Команда Devuan просрочила основной ключ подписи репозиториев

Это успех.

Шерето! Какое счастье, что у меня везде Дебиан. Жаль только что в нем везде systemd…

Шикарно. Просто забыли или автоматика не сработала? Или кто-то намеренно помешал?

Там тоже могут прошляпить, да везде могут. Время протухания ключей/сертификатов это почти уязвимость на отказ от обслуживания.

Сначала бомжара, теперь диван, кто следующий?

был действителен до 2 сентября 2022

… — день прощанья…

Было бы клёво если бы на 1е сентября и у арча :D

Вот вам и оппозиция шапки в пингвине. Ярчайшая демонстрация!

Костры рябин горят.

Devuan 09.22 codename Ashberry

Ну не знаю, не знаю. Я когда серты генерю, то не мелочусь - ставлю сразу 2099 год имея ввиду что до 125 я точно не дотяну

https://youtu.be/pv-Y-4vUBGA

Вот могут же, если захотят!

Или у них вообще нет автоматики для этого. Вот руками - это да, это труъ, это старая школа. Прямо как на ru-board, где из-за нежелания ставить в систему утилиту для перевыпуска сертификата от LE, он каждые полгода протухает и через пару дней его руками меняют на свежий.

Зачем так жить, я не знаю.

Жалкая попытка косплеить манжару.

полагаться на https-сертификат сайта с информацией о пакетах, который может выпустить (поддельный) любая из огромного количества организаций, в том числе сомнительных

SHA-256 на ЛОРе, куда официальней

Диверсия разработчиков systemd.

Devuan 🤝 Manjaro

Кто-нибудь может объяснить, зачем нужны все эти пляски с ключами и подписями пакетов, если разработчики на них болт клали?

тока не говорите, что кто-то из здесь присутствующих знает как проверить гпг ключ или смотрит на ссл серты

apt автоматически ключи проверяет

Шерето! Какое счастье, что у меня везде Дебиан. Жаль только что в нем везде systemd…

А я считаю это плюсом. После перехода на системд я забыл, когда в последний раз туда совался. Это как пересесть с жигулей на иномарку. Оно просто едет.

Ага, если раньше можно было пробовать свои сервисы через /etc/init.d создавать, то теперь только через /etc/rc.local. Впрочем, в фрибсд /usr/local/etc/rc.d ещё проще было всегда.

Второй их громкий косяк, в прошлый раз их сайт взломали, теперь же они забыли про ключ. Впрочем, я лично всё равно его практически не обновляю, установил рядом с гентой только ради зондо-геншина и пары зондо-дрочилен из стима, чтобы раз в полгода в них играть. Но осадочек всё равно остался.

Что и требовалось доказать.

Ручная замена заставляет думать, а от использования утилиты для перевыпуска сертификата администраторы тупеют.

А-ха-ха-ха… Пххх… Ха-ха-ха-ха!!!!

Время протухания ключей/сертификатов это почти уязвимость на отказ от обслуживания.

Орнул! После истории со «взломом» инфраструктуры баттхёртиана я не удивлюсь если они штаны снять забудут прежде чем опростаться. Тоже «уязвимость на отказ от обслуживания» практически :-D :-D :-D

Когда это взломали?

https://www.opennet.ru/opennews/art.shtml?num=50434

Дополнение 2: Шутка возымела обратный эффект и пользователи Devuan теперь обсуждают вариант, что после возвращения контроля за серверами под видом шутки разработчики пытаются скрыть информацию о реальном взломе. Кроме того, высказывается недовольство, что пользователям пришлось попусту потратить своё время на откат последних обновлений (в том числе с устранением уязвимостей), которые потенциально могли быть скомпрометированы.

Конечно, есть вероятность, что это всё-таки шутка была, но я лично склоняюсь к версии с реальным взломом.

Арч уже давно не система для школия. Нынче этот почётный титул перешёл к Кали

У Заббала и компании сегодня праздник, да. Пущай радуются. Такого рода радость в первую очередь хорошо характеризует их самих.

Вот только представим себе, что что-то подобное случилось с ванильным дебианом. Или с Федорой. В этом случае, скорее всего, главными злорадствующими будут не любители девуана, а поклонники винды и макоси. «Шерето», «линупс готов для десктопа, ахаха» и подобное.

Я 10 лет пользовался ванильным дебианом разных версий на десктопе (в том числе с systemd, да). Да и сейчас он на паре виртуалок крутится. Но у меня вот подобные новости вызывают исключительно сочувствие. Я считаю, что альтернативы дебиану — это хорошо, в том числе и «идейно близкие».

Диван нужен :)

Нужно больше диванов, милорд)))

Опять ветераны хрюникс облажались. Кто бы мог подумать. А устранение то проблемы какое изящное. Ммм...

У Заббала и компании сегодня праздник, да. Пущай радуются. Такого рода радость в первую очередь хорошо характеризует их самих.

Это ни в коем случае не радостное событие. Это трагедия, которая лишний раз доказывает, что вменяемой альтернативы шапке или космонавту, а уж тем более яблоку или некрософту нет совсем. И от этого - страшно.

Вот только представим себе, что что-то подобное случилось с ванильным дебианом. Или с Федорой. В этом случае, скорее всего, главными злорадствующими будут не любители девуана, а поклонники винды и макоси. «Шерето», «линупс готов для десктопа, ахаха» и подобное.

И даже в этом случае это будет справедливо, поскольку опять-таки окажется, что и шапка с космонавтом - никакая не альтернатива яблоку или некрософту. Что тоже весьма трагично и страшно.

Я считаю, что альтернативы дебиану — это хорошо, в том числе и «идейно близкие».

Я считаю, что тот, кто против существующего порядка, должен делом это доказать. А диван к сожалению, это не доказал, и его хватило только на бла-бла, Systemd плохой, Microsoft - зло и поделочку уровня школьного урока на информатике.

Диван в таком виде не нужен :)

Еще напомню была история, когда в apt обнаружили уязвимость, а ветераны хрюникс соизволили собрать новый установочный образ с исправленной версией apt только через 9 месяцев.

Вот блин, опять придётся диван двигать.

pacman также

Не знаю, кто такой Заббал. Но в Debian, в отличие от Devuan, много тестировщиков и разработчиков для устранения проблем. Поэтому проблемы менее вероятны.Devuan не альтернатива Debian, так как предназначен не для работы, а для выражения ненависти к systemd (что не является работой).

Devuan не альтернатива Debian, так как предназначен не для работы, а для выражения ненависти к systemd (что не является работой).

Ты сам-то в свою чушь веришь? Две или три мажорные версии (зависит от того, считать ли ASCII мажором) — это всё «для выражения ненависти»?

Devuan предназначен для предоставления возможности использовать альтернативные системы инициализации с минимальными трудозатратами. А не то, что вы там себе напридумывали.

Та нормально всё, кто-то завтыкал.

Devuan предназначен для предоставления возможности использовать альтернативные системы инициализации с минимальными трудозатратами. А не то, что вы там себе напридумывали.

Все это разбивается об эпопею с выпиливанием libsystemd0 из системы. Альтернативу предоставляет mxlinux какой-нибудь, где одно место разработчиков не разрывает на части от одного слова Systemd в названии пакета.

Как будто это имеет какое-то значение. Что у Дебиан, что у Девуан такие старые пакеты, что само слово «обновление» теряет первоначальный смысл. Обновиться там можно только на что-то очень старое.

Обновиться можно на новые секурити-фиксы, например. Не путай старую версию с поддержкой обновлений безопасности и заброшенную версию. А если ты даже не хочешь обновляться - просто установка пакетов (понадобилась прога которой раньше не стояло) так же затронута этим всем (я как раз и попытался кое-что установить вчера и узнал об этом всём оттуда).

Вот тебе бабушка и let’s encrypt…

Каким боком леценкрипт к PGP-ключам?

«пользователи вынуждены, при обновлении пакета, полагаться на https-сертификат сайта»

Ключевое слово «сайта».

В новости говорится буквально следующее «цепочка доверия прервана и теперь хоть как-то убедить пользователей в том, что это не поддельный сайт, может только сертификат, выпущенный LE» (в котором пользователи могут прочитать, что соединились с devuan.org, а не с dovuan.org)

Но это не задача LE делать какие-то подтверждения. Сертификат LE не доказывает, что посещаемый сайт реально принадлежит такой-то компании (и LE никогда не подряжался этого делать). Сертификат лишь обеспечивает безопасную коммуникацию с сайтом.

Я Debian себе верну...
...
... хоть было всё у нас всерьёз 2-го сентября...

Ага, если раньше можно было пробовать свои сервисы через /etc/init.d создавать, то теперь только через /etc/rc.local.

В системд немного не так работает.

по стопам бомжары

Наши диваны пожрал долгоносик, милорд.