URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 136807
[ Назад ]

Исходное сообщение
"В iVentoy выявлена подстановка корневого сертификата при запуске Windows"

Отправлено opennews , 07-Май-25 23:30 
В инструментарии iVentoy, применяемом для загрузки и установки по сети произвольных операционных систем, выявлена подозрительная активность. При загрузке по сети ОС Windows инструментарий осуществлял  подстановку в систему бинарного драйвера httpdisk.sys и установку в системное хранилище корневых сертификатов своего самоподписанного сертификата, применяемого для заверения драйвера цифровой подписью. 31 из 70  антивирусных пакетов, в которых был проверен файл httpdisk.sys, выдали предупреждение о наличии вредоносного ПО...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=63199


Содержание

Сообщения в этом обсуждении
"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 07-Май-25 23:30 
Что-то часто разработчики nixos стали в новостях про безопасность мелькать. Хорошо когда люди следят за этим, успехов проекту.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 07-Май-25 23:55 
Беру свои слова назад. В nixos какой-то безумный подход к сборке пакетов. Ноль воспроизводимости – они просто распаковывают готовый скомпилированный архив разработчика.
Пруф: https://github.com/NixOS/nixpkgs/blob/3730d8a308f94996a9ba7c...

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 00:00 
В Debian с этим строго. Сразу пометили что пакет проприетарный с блобами: https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1081019

Короче, я за годы пользования Linux убедился что верить воспроизводимости можно Debian – хранит у себя в репо deb-src исходники, сам из них собирает. В любой момент можно пересобрать, перепроверить.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 05:39 
Разочарую тебя!

Вот один из примеров.

https://packages.debian.org/bookworm/ttf-mscorefonts-installer

а теперь посмотри код

https://salsa.debian.org/debian/msttcorefonts


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено eugener , 08-Май-25 08:33 
Инсталлер шрифтов качает шрифты.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 11:23 
Смысл то понял о чём написано?

>Debian – хранит у себя в репо deb-src исходники, сам из них собирает. В любой момент можно пересобрать, перепроверить.

Вот один из примеров, что Debian не всё хранит в своем репозитории. Есть пакеты–пустышки со скрипом, который изначально выполняет множество операций с файлами, загруженными со стороннего ресурса, и всё это во время установки.

Завтра подберут коллизию, оформят под видом того же arial32.exe и заменят оригинал в sourceforge.net/corefonts

Далее человек, надеясь на сопровождающих Debian,  устанавливает пакет ttf-mscorefonts-installer и огребает по полной. Надеюсь не нужно объяснять как?


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено eugener , 08-Май-25 11:27 
> Завтра подберут коллизию, оформят под видом того же arial32.exe и заменят оригинал
> в sourceforge.net/corefonts

Там sha256 проверяется, врядли можно подобрать коллизию -
https://salsa.debian.org/debian/msttcorefonts/-/blob/master/...


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 18:19 
Мы же не говорим про сегодня.

Технологии, техника развиваются очень быстро. Кто его знает что будет через 2 года.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 11:30 
Нет, это ты не понял. Этот пакет – утилита для скачивания проприетарного шрифта. Это не пакет со шрифтом, а утилита. Разницу не видишь? Пакет кстати вынесен в contrib/nonfree. В отличие от ventoy который ошибочно в nixos помечен был как свободный.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 18:17 
Что же они тогда включают файлы с прошивками в сам пакет? Причём эти прошивки бинарные, закрытый код и всё в этом роде?

Это другое или как?


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 20:13 
Да, это другое. Пакеты в отдельном nonfree репозитории.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 20:44 
Лицензия позволяет - включают. На шрифты видимо не позволяет.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 10-Май-25 08:56 
GPL3 теперь не свободная?

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 09-Май-25 22:31 
> Завтра подберут коллизию, оформят под видом того же arial32.exe и заменят оригинал
> в sourceforge.net/corefonts
> Далее человек, надеясь на сопровождающих Debian,  устанавливает пакет ttf-mscorefonts-installer

А его что, еще и запускают? А не просто распаковывают как архив? И если вы в sha256 коллизии так легко подбираете - нагребите себе битков пачку. Там как раз SHA256 надо оптом считать.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Голум , 08-Май-25 00:17 
Видимо, воспроизводимость вы с чем-то другим путаете. Буквально на следующей строке по ссылке указан хэш загружаемого файла, а результаты его перепаковки будут всегда идентичными друг другу. А что мейнтейнеры решили его просто перепаковывать – уже другой вопрос.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 00:20 
Под воспроизводимостью имел в виду сборку дистрибутивом из исходников. Воспроизводимость должна проверяться здесь, а не где-то там с готовым бинарником.
Это тогда воспроизводимость распаковки. Бред полный. Тут только целостность архива проверяется.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Карлос Сношайтилис , 08-Май-25 00:35 
Можете иметь что угодно, но воспроизводимость – это повторение результата при идентичных начальных данных.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Илитка , 08-Май-25 02:23 
Имелась ввиду воспроизводимость бинарных сборок (ReproducibleBuild) из сорцов.
Ты можешь взять исходник, почитать, собрать проверить хеш. Хеш должен совпадать с бинарником из репо.

Если в репо как nix просто кладут готовую блобу от васяна проверить ты её не можешь никак.


Понимаю, что виндузятникам которые пользуются вентоями такие концепты сложны для их ментальных возможностей.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Карлос Сношайтилис , 08-Май-25 21:58 
> Понимаю, что виндузятникам которые пользуются вентоями такие концепты сложны для их ментальных возможностей.

Ещё такие концепты сложны некоторым программистам, которые кладут сошки в проект и собирают с ними. И им тоже нужна воспроизводимость сборки. И они, о чудо!, тоже могут её получить! Без раскрутки компиляторов и прочей религии некоторых адептов чистого кода.

Но ты сможешь пойти к ним и рассказать, что у них воспроизводимость не настоящая и что использовать сошки это плохо. А если исходников от либ нет, то они должны закрыть свой проект, а не заниматься ересью.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 00:26 
Воспроизводимость – это всегда проверка из чего собран бинарник. Здесь её нет.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Голум , 08-Май-25 00:32 
Воспроизводимость – это повторяемость байт в байт результатов сборки. Здесь она есть.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 01:08 
И где здесь сборка? Её нет. Распаковка архива ≠ сборка.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Самый Лучший Гусь , 08-Май-25 01:23 
В данном случае распаковка архива и есть сборка. Просто сборка как бы из бинарного исходника.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 05:43 
>  распаковка архива и есть сборка

Вы что-то путаете, это - разборка!


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 05:50 
> Просто сборка как бы из бинарного исходника

...и собраться это всё должно, судя по всему, как бы в текстовые файлы.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено freehck , 08-Май-25 01:27 
> И где здесь сборка? Её нет. Распаковка архива ≠ сборка.

Конечно есть. Это -- сборка nar-пакета.

То, что сценарий сборки пакета не является сборкой из исходника -- это конечно печально, но тем не менее, это сборка.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Карлос Сношайтилис , 08-Май-25 00:34 
> Ноль воспроизводимости – они просто распаковывают готовый скомпилированный архив разработчика.

...и проверяют хэш. Если совпадает: пляшем дальше, если нет: ошибка.

Воспроизводимость: 100%


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 00:43 
Ага, для галочки сойдёт. По факту нет.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Карлос Сношайтилис , 08-Май-25 22:09 
> Ага, для галочки сойдёт. По факту нет.

Про какому факту? У тебя в ядре вагон бинарей без исходников.
Смирись с фактами


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 07:53 
В Арче есть из сырцов: https://aur.archlinux.org/packages/ventoy
А Nix всегда был пoмoйкoй, ничего нового.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено ruroruro , 08-Май-25 09:41 
В NixOS есть специальный маркер для пакетов которые "собираются" с использованием бинарей. Ventoy данным маркером помечен. В других дистрибутивах просто подобная пометка была бы отражена в имени (а-ля ventoy-bin), а не в метаданных.

Если вас бинарные пакеты категорически не устраивают, то можно транзитивно забанить вообще все nonsource пакеты (и потом индивидуально разрешить те, которые вы всё-таки хотите допустить). См https://github.com/NixOS/nixpkgs/blob/16762245d811fdd74b417c... .

На счёт воспроизводимости, в терминологии nixpkgs, данный пакет - воспроизводим. Потому что повторный запуск инстанциирования пакета будет гарантированно выдавать идентичный результат (либо фейлиться, если кто-то подменил upstream архив и все зеркала/substituterы протухли).

Вам может не нравится данное определение "воспроизводимости", но в Nixpkgs reproducible - это именно когда несколько запусков дают один и тот же выход. Если вы хотите, чтобы ещё и бинарные блобы нигде не использовались, то вы должны это явно через check-meta сконфигурировать. 🤷


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 11:16 
Как же я люблю недокументированные опции...

> No options found!

https://search.nixos.org/options?channel=24.11&from=0&size=5...


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено ruroruro , 08-Май-25 13:13 
> Как же я люблю недокументированные опции...
>> No options found!
> https://search.nixos.org/options?channel=24.11&from=0&size=5...

Опция действительно не задокументированная)) Но даже если бы она была задокументирована, вы бы её в NixOS options не нашли, потому что search.nixos.org/options - это поиск по настройкам модулей NixOS (дистрибутив linux), а config.allowNonSource - это флаг для конфигурации nixpkgs (репозиторий пакетов).

Документацию подобных опций нужно искать в Nixpkgs Reference Manual. Там сейчас есть информация про source provenance пакетов (https://nixos.org/manual/nixpkgs/stable/#sec-meta-sourceProv...), но config.allowNonSource действительно судя по всему не задокументирован.

Вообще, качество документации в nixpkgs примерно пропорционально популярности/важности фичи. Если никто не жалуется на косяки в документации, то документация не улучшается. Я создал для вас issue: https://github.com/NixOS/nixpkgs/issues/405184


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 09-Май-25 22:12 
> Я создал для вас issue

Чеоез несколько дней перечитал на холодную голову. Спасибо. Пожалуй не буду рубить с плеча, буду дальше пробовать никс в проде. Ошибки признаются и исправляются.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 05-Июн-25 18:43 
Прошло больше месяца, а никто эту строчку текста об опции в документацию так и не добавил. Потому что модно-молодёжно-декларативно. Чтобы строчку дописать нужно заморочиться.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено ruroruro , 05-Июн-25 19:53 
> Прошло больше месяца, а никто эту строчку текста об опции в документацию
> так и не добавил. Потому что модно-молодёжно-декларативно. Чтобы строчку дописать нужно
> заморочиться.

По-моему, там как раз проблема в том чтобы сам текст сочинить. У аналогичных опций allowBroken, allowUnfree, allowUnsupportedSystem, allowInsecure итп документация живет в обычном markdown файлике `doc/using/configuration.chapter.md`.

"Модно-молодежно-декларативная" часть там нужна только чтобы получить кросс-референс на уже написанную в выше указанном .md файлике документацию и чтобы получать красивые сообщения об ошибках если типы не сходятся.

Если бы текст был готов, то как раз запихнуть его в правильное место и сделать "модно-молодежно-декларативно" - это дело 5 минут.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 06-Июн-25 13:50 
> По-моему, там как раз проблема в том чтобы сам текст сочинить.

То есть разработчики либо сами не знают что это и как нормально описать, либо у них нет времени на это простейшее действие, либо они не заинтересованы в документации. Все варианты не хороши.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено ruroruro , 06-Июн-25 17:03 
> То есть разработчики либо сами не знают что это и как нормально
> описать, либо у них нет времени на это простейшее действие, либо
> они не заинтересованы в документации. Все варианты не хороши.

Судя по вашему комментарию, кажется что вы не знакомы с тем, как работают современные "community driven" open source проекты. Нет никаких "разработчиков" (людей, которым платят за разработку nixpkgs).

Есть contributors (рандомные люди, которые решили принять участие в развитии проекта), есть maintainers / code owners (люди, которые взяли на себя ответственность следить за работоспособностью каких-то конкретных пакетов/подсистем) и есть committers (люди с правами принимать PRы в мастер). И никто из этих людей вам ничего не обязан.

По некоторым метрикам, в nixpkgs больше пакетов даже чем в AUR. Абсолютно не удивительно, что мало у кого есть временя для написания документации для достаточно нишевой/продвинутой опции (в устройстве которой любой *минимально* продвинутый пользователь может сам разобраться за 5 минут посмотрев на код).

Насчет "не заинтересованы", я сразу сказал что

>> качество документации в nixpkgs примерно пропорционально популярности/важности фичи

важность issue в nixpkgs ранжируется по количеству :thumbsup: реакций. Вы не довольны тем, что за месяц никто не исправил эту issue, но с другой стороны за тот же месяц *никто* не проголосовал что эта issue важная. Вот посмотрите на список открытых issues только относительно документации (отсортированы по количеству :thumbsup:).

https://github.com/NixOS/nixpkgs/issues?q=state%3Aopen&...

Более высокоуровнево, вам нужно понимать что с точки зрения организации/структуры проекта Nixpkgs - это совсем не Ubuntu. Nixpkgs - это что-то между Ubuntu и AUR. У такой организации есть свои плюсы и минусы. С одной стороны, каждый может прийти и улучшить интересующую его часть. С другой стороны, может получиться что кроме вас ни у кого сейчас нет мотивации/времени для развития какой-то детали.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 11-Июн-25 18:07 
Спасибо за развёрнутый ответ. Я бы хотел сам написать, но не разбираюсь как в nix принято контрибьютить. Может потом...

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 13:18 
> В других дистрибутивах просто подобная пометка была бы отражена в имени (а-ля ventoy-bin), а не в метаданных.

Что значит в других? В nixos бардак – видел пакеты как с -bin, так и без него.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено ruroruro , 08-Май-25 13:34 
>> В других дистрибутивах просто подобная пометка была бы отражена в имени (а-ля ventoy-bin), а не в метаданных.
> Что значит в других? В nixos бардак – видел пакеты как с
> -bin, так и без него.

Ну собственно, если вы посмотрите на историю пакета ventoy, то он тоже как раз раньше назывался ventoy-bin. Я так понимаю, что мотивация для данного изменения - как раз в том что имя пакета это просто конвенция, которую трудно энфорсить и трудно автоматически проверять. Плюс, постфикс -bin не транзитивный. То есть с его помощью не возможно определить, есть ли бинарные блобы где-то в closure пакета, только добавляет ли их сам пакет. Сейчас постфикс -bin вроде в основном используется, чтобы отличать пакеты, у которых в nixpkgs одновременно есть 2 версии - собранная из сорцов, и использующая upsteram бинари.

То есть, вместо того чтобы рассчитывать на имя пакета, в nixpkgs сейчас предпочитают указывать подобную информацию в meta. В отличие от постфикса -bin, sourceProvenance это формально определенное, автоматически проверяемое поле в метаданных. С помощью meta уже обрабатываются license, broken, insecure и прочие "свойства" пакетов.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 14:20 
Всё это здорово, но не здорово когда нет документации.
Представьте как вы будете обосновывать внедрение никса в прод. "Ну, эээ, дистрибутив хороший, но я вот непойми откуда узнал опции, они вроде работают, но я тупо копипаст сделал, поверив на слово". Так дела не делаются. Не в первый раз сталкиваюсь с такими опциями. Это отстой.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 09-Май-25 01:58 
> Всё это здорово, но не здорово когда нет документации.
> Представьте как вы будете обосновывать внедрение никса в прод.

А не надо этого обосновывать, потому что не надо этого делать, NixOS при всей его крутости, для прода слишком неконсервативен и слишком R&D. Нельзя полагаться на такой проект в котором в разных его частях существуют свои порядки.

> "Ну, эээ, дистрибутив хороший, но я вот непойми откуда узнал опции, они вроде работают,
> но я тупо копипаст сделал, поверив на слово".

Вы будете смеятся, но примерно так в итоге пиарщики NixOS и делают, просто формально выглядит как более пафосный булщит. Дистр по-своему хорошо, местами даже очень, но вот эти вот любители продавать серебрянные пули от всего из кадого утюга уже несколько утомили.

>Так дела не делаются. Не в первый раз сталкиваюсь с такими опциями. Это отстой.

Тут полностью с вами согласен, но к сожалению или к счастью NixOS по большей части состоит из такого рода отношения к разработке, сперва фичи, а потом пригодность в прикладных сферах.

Как воспроизводимое окружение хороший инструмент, гибкий, но как универсальное средство для решения абсолютно любых вопросов - это влажные мечты и фантазии некоторых адептов NixOS, которые с реальностью плохо бьются.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 14:24 
> С помощью meta уже обрабатываются license, broken, insecure и прочие "свойства" пакетов.

Ага, только в nixos проприетарный пакет пометили как свободный. Ментейнеры не исследуют что они "упаковывают".


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 09-Май-25 02:06 
>> С помощью meta уже обрабатываются license, broken, insecure и прочие "свойства" пакетов.
> Ага, только в nixos проприетарный пакет пометили как свободный. Ментейнеры не исследуют
> что они "упаковывают".

Кто эти мифические мейнтенеры в NixOS?
Там острая нехватка людей в этом плане и всё на откуп "роботам" отдали, из-за чего и такой высокий процент косяков в пакетах, как ни в каком другом дистрибутиве видимо.

Ну, т.е. ситуация когда пакет кривой и вы это первый заметили, и починят разве что после вашего пинка, это не какой-то нонсенс, это рабочая обстановка.
Будущее оно такое - привыкайте, зато стильно, модно, молодёжно! xD


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 09-Май-25 22:42 
> Кто эти мифические мейнтенеры в NixOS?
> Там острая нехватка людей в этом плане и всё на откуп "роботам"
> отдали, из-за чего и такой высокий процент косяков в пакетах, как
> ни в каком другом дистрибутиве видимо.

А где вы найдете маклаудов которые могут забив на все 100500 версий пакета пакетировать? Тут вон размахивают что это - фича. А оказывается - все в этом мире есть tradeoff. И выигрывая в одном - проигрываете в другом.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 09-Май-25 22:41 
>> С помощью meta уже обрабатываются license, broken, insecure и прочие "свойства" пакетов.
> Ага, только в nixos проприетарный пакет пометили как свободный. Ментейнеры не исследуют
> что они "упаковывают".

Все что надо знать об управлении качеством в этом проекте, в общем то. Т.е. де факто - при случае не моргнув глазом положат вместо шоколада другой ингредиент и сделают вид что так и задумано.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Dzen Python , 08-Май-25 11:32 
Пиара мало не бывает

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 00:38 
Насчёт сертификата понятно. Либо ты получаешь валидную подпись (к слову, есть организации, готовые бесплатно подписывать опенсорс, например, SignPath, разраб мог бы этим воспользоваться), либо добавляешь свой сертификат в корневые (тут он мог бы генерировать сертификат каждый раз новый, оставляя приватный ключ пользователю, а не свой личный пропихивать).

Поражает другое: чтобы получить файлы по сети из уже запущенной Windows непременно нужен драйвер? А не перебор ли это?


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено User , 08-Май-25 02:00 
Ээээ... "получить файл" - не надо. Смонтировать его как блочное устройство по сети - надо.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено анонимоус , 08-Май-25 07:59 
> Ээээ...

Это "слово" несёт какую-то смысловую нагрузку?


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено JackONeill , 08-Май-25 08:21 
А должно оО ???

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено User , 08-Май-25 10:49 
Эмоциональную. Определённое недоумение от того, что кто-то не понимает (или "не понимает"?) очевидные вещи.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 10:53 
> Это "слово" несёт какую-то смысловую нагрузку?

Междометия - это слова или звуки, выражающие различные эмоции, волю или реакцию на ситуацию, не изменяя формы и не связаны грамматически с другими словами.  
Источник - Онлайн школа Skysmart: https://skysmart.ru/articles/russian/mezhdometie


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 13:57 
Дай ссылку на междометие ""Ээээ". Ближайшее к "Ээээ" это звуки издаваемые бараном: https://www.ruspeach.com/phrases/?section=175

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 15:14 
> Ближайшее к "Ээээ" это звуки издаваемые бараном

Бывают звукоподражательные междометия.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Ефрщ , 08-Май-25 22:14 
Это ты прикольно придумал! На самом деле Эээ это дискурсивное слово для заполнения паузы, в момент обдумывания ожидаемого от тебя спича, что не логично для использования для камента. И это никак не эмощиональное выражение определённого недоумения.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 00:46 
Вот поэтому сижу на 80286 -- самом безопасном процессоре, проверенном, у которого доказано наименьшее кол-во аппаратных багов. Даст прикурить современным телефонным недо-процессорам типа Apple M4.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 01:00 
Со стиралки вытянул что-ли?

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено 1 , 08-Май-25 01:59 
только хардкор, только 4004

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено 1 , 08-Май-25 02:01 
вот раньше делали -- всего 16 ножек у микросхемы, а ведь гораздо круче чем всякие apple m4

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 09-Май-25 22:58 
> вот раньше делали -- всего 16 ножек у микросхемы, а ведь гораздо
> круче чем всякие apple m4

Попробуй с него откоментить на опеннет для начала.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 08:55 
> подстановка корневого сертификата при запуске Windows
> Вот поэтому сижу на 80286

Объясни, где ты видишь тут связь?


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Grand , 08-Май-25 17:13 
охх , спасибо детство золотое напомнили. Защищенный режим 286 процессора легко обходится посредством контроллера DMA. "процессор с мертвым мозгом" так сказать...

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 18:15 
Защищенный режим не нужен и только усложняет код раз в 100. Единственная причина по которой его использовали это возможность выйти за пределы 1 мегабайта.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 09-Май-25 21:22 
А вытеснеяющая многозадачность, каждому процессу своё адресное пространство?

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 23:52 
а браузер у тебя есть или мучаешься с пакетами?

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 09-Май-25 21:20 
А про 80286 кто-то что-то вообще доказывал? Он ищущим аппаратные дыры совсем не интересен.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 00:58 
Пока антивирусы с операционной системой, служба технической поддержки и товарищем майором не подружатся, все эти системы безопасности в виде сертификатов до одного места, только лишний геморрой. Ну хорошо не подписал, разработчик рассказал что там все в порядке, получается у него проблемы с подписью, помочь ему некому, никто ответственности ни за что не несёт. Просто предложили уйти на форк. Что за?

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 00:58 
> В инструментарии iVentoy, применяемом для загрузки и установки по сети
> произвольных операционных систем, выявлена подозрительная активность

А опеннет любезно предоставил ссыль на малварь, чтобы удобнее качалось? Логично, фигли. Хотя хомячкам так и надо конечно :)


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 01:02 
Так она там есть или нет?

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 08:59 
>> Подстановка драйверов и скриптов в систему после загрузки является документированным поведением.
> опеннет любезно предоставил ссыль на малварь

Зачем текст читать и головой думать, да? Главное возмутиться!


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено ИмяХ , 08-Май-25 19:17 
Будьте так добры, скажите название файла и номер строчки кода. А то я прочитал все исходники и малварь не нашёл. Неужели я мог её проглядеть?

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 20:57 
> Будьте так добры, скажите название файла и номер строчки кода. А то
> я прочитал все исходники и малварь не нашёл. Неужели я мог
> её проглядеть?

Какая, интересно, строчка кода нужна на левый серт в системном хранилище?


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено diakin , 08-Май-25 21:48 
А на что тогда среагировали 30 антивирусов? "Левый серт в системном хранилище" сам ворует пароли или майнит?

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 01:12 
С iVentoy понятно - пока не пользуемся, а вот что с Ventoy? Форматируем всё и переставляем систему нуля?

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено diakin , 08-Май-25 21:50 
Лучше просто отформатировать и  так и оставить.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено freehck , 08-Май-25 01:31 
Скорее всего шум из ничего. Судя по специфике iVentoy -- иначе он работать и не может.
С учётом того, что автор подключился и не указал сходу на то, что проверялось не то, что у него в релизе собрано -- вероятно антивирусы просто немного перебдели.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Смузихлеб забывший пароль , 08-Май-25 09:54 
Если всё норм и работать иначе не может, зачем же автор "исправил" это в новом выпуске и даже оказалось, что, и иначе работать может и можно тащить стандартный тестовый сертификат из оф. набора для разработки виндовых драйверов ( WDK ) вместо хз какого и хз откуда ?

Похоже, что-то он всё-таки задумывал, но ему вовремя дали по рукам


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено freehck , 08-Май-25 10:02 
> зачем же автор "исправил" это в новом выпуске

Навскидку мне приходят на ум сразу несколько совершенно валидных и нормальных сценариев.

> Похоже, что-то он всё-таки задумывал, но ему вовремя дали по рукам

Ничем не подкреплённое подозрение, озвученное публично -- это оскорбление. Ещё не клевета, но уже оговор. Зачем так делать?


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 20:51 
> зачем же автор "исправил" это в новом выпуске

Видимо потому, что так было проще и всё работало, пока не начали ныть, и пришлось сделать сложнее.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено boris768 , 09-Май-25 14:04 
"Стандартный тестовый сертификат", который точно также генерируется разработчиком, требует обязательного включения тестового режима во время загрузки, в остальном это не отличается от обхода через подкладывание сертификата в хранилище. Стоило бы переживать если этот несчастный сертификат попадал бы в уставливаемую систему, а так - можно было бы легко запрятать малварь в этот iVentoy так, что никакой антивирус в принципе не нашел, так что вообще мимо кассы.
Еще бы хорошо разбираться в вещах, о которых говорится, правда ведь?

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 17-Май-25 12:01 
> и иначе работать может и можно тащить стандартный тестовый сертификат из оф. набора для разработки виндовых драйверов ( WDK )

Так это классика школьных уроков информатики: обратить внимание, что никто нигде не обещает, что тестовая среда всегда будет работать в релизных окружениях.

Это означает: нельзя в релизе "тащить стандартный тестовый сертификат", а реализовать нужно иначе.

Т.к. "тестовое" в релизе сломается раньше, чем если бы был "релизный" серт. Но, да, нет условий для открытого проекта по установке по сети проприетарных систем из проприетарных источников.

Проблема архитектуры, или просто - выбора, чтоли...


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Смузихлеб забывший пароль , 18-Май-25 15:36 
но у него, "почему-то", не сломалось и всё заработало. Чудеса, не так ли ?

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено OpenEcho , 08-Май-25 16:47 
> С учётом того, что автор подключился и не указал сходу на то

сходу?

это мусолится уже больше чем полгода и только сейчас у панды нашлось время ответить, причем на вполне нормальном английском, хотя до это утверждалось, что у него с ним проблемы.

> вероятно антивирусы просто немного перебдели.

Дело не в антивирях, а в том, что не смотря что гон на блобы разогнали по весму интернету уже очень давно, ответов небыло вообще. Теперь же, когда пошло дальше, инжектирование драйвера ядра и левого сертификата и началось движуха в сторону форков, то сразу нашлось время ответить.

Заработать доверие тяжело, а вот потерять как два пальца... учитывая на каком низком уровне работает софт


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Fear of the dark , 08-Май-25 02:47 
Гм, похоже автор пилил опенсорс, а потом решил его монетизировать))))


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 03:06 
Тихие Благодетели.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 03:30 
"Ложки нашлись, а осадочек остался."

Современная дипломатия.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 04:04 
И никого не смущает, что за вентоем там летит мегатонна закрытого блоба с закладками и гуантанамирусами по названием Трояндовс?

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 09:42 
А за некоторыми писаками веет тонким запахом дерь...

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено hshe , 08-Май-25 06:29 
Вот бы переживать про бэкдоры в щиндоусе - одним больше, одним меньше, какая разница:)

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Bob , 08-Май-25 07:50 
>31 из 70 антивирусных пакетов

А никого не смущает, что кроме условного Топ 10 антивирей на остальные noname можно не смотреть в виду их подвальности? Ни всякие лаборатории ни хакеры на форумах их даже не рассматривают.

>код драйвера httpdisk.sys является открытым, а сам драйвер предназначен для монтирования в Windows дисковых образов по сети поверх протокола HTTP, что используется в iVentoy для получения с сервера установочных данных Windows. Подстановка драйверов и скриптов в систему после загрузки является документированным поведением.

А этот момент проверить перед очередным вскукареком из отхожего места после детекта ноунейм антивирями с вирустотала - не шмогли?


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 08:02 
То есть припёрся, объяснил что всё так должно быть и ничего страшного а потом "исправил", ахахахахаххаха

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 10:33 
День 96-ой
Директор покупает специально спроектированные солонки с кодовым замком.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 10:18 
и никто не проверяет что ventoy перекапывает и заменяет половину биоса,

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 10:46 
Где доказательства?

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 21:40 
Качаешь Ventoy, к тебе приезжает его автор с программатором и переписывает тебе BIOS
Я правильно тебя понял?

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 12-Май-25 05:56 
Да. У меня однажды замок сломался. Но я хитер! Запустил пекарню по сети и давай на нее ОСь ставить. Пяти минут не прошло, как приехал автор, открыл дверь и как давай бивис патчить.
А я спокойно за ним зашел.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 10:57 
Ну что вы хотите, это ж opensourse, все хотят юзать бесплатно и при этом даже доки не читать...

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 08-Май-25 14:28 
> все

Отучайся говорить за всех


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено myster , 08-Май-25 17:35 
Когда в Ventoy добавят нормальную поддержку распознавания ISO-шек на внешнем разделе не созданном при помощи Ventoy или со второй флешки или с дополнительных внешних HDD/SSD?
Это же мучение какое-то с Ventoy, что он создаёт раздел для ISO-шек, а потом на него нельзя дышать, ресайзить или менять иначе всё - Ventoy сломается.  Бред...

И главное альтернатив нормальных нет.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Мумия Ленина , 08-Май-25 18:06 
Zalman ZM-VE300

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено myster , 08-Май-25 19:19 
> Zalman ZM-VE300

про физицеские устройства я знаю, я IODD использую сам, но они не так удобны, как флешка.
И у них есть свои ограничение и замуты.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 12-Май-25 09:06 
Это iodd 2531 с другой наклейкой. Работает лучше любой "мультизагрузочной флешки", но многим, почему-то, "неудобна". Хз, я давно на него с флешек перешёл.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 09-Май-25 13:03 
Корпоративный опенсорс как он есть

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено IdeaFix , 09-Май-25 23:09 
Проблемы людей, которые не в курсе за существование pkgsrc.... воспроизводимость? Есть куча мест, где даже собираемость хотя бы на 51% не достижима. Уж какая тут воспроизводимость.

"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 12-Май-25 11:24 
>Подобная активность была воспринята как потенциальная попытка продвижения бэкдора и подняла вопрос доверия к открытому проекту Ventoy

Никогда ему не доверял, зная что делается в КНР.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 17-Май-25 11:53 
Иногда самое верное - самое простое: у автора нет доступа к закрытым ключам MS, а договориться с MS о чём-то из коробки просто хорошем "для людей" и только - ооочень маловероятно.

Но всё становится гораздо лучше и проще, если проприков не свешивать с открытыми. Не строить открытых решений на пропри фундаменте и наоборот.


"В iVentoy выявлена подстановка корневого сертификата при зап..."
Отправлено Аноним , 17-Май-25 11:48 
Сколь же тупиковатая идея пытаться использовать проприетарное иначе, чем продавец продавливает. Возможно, часто получается, но проблемы какие-то плохие по сути.

Столман прав насчёт того, что не надо смешивать.