LINUX.ORG.RU

Дискуссия о потенциальных проблемах безопасности в Debian

 , ,


3

3

История началась с просьбы разработчика XScreenSaver к мейнтейнерам Debian удалить его программу из репозиториев дистрибутива. Автору программы надоело объяснять пользователям Debian, сообщающим об ошибках в XScreenSaver, что ошибки уже давно исправлены в новых версиях программы, но из-за политики Debian в репозиториях остаётся устаревшая версия программы (от 2014 года). Ранее разработчик даже добавил в XScreenSaver проверку обновлений и вывод уведомления о том, что на его сайте доступна свежая версия, но мейнтейнеры Debian написали патч, удаляющий это окно, чтобы не нервировать пользователей.

Пользователи создают сообщения об ошибках в багтрекере Debian, откуда их посылают с этими ошибками в апстрим к разработчикам программ. Тем самым, впустую тратится время мейнтейнеров (на закрытие багрепортов), пользователей (на сообщения об уже исправленных ошибках) и разработчиков (на разъяснения пользователям того, что ошибка уже не первый год, как исправлена). Страдает и репутация проектов.

К этому конфликту привлёк внимание сообщества Мэтью Гаррет, известный разработчик ядра Linux и один из директоров Фонда Свободного ПО. Он считает, что политика Debian c сохранением представленных в релизе версий программ (осуществляется лишь бэкпортирование исправлений безопасности) имеет и негативные последствия. Порой, разработчики специально не выделяют устранение уязвимостей отдельно, или даже не догадываются, что исправленная ими ошибка могла использоваться злоумышленником. Зачастую, для этого нужно проводить аудит.

Мейнтейнеры Debian же не вникают подробно в каждое изменение кода в апстриме и не переносят такие неочевидные исправления к себе, поскольку, с виду, исправленная ошибка не имеет отношения к безопасности.

>>> Подробности

anonymous

Проверено: JB ()
Последнее исправление: JB (всего исправлений: 1)

Guix

Здесь кто-то сказал Guix? Это тот который позволяет поставить свежую версию XScreenSaver не обновляя других программ.

Camel ★★★★★
()

Автору программы надоело объяснять пользователям Debian, сообщающим об ошибках в XScreenSaver, что ошибки уже давно исправлены в новых версиях программы

А можно было бы просто завести багтрекер. Серьёзно, инструкция https://www.jwz.org/xscreensaver/bugs.html заканчивается «email your bug report to ...». То есть узнать то, что некий баг уже был обнаружен, отослан разработчику, пофиксен и входит в релиз, можно только послав ему мыло. И так каждый раз.

Тем самым, впустую тратится время мейнтейнеров (на закрытие багрепортов), пользователей (на сообщения об уже исправленных ошибках) и разработчиков (на разъяснения пользователям того, что ошибка уже не первый год, как исправлена).

Вот это да, не может быть!

// Даже не дебианоюзер.

anonymous
()
Ответ на: комментарий от anonymous

На самом деле, мне в дебиан тестинг в последнее время всё чаще попадаются баги.

Угадай с трех раз, как переводится слово «тестинг»?

anonymous
()
Ответ на: комментарий от sudopacman

Свои зависимости ближе к телу

Guix поставит свежие версии зависимостей XScreenSaver не трогая при этом зависимости других программ.

Camel ★★★★★
()
Ответ на: Свои зависимости ближе к телу от Camel

Типа, как в генте, можно ставить две версии одной программы одновременно, так и Guix обновит программу, а нужные зависимости обновит, оставив при этом и старые версии?

sudopacman ★★★★★
()
Последнее исправление: sudopacman (всего исправлений: 1)
Ответ на: комментарий от pod

В топку (убунту|центос|слакварь|даже федора|...), софт как говно мамонта...

Что за тупой троллинг? В ubuntu свежий софт.

anonymous
()
Ответ на: комментарий от Quasar

У меня такого ни разу не было в серверной версии.

Rinaldus ★★★★★
()
Ответ на: комментарий от curufinwe

Сам раньше думал, что арч это глюкодром, пока не установил его.

Сколько пакетов ты там установил, сколько функций в них проверил?

darkenshvein ★★★★★
()

Бросайте уже это гиблое занятие, вон даже RH забил на хвалёную стабильность и в RHEL/CentOS 7.1->7.2 прямо на ходу сделали ребейз гнома и gtk.

(А ещё ребейзнули systemd и у меня отвалилась софтина слинкованная с libsystemd-journal.so, можно надсмехаться).

d_a ★★★★★
()

Дебиан тут не при чём,несогласованность в софте общая проблема всех дистрибутивов.Сменой версий софта,наборов системных библиотек должны заниматься профессиональные управляющие,а не собрание разработчиков.Ubuntu -это тоже Debian,но посмотрите,как она поднялась благодаря грамотному управлению.

Maks7lu
()
Ответ на: комментарий от sudopacman

Такой, что его там нет.

вау, т.е. во всех последних версиях программ все их авторы договорились обо всех зависимостях и конфликтах либ? А в дебиане то и не знают и не обновляют софт, вот жеж лохи старые.

darkenshvein ★★★★★
()

Сижу на Дебиане 8 КДЕ с лета. На работе стоит Кубунта 14.04. Могу сказать однозначно, что Кубунта стабильнее. Дебиан постоянно теряет сторонние репозитории, флешки ведут себя ненормально: сразу монтирубтся вместо того, чтобы просто появляться в трее, grsync отвалился от слова «совсем», некоторых пакетов просто нет, грузиться с УЕФИ нормально не может, при загрузке приходится выбирать руками способ, в то время как на аналогичном ноуте с Убунтою всё в порядке. Кучи мелких багов и отсутствие нового софта.

Vudod ★★★★★
()

Из темы понял, что прав был Врунгель «Как корабль назовешь - так он и поплывет». И буратино реально деревянный.

StillSteal
()

Мда... Разочаровался в Debian. Не думал, что пакеты будут от такого года. Ппц. Лучше на Ubuntu перейти

loskiq
()

Debilian - он как назвали, так себя и ведёт. Зная модель разработки Линукса (и всех сопутствующих программ), нет ничего тупее, чем сидеть на устаревшей, ДЫРЯВОЙ версии чего-либо и провозглашать это «стабильностью» (кого-то это мне напоминает?...). В Линуксе НЕТ «стабильности», есть только временное ощущение уверенности, что у тебя всё работает. :)

matumba ★★★★★
()
Ответ на: комментарий от Vudod

. Дебиан постоянно теряет сторонние репозитории, флешки ведут себя ненормально:

понаставил кучу левых реп, а сам жалуешься на проблемы с флешками! и да, каким интересно образом он их теряет?

т, грузиться с УЕФИ нормально не может, при загрузке приходится выбирать руками способ, в то время как на аналогичном ноуте с Убунтою всё в порядке.

мило. т.е. ты хочешь сказать, что разрабы убунты не бекпортят свои наработки в дебиан?

darkenshvein ★★★★★
()

В чём проблема то? Не стесняйся запиливай себе свою новую репу без смс) и сиди довольный, не можешь запилить сиди на некрушном хламе, так всё честно вроде бы..

anonymous
()
Ответ на: комментарий от man_of_motley

ну как бе..разработчики свежого софта довльствуются старыми либами?

darkenshvein ★★★★★
()
Ответ на: комментарий от surefire

Будущее за моделью развития Arch

Святая толстота. Серьезно?

leg0las ★★★★★
()
Ответ на: комментарий от matumba

ДЫРЯВОЙ версии

Прибежала обезьянка matumba и опять начала нести феерическую чушь.

anonymous
()
Ответ на: комментарий от darkenshvein

Я его использую как основную систему с прошлой осени. KDE5. Все то же что в дебиане. Проблем меньше, а те что есть - из-за сырости KDE5, в тестинге дебиана вообще ад творился когда я с него на арч перешел.

curufinwe ★★★★★
()
Ответ на: комментарий от snaf

Я тоже использую Debian как Workstation, наблюдаю проблемы с systemd. Даже где-то здесь была тема с такой же ошибкой как у меня, где фанаты systemd кричали, что это дебианобаг.

flyshoot
()
Ответ на: комментарий от sudopacman

Типа как в Guix

Типа, как в генте, можно ставить две версии одной программы одновременно, так и Guix обновит программу, а нужные зависимости обновит, оставив при этом и старые версии?

Я не знаю как это сделано в Gentoo. Там скорее всего какое-то компромиссное решение из нагромождения костылей на стандартной FHS. Почитайте как работает Guix. Возможность ставить программы с зависимостями не затрагивая при этом других программ органично и естественно вытекает из его устройства.

Camel ★★★★★
()

Есть ещё один аспект этой проблемы. Релизные версии софта ужастно забагованы, поскольку никто кроме ранних тестетов в арчике и роухайде их не видит.

Получается замкнутый круг.

zloelamo ★★★★
()

Перепиливание всего софта мейнтейнерами это, если вдуматься, вообще бомба. Сколько пустой работы и какой потенциал для новых багов.

ptarh ★★★★★
()
Ответ на: комментарий от matumba

matumba ★★★★★ (07.04.2016 11:07:38)

На винфак, мартышка!

anonymous
()
Ответ на: комментарий от man_of_motley

На дебиане в смысле работают. Основная проблема Debian`а / Cent OS`и как production решений - нежелание майнтейнеров бэкпортировать свежие версии. Firefox/Thunderbird в том же дебиане обновляется (под своими названиями), в backports регулярно приходят новые ядра. Но что делать, если например недавно вышедший php 7 хотят все заказчики, потому что оно быстрее, производительней, и экономит деньги на хостинге (нужны меньшие мощности)? Искать говнорепы или собирать самому? Или может пихнуть майнтейнеров, чтобы они бэкпортировали новую версию?

Rolling-release частично решает эту проблему, но имеет свои недостатки, например всякие там скайпы, вайберы, стимы проще собрать под набор либ с определенной фиксированной версией.

leg0las ★★★★★
()
Последнее исправление: leg0las (всего исправлений: 3)

ответ на удалённый комментарий

На самом деле, там всё проще. Приходят на арч вчерашние сусеки-бедианщики, привыкшие не обновляться полностью (на всякий случай!), а ставить/обновлять только точечно что им надо, и опа-опа-опа всё упало

Ещё раз. Я на арче с последнего блек оверлорда, последний арч снёс в прошлом году. У меня дома обычно было штук 5 ноутбуков (жена и трое детей), поэтому везде могли стоять разные ос (в арче изкоробки игрушек вагон, можно напакманить и хай играются).

Это не мы, арчеры старой школы, что-то там неправильно понимаем. Это новая школота прибежала и испортила очень хорошую вещь, а теперь начинает оправдываться «да мы не мы, и вообще всё так и задумано, и вообще у всех всё классно, а кто считает иначе - враги». Я сегодня смотрел-хохотал отзывы про референдум в Нидерландах, так там отвечают ровно то же самое, один в один - «мы все самые правильные, а все вокруг дураки».

buratino ★★★★★
()
Ответ на: комментарий от leg0las

Rolling-release частично решает эту проблему, но имеет свои недостатки, например всякие там скайпы, вайберы, стимы проще собрать под набор либ с определенной фиксированной версией.

Для кого сделали /opt ? Пусть эти скайпы свои либы сами тянут в opt, если их разрабатывают неосиляторы.

curufinwe ★★★★★
()

Ранее разработчик даже добавил в XScreenSaver проверку обновлений и вывод уведомления о том, что на его сайте доступна свежая версия, но мейнтейнеры Debian написали патч, удаляющий это окно, чтобы не нервировать пользователей.

Железная логика, эпично!

Twissel ★★★★★
()
Ответ на: ответ на удалённый комментарий от buratino

изкоробки

Это еще худший диагноз. И ты арчер? Наверное, раньше арчем убунта называлась.

Это новая школота прибежала и испортила очень хорошую вещь

То, что разработчики не выкладывают пакеты под арч, это проблема нового арча, а раньше под него все выкладывали? Что там кто испортил?

curufinwe ★★★★★
()
Ответ на: комментарий от flyshoot

Debian не умеет

Таки дебиан это тоже умеет.

А если свежий XScreenSaver тянет за собой библиотеки у которых явным образом прописаны конфликты с другими программами?

Camel ★★★★★
()

Винда-туфта,но однажды привыкнув к определённой версии какой-то программы,пользователь уверен что он сможет поставить эту версию в любой выпуск винды.Линукс-же меняется каждый месяц,то что работало ещё вчера,завтра может запросто отвалиться.Зачем вкладывать новые выпуски софта в каждый выпуск дистрибутива?Пусть на «новые» грабли наступают те,кому это нравится!Например арчеводы.

Maks7lu
()
Ответ на: комментарий от Maks7lu

Винда-туфта,но однажды привыкнув к определённой версии какой-то программы,пользователь уверен что он сможет поставить эту версию в любой выпуск винды.

потому что на винду работает миллиард разработчиков, который и сглаживает все эти проблемы, проводит все комплексные проверки для microsoft на совместимость и т.д. и т.п.

а во всём опенсорце нет и миллиона. если linux бы использовал такие методы - мы бы сидели на gnome 0.99.28 (а кто хочет, может брать 0.84.22) и kde -5.

buratino ★★★★★
()

Проблема злободневная.

Вообще надо деликатнее относиться к разработчикам программ и не пытаться быть святее папы римского.

В дебиане корежат исходники и названия программ, пилят их на части. Все это недопустимо.

AVL2 ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.