URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 121471
[ Назад ]
Исходное сообщение
"Учреждён фонд OpenSSF, сфокусированный на повышении безопасности открытого ПО"
Отправлено opennews , 03-Авг-20 23:47 
Организация Linux Foundation объявила о формировании нового совместного проекта OpenSSF (Open Source Security Foundation), призванного объединить работу ведущих представителей индустрии в области повышения безопасности открытого ПО.  OpenSSF продолжит развитие таких инициатив, как  Infrastructure Initiative и Open Source Security Coalition, а также объединит и другие связанные с безопасностью работы, предпринимаемые участниками проекта...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=53482

Содержание
Сообщения в этом обсуждении
"Учреждён фонд OpenSSF, сфокусированный на повышении безопасн..."
Отправлено Укуренный , 03-Авг-20 23:47 
Уууу, теперь анонимам нельзя будет коммитить libc, а я так хотел туда майнер встроить.
"Учреждён фонд OpenSSF, сфокусированный на повышении безопасн..."
Отправлено Аноним , 04-Авг-20 00:06 
В libc и так нельзя было коммитить не только не анонимам, но еще и тем кто не готов отказываться полностью от авторских прав на код в пользу FSF https://www.gnu.org/licenses/why-assign.en.html
"Учреждён фонд OpenSSF, сфокусированный на повышении безопасн..."
Отправлено asdasd , 04-Авг-20 00:18 
Вы говорите не про libc, а про glibc.
"Учреждён фонд OpenSSF, сфокусированный на повышении безопасн..."
Отправлено anon2 , 04-Авг-20 01:32 
Враньё. FSF просит передачу ей только имущественных прав на код. Неимущественные авторские права остаются у автора. Например, право признаваться автором кода.
"Учреждён фонд OpenSSF, сфокусированный на повышении безопасн..."
Отправлено Анонимуз , 04-Авг-20 02:49 
Авторство неотчуждаемо.
"Учреждён фонд OpenSSF, сфокусированный на повышении безопасн..."
Отправлено Аноним , 04-Авг-20 06:36 
Только в рамках принятого западного права, и тем где оно распространяется.
"Учреждён фонд OpenSSF, сфокусированный на повышении безопасн..."
Отправлено ss , 04-Авг-20 08:01 
Причем тут "западного"? С СССР оно тоже было неотчуждаемым. Вы так тролите или просто западнофил?
"Учреждён фонд OpenSSF, сфокусированный на повышении безопасн..."
Отправлено Аноним , 05-Авг-20 17:55 
Россияне эти законы тоже протолкали, в том же виде, копирасы очень уж лоббировали.
"Учреждён фонд OpenSSF, сфокусированный на повышении безопасн..."
Отправлено Аноним , 04-Авг-20 17:52 
Это сладкое слово свобода.
"Учреждён фонд OpenSSF, сфокусированный на повышении безопасн..."
Отправлено Minona , 03-Авг-20 23:48 
>создание средств для проверки идентичности разработчиков.

Однако

"Учреждён фонд OpenSSF, сфокусированный на повышении безопасн..."
Отправлено Аноним , 04-Авг-20 00:15 
всех под колпак корпораций
"Учреждён фонд OpenSSF, сфокусированный на повышении безопасн..."
Отправлено пох. , 04-Авг-20 00:31 
да там пол-документа как раз и посвящено вопросу "а вдруг Вася все еще Вася, но уже НЕ работает на rbm?!"

"Учреждён фонд OpenSSF, сфокусированный на повышении безопасн..."
Отправлено Мастеррецензент из компании в колабасасе , 04-Авг-20 11:45 
а кто сказал, что в спо можно впатчить чего угодно? "This has been going on for *years*, and doesn't seem to be getting any better." "I'm f*cking tired of the fact that you don't fix problems in thecode *you* write"
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 00:29 
Это зачем идентифицировать разработчиков? Типа если heartbleed, то чтобы прийти к нему с паяльником и спросить за всё? Тогда поговорка "пишите код так, как если бы его проверял помешанный маньяк-психопат, знающий ваш адрес" станет ближе к истине
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено пох. , 04-Авг-20 00:33 
Наоборот же - если там нет heartbleed - придти к нему с пакетиком с непонятным порошком и флэшкой с cp, и вежливо попросить добавить.

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено ss , 04-Авг-20 07:57 
Это может произойти и с самим Линусом... Хоть обидентифицируйся, а если нашли чем заинтересовать - то все эти идентификации только на руку злоумышленнику.
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено пох. , 04-Авг-20 09:30 
> Это может произойти и с самим Линусом...

это слишком публичная фигура - с ним этот фокус может внезапно дорого обойтись самим фокусникам.

А вот о большинстве остальных, указанных в credits - неизвестно ничего, кроме мэйла и того имени, которым они себя сами назвали. Теперь еще и фотки разворота паспорта, трудами циско и rbm. Остальные данные радостно продаст пейсбук, или их сопрут бесплатно у какого-нибудь твитера.

А там и чем "заинтересовать" найдется (не каждого, но и нужно-то небольшое количество). Вот у товарищмайора, к примеру, паяльник есть интересный - хошь поближе познакомиться?

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено ss , 04-Авг-20 10:14 
>это слишком публичная фигура - с ним этот фокус может внезапно дорого обойтись самим фокусникам.

Это будет разоблачение века :)

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 01:33 
https://arstechnica.com/information-technology/2018/11/hacke.../
Вот, например, анонимный помощник постарался
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 03:40 
А идентификация спасёт от упущений при ревью?
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 06:24 
Есть с кого спросить хотя бы. Т нельзя рассуждать как "мы просто не должны совершать ошибок".
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено ss , 04-Авг-20 08:04 
Ну спросили и что??
"А он плюнет в глаза и скажет что видит его первый раз в жизни" (с) МВИН
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Hdjzh , 04-Авг-20 15:47 
Поиск виноватых ничем не лучше. Плюс хакеры, желающие насолить, могут или украсть личность, или сделать фейковую и с неё закоммитить
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 00:38 
>создание средств для проверки идентичности разработчиков.

Анонимус не забывает что стало в разрабом Adamantix.

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 08:07 
А что случилось?
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Сейд , 04-Авг-20 08:42 
Попала в тюрьму за вождение без прав.
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Анорим , 04-Авг-20 09:50 
Это где же вождение без "прав" - уголовка? В России - административка.
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним84701 , 04-Авг-20 15:32 
> Это где же вождение без "прав" - уголовка?

За повторный "DUI" (driving under influence)?
Да много где:

https://www.french-property.com/guides/france/driving-in-fra...
> Driving under influence of drugs/Failing to co-operate with preliminary test    2 years     €4,500    
> Driving without a licence    1 year    €15,000    -    -

https://dejure.org/gesetze/StVG/21.html
> наказываются лишением свободы на срок до одного года или денежным штрафом ...

(причем, без всяких DUI, да еще и для владельца транспорта, допустившего к управлению такое лицо)
-
-
> В России - административка.

https://shtrafy-gibdd.ru/articles/ezda-bez-prav-posle-lishen...
> Штраф ГИБДД за езду пьяным после лишения прав за пьяную езду в 2020 году составляет
> 200 000 - 300 000 р. либо тюрьма до 2 лет
> Статья 264.1 УК РФ
>

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 11:19 
Хотелось бы, чтоб не забывчивый анон напомнил забывчивому - что там случилось?
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 01:31 
>Поэтому для подтверждения безопасности открытых проектов важна верификация не только основного кода, но и зависимостей

Что такое "верификация зависимостей"? Они ведь не формальную верификацию в виду имеют.


>а также идентификация разработчиков

Себя пусть идентифицируют.

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 02:37 
>  Они ведь не формальную верификацию в виду имеют.

Жаль если нет (99% процентов что нет)

Но вообще мысль правильная в том смысле, что зависимости тоже надо шерстить. Да и вообще - всякая зависимость есть угроза, особенно если её разработка ведётся не тобой

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено б.б. , 04-Авг-20 04:00 
25 лет назад учреждён проект OpenBSD, сфокусированный на повышении безопасности открытого ПО

В число учредителей OpenBSD НЕ вошли такие компании, как GitHub, Google, IBM, JPMorgan Chase, Microsoft, NCC Group, OWASP Foundation и Red Hat. В качестве участников НЕ присоединились компании GitLab, HackerOne, Intel, Uber, VMware, ElevenPaths, Okta, Purdue, SAFECode, StackHawk и Trail of Bits.

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 04:12 
OpenBSD на самом деле появился тупо потому, что де Раадта выгнали из всех других мест. И уж только потом из-за безопасности
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено ss , 04-Авг-20 08:11 
Все что надо знать об "безопасности" OpenBSD:

"OpenBSD no longer uses the term "vulnerability" when referring to bugs that lead to a remote denial of service attack, as opposed to bugs that lead to remote control of vulnerable systems to avoid oversimplifying ("pablumfication") the use of the term. "

Главное правильно подобрать интерпретацию термина :)

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено б.б. , 04-Авг-20 08:14 
а о безопасности OpenSSF что нужно знать?
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено ss , 04-Авг-20 08:16 
Что вам теперь некуда бежать :)
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Ананоним , 04-Авг-20 08:04 
Я не понял, это "пчёлы против мёда" шоле? О как!
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено ss , 04-Авг-20 08:05 
Как раз безопасность для корпораций -это мед за который все эти пчелы очень ратуют...
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 08:10 
На этом можно неплохо обогатиться ничего не делая:)
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено ss , 04-Авг-20 08:14 
Неплохо обогатиться ничего не делая можно более простыми способами. А они делают и весьма много. Правда порой весьма спорные вещи.

"Мы все делаем для вашего блага" (с) Менеджер гугл

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Ананоним , 04-Авг-20 08:16 
И как же они после будут отухлять старые, конкурирующие с новыми-модными-молодёжными, выпуски ПО? А разработчики шо, на улицу захотели? Если будут создавать неуязвимое ПО, их же на мороз выпнут. Во дела...
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено ss , 04-Авг-20 08:19 
выйдет новый процессор, на котором ваше старое ПО просто не запустится...
найдут случайно затесавшийся баг... (с частотой 1/365 релиза)
возникнет новый хайп...

ой.. вы такие наивности говорите..

"Постоянная работа над ошибками доводит их до совершенства" (с)

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Fracta1L , 04-Авг-20 08:35 
Что планируют делать с сишными дыренями?
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 08:41 
Повышать их безопасность
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 08:58 
Чипизация же!
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 09:01 
Это все пустое. "Преступность победить нельзя."
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено ss , 04-Авг-20 09:05 
Можно. И генерал Ле Вин это доказал практически.
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 09:31 
Хм... Только один? У других не вышло?
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено ss , 04-Авг-20 10:00 
Другие просто не хотели
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 23:18 
Хотели-хотели. Но не шмогли. И теперь ноют, что их шпилят во все дыры.
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 09:08 
> В число учредителей OpenSSF вошли такие компании, как GitHub, Google, IBM, JPMorgan Chase, Microsoft

Ясно, очередная диверсия против СПО.

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено YetAnotherOnanym , 04-Авг-20 09:41 
> JPMorgan Chase

Эти-то чего там забыли?

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено ss , 04-Авг-20 10:13 
Защищают свои интересы естественно :)

Вас же не удивляет что весьма крупный в россии вычислительный кластер построил сбербанк?

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 11:11 
Удивляет что не Роснефть или Газпром, но там совсем другие видать интересы.
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено ZOGmaster , 05-Авг-20 16:59 
Не тrогайте наших агентов, меrзкие гои!
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 10:07 
>создание средств для проверки идентичности разработчиков.

спасибо, не нужно

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 11:59 
Все с анонимностью борятся
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 23:17 
Читать надо между строк. Главное слово гендерной.
Всяк хочет анонимом остаться. Но ответ держать придётся.
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено InuYasha , 04-Авг-20 12:26 
>>В число учредителей OpenSSF вошли такие компании, как

(0_0) Прямо список корпораций зла! (кстати, спасибо за него)

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 14:28 
>Организация Linux Foundation объявила о формировании нового совместного проекта

Началось... когда эти корпорасы что-то там объявляют я начинаюсь тревожится, что-то они там задумали пртив Свободы, GNU и FSF.

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 17:44 
> Среди угроз, вызванных отсутствием идентификации разработчиков

Вот похерил товарищ майор gnupg: https://www.opennet.dev/openforum/vsluhforumID3/117882.html#4 а теперь локти кусают.

Проводил исследование использования подписи PGP в открытых проектах:

Очень хороший, образцовый, пример организации проверки аутентичности и целостности кода: https://www.altlinux.org/Работа_с_ключами_разработчика прям гордость за наших! http://git.altlinux.org/gears/a/alt-gpgkeys.git?p=alt-gpgkey...

Кроме ALT Linux можно отметить отличной оценкой: archlinux.org, archlabslinux.com, debian.org, kali.org, puri.sm, qubes-os.org.

Хорошо стараются: freebsd.org, gentoo.org.

Еще ~40 дистров с первых 100 с distrowatch.org можно отметить как удовлетворительно, хотя бы образ ISO свой подписывают.

Остальные ~50% с первых 100 с distrowatch.org даже свой образ ISO не подписывают!

Ситуация с сорцами вообще плохая:
Исследовано ~ 1500 проектов
Подписано ~ 20%
Подписано двумя или более < 1%
Изменились подписи мейнтейнеров, без крос подписи ~ 20 проектов (люди в глаза друг другу не смотрели, лично не встречались, а проект отдали в другие руки).
Не выложили нигде свой публичный ключ ~ 5 пакетов.
Подписанный сабключом без крос подписи первичного ключа - 1 проект.

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 17:57 
> Подписанный сабключом без крос подписи первичного ключа - 1 проект.

Так и я могу любой, подписанный кем-то, файл "подписать". Это документирования фича OpenPGP.

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 18:02 
> создание средств для проверки идентичности разработчиков.

Верните SKS и pgp как было.

Откатите gnupg до версии 2.2.16 и поставте в ней количество подписей на ключ такое же как на серверах SKS!

"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 17:50 
Открытое безопасным быть не может. По определению.
Зачётно сказано!
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 17:51 
Ты не знаешь силы математики.
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 04-Авг-20 20:44 
О да! Силы маркетинга великая вещь!
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 05-Авг-20 06:38 
Во славу Пифагора!
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 05-Авг-20 15:40 
Слегка дурновато пахнущая инициатива
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Аноним , 05-Авг-20 17:40 
Было такое: "I'm not anti-vendor, I've built several of them and currently own one. But I think that vendor-domination of Open Source inevitably dilutes the rights of everyone else. With its increasing participation in Open Source, there's even a chance that Microsoft could be offered an OSI board seat." (B.Perens, 2008)
А потом такое: "The current Data Curators are: Lanx Goh, Eric Lachaud, and Alex Li on behalf of Microsoft" "The current Code Committers are: Benjamin Wong, Jieying Chng, and Alex Li on behalf of Microsoft"
И даже такое: "The data leak was first reports on May 6 by experts at the data breach monitoring Under the Breach, a hacker claimed to have obtained 500 GB of source code from Microsoft’s private GitHub repositories."
"Учреждён проект OpenSSF, сфокусированный на повышении безопа..."
Отправлено Firecat , 05-Авг-20 18:55 
Интересно, они планируют все дистрибутивы проверять на безопасность?