Разработчики репозитория Python-пакетов PyPI (Python Package Index) объявили о внедрении поддержки механизма цифровой аттестации для проверки подлинности опубликованных пакетов, которая пришла на смену верификации с использованием PGP-подписей. Ключевым отличием аттестации является то, что публикация пакета заверяется не разработчиком, а третьим лицом (каталогом пакетов) после подтверждения достоверности публикации через внешнего провайдера OpenID Connect (например, после проверки, что публикуемый пакет соотносится со связанным с ним репозиторием на GitHub или GitLab)...Подробнее: https://www.opennet.dev/opennews/art.shtml?num=62234
Вот поэтому всё нужно писать с нуля самостоятельно. Это быстрее и надёжнее, чем качать 100500 надстроек и прослоек, которые написаны не пойми кем и вполне себе могут быть напичканы бэкдорами. Любители фреймворков можете критиковать, но в таком случае задумайтесь, чем вы отличаетесь от ф///шистов, который точно так же нетерпимы ко всему, что не вписывается в их мировоззрение.
>Вот поэтому всё нужно писать с нуля самостоятельноОк, будь последователен - начинай новый проект с написания tcp-стека. Ой, нет, в эзернете же тоже может быть что-то плохое. Так, погоди, а с физикой что будем делать? Наверняка там китайцы свои китайские фотоны гоняют. Придется паять своё. Возвращайся лет через 10, расскажешь как всё быстро и надёжно.
Обычно tcp уже реализован в самой системе, так что придумай что-то более остроумное, если уж так хочется выступать в роли вaньки бaлaгaнного.
Ну значится систему надо обязательно свою иметь, самописанную. И чтоб ни строчки чужого кода.
Так то он прав. Нужно определиться с какого момента мы начинаем полагаться на чужой код? С ОС, драйверов, ЯП?
просто запускайте свою функцию в 2-х контейнерах и сверяйте результат её работы. один контейнер на сервере у южного полюса, один у северного.
> Так то он прав. Нужно определиться с какого момента мы начинаем полагаться
> на чужой код? С ОС, драйверов, ЯП?Где-то на уровне физики пока что у меня есть вопросы. Ставлю одну и ту же кастрюлю на одну и ту же плиту и время закипания каждый раз разное, с неприемлемо жутким dt. Если там недоразумения получится устранить, то можно будет продолжить печатью микросхем на дому на 3D-принтере. А пока у вас Intel ME в фоновом режиме шиткоины майнит, всерьёз говорить о чем-то другом преждевременно.
на Эль Брусе, конечно же
> задумайтесь, чем вы отличаетесь от ф///шистовЭто какой-то вопрос с подвохом? Если мы возьмём, например, определение фашизма отсюда: https://acoup.blog/2024/10/25/new-acquisitions-1933-and-the-.../
и пробежимся по пунктам:
1. The Cult of Tradition, particularly a syncretic traditionalism that latches on to various iterations of an idealized past, even mutually incompatible ones.
Очевидно к нам неприменимо. Мы противники традиций, мы хипстеры, нам подавай что-нибудь новое и блестящее. Применимо к нам на 0%.
2. The Rejection of Modernism, specifically, in Eco’s mind, a rejection of “the Enlightenment, the Age of Reason…seen as the beginning of modern depravity.”
Мы технари, мы высоко ценим разум. С ценностями Просвещения сложнее, но большинству на них наплевать, потому что большинство нас даже не знает, что это за ценности. 25% применимости.
3. The Cult of Action for Action’s Sake, which for Eco is really a rejection of intellectualism, thinking or consideration, a despising of experts, intellectuals and universities: don’t think, just do, and hate the thinkers.
Вот он пункт, который к нам часто применим. Мы часто ставим в приоритет работающий результат труда, а не академически идеальный код. И да, некоторых заносит в презрение к академии в целом. Но тем не менее подавляющее большинство училось в университетах и довольно тепло относится к альмаматер. Пускай будет 75% применимости.
4. Disagreement is Treason.
Это близко к тому, о чём ты говоришь, но всё ж мимо. Мы не объявляем таких как ты предателями. (Предателями чего?). 0%
5. Fear of Difference.
Боимся ли мы людей, кто не такие как мы? Кто-то, конечно же, но это не какой-то определяющий трейт любителей фреймворков. 0%
6. Appeal to a Frustrated Middle Class.
Это не про нас абсолютно. 0%
7. The Obsession with a Plot.
Мне кажется, что в наших рядах конспирология выражена ниже среднего по популяции, и я уверен что не выше. 0%
8. The Deceptively Strong/Weak Eternal Opponent. This one is complicated, but fascism conjures an ‘enemy’ who is at once too strong (thus requiring the power of the fascist strongman to defeat and whose continued existence can justify continued mobilization and authoritarianism) and yet also degenerate and weak.
У нас нет такого оппонента. Такие как ты не считаются, потому что вы не eternal. Можно помахать шашками в интернете с такими как ты, а потом пойти и помахать шашками с кем-нибудь другим на совершенно другую тему. 0%
9. Life is Permanent Warfare, as Eco puts it, “there is no struggle for life, but rather, life is lived for struggle.”
Мимо. Жизнь -- это зарабатывание денег, а не война. И зарабатывание денег для того, чтобы жить как минимум комфортно, а максимум роскошно. 0%
10. Contempt for the Weak.
Не знаю, что на это сказать. Я не вижу какого-то общего презрения к слабым. Хотя если считать слабыми тех, кто не может зарабатывать денег на фреймворках, то может быть. 25%
11. The Cult of Heroism.
Нет. Среди нас нет героев, и уж тем более культа этих героев. 0%
12. Machismo, which as Eco notes, encompasses both “disdain for women” and “condemnation of nonstandard sexual habits.”
Первое -- это bro культура, и она довольно распространена в наших рядах. Второе же, я б сказал, скорее мимо. 50%
13. Selective Populism: fascism claims to speak for ‘the People,’ but in reality only some of the people and not through democratic, majority-rules systems; rather the Leader channels the Common Will which is taken as the Voice of the People, even when it contradicts the actual votes of the people.
Опять же мимо. Нет никакого the Leader, который бы говорил от нашего лица. 0%
14. Newspeak, which Eco identifies both in changing the meaning of words, often inverting them
Не упомню ничего такого. Хотя, если взять историю Agile и Scrum, которые начались как способ более эффективно разрабатывать код, а превратились в ритуалы убивающие эффективность на корню, то может быть. Хотя я не уверен, что это оно, но пускай будет 25%.
9/14 - 0%
3/14 - 25%
1/14 - 50%
1/14 - 75%Ни одного попадания в яблочко, и больше половины совершенно мимо. Я ответил на твой вопрос, чем мы отличаемся от ф///шистов?
> Вот поэтому всё нужно писать с нуля самостоятельно. Это быстрее и надёжнее, чем качать 100500 надстроек и прослоек, которые написаны не пойми кем и вполне себе могут быть напичканы бэкдорами.Здорово ты придумал. Ну вот не доверяешь ты чужому коду и всё пишешь сам. А почему кто-то должен доверять твоему коду чтобы его переиспользовать? Не должен, должен писать всё сам. В итоге каждый пишет весь код сам, без какого либо переиспользования. Я не знаю что нужно в башке иметь чтобы язык повернулся назвать это быстрым и надёжным, ибо для одного человека это колоссальная задача, а её нужно повторить каждому человеку касающемуся IT.
В общем можешь писать всё IT с нуля, но мы как-нибудь уж будем тебя не спросив максимально переиспользовать уже написанный код, попутно доводя его до идеала. И ты будешь этим пользоваться как миленький.
> Любители фреймворков можете критиковать, но в таком случае задумайтесь, чем вы отличаетесь от ф///шистов, который точно так же нетерпимы ко всему, что не вписывается в их мировоззрение.
То есть ты "в домике"? Это аргумент, конечно. Знаешь, мне вообще не страшно что меня назовут фашистом за то я максимально жестоко, цинично и безжалостно втаптываю в грязь берцами невежество, некомпетентность, мракобесие и отсутствие логики.
>Вот поэтому всё нужно писать с нуля самостоятельно.Особенно криптографические функции.
Я пишу крипту сам (реализации имеющихся алгоритмов), ничего плохого в этом нет.
где можно посмотреть на твои творения?
Правильный заголовок новости:>Pypi внедрил систему энфорсинга лояльности Micro$oft и его проприетарной платформе
Не за горами внедрение системы проверки лояльности Micro$oft и его копирастическим (Pluton) и биометрическим (Windows Hello) технологиям в сам интерпретатор. Всё-таки у каждого разработчика есть фамилия, имя, отчество, номер сотового телефона (у кого нет - тот вылетел с GitHubа как пробка из бутылки, и бальше не разработчик) и вектор лица, а использовать какой-либо код без разрешения "правообладателя" по Бернской конвенци - вообще нарушение копирайта! Логично в рамках "supply chain security" внедрить проверку того, что конкретный разработчик (или конкретное ответственное лицо в структуре ко(рп|пр)орации) предоставило разрешение на использование конкретного модуля путём генерации подписи на GitHub.
О нет! Владелец площадки не хочет, чтобы к нему ходи какие-то аноны!
Как он посмел!!У тебя даже в ближайшем КиБ спросят паспорт.
Я уже молчу про приличный бар.
А если ты хочешь без доков - то будешь пить в рßгалøвке, с бµчами и школотой.> Логично в рамках "supply chain security" внедрить проверку
Конечно логично. Особенно с учетом последних событий с ХЗ библиотекой.
Тебе не нравятся условия? Можешь идти на торрент, в гемини или хоть на двач.
>Можешь идти на торрентНикогда с него и не уходил. Рабам не понять.
>в гемини
гемини не зря так называется... Даже HTML + HTTP образца 90х - и то лучше. HTML5 ничем не испорчен. Не нравится полнофункциональный - никто не заставляет поддержить всё множество, ни один браузерный вендор на самом деле стандарт полностью не поддерживает.
>или хоть на двач.Двач помер, с пробуждением из криокамеры!
> Никогда с него и не уходил. Рабам не понять.Надеюсь в автобусе ты тоже зайцем ездишь?
Ну и в кинотеатр прокрадываешься?
Вижу что бы-ло любит называть рабами всех, кто не живет по их понятиям.> гемини не зря так называется... Даже HTML + HTTP образца 90х - и то лучше.
А чего ты тут забыл?
На опеннете между прочем есть такое<script>ї
(function(i,s,o,g,r,a,m){i['GoogleAnalyticsObject']=r;i[r]=i[r]||function(){
(i[r].q=i[r].q||[]).push(arguments)},i[r].l=1*new Date();a=s.createElement(o),
m=s.getElementsByTagName(o)[0];a.async=1;a.src=g;m.parentNode.insertBefore(a,m)
})(window,document,'script','https://www.google-analytics.com/analytics.js','ga');
</script>
О ужас! гугл тебя посчитает!> Двач помер, с пробуждением из криокамеры!
Ну сорян, я не слишком слежу за тем, где сейчас битарды обитают.
> На опеннете между прочем есть такоеВы забыли отквотить <!-- -->, выставленные вокруг того кода. Google Analytic на opennet лет десять как отключён.
>Надеюсь в автобусе ты тоже зайцем ездишь?Я в общественном транспорте не езжу. Холопам такое - неслыханная зажратость, знаю. Пойдите конспекты давосского форума послушайте, или климатического, на которого лидеры летают на частных самолётах.
>А чего ты тут забыл? На опеннете между прочем есть такое
Мне пофиг, у меня отключён. Холопам не понять.
>Ну сорян, я не слишком слежу за тем, где сейчас битарды обитают.
Как хорошо, когда плевелы сами понимают, что среди зерён им не место.
Все правильно. PGP показал свою бесполезность уже давно.
Пользоваться имеет смысл только если есть подписи с личным подтверждением.
Иначе получается что это чел, который знает чела, который бухал на PGP-пати с знакомым твоего знакомого. А кто там что понаподписывал - одному богу известно.
> Все правильно. PGP показал свою бесполезность уже давно.для тех кто не понимает что это и для чего на самом деле используется - показал.
(кстати, вероятно, нынешние разработчики впихона именно такие, альтернативно-одаренные)> Иначе получается что это чел, который знает чела, который бухал на PGP-пати с знакомым твоего
> знакомого.да ты можешь лично проверить паспорт Juan Tjan - как это поможет от написанного им троянца?
Единственное, что на самом деле подтверждала pgp-подпись - это что пакет подписан тем же самым человеком что и в прошлый раз. (А дальше уже от тебя зависит, насколько ты доверяешь этому человеку и его коду. Если ты и прошлый раз в него даже не заглянул - то в общем-то, можно и не подписывать вовсе.)
> да ты можешь лично проверить паспорт Juan Tjan - как это поможет от написанного им троянца?Во-первых его можно найти)
Кто это будет делать соответсвующие органы или просто разгневанные пользователи это не столь важно.
Как писал Стив в своей книге
"Пишите код так, как будто сопровождать его будет склонный к насилию психопат, который знает, где вы живете."
А теперь про это будет знать и твой пользователь.Во-вторых - после первого такого факапа, сомнительно, что кто-то примет его код.
А там был намеренный бекдор в несколько этапов, это тебе не за границы массива выйти.
> Во-первых его можно найти)и че ты ему сделаешь, он вообще в другом городе.
> Кто это будет делать соответсвующие органы
так он на них и работал.
> Во-вторых - после первого такого факапа, сомнительно, что кто-то примет его код.
после такого факапа его наверное на органы разобрали. Это ж надо быть ТАКИМ неудачником! Тщательно продуманная многоходовая операция - псу под хвост.
Но я уверен что у китайцев есть еще пара сотен тыщ Жун Тянов, готовых что угодно подписать своим ключом по первому зову. Причем у всех по пять акаунтов на шитхапе и шитляпе, существующих по десять лет, с кучей мусора в репах.
И следующему наверняка повезет больше.
> и че ты ему сделаешь, он вообще в другом городе.Поеду в гости?
Ты что не видел рецеп из "Джей и Молчаливый Боб" про комментаторов в интернете?> так он на них и работал.
Значит будет заруба нашего майора и не-нашего.
"Нашесть" каждый выбирает в зависиммости от предпочтений, пачпорта.
Непричасные могут запасаться попкорном.> Но я уверен что у китайцев есть еще пара сотен тыщ Жун Тянов, готовых что угодно подписать своим ключом по первому зову. Причем у всех по пять акаунтов на шитхапе и шитляпе, существующих по десять лет, с кучей мусора в репах.
Отлично, а теперь мы не смотрим на кол-во мусорных аккаунтов, а сразу просим пасспорт.
Желательно вместе с видосом.Уже проглядывается отличная практика неправильный-пасспорт-значит-нах, почему такого нельзя сделать и для других?
А чтобы не было спукареков про ущемления - сделать для всех!
Отличный метод наконец-то избавиться от монополиста-конкурента. Обеими руками за.
> Поеду в гости?там визовый въезд, тебе не светит.
> Отлично, а теперь мы не смотрим на кол-во мусорных аккаунтов, а сразу просим пасспорт.
как человек, пол-года живший с _бумажкой_ (правда, заламинированной) без единого читаемого тобой символа (хотя нет, цифры арабские, да, а ведь могли бы быть и индийскими) - чота хихикаю. (запросто мог бы и пару лет с ней прожить)
Не, ну можешь выбросить половину разработчиков по признаку "не могу понять что за документ".
Но, боюсь, даже владельцу шитхапа это пока покажется черезмерным энтузиазмом.
> там визовый въезд, тебе не светит.а если я уже там)?
> как человек, пол-года живший с _бумажкой_
если в твоем конкретном случае всем было пофиг - это не показатель
> Не, ну можешь выбросить половину разработчиков по признаку "не могу понять что за документ".
Э... не, я могу выбросить половину со словами "о кажется в из ..."
> Но, боюсь, даже владельцу шитхапа это пока покажется черезмерным энтузиазмом.
А это решает не вледелец гитхаба, а каждый проект самостоятельно.
> после такого факапа его наверноескорее всего проведут 2094 Hall of Honor Ceremony :)
Альтернативы PGP пока нет. Да, PGP надо уметь пользоваться. PGP начинает хорошо работать только через годы. Подписывайте ключи только тех кого знаете: одноклассников, однокурсников, сотрудников.Для приемлемой верификации разраба, следует требовать наличие более чем 3 цепочек доверия к публичному ключу разраба пакета!
Использование PGP требует организацию неких процессов. У нас использование PGP отлично организован в ALT.
С PGP отлично работают в: ALTLinux, Linux, Debian, Archlinux, Archlabslinux, Kali, Purism, Qubes. Их инструкции по работе с ключами PGP можно взять за образец.
С PGP хорошо работают в: Genoo, FreeBSD, ... В их организации работы с ключами PGP есть мелкие недочёты.
> Для приемлемой верификации разраба, следует требовать наличие более чем 3 цепочек доверия"вы наверное хотите написать - раба?!"
Оно вменяемому и стоящему разработчику - такое вот - надо?!
Я лично совершенно не желаю светить однокласников, однокурсников и даже просто знакомых. Как нибудь перебьетесь. А хороший разработчик прекрасно обойдется без вас.
>> Для приемлемой верификации разраба, следует требовать наличие более чем 3 цепочек доверия
> "вы наверное хотите написать - раба?!"Раз - раба, два - раба, три - раба.... видишь, словообразование! :)
> Оно вменяемому и стоящему разработчику - такое вот - надо?!
Некоторые так привыкли к гестапе что не представляют что может быть как-то иначе.
> Я лично совершенно не желаю светить однокласников, однокурсников и даже просто знакомых.
> Как нибудь перебьетесь. А хороший разработчик прекрасно обойдется без вас.С вон тех скоро и днк начнут собирать. Для улучшения качества обслуживания. С бесплатным массажем почек в комплекте, видимо. Но до некоторых доходит чем это чревато только при получении массажа.
тотальная централизация. отсутствие ключей на популярных серверах им не нравится, ппц
"Дополнительно можно отметить выявление в каталоге PyPI вредоносного пакета "fabrice", который при помощи тайпсквотинга"- и вот как от этого могут помочь централизованные ключи с привязкой к шитхапу? А никак. (проверки что это именно код, выложенный на шитхап, вестимо, нету) Зато мы вас всех посчитаем, а правильные пацаны еще и персональных данных пособирают, кто, куда, зачем и когда.
Ну ок, дивный новый мир стал чуточку ближе.
ладно бы только сама по себе централизация, но выкладывание (неудаляемого!) ключа на публичный сервер это конец для личного почтового сервера. этим ты как бы кричишь на весь интернет "мне вот сюда, я даже не смазывал"
Поэтому правильные поцоны давным-давно пользуются гуглем. Чо там - телефон просит подтвердить? У Джен Тянок этих телефонов - достаточно в соседний отдел заявку дать, и еще десяток выдадут.И почта у него на каждую такую провокацию - будет новая, незамаранная.
В общем, план надежный, как швейцарские ч... сыры. Все в дырках. Зато статистика гитхапа - улучшилась. Есть чего показать инвесторам.
> Поэтому правильные поцоны давным-давно пользуются гуглем. Чо там - телефон
> просит подтвердить? У Джен Тянок этих телефонов - достаточно в соседний
> отдел заявку дать, и еще десяток выдадут.Да господи, там поди половина майкрософта из них состоит. Прости, у амеров какой-то дятел может слить секретные документы - в свой дискорд, похвастаться перед такими же как он д@билами-геймерами какой он важный фрукт. И это - с какой-то секретной базы, между прочим.
А как делает код ревью коммерческая корпа - ну ты понял. Там персонал на минималках для оптимизации профита. Один замордованый индус жмет Commit - и весь ревью. Надо было в 3 раза больше таких кадров, но им же зарплату платить надо?! Характерный пример - Самсунг где на несчастного кодера подвесили F2FS, EXFAT и SMB сервер в ядре одним махом. Но никто же не думал что самсунг в этом - уникумы?!
...а потом вся эта шушера начинает хвататься за голову и лечить про supply chain. Пусть в зеркало посмотрятся, что там у них за supply chain образовался.
> Да господи, там поди половина майкрософта из них состоит. Прости, у амеров
> какой-то дятел может слить секретные документы - в свой дискорд, похвастатьсяну вот не надо на дятлов-то наезжать! У того дятла все документы были проверены двадцать раз, и отпечатки взяты, все в полном абажуре было, обдолбись.
Год еще, вроде, правда, парнишке оставался до разрешения самостоятельно оружие и бухло покупать. Что бы могло пойти не так?! И никто не наказан из тех кто ему допуски выдавал, как обычно, они ж все по правилам делали, и фотку с паспортом сравнили в профиль и в фас.
Конец истории же ж, мир тыщи гендеров и вылизывания шерстки.
Сравни с какой-нибудь вон израхой, где конец истории в книжке обозначен четко, раз тот чувак пока не появляется - значит, не кончилась, и чтобы на военном заводе хотя бы крутить гайку - "не служил, не мужик"(ну хотя там и девки тоже служат). И характеристику от командования затребуют в обязательном порядке - беспощаден ли к врагам рей... жьiдорептилоидов, в связях с игроманами не замечен ли.
> А как делает код ревью коммерческая корпа - ну ты понял. Там
ну я разных коммерсов видал, некоторые и делают - у кого в КПИ число отказов фигурирует - те с особым пристрастием.
> кадров, но им же зарплату платить надо?! Характерный пример - Самсунг
> где на несчастного кодера подвесили F2FS, EXFAT и SMB сервер втак это ж - бесплатное! И врагам достается. Чем хуже, тем лучше!
Не очень-то они тот exfat всем желающим раздавать и хотели, оно само получилось.
(надо заметить, у меня ТОТ работает - и пока без нареканий)
Кому им?
Разве они не вправе устанавливать правила на своей платформе?
Для справки, на опеннете тоже есть правила где-то в подвале сайта.Никто не запрещает сделать свой удобный сервис, без проверок или модерации.
> Кому им?а ты попробуй новость прочитать
> Разве они не вправе устанавливать правила на своей платформе?
кто они?
> Для справки, на опеннете тоже есть правила где-то в подвале сайта.
я знал это
> Никто не запрещает сделать свой удобный сервис, без проверок или модерации.
нужно больше очевидных фактов: дерево из дерева, вода мокрая. так полностью опровергнем сами не знаем что
>> Разве они не вправе устанавливать правила на своей платформе?
> кто они?а ты попробуй новость прочитать
>> Никто не запрещает сделать свой удобный сервис, без проверок или модерации.
> нужно больше очевидных фактов: дерево из дерева, вода мокрая. так полностью опровергнем сами не знаем чтоА кто говорит про опровержение?
Ладно если твой уровень не позволяет понять, то скажу прямо - каждый кому не нравится PyPI, может сделать свой сервис с блекджеком и щво6одькой.
> тотальная централизация.Ну как бы смысл PyPi как раз в том, чтобы быть единственным, централизированным местом для загрузки пакетов. Не нравиться - загружай пакеты ручками по всему интернету. В чем проблема?
> централизированным местом для загрузки пакетов. Не нравиться - загружай пакеты ручками
> по всему интернету. В чем проблема?"Those who would give up essential liberty to obtain little temporary safety, deserve neither" (с) Беня Ф.
Хорошо бы цитирующие ещё и контекстом владели. Или хотя бы понимали значение слов, которые повторяют.> essential liberty
Публиковать пакеты на PyPi — это essential liberty? IT-инфантилы такие забавные. Когда мамка запрещает конфеты жрать без меры — тоже, небось, на essential liberty посягает, а?
> Публиковать пакеты на PyPi — это essential liberty? IT-инфантилы такие забавные.
> Когда мамка запрещает конфеты жрать без меры — тоже, небось, на essential liberty посягает, а?Потуги сделать 1 центральную репу - с околовендорлокскими практиками - это, имхо, оно.
>> Публиковать пакеты на PyPi — это essential liberty?
> Потуги сделать 1 центральную репу - с околовендорлокскими практиками - это, имхо, оноНу что за бред? Какие базовые свободы тебе защемили, если тебя никто не заставляет публиковать свои пакеты на PyPi? Я даже на деньги готов поспорить, что ты этого не делаешь, как и 100% здесь возмутившихся.
Те же люди, кто действительно публикует полезные пакеты на нем - они лишь будут рады усиленной безопасности. Не говоря уже о пользователях этих пакетов.
> Ну что за бред? Какие базовые свободы тебе защемили, если тебя никто
> не заставляет публиковать свои пакеты на PyPi?Свободу не подвергаться дискриминации, внезапно. И да, за это можно очень крепко пострадать, если вы не в курсе. Мало кто любит быть гражданином второго сорта.
> Я даже на деньги готов поспорить, что ты этого не делаешь, как и 100% здесь возмутившихся.
Я может и под дождем по болоту сегодня не побегу. Но это вовсе не значит что мне это надо запретить и какие-то кандалы напялить под благостные увещевания что ошейник с GPS и взрывчаткой срабатывающей при выходе за геофенсинг - для моей же безопасности, угу. Е... я такую безопасность и всех адептов этого ценой такой сдачи в рабство то!
> Те же люди, кто действительно публикует полезные пакеты на нем - они
> лишь будут рады усиленной безопасности. Не говоря уже о пользователях этих пакетов.Я таки думаю что Беня Ф был очень прав насчет вас. Хоть он про питон ничего и не знал, но очень правильно сказал - "deserve neither".
Лучше бы они с тайпсквоттингом боролись, и вообще с мусором который там тоннами регистрируют, что прекрасно видно если их фиды обрабатывать. А уж как защищать свой код мы сами разберёмся без сопливых. Так, их "обязательная" 2FA у меня на гитхабе в README свободно выложено, потому что я не считаю что должен тратить время и рисковать доступом к изменению своих пакетов ради гипотетической безопасности потребителей этих пакетов.
> А уж как защищать свой код мы сами разберёмся без сопливыхДа-да, Jia Tan может подтвердить.
> их "обязательная" 2FA у меня на гитхабе в README свободно выложено
А зачем ты вообще пользуешься гитхабом, если он такой плохой?
Добавляешь им популярности и пользователей.
Научись читать, и различать гитхаб и пупи, для начала. А потом попробуй понять что и с пупи нет никакого противоречия в том чтобы им пользоваться и продвигать, и чтобы при этом сpать с высокой колокольни на и саботировать их механизмы безопасности.
> Да-да, Jia Tan может подтвердить.И теперь 1 м...к будет использоваться как предлог? Где-то я такое видел уже. В 1930х такие предлоги очень далеко пошли, помнится.
> А зачем ты вообще пользуешься гитхабом, если он такой плохой?
А вот хорошая мысль. Я как раз свалил оттуда. Пусть сами с своими toto и 2FA и е...ся! Вам же "такие" разработчики не нужны? Ну вот и круто, тусите в своем кoнцлaгeрe имени майкрософта сами и дергайтесь под все их totoлитарные загоны и что там завтра их манагерам еще приспичит :)
Из-за одного ахаха. В этом то и твоя проблема. Это один которого поймали и который упёрся фиксить уязвимость. А таких жиатанов сотни и даже когда их ловят у них даже не просят оправданий ну уязвимость и что я поправлю какой я молодец ну или поддержка версии закончилось выпущу новую версию. А старая пусть светит на весь инет. Оставлю ещё десяток уязвимостей. Исчх большинство этих жиатанов сидят в одной друг с другом комнате причем в Москве.
Учитывая, что кроме самого ридми там ничего ценного нет и быть не может, то вреда от тебя ровно столько же, сколько и пользы.
> Так, их "обязательная" 2FA у меня на гитхабе в README свободно выложено, потому что я не считаю что должен тратить время и рисковать доступом к изменению своих пакетов ради гипотетической безопасности потребителей этих пакетов.Дашь ссылочку на свой Гитхаб?
Конечно не даст - это же были просто фантазии анона.
Он сначала бредит про РИДМИ, а потом пишет "Я как раз свалил оттуда"))
Это лютая дичь. По сути pypi предлагает доверить безопасность пакетов gitlab или github.
Это не только не этично, но просто меганебезопасно. По сути это бекдор в экосистему питона (0.5% со своими зеркалами можно не учитывать).
> По сути pypi предлагает доверить безопасность пакетов githubГде работает Гвидо и кто владелец github? Дальше думаю ясно.
> Это не только не этично, но просто меганебезопасно. По сути это бекдор в экосистему питона
Не можешь победить - возглавь.
Linux, python, rust (лоббирование запретов его не использовать), с++ (пропихивают в стандарт мусор вроде модулей, чтобы убить с++), система загрузки пк уже под майками, кто следующий?
А что будет если Майкрософт купить Интел?
> А что будет если Майкрософт купить Интел?"Two turkeys do not make an eagle" (с) Google.
> с++ (пропихивают в стандарт мусор вроде модулей, чтобы убить с++)Лол. Соразу видно эксперта, который на C++ не пишет, но мнение имеет.
Чтобы ты знал, модули - это одна из самых долгожданных фич плюсов.
> Где работает Гвидо и кто владелец github? Дальше думаю ясно.и кстати, да. Улыбается и машет. И никто его к табурету не приковывал. Саааам пришел. Для виду даже корону снял.
> Не можешь победить - возглавь.
так он и так...
> Где работает Гвидо и кто владелец github? Дальше думаю ясно.А, вот оно что, теперь питонистов заставят облизать все майрософтовские подметки до блеска?!
> Где работает Гвидо и кто владелец github? Дальше думаю ясно.Думаю, чсно, что ты новость задницей читал, ибо GitHub привели лишь как пример использования OpenID.
>> Где работает Гвидо и кто владелец github? Дальше думаю ясно.
> Думаю, чсно, что ты новость задницей читал,Новостные сомелье в треде.
> ибо GitHub привели лишь как пример использования OpenID.
Перечисли кто еще поддерживает. Codeberg, например, нет https://codeberg.org/Codeberg/Community/issues/142
> Перечисли кто еще поддерживает. Codeberg, например, нет https://codeberg.org/Codeberg/Community/issues/142Э.. а он вообще нужен?
Создан как форк гитеи в связи с попоболью от покупки гитхаба..
Нужен только фанатикам типа Software Freedom Conservancy.ps они, кстати, Non-profit organization в Берлине.
Если написать им про то что у них могут хоститься всякие террористы с неправильным паспортом и намекнтуть на вторичные санкции и суды.. у многих ли опа сгорит?
>> Перечисли кто еще поддерживает. Codeberg, например, нет https://codeberg.org/Codeberg/Community/issues/142
> Э.. а он вообще нужен?А что это ты решаешь кому нужен или нет? Ты кто, чтобы решать? Где хотят разработчики там код и размещают, хоть на своем gitweb.
> А что это ты решаешь кому нужен или нет? Ты кто, чтобы решать?Я решаю какой проект мне нужен, а какой нет.
Тут я говорю за себя и, например, своих коллег.> Где хотят разработчики там код и размещают, хоть на своем gitweb.
Их полное право.
Могут игнорить OpenID, а могут просить у разрабов добавить поддержки.
Т.к issues еще не закрыта - то могут еще и добавить.
Если тебе это надо - patches are welcome.Бегать по интернету и ждать пока все маргинальные сервисы осилят какое-то новшевство, дело не благодарное.
Хотя какое это новшевство? версия 2.0 это 2007 год (в который никто уже не вернется, ха-ха).
А так это промотивирует всяких васянов приобщится к "новейшим" технологиям.
>> А что это ты решаешь кому нужен или нет? Ты кто, чтобы решать?
> Я решаю какой проект мне нужен, а какой нет.
> Тут я говорю за себя и, например, своих коллег.Ну и говори за себя, а не за всех.
>> Где хотят разработчики там код и размещают, хоть на своем gitweb.
> Их полное право.
> Могут игнорить OpenID, а могут просить у разрабов добавить поддержки.
> Т.к issues еще не закрыта - то могут еще и добавить.
> Если тебе это надо - patches are welcome.Да проще перейти на альтернативный инструмент доставки кода. Скринь.
> Бегать по интернету и ждать пока все маргинальные сервисы осилят какое-то новшевство,
> дело не благодарное.Новшество? Жрать с лопаты, закованным в кандалах - это новшество? Понятно, можешь дальше не продолжать.
> Ну и говори за себя, а не за всех.Лол, так я за себя и говорю)
> Да проще перейти на альтернативный инструмент доставки кода. Скринь.
Пусть переходят? Чего вонять то?
> Новшество? Жрать с лопаты, закованным в кандалах - это новшество?
У тебя какие-то то ли рабские, то ли АУЕшные понятия.
Не очень понимаю с чем это связано.
OIDF это обычная non-profit огранизация, типа Linux Foundation, с похожим составом мемберов.
Ты про линук тоже верещишь про лопату и кандалы?> Понятно, можешь дальше не продолжать.
Не очень понимаю зачем ты это пишешь?
Показать свою "нетакусьность"?
>> Ну и говори за себя, а не за всех.
> Лол, так я за себя и говорю)А это кто писал https://www.opennet.dev/openforum/vsluhforumID3/135338.html#107
> Э.. а он вообще нужен?
> Нужен только фанатикам типа Software Freedom Conservancy.Вот так легко и просто ты записал кого-то в фанатики и решил, что не нужно. Какое лицемерие.
>> Да проще перейти на альтернативный инструмент доставки кода. Скринь.
> Пусть переходят? Чего вонять то?Ну явно пойти на ограничения ради сомнительноый выгоды могут только недалекие люди.
>> Новшество? Жрать с лопаты, закованным в кандалах - это новшество?
> У тебя какие-то то ли рабские, то ли АУЕшные понятия.
> Не очень понимаю с чем это связано.
> OIDF это обычная non-profit огранизация, типа Linux Foundation, с похожим составом мемберов.Понятия рабские как раз у тебя: ты же согласен с тем, что теперь нельзя загружать код из любого доступного репозитория.
>> Перечисли кто еще поддерживает. Codeberg, например, нет https://codeberg.org/Codeberg/Community/issues/142
> Э.. а он вообще нужен?
> Создан как форк гитеи в связи с попоболью от покупки гитхаба..
> Нужен только фанатикам типа Software Freedom Conservancy.А, то-есть дискриминация и деление на первый и второй сорт - все-же есть? Спасибо, я так и подумал про все эти замашки.
> ps они, кстати, Non-profit organization в Берлине.
> Если написать им про то что у них могут хоститься всякие террористы
> с неправильным паспортом и намекнтуть на вторичные санкции и суды.. у
> многих ли опа сгорит?Да что там, у тебя в подвале может террорист сидеть. Давай по этом поводу тяжелой ракетов в дом долбанем на всякий случай, а? Так потенциальным террористам в гипотетическом подвале - точно амба будет.
>> Нужен только фанатикам типа Software Freedom Conservancy.
> А, то-есть дискриминация и деление на первый и второй сорт - все-же есть? Спасибо, я так и подумал про все эти замашки.Э.. Где ты тут углядел дискриминацию?
То что это фанатики (типа как и латиноамериканский фонд) то это их характеристика.
Ну есть люди которые готовы удалять гланды через зад.
Или морить себя постами. Или заниматься самобичеваниями и прочими мазохизмами.Так же и тут - если человек ради мнимиой Щво6одьки готов жрать помои (зато бесплатно и без блобов!) то это его полное право.
Но я строя проект ориентируюсь на обычных людей, а не на девиантов.> Да что там, у тебя в подвале может террорист сидеть. Давай по этом поводу тяжелой ракетов в дом долбанем на всякий случай, а?
> Так потенциальным террористам в гипотетическом подвале - точно амба будет.Отличное сравнение! Просто замечательное.
Просьба "проверить кто у них там хостится и нет ли там людей из страны террориста" и "давайте у№№ем ракетой".
Ты случайно не из одного северного сомалиленда? Там как раз, вместо цивилизованных методов, любят убивать гражданских.
> По сути pypi предлагает доверить безопасность пакетов gitlab или github.Нет, не предлагает. Черным по белому же написано, что оно работает через OpenID Connect. Гитлаб с Гитхабом привели лишь в качестве примера.
Вы когда-нибудь научитесь не пятой точкой читать?
> Вы когда-нибудь научитесь не пятой точкой читать?Неа)
"Статью не читай - коментарий писай" (с) девиз анонов с пенькаКак только видят слова Гитхаб, майкрософт, и тд - то кровь от мозга приливает к горящей пятой точке.
Ну и возможностью набросить свое мнение на вентилятор нельзя не воспользоваться.
Ну зато плюсиков набрал от собратьев по разуму. Хоть какая-то победа в жизни.
> Черным по белому же написано, что оно работает через OpenID ConnectOk, можно будет воспользоваться сторонним сервисом OpenID Connect который отдаёт токены безо всяких проверок кому ни попадя?
Можно, до поры до времени, пока этот сервис не забанят как вредителей. Благо все полоумные заняты нытьём в комментариях «он и меня посчитал», да и скиллов такое организовать у них нет, а настоящих буйных мало и они уже трудоустроены.
* оверинжиниринг
* завязка на сторонние сервисы в кол-ве 2 штукОсуждаю.
> который при помощи тайпсквотинга
Запретитие общие имена. Просто зафиксируйте текущие, а новые пусть будут username/package-name. Для регистрации нового пользователя введите проверку на похожесть.
> оверинжинирингэто цель майков - сделать невозможным разработку малыми силами. код должны пилить только компании, а платить они будут майкам
> это цель майков - сделать невозможным разработку малыми силами. код должны
> пилить только компании, а платить они будут майкамВ результате - майки стали еще на один шаг ближе к истории CodePlex'а.
> это цель майков - сделать невозможным разработку малыми силамиЧиво?!
Открываешь опеннет и читаешь "чувак в одно лицо пилит какое-то ядро", "три калеки делают редокс", "чел из н̶е̶б̶р̶а̶с̶к̶и̶ швеции пилит КУРЛ уже 30 лет", "мелкие групы васянов пишут 100500 композиторов к вяленому"...
Небольшие проекты вполне пилятся хоть в одиночку.
Или ты думаешь что в этой ПиПе хостятся что-то больше лефтпада?> код должны пилить только компании
Так уже - 80% кода ядра пишут программеры на зарплате корпов.
Как бы не пыжились какиры-щво6одовцы.> а платить они будут майкам
кто они? много уже заплатили?
Зачем вообще имена, используй гуид для названия.
> * завязка на сторонние сервисы в кол-ве 2 штук
> Осуждаю.А что за два сервиса-то? Github с Gitlab привели лишь в качестве примера использования OpenID Connect.
> А что за два сервиса-то? Github с Gitlab привели лишь в качестве примера
> использования OpenID Connect.А винда и интернетэксплорер совершенно случайно лишь пример операционки и браузеры были, видимо.
>> * завязка на сторонние сервисы в кол-ве 2 штук
>> Осуждаю.
> А что за два сервиса-то? Github с Gitlab привели лишь в качестве
> примера использования OpenID Connect.Приведи примеры тех, кто поддерживает?
Создаете свою компанию, заводите отдел безопастности, передаете на ревью библиотьеки,
смобираете CI/CD отключенный от Интернета и подключенный к ващему реесту доверенного софта,
живете не тужите и получаете прибыль...Другой вариант нанимаете вчерашних Васянов после курсов пользующихся тем что есть,
постоянно рискуете своим бизнесом, инфраструктурой, деньгами и всем чем есть.Выбор в целом за вами, но скупой платит два раза.
А что, если сделать вид что исходники пакета у меня на sr.ht, они это проглотят и не будут мне свои сраные механизмы аутентификации навязывать, или откажут мне в публикации пакета после чего можно будет поднять вонь в соцсетях?
Если твоя игрушка поддерживает индустриальный стандарт OpenID — без проблем, публикуйся там. А если нет, то и суда нет. Точно так же тебя пошлют лесом если ты попробуешь через GEMINI публиковать или ещё каким-нибудь технически несовместимым способом. Хороший фильтр тех, кто даже учётку на популярном хостинге сорцов открыть не может. Такие девелоперы нам точно не нужны.
> Если твоя игрушка поддерживает индустриальный стандартлолшта? С каких пор это недоразумение и в какой индус-трии стало стандартом, где оно используется кроме этих вот невменозников?
Оно было модно пятнадцать лет назад, для бложековой авторизации. Но популярным и тогда не стало, пользовались полтора фрика, и причем - для прямо противоположной цели, не светить свои личные данные.> Хороший фильтр тех, кто даже учётку на популярном хостинге сорцов открыть не может.
Или не хочет. Потому что сливать данные о себе "популярным" не собирается.
> Такие девелоперы нам точно не нужны.
Кому это "вам"? Любителям всех подряд загонять в дома со стекляными стенами?
Ну и монстра же породили. Диды на своих сайтах релизы софта выкладывают, не требуют ни регистрации ни смс.
Потому что на SourceForge, а не где попало. Всё правильно сделал.
Не понятно как вообще работает тайпсквотинг ?Если это require то там имена четко прописаны, если ты это качаешь сам ручками то после поиска он выдает тебе лист похожих приложений и сам видишь (обычно первый) это нужный.
> проверки, что публикуемый пакет соотносится со связанным
> с ним репозиторием на GitHub или GitLab).Добро пожаловать в вендорлок...
> Добро пожаловать в вендорлок...Какой вендорлок, если там OpenID Connect?
> Какой вендорлок, если там OpenID Connect?Среднего пошиба питонист убьется нахрен до того как засетапит все это тото поле чудес сам. Поэтому будет лизать подметки github и gitlab. На что очень прямо намекает воооон тот текст новости.
Да и что обязывает тех господ работать с сторонними сервисами... в общем то что гвидо в майкрософте - мягко говоря заметно.
> Среднего пошиба питонист убьется нахрен до того как засетапит все это тото поле чудес сам.Его не нужно сетапить. Сам смысл OpenID Connect заключается в наличии третьего лица - хоть Github, хоть Gitlab, хоть что-то еще.
Чел, ну очевидно же, что ты не пользуешься PyPi и потому даже в новость вникнуть не удосужился. Чего ты возмутился-то?
> Поэтому будет лизать подметки github и gitlab.
Логично, ибо это самые популярные хостинги в дангый момент. В чем проблема? Если ты уже надумал заливать про вендорлок, то прими простой факт, что PyPi - это уже одна едиственная сущность, и в этом как раз ее смысл.
Не нравится - скачивай пакеты ручками по интернету, как истинный борец с подлыми корпорациями.
> Его не нужно сетапить. Сам смысл OpenID Connect заключается в наличии третьего
> лица - хоть Github, хоть Gitlab, хоть что-то еще.А, то-есть лизание ботинок полутора "якобы доверяемых" корпов - все же подразумевается. Оок! Спасибо за пояснения.
Да, PGP для таких и правда гадость - заточен на взаимодействие равных с равными. А тут явный master-slave намечается.
> А, то-есть лизание ботинок полутора "якобы доверяемых" корпов - все же подразумевается.
> Оок! Спасибо за пояснения.Хм.. ну если тебе так сильно хочется, то можешь и ботинки лизать, кто ж тебе запретит.
(но думаю это должно быть по обоюдному согласию)А что мешает LinuxFoundation, FSF или какой-то организации сделать "Истинно Щвободный OpenID Connect provider"?
> Да, PGP для таких и правда гадость - заточен на взаимодействие равных с равными.
Да-да, я был на pgp-вечеринке, где рядом стоял чувак, который знает чувака, который в соседней кабинке туалета рядом с Торвальдсом сидел!
> А тут явный master-slave намечается.
Только в твоих фантазиях. Но я тебя не осуждаю - это нормально для "особенных" людей.
> Да и что обязывает тех господ работать с сторонними сервисами... в общем то что гвидо в майкрософте - мягко говоря заметно.Повторяю для особо сообразительных: господа не работают со сторонними сервисами. Господа работают с OpenID Connect, а кто там в нем является третьим лицом - это уже выбор человека, загружающего пакет.
Какой к лешему Гвидо в Майкрософте? Ты бредишь, что ли?
>которая пришла на смену верификации с использованием PGP-подписей. Ключевым отличием аттестации является то, что публикация пакета заверяется не разработчиком, а третьим лицом (каталогом пакетов) после подтверждения достоверности публикации через внешнего провайдера OpenID Connect (например, после проверки, что публикуемый пакет соотносится со связанным с ним репозиторием на GitHub или GitLab).Верификация для людей объявлена устаревшей. Теперь верификация - она кого надо верификация.
Собственно, это всё, что надо знать о питоне.
Слушай оказалось, что в мире кроме добрых приятных людей есть
моральные уроды, которые готовы воровать ключи AWS. И если бы
это было заложено на начальном этапе в проекте всяких Пыхтонов,
то не было бы проблем, но разрабатывалось все внутри какой-то
вымышленной вселенной в которой живут пони и какают бабочками,
так что теперь оказалосьб надо приложить усилия и придумать как
защититься от этих зловредов.
Гы... Учитывая, что ЕСИА под капотом - это тот же OIDC, только слегка подрихтованный (чтобы понравиться товарищу майору), выходит, что Гвидо сотоварищи выполнили основную часть работы по созданию суверенного скрепного репозитория с авторизацией через Госуслуги.
Я правильно понимаю, что теперь вирусы и зловредные обновления можно все так же писать, они так же будут размещаться на pypi но с дарующим ощущение безопасности подтверждением связи пакета с репозиторием на гитхабе?