| · | 28.05 | Уязвимости в Unbound, Kata-Containers, BIND, PostgreSQL, HPLIP, MongoDB, Rsync, 7-zip, Yelp, qSnapper и Suricata (1) |
Несколько выявленных за последнее время опасных уязвимостей:
| ||
|
Обсуждение (1) |
Тип: Обобщение |
| ||
| · | 28.05 | IBM и Red Hat вложат $5 млрд в обеспечение безопасности открытого ПО (32 +1) |
|
IBM и Red Hat представили проект Lightwell, в который будет инвестировано 5 миллиардов долларов для помощи в повышении безопасности открытого ПО, применяемого на предприятиях. В проекте будут задействованы новые возможности AI в сочетании экспертизой команды, насчитывающей более 20 тысяч инженеров. Предполагается, что Lightwell поможет сформировать новую модель использования открытого ПО на предприятиях, охватывающую процессы от разработки открытых проектов в upstream до поддержания рабочих внедрений.
Внутри проекта будет сформирован информационно-координационный центр, отвечающий за решение вопросов, связанных с безопасностью, и использующий AI для проверки и тестирования исправлений в открытых кодовых базах. Создаваемое подразделение позволит предприятиям привлекать инженеров IBM и Red Hat для решения критических проблем с безопасностью, обеспечивая при этом передачу исправлений разработчикам upstream-проектов. Проект будет выступать площадкой, на которой предприятия смогут сообщать о выявлении проблем, устранять уязвимости, получать проверенные патчи, применимые как к продуктам Red Hat, так и к развиваемому сообществом коду, и скоординировано передавать исправления в upstream-проекты. Помимо этого IBM и Red Hat привлекут своих инженеров и AI для содействия в сопровождении upstream-проектов и корпоративных окружений, рецензирования выявляемых уязвимостей, разработки патчей и продвижения исправлений учётом сложных цепочек зависимостей.
| ||
|
Обсуждение (32 +1) |
Тип: К сведению |
| ||
| · | 28.05 | Грег Кроа-Хартман рассказал о том, как Rust может помочь в борьбе с ошибками в ядре Linux (205 +2) |
|
Грег Кроа-Хартман (Greg Kroah-Hartman), отвечающий за поддержку стабильной и "staging" веток ядра Linux и занимающий пост мэйнтейнера в 16 подсистемах ядра, выступил с докладом на конференции Rust Week 2026, в котором рассказал, как язык Rust может помочь в предотвращении появления в ядре уязвимостей, возникающих из-за типичных ошибок разработчиков на языке Си при работе с памятью, блокировками, обработкой ошибок и работой с не заслуживающими доверия данными. В качестве основного преимущества Rust называется возможность выявлять подобные ошибки на этапе сборки, а не рецензирования кода людьми. При этом Rust не рассматривается как панацея, способная избавить от всех проблем, и никто не собирается переписывать ядро на Rust: ожидается постепенное внедрение Rust через его использования для новых драйверов и подсистем.
В качестве примера ошибок в ядре, которые удалось бы избежать при использовании Rust, упомянута ошибка в подсистеме Bluetooth, остававшаяся незамеченной 15 лет, и проблема в гипервизоре Xen. В первом случае разработчик выполнил разыменование указателя без проверки, а во втором забыл снять блокировку в коде обработки ошибок. По словам Грега, большинство ошибок в ядре вызваны подобными мелочами, которые со временем накапливаются и всплывают как уязвимости. В Rust многие из подобных проблемы предотвращаются компилятором, например, Rust-абстракции для блокировок в ядре допускают получение доступа к внутренним указателям структур только после захвата соответствующей блокировки, которая снимается автоматически. Без захвата блокировки получить доступ к указателям структур на Rust не получится. Грег считает, что подобные возможности Rust не допустили бы появления 60% ошибок, выявляемых в ядре, а выполняемые компилятором проверки избавили бы сопровождающих от траты времени на обсуждение с авторами корректности обработки ошибок и обоснованности выставления блокировок в нужном месте. Более того, внедрение поддержки Rust уже оказало благотворное влияние и на Си-код в ядре благодаря приведению в порядок Си-кода и интерфейсов, а также заимствованию некоторых приёмов разработки (например, были реализованы блокировки с ограниченной областью видимости). Благодаря системе типов, гарантирующей соблюдение заданных правил, и применению систем непрерывной интеграции, проверяющих код на этапе сборки, при рецензировании изменений на Rust сопровождающие могут сосредоточиться на проверке логики работы, а не отслеживании манипуляций с ресурсами. Применение Rust также позволяет более внимательно относиться к данным, поступающим от оборудования или из внешних систем. Подобное достигается благодаря явному разграничению заслуживающих и не заслуживающих доверия данных на уровне системы типов: разработчику достаточно выполнить анализ при переходе из недоверительного в доверительное состояние. Последнее время команда, отвечающая за безопасность в ядре, публикует каждый день примерно 13 отчётов об уязвимостях, что на фоне прошлой динамики выявления уязвимостей воспринимается как какое-то безумие (для примера за вчерашний день было опубликовано 277 отчётов об уязвимостях в ядре). По мнению Грега, использование Rust является одним из реальных способов добиться снижения числа ошибок в ядре, вызванных традиционными оплошностями при обработке ошибок и управлении ресурсами. В ядре поддержка Rust уже вышла за рамки эксперимента и в конце прошлого года была признана штатной возможностью ядра.
| ||
|
Обсуждение (205 +2) |
Тип: К сведению |
| ||
| · | 28.05 | Опубликован экспериментальный выпуск среды рабочего стола MATE 1.29.0 (57 +18) |
|
Спустя два года после прошлого стабильного релиза опубликован выпуск среды рабочего стола MATE 1.29. Проект MATE продолжает развитие кодовой базы GNOME 2.32 с сохранением классической концепции формирования рабочего стола. Ветка 1.29 преподносится как экспериментальная и применяется для разработки и тестирования функциональности будущего стабильного выпуска MATE 1.30.
C весны 2024 года разработка MATE находилась в стагнации, но сейчас к активному сопровождению проекта подключился Виктор Карех (Victor Kareh) из компании Red Hat. Среди изменений в MATE 1.29:
| ||
|
Обсуждение (57 +18) |
Тип: К сведению |
| ||
| · | 28.05 | Выпуск Cozystack 1.4, открытой PaaS-платформы на базе Kubernetes (6 +5) |
|
Доступен выпуск свободной PaaS-платформы Cozystack 1.4, построенной на базе Kubernetes. Проект нацелен на предоставление готовой платформы для хостинг-провайдеров и фреймворка для построения частных и публичных облаков. Платформа устанавливается напрямую на серверы и охватывает все аспекты подготовки инфраструктуры для предоставления управляемых сервисов. Cozystack позволяет запускать и предоставлять кластеры Kubernetes, базы данных и виртуальные машины. Код платформы доступен на GitHub и распространяется под лицензией Apache-2.0.
Платформа включает свободную реализацию сетевой инфраструктуры (fabric) на базе Kube-OVN, и использует Cilium для организации сервисной сети, MetalLB для анонса сервисов наружу. Хранилище реализовано на LINSTOR, где предлагается использование ZFS в качестве базового слоя для хранилища и DRBD для репликации. Имеется преднастроенный стек мониторинга на базе VictoriaMetrics и Grafana. Для запуска виртуальных машин используется технология KubeVirt, которая позволяет запускать классические виртуальные машины прямо в контейнерах Kubernetes и уже имеет все необходимые интеграции с Cluster API для запуска управляемых Kubernetes-кластеров внутри "железного" Kubernetes-кластера. В рамках платформы можно по клику разворачивать Kafka, FerretDB, PostgreSQL, Cilium, Grafana, Victoria Metrics и другие сервисы. Главные нововведения в Cozystack 1.4.0:
При обновлении следует учитывать, что worker-узлы тенантных кластеров будут один раз последовательно заменены из-за перехода на постоянные PVC-диски. Виртуальные машины KubeVirt, запущенные до обновления платформы, потребуют холодной перезагрузки после перехода на KubeVirt 1.8.2, так как живая миграция старых virt-launcher-процессов может завершаться ошибкой из-за изменения версии QEMU. Кроме того, параметры PostgreSQL теперь типизированы и проверяются по denylist, а cert-manager 1.20 по умолчанию запускает контейнеры с UID/GID 65532.
| ||
| · | 28.05 | Опубликована система хранения Blockstor, являющаяся альтернативой LINSTOR (47) |
|
Доступен первый выпуск Blockstor - открытой системы управления распределённым блочным хранилищем для Kubernetes, обеспечивающей репликацию данных поверх DRBD. Blockstor совместим по REST API с LINSTOR и способен без изменений работать с существующей экосистемой клиентов, включая командную утилиту linstor, CSI-драйвер, оператор Piraeus, ha-controller и библиотеку golinstor. Проект представляет собой полностью самостоятельную (clean-room) реализацию на языке Go, не использующую исходный код оригинала. Код распространяется под лицензией Apache 2.0 и развивается в рамках платформы Cozystack (проект CNCF Sandbox).
Автор проекта - Андрей Квапил (@kvaps), основатель Cozystack и участник некоммерческой организации Piraeus, в рамках которой развиваются оператор и CSI-драйвер LINSTOR для Kubernetes. Автор известен в Kubernetes-сообществе как популяризатор LINSTOR и неоднократно выступал с техническими докладами по теме. Изначально разработка задумывалась как небольшая "пятничная" инициатива, однако в итоге превратилась примерно в 20 дней непрерывной работы. На текущий момент проект развивается как исследовательский, однако в перспективе рассматривается как возможная замена LINSTOR в роли системы хранения по умолчанию в Cozystack. В качестве причин создания нового проекта упоминаются сложности с сопровождением оригинального проекта и передачей изменений в основной проект, а также архитектурные ограничения LINSTOR. Оригинальный проект использует "request-based" модель обработки запросов в реальном времени, который показывает проблемы на масштабах, тогда как декларативный reconciliation-подход Kubernetes и framework controller-runtime, по мнению автора, значительно лучше подходит для построения распределённых систем. В отличие от LINSTOR, архитектура Blockstor полностью основана на подходе Kubernetes controller-runtime. Конфигурация и текущее состояние системы представлены в виде Kubernetes CRD-объектов, а сама система не рассчитана на работу вне Kubernetes-кластера. Среди основных возможностей Blockstor:
Особенностью проекта стало активное использование AI-инструментов при разработке. Практически весь код был подготовлен с помощью Claude Code (модель Opus 4.7) компании Anthropic. Разработка велась почти круглосуточно в течение примерно 20 дней. В отдельные моменты одновременно работало до 60 AI-агентов, а общий диалог разработки составил около 1320 запросов со стороны автора и порядка 36 тысяч ответов модели в рамках одной непрерывной сессии. На выходе получилось 1500 коммитов, в которых 83 тысячи строк кода заняла реализация и ещё 137 тысяч строк кода тесты. По предварительной оценке, суммарно было израсходовано около 18.9 млрд токенов, а эквивалентная стоимость такого объёма при использовании API-тарифов составила бы около 40 тысяч долларов. Автор первоначально рассчитывал на почти полностью автономную разработку силами AI-модели, однако сложная логика DRBD потребовала постоянного участия человека. Наиболее сложными оказались сценарии схождения DRBD-состояний, работа с Generation Identifier (GI), пропуска изначальной синхронизации и обработка split-brain сценариев. Поскольку оригинальный LINSTOR распространяется под лицензией GPL, использовать его код напрямую было нельзя. Основная часть реализации создавалась на основе анализа API-контрактов, поведения утилит, Python-клиента LINSTOR, а также совместимых по лицензии проектов, включая piraeus-operator и CSI-драйвер. В наиболее сложных случаях применялась схема с разделением ролей AI-агентов: один агент анализировал исходный код LINSTOR и формировал текстовую спецификацию поведения, после чего другой агент реализовывал функциональность исключительно по этой спецификации без прямого копирования исходного кода. Из-за отсутствия открытых тестов у оригинального проекта тестовую базу пришлось формировать самостоятельно.
| ||
| · | 27.05 | В Samba устранены уязвимости, допускающие удалённое выполнение кода в редких конфигурациях (24 +2) |
Представлены корректирующие релизы пакета Samba 4.24.3, 4.23.8 и 4.22.10, предоставляющего открытую реализацию протоколов SMB и Active Directory. В новых версиях устранено 6 уязвимостей, из которых две позволяют удалённому неаутентифицированному атакующему выполнить свой код на сервере:
Также в новых выпусках устранено ещё несколько уязвимостей, дающих возможность обойти проверку прав доступа к xattr-атрибуту "reparse point", вторично перезаписать файл при использовании vfs-модуля WORM (Write-Once, Read Many), установить сертификат через HTTP без верификации и вызвать аварийно завершение сервера AD DC WINS через отправку специально оформленного UDP-пакета.
| ||
|
Обсуждение (24 +2) |
Тип: Проблемы безопасности |
| ||
| · | 27.05 | Обновление Wolvic, web-браузера для устройств виртуальной реальности (19 –1) |
|
Опубликованы новые версии web-браузеров Gecko Wolvic 1.9 и Chromium Wolvic 1.3, предназначенных для использования в системах дополненной и виртуальной реальности. Браузеры предоставляют 3D-интерфейс для навигации по сайтам при помощи 3D-шлема, и, помимо традиционных плоских страниц, позволяют web-разработчикам создавать трехмерные web-приложения для систем виртуальной реальности, используя API WebXR, WebAR и WebVR. Отличия браузеров сводится к тому, что в Gecko Wolvic применяется web-движок GeckoView, а в Chromium Wolvic задействован движок Chromium.
Навигация в браузерном интерфейсе осуществляется при помощи VR-контроллеров или через отслеживание движения глаз, а для ввода данных в web-формы применяется виртуальная клавиатура или система голосового ввода, дающая возможность заполнять формы и отправлять поисковые запросы с использованием развиваемого системы распознавания речи. Возможен просмотр в браузере пространственных видео, снятых в режиме 360 градусов. В качестве стартовой страницы браузер предоставляет интерфейс для доступа к избранному контенту и навигации по коллекции, адаптированных для 3D-шлемов игр, web-приложений, 3D-моделей и пространственных видео. Готовые сборки формируются для платформы Android и поддерживают такие 3D-шлемы, как Huawei VR Glass, Huawei Vision Glass, VIVE Focus, Lynx R1, Lenovo A3, Magic Leap 2, Meta Quest 2/3/Pro, Oculus Quest и Pico 4/4E. В режиме тестирования возможен запуск на обычном Android-смартфоне без 3D-шлема. Код Wolvic написан на языках Java и C++, и распространяется под лицензией MPLv2. Среди изменений в новых выпусках:
| ||
|
Обсуждение (19 –1) |
Тип: Программы |
| ||
| · | 27.05 | В библиотеку ANGLE, используемую в Chrome и Android, добавлена поддержка Wayland (73 +13) |
|
Разработчики Chromium реализовали поддержку протокола Wayland в библиотеке ANGLE. Реализация базируется на использовании EGL-расширения EGL_EXT_platform_wayland. Библиотека ANGLE осуществляет трансляцию вызовов OpenGL ES в графические API OpenGL, Direct3D 9/11 и Vulkan, и применяется в Chrome в качестве бэкенда для WebGL, а в Android для реализации OpenGL ES поверх Vulkan. Упоминается, что изменение позволит реализовать поддержку Wayland во фреймворке CEF (Chromium Embedded Framework), предназначенном для встраивания браузерного движка Chromium в приложения. Среди прочего, отсутствие поддержки Wayland в CEF не позволяет реализовать Wayland-версию клиента Steam.
| ||
|
Обсуждение (73 +13) |
Тип: К сведению |
| ||
| · | 27.05 | Выпуск проприетарного драйвера NVIDIA 610.43.02 (62 +6) |
|
Компания NVIDIA опубликовала выпуск проприетарного драйвера NVIDIA 610.43.02 (первый стабильный выпуск новой ветки 610). Драйвер доступен для Linux (ARM64, x86_64), FreeBSD (x86_64) и Solaris (x86_64). NVIDIA 595.x стала тринадцатой стабильной веткой после открытия компанией NVIDIA компонентов, работающих на уровне ядра. Исходные тексты модулей ядра nvidia.ko, nvidia-drm.ko (Direct Rendering Manager), nvidia-modeset.ko и nvidia-uvm.ko (Unified Video Memory) из новой ветки NVIDIA, а также используемые в них общие компоненты, не привязанные к операционной системе, размещены на GitHub. Прошивки и используемые в пространстве пользователя библиотеки, такие как стеки CUDA, OpenGL и Vulkan, остаются проприетарными.
Основные изменения:
| ||
|
Обсуждение (62 +6) |
Тип: Программы |
| ||
| · | 27.05 | Запись сеанса разработки для подтверждения, что изменение подготовлено не через AI (141 +8) |
|
Сопровождающий web-браузер Dillo предложил метод для отсеивания изменений, подготовленных через AI. Проект Dillo допускает приём патчей созданных только людьми, но разбор присылаемых изменений отнимает много времени и не всегда сразу ясно создан патч человеком или нет. Для упрощения отсеивания созданных через AI патчей, участникам, впервые передающим изменения в проект, предлагается в качестве доказательства проделанной работы отправлять запись сеанса разработки. При использовании Vim сеанс может быть записан, например, при помощи утилиты asciinema.
Идея не переведена в разряд обязательных требований и пока находится на стадии обсуждения и экспериментов. На первый взгляд, разработчик, пытающийся обмануть сопровождающего и выдать патч, созданный через AI, за собственноручно написанный код, может воспользоваться AI и для генерации записи сеанса в asciinema. Эксперименты показали, что искусственность подобных записей сразу бросается в глаза, так как не отражает свойственных человеку действий, ошибок и размышлений в ходе работы. Типовые AI-модели обучены на уже готовом коде, но их обучение в полной мере не охватывало сам процесс написания кода людьми.
| ||
|
Обсуждение (141 +8) |
Тип: К сведению |
| ||
| · | 27.05 | Проект Pavona развивает дистрибутив открытых аппаратных компонентов для создания чипов (68 +20) |
|
Консорциум GlobalPlatform анонсировал проект Pavona, развивающий открытый дистрибутив аппаратных компонентов, из которых можно компоновать готовые к производству защищённые чипы на ядрах с микроархитектурой RISC-V. Дистрибутив предоставляет модульную библиотеку IP-блоков и эталонные реализации чипов, готовые к сертификации и проверенные на пригодность к производству (tapeout-proven). Комбинируя элементы из данной библиотеки можно собирать собственные чипы для различных областей применения, от датацентров, AI-ускорителей и специализированных контроллеров до встраиваемых систем с ограниченными ресурсами и устройств интернета вещей (IoT). Наработки проекта распространяются под лицензией Apache 2.0.
В числе основателей проекта выступили 12 компаний и организаций, среди которых Qualcomm Technologies, Meta, Analog Devices, Baochip, SIMPLE Crypto Association, Tenstorrent, Winbond и ZeroRISC. Проект развивается на нейтральной площадке, не зависящей от отдельных производителей, и управляется участниками из образованного вокруг него сообщества. Pavona предоставляет IP-блоки с ядрами RISC-V (Ibex RV32IMCB и VexII), криптоускорителями с поддержкой классических и постквантовых криптоалгоритмов, контроллерами OTP/flash, SRAM, JTAG, ADC, I2C, GPIO и SPI. Среди реализованных на аппаратном уровне криптоалгоритмов: HMAC, KMAC, AES, EDN, ASCON, ML-KEM, ML-DSA, DSA-SHA2 и SLH-DSA-SHAKE. Предоставляется полная документация и ресурсы для верификации перед производством (Design Verification collateral) и RTL-код. Помимо аппаратных компонентов проектом также предоставляется программное обеспечение, такое как криптографическая библиотека для интеграции с криптоускорителями, прошивки и сопутствующие утилиты. На базе Pavona подготовлены две эталонные реализации: обособленный чип со встроенными криптографическими возможностями для использования в роли "Root of Trust" и реализация "Root of Trust" для архитектуры чиплетов, опробованные в производстве с использованием техпроцесса TSMC 3nm (N3). Чиплеты позволяют создавать комбинированные гибридные интегральные схемы (многочиповые модули), образованные из независимых полупроводниковых блоков. Отмечается, что Pavona стал первым проектом, предоставляющим готовый к производству встраиваемый в чипы открытый стек с поддержкой постквантовых криптографических алгоритмов (PQC).
| ||
|
Обсуждение (68 +20) |
Тип: К сведению |
Интересно
| ||
| · | 26.05 | Релиз AlmaLinux 9.8 и 10.2 (66 +4) |
|
Представлен релиз дистрибутива AlmaLinux 10.2, а также обновление прошлой ветки - AlmaLinux 9.8. Релизы синхронизированны c Red Hat Enterprise Linux 9.8 и 10.2, и содержат все предложенные в данных выпусках изменения. Установочные образы подготовлены для архитектур x86_64_v3, x86_64_v2, ARM64, ppc64le и s390x в форме загрузочного (1 ГБ), минимального (1.6 ГБ) и полного образа (10 ГБ). Позднее будут сформированы Live-сборки с GNOME, KDE, MATE и Xfce, а также образы для плат Raspberry Pi, контейнеров, WSL (Windows Subsystem for Linux) и облачных платформ.
Дистрибутив по возможности бинарно совместим с Red Hat Enterprise Linux и может использоваться в качестве замены RHEL 10.2 и CentOS 10 Stream. Помимо ребрендинга и удаления специфичных для RHEL пакетов в AlmaLinux 10.2 отмечены следующие отличия от RHEL 10.2:
Дистрибутив AlmaLinux основан компанией CloudLinux в ответ на преждевременное сворачивание поддержки CentOS 8 компанией Red Hat (выпуск обновлений для CentOS 8 прекращён в конце 2021 года, а не в 2029 году, как предполагали пользователи). Проект курирует отдельная некоммерческая организация AlmaLinux OS Foundation, которая была создана для разработки на нейтральной площадке с участием сообщества и c использованием модели управления, похожей на организацию работы проекта Fedora. Дистрибутив бесплатен для всех категорий пользователей. Все наработки AlmaLinux публикуются под свободными лицензиями. Кроме AlmaLinux, в качестве альтернатив классическому CentOS также позиционируются Rocky Linux (развивается сообществом под руководством основателя CentOS), Oracle Linux, SUSE Liberty Linux и EuroLinux. Кроме того, компания Red Hat предоставила возможность бесплатного использования RHEL в организациях, развивающих открытое ПО, и в окружениях индивидуальных разработчиков, насчитывающих до 16 виртуальных или физических систем.
| ||
|
Обсуждение (66 +4) |
Тип: Программы |
| ||
| · | 26.05 | Google случайно раскрыл детали неисправленной уязвимости в Chromium (110 +27) |
|
Компания Google случайно открыла публичный доступ к отчёту (общедоступная копия), содержащему детальное пояснение и пример эксплоита для уязвимости, ещё не исправленной в движке Chromium. Уязвимость признана опасной и выявившему проблему исследователю было выплачено вознаграждение в $1000. Информация о проблеме была отправлена ещё в 2022 году, и с тех пор обсуждение по её исправлению периодически поднималось, но не доводилось до конца (требовалась реализация новых лимитов на непрерывную загрузку). В одном из таких обсуждений разработчики по ошибке посчитали уязвимость исправленной и открыли публичный доступ к информации, хотя проблема оставалась нерешённой.
Уязвимость позволяет добиться продолжения выполнения фонового JavaScript-обработчика (Service Worker) даже после закрытия окна браузера, что даёт возможность атакующему организовать постоянный контроль за браузером с возможностью загрузки и выполнения в любой момент своего JavaScript-кода в контексте своей страницы. Сценарий атаки сводится к тому, что атакующий может добиться открытия своей страницы в версии браузера, не содержащей уязвимостей, после чего дождаться выявления серьёзной уязвимости в браузере и организовать выполнение эксплоита без необходимости повторного открытия пользователем страницы атакующего. Суть метода в создании страницы с Service Worker-ом, выполняющей операцию загрузки данных, которая никогда не прерывается. По мнению выявившего проблему исследователя, уязвимость может использоваться для создания ботнета из браузеров, пользователи которых не подозревают, что один раз закрепившись, атакующий может удалённо выполнить JavaScript-код на их устройстве без совершения действий с их стороны. Подобный ботнет и без эксплуатации других уязвимостей может применяться для организации DDoS-атак и проксирования вредоносного трафика через системы жертв. Проблема затрагивает все браузеры на движке Chromium.
| ||
|
Обсуждение (110 +27) |
Тип: Проблемы безопасности |
| ||
| · | 26.05 | Поправки в калифорнийский закон, разрешающие не верифицировать возраст в открытых проектах (103 +6) |
|
В ранее принятый в Калифорнии закон о верификации возраста предложены поправки, вводящие исключение для проектов под открытыми лицензиями. Голосование профильного комитета о принятии поправок состоится в июне. Ранее аналогичные поправки были утверждёны в штате Колорадо и вошли в принятый в начале мая финальный вариант закона CO SB51.
Поправки сужают понятия "провайдер операционной системы" и "приложение", к которым применяются требования по обеспечению верификации возраста. В поправках из действия закона выведены физические лица и организации, распространяющие операционные системы или приложения под лицензиями, разрешающими копирование, распространение и внесение изменений в код. Исключение также распространяется на программное обеспечение, которое не предлагается потребителям в форме отдельных исполняемых файлов через магазины-каталоги приложений. В случае утверждения поправок, разработчики открытых приложений и дистрибутивы, такие как Fedora, Ubuntu, Arch Linux и Debian, поставляющие открытое ПО, будут не обязаны выполнять требования по верификации возраста. Дистрибутивам и платформам, таким как SteamOS, включающим проприетарные программы или завязанным на внешние проприетарные каталоги приложений, придётся учитывать требования о верификации возраста. Принятый в Калифорнии Закон о верификации возраста предписывает добавление в операционные системы возможности для указания возраста пользователя на этапе регистрации учётной записи и предоставления приложениям программного интерфейса для определения возраста текущего пользователя. В соответствии с требованиями закона, загруженные и запущенные приложения должны иметь возможность получать от операционной системы информацию о возрасте в 4 градациях: младше 13 лет, от 13 до 16 лет, от 16 до 18 лет, 18 лет и старше. Разработчик приложения должен использовать полученную информацию о возрасте для соблюдения законодательства о защите детей в интернете. За невыполнение требований предусмотрены штрафы до $2500 за неумышленное и до $7500 за умышленное нарушение в отношении каждого пострадавшего ребёнка. Закон вступает в действие в Калифорнии 1 января 2027 года, а в Колорадо - 1 июля 2028 года. Помимо этого, 17 марта в Бразилии вступил в силу закон 15.211/2025 "Digital ECA", который отличается значительными штрафами и жёсткими требованиями - производителям операционных систем и магазинов приложений необходимо проводить строгую проверку возраста с применением методов верификации, таких как проверка документов или прохождение аутентификации в уполномоченных сервисах. При этом из области действия закона выведена "базовая функциональность, необходимая для работы интернета, включая открытые и универсальные технические протоколы и стандарты", а основная ответственность ложится не на операционные системы, а на приложения, которые при необходимости должны внедрять собственные механизмы для предотвращения несанкционированного доступа несовершеннолетних.
| ||
|
Обсуждение (103 +6) |
Тип: К сведению |
| ||
| Следующая страница (раньше) >> | ||
