Re: [mdk-re] Cyrus-imap

Re: [mdk-re] Cyrus-imap

[Mikhail Zabaluev]

Hello vic,

On Thu, May 24, 2001 at 02:29:51PM +0600, vic ismakaev wrote:
>
> А какова мотивация отсутствия субж в дистрибутиве?

Такая же, как и мотивация отсутствия courier-imap - не нашлось никого,
кто бы им активно пользовался и готов был бы поддерживать.

Кстати, к администраторам ALT: возможно, есть повод над этим
подумать. Я попробовал сгрузить свой ящик, когда в нем было сообщений
300, с помощью uw-imap. Впечатление удручающее - думает над каждым удалением.

-- 
Stay tuned,
  MhZ                                     JID: mookid@jabber.org
___________
Succumb to natural tendencies.  Be hateful and boring.

Re: [mdk-re] Cyrus-imap

[Yuri Ryazantsev]

On Thu, May 24, 2001 at 02:29:51PM +0600, vic ismakaev wrote:

> А какова мотивация отсутствия субж в дистрибутиве?
> Кстати, как насчет списка unmantenance пакетов?

А есть ли в этом списке еще (кроме меня) люди реально (!) использующие subj?

with best wishes,

Yuri.

Re: [mdk-re] Cyrus-imap

[Yuri Ryazantsev]

On Thu, May 24, 2001 at 12:59:39PM +0400, Mikhail Zabaluev wrote:

> Такая же, как и мотивация отсутствия courier-imap - не нашлось никого,
> кто бы им активно пользовался и готов был бы поддерживать.

Я активно использую и то и другое.

> Кстати, к администраторам ALT: возможно, есть повод над этим
> подумать. Я попробовал сгрузить свой ящик, когда в нем было сообщений
> 300, с помощью uw-imap. Впечатление удручающее - думает над каждым удалением.

А надо хранить каждое письмо отдельным файлом. Это реально или cyrus или
courier. Cyrus предпочтительнее для серверов, courier предпочтительнее для
desktop'ов. Это мой вывод. Если кого интересует обоснование - могу дать
развернутое об'яснение.

with best wishes,

Yuri.

Re: [mdk-re] Cyrus-imap

[vic ismakaev]

24 Май 2001 15:07, Вы написали:
> On Thu, May 24, 2001 at 02:29:51PM +0600, vic ismakaev wrote:
> > А какова мотивация отсутствия субж в дистрибутиве?
> > Кстати, как насчет списка unmantenance пакетов?
>
> А есть ли в этом списке еще (кроме меня) люди реально (!) использующие
> subj?
В общем, передо мной сейчас стоит проблема выбора почтовой системы для 
хостинга.Рассмотрели QMAIL, теперь хочу рассмотреть связку Exim + Cyrus-imap.
Нужна возможность гибкого управления виртуальными серверами(как ip- так и 
name-based),вплоть до того, чтобы арендаторы вирт.домена могли сами заводить 
свои почтовые адреса, интеграция с LDAP,производительнось, anti-spam, ну и 
так далее.


-- 
С уважением
Виктор В Исмакаев

Re: [mdk-re] Cyrus-imap

[Yuri Ryazantsev]

On Thu, May 24, 2001 at 03:30:22PM +0600, vic ismakaev wrote:

> В общем, передо мной сейчас стоит проблема выбора почтовой системы для 
> хостинга.Рассмотрели QMAIL, теперь хочу рассмотреть связку Exim + Cyrus-imap.

Заранее прошу прощения у сообщества за длинное письмо.

Во-первых, давайте не сваливать все в одну кучу. Я бы не
смешивал MTA и IMAP (POP3) серверы, так как между ними
единственная связка - формат почтового ящика. Про MTA я уже
свой взгляд тут высказывал (см. архив) - Exim. Моя почтовая
система (все цифры приблизительные, т.к. организация системы
позволяет добавлять пользователей, домены очень простыми
действиями и для получения точных цифр надо запускать всякие
команды типа "wc -l") - около 300 локальных почтовых ящиков,
около 200 виртуальных доменов. Производительность - ~7000 писем
в час, есть у меня активный ящик с 17568 письмами (последняя
цифра точная на момент написания этого письма).

Про интеграцию с LDAP - в тестовом режиме пробовал и даже
работает. Правда проверял на openldap-1.2.11. Но встретил одну
проблему которая не позволяет мне использовать никакой вид
сервера (LDAP или SQL) интегрированного с почтой. Проблема
следующая: Возможна ситуация когда этот сервер не может
обслужить запросы (большая загрузка, ошибка в программе
сервера, недоступность по сети и т.д.). При этом MTA продолжает
работать и для адресов локальных пользователей говорит -
Unknown user. В результате на время устранения неисправности
почта теряется. Если бы возможно было бы в таких случах сказать
MTA, что нельзя обрабатывать почту, то это бы решило эту
проблему. А так ...

Теперь про почтовые ящики. Формат mbox хорош только для
небольших размеров, поэтому его не рассматриваю. Cyrus и
Courier (maildir): принципиальное различие одно - cyrus имеет
еще и к файлам базу писем (назовем это так). Из этого следует,
что cyrus - некоторая замкнутая система, доступ к ящикам и их
администрирование осуществляется только через ее API. И иногда
я сталкивался с блокировкой Cyrus'а при нагрузке (проявляется
при одновременном запихивании 130 exim'ами писем в один ящик).
Но зато реакция ее довольно быстрая, не говоря уже о поддержке
LMTP протокола. А также нормальная поддержка quota и
разделяемых ящиков. У Courier формат хранения более-менее
общепринятый - maildir. Его напрямую легко поддерживать (есть
целая туча утилит и библиотек). Практически нет проблем с
блокировками почтовых ящиков (особенно важно для NFS
разделенных ящиков). Но сильно снижается производительность при
большом числе писем в фолдере. Особенно проявляется на
журналируемых FS - xfs и reiserfs и не очень быстрой дисковой
подсистеме. И еще - нет нормальной поддержки квот и разделения
доступа к одному ящику нескольким пользователям.

Далее естественно выбор за Вами в зависимости от потребностей.

> Нужна возможность гибкого управления виртуальными серверами(как ip- так и 
> name-based),вплоть до того, чтобы арендаторы вирт.домена могли сами заводить 

А вот эта часть, как правило не зависит от MTA и IMAP серверов.

> свои почтовые адреса, интеграция с LDAP,производительнось, anti-spam, ну и 
> так далее.

Это все есть в программах того уровня решений, который Вам
необходим. Не будете же Вы рассматривать простой MTA на Java
:-))

with best wishes,

Yuri.

Re: [mdk-re] Cyrus-imap

[Ivan Zakharyaschev]

  Hello, Mikhail!

On Thu, 24 May 2001, Mikhail Zabaluev wrote:

> Такая же, как и мотивация отсутствия courier-imap - не нашлось
> никого,
> кто бы им активно пользовался и готов был бы поддерживать.
>
> Кстати, к администраторам ALT: возможно, есть повод над этим
> подумать. Я попробовал сгрузить свой ящик, когда в нем было
> сообщений
> 300, с помощью uw-imap. Впечатление удручающее - думает над
> каждым удалением.

Сейчас подхожу к концу обработки почты mandrake-russian за
последний месяц и еще немного (лежит в ящике формата mbox,
предоставляется wu-imap): было под 4000 сообщений... главные
тормоза были в загрузке списка сообщений, сортировке их по
therad'ам; удаление по сравнению с этой начальной задержкой уже
ничто. :-)

Скорость (удаления) зависит от формата, в котором хранится ящик
-- mbox, судя по всему, не лучший вариант.

Ну а про сервера Courier и Cyrus все уже сказано: было бы,
конечно, интересно увидеть в Сизифе -- но maintainer'а пока не
видно...

-- 
Best regards,
Ivan Zakhrayschev

Re: [mdk-re] Cyrus-imap

[Yuri Ryazantsev]

On Tue, Jun 12, 2001 at 12:53:04PM +0400, Ivan Zakharyaschev wrote:

> Сейчас подхожу к концу обработки почты mandrake-russian за
> последний месяц и еще немного (лежит в ящике формата mbox,
> предоставляется wu-imap): было под 4000 сообщений... главные
> тормоза были в загрузке списка сообщений, сортировке их по
> therad'ам; удаление по сравнению с этой начальной задержкой уже
> ничто. :-)
> 
> Скорость (удаления) зависит от формата, в котором хранится ящик
> -- mbox, судя по всему, не лучший вариант.
> 
> Ну а про сервера Courier и Cyrus все уже сказано: было бы,
> конечно, интересно увидеть в Сизифе -- но maintainer'а пока не
> видно...

Вообще-то я использую Cyrus и его рекомендую. Причем тут разница в maildir и
mbox будет не очень большой при увеличении числа писем. А вот hash cyrus'а
здесь сильно помогает, да и quota у него работает. Пример: ящик 15000 писем
открывается 2 сек (необходимо прочитать файл размером 300Кб). 

По поводу maintainer: я бы поддерживал и exim и cyrus, если бы существовало
хотя бы одно из двух условий:
1. Или разработчики относились к поддержке уже выпущенного дистрибутива
   хотя бы также как и к разработке (каталог updates)
2. Или кто-то смог предоставить свой сервер для тестирования.

Это вызвано у меня отсутствием должного доверия к этому дистрибутиву, как к
системе устанавливаемой на production server. Поэтому у себя я его на сервер
поставить пока не могу. Но мне очень хочется, чтобы он развивался и чтобы в
самом ближайшем будущем я изменил это мнение на противоположное.

with best wishes,

Yuri.

Re: [mdk-re] Cyrus-imap

[vic ismakaev]

13 Июнь 2001 18:15, Вы написали:
> On Tue, Jun 12, 2001 at 12:53:04PM +0400, Ivan Zakharyaschev wrote:
> > Сейчас подхожу к концу обработки почты mandrake-russian за
> > последний месяц и еще немного (лежит в ящике формата mbox,
> > предоставляется wu-imap): было под 4000 сообщений... главные
> > тормоза были в загрузке списка сообщений, сортировке их по
> > therad'ам; удаление по сравнению с этой начальной задержкой уже
> > ничто. :-)
> >
> > Скорость (удаления) зависит от формата, в котором хранится ящик
> > -- mbox, судя по всему, не лучший вариант.
> >
> > Ну а про сервера Courier и Cyrus все уже сказано: было бы,
> > конечно, интересно увидеть в Сизифе -- но maintainer'а пока не
> > видно...
>
> Вообще-то я использую Cyrus и его рекомендую. Причем тут разница в maildir
> и mbox будет не очень большой при увеличении числа писем. А вот hash
> cyrus'а здесь сильно помогает, да и quota у него работает. Пример: ящик
> 15000 писем открывается 2 сек (необходимо прочитать файл размером 300Кб).
>
> По поводу maintainer: я бы поддерживал и exim и cyrus, если бы существовало
> хотя бы одно из двух условий:
> 1. Или разработчики относились к поддержке уже выпущенного дистрибутива
>    хотя бы также как и к разработке (каталог updates)
> 2. Или кто-то смог предоставить свой сервер для тестирования.
>
> Это вызвано у меня отсутствием должного доверия к этому дистрибутиву, как к
> системе устанавливаемой на production server. Поэтому у себя я его на
> сервер поставить пока не могу. Но мне очень хочется, чтобы он развивался и
> чтобы в самом ближайшем будущем я изменил это мнение на противоположное.
Ок, Юрий, давайте скооперируемся.У меня сейчас есть тачка, не сильная, но для 
тестов думаю пойдет. Стоит на тестировании Qmail, другую машину хочу загнать 
под Exim+Cyrus IMAP + хостинг. Сам я пока в Exim + Cyrus почти ноль, пока 
разбираюсь.
Пишите мне, если интересно vic@mail.esoo.ru


-- 
С уважением
Виктор В Исмакаев

Re: [mdk-re] Cyrus-imap

[Volkov Serge]

On Wed, 13 Jun 2001 18:32:29 +0600
vic ismakaev <viclists@mail.esoo.ru> wrote:

> 13 Июнь 2001 18:15, Вы написали:
> > On Tue, Jun 12, 2001 at 12:53:04PM +0400, Ivan Zakharyaschev wrote:
> > > Сейчас подхожу к концу обработки почты mandrake-russian за
> > > последний месяц и еще немного (лежит в ящике формата mbox,
> > > предоставляется wu-imap): было под 4000 сообщений... главные
> > > тормоза были в загрузке списка сообщений, сортировке их по
> > > therad'ам; удаление по сравнению с этой начальной задержкой уже
> > > ничто. :-)
> > >
> > > Скорость (удаления) зависит от формата, в котором хранится ящик
> > > -- mbox, судя по всему, не лучший вариант.
> > >
> > > Ну а про сервера Courier и Cyrus все уже сказано: было бы,
> > > конечно, интересно увидеть в Сизифе -- но maintainer'а пока не
> > > видно...
> >
> > Вообще-то я использую Cyrus и его рекомендую. Причем тут разница в maildir
> > и mbox будет не очень большой при увеличении числа писем. А вот hash
> > cyrus'а здесь сильно помогает, да и quota у него работает. Пример: ящик
> > 15000 писем открывается 2 сек (необходимо прочитать файл размером 300Кб).
> >
> > По поводу maintainer: я бы поддерживал и exim и cyrus, если бы существовало
> > хотя бы одно из двух условий:
> > 1. Или разработчики относились к поддержке уже выпущенного дистрибутива
> >    хотя бы также как и к разработке (каталог updates)
> > 2. Или кто-то смог предоставить свой сервер для тестирования.
> >
> > Это вызвано у меня отсутствием должного доверия к этому дистрибутиву, как к
> > системе устанавливаемой на production server. Поэтому у себя я его на
> > сервер поставить пока не могу. Но мне очень хочется, чтобы он развивался и
> > чтобы в самом ближайшем будущем я изменил это мнение на противоположное.
> Ок, Юрий, давайте скооперируемся.У меня сейчас есть тачка, не сильная, но для 
> тестов думаю пойдет. Стоит на тестировании Qmail, другую машину хочу загнать 
> под Exim+Cyrus IMAP + хостинг. Сам я пока в Exim + Cyrus почти ноль, пока 
> разбираюсь.
> Пишите мне, если интересно vic@mail.esoo.ru
> 
> 
> -- 
> С уважением
> Виктор В Исмакаев
> 
Господа а результаты вашего тестирования увидеть можно будет, так как нет времени на эксперимент и машины под это нет :((

-- 
С наилучшими VAS
Волков Сергей 		
Network Administrator 		

Re: [mdk-re] Cyrus-imap

[Aleksey Novodvorsky]

On Wed, 13 Jun 2001 16:15:34 +0400
Yuri Ryazantsev <yuri@unix.ru> wrote:

> По поводу maintainer: я бы поддерживал и exim и cyrus, если бы
> существовало
> хотя бы одно из двух условий:
> 1. Или разработчики относились к поддержке уже выпущенного
> дистрибутива
>    хотя бы также как и к разработке (каталог updates)

Давайте это обсудим. Мы считаем нецелесообразным раздувать
каталог updates за счет пакетов, которые не содержат ошибок в
защите или ошибок,которые могут привести к краху системы. Это
обычная практика. 

> 2. Или кто-то смог предоставить свой сервер для тестирования.

Это небольшая проблема.
Rgrds, AEN

Re: [mdk-re] Cyrus-imap

[Aleksey Novodvorsky]

On Wed, 13 Jun 2001 17:16:36 +0400
Aleksey Novodvorsky <aen@altlinux.ru> wrote:

> On Wed, 13 Jun 2001 16:15:34 +0400
> Yuri Ryazantsev <yuri@unix.ru> wrote:
> 
> > По поводу maintainer: я бы поддерживал и exim и cyrus, если
> бы
> > существовало
> > хотя бы одно из двух условий:
> > 1. Или разработчики относились к поддержке уже выпущенного
> > дистрибутива
> >    хотя бы также как и к разработке (каталог updates)
> 
> Давайте это обсудим. Мы считаем нецелесообразным раздувать
> каталог updates за счет пакетов, которые не содержат ошибок в
> защите или ошибок,которые могут привести к краху системы. Это
> обычная практика. 

Глупость написал :-)
Следует читать:
"за счет пакетов, исправляющих ошибки в защите или ошибки,
могущие привести к краху системы"

Rgrds, AEN

Re: [mdk-re] Cyrus-imap

[Andriy Dobrovolskii]

Привет всем,

Aleksey Novodvorsky wrote:

> On Wed, 13 Jun 2001 16:15:34 +0400
> Yuri Ryazantsev <yuri@unix.ru> wrote:
> 
>> По поводу maintainer: я бы поддерживал и exim и cyrus, если бы
>> существовало
>> хотя бы одно из двух условий:
>> 1. Или разработчики относились к поддержке уже выпущенного
>> дистрибутива
>>    хотя бы также как и к разработке (каталог updates)
> 
> 
> Давайте это обсудим. Мы считаем нецелесообразным раздувать
> каталог updates за счет пакетов, которые не содержат ошибок в
> защите или ошибок,которые могут привести к краху системы. Это
> обычная практика. 

Мне кажется, что третья причина для попадания в обновления, выход 
очередной стабильной версии пакета. Особенно, если исправлены ошибки 
пропущеные при создании дистрибутива, но не попадающие под первые две 
категории.
......

> 
> Rgrds, AEN

Всего,
Андрей

Re: [mdk-re] Cyrus-imap

[Andriy Dobrovolskii]

Aleksey Novodvorsky wrote:

> On Wed, 13 Jun 2001 17:16:36 +0400
> Aleksey Novodvorsky <aen@altlinux.ru> wrote:
> 
>> On Wed, 13 Jun 2001 16:15:34 +0400
>> Yuri Ryazantsev <yuri@unix.ru> wrote:
>> 
>>> По поводу maintainer: я бы поддерживал и exim и cyrus, если
>> 
>> бы
>> 
>>> существовало
>>> хотя бы одно из двух условий:
>>> 1. Или разработчики относились к поддержке уже выпущенного
>>> дистрибутива
>>>    хотя бы также как и к разработке (каталог updates)
>> 
>> Давайте это обсудим. Мы считаем нецелесообразным раздувать
>> каталог updates за счет пакетов, которые не содержат ошибок в
>> защите или ошибок,которые могут привести к краху системы. Это
>> обычная практика. 
> 
> 
> Глупость написал :-)
> Следует читать:
> "за счет пакетов, исправляющих ошибки в защите или ошибки,
> могущие привести к краху системы"

Вот теперь не понял. В первый раз можно было хотя бы догадываться. А 
теперь совсем не понял.

> 
> Rgrds, AEN
> 
Андрей

Re: [mdk-re] Cyrus-imap

[Yuri Ryazantsev]

On Wed, Jun 13, 2001 at 04:34:59PM +0400, Volkov Serge wrote:

> > Ок, Юрий, давайте скооперируемся.У меня сейчас есть тачка, не сильная, но для 
> > тестов думаю пойдет. Стоит на тестировании Qmail, другую машину хочу загнать 
> > под Exim+Cyrus IMAP + хостинг. Сам я пока в Exim + Cyrus почти ноль, пока 
> > разбираюсь.
> > Пишите мне, если интересно vic@mail.esoo.ru
> > 
> Господа а результаты вашего тестирования увидеть можно будет, так как нет
> времени на эксперимент и машины под это нет :((

А Вы как думаете? 

with best wishes,

Yuri.

Re: [mdk-re] Cyrus-imap

[Yuri Ryazantsev]

On Wed, Jun 13, 2001 at 05:16:36PM +0400, Aleksey Novodvorsky wrote:

> On Wed, 13 Jun 2001 16:15:34 +0400
> Yuri Ryazantsev <yuri@unix.ru> wrote:
> 
> > По поводу maintainer: я бы поддерживал и exim и cyrus, если бы
> > существовало
> > хотя бы одно из двух условий:
> > 1. Или разработчики относились к поддержке уже выпущенного
> > дистрибутива
> >    хотя бы также как и к разработке (каталог updates)
> 
> Давайте это обсудим. Мы считаем нецелесообразным раздувать
> каталог updates за счет пакетов, которые не содержат ошибок в
> защите или ошибок,которые могут привести к краху системы. Это
> обычная практика. 

ОК. Я - "чайный" пользователь. Не хочу разбираться в тонкостях каждого
пакета и ошибках в них. Но регулярно получаю информацию об ошибках в
некоторых пакетах, а затем об update'ах во всех основных дистрибутивах:
RedHat, Debian, Mandrake, Slackware, SuSE. И - тишина от MandrakeRE. Когда
такой-же вопрос я задавал в начале мая, то по тому конкретному случаю
(gnupg) был ответ, что этот update в Spring не нужен так, как он не содержит
ошибок, опасных для меня (за точность не ручаюсь, помню только свои
ощущения). При этом через почти месяц после этого update все-таки выходит.
Меня такая ситуация настораживает и единственный (для себя) выход в ней я
вижу - на production server ставить что-то из вышеупомянутых дистрибутивов и
быть в курсе событий MandrakeRE, чтобы вовремя сменить мнение.

> > 2. Или кто-то смог предоставить свой сервер для тестирования.
> 
> Это небольшая проблема.

Большая, если ее не решать.

with best wishes,

Yuri.

Re: [mdk-re] Cyrus-imap

[Yuri Ryazantsev]

On Wed, Jun 13, 2001 at 05:19:17PM +0400, Aleksey Novodvorsky wrote:

> On Wed, 13 Jun 2001 17:16:36 +0400
> Aleksey Novodvorsky <aen@altlinux.ru> wrote:
> 
> > On Wed, 13 Jun 2001 16:15:34 +0400
> > Yuri Ryazantsev <yuri@unix.ru> wrote:
> > 
> > > По поводу maintainer: я бы поддерживал и exim и cyrus, если
> > бы
> > > существовало
> > > хотя бы одно из двух условий:
> > > 1. Или разработчики относились к поддержке уже выпущенного
> > > дистрибутива
> > >    хотя бы также как и к разработке (каталог updates)
> > 
> > Давайте это обсудим. Мы считаем нецелесообразным раздувать
> > каталог updates за счет пакетов, которые не содержат ошибок в
> > защите или ошибок,которые могут привести к краху системы. Это
> > обычная практика. 
> 
> Глупость написал :-)
> Следует читать:
> "за счет пакетов, исправляющих ошибки в защите или ошибки,
> могущие привести к краху системы"

Ну я бы еще одно добавление внес: " или пакетов входящих в нее".

with best wishes,

Yuri.

Re: [mdk-re] Cyrus-imap

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1476 bytes --]

On Wed, Jun 13, 2001 at 06:49:46PM +0400, Yuri Ryazantsev wrote:
> ОК. Я - "чайный" пользователь. Не хочу разбираться в тонкостях каждого
> пакета и ошибках в них. Но регулярно получаю информацию об ошибках в
> некоторых пакетах, а затем об update'ах во всех основных дистрибутивах:
> RedHat, Debian, Mandrake, Slackware, SuSE. И - тишина от MandrakeRE. Когда
> такой-же вопрос я задавал в начале мая, то по тому конкретному случаю
> (gnupg) был ответ, что этот update в Spring не нужен так, как он не содержит
> ошибок, опасных для меня (за точность не ручаюсь, помню только свои
> ощущения). При этом через почти месяц после этого update все-таки выходит.

Не надо вводить в заблуждение общественность (кажется, Вы это делаете уже
не в первый раз, что наводит на грустные мысли).

У Mandrake&co было 2 security updates для пакета gnupg.
У нас из них был только один (второй), ибо первый уже был интегрирован в
дистрибутив.

Не все ошибки в пакетах из сферы security, которые обнаруживают в других
дистрибутивах, есть и у нас. В тех случаях, когда они есть, мы тоже
выпускаем security updates.


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.ru/
Fandra Project      http://www.fandra.org/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

Re: [mdk-re] Cyrus-imap

[Aleksey Novodvorsky]

On Wed, 13 Jun 2001 18:52:10 +0400
Yuri Ryazantsev <yuri@unix.ru> wrote:


> 
> Ну я бы еще одно добавление внес: " или пакетов входящих в
> нее".

То есть -- регулярные _стабильные_ обновления _новыми_ версиями
пакетов?
Если так, то оставлю без комментариев. Как только укажете любой
дистрибутив ОС, поддерживающий стабильность и актуальность
одновременно -- можно продолжить обсуждение. 
Если я неправильно понял, -- объясните подробнее.

Rgrds, AEN

Re: [mdk-re] Cyrus-imap

[Aleksey Novodvorsky]

On Wed, 13 Jun 2001 19:14:41 +0400
"Dmitry V. Levin" <ldv@alt-linux.org> wrote:

> On Wed, Jun 13, 2001 at 06:49:46PM +0400, Yuri Ryazantsev
> wrote:
> 
> 
> Не надо вводить в заблуждение общественность (кажется, Вы это
> делаете уже
> не в первый раз, что наводит на грустные мысли).

Дмитрий, не стоит так, -- Юрий поднял очень важный вопрос, здесь
нужна ясность.

> 
> У Mandrake&co было 2 security updates для пакета gnupg.
> У нас из них был только один (второй), ибо первый уже был
> интегрирован в
> дистрибутив.
> 
> Не все ошибки в пакетах из сферы security, которые обнаруживают
> в других
> дистрибутивах, есть и у нас. В тех случаях, когда они есть, мы
> тоже
> выпускаем security updates.

Я думаю, что в данном случае просто сложно было поверить, что у
них -- дыра, а у нас -- нет.
Но стоит внимательно разобрать этот случай, чтобы постепенно
привыкнуть. :-)
Согласен же я в том, что список security надо немного оживить,
сообщая не только о найденных дырах, но и о ненайденных, как было
сначала. 

Rgrds, AEN

Re: [mdk-re] Cyrus-imap

[Yuri Ryazantsev]

On Wed, Jun 13, 2001 at 07:14:41PM +0400, Dmitry V. Levin wrote:

> Не надо вводить в заблуждение общественность (кажется, Вы это делаете уже
> не в первый раз, что наводит на грустные мысли).

Дмитрий! Я не ввожу общественность в заблуждение, а высказываю свое мнение.
Причем всегда, критикуя вас как производителей дистрибутива, отношусь к вам,
как к разработчикам этого и будущих дистрибутивов, с огромным уважением. И
куплен он был аж два раза (один для того чтобы был под рукой на работе, и
один для дома). Может после речи AEN на предстоящем семинаре о концепции
дистрибутива и направлениях его развития у меня и не будет больше вопросов,
но пока я вижу, что на разработку дальнейших дистрибутивов вы тратите больше
усилий чем на поддержку существующего. И поэтому мое отношение - интересный,
перспективный с хороршими идеями дистрибутив для рабочей станции, домашнего
компьютера, не очень ответственного production сервера. Я не могу
настаивать, но лучше прочь грустные мысли и давайте об'единять усилия по
движению в одном направлении - к наилучшему и удобнейшему для пользователей
дистрибутиву Linux.

with best wishes,

Yuri.

Re: [mdk-re] security updates

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1334 bytes --]

On Wed, Jun 13, 2001 at 07:39:12PM +0400, Aleksey Novodvorsky wrote:
> > Не надо вводить в заблуждение общественность (кажется, Вы это
> > делаете уже
> > не в первый раз, что наводит на грустные мысли).
> 
> Дмитрий, не стоит так, -- Юрий поднял очень важный вопрос, здесь
> нужна ясность.

Я про gnupg уже второй раз рассказываю...

> > Не все ошибки в пакетах из сферы security, которые обнаруживают
> > в других
> > дистрибутивах, есть и у нас. В тех случаях, когда они есть, мы
> > тоже
> > выпускаем security updates.
> 
> Я думаю, что в данном случае просто сложно было поверить, что у
> них -- дыра, а у нас -- нет.
> Но стоит внимательно разобрать этот случай, чтобы постепенно
> привыкнуть. :-)

:)

> Согласен же я в том, что список security надо немного оживить,
> сообщая не только о найденных дырах, но и о ненайденных, как было
> сначала. 

Сообщать о "ненайденных" дырах?? Это что-то новое в сфере security.
Кто будет вести эту тему? :)


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.ru/
Fandra Project      http://www.fandra.org/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

Re: [mdk-re] security updates

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1803 bytes --]

On Wed, Jun 13, 2001 at 07:35:24PM +0400, Yuri Ryazantsev wrote:
> On Wed, Jun 13, 2001 at 07:14:41PM +0400, Dmitry V. Levin wrote:
> 
> > Не надо вводить в заблуждение общественность (кажется, Вы это делаете уже
> > не в первый раз, что наводит на грустные мысли).
> 
> Дмитрий! Я не ввожу общественность в заблуждение, а высказываю свое мнение.

Это замечательно. Однако (вспоминая историю про gnupg) мне приходится
повторять одно и то же дважды, чего в списке рассылки делать не принято.

> Причем всегда, критикуя вас как производителей дистрибутива, отношусь к вам,
> как к разработчикам этого и будущих дистрибутивов, с огромным уважением. И
> куплен он был аж два раза (один для того чтобы был под рукой на работе, и
> один для дома). Может после речи AEN на предстоящем семинаре о концепции
> дистрибутива и направлениях его развития у меня и не будет больше вопросов,

:)

> но пока я вижу, что на разработку дальнейших дистрибутивов вы тратите больше
> усилий чем на поддержку существующего. И поэтому мое отношение - интересный,
> перспективный с хороршими идеями дистрибутив для рабочей станции, домашнего
> компьютера, не очень ответственного production сервера. Я не могу

Я придерживаюсь другого мнения по этому вопросу.

> настаивать, но лучше прочь грустные мысли и давайте об'единять усилия по
> движению в одном направлении - к наилучшему и удобнейшему для пользователей
> дистрибутиву Linux.

Давайте.


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.ru/
Fandra Project      http://www.fandra.org/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

Re: [mdk-re] Cyrus-imap

[Yuri Ryazantsev]

On Wed, Jun 13, 2001 at 07:26:01PM +0400, Aleksey Novodvorsky wrote:

> > Ну я бы еще одно добавление внес: " или пакетов входящих в
> > нее".
> 
> То есть -- регулярные _стабильные_ обновления _новыми_ версиями
> пакетов?
> Если так, то оставлю без комментариев. Как только укажете любой
> дистрибутив ОС, поддерживающий стабильность и актуальность
> одновременно -- можно продолжить обсуждение. 
> Если я неправильно понял, -- объясните подробнее.

Об'ясняю подробнее, на примере случаев в которых НЕОБХОДИМО выпустить update: 

1) пакет xxx1 содержит некоторую ошибку, которая не позволяет программе sss
из пакета xxx2 корректно работать. Следовательно - нужен update, который или
не позволит поставить пакеты xxx1 и xxx2 одновременно, или устраняет в
пакете xxx1 ошибку.

2) пакет xxx1 не может работать сразу после установки без исправления config
файлов. Но если пользователь его установил и ничего с ним не делал, то он и
не должен запускаться при старте системы.

3) пакет xxx1 содержит зависимости, которые ему не нужны или не содержит
нужных.

4) и т.д.

Я не призываю разработчиков выпускать update в случае выхода новой версии
программы (хотя мне кажется, что перекочевывание некоторых программ из
Сизифа в updates, не такое уж и вредное действие). Но отсутствие
оживленности в update'ах "наводит на грустные мысли" ((c) ldv). А в силу
своего природного пессимизма - фантазия разыгрывается :-))

with best wishes,

Yuri.

Re: [mdk-re] security updates

[Yuri Ryazantsev]

On Wed, Jun 13, 2001 at 07:49:31PM +0400, Dmitry V. Levin wrote:

> > Согласен же я в том, что список security надо немного оживить,
> > сообщая не только о найденных дырах, но и о ненайденных, как было
> > сначала. 
> 
> Сообщать о "ненайденных" дырах?? Это что-то новое в сфере security.
> Кто будет вести эту тему? :)

Bug tracking system :-)

with best wishes,

Yuri.

Re: [mdk-re] Cyrus-imap

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1590 bytes --]

On Wed, Jun 13, 2001 at 07:53:41PM +0400, Yuri Ryazantsev wrote:
> > > Ну я бы еще одно добавление внес: " или пакетов входящих в
> > > нее".
> > 
> > То есть -- регулярные _стабильные_ обновления _новыми_ версиями
> > пакетов?
> > Если так, то оставлю без комментариев. Как только укажете любой
> > дистрибутив ОС, поддерживающий стабильность и актуальность
> > одновременно -- можно продолжить обсуждение. 
> > Если я неправильно понял, -- объясните подробнее.
> 
> Об'ясняю подробнее, на примере случаев в которых НЕОБХОДИМО выпустить update: 
> 
> 1) пакет xxx1 содержит некоторую ошибку, которая не позволяет программе sss
> из пакета xxx2 корректно работать. Следовательно - нужен update, который или
> не позволит поставить пакеты xxx1 и xxx2 одновременно, или устраняет в
> пакете xxx1 ошибку.
> 
> 2) пакет xxx1 не может работать сразу после установки без исправления config
> файлов. Но если пользователь его установил и ничего с ним не делал, то он и
> не должен запускаться при старте системы.
> 
> 3) пакет xxx1 содержит зависимости, которые ему не нужны или не содержит
> нужных.
> 
> 4) и т.д.

Для отслеживания подобных проблем (с последующим выпуском updates) есть
BTS (bug tracking system).


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.ru/
Fandra Project      http://www.fandra.org/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

Re: [mdk-re] security updates

[Yuri Ryazantsev]

On Wed, Jun 13, 2001 at 07:53:45PM +0400, Dmitry V. Levin wrote:

> > > Не надо вводить в заблуждение общественность (кажется, Вы это делаете уже
> > > не в первый раз, что наводит на грустные мысли).
> > 
> > Дмитрий! Я не ввожу общественность в заблуждение, а высказываю свое мнение.
> 
> Это замечательно. Однако (вспоминая историю про gnupg) мне приходится
> повторять одно и то же дважды, чего в списке рассылки делать не принято.

Чтобы не обсуждать каждый конкретный случай привожу пример:
начиная с 1.05.2001 каталог updates содержит пакеты:
	для Spring2001:   bzip2, samba, man, vixie-cron, gnupg
	для Mandrake-8.0: bash, pine, glibc, cups, minicom, vixie-cron,
			  openssh, samba, kdelibs, xmms, gnupg, imap,
			  xinetd

with best wishes,

Yuri.

Re: [mdk-re] security updates

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1744 bytes --]

On Wed, Jun 13, 2001 at 08:11:59PM +0400, Yuri Ryazantsev wrote:
> > > > Не надо вводить в заблуждение общественность (кажется, Вы это делаете уже
> > > > не в первый раз, что наводит на грустные мысли).
> > > 
> > > Дмитрий! Я не ввожу общественность в заблуждение, а высказываю свое мнение.
> > 
> > Это замечательно. Однако (вспоминая историю про gnupg) мне приходится
> > повторять одно и то же дважды, чего в списке рассылки делать не принято.
> 
> Чтобы не обсуждать каждый конкретный случай привожу пример:
> начиная с 1.05.2001 каталог updates содержит пакеты:
> 	для Spring2001:   bzip2, samba, man, vixie-cron, gnupg
> 	для Mandrake-8.0: bash, pine, glibc, cups, minicom, vixie-cron,
> 			  openssh, samba, kdelibs, xmms, gnupg, imap,
> 			  xinetd

Конкретный ответ на конкретный вопрос:

bash - пакет из Spring не подвержен,
pine - пакет из Spring не подвержен,
glibc - пакет из Spring не подвержен,
cups - обновление будет завтра,
minicom - ошибка есть, но проблема не актуальна для Spring,
openssh - пакет из Spring не подвержен,
kdelibs - ошибка есть, но проблема практически не актуальна для Spring,
xmms - пакет из Spring не подвержен,
imap - (относительно) свежая ошибка, обновление будет завтра,
xinetd - свежая (и несущественная) ошибка, обновление будет сегодня.

Кроме того, мы ведем собственный аудит и исправление пакетов в рамках
Castle.


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.ru/
Fandra Project      http://www.fandra.org/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

Re: [mdk-re] security updates

[Yuri Ryazantsev]

On Wed, Jun 13, 2001 at 08:47:20PM +0400, Dmitry V. Levin wrote:

> Конкретный ответ на конкретный вопрос:
> 
> bash - пакет из Spring не подвержен,
> pine - пакет из Spring не подвержен,
> glibc - пакет из Spring не подвержен,
> cups - обновление будет завтра,
> minicom - ошибка есть, но проблема не актуальна для Spring,
> openssh - пакет из Spring не подвержен,
> kdelibs - ошибка есть, но проблема практически не актуальна для Spring,
> xmms - пакет из Spring не подвержен,
> imap - (относительно) свежая ошибка, обновление будет завтра,
> xinetd - свежая (и несущественная) ошибка, обновление будет сегодня.
> 
> Кроме того, мы ведем собственный аудит и исправление пакетов в рамках
> Castle.

Спасибо за разъяснения. Пожелания:
1) А почему бы разработчикам не выносить выводы по собственному аудиту в
   security list? Тогда бы всем и видно было, что вы не забыли, видели и
   проанализировали ошибки в пакетах.
2) Что значит:
   "ошибка есть, но проблема не актуальна для Spring"
   и
   "ошибка есть, но проблема практически не актуальна для Spring"
   ?
   
with best wishes,

Yuri.

Re[2]: [mdk-re] security updates

[Maksim Otstavnov]

Hello Dmitry,

Wednesday, June 13, 2001, 7:49:31 PM, you wrote:

DVL> Сообщать о "ненайденных" дырах?? Это что-то новое в сфере security.

Дмитрий, IMHO это совершенно нормально: если (широко) разошлось
сообщение об ошибке, подтвердить, что _вы в курсе_, и что этой ошибки
в дистрибутиве нет (или она исправлена 20 лет назад, или неактуальна в
топологии, определяемой особенностями дистро).

Если б я держал боевой сервер, я был бы чрезвычайно признателен
команде, которая включает такую информацию в свою sec-рассылку.

> Кто будет вести эту тему? :)

Я думаю, это мог бы делать какой-нибудь робот BTS --> seclist :)))

-- 
-- Maksim

Re[2]: [mdk-re] security updates

[Serge Skorokhodov]

Здравствуйте!

Dmitry V. Levin пишет:

>>>> Не надо вводить в заблуждение общественность (кажется, Вы
>>>> это делаете уже не в первый раз, что наводит на грустные
>>>> мысли).

>>> Дмитрий! Я не ввожу общественность в заблуждение, а
>>> высказываю свое мнение.

>> Это замечательно. Однако (вспоминая историю про gnupg) мне
>> приходится повторять одно и то же дважды, чего в списке
>> рассылки делать не принято.

<skip>

Дмитрий, у меня компьтер дома, и, следовательно, все это МНЕ
ЛИЧНО не слишком актуально. Более того, я Вам лично (и всей
команде), безусловно доверяю. Но...

> bash - пакет из Spring не подвержен,

Хорошо, допустим.

> pine - пакет из Spring не подвержен,

И в это я готов поверить.

> glibc - пакет из Spring не подвержен,

Просто отлично!

> cups - обновление будет завтра,

Замечательно!

> minicom - ошибка есть, но проблема не актуальна для Spring,

Это почему? В рассылке по безопасности объяснений не было:(

> openssh - пакет из Spring не подвержен,

Чудесно!

> kdelibs - ошибка есть, но проблема практически не актуальна для Spring,

Что значит "практически"? Это как, пока не хакнули, что ли?

> xmms - пакет из Spring не подвержен,

Блестяще!

> imap - (относительно) свежая ошибка, обновление будет завтра,

Ценю оперативность:) Видимо, ошибка  CUPS еще более свежая? :-)

> xinetd - свежая (и несущественная) ошибка, обновление будет сегодня.

Велеколепно! См. выше:)

> Кроме того, мы ведем собственный аудит и исправление пакетов в рамках
> Castle.

Для меня, как "десктопного" пользователя, это особенно приятно:)

Сергей Скороходов 14.06.2001 suralis@pisem.net

Re[2]: [mdk-re] Cyrus-imap

[Russu V.F.]

Hello mandrake-russian-admin,

Wednesday, June 13, 2001, 20:52:10, you wrote:

>> > Давайте это обсудим. Мы считаем нецелесообразным раздувать
>> > каталог updates за счет пакетов, которые не содержат ошибок в
>> > защите или ошибок,которые могут привести к краху системы. Это
>> > обычная практика. 
>> 
>> Глупость написал :-)
>> Следует читать:
>> "за счет пакетов, исправляющих ошибки в защите или ошибки,
>> могущие привести к краху системы"

> Ну я бы еще одно добавление внес: " или пакетов входящих в нее".

        Елы-палы, да вам бы в Думе законы принмать ;-))))

-- 
 ОП ТЭСР
 Сис.админ      телефон: 76-40-56
 Руссу В.Ф.     e-mail:  ruwa@psrp.te.ru
                icq:     14848608
                Yahoo messager: LostRuwa

Re: [mdk-re] security updates

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1996 bytes --]

On Wed, Jun 13, 2001 at 11:14:35PM +0400, Yuri Ryazantsev wrote:
> > Конкретный ответ на конкретный вопрос:
> > 
> > bash - пакет из Spring не подвержен,
> > pine - пакет из Spring не подвержен,
> > glibc - пакет из Spring не подвержен,
> > cups - обновление будет завтра,
> > minicom - ошибка есть, но проблема не актуальна для Spring,
> > openssh - пакет из Spring не подвержен,
> > kdelibs - ошибка есть, но проблема практически не актуальна для Spring,
> > xmms - пакет из Spring не подвержен,
> > imap - (относительно) свежая ошибка, обновление будет завтра,
> > xinetd - свежая (и несущественная) ошибка, обновление будет сегодня.
> > 
> > Кроме того, мы ведем собственный аудит и исправление пакетов в рамках
> > Castle.
> 
> Спасибо за разъяснения. Пожелания:
> 1) А почему бы разработчикам не выносить выводы по собственному аудиту в
>    security list? Тогда бы всем и видно было, что вы не забыли, видели и
>    проанализировали ошибки в пакетах.

ok. (хотя будет непросто найти на это время)

> 2) Что значит:
>    "ошибка есть, но проблема не актуальна для Spring"

В minicom есть buffer overrun. Но в дистрибутиве minicom поставляется без
sgid-to-uucp. Поэтому exploit'ить нечего.

>    "ошибка есть, но проблема практически не актуальна для Spring"

Ошибка есть в программе /usr/bin/kdesu из пакета kdelibs.
При ее запуске после ввода root'ового пароля возможен т.н.
"local user exploit" (того самого пользователя, который запустил kdesu).
Поскольку механизм kdesu небезопасен в принципе, я не считаю эту ошибку
достаточно серьезной, чтобы выкладывать updates. Впрочем, тут могут быть
другие мнения.


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.ru/
Fandra Project      http://www.fandra.org/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

Re: [mdk-re] security updates

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1093 bytes --]

On Wed, Jun 13, 2001 at 11:26:15PM +0400, Maksim Otstavnov wrote:
> DVL> Сообщать о "ненайденных" дырах?? Это что-то новое в сфере security.
> 
> Дмитрий, IMHO это совершенно нормально: если (широко) разошлось
> сообщение об ошибке, подтвердить, что _вы в курсе_, и что этой ошибки
> в дистрибутиве нет (или она исправлена 20 лет назад, или неактуальна в
> топологии, определяемой особенностями дистро).

По правилам русского языка, "ненайденная" дыра - это дыра, которую не
нашли. Вы же говорите о дырах, которые нашли, но которые уже были
исправлены ранее.

> Если б я держал боевой сервер, я был бы чрезвычайно признателен
> команде, которая включает такую информацию в свою sec-рассылку.

ok, я уже ответил.


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.ru/
Fandra Project      http://www.fandra.org/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

Re: [mdk-re] security updates

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1378 bytes --]

On Thu, Jun 14, 2001 at 12:22:42AM +0300, Serge Skorokhodov wrote:
> > minicom - ошибка есть, но проблема не актуальна для Spring,
> 
> Это почему? В рассылке по безопасности объяснений не было:(

Про minicom я уже рассказал.

> > kdelibs - ошибка есть, но проблема практически не актуальна для Spring,
> 
> Что значит "практически"? Это как, пока не хакнули, что ли?

Про kdesu я уже рассказал.

> > imap - (относительно) свежая ошибка, обновление будет завтра,
> 
> Ценю оперативность:) Видимо, ошибка  CUPS еще более свежая? :-)

Нет, в случае с cups были проблемы с функциональностью.

> > xinetd - свежая (и несущественная) ошибка, обновление будет сегодня.
> 
> Велеколепно! См. выше:)

Я же сказал - ошибка несущественная.
Исправленный пакет в Сизифе с 1 июня, в updates - со вчерашнего дня.

> > Кроме того, мы ведем собственный аудит и исправление пакетов в рамках
> > Castle.
> 
> Для меня, как "десктопного" пользователя, это особенно приятно:)

Есть ведь еще и серверные пользователи.


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.ru/
Fandra Project      http://www.fandra.org/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

Re: [mdk-re] security updates

[Lenya L. Khachaturov]

On Wed, 13 Jun 2001 19:49:31 +0400
"Dmitry V. Levin" <ldv@alt-linux.org> wrote:

> On Wed, Jun 13, 2001 at 07:39:12PM +0400, Aleksey Novodvorsky wrote:
> > > Не надо вводить в заблуждение общественность (кажется, Вы это
> > > делаете уже
> > > не в первый раз, что наводит на грустные мысли).
> > 
> > Дмитрий, не стоит так, -- Юрий поднял очень важный вопрос, здесь
> > нужна ясность.
> 
> Я про gnupg уже второй раз рассказываю...
> 
> > > Не все ошибки в пакетах из сферы security, которые обнаруживают
> > > в других
> > > дистрибутивах, есть и у нас. В тех случаях, когда они есть, мы
> > > тоже
> > > выпускаем security updates.
> > 
> > Я думаю, что в данном случае просто сложно было поверить, что у
> > них -- дыра, а у нас -- нет.
> > Но стоит внимательно разобрать этот случай, чтобы постепенно
> > привыкнуть. :-)
> 
> :)
> 
> > Согласен же я в том, что список security надо немного оживить,
> > сообщая не только о найденных дырах, но и о ненайденных, как было
> > сначала. 
> 
> Сообщать о "ненайденных" дырах?? Это что-то новое в сфере security.
> Кто будет вести эту тему? :)

А почему бы нет? "xx n-го месяца n-го года в списке рассылки BUGTRAQ была опубликована 
информация о дыре в yyy. Спешим уведомить вас, что у соответствующего пакета в нашем
дистрибутиве этой дырки нет" :-)