Более сорока лет назад, а именно, в сентябре 1981 года, был утвержден RFC 793, Transmission Control Protocol. Этот протокол (в то время - стандарт Министерства Обороны США) отвечает за надежную доставку потоков байт между хостами в сетях с коммутацией пакетов. В Интернете, он работает поверх протокола IP как протокол транспортного уровня. Поверх него уже работают протоколы уровня приложений, такие, как HTTP/1.1.

За время существования стандарта TCP в нем были обнаружены различные неоднозначности и недоработки (например, «синдром бестолкового окна»), для исправления которых были приняты новые RFC (например, RFC 1122), уточняющие или частично изменяющие RFC 793. И, конечно же, принимались RFC с изменениями и улучшениями, не ломающие совместимость - например, RFC 1323 (ныне замененный на RFC 7323), описывающий новые опции для повышения производительности TCP на быстрых каналах с большой задержкой.

В итоге для разработчиков, реализующих стеки протоколов TCP/IP (например, для встраиваемых систем), сложилась неприятная ситуация, когда приходится сверяться не с одним документом, а с десятками. В октябре 2013 года была начата работа по переписыванию стандарта TCP со всеми исправлениями в виде одного документа без изменения его смысла. После 35 промежуточных ревизий, 18 августа 2022 года в итоге этой работы был опубликован окончательный документ, RFC 9293, определяющий минимальный набор современных спецификаций для протокола TCP. Необязательные расширения по-прежнему определяются отдельными RFC.

>>> Подробности

Demi Marie Obenour из Invisible Things Lab обнаружила уязвимость в GnuPG. Злоумышленник может вызвать отказ в обслуживании (продолжительное зависание), отправляя на проверку открепленные GPG-подписи или сертификаты, содержащие один сжатый пакет с повторенной много раз цифровой подписью. Исследователю удалось израсходовать более минуты процессорного времени на проверку входных данных размером менее 5 килобайт.

( читать дальше... )

>>> Подробности

18 ноября 2021 года Matthew Vernon отправил в систему отслеживания ошибок Debian сообщение о недоработке в пакете phast. Недоработка заключается в том, что пакет зависит от устаревшей ветки библиотеки pcre.

Баг получил номер 1000000, и его оперативно закрыли, портировав phast на pcre2.

Баг с номером 900000 был отправлен 24 мая 2018 года.

>>> Подробности

Более чем два года назад в Gnome GitLab был открыт багрепорт о том, что скроллинг в GTK-приложениях с помощью тачпада получился слишком быстрым или слишком чувствительным. В дискуссии участвовали 43 человека.

Мейнтейнер GTK+, Маттиас Класен, изначально утверждал, что не видит проблему. Комментарии были в основном на тему «как оно работает», «как оно работает в других ОС», «как это объективно измерить», «нужны ли настройки» и «что можно поменять». Однако их накопилось слишком много, настолько много, что багрепорт, по мнению мейнтейнера, потерял свое назначение как отчет об имеющейся ошибке и превратился в форум для дискуссии. В связи с этим, багрепорт был закрыт без каких-либо изменений в коде.

>>> Подробности

Завершилось голосование по поправке SC27v3 к Базовым Требованиям, согласно которым удостоверяющие центры выдают SSL-сертификаты. В итоге поправка, разрешающая при определенных условиях выписывать DV- или OV-сертификаты на доменные имена .onion для скрытых сервисов Tor, принята.

Ранее допускалась только выдача EV-сертификатов из-за недостаточной криптографической стойкости алгоритмов, связанных с доменными именами скрытых сервисов. После вступления поправки в силу, станет допустимым метод валидации, когда владелец скрытого сервиса, доступного по протоколу HTTP, делает на сайте запрошенное удостоверяющим центром изменение, например, размещение файла с заданным содержимым по заданному адресу.

В качестве альтернативного метода, доступного только для скрытых сервисов, использующих onion-адреса версии 3, также предлагается допустить подпись запроса на сертификат тем же ключом, который используется скрытым сервисом для Tor-маршрутизации. Для защиты от злоупотреблений в этом запросе на сертификат необходимо наличие двух специальных записей, содержащих случайные числа, сгенерированные удостоверяющим центром и владельцем сервиса.

За поправку проголосовали 9 из 15 представителей удостоверяющих центров и 4 из 4 представителей компаний, разрабатывающих веб-браузеры. Голосов против не было.

>>> Подробности

Wireguard – это простой и безопасный VPN-протокол, основным разработчиком которого является Jason A. Donenfeld. Долгое время модуль ядра, реализующий этот протокол, не принимали в основную ветку ядра Linux, так как использовалась своя реализация криптографических примитивов (Zinc) вместо стандартного crypto API. Недавно это препятствие было устранено, в том числе за счет доработок, принятых в crypto API.

Сейчас wireguard принят в основную ветку ядра Linux и будет доступен в релизе 5.6.

Wireguard выгодно отличается от других протоколов VPN отсутствием необходимости согласовывать используемые криптографические алгоритмы, радикальным упрощением процесса обмена ключами, и, как следствие, малым размером кодовой базы.

>>> Подробности

Сформированы сборки нового значительного релиза OpenWRT — открытого дистрибутива Linux для домашних сетевых маршрутизаторов. Основные нововведения, видимые пользователю:

• На всех устройствах используется ядро 4.14.x.
• Добавлена архитектура ath79, которой поддерживаются устройства, ранее относившиеся к архитектуре ar71xx. Отличие - использование Device Tree вместо явного прописывания специфики каждого устройства в C-файлах.
• Значительно повышена производительность маршрутизации за счет внедрения технологии FLOWOFFLOAD. Суть технологии - в возможности сказать ядру, что все будущие пакеты, принадлежащие определенному сетевому соединению, больше не надо проверять на предмет правил firewall’а, политик QoS и изменившихся правил маршрутизации, достаточно просто переписать заголовки и отправить через запомненный выходной интерфейс. Итого, TP-Link Archer C7 v2 сейчас может маршрутизировать не 250-300 мегабит в секунду, а 700-800.
• Для беспроводных сетей доступна поддержка WPA3 (требуется установка пакета hostapd-openssl или wpad-openssl).
• Веб-интерфейс стал более отзывчивым за счет переноса шаблонизации на сторону клиента.
• В торрент-клиенте Transmission решены проблемы с потреблением 100% CPU и неоправданного количества памяти, за счет отключения полурабочей поддержки web seed’ов.
• Добавлена альтернативная легковесная реализация сервера SMB на уровне ядра, как решение проблемы, что SAMBA 3.6 более не поддерживается в плане безопасности и ограничена старыми версиями протокола SMB, а SAMBA 4 занимает слишком много места. SAMBA 4 тоже доступна и позволяет организовать контроллер домена, совместимый с Active Directory.

>>> Подробности

7 декабря 2019 года в проекте Debian перед разработчиками был поставлен на голосование вопрос о статусе систем инициализации, отличных от systemd. Варианты, из которых проекту предстояло сделать выбор:

• F: Концентрируемся на systemd
• B: Systemd, но мы поддерживаем исследование альтернативных решений
• A: Поддержка многих систем инициализации важна
• D: Поддерживаем системы, отличные от systemd, но не блокируем из-за них прогресс
• H: Поддерживаем переносимость, но не блокируем прогресс
• E: Поддержка многих систем инициализации обязательна
• G: Поддерживаем переносимость и множественные реализации интерфейсов
• Дальнейшее обсуждение

Полный текст каждой опции можно прочитать в официальном письме секретаря Debian.

Срок голосования истек в полночь по UTC 28 декабря 2019 г.

Debian использует достаточно сложную систему голосования - метод Шульце. При голосовании каждый участник ранжирует все опции в порядке личных предпочтений.

Метод Шульце удовлетворяет критерию Кондорсе: если одна из опций победила бы при попарном сравнении каждую другую, то она и объявляется выигравшей. В данном голосовании такой опцией оказалась опция B («Systemd, но мы поддерживаем исследование альтернативных решений»). Соответственно, она и стала обязательной для исполнения.

На практике это означает, что отсутствие init-скрипта в пакете с демоном более не является багом.

>>> Подробности

Специалисты из Qualys Labs обнаружили несколько проблем безопасности, связанных с возможностью обмануть программы, отвечающие за применяемые в BSD механизмы проверки паролей (аналог PAM). Обман заключается в передаче имени пользователя «-schallenge» или «-schallenge:passwd», которое затем интерпретируется не как имя пользователя, а как опция. После этого система принимает любой пароль. Уязвимы, т.е. разрешают в итоге несанкционированный доступ, сервисы smtpd, ldapd, radiusd. Сервис sshd проэксплуатировать не удается, так как дальше sshd замечает, что пользователь «-schallenge» на самом деле не существует. Программа su при попытке эксплуатации в лоб падает, так как тоже пытается выяснить uid несуществующего пользователя.

Также были обнародованы разнородные уязвимости в xlock, в авторизации через S/Key и Yubikey, а также в su, не связанные с указанием пользователя «-schallenge». Уязвимость в xlock позволяет обычному пользователю повысить привилегии до группы auth. Через неверную работу механизмов авторизации через S/Key и Yubikey можно повысить привилегии от группы auth до пользователя root, но в конфигурации OpenBSD по умолчанию это не работает, поскольку авторизация через S/Key и Yubikey выключена. Наконец, уязвимость в su позволяет пользователю повысить лимиты на системные ресурсы, такие как количество открытых файловых дескрипторов.

На данный момент уязвимости устранены, обновления безопасности доступны через штатный механизм syspatch(8).

>>> Подробности

Мобильное приложение KDE Connect, обеспечивающее удобное взаимодействие между компьютером и смартфоном (например, общий буфер обмена, просмотр уведомлений от телефона и SMS-сообщений на компьютере), было удалено Google из Play Store. В качестве причины для удаления указано несоблюдение новых правил, установленных Google для приложений, имеющих доступ к SMS-сообщениям. Правила применимы, а временные исключения про «Connected device companion apps» и «Cross-device synchronization» не покрывают данный случай, поскольку работа с SMS не является основной функцией KDE Connect.

Для восстановления приложения в Google Play разработчики были вынуждены выпустить урезанную версию без поддержки SMS. Полная версия по-прежнему остается доступна из репозитория F-Droid.

>>> Подробности

Андрей Коновалов (Andrey Konovalov) нашел с помощью фаззера syzkaller последовательность системных вызовов, которая портит память ядра, если в системе есть хотя бы один сетевой интерфейс с MTU < 65535 и включенной опцией UDP Fragmentation Offload. На самом деле требуется еще право менять опции интерфейса, но его легко получить через непривилегированные пользовательские пространства имен. Они же позволяют создать такой интерфейс, если его не было в системе изначально. Итог: на некоторых ядрах, поставляемых Ubuntu, продемонстрировано повышение привилегий от обычного пользователя до root (CVE-2017-1000112). Проблема существует также в ядрах не от Ubuntu.

David S. Miller в качестве решения проблемы предложил удалить поддержку UDP Fragmentation Offload и выслал соответствующий набор патчей в рассылку netdev. Мотивация: «эту операцию поддерживает очень небольшое число устройств, польза от нее в лучшем случае сомнительна, и эта операция добавляет немало сложности в пути обработки данных». На данный момент патчи приняты в ветку net-next.

>>> Подробности

Разработчики анонимного LiveCD Tails уже давно пытаются сделать доказуемым утверждение, что официальные бинарные ISO-образы действительно являются продуктом сборки исходных текстов соответствующей версии Tails, а не отличающейся версии (например, с закладками). И, кажется, у них получилось.

Идея доказательства — воспроизводимость сборки. Т.е. повторный запуск процедуры сборки (в т.ч. другим человеком на другом компьютере) должен дать на выходе побайтно совпадающий результат. Априори это не так — например, сборочная система может записывать дату сборки, или явно вызывать random() по самым разным причинам, или просто обрабатывать в каком попало (т.е. невоспроизводимом) порядке файлы из одного каталога, или вытворять другие действия с непредсказуемым, но неважным для функционирования конечного продукта, результатом. Все такие неопределенности, кажется, устранены.

Кажется — поскольку пока все проверки заведомо проходят только на компьютерах разработчиков. Внешнего подтверждения нет, просто поскольку никто «посторонний» на момент публикации первоисточника не пытался собрать Tails у себя и сравнить полученный образ с официальным. Собственно, сейчас разработчики просят сообщество провести самостоятельную тестовую сборку и сравнение, а также сообщить им о результатах.

>>> Подробности

Специалисты Google продемонстрировали первую коллизию хешей SHA-1. А именно, два разных PDF-файла с осмысленной картинкой и одинаковым значением SHA-1.

>>> Первый файл

>>> Второй файл

Атака потребовала более 9 × 10¹⁸ вычислений SHA-1. Это эквивалентно 6500 годам вычислений на одном CPU, или 110 годам на одном GPU.

>>> Подробности

Flat Volumes — это внедренная семь лет тому назад логика управления громкостью отдельных приложений в PulseAudio. В рамках этой логики, громкость каждого отдельного звукового потока (в процентах) исчисляется относительно аппаратного максимума, а не относительно «громкости звуковой карты». «Громкость звуковой карты» равна максимальной громкости проигрываемых потоков, т.е. не является независимой переменной, а скорее удобной «ручкой» для увеличения или уменьшения громкости всех приложений одновременно.

До недавнего времени логика Flat Volumes была включена по умолчанию во всех дистрибутивах, кроме Ubuntu. Начиная с выпуска 24, Fedora собирается отказаться от этой схемы, так как, несмотря на прошедшие семь лет, разработчики так и не научились писать совместимые с этой логикой приложения. Наиболее распространенный баг — выставление громкости на 100% без явного указания от пользователя. Багу подвержены такие важные библиотеки и приложения, как WebKit-GTK, Firefox и GNASH.

Поскольку выставление громкости на 100% (с возможными последствиями в виде сгоревших динамиков) без вмешательства пользователя происходит в том числе через браузеры (демо: https://jsfiddle.net/bteam/FbkGD/ , открывать с осторожностью), такое поведение является уязвимостью. Вину за уязвимость разработчики PulseAudio и веб-движков долго сваливали друг на друга, а прогресса ни с той, ни с другой стороны не было.

>>> Подробности

Разработчики PulseAudio выпустили новый стабильный релиз, исправляющий ошибки, замеченные с момента выхода PulseAudio 7. Изменения:

• Устранено падение при использовании srbchannel
• Исправлена опечатка в системе сборки, из-за которой при установке получались символические ссылки в корневом каталоге
• Улучшения в поддержке карт Xonar (корректное игнорирование неподдерживаемого многоканального элемента управления master)
• Другие мелкие исправления и улучшения

>>> Подробности

Дмитрий Вьюков из Google с помощью фаззера syzkaller нашел примеры последовательностей системных вызовов, способных вызвать проблемы в ядре (неубиваемый зависший процесс или oops). Фаззер основан на использовании информации о покрытии кода ядра автоматически генерируемыми тестовыми программами. Для работы необходимо наличие в конфигурации ядра детекторов плохого поведения: KASAN, KTSAN (доступны в виде CONFIG-опций при сборке ядра) или KUBSAN (доступен в виде патча).

Примеры найденных уязвимостей опубликованы в LKML (пока в количестве 6 штук, список растет).

>>> Подробности

По итогам голосования, проведенного среди членов Технического комитета Debian о выборе системы инициализации по умолчанию для Debian Jessie, победил вариант «дальнейшее обсуждение». Это уже вторая попытка Технического комитета решить вопрос путем голосования. Предыдущая неудачная попытка была 28 января.

В качестве мотивов, по которым участники поставили дальнейшее обсуждение выше других альтернатив, можно отметить следующее. Steve Langasek считает, что формулировки опций в бюллетене для голосования подлежат переработке. Кроме того, было высказано сомнение в том, что конституция Debian позволяет Техническому комитету принимать соответствующее решение.

>>> Подробности

Как известно, в дистрибутивах, перешедших на BlueZ 5, не работает запись звука с Bluetooth-гарнитур и эмуляция гарнитуры. Это произошло, поскольку в BlueZ 5 была удалена поддержка передачи звука по unix-сокету в пользу Media API, основанного на D-Bus, а PulseAudio никто вовремя не портировал.

4 февраля в список рассылки pulseaudio-discuss João Paulo Rechi Vita (один из ключевых разработчиков BlueZ) выслал серию патчей, восстанавливающую поддержку Bluetooth-профилей HSP и HFP в PulseAudio. Однако, PulseAudio не будет использовать Media API напрямую. Вместо этого, в качестве посредника будет использоваться oFono. Такая трехзвенная архитектура необходима, в частности, чтобы не сломать присутствующую в oFono функциональность по набору номера на сотовом телефоне.

К сожалению, патчи были высланы слишком поздно для попадания в PulseAudio 5.

>>> Патчи

Linus Torvalds выпустил новую версию ядра Linux. Новое в этом релизе:

• Улучшено определение потери TCP-пакетов;
• Появилась поддержка IEEE 802.1ad (QinQ) на аппаратном уровне;
• Кеш блочного уровня (bcache) — возможность использовать один диск как кеш для другого;
• Появился ioctl для атомарной замены зарезервированного для загрузчика inode на файловой системе ext4;
• Поддержка полностью динамического таймера (full dynticks) появилась, но по умолчанию выключена;
• Улучшена поддержка big.LITTLE систем на ARM;
• Улучшение поддержки HyperV: динамическое добавление памяти, драйвер framebuffer'а;
• Появилась поддержка виртуализации KVM на архитектуре MIPS32;
• Поддержка Unified Video Decoder (UVD) на картах Radeon HD 4000 и выше;
• Более быстрое пробуждение из спящего режима видеокарт Intel за счет отказа от переключения виртуальных консолей;
• Оверклокинг новых видеокарт Intel;
• Появился драйвер для виртуальной видеокарты QXL, используемой в KVM.

... и многое другое.

Новость составлена по материалам публикаций с http://www.h-online.com/ .

>>> Подробности

Как результат работы, проделанной Andrej Belym в рамках Google Summer of Code, в Debian Experimental теперь есть новая реализация стандартной библиотеки C++ (libc++), разрабатываемая под эгидой llvm и лицензией MIT/UIUC. В виде deb-пакетов теперь предлагаются как разделяемые библиотеки времени выполнения (libc++abi1), так и определенные в стандарте заголовочные файлы (libc++-dev).

Библиотека libc++ доступна для использования как через clang, так и (с более длинной командной строкой) через g++.

>>> Подробности