| 1.1, Аноним (1), 23:30, 07/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– |
Что-то часто разработчики nixos стали в новостях про безопасность мелькать. Хорошо когда люди следят за этим, успехов проекту.
| | |
| |
| |
| |
| |
| |
| 6.65, Аноним (65), 11:23, 08/05/2025 [^] [^^] [^^^] [ответить]
| –1 +/– | |
Смысл то понял о чём написано?
>Debian – хранит у себя в репо deb-src исходники, сам из них собирает. В любой момент можно пересобрать, перепроверить.
Вот один из примеров, что Debian не всё хранит в своем репозитории. Есть пакеты–пустышки со скрипом, который изначально выполняет множество операций с файлами, загруженными со стороннего ресурса, и всё это во время установки.
Завтра подберут коллизию, оформят под видом того же arial32.exe и заменят оригинал в sourceforge.net/corefonts
Далее человек, надеясь на сопровождающих Debian, устанавливает пакет ttf-mscorefonts-installer и огребает по полной. Надеюсь не нужно объяснять как?
| | |
| |
| 7.67, Аноним (67), 11:30, 08/05/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
Нет, это ты не понял. Этот пакет – утилита для скачивания проприетарного шрифта. Это не пакет со шрифтом, а утилита. Разницу не видишь? Пакет кстати вынесен в contrib/nonfree. В отличие от ventoy который ошибочно в nixos помечен был как свободный.
| | |
|
|
|
|
| 3.8, Голум (?), 00:17, 08/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
Видимо, воспроизводимость вы с чем-то другим путаете. Буквально на следующей строке по ссылке указан хэш загружаемого файла, а результаты его перепаковки будут всегда идентичными друг другу. А что мейнтейнеры решили его просто перепаковывать – уже другой вопрос.
| | |
| |
| 4.9, Аноним (1), 00:20, 08/05/2025 [^] [^^] [^^^] [ответить]
| +2 +/– |
Под воспроизводимостью имел в виду сборку дистрибутивом из исходников. Воспроизводимость должна проверяться здесь, а не где-то там с готовым бинарником.
Это тогда воспроизводимость распаковки. Бред полный. Тут только целостность архива проверяется.
| | |
| |
| |
| 6.35, Илитка (?), 02:23, 08/05/2025 [^] [^^] [^^^] [ответить]
| +8 +/– |
Имелась ввиду воспроизводимость бинарных сборок (ReproducibleBuild) из сорцов.
Ты можешь взять исходник, почитать, собрать проверить хеш. Хеш должен совпадать с бинарником из репо.
Если в репо как nix просто кладут готовую блобу от васяна проверить ты её не можешь никак.
Понимаю, что виндузятникам которые пользуются вентоями такие концепты сложны для их ментальных возможностей.
| | |
|
|
| 4.10, Аноним (1), 00:26, 08/05/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
Воспроизводимость – это всегда проверка из чего собран бинарник. Здесь её нет.
| | |
| |
| 5.11, Голум (?), 00:32, 08/05/2025 [^] [^^] [^^^] [ответить]
| –2 +/– |
Воспроизводимость – это повторяемость байт в байт результатов сборки. Здесь она есть.
| | |
| |
| |
| 7.25, freehck (ok), 01:27, 08/05/2025 [^] [^^] [^^^] [ответить]
| –5 +/– |
 > И где здесь сборка? Её нет. Распаковка архива ≠ сборка.
Конечно есть. Это -- сборка nar-пакета.
То, что сценарий сборки пакета не является сборкой из исходника -- это конечно печально, но тем не менее, это сборка.
| | |
|
|
|
|
| 3.12, Карлос Сношайтилис (ok), 00:34, 08/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
 > Ноль воспроизводимости – они просто распаковывают готовый скомпилированный архив разработчика.
...и проверяют хэш. Если совпадает: пляшем дальше, если нет: ошибка.
Воспроизводимость: 100%
| | |
| 3.54, ruroruro (ok), 09:41, 08/05/2025 [^] [^^] [^^^] [ответить]
| +2 +/– |
 В NixOS есть специальный маркер для пакетов которые "собираются" с использованием бинарей. Ventoy данным маркером помечен. В других дистрибутивах просто подобная пометка была бы отражена в имени (а-ля ventoy-bin), а не в метаданных.
Если вас бинарные пакеты категорически не устраивают, то можно транзитивно забанить вообще все nonsource пакеты (и потом индивидуально разрешить те, которые вы всё-таки хотите допустить). См https://github.com/NixOS/nixpkgs/blob/16762245d811fdd74b417cc922223dc8eb741e8b .
На счёт воспроизводимости, в терминологии nixpkgs, данный пакет - воспроизводим. Потому что повторный запуск инстанциирования пакета будет гарантированно выдавать идентичный результат (либо фейлиться, если кто-то подменил upstream архив и все зеркала/substituterы протухли).
Вам может не нравится данное определение "воспроизводимости", но в Nixpkgs reproducible - это именно когда несколько запусков дают один и тот же выход. Если вы хотите, чтобы ещё и бинарные блобы нигде не использовались, то вы должны это явно через check-meta сконфигурировать. 🤷
| | |
| |
| 4.70, Аноним (1), 13:18, 08/05/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> В других дистрибутивах просто подобная пометка была бы отражена в имени (а-ля ventoy-bin), а не в метаданных.
Что значит в других? В nixos бардак – видел пакеты как с -bin, так и без него.
| | |
| |
| 5.71, ruroruro (ok), 13:34, 08/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
>> В других дистрибутивах просто подобная пометка была бы отражена в имени (а-ля ventoy-bin), а не в метаданных.
> Что значит в других? В nixos бардак – видел пакеты как с
> -bin, так и без него.
Ну собственно, если вы посмотрите на историю пакета ventoy, то он тоже как раз раньше назывался ventoy-bin. Я так понимаю, что мотивация для данного изменения - как раз в том что имя пакета это просто конвенция, которую трудно энфорсить и трудно автоматически проверять. Плюс, постфикс -bin не транзитивный. То есть с его помощью не возможно определить, есть ли бинарные блобы где-то в closure пакета, только добавляет ли их сам пакет. Сейчас постфикс -bin вроде в основном используется, чтобы отличать пакеты, у которых в nixpkgs одновременно есть 2 версии - собранная из сорцов, и использующая upsteram бинари.
То есть, вместо того чтобы рассчитывать на имя пакета, в nixpkgs сейчас предпочитают указывать подобную информацию в meta. В отличие от постфикса -bin, sourceProvenance это формально определенное, автоматически проверяемое поле в метаданных. С помощью meta уже обрабатываются license, broken, insecure и прочие "свойства" пакетов.
| | |
| |
| 6.73, Аноним (1), 14:20, 08/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
Всё это здорово, но не здорово когда нет документации.
Представьте как вы будете обосновывать внедрение никса в прод. "Ну, эээ, дистрибутив хороший, но я вот непойми откуда узнал опции, они вроде работают, но я тупо копипаст сделал, поверив на слово". Так дела не делаются. Не в первый раз сталкиваюсь с такими опциями. Это отстой.
| | |
| 6.74, Аноним (1), 14:24, 08/05/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> С помощью meta уже обрабатываются license, broken, insecure и прочие "свойства" пакетов.
Ага, только в nixos проприетарный пакет пометили как свободный. Ментейнеры не исследуют что они "упаковывают".
| | |
|
|
|
|
|
| 1.14, Аноним (14), 00:38, 08/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
Насчёт сертификата понятно. Либо ты получаешь валидную подпись (к слову, есть организации, готовые бесплатно подписывать опенсорс, например, SignPath, разраб мог бы этим воспользоваться), либо добавляешь свой сертификат в корневые (тут он мог бы генерировать сертификат каждый раз новый, оставляя приватный ключ пользователю, а не свой личный пропихивать).
Поражает другое: чтобы получить файлы по сети из уже запущенной Windows непременно нужен драйвер? А не перебор ли это?
| | |
| |
| 2.31, User (??), 02:00, 08/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
Ээээ... "получить файл" - не надо. Смонтировать его как блочное устройство по сети - надо.
| | |
| |
| |
| 4.61, User (??), 10:49, 08/05/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
Эмоциональную. Определённое недоумение от того, что кто-то не понимает (или "не понимает"?) очевидные вещи.
| | |
| |
| |
| 6.79, Аноним (79), 15:14, 08/05/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> Ближайшее к "Ээээ" это звуки издаваемые бараном
Бывают звукоподражательные междометия.
| | |
|
|
|
|
|
| 1.16, Аноним (16), 00:46, 08/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +5 +/– |
Вот поэтому сижу на 80286 -- самом безопасном процессоре, проверенном, у которого доказано наименьшее кол-во аппаратных багов. Даст прикурить современным телефонным недо-процессорам типа Apple M4.
| | |
| |
| |
| 3.32, 1 (??), 02:01, 08/05/2025 [^] [^^] [^^^] [ответить]
| +4 +/– |
вот раньше делали -- всего 16 ножек у микросхемы, а ведь гораздо круче чем всякие apple m4
| | |
|
| 2.52, Аноним (52), 08:55, 08/05/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
> подстановка корневого сертификата при запуске Windows
> Вот поэтому сижу на 80286
Объясни, где ты видишь тут связь?
| | |
|
| 1.17, Аноним (-), 00:58, 08/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Пока антивирусы с операционной системой, служба технической поддержки и товарищем майором не подружатся, все эти системы безопасности в виде сертификатов до одного места, только лишний геморрой. Ну хорошо не подписал, разработчик рассказал что там все в порядке, получается у него проблемы с подписью, помочь ему некому, никто ответственности ни за что не несёт. Просто предложили уйти на форк. Что за?
| | |
| 1.18, Аноним (-), 00:58, 08/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –3 +/– |
> В инструментарии iVentoy, применяемом для загрузки и установки по сети
> произвольных операционных систем, выявлена подозрительная активность
А опеннет любезно предоставил ссыль на малварь, чтобы удобнее качалось? Логично, фигли. Хотя хомячкам так и надо конечно :)
| | |
| |
| 2.53, Аноним (52), 08:59, 08/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
>> Подстановка драйверов и скриптов в систему после загрузки является документированным поведением.
> опеннет любезно предоставил ссыль на малварь
Зачем текст читать и головой думать, да? Главное возмутиться!
| | |
| 2.77, Аноним (77), 14:29, 08/05/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> хомячкам так и надо
Хомячкам точно iVentoy не надо. Они даже не знают что это 👆
| | |
|
| 1.23, Аноним (23), 01:12, 08/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
С iVentoy понятно - пока не пользуемся, а вот что с Ventoy? Форматируем всё и переставляем систему нуля?
| | |
| 1.27, freehck (ok), 01:31, 08/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– |
Скорее всего шум из ничего. Судя по специфике iVentoy -- иначе он работать и не может.
С учётом того, что автор подключился и не указал сходу на то, что проверялось не то, что у него в релизе собрано -- вероятно антивирусы просто немного перебдели.
| | |
| |
| 2.56, Смузихлеб забывший пароль (?), 09:54, 08/05/2025 [^] [^^] [^^^] [ответить]
| +/– | |
Если всё норм и работать иначе не может, зачем же автор "исправил" это в новом выпуске и даже оказалось, что, и иначе работать может и можно тащить стандартный тестовый сертификат из оф. набора для разработки виндовых драйверов ( WDK ) вместо хз какого и хз откуда ?
Похоже, что-то он всё-таки задумывал, но ему вовремя дали по рукам
| | |
| |
| 3.57, freehck (ok), 10:02, 08/05/2025 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> зачем же автор "исправил" это в новом выпуске
Навскидку мне приходят на ум сразу несколько совершенно валидных и нормальных сценариев.
> Похоже, что-то он всё-таки задумывал, но ему вовремя дали по рукам
Ничем не подкреплённое подозрение, озвученное публично -- это оскорбление. Ещё не клевета, но уже оговор. Зачем так делать?
| | |
|
|
| 1.39, Аноним (39), 04:04, 08/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
И никого не смущает, что за вентоем там летит мегатонна закрытого блоба с закладками и гуантанамирусами по названием Трояндовс?
| | |
| 1.44, hshe (?), 06:29, 08/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– |
 Вот бы переживать про бэкдоры в щиндоусе - одним больше, одним меньше, какая разница:)
| | |
| 1.46, Bob (??), 07:50, 08/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– | |
>31 из 70 антивирусных пакетов
А никого не смущает, что кроме условного Топ 10 антивирей на остальные noname можно не смотреть в виду их подвальности? Ни всякие лаборатории ни хакеры на форумах их даже не рассматривают.
>код драйвера httpdisk.sys является открытым, а сам драйвер предназначен для монтирования в Windows дисковых образов по сети поверх протокола HTTP, что используется в iVentoy для получения с сервера установочных данных Windows. Подстановка драйверов и скриптов в систему после загрузки является документированным поведением.
А этот момент проверить перед очередным вскукареком из отхожего места после детекта ноунейм антивирями с вирустотала - не шмогли?
| | |
| 1.49, Аноним (49), 08:02, 08/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
То есть припёрся, объяснил что всё так должно быть и ничего страшного а потом "исправил", ахахахахаххаха
| | |
| |
| 2.59, Аноним (59), 10:33, 08/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
День 96-ой
Директор покупает специально спроектированные солонки с кодовым замком.
| | |
|
| 1.58, Аноним (58), 10:18, 08/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– |
 и никто не проверяет что ventoy перекапывает и заменяет половину биоса,
| | |
| 1.63, Аноним (63), 10:57, 08/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
Ну что вы хотите, это ж opensourse, все хотят юзать бесплатно и при этом даже доки не читать...
| | |
|
