому-то адресу, вход с парадной, 7-й этаж, ключ под ковриком.».

Софт во всех бинарных дистрах можно собрать из сорцов, которые тоже лежат в репе и сверить хеши полученных файлов. Вот тебе и задачка на выходные, написать скрипт который это делает. Есть конечно проприетарщина, но о ней разговор особый. А так закладку если и делают, то прямо в сорцах уязвимость оставляют.

возвращайся) тут классно) пишу из ядерной консоли (правда,каюсь, с utf-8) через links -g. rtorrent,mplayer,tmux,cmus,mc - они ведь скучают по тебе)

P.S. пришел я в тред и даже не написал ничего по теме,ох уж этот я. вообще,топикстартер,паранойя твоя не беспочвенна, и узнать наверняка можно только проверив каждый пакет. я склоняюсь к тому, что мейнтенеры основных дистров - debian,arch,gentoo,RH - все-таки такого себе не позволяют. они понимают,что их пользователи в массе своей люди технически грамотные, и рано или поздно такие фокусы выплыли бы. репутация дороже. ну я хочу в это верить,по крайней мере. во всяких васянодистрах может твориться что угодно,конечно. а,ubuntu в основных забыл. ну вот в ней,кстати,и может быть. она же заслуженно извстна,как «стартовый» дистр, переходная ОС между виндой и нормальными дистрами (хотя видал и таких,кто на годы остался в убунте. ну каждому свое). но на всякий случай, я по возможности собираю софт сам (хотя обновлять его не удобно. а для генты комп дохловат,хотя уже давно в ее сторону поглядываю)

И в source дистрибутивах тоже могут быть закладки, ведь никто никогда эти «патчи лежащие отдельно от сырцов» никогда никогда не читает. Да и сорцы, скачиваемые с репы тоже могут быть с закладками.

Софт во всех бинарных дистрах можно собрать из сорцов, которые тоже лежат в репе и сверить хеши полученных файлов.

У меня в генте ccache. Сегодня пересобирал ungoogled-chromium (какая-то мелкая зависимость обновилась) – хитов кеша почти нет. И это не единичный пакет такой; то ли configure генерят дату сборки и пихают её в h-файлы, от которых все сорцы зависят, то ли ещё что. В общем, не верю я в то, что процитированное реалистично. Даже в точности одинаковыми версиями тулчейна. Почему бы, например, линковщику не упорядочивать секции случайным образом. Даже в сраном жава-ентерпрайзе довольно часто приходится выполнять дополнительные телодвижения (небесплатные в рантайме), чтобы получить строго детерминированное поведение ради удобства отладки/тестирования.

Это само собой. :)

Почему бы, например, линковщику не упорядочивать секции случайным образом.

Потому, что нормальные компиляторы как раз про то, что результат компиляции одного и того же кода должен быть одинаков. Вон не так давно какой-то компилятор ачивку заработал, сам себя начал одинаково собирать. Касательно хромиума поздравляю, то что он сам по себе с закладками это не новость.

нельзя писать в интернетах, что «Я - миллионер! Проживаю по такому-то адресу, вход с парадной

Чего ж нельзя-то? А если в парадной жертвенная газовая горелка?

по правде говоря генту как то раз порутали (или что-то в этом духе), в общем синхронизовываться оно стало не с родного репозитория с подсунутого хацкерами. В подробности я не вникал особо. Но с этого момента каждый emerge --sync сопровождается обязательной проверкой контрольных сумм всего портажа, где эталон берется по ключу с официального. Обновляться стало дольше, да, но когда в генте было быстро. Причем с момента совершения гадости до внедрения антигадских мер прошло меньше недели (я обновляюсь обычно так, может и на следующий день на самом деле). Значит можно предположить, что в source based всякие фокусы очень быстро заметят. 99 юзеров пропустят, но достаточно одного недоверчивого/любопытного и известно станет всем и сразу.

P.P.S. забыл слаку,Патрик тоже таким не занимается

А кто сказал, что в бинарных дистрах нет патчей-закладок в софте?

.. а кто сказал что таки есть!?

Есть такая хреновина - в простонародье кличуть Бритвой Оккама, так вот если уж раздувать этот концепт до логической завершённости в прикладной плоскости заданного(в шапке) вопроса, то вот что следует(по непродолжительному здравому размышлению)...

Первый, самый очевидный вопрос - ЗАЧЕМ!?? Грамотные специалисты(таки мастера своего дела) есть в каждой области человеческой деятельности, возьмём самый банальный мотив - шпионаж...ну да, многочисленные успехи китайской(корейской?.. руския хакирЫ!.. да они там все на одно лицо!) разведки, когда накуканивали пентагоны и госдепы через сеть... так вот последующий разбор полётов показывал - что все(сливы) в 100% случаев, обеспечивались не софтварно(ака закладка), а исключительно через человеческие слабости полномочных сотрудников «Жертвы накуканивания» - кого на передок, кого на задок, кого на злато\серебро , а порою, кого и банальным паяльником в заднем проходе. «Человек слаб, зачем ломать машину? проще сломать того, кто за ней сидит...»

В данном случае - каноничность и предсказуемость софта, работает как гарант того, что внедряемый малварь(через скомпроментированного сотрудника например) будет исправно работать при обновлениях базового набора... другими словами, шпиёнам это нужно как щуке зонтик зимой.

Хулиганство? ..ну так себе мотив, есть такая категория как «деловая репутация», если такой «хулюган» внезапно будет пойман(а это произойдет буквально в течении пары дней после того как), то как минимум его обрядят в оранжевый комбез лет на десяток, а то и прикопают так, что и черви не отыщут, не стоит считать хозяев взрослых организаций розовыми кроликами - разговор будет короткий до безобразия.

Терорист-романтик? см. про хулюганов, «бохатай внутренний мир» в наше время интересует разве что глистов, так что тоже особо заморачиваться не станет никто.

Воровство? см. про хулюганов, там разговор ещё короче будет, многочисленные примеры можно глянуть в подборке криминальной хроники, да и там, практически всегда работало правило см. про шпиёнов.

Если внимательно читать еулы и прочие «соглашательства», то все без исключения крупные конторы явно и открыто заявляют о том, что они следят за пользователями, и даже подробно объясняют как, чем и почему, более того, они сцуко это РЕКЛАМИРУЮТ, чуть ли не на каждом заборе, да ещё и соревнуются между собой у кого зонд толще и зубастей...

так что придумай для начала смысл подобных действий.

... а вот чтобы придумать цель сего действа(с точки зрения здравого смысла) - это надо сильно так принять сразу всего и много, и не факт, что после этого не сыграешь в ящик(или в дом скорби)..

Хорошо расписал, и слогом хорошим. :)

в гентушечке

Чтобы собрать софт в гентушечке, нужен бинарник компилятора. Если в компиляторе закладка, как в «Reflections on Trusting Trust», закладки в сгенерированых бинарниках будут и без закладок в исходниках.

Ты, давая сслыпку с голым http, даже хеши посчитать и приложить не в состоянии. При таком уровне бестолковости ты этим аргуметом скорее подтверждаешь позицию оппонента. Если все мейнтейнеры таки же валенки, то закладки в их дистрах точно есть.

Ты, видимо, слегка не в курсе, но воспроизводимые сборки — это крайне нетривиальная задача. Не будут у тебя хеши биться. Это сейчас только у Guix, вроде бы, есть и Nix, наверное.

Купи, пожалуйста, себе клавиатуру у которой пробел и shift работают не через раз.

В таком случае всё кроме guix и nix вообще не имеет ничего общего с безопасностью.

Так тебе и расскажут про все сливы, особенно успешные.

Так тебе и расскажут про все сливы, особенно успешные.

))), теории заговоров это в кащенко, «человек», как биологический вид, достаточно примитивная обезьяна, даже по сравнению с классическими представителями приматов, обладает одним качеством, отличающим его от всего остального животного мира - это совершенно безумное животное, с точки зрения биологической эволюции, обречённое на вымирание... чёт отвлёкся, так вот, это всё работает в обе стороны, если кто-то, успешно подломил кого-то, не важно как, напоил секретаршу, украл ключи пока субъект разлекается с мата-хари или, вот как ты хочешь - «зарядил волшебное обновление чудо-сервера...(и далее по контексту)», то тогда, как показывает тысячелетняя практика существования хомо, «история успеха» остаётся в секрете не очень долго, желающих её повторить и\или усовершенствовав пустить в тираж - да через одного!.. вот только Мавродей - единицы, а лошья, что попались к ним на развод - миллионы, и повторяемость успеха - в районе статпогрешности.

Это я всё к чему - есть такое понятие, «накладные расходы», термин, воплощающий в себе присказку - «овчинка стоит(ли?) выделки...», так вот то что в шапке топика явно и очевидно(любому, кто в теме, и таки в силах!) - не стоит даже в теории, а разумные люди, к коим (с разной степенью достоверности))), можно отнести мейтейнеров большей части дистров, руководствуются прагматичной логикой - «тратить время и силы на то, что никогда не принесёт ничего кроме гемора - безумие».

Но ты конечно можешь попробовать - собери(из говна и палок) из исходников дистрибутив(да хотя бы систему) и модифицируй пару-тройку пакетов, чтобы она(система) 24/7 стримила рабочий стол... да хоть бы в тыртрубу,.. а потом можешь с видом победителя, важно позвякивая пятьюшестью звёздами, заявить тут, на ЛОРе, «я же говорил!...», ну а мы такие - "..да-а-а, чувак то ого-го-го, говорил же..." и такие - «Два чая этому господину! Заслужил, хуле!».

Справедливости ради, достаточно маленького бэкдора с дырой privilege escalation, а уж стример рабочего стола и докачать можно. Тут уместно будет вспомнить червяка Морриса, которому для распространения хватало gets() buffer overflow в sendmail; хотя в подтверждение твоей точки зрения, основная доля заражений пришлась на словарную атаку по паролям (размер словаря – 300 слов).

Тут вот https://reproducible-builds.org/projects/

Но по факту это всё так на минималках, ибо денег нет, и держитесь.

Справедливости ради, достаточно маленького бэкдора с дырой privilege escalation...

вот ради неё же - полностью согласен с твоим утверждением, очевидно, что как только какая убунта(сюзя или кто там ещё) дозреет до состояния установки и запуска распоследней Думы и фаркрая(не силён в этих штуках) прямо из каропки - «да-да-готово», или там танчики-кораблики, или(к примеру) автокад-фотожоп-солид.... и народ начнёт массово клепать убунту-зверь-юэсби-танчики-эдишен))), то да, вероятно это может стать частым явлением. Но в современных реалиях - сама постановка вопроса абсурдна, хотя тех-задание то, выполнить можно и на баше в десять-пятнадцать строк...

Короче предположения и домыслы в духе «попугаем девок ночью у костра» - это в СПИД-инфо лучше.

Если яндекс-диск насует закладок, это всплывет при первой проверке чексумм. Диск о наличии посчитанных чексумм произвольного файла знать не может, поэтому он не может совать закладки выборочно. Обнаружение закладки может сильно подпортить репутацию яндекс-диску, поэтому, на мой взгляд, им нет никакого смысла так делать.

В Deb-дистре просто добавляете параметр и все соберется из исходников.

Меж тем именно linux наиболее интересен для взлома, поскольку всякая интересная инфа на серверах, а не десктопах, где окромя фоток владельца и кучи игр обычно и нет ничего.

Меж тем именно linux наиболее интересен для взлома,

кто ж спорит то, вечное танго кинжал\/vs\/кольчуга никто не останавливал, у соседки всегда сиськи на размер больше, а у соседа кошелёк на две бумажки, а таки толще! Это пока что один из фундаментальных столпов хомо как вида. Прикол в том, что все понимают очевидные пути и эффект сотой обезьяны воспроизводит сам себя в деталях - внушение→поддержание→забывание→новое внушение. На том и революции строятся. У Ибн Халдуна это хорошо и просто описано в теме про «о владении и преемничестве» https://smirnov.iph.ras.ru/win/publictn/texts_2/ikh_t.htm

такова природа.

Неправильный вопрос

нужно спрашивать не о наличии закладок, а о выгоде их автора от злоупотребления твоими приборами. Например, с редхатом вероятнее получить закладки от нса-цру-и-компании, которым мой комп нафиг не нужен – ну и пусть себе лежат. Закладки от отечественных фсбей не добавляют рисков отчественным госструктурам(первые вторых и без этого могут). Ну и т.д. – в твоём конкретном случае безопаснее может оказаться софт насквозь пропитанный великими целями например компартии китая…

Контрольные суммы не защищают ни от чего. Они и в бинарных дистрибутивах есть. Подсказка: майнтейнер пакета интегрирует закладку и нарисует любую контрольную сумму.

А патчи в source-based дистрах без закладок? А сорцы сами без закладок? А компилятор с линковщиком у тебя тоже без закладок что ли? И если ты точно уверен, что да, то подумай о том, что твой компилятор был собран другим компилятором, в котором и была закладка, так что теперь весь твой софт заражён.

Вы зачем-то смешиваете теоретическую возможность подмены файла в траффике (это ещё надо чтобы нашёлся тот, кому это нужно, и потратил силы и время на решение этой задачи; очевидно, что подменять выгоднее наиболее популярные файлы) и намеренное внедрение закладок ещё до выкладывания файлов.

Я всегда считал HTTP (и продолжаю считать) абсолютно обычным протоколом, который ничем не хуже того же GOPHER'а (в котором тоже, вроде как, нет SSL-шифрования).

А хеши считаю атавизмом тех времён, когда людям приходилось докачивать файлы при рвущихся интернет-соединениях. Сейчас интернет стал гораздо стабильнее и скачать файл битым крайне маловероятно.

Это ноут был, перед сном с него писал, забыл опечатки поправить)

Резюме:

Как и в любой системе, все держится частично на добросовестности конкретных людей (в случае дистра и конкретного пакета их может быть всего два или даже один) и частично на технических средствах контроля, которые упрощают проверку. Т.е. 100% гарантии нет, и можно говорить только о том, что внедрить закладку в систему Х проще или сложнее, чем в систему Y, при прочих равных условиях (!).

В общем случае закладки невозможны без злого умысла конкретного человека или группы людей (см. например дизельгейт).

В случае с бинарным пакетом вводным предусловием (допущением) является отсуствие закладок в патчах и основном дереве исходников собираемого пакета.

Как усложнить внедрение:

1. ревью кода, как своего, мейнтейнерского, так и чужого; Т.к. неизменность самих исходников принимается за допущение, можно проверять например самодельные скрипты сборки и вспомогательные утилиты;

2. сборкa кода на отдельных серверах (не писюках разрабов/мейнтейнеров), с отдельными админами/девопсами, со стандартной отчетностью (из какого репозитория от какого коммита что качается (разумеется, включая тулчейн и все зависимости), какие конкретно команды шагов сборки запускаются);

3. возможность любому члену команды воспроизвести сборку на своем писюке, сверить чексуммы, проверить подписи и т.п. Здесь важно отсутствие кастомных самопильных бинарных утилиток.

Так что если ты не уверен, что в конкретный бинарь разрабы дистра не внедрили бэкдор, просто собирай всё сам.

Это в гентушечке патчи лежат отдельно от собственно сорцов пакета, скачиваемых обычно прямо с сайта/репы его авторов. А можно ли верить всяким дебианам с арчами, не говоря уже про всякие калкулейты и убунты с манжарами – это большой вопрос.

Если система сборки дебианов-арчей прозрачна и воспроизводима, нет большой разницы. Где лежат патчи и где сорсы пакета не важно. Главное, что они проходят ревью (м.б. за пределами команды разработчика дистра) и цепочка исходник->бинарь воспроизводима.

Достаточно фейкового DNS, ничего сложного, перехват трафика не требуется.

Это даже уже уровень не валенка, а школьника, который, сидя под виндой, ставит софт с варезников. Не перестаёшь удивлять.

Ну поставь Trisquel или как его там.
Если не верить даже GNU, то уж точно верить нельзя никому, сиди и вычитывай сорцы самостоятельно.

Можно ссылку на статью об этом или письма из рассылки? Впервые об этом слышу.

Единственное, что припоминается: прошлогодняя утечка учётных данных одного из разработчиков на доступ к зеркалу (именно зеркала для разработки) дерева portage для разработчиков и запихивания в самое начало скриптов ebuild что-то вроде rm -rf. Но это всё равно не сработало, т.к. выполнение команд напрямую emerge не допускает, а в остальных случаях они работают в изолированном окружении.

До пользователей (кроме ССЗБ, которые синхронизировались с зеркалом разработчиков, а не зеркалом для синхронизации) эти «правки» не дошли.

но когда в генте было быстро.

Лет 15 назад. Но через git намного быстрее обновляться теперь, чем через rsync

С фейковым DNS-сервером и HTTPS мало чем поможет. HTTPS гарантирует только шифрование между браузером юзера и конкретным сайтом. И ему вообще фиолетово туда ли отправил DNS-сервер юзера или нет.

С фейковым DNS-сервером и HTTPS мало чем поможет

Рука-лицо. Ты же даже самых базовых вещей не знаешь. О чём с тобой разговаривать?

Ну и какие тут базовые вещи? SSL-сертификаты? Если Вы на 1000% доверяете механизму их получения/создания, то, конечно, Вы не будете подозревать здесь подвоха. Однако, я бы не стал надеяться на то, что, якобы, никто не сможет получить липовые SSL-сертификаты.

И не случайно в истории уже немало случаев с массовым отзывом SSL-сертификатов.

Тот же let’s encrypt в последний раз массово отзывал сертификаты вовсе не в связи с их прямой компрометацией.

на 1000% доверяете механизму их получения/создания

Твоё недоверие, связанное с непониманием как это работает, было бы понятно, если бы не вышеназванное. У тебя в голове какая-то каша.

А кто сказал, что в бинарных дистрах нет патчей-закладок в софте?

PGP. /thread