В России создали консорциум для исследования безопасности ядра Linux

Закономерность и неизбежность «срача в комментах» под этой [хре]новостью становится вполне очевидной, если прочитать саму «новость», потом — комментарии к ней, а потом — и Соглашение о формировании Консорциума. :)

На деле же:

— Во-первых, создан вовсе не «консорциум для исследования безопасности ядра Linux», а Консорциум участников по поддержке Технологического центра исследования безопасности ядра Linux.

— Во-вторых, Консорциум создан не «для исследования безопасности ядра Linux», а "в целях организации эффективного взаимодействия в рамках Технологического центра исследования безопасности ядра Linux [...] для внедрения принципов безопасной разработки программного обеспечения и исключения дублирования усилий по исследованию безопасности ядра Linux".

В общем, собралась «группа товарищей» и решила создать Консорциум, в рамках которого они намереваются оптимизировать уже ведущуюся ими самостоятельно деятельность путём «исключения дублирования усилий», прежде всего. Ну и так далее, по тексту Соглашения. :)

А для этого не требуется ни финансирование, ни штаты-вакансии, ни большинство того, обо что тут, в комментариях, копья с треском ломаются... :))

Но таки да, если писать новости не после «беглого, по диагонали», изучения предмета, и комментировать их тоже после изучения его же, предмета — то станет совсем не так весело в комментариях, как уже сейчас... ;)

Во-первых, создан вовсе не «консорциум для исследования безопасности ядра Linux», а Консорциум участников по поддержке Технологического центра исследования безопасности ядра Linux.

В приличном обществе любые соглашения о намерениях принято игнорировать до момента, когда участники гешефта родят хоть что-то ощутимое.

А для этого не требуется ни финансирование, ни штаты-вакансии, ни большинство того, обо что тут, в комментариях, копья с треском ломаются… :))

Нет никакого секрета в том, что работа любого комитета сводится к генерированию бесконечного количества резаной бумаги и просиранию времени на совещаниях. Уже по одному только соглашению по ссылке выше видно, что участникам этого бюрократического шабаша придется либо овертаймить имеющихся сотрудников, либо нанимать новых. А скорее – и то, и другое. Никак иначе эта хрень не взлетает. Да и не факт, что вообще полетит.

Резюмирую: сначала сделайте что-то.

В приличном обществе любые соглашения о намерениях принято игнорировать до момента, когда участники гешефта родят хоть что-то ощутимое.

Стороны любых соглашений традиционно очень мало интересует реакция на них (соглашения) всяких там «приличных обществ»: не для «обществ» это делается.

Нет никакого секрета в том, что

… что люди судят по себе и своему окружению. :) А так-то поживём-увидим…

Резюмирую: сначала сделайте что-то.

Вот именно. :) И нам расскажите. Интересно же… ;)

А рассказывать про то, как «у них всё плохо» и «не взлетит!», «оракулов» много…

Стороны любых соглашений традиционно очень мало интересует реакция на них (соглашения) всяких там «приличных обществ»: не для «обществ» это делается.

The feeling is mutual, как говорится.

что люди судят по себе и своему окружению

Опыт поколений — ничто, понимаю. Ваш консорциум не такой как все. Он более консорциумный.

Вот именно. :) И нам расскажите. Интересно же… ;)

У меня нет никакого желания влезать обратно в игрища с государством, спасибо, наелся. Теперь ты поешь. Должна же быть какая-то преемственность.

А рассказывать про то, как «у них всё плохо» и «не взлетит!», «оракулов» много…

Предпочитаю судить по результатам. Буду результаты – приходи. Не будет результатов – всё равно приходи, вместе поплачем.

Опыт поколений — ничто, понимаю.

Да ЧЕМ?? :)) Если уж не понял даже, что исходный мой комментарий был совсем о другом, и перевёл разговор на привычную твоему сЭрцу «песТню» в стиле «даунихвсёравноничегоневзлетит!». :)

Ваш консорциум не такой как все.

Он такой же «наш», как и ваш.

У меня нет никакого желания влезать обратно в игрища с государством, спасибо, наелся. Теперь ты поешь.

Ты так уверен, что был первым и единственным, о наш игривый «гуру шалостей с казной»? ;) Вопрос риторический. :)

Ну и в целом, ответ был на твоё назидательное «сначала сделайте что-то», и не в смысле «сам сначала сделай, а потом рассуждай». Предлагал и предлагаю просто делать своё и с полным основанием хвастаться, рассказывать нам, «как надо», а не ныть тут и там о том, как «у них всё равно ничего не получится».

Первое — было бы интересно и, вполне возможно, поучительно. А вот нытьё — ...

Предпочитаю судить по результатам. Буду результаты – приходи.

Лучше ты — иди... :)

В сад, например. В детский... :) Детишкам твоё менторство может ещё быть интересным. А тут и кроме тебя есть люди, давно уже знающие, «как оно бывает», но, в отличие от тебя, знающие, что бывает не только так, как это «рисуешь» ты, и не склонные к занудливому поскуливанию «всепропальщиков».

Так что лично я просто посмотрю, что там у них получится, а плакать тебе в любом случае придётся самому, без меня: не склонен ибо. :)

Предлагал и предлагаю просто делать своё и с полным основанием хвастаться, рассказывать нам, «как надо»

Не имею ни малейшего интереса ни к тестированию ядра, ни к организации бюрократических шабашей. Полжизни работаю с международным апстримом в разных скромных ролях, мне ок.

Твоя клоунская бравада — тоже не новая реакция на здоровый скепсис. Куда-то вы все потом обычно пропадаете.

Пост был о том, что Linux можно и нужно много улучшить.

Проблема в том, что мы много «базарим», а нужно много «делать».

Но не всё так и плохо.
К примеру i-rinat начал разработку RFC, который будет содержать предложения по улучшению X11 Чем вам не нравится X11? (комментарий)

Тогда пусть выпиливают Systemd из системы и бинарные блобы из ядра))) Хотя против systemd ничего не имею )))

Пост был о том, что Linux можно и нужно много улучшить.

Бери и улучшай.

К примеру i-rinat начал разработку RFC, который будет содержать предложения по улучшению X11 Чем вам не нравится X11? (комментарий)

Если на секунду отнести к цитируемому трололо-цирку серьёзно, время допиливать X11 закончилось лет десять назад. Там в последнее время половина коммитов касаются xwayland. Закопайте стюардессу.

Разрабатываю лишь кроссплатформенное API.

Для начала можно просто переносить в толксы, там меньше увидит и меньше набежит.

Твой «здоровый скепсис» как-то очень уж быстро переходит в личные выпады, Шурик...

Видимо, это твой единственный «аргумент», ещё с по́дростковой поры? :)

А я «все» (кто эти твои «все» что мерещатся тебе на каждом шагу?? ;) ) никуда не пропадаю. У меня, в отличие от тебя, просто нет судорожных позывов «всепропальщика», и мой скепсис не побуждает меня кричать тут и там «унихничегонеполучится!». Просто наблюдаю и делаю выводы. Без истерик.

О «серьёзных», на первый взгляд, людях, при более-менее близком общении проявляющих вдруг черты тинейджеров в пору самоутверждения, в том числе... :)

Gloria a la plaga! Подбираются к виду, кстати. За протест против 9-часового дня линчуют показательно. А чего добру пропадать

Вот это правильно. Всеми лапами за!

И что это означит в данном контексте?

С позицией «я тут спокойно наблюдаю, и вообще, гляньте все, какой я не подросток» есть маленькая проблема: во-первых, такое лучше вообще не озвучивать открытым текстом, потому что эффект обратный; во-вторых, оптимально, когда говорящий это не переходит на личности первым и не пересыпает свой текст истерическими смайликами, будто у него нервишки шалят. А у тебя фейл по обоим пунктам.

Тема поста заведомо дискуссионная и предполагает разные взгляды. Твоя неспособность эмоционально справляться со скепсисом противоположной стороны совершенно симптоматична для т.н. общественного дискурса современной Россиюшки. Маркер простой: если твой текст можно прочитать голосом и интонациями какой-нибудь Скабеевой, и получается аутентично, то есть проблемка.

совершенно симптоматична для т.н. общественного дискурса современной Россиюшки.

Ну да, ну да. Опять эти немытые лаптёжники.

То ли дело на благолепных reddit, Hacker News и YouTube: стоит сказать хотя бы намёком против шерсти, что-то противоречащее любой из тем современной повестки, как сразу же банят (на reddit и Facebook) или десятки комментариев, что ты «kremlin troll» (на HN и YouTube).

Ну очевидно же, гораздо более взвешенный, объективный подход, настоящая демократия и freedom of speech, уважение к оппонентам, способность принять другую точку зрения и аргументы.

Но зачем ты с этой своей «проблемкой» здесь, малыш??.. ;) Да ещё с текстиками, читаемым голоском небезызвестного в вашей, по́дростковой среде бзДудя...

А смайлики были придуманы для выражения эмоций. Разных, а не только близких и знакомых тебе.

И если некий симптоматично скептический персонаж видит в них исключительно истерики, ему стоило бы обратиться к его семейному доктору, а не в «заведомо дискуссионную тему» на этом сайте, где даже патологоанатомы не водятся, не говоря уже о психотерапевтах. :)

«Дискуссионность» темы, начавшейся с искажений смысла оригинального материала, я в общих чертах описал в первом моём комментарии. Разумному — достаточно, ну а ты можешь подекламировать перед зеркалом мантру про «Ма-а-ам, а он первый начал!». Имеешь полное право. :)

В твоих текстах, кстати, не прозвучало ни слова по существу написанного мной, что не удивительно...

Так что «маркер» и в самом деле простой: когда какому-нибудь пОдростку «и хочется крыть, а — нечем!» ©, он раздувает щёчки и начинает рассказывать, как все вокруг неправы, как точно у них ничего не получится, и как одиноко ему, такому хорошему и умному, стоять тут и пытаться просвещать неразумных нас. :))

P.S. Раньше, когда-то очень давно, ты казался мне умным и серьёзным человеком. А теперь я в очередной раз должен, видимо, признать, что по-прежнему спешу думать о людях слишком уж хорошо...

«Это другое!» ©

Пора бы нам к этому уже и попривыкнуть... :))

Споришь с голосами в голове? ОК, не буду мешать.

Но зачем ты с этой своей «проблемкой» здесь, малыш??.. ;)

P.S. Раньше, когда-то очень давно, ты казался мне умным и серьёзным человеком.

А вот я тебя вижу впервые и ты сразу ведёшь себя как школоло. Ну как бы я не против — детей мне с тобой не крестить, работу вместе не работать. Пусть другие с тобой мучаются.

еще одна бумажная организация (консорциум), без финансирования, без кадров, без плана

Еще один умник. Я не скажу за все организации списка, но та, в которой я работаю (она в списке), и ядро норм пилит и исследует и патчи рисует. У ребят спросил, кто на этих шабашах уже был - говорят что народ там по делу, виртуальных безопасников нет, все вполне реальные.

Моя версия простая, и я её уже писал. Между соучредителями консорциума наблюдаются некоторые, скажем так, тёрки.

Не, всё не так. Каких-то особых терок там нет, каждый пилит свой сегмент рынка, нельзя сказать тут какие-то особые проблемы. Просто все занимаются вопросами сертификации. А это существенные деньги, которые тратятся каждой конторой. Чистый убыток. Исследуют при этом примерно один и тот же код и даже методы примерно одни и те же (сертифицирующие организации хотят видеть определенный список исследований, поэтому работают все по нему). Если и когда находят дырявые или сомнительные места, то и патчи примерно похожие.

Выводы дальше делайте сами.

Инсайты – это очень хорошо и ровно то, чего не хватало в дискуссии. Но я не понимаю, при чём тут затраты на сертификацию. Насколько я помню, тот же ФСТЭК сертифицирует конкретные версии ПО. Т.е. нескольким компаниям нужно по сути синхронизировать весь стек. Поправь, где я ошибаюсь.

А при чем тут то, что происходит в организациях? Я про консорциум, в котором ничего не прописано. Он создан, чтобы был, исходя из бумаг.

Если нужно объединять усилия и убирать дублирование работы и т.п., то нужно определять механизмы как это будет происходить, выстраивать работу, устанавливать правила, зоны ответственности и пр. А тут просто сказали, что они теперь вместе, этакий клуб по интересам, без обязательств.

И я еще раз обращаю внимание, что я никак и ничего не говорю о тех кто работает и кто занимается делом в этих организациях (я про это ничего не знаю), я говорю о том, что этот консорциум – бумажная структура, без плана работ, без организации работ и без обеспечения работ.

Мне не сложно и подноготную этих телодвижений выяснить (хотя основную движущею силу я уже вроде описал), но недельку-другую придется подождать - я в офисе только по понедельникам бываю, ну и сплетничать предпочитаю очно и без логов. Короче, ждите, если не забуду.

А тут просто сказали, что они теперь вместе, этакий клуб по интересам, без обязательств.

У всех есть свои обязательства перед заказчиками. Скажем так, POSIX тоже появился как никого ни к чему не обязывающая хрень. Аналогия очень кривая, но тем не менее…

У всех есть свои обязательства перед заказчиками.

И причем тут консорциум?

Скажем так, POSIX тоже появился как никого ни к чему не обязывающая хрень. Аналогия очень кривая, но тем не менее…

Да, очень кривая аналогия. POSIX это результат работы оформленный в свод правил (которые можно и не соблюдать, но фактически если хочешь чтобы софт интегрировался в чужие системы, то нужно соблюдать). А тут еще нет никакого оформления результата, это тупо бумага, что они теперь консорциум, то, что это чисто бумажная (по крайней мере пока) структура проверить легко – как изменится работа ребят в организациях-членах этого консорциума? Пока никак, разве что еще несколько отчетов придется готовить. Вот если бы они перераспределили работы, или получили участок работ за который несли бы ответственность перед всем консорциумом, а не только перед своей организацией, то да… А пока это тупо бумага.

К примеру rt ветка — это понятно, есть своя цель. А здесь?

Потому что патчи от разработчиков из РФ апстрим не принимает - прецеденты были. Ну потому что меритократия, свобода и всё такое - понимать надо.

Мы в Windows видели браузер, который в систему интегрирован настолько глубоко, что позволял ломать систему прямо из веба.

патчи от разработчиков из РФ апстрим не принимает

Ну вообще-то, не «разработчиков из РФ» вообще, а конкретных компаний.

А так прямо на сайте технологического центра, чью инициативу мы тут обсуждаем — новость от 11 февраля сего года — «Первые 100 исправлений, подготовленных в рамках функционирования Технологического центра исследования безопасности ядра Linux, были приняты в основную ветку ядра Linux». Вполне себе разработчики из РФ. Проект полезный и для страны, и для линукса.

И вообще, странно, что в теме den73 до сих пор не отметился.

Да пожалуйста: они уже создали такой центр пару лет назад за 300 млн, не помню, когда точно. Теперь консорциум. Видимо, не хватило 300 млн (это и понятно). Но и консорциум не осилит заделать все дырочки в решете. Если «весь мир» с «миллионами глаз» не осилил, то куда уж консорциумуму из страны, где около 3% мировых программистов, да и то уже наиболее продвинутые уехали на велике по горам. Тем более, ведь мы же хотим дружить со всем миром. Можно было бы заменять не отдельные дырочки, а целые сегменты решета на сделанные из алюминия кусочки дна для кастрюли, но это попортит дружбу с всемирными друзьями.

Или можно было бы взять версию 20-летней давности - ситечко для чая, в которой на каждую дырку уже налеплена чаинка. Но это выглядело бы старомодно, как кафтан, парик и лорнет.

Мы сами во всём виноваты.
Можно и нужно разработать свои программные проекты, аналогичные зарубежным.
В противном случае мы всё время от кого будем зависимы, ...

ИМХО России вполне по силам профинансировать некую государственную структуру в которой пара сотен программистов будут вести разработку проектов.

К примеру «Компас» ведь сумели разработать и он весьма не плох.

В океане бюрократии вечно бушуют "бюрократические волны" от которых кроме "пены" ничего нет.

Новость: мы организовались, чтобы вместе делать то-то и то-то, чего мы раньше делали по отдельности.

Комментаторы: суки, организовались они, консорциум у них, бумажки будут плодить значится, да как посмели, гады-сволочи?!

Уровень обсуждения, который мы … ну, может и не заслужили, но, вот, такой уж он есть и другого нет.

Имитация бурной деятельности Альтом и Ко, как обычно.

пара сотен программистов будут вести разработку проектов.

В одном только Авито сейчас в команде разработки что-то около ~5,000 человек (слышал мельком в их недавнем видео).

В cian.ru 5 лет назад было 120 разработчиков (говорили на какой-то конфе).

А ведь это довольно несложные (принципиально) сервисы объявлений, написанные на высокоуровневых языках.

страны, где около 3% мировых программистов,

Про 2% экономики все уже слышали. Больше почему-то никто эту тему не педалирует.

В Индии, вангую, гораздо больше 3% мировых программистов. Кто-нибудь слышал хотя бы об одном IT-продукте из Индии?..

Про 2% экономики все уже слышали.

Линукс всегда будет решетом не потому, что в России или в мире мало программистов, а потому, что это выгодно очень многим, начиная от западных спецслужб (следить и вредить), потом корпорации (следить и торговать), затем отдельные маньяки среди разработчиков (злобствовать и бесноваться), и товарища майора не забываем. В Линуксе это заложено на нескольких концептуальных уровнях, начиная от руководителя, продолжая архитектурой и заканчивая выбором языков программирования. Раздувание пузыря сложности (см. рост объёма кода в Линуксе) тоже даёт свой вклад в дырявость. Как там в сказочке было - бросила Маша (или Алёна) гребешок, а из него лес вырос. Уже вырос лес, поздно зубья у гребешка выламывать. Но да, давайте всем миром будем заделывать решето, посмотрим, что будет быстрее, мы будем затыкать дыры или остальные будут делать новые. Если действительно кому-то нужна безопасная система, то он может сделать её только сам. Потому что, как только он объявит свою систему безопасной, он начнёт отвечать за 100% её кода, а не за те 3%, которые он когда-либо вообще видел в глаза. И если это не шутки, а реальный мир, то отвечать он будет своей головой.

Лол.

Я скорее о некотором параллельном аспекте «критики».

Про дырявость… Как человек, который проработал в индустрии много лет, в очень разных компаниях, включая несколько тех, о которых слышал каждый, или даже прямо или косвенно пользуются многие, могу просто сказать из своего опыта.

Во всех продуктах такой объем кода, и такая нехватка рук и глаз, что какие-то недочёты, в т.ч. по безопасности, встречаешь в них постоянно. В т.ч. в своём коде, который писал несколько месяцев назад.

Просто невозможно в условиях постоянной гонки, давления, нехватки рук, сделать иначе. И даже не надо иметь никаких плохих намерений.

Если софт делать безопасным, то сроки разработки растянутся на десятилетия, а стоимость разработки станет в прямом смысле как в космической отрасли.

Видя же, как, например, все приложения в компе и телефоне обновляются минимум пару раз в день, включая какой-нибудь «фонарик», понимаешь, что качественно все эти обновления не разрабатываются и не тестируются точно.

Т.е. мы работаем плохо, но у нас есть оправдание. Понятно. Некоторые люди эти оправдания пытаются рассказать в суде. Например, если погибли люди по вине багов, которые они выпустили. Пока что об этом мало слышно, но это есть и дальше будет только больше. Ну или конечно можно объявить программистов святыми, а все аварии из-за багов - несчастными случаями. В этом случае я верно выбрал профессию.

К счастью, я не работаю в той области, где баги могут привести к несчастному случаю или смерти. Как они там работают, не знаю, надеюсь, что иначе, чем во всех других отраслях.

А вы оптимист, батенька. Я бы сказал, что «Линукс всегда будет решетом» потому, что люди вот такие вот балбесы и в массе своей по другому просто не умеют. И даже если очень сильно захотят, то сделать нерешето просто не выйдет.

Нет, я думаю, что теоретически можно сделать нерешето. Лет этак через 100-200.

Для этого надо будет, чтобы выполнялись несколько условий, и они наверное выполнятся (или наоборот, человечество вымрет или скатится в каменный век):

1. Разработка процессоров и нового железа упрётся во все мыслимые пределы, поэтому не надо будет писать и переписывать кучу кода раз в несколько месяцев под новое железо, протоколы, стандарты, всё устаканится.
2. Строй сменится с капиталистического на какой-то другой. Какой не знаю, но судороги капитализма и его неспособность существовать, когда он захватил весь мир, видна уже лет 15 как. Соответственно, не будет, возможно, давления: «Надо выпустить новую версию продукта вчера, потому что на пятки наступают конкуренты», можно будет сесть и подумать, реализовать каким-нибудь изощренным способом с верификацией корректности, тщательно протестировать.
3. Одновременно с этим также разовьются различные инструменты: языки, тулинг вокруг них, появятся может быть доступные всем инструменты верификации.

Но это какая-то утопия получается. И с другой стороны, непонятно тогда, какой смысл будет делать хорошо?..

Нет, я думаю, что теоретически можно сделать нерешето. Лет этак через 100-200.

Можно и через три года сделать.

Как?

Ныне есть Linux, но при этом на клиентском компьютере запросто можно установить gcc, ... ВСЁ ЧТО УГОДНО.

А нужно, чтобы на Linux установленном на клиентском компьютере была недоступна функциональность, используемая для разработки.

Далее не буду развивать это суждение, надеюсь и так понятно о чём речь.

При такой архитектуре много «дыр» просто перестанут существовать.

Можно и нужно разработать свои программные проекты

К примеру «Компас» ведь сумели разработать и он весьма не плох.

И прибили его гвоздями к чужой винде. Так прибили, что сейчас для его запуска под линуксом ОФИЦИАЛЬНО применяют wine.

Ныне есть Linux, но при этом на клиентском компьютере запросто можно установить gcc, … ВСЁ ЧТО УГОДНО. А нужно, чтобы на Linux установленном на клиентском компьютере была недоступна функциональность, используемая для разработки.

КОМУ нужно? На КАКОМ клиентском компьютере? Если речь про сертифицированные рабочие места для работы с гостайной, перс.данными и др. — их туда никто ставить и не будет, это обеспечивается политикой безопасности. Или вы хотите, чтобы это никому, кроме избранных, не было доступно?

Пост был о том, что в России много талантливых разработчиков, нужно дать им достойную зарплату и поставить задачи.