Компания Google опубликовала (https://www.imperialviolet.org/2014/06/20/boringssl.html) репозиторий с исходными текстами проекта BoringSSL (https://boringssl.googlesource.com/boringssl/), в рамках которого ведётся разработка независимого форка OpenSSL. Проект включает наработки, которые уже используется в Google для усиления безопасности OpenSSL. За годы в Google создано большое число патчей к OpenSSL, около 70 из которых не были приняты в основной состав OpenSSL, так как они носили экспериментальный характер или приводили к нарушению API или ABI. Теперь эти патчи легли в основу проекта BoringSSL. Разработку BoringSSL возглавил Адам Лэнгли (Adam Langley, agl), известный (http://tools.ietf.org/html/draft-agl-tls-chacha20poly1305-00) эксперт (http://tools.ietf.org/html/draft-agl-tls-padding-03) по компьютерной безопасности, отвечающий в Google за обеспечение работы инфраструктуры доступа по HTTPS и сетевой стек Chrome.Развитию BoringSSL как открытого проекта способствовала недавняя череда серьёзных уязвимостей в OpenSSL, GnuTLS и SSL-реализации от компании Apple, которые были вызваны ошибками, находящимися в коде длительное время и остававшимися незамеченными. Всё это вызвало интерес по использованию усиливающих безопасность OpenSSL патчей в Android, Chrome и других продуктах. Поддерживать работу большого числа внешних патчей поверх OpenSSL является достаточно сложной задачей. Поэтому решено сменить модель их поддержания и вместо адаптации патчей к изменяющейся кодовой базе OpenSSL перейти к развитию самодостаточного форка, в который будут импортироваться изменения из OpenSSL.
Код BoringSSL скоро будет добавлен в репозиторий Chromium, а в дальнейшем возможно появится в составе платформы Android. Сохранение совместимости с OpenSSL на уровне API и ABI не гарантируется. При этом, BoringSSL не позиционируется как замена OpenSSL. Google продолжит передачу исправлений ошибок и важных изменений в OpenSSL и будет оказывать финансовую поддержку данному проекту. Кроме того, создатели BoringSSL намерены организовать сотрудничество с LibreSSL (http://www.opennet.dev/opennews/art.shtml?num=39617), форком OpenSSL от проекта OpenBSD. Для организации обмена кодом с LibreSSL компания Google уже перелицензирвала часть своих патчей под лицензией ISC, что позволит наладить взаимный обмен патчами.
URL: https://news.ycombinator.com/item?id=7922745
Новость: http://www.opennet.dev/opennews/art.shtml?num=40049
BorgSSL им бы лучше подошло.
BotnetSSL
Я BolgenSSL сначала прочитал. Испугался.
> Я BolgenSSL сначала прочитал. Испугался.Это как раз было бы менее страшно. А вот мания гугла хавать все до чего дотянутся начинает напоминать майкрософт. И закончится так же - большой кучей фуфела, на нормальное содержание коего не хватило ресурсов даже у гугеля.
Да я вот тоже не пойму в чем прикол, прослойка безопасности (SSL) должна добавлять к стандартным : open, read, write, close, ну и с прицелом на сеть: socket, listen, bind, свои реализации: ssl_open, и т. д., ну какой ни какой функционал для работы с сертификатами, тут справится даже студент, алгоритмы шифрования/подписи/проверки лучше дядям посерьезнее доверить, но технически - прогнать буфер перед отправкой через алгоритм элементарно, а они что делают?Лепят "системные" конфиги в которых прописан тот или иной параметр, который можно переопределить через аргументы командной строки, либо переменные окружения, либо переопределив изначальный конфиг, какого лешего столько заморочек, есть куча убогих контейнеров аля mp3 или avi, с которыми народ еб..ся много лет, почему не реализовать "свободный" (в плане добавлениия в него инфы любого типа) свободный (в плане интелектуальной собственность) или готовый взять, и добавлять туда отдельные сертификаты, шифрованные или нет.
И вот вам ssl.
Кароче сами себе создали проблему на пустом месте, а спустя годы пытаются оживить покойника припарками.
> Да я вот тоже не пойму в чем прикол, прослойка безопасности (SSL)
> должна добавлять к стандартным : open, read, write, close, ну и
> с прицелом на сеть: socket, listen, bind, свои реализации: ssl_open, и
> т. д., ну какой ни какой функционал для работы с сертификатами,
> тут справится даже студент, алгоритмы шифрования/подписи/проверки лучше дядям посерьезнее
> доверить, но технически - прогнать буфер перед отправкой через алгоритм элементарно,
> а они что делают?ASSL вам в помощь.
> Лепят "системные" конфиги в которых прописан тот или иной параметр, который можно
> переопределить через аргументы командной строки, либо переменные окружения, либо переопределив
> изначальный конфиг, какого лешего столько заморочек, есть куча убогих контейнеров аля
> mp3 или avi, с которыми народ еб..ся много лет, почему не
> реализовать "свободный" (в плане добавлениия в него инфы любого типа)Потому что одна отвёртка для всего на свете - это, конечно, круто. Но не везде пролезет, таскать тяжело, перетыкать биты долго... Поэтому кто силы и время свои адекватно ценит, берёт специнструменты.
Тем более, что даже одни и те же данные в зависимости от конкретной задачи может быть удобнее представлять совершенно по-разному.
Да и не шибко сложные эти контейнеры, честно говоря. Сложности обычно как раз в API.
> свободный
> (в плане интелектуальной собственность) или готовый взять, и добавлять туда отдельные
> сертификаты, шифрованные или нет.
> И вот вам ssl.SSL и прочие X509 добавляют новые понятия, с которыми приходится работать: срок жизни и отзывы у сертификатов, "достаточная" для той или иной задачи надёжность, цепочки сертификации... Если бы всё было так просто, всё бы не было так сложно. :)
Другое дело, что сами протоколы местами вводят усложнения на пустом месте. Но тут уже вряд ли что-то поделаешь. Только становится самому авторитетным специалистом и менять/устанавливать лучшие стандарты.
> Кароче сами себе создали проблему на пустом месте, а спустя годы пытаются
> оживить покойника припарками.
Понабежало тут спецов, тудыть-растудыть. Нормальная либа криптографии должна выглядеть ... ну как NaCl берштейна. Особенно в виде TweetNaCl. Простое апи, где облажаться толком негде. И безопасные дефолты. Вот так оно даже секурным может быть. А сетевой протокол может выглядеть ... ну, как CurveCP например. В 20 раз проще любого SSL/TLS и при этом предлагает все лучшее что в принципе можно из TLS выжать, будучи гуру. А тут оно просто дефолтные свойства протокола. Учитесь как надо, лузеры.
Мы Борг! Мы вас ассимилируем! Сопротивление бесполезно!
Ну все... Теперь opennssl побьет по форкам количество дистров линукса. Н
ждём с нетерпением
systemd-ssld и libsystemd-ssl
а как же libressl ?
А ты прочитай новость целиком и узнаешь.
прочти вопрос "меж строк"
вопрос был к тому: почему бы не слить свои патчи в либре, зачем плодить сущности, если они даже перелицензировали часть кода чтобы отдавать либре
так понятнее?
Потому что в libressl большое число изменений от google нафиг не нужно.ps. Пока вы не поймёте, как это работает, вам бесполезно что-то объяснять. Для вас это кубики, и вы видите движение кубиков, но не видите всю картину. Поэтому в КАЖДОЙ новости будут одни и те же сопли "зачем нужны форки", "NIH-синдром" (который большинство употребляет, даже не понимая его сути и причин возникновения термина) и так далее.
Но главную тайну я открою: многие исходят из практичности. Не из "форков надо больше", "форков надо меньше", "идеологически правильно" или "идеологически неправильно", а из того, что именно они хотят сделать, и как ИМ будет удобнее это сделать. Это только анонимы на форуме любят поучать других с помощью набора штампов "выучи эти термины и стань руководителем любого проекта за полчаса".
> а как же libressl ?В ней гугл обнаружил фатальный недостаток...
Все написано же.. Гугл хочет ломать API/ABI, LibreSSL не хочет.
> LibreSSL не хочет.И очень зря, btw. Потому что то что есть в openssl - это пи...ц.
Они собираются объявлять куски API устаревшими, но пока их кто-то использует они не могут их так просто выпилить не сломав много софта. В отличие от гугла они позиционируют проект как замену openssl, а не как домашнюю библиотеку для своего собственного софта.
> Они собираются объявлять куски API устаревшими, но пока их кто-то использует они
> не могут их так просто выпилить не сломав много софта.В результате весь этот хлам таскает уйму несекурного кода. Логично что потом баги долбаются там и тут, возможны атаки типа даунгрейда протокола и прочие веселости.
А RussianSSL будет, чтобы не зависеть от западных компаний?
> А RussianSSL будет, чтобы не зависеть от западных компаний?взять libressl и закинуть обратно gost. вот и весь сказ :)
И поддерживать будет только ГОСТы, ага
> А RussianSSL будет, чтобы не зависеть от западных компаний?OtechestvenayaSSL, не меньше, иначе не пропустят.
> OtechestvenayaSSLС неканонiчнъми символами в названии, не прокатит.
Предлагаю: ПравославУБС.
С очередными закладками гугла?
Как в воду глядел!
"Завтра" Google предоставят форки Wayland для Android, Nginx для ультрамассовых соединений с многоуровневыми виртуалицациями, аналог C++, на котором ты пишешь так же легко, как на JS, но в итоге получается также быстро, как на C (GO из другой оперы) и разумеется новую ОС для серверов на базе Linux (ещё один форк Linux), но где будет всё, чего не хватало Гуглу (и нам всем), прямо из коробки и без костылей (сверхскорость/сверхудобство).
А сегодня в Wayland найдут 100500 уязвимостей
Те же самые Google через Fuzzy тестирование
> и разумеется новую ОС для
> серверов на базе Linux (ещё один форк Linux)Вы удивитесь, goobuntu
> ЛэнглиСимволично.
Эх, не успел :)
О, круто, давайте создадим три несовместимые версии OpenSSL, вместо того, чтобы объединить усилия и пофиксить OpenSSL.// b.
RSS и Atom идеально сосуществуют. В чём проблема?
Какой из них API?// b.
> объединить усилия и пофиксить OpenSSLВ результате получатся n+1 несовместимых версий OpenSSL.
>> объединить усилия и пофиксить OpenSSL
> В результате получатся n+1 несовместимых версий OpenSSL.Как-то так, да: http://xkcd.com/927/
Вечно актуальная картинка. Текущий год едва за серидину перевалил а ее можно было уже раз 7 запостить.
> серидинуЭх, каникулы у двоечников начались :(.
Не совсем так, но где-то так. Суть в том, что доламывать то, что уже сломано, всё равно придётся.
> О, круто, давайте создадим три несовместимые версии OpenSSL, вместо того, чтобы объединить
> усилия и пофиксить OpenSSL.Разрабы OpenSSL приложили немало усилий, чтобы добится появления реальных форков. Так что это им спасибо. Некоторые просто задолбались биться об стенку... А как вы бы решили такую проблему?
Гугль скоро создаст свой интернет, в который можно войти тоько через хром или андроид.
> реализация расширения Intel SHAПеренесена из OpenSSL 1.0.2.
Госта там тоже не будет? Нафиг ненужно.
форкните форк.обзовите GostSSL и назло всем выпилите все алгоритмы кроме гостов.
а после засунуть все эти четыре форка опенссля в редхет совтваре коллекционз и попытаться взлететь
> Госта там тоже не будет? Нафиг ненужно.согласен, гост там нафиг не упёрся никому.
> реализация расширения Intel SHA,Вау, АНБшные трояны в каждый дом!!!
Так гугль или АНБ представила? :)Вспоминаются сказочки как гениальные ученые "изобрели гугль" и стали миллионерами :) Прям как Бил Гейц в свое время :))
> Так гугль или АНБ представила? :)
> Вспоминаются сказочки как гениальные ученые "изобрели гугль" и стали миллионерами :) Прям
> как Бил Гейц в свое время :))справедливости ради следует отметить, что гейц ничего кроме коррупции в ИТ не изобретал
Он еще васик написал. Хоть и не изобрел.
А где почитать правду про Гугл?
http://google.com/ :)
> http://google.com/ :)Да, а про недостатки винды честно расскажут на microsoft.com :)
>> http://google.com/ :)
> Да, а про недостатки винды честно расскажут на microsoft.com :)Так вам правду или недостатки?
> Так вам правду или недостатки?Поскольку идеал по определению недостижим, недостатки являются частью правды. А вот попытка подтасовки ответа - это типичный прием MS-ботов.
> Так вам правду или недостатки?потрясающий по своей красоте и наивности вопрос. рассказ о недостатках, значит — это заведомо ложь.
Можете начать с "Larry Page's brother Carl Page had experience with venture capitalists, having sold eGroups to Yahoo for $432 million"
Потому что заметить уязвимости в коде десяти форков гораздо легче чем в коде одного проекта.
Голословное утверждение. То что базарная разработка кишит багами - факт. Линуксокапец наступает.
> То что базарная разработка кишит багами - факт. Линуксокапец наступает.Это тоже
> Голословное утверждение.Изначально багов имхо примерно одинаково. Потому что програмеры - человеки. А вот потом - в открытом проекте можно просто прийти и загасить баг. А до проприерасов - пока там доорешься...
Можно подумать, ты до опенсорсного мантайнера доорешься со своим патчем. А если и доорешься, то не факт, что патч возьмут. Разумеется, ты всегда можешь сделать форк... нутыпонел.
> Можно подумать, ты до опенсорсного мантайнера доорешься со своим патчем.Проверял и так и сяк. Опенсорс намного больше понравился. Там можно сразу доораться до живого програмера или майнтайнера. Без полугода пинков с ботами из саппорта, старательно пытающихся доказать мне что я сам во всем виноват, хотя дебагер давно сказал мне что пролошился отнюдь не я.
> А если и доорешься, то не факт, что патч возьмут.
Не факт, но как правило процесс вполне конструктивен. Мало кто портит свои программы осознанно. И как правило люди вполне нормально относятся к сообщениям об ошибках и уж тем более помощи в починах оных. Просто надо понимать что никто никому ничего не должен и плясать от этого дефолта. Вполне может оказаться что точки взаимодействия найдутся. Не обязательно, но зачастую вполне катит.
> Разумеется, ты всегда можешь сделать форк... нутыпонел.
Да, я понял что запасной парашют - лучше чем его отсутствие.
> Можно подумать, ты до опенсорсного мантайнера доорешься со своим патчем.ты знаешь, орать не пробовал. а вот ежели почтой электрической писать — отвечают. за багрепорты благодарят, а ежели к репортам ещё и патчи приложены, то в большинстве случаев ответ приходит вида «thank you. integrated in commit …».
так что если ты не можешь «доораться» — попробуй не орать, а письма писать. а если твои патчи не берут… может, просто багрепортами тогда будешь обходиться, раз твой код такое гуано?