LINUX.ORG.RU
ФорумTalks

ALL YOUR (VS)CODES ARE BELONG TO US

 , , ,


1

3

Привет, ЛОР!

Занимательное чтиво попалось мне. А именно, история о том, как, оказывается, можно без проблем загрузить в магазин дополнений к VSCode троянского коня и через полчаса тебе посыпится профит. Итак:

  1. Берём популярную цветовую тему.
  2. Меняем слегка название, пару цветов, рисуем логотип, добавляем вредоносный код. В данном случае, код просто отправляет содержимое открытого файла на наш сервер.
  3. Покупаем домен с названием нашей темы, настраиваем его и т.д.
  4. Заливаем тему в магазин приложений VSCode. Домена достаточно, чтобы наша тема получила официальную зелёную галочку рядом с именем. В package.json мы при этом можем указать ссылку на любой репозитарий на гитхабе, никто это не проверяет. Поэтому указываем репозитарий без зловреда.
  5. Ждём.
  6. ???????????
  7. PROFIT!!!11

Некие чуваки вот так всё сделали и уже на следующее утро их вредоносная тема была установлена сотней с лишним аболтусов, засветилась на главной странице с дополнениями к VSCode, а им самим стал прилетать в том числе проприетарный код из всяких крупных копрораций.

Мораль истории: ну ты понел.

Ссылка для !Ъ: https://medium.com/@amitassaraf/the-story-of-extensiontotal-how-we-hacked-the-vscode-marketplace-5c6e66a0e9d7

★★★★★

Последнее исправление: hateyoufeel (всего исправлений: 3)
Ответ на: комментарий от cumvillain

А поднасрали? Ну то есть да, они что-то пытались делать, но разве ляптопов, на которые лялекс можно накатить, стало как-то сильно меньше?

Подавляющее большинство юзеров всегда используют дефолт. Многие даже заставку не мешают на экране. Я не шучу. Соответственно, сделав виндоус дефолтом нетехническими методами MS добились превосходства на этом рынке. Соответственно, Windows может быть насколько угодно отвратительной, юзеры это схавают.

На один хороший UX мы можем найти один плохой UX. Суть в том, что это не влияет на репутацию.

Ты не понял мой аргумент тут. Аргумент такой: MS делают сервисы, которые они покупают, хуже. Примеров обратного не найдено.

Это неприятно, но такое же активно пушили федорасы и убунта.

Нет, не пушили. В Ubuntu телеметрия:

  1. отключаемая
  2. передаёт сильно меньше данных, без отчётов о запущенном софте
  3. спрашивает разрешение включиться при установке системы
  4. показывает пример данных, которые она передаёт

В любом случае, это не имеет никакого отношения к данным: исходному коду твоих приватных проектов, твоей кредитке, фоткам голых жоп твоих шлюх.

Зато Windows Recall, делающая скриншоты экрана, имеет.

hateyoufeel ★★★★★
() автор топика
Последнее исправление: hateyoufeel (всего исправлений: 2)
Ответ на: комментарий от hateyoufeel

Подавляющее большинство юзеров всегда используют дефолт. Многие даже заставку не мешают на экране. Я не шучу. Соответственно, сделав виндоус дефолтом нетехническими методами MS добились превосходства на этом рынке. Соответственно, Windows может быть насколько угодно отвратительной, юзеры это схавают.

Когда они сделали Windows дефолтом, ни о каком десктопном ляликсе ещё речи не шло.

Ты не понял мой аргумент тут. Аргумент такой: MS делают сервисы, которые они покупают, хуже.

Хуже для кого? Skype for Business оказался весьма востребован.

Нет, не пушили.

Оно чуть лучше, но попытки протащить больше телеметрии были. Их откатывали только потому что юзеры бугуртили. Что, в целом, хорошо.

передаёт сильно меньше данных, без отчётов о запущенном софте

Но передает установленный, что в большинстве случаев то же самое.

cumvillain
()
Ответ на: комментарий от cumvillain

Когда они сделали Windows дефолтом, ни о каком десктопном ляликсе ещё речи не шло.

Ичо? Зато он появился через 10 лет после того. Представь, если бы пара жирных вендоров начали вкладываться в люнексовый десктоп в районе 2000 года.

Хуже для кого? Skype for Business оказался весьма востребован.

Хуже для юзеров. Skype for Business – отдельный продукт, к изначальному скайпу отношения не имеющий.

Но передает установленный, что в большинстве случаев то же самое.

Во-первых, нет. Во-вторых, всё сравнение можно заканчивать на том, что в федорабунте телеметрия выключена из коробки и спрашивает разрешения включиться. А не требует 100500 хаков через реестр и патченные DLL, чтобы от неё избавиться.

hateyoufeel ★★★★★
() автор топика
Ответ на: комментарий от hateyoufeel

Ичо? Зато он появился через 10 лет после того. Представь, если бы пара жирных вендоров начали вкладываться в люнексовый десктоп в районе 2000 года.

Мы много чего можем напредставлять, но этого никто не сделал.

Хуже для юзеров. Skype for Business – отдельный продукт, к изначальному скайпу отношения не имеющий.

Ага, и я подозреваю, что ради этого они его и купили. А то что их бизнес-интересы расходятся с комьюнити – ну сорян.

Во-первых, нет.

Да ещё как:

The Ubuntu Popularity Contest (or popcon, in short) gathers statistics determining which packages are the most popular with Ubuntu users. Once a week, the popularity-contest package submits data to a central server (http://popcon.ubuntu.com/). The data are then processed anonymously to generate the statistics available on http://popcon.ubuntu.com/.

Во-вторых, всё сравнение можно заканчивать на том, что в федорабунте телеметрия выключена из коробки и спрашивает разрешения включиться. А не требует 100500 хаков через реестр и патченные DLL, чтобы от неё избавиться.

В Fedora собираются сделать opt-out.

cumvillain
()
Ответ на: комментарий от cumvillain

Ичо? Зато он появился через 10 лет после того. Представь, если бы пара жирных вендоров начали вкладываться в люнексовый десктоп в районе 2000 года.

Мы много чего можем напредставлять, но этого никто не сделал.

Ага. Потому что никто не хочет получить жирный иск в суд за нарушение патентов от одной из самых крупных корпораций на планете и потратить десятки мегабаксов на судебные тяжбы, исход которых скорее всего будет не в их пользу. Удивительно, правда?

В Fedora собираются сделать opt-out.

Но не сделали.

hateyoufeel ★★★★★
() автор топика
Ответ на: комментарий от hateyoufeel

Ага. Потому что никто не хочет получить жирный иск в суд за нарушение патентов от одной из самых крупных корпораций на планете и потратить десятки мегабаксов на судебные тяжбы, исход которых скорее всего будет не в их пользу. Удивительно, правда?

Ну мы же оба понимаем, что дело вообще не в этом. Просто это все никому не уперлось. Кому уперлось, продают свой Framework и никто никого не засудил.

Но не сделали.

Потому что будущее… впереди. АУФ.

cumvillain
()
Ответ на: комментарий от cumvillain

Ага. Потому что никто не хочет получить жирный иск в суд за нарушение патентов от одной из самых крупных корпораций на планете и потратить десятки мегабаксов на судебные тяжбы, исход которых скорее всего будет не в их пользу. Удивительно, правда?

Ну мы же оба понимаем, что дело вообще не в этом.

Дело в этом.

Просто это все никому не уперлось. Кому уперлось, продают свой Framework и никто никого не засудил.

  1. Framework не имеют OEM-соглашений с MS
  2. Framework не занимаются разработкой дистрибутивов Linux
  3. Всё, о чём я писал выше, относится к середине-концу 2000х, когда настольные ОС были основой бизнеса у MS. Сейчас это уже не так, и вряд ли MS будут залупаться сегодня. Тем не менее, ущерб уже нанесён.
hateyoufeel ★★★★★
() автор топика
Последнее исправление: hateyoufeel (всего исправлений: 1)
Ответ на: комментарий от hateyoufeel

Середина-конец 2000х это время, когда Столман был лицом опенсурса и мозоли жрал сидя на кафедре. Мне кажется сравнение репутации, основываясь на этом периоде, будет не в пользу опенсурса.

cumvillain
()
Ответ на: комментарий от cumvillain

В команде противника был жирный лысый балмер, вприпрыжку кастующий девелоперсов. Тоже неоч.

thesis ★★★★★
()
Ответ на: комментарий от cumvillain

Середина-конец 2000х это время, когда Столман был лицом опенсурса и мозоли жрал сидя на кафедре. Мне кажется сравнение репутации, основываясь на этом периоде, будет не в пользу опенсурса.

Столлман – нишевый персонаж, средний нормис с убунтой про него мог даже не слышать.

Тем не менее, середина 2000х – это время, когда рынок домашних компов вырос многократно и начал устаканиваться. Если бы MS тогда не угрожали всех засудить по самые гланды, люнекс бы сейчас был чуть популярнее трёх процентов. Не на уровне венды, конечно, но популярность на уровне макоси уже бы не казалась фантастикой.

Вот за это MS и не любят.

hateyoufeel ★★★★★
() автор топика
Ответ на: комментарий от hateyoufeel

Столлман – нишевый персонаж, средний нормис с убунтой про него мог даже не слышать.

Средний нормис про убунту даже не слышал.

Тем не менее, середина 2000х – это время, когда рынок домашних компов вырос многократно и начал устаканиваться. Если бы MS тогда не угрожали всех засудить по самые гланды, люнекс бы сейчас был чуть популярнее трёх процентов.

Это все догадки, основанные ни на чем. Европейский рынок запросто мог бы выиграть от этого, но почему-то никто ничего не сделал. Наверное, дело все-таки не в страшной MS.

Вот за это MS и не любят.

За гипотетические истории? Ну я так и думал.

cumvillain
()
Ответ на: комментарий от cumvillain

Это все догадки, основанные ни на чем. Европейский рынок запросто мог бы выиграть от этого, но почему-то никто ничего не сделал. Наверное, дело все-таки не в страшной MS.

Европейский рынок в разы меньше США. Он просто неактуален.

За гипотетические истории? Ну я так и думал.

Ты в глаза что ли долбишься? Я выше постил ссылки на вполне реальные случаи исков или открытых угроз исков со стороны MS. Хуже того, некоторых линуксовых вендоров MS таки прикрыла. Например, Lindows OS.

hateyoufeel ★★★★★
() автор топика
Последнее исправление: hateyoufeel (всего исправлений: 1)
Ответ на: комментарий от hateyoufeel

Европейский рынок в разы меньше США. Он просто неактуален.

Он в полтора раза больше по количеству людей. Даже без учета РФ.

Ты в глаза что ли долбишься? Я выше постил ссылки на вполне реальные случаи исков или открытых угроз исков со стороны MS. Хуже того, некоторых линуксовых вендоров MS таки прикрыла.

В 2000х? Это было 20 лет назад, оло.

Например, Lindows OS.

Latest release: 14 / December 18, 2023; 5 months ago

cumvillain
()
Ответ на: комментарий от cumvillain

Он в полтора раза больше по количеству людей. Даже без учета РФ.

Он в разы меньше по количеству бабла на нём.

В 2000х? Это было 20 лет назад, оло.

Ты понимаешь, как одни события могут являться причиной других?

Latest release: 14 / December 18, 2023; 5 months ago

С 2007, когда судилище кончилось, по 2018 они были закрыты. Деятельность возобновили только в 2018.

То есть, судилище с MS остановило их бизнес на 11 лет. Не очень полезно для продвижения люнекса, наверное.

https://distrowatch.com/table.php?distribution=linspire

hateyoufeel ★★★★★
() автор топика
Последнее исправление: hateyoufeel (всего исправлений: 1)
Ответ на: комментарий от hateyoufeel

Он в разы меньше по количеству бабла на нём.

Это никак не влияет на копеечные ноуты, которые в любом случае нужны всем.

Ты понимаешь, как одни события могут являться причиной других?

Мы так до рюрика дойдем.

То есть, судилище с MS остановило их бизнес на 11 лет. Не очень полезно для продвижения люнекса, наверное.

Ну ты почитай хоть чем закончилось:

Microsoft v. Lindows.com, Inc. was a court case brought by Microsoft against Lindows, Inc in December 2001, claiming that the name «Lindows» was a violation of its trademark «Windows.»

After two and a half years of court battles, Microsoft paid US$20 million for the Lindows trademark, and Lindows Inc. became Linspire Inc.

Они в них по сути $20M инвестировали :DDDDDDD

cumvillain
()
Последнее исправление: cumvillain (всего исправлений: 2)
Ответ на: комментарий от cumvillain

Это никак не влияет на копеечные ноуты, которые в любом случае нужны всем.

Про копеечные ноуты смотри на OEM соглашения. Ссылку я выше приводил.

То есть, судилище с MS остановило их бизнес на 11 лет. Не очень полезно для продвижения люнекса, наверное.

Microsoft v. Lindows.com, Inc. was a court case brought by Microsoft against Lindows, Inc in December 2001, claiming that the name «Lindows» was a violation of its trademark «Windows.»

After two and a half years of court battles, Microsoft paid US$20 million for the Lindows trademark, and Lindows Inc. became Linspire Inc.

А сколько они на юристов потратили? Мне кажется, 6 лет юридических услуг против MS выйдут больше чем в 20 мегабаксов.

hateyoufeel ★★★★★
() автор топика
Ответ на: комментарий от hateyoufeel

Про копеечные ноуты смотри на OEM соглашения. Ссылку я выше приводил.

Ты и про lindows рассказывал, а выяснилось, что MS тупо выкупили торговую марку.

cumvillain
()
Ответ на: комментарий от cumvillain

Про копеечные ноуты смотри на OEM соглашения. Ссылку я выше приводил.

Ты и про lindows рассказывал, а выяснилось, что MS тупо выкупили торговую марку.

Нет. MS 6 лет таскали их по судам, в результате чего ты потеряли торговую марку. Когда ты небольшая компания, судилище с MS явно не влияет на твой профит.

hateyoufeel ★★★★★
() автор топика
Ответ на: комментарий от hateyoufeel

Такие юзеры, которые все принимают по-дефолту, они и в отношении линукс ничего не меняют, если вдруг по какому-то стечению обстоятельств он оказывается в их распоряжении.

dmitry237 ★★★★
()
Ответ на: комментарий от hateyoufeel

Нет. MS 6 лет таскали их по судам, в результате чего ты потеряли торговую марку. Когда ты небольшая компания, судилище с MS явно не влияет на твой профит.

Не шесть, а три. Первый суд начался в 2001, закончился в 2002. Второй пытался начать в 2004, но в итоге судья их послал и MS выкупили трейдмарк.

cumvillain
()
Ответ на: комментарий от cumvillain

Нет. MS 6 лет таскали их по судам, в результате чего ты потеряли торговую марку. Когда ты небольшая компания, судилище с MS явно не влияет на твой профит.

Не шесть, а три. Первый суд начался в 2001, закончился в 2002. Второй пытался начать в 2004, но в итоге судья их послал и MS выкупили трейдмарк.

Ну да. Очень положительно влияет на бизнес.

hateyoufeel ★★★★★
() автор топика
Ответ на: комментарий от hateyoufeel

Ну да. Очень положительно влияет на бизнес.

Ну как бы они все это время работали и были живы. Более того, они даже партнерились с MS в 2007.

cumvillain
()
Ответ на: комментарий от cumvillain

Более того, они даже партнерились с MS в 2007.

«Предложение, от которого невозможно отказаться».

Вообще, есть очень много примеров, когда такая маленькая компания даже выигрывает суд, но судебные расходы в итоге приводят к её закрытию.

hateyoufeel ★★★★★
() автор топика
Последнее исправление: hateyoufeel (всего исправлений: 1)
Ответ на: комментарий от hateyoufeel

«Предложение, от которого невозможно отказаться».

Просто MS прокопали в ним жыдовые норы и коварные жыды подменили соглашения.

cumvillain
()
Последнее исправление: cumvillain (всего исправлений: 1)
Закрыто добавление комментариев для недавно зарегистрированных пользователей (со score < 50)