Re: [devel] girar security

["Dmitry V. Levin" <ldv@altlinux.org>]

[-- Attachment #1: Type: text/plain, Size: 1931 bytes --]

On Sun, Feb 08, 2009 at 02:07:44PM +0300, Денис Смирнов wrote:
> On Sat, Feb 07, 2009 at 11:00:32PM +0200, Led wrote:
> 
> > L>> Исходники предоставлять следует по первому требованию. Т.е. даже если
> >> это L> требование поступило через секунду после предоставления бинарника.
> >> Кстати интересно, в GPL написано через сколько времени я обязан их
> >> предоставить по этому самому требованию? В смысле я обязан делать это за 1
> >> секунду, или пара дней у меня есть?
> L> Вы пытаетесь найти "лазейки" в GPL?
> 
> Это не лазейка, а разумная ситуация.
> 
> GPL предполагает что я могу предоставить исходники различными способами, и
> немедленное выкладывание на сайт это лишь один из них.
> 
> Повторяю еще раз -- речь идет о ситуации, когда исходники будут
> предоставлены, но с задержкой 1-2 дня с целью нераскрытия информации о
> найденой уязвимости.

Я считаю, что этот подход глубоко порочный.

> Чаще всего как я вижу применяется подход "нераскрытие производится до
> момента подготовки патчей, после чего одномоментно публикуются бинарники и
> исходники с исправлениями".

Да, и это правильно.

> Проблема этого подхода в том, что даже при
> большой оперативности может пройти 1-2 дня прежде чем даже те кто всерьез
> озабочен своей безопасностью установят обновление.

Те, "кто всерьез озабочен", не обязаны ждать 1-2 дня.

> А ситуация "эксплойт опубликован до того как существенная часть желающих
> обновится" -- нехорошая.

Есть разница между патчем и эксплоитом.

> Собственно меня интересовало возможна ли публикация бинарника с
> исправлением до момента когда будет можно публиковать исходники. Ну нельзя
> так нельзя, это не мои проблемы -- это проблемы пользователей. Просто они
> получат одновременно бинарник с исходниками, но заметно позже чем могли
> бы.

Пользователи не обязаны получать исходники вообще.

Ладно, давайте завязывать с этой темой.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 197 bytes --]