по моему это и ребёнку должно быть понятно

лоровским ребёнкам непонятно что в ядре были и будут ошибки, их надо искать и устранять а не спамить разработчиков. Вся эта тема с исследованием высосана даже не из пальца. Нормальные исследователи создают инструменты для устранения ошибок

https://www.opennet.ru/opennews/art.shtml?num=54671

а макаки рассылают тонны патчей с багами, а лоровские макаки визжат от радости - какашка попала в ког-то - приматы тупоголовые

они не просто дыры добавили, но подставили end users раскрыв данные не дав разрабам закрыть дырку.

А если бы не раскрыли публично, а начали барыжить на чёрном рынке или слили местным спецслужбам, то всё было бы ок?

Grzegorz

В ядро Linux 5.12 принята подсистема KFence для выявления ошибок при работе с памятью

как инструмент отлова случайных ошибок - круто. а как средство против борьбы со специально скомпонованными якобы-де «заплатками» абсолютно бесполезны.

лоровским ребёнкам непонятно что в ядре были и будут ошибки

поздравляю. капитан очевидность. ошибки как таковые были везде и всегда. и будут везде и всегда. только тема исследования не об этом. а о довольно тухлой проверке кода специально-сформированных исправлений. были довольно нелепые выпады против универа - мы же вам доверяли… ой, лол. доверяй, но проверяй!

Да я и не спорю, что Линукс (и мой софт) шерето, я спорю с методами демонстрации этого.

Согласен, могли бы и не демонстрировать, а по-тихому слить кому надо за $$$. Зато фанатики спокойно и крепко бы спали с непоколебимой верой в непогрешимость ядра.

Grzegorz

против борьбы со специально скомпонованными якобы-де «заплатками» абсолютно бесполезны

приведи пример такой специальной «заплатки» а потом кудахтай

то какой тогда правильный ответ?

* All the other 190 patches being reverted and re-evaluated were submitted as part of other projects and as a service to the community; they are not related to the “hypocrite commits” paper.

Согласен, могли бы и не демонстрировать а по-тихому слить кому надо за $$$.

Тогда бы они пошли по какой-нибудь статье. А тут обошлось вопросами этики.

Зато фанатики спокойно и крепко бы спали с непоколебимой верой в непогрешимость ядра.

Они и сейчас смиренны и веруют. Вообще пикантно, что в линукс сообществе высветилась огроменная религиозная каста, уверовавшая в миллионы глаз Джо. Сравнить даже не с чем. Может быть с сектантами из секты «и иже zfs».

было принято решение больше никогда не принимать патчи от людей из этого заведения

После того, как мы обосрались, забыв снять штаны, было принято решение больше никогда не покупать штаны этой марки.

После того, как мы обосрались, забыв снять штаны, было принято решение больше никогда не покупать штаны этой марки.

А где вы обосрались-то?

Большая часть патчей была отвергнута ещё на этапе ревью. А там, где патчи таки были приняты, они были доработаны и баги в них исправлены.

Или как должно было быть?

Ты думаешь, у меня пять звезд, чтобы по ссылкам ходить что ли?

Ты думаешь, у меня пять звезд, чтобы по ссылкам ходить что ли?

Справедливо. 🙂

то какой тогда правильный ответ?

* All the other 190 patches being reverted and re-evaluated were submitted as part of other projects and as a service to the community; they are not related to the “hypocrite commits” paper.

Напомню вопросы:
* Почему патчи отправляли студенты из команды того же профессора?
* Почему патчи были на ту же тему, что в исследовании (исправление мелких ошибок типа memory leak или use after free)?
* Почему баги в их патчах были так похожи на те, что описывает исследование?
* Какова твоя версия?
На какой из этих вопросов отвечает та цитата?

Кроме того, почему нужно верить тому письму?

Например, там ещё написано «These 190 patches were in response to real bugs in the code and all correct». Но мы знаем, что это неправда. Выше по треду есть разбор патча, который не исправлял никакой «real bug», и был не «correct», а вносил ошибку.

Далее, там написано «Our recent patches in April 2021 [...] were prepared and submitted to fix the identified bugs». Но как мы знаем, это тоже неправда, все 5 патчей ничего не фиксят.

А если в том письме в других местах есть ложь, то почему этой цитате я должен поверить?

PS: интересно было бы узнать, что это за «other projects», а то в письме они об этом написать забыли.

как выше верно подметили подняли множество вопросов, связанных с усложнённостью кода ядра

В этом «вопросе» нет ничего нового. Не нужно проводить исследование, чтобы сказать, что linux kernel — это сложный проект.

с ограниченными ресурсами для обслуживания кода

Опять-таки, ничего нового. Причём linux kernel, вероятно, наиболее эффективно использует эти ресурсы. По крайней мере ничего лучше они не предложили.

вообще безопасность линукса неплохо так была помножена на ноль

Поделена на ноль, чего уж там.

Безопасность вообще не была предметом этого исследования. Наоборот, они исследовали мелкие ошибки, типа memleak-ов, которые не несут угрозы. Там даже в тексте написано «The three introduced UAF vulnerabilities in our experiment may not be exploitable».

конечно, этически может они и плохо поступили!

Плохо. Но не в исследовании.

Ещё раз. Тема исследования — хорошая (но не потому, что она поднимала какие-то вопросы, а потому что она исследовала типичные паттерны, в которых можно не заметить ошибку).

Претензии не к их теме, а к их методам.

Этически плохо — отнимать кучу времени у девелоперов на ревью сотен бажных патчей.

Этически плохо — отнимать кучу времени у девелоперов на ревью сотен бажных патчей.

Это же опенсорс, никто никому ничего не должен, нет?

Grzegorz

Этически плохо — отнимать кучу времени у девелоперов на ревью сотен бажных патчей.

Это же опенсорс, никто никому ничего не должен, нет?

Ну да. Не должен.

И разрабы ядра тоже не должны тратить своё время на их бажные патчи, и могут просто их забанить. 🙂

Но банят их не за то, что они пытались добавить баг в ядро.

И не за то, что они провели исследование.

Банят за их методы — за то, что они отнимали время девелоперов сотнями своих бесполезных / бажных патчей.

(причём делали это и до публикации исследования, и после)

право что-то проверять и требовать должно быть пропорционально размеру донатов

Кому должно?

Grzegorz

пытались выяснить, насколько вероятно намеренное добавление уязвимостей в проекты.

Жаль, что не пробовали выяснить, и отправить патчи в systemd/

Можно подумать, до них это никому не удавалось.
Исследователям удалось поссать мимо унитаза, ёпт.

Какие-то педики попытались внедрить патч, их засекли, и что? Пошли они нах на венду (откуда и пришли).

Не засекли, педики поимели линуксоидов, те сами с дырявого линукса срочно бегут на венду.

Grzegorz

STOP REOPENING!

Банят за их методы — за то, что они отнимали время девелоперов

Так ведь девелоперы, к примеру, могут закрыть багзиллу — тогда их драгоценное время никто отнимать не будет.

Grzegorz

утверждается, что широкой публики эти изменения не стали доступны. провели внедрение и сразу предупредили девелоперов. только вот тупой индусский студент спустя два месяца после этого прислал подозрительный патч. а грег и так уже был раздражен экспериментом. он просто не понял, что за хрень.

Откуда столько угроз физического насилия?

Студенты согрешили с непогрешимым ведром — центром и символом всего красноглазого культа, такое в религиозных сектах не прощают.

Grzegorz

Было бы забавно, если бы исследование выполнили в небольшом университете в российской глубинке.

Согласен, было бы забавно, учитывая что бюджеты отдельно взятых университетов США больше бюджета всей России.

Мне фантазии не хватает

Мне тоже.

Grzegorz

Студенты согрешили с непогрешимым ведром — центром и символом всего красноглазого культа, такое в религиозных сектах не прощают.

Хех ;), хорошо сказано. Думаю, что страсти не утихнут ещё долго. Так линукс давно не обделывался.

а основная масса имхо (даже если брать source-based дистрибутивы) просто механически использует то, что дают, не обременяя себя исследовательскими функциями.

знаю многих гентушников, которые компилят ради компила. смешно честно говоря на этот процесс смотреть. ладно бы они реально изучали и анализировали код, но этого на практике, увы, не происходит.

поэтому лично для себя особо не делаю разницы между сурс-бэйзэд и бинарными дистрами с точки зрения безопасности.

С точки зрения безопасности - может и да, но польза Генту скорее в кастомизируемости. А так то да, многие занимаются компилированием и близко не изучив код, который, собственно компилируют.

неадекватность действий ментейнеров ядра и непонимания рисков

тут надо с ментейнеров спрашивать, которые настолько непрофессионально работают

Похоже на поведение 5 летних, которые требуют, чтобы играли только в их сторону.

Миллионы зорких глаз опенсорса опять оказались шоколадными глазами

Миллионы зорких глаз опенсорса опять оказались шоколадными глазами

код ядра слишком усложнён - размер ГИГАНТСКИЙ, несколько миллионов строк кода. то, что в ядре, могут быть спящие ячейки терро^W хитро закомуфлированные закладки, то тут к гадалке не ходи.

с другой стороны - а что конечному юзеру остаётся делать? может только уходить на какую-нибудь маргинальщину, которой пользуется 0,0000000000000001%. какое-нибудь haiku или netbsd, на которые ещё не обратили внимания корпорации и спецслужбы?

ясно одно, время проверки кода следует увеличить, ввести несколько уровней проверки. да, всё это круто замедлит разработку.

с другой стороны идея прогресса ради прогресса, идея скорости ради скорости - убога.

я не понимаю куда они так спешат раздувать код ядра. смысл? в мире климатические изменения, отвратительная экологическая среда. хватит штамповать груды беполезного кода и ноутбуки, которые работают пару лет, а потом не поддаются ремонту. когда во главу поставлена прибыль - хорошего не жди.

it отрасль по-большему счёту ещё не взята под контроль, философски не осмыслена.

вместо компактного универсального кода - мы имеем шлёп строка, архитектура, шлёп строка строка, архитектура. все эти груды бэкэндов головного мозга, скриптота, жээсы, явы. жирные сайты. и мириады серверных ферм, которые жарят планету.

проблема-то гораздо глубже на самом деле, нежели просто раздутый код ядра, в котором уже сам чёрт ногу сломит. проблема в том, что железо/код не для творчества и улучшения жизни людей, а в том, что железо/код для получения прибыли… отсюда все эти убогие тенденции…

имхо конечно же.

ps работу исследователей из универа полностью поддерживаю.

GregKH

имхо этот тип повёл себя как заправская истеричка, вместо того, чтобы сделать правильные выводы. вообще к коллективу разрабов ядра у меня после их реакции большие претензии. вместо конструктивного диалога они встали в позу, прямо как подростки в период переходного возраста. взрослые люди, превозмогая свои эмоции, всё же должны брать себя в руки и, скрепя зубами, пытаться идти к диалогу.

вообще всё очень смешно. мало в нашем мире по-настоящему взрослых глубоко думающих людей.

Всё происходящее рождает интересные вопросы.

Интересно, сколько в команде разработчиков ядра Linux людей из органов? Сколько людей из органов в командах разработчиков так называемых «отечественных» ОС? Сколько людей из органов в командах разработчиков в Yandex/Mail.ru и тп.? Есть ли люди из органов в командах разработчиков проектов FreeBSD/OpenBSD?

Сразу вспоминается один из кейсов:

Тео де Раадт обнародовал письмо от одного из бывших разработчиков OpenBSD Gregory Perry, касающееся ранних этапов разработки OpenBSD. По его заявлению, ФБР разработала ряд бэкдоров и механизмов утечки ключей в подсистеме шифрования OpenBSD, предназначеных для мониторинга системы шифрования VPN.

Вообще открытому коду мало быть просто открытым. Его ещё следует хорошо проанализировать. Нельзя быть просто программистом, чтобы проанализировать какую-нибудь крипто-подсистему - следует ещё к тому же быть криптографом экстра-класса, чтобы быть способным провести крипографический аудит самого алгоритма с возможностью выявления фундаментальных огрех и чисто алгоритмических бэкдоров.

а потому что нечего использовать linux stable т.к. он давно уже не stable. возьмите хотя бы linux LTS. к чему эта гонка ядер? что они их штампуют как рф-дура запреты?

следует ещё к тому же быть криптографом экстра-класса

ага… этот экстра класс в теории… на практике вместо миллионов зорких глаз опенсорса мы имеем миллион шоколадных глаз экстра класса… учитывая эти горы кодеса, вот это вот всё… вот этот вот весь псевдо-контроль со стороны сообщества уже давным давно миф…

сколько на лоре людей на постоянной основе чекают кодес менеджера памяти, механизм очередей или сетевой стэк (основновная уязвимая часть десктопов)? то-то и оно…

сколько на лоре людей на постоянной основе

Знаю одного такого. Точнее одну такую.

Iron_Bug - за плечами 150 лет разработки супер-качественного кода, который, по правде говоря, никто и в глаза не видел (но это уже проблема иного рода) + без-остановочный патчинг дистрибутива void линукс под себя - тут также никто не в курсе, что там за диво дивное патчится ежедневно, но не суть - главное ведь просиять зелёными звёздами и произнести эти волшебные слова «качественный си-код» и «патчинг», а показывать это необязательно. Там и живём с этими опытнейшими регистрантами на лоре…

Сколько людей из органов в командах разработчиков в Yandex/Mail.ru и тп.?

Телеграмм/Вконтакте точно ФСБ. Но это напрямую к коду не относится.

Тео де Раадт обнародовал письмо от одного из бывших разработчиков OpenBSD Gregory Perry, касающееся ранних этапов разработки OpenBSD. По его заявлению, ФБР разработала ряд бэкдоров и механизмов утечки ключей в подсистеме шифрования OpenBSD, предназначеных для мониторинга системы шифрования VPN.

Жесть. Неуловимые Джо из Опёнка в своём репертуаре. В опёнке и по сей день балаган происходит. Из относительно последнего:

https://www.opennet.ru/openforum/vsluhforumID3/119848.html#71

mv за Трампа.

С ума сошёл! У меня нормальное инженерное образование. А даже с одним семестром психологии трудно на этого идиота даже взирать.

Поэтому выступать на конфах ненужно и вредно. Мало ли кто проплатит шептателей про пидарасов среди массовки :)

У меня нормальное инженерное образование
на этого идиота

Если ты такой умный, то почему ты такой бедный?

Телеграмм/Вконтакте точно ФСБ.

поч тогда этой шляпой пользуются миллионы людей?

Если ты такой умный, то почему ты такой бедный?

Дак, вроде, не бедствую? Какие критерии небедности-то?

Поэтому выступать на конфах ненужно и вредно. Мало ли кто проплатит шептателей про пидарасов среди массовки :)

Тот и не выступал. И вообще, не надо быть «не нашим», может быть?

Потому что миллионы русских людей заодно с ФСБ.

поч тогда этой шляпой пользуются миллионы людей?

массы потребляют, что дают. единицы отсеивают весь этот шлак, зная что к чему. вот, например, javascript использую все. а мы прекрасно помним фразу сноудена «disable fucking scripts! they’re dangerous!», подразумевая что у спецслужб всегда в закромах есть 0-day и инструменты именно для работы с js, что скрипты опасны. но ведь всё равно javascript используют миллионы. и только единицы подходят к вопросу настолько серьёзно, что принципиально отказываются от js. и всё равно миллионы и дальше продолжают использовать почту гугл, хотя уже как несколько лет мы знаем, что гугл/эпл/аол/майкрософ/твиттер/фэйсбук/и тп - часть программы prism. и все равно миллионы упорно продолжают использовать весь этот шлак.

Трамп - либераст, как и Путин. Сорта говна. «Ценности» у них общие, либеральные.

Какие критерии небедности-то?

Объём собственных средств во всех активах как у «идиота», очевидно же.

Объём собственных средств во всех активах как у «идиота», очевидно же.

Ничонипонял, но ладно.

Бывает.

анб и кровавая гебня, наверняка, такие патчи уже проталкивали

Брат, tz4678, что посоветуешь делать в атмосфере лжи и лицемерия? Когда не знаешь - доверять ли коду, надеяться ли на добродопрядочность разработчиков?

Один мой знакомый пошёл так далеко, что дома организовал рабочую станцию, которая не подключена к сети. Причём системник и монитор обклеел фольгой для противодействия всяким супер-шпионским технологиям, ну аля из тех, которые дампят информацию, учитывая дребезжание дисков или изменение поля, вот эти вот все супер-технологии, о которых изредка появляется информация в сети. Также он отказался от всего, что использует JavaScript и активное содержимое, а также перевёл все свои машины на aes-xts-plain/512.

Я ему говорю, что это абсурд. На что он мне отвечает, что общественность обычно узнаёт информацию о распространённости такого рода атак спустя длительное время и приводит в пример станции шифрования, которую США поставляла своим союзникам, с которой скрытно снимала данные. Информация об этом появилась спустя несколько десятков лет.

Как ранее сообщал SecurityLab, в течение пятидесяти лет компанией тайно владело ЦРУ США. Совместно с федеральной разведслужбой ФРГ (Bundesnachrichtendienst, BND) ЦРУ на протяжении десятилетий перехватывало секретные сообщения официальных лиц по всему миру с помощью Crypto AG, продававшей уязвимые системы шифрования иностранным правительствам. Согласно отчету, с 1993 года спецслужбам Швейцарии было известно, что компания принадлежит ЦРУ и что управление эксплуатирует уязвимости в системах шифрования. Спецслужбы Швейцарии почти 30 лет знали о связи Crypto AG с ЦРУ.

Подробнее: https://www.securitylab.ru/news/514053.php

Через условные 30-40 лет мы запросто можем узнать, что в подсистемах ядра были тонкого рода закладки, те или иные криптоалгоритмы имели архитектурные ошибки, а те или иные беспроводные технологии имели фундаментальные огрехи в безопасности, которые множили на ноль безопасность пользователей.

Я тоже вот подумываю организовать такого рода станцию дома. Своего рода эир_гап организовать. И заодно экранировать помещение от наводок и элв-воздействия.

ps Нет, не думайте, я не сумашедший Джо и не сектант. Сектанты это скорее те, кто верит дяде Сэму на слово.