[devel] repocop: obsolete attacks test

[devel] repocop: obsolete attacks test

[Igor Vlasenko]

Уважаемые коллеги, 
новый тест репокопа. С добычей. :(

http://repocop.altlinux.org/pub/repocop/reports/txt/by-test/rpm-package-is-obsoleted.txt

предложен Игорем Зубковым.

Помогает отслеживать в репозитории забытый мусор
(пакет залит с новым именем, а старый остался) 
и тихие войны через Obsoletes:.

Например, hd2u obsoletes dos2unix, но этот пакет жив здоров
и находится в репозитории.
Что, вообще говоря, не есть хорошо. 
Либо Obsoletes убрать, либо dos2unix удалить.
Соответственно, на dos2unix вешается warning
rpm-package-is-obsoleted
а hd2u получает info: rpm-obsolete-live-package.

Отдельный возможный случай - 
пакеты вроде бы и не нужны в репозитарии, а 
рука их выбросить не поднимается по разным причинам.

В таком случае можно добваить список исключений.

Предлагайте, я добавлю.

-- 

Dr. Igor Vlasenko
--------------------
Topology Department
Institute of Math
Kiev, Ukraine

Re: [devel] repocop: obsolete attacks test

[Igor Zubkov]

27 октября 2009 г. 19:36 пользователь Igor Vlasenko написал:
> Уважаемые коллеги,
> новый тест репокопа. С добычей. :(
>
> http://repocop.altlinux.org/pub/repocop/reports/txt/by-test/rpm-package-is-obsoleted.txt
>
> предложен Игорем Зубковым.
>
> Помогает отслеживать в репозитории забытый мусор
> (пакет залит с новым именем, а старый остался)
> и тихие войны через Obsoletes:.
>
> Например, hd2u obsoletes dos2unix, но этот пакет жив здоров
> и находится в репозитории.
> Что, вообще говоря, не есть хорошо.
> Либо Obsoletes убрать, либо dos2unix удалить.
> Соответственно, на dos2unix вешается warning
> rpm-package-is-obsoleted
> а hd2u получает info: rpm-obsolete-live-package.
>
> Отдельный возможный случай -
> пакеты вроде бы и не нужны в репозитарии, а
> рука их выбросить не поднимается по разным причинам.
>
> В таком случае можно добваить список исключений.
>
> Предлагайте, я добавлю.

Я склонен считать что каждый пакет из списка rpm-obsolete-live-package
нарушает целостность репозитория и должен быть исправлен. info для
такого мало.

Если поставить dos2unix через:
apt-get install dos2unix

Пакет встанет и будет работать, но первый же dist-upgrade заменит его на hd2u.

Таким же образом можно провести атаку на репозиторий. К примеру, можно
заменить через такую схему любой базовый пакет в системе.

-- 
icesik

Re: [devel] repocop: obsolete attacks test

[Igor Vlasenko]

On Tue, Oct 27, 2009 at 07:48:00PM +0300, Igor Zubkov wrote:
> нарушает целостность репозитория и должен быть исправлен. info для
> такого мало.

warn вешается на пакет under attack.
Таким образом, владелец атакованного пакета 
может принять меры.

-- 

Dr. Igor Vlasenko
--------------------
Topology Department
Institute of Math
Kiev, Ukraine

Re: [devel] repocop: obsolete attacks test

[REAL]

Igor Vlasenko пишет:
> Уважаемые коллеги, 
> новый тест репокопа. С добычей. :(
> 
> http://repocop.altlinux.org/pub/repocop/reports/txt/by-test/rpm-package-is-obsoleted.txt
> 
> предложен Игорем Зубковым.
> 
> Помогает отслеживать в репозитории забытый мусор
> (пакет залит с новым именем, а старый остался) 
> и тихие войны через Obsoletes:.

Это порождает мусор в отчётах, в случае, когда обсолет стоит на старый 
пакет, но выбросить из репозитория его некому, ибо мейнтейнер пропал 
чёрти когда.

-- 

REAL aka Евгений Ростовцев, программист ЦНИТ КемГУ

Re: [devel] repocop: obsolete attacks test

[Денис Смирнов]

[-- Attachment #1: Type: text/plain, Size: 478 bytes --]

On Wed, Oct 28, 2009 at 10:37:47AM +0700, REAL wrote:

R> Это порождает мусор в отчётах, в случае, когда обсолет стоит на старый 
R> пакет, но выбросить из репозитория его некому, ибо мейнтейнер пропал 
R> чёрти когда.

Если мантейнер пропал, и пакет на нем (а не на nobody) то надо поднимать
вопрос здесь, чтобы перевесить его на nobody.

-- 
С уважением, Денис

http://freesource.info
----------------------------------------------------------------------------

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] repocop: obsolete attacks test

[REAL]

Денис Смирнов пишет:
> Если мантейнер пропал, и пакет на нем (а не на nobody) то надо поднимать
> вопрос здесь, чтобы перевесить его на nobody.

Поднимаю, ибо в багзилле вообще никто в своё время не прореагировал:

https://bugzilla.altlinux.org/show_bug.cgi?id=19703

-- 

REAL aka Евгений Ростовцев, программист ЦНИТ КемГУ

Re: [devel] repocop: obsolete attacks test

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 405 bytes --]

On Wed, Oct 28, 2009 at 01:54:09PM +0700, REAL wrote:
> Денис Смирнов пишет:
> >Если мантейнер пропал, и пакет на нем (а 
> >не на nobody) то надо поднимать
> >вопрос здесь, чтобы перевесить его на 
> >nobody.
> 
> Поднимаю, ибо в багзилле вообще никто в 
> своё время не прореагировал:
> 
> https://bugzilla.altlinux.org/show_bug.cgi?id=19703

Reassigned, feel free to remove.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] repocop: obsolete attacks test

[Igor Vlasenko]

On Wed, Oct 28, 2009 at 01:54:09PM +0700, REAL wrote:
> Денис Смирнов пишет:
>> Если мантейнер пропал, и пакет на нем (а не на nobody) то надо поднимать
>> вопрос здесь, чтобы перевесить его на nobody.
>
> Поднимаю, ибо в багзилле вообще никто в своё время не прореагировал:
>
> https://bugzilla.altlinux.org/show_bug.cgi?id=19703

да, 4 года как человек пропал ...

Неплохо бы выявлять всех майнтайнеров,
кто больше года не обновляет свои пакеты,
и хотя бы раз в год далать перекличку,
будут ли они сопровождать дальше. 

Если не отзываются, то перевешивать на nobody@.

Кто у нас по acl главный? Станислав ?

-- 

Dr. Igor Vlasenko
--------------------
Topology Department
Institute of Math
Kiev, Ukraine

Re: [devel] repocop: obsolete attacks test

[Igor Vlasenko]

On Wed, Oct 28, 2009 at 10:37:47AM +0700, REAL wrote:
> Igor Vlasenko пишет:
>> Уважаемые коллеги, новый тест репокопа. С добычей. :(
>>
>> http://repocop.altlinux.org/pub/repocop/reports/txt/by-test/rpm-package-is-obsoleted.txt
>>
>> предложен Игорем Зубковым.
>>
>> Помогает отслеживать в репозитории забытый мусор
>> (пакет залит с новым именем, а старый остался) и тихие войны через 
>> Obsoletes:.
>
> Это порождает мусор в отчётах, в случае, когда обсолет стоит на старый  
> пакет, но выбросить из репозитория его некому, ибо мейнтейнер пропал  
> чёрти когда.

Хорошая тема, я ее вечером отдельным письмом затрону.

-- 

Dr. Igor Vlasenko
--------------------
Topology Department
Institute of Math
Kiev, Ukraine

Re: [devel] repocop: obsolete attacks test

[Slava Semushin]

27 октября 2009 г. 22:36 пользователь Igor Vlasenko
<vlasenko@imath.kiev.ua> написал:
[...]
> Помогает отслеживать в репозитории забытый мусор
> (пакет залит с новым именем, а старый остался)

Он уже работает на sisyphus.ru или ещё нет?


(20 сентября написал george@ о том, что он забыл удалить пакет crimson
после его переименования в crimson-fields, но письмо, видимо,
потерялось.. :( )


-- 
Slava Semushin

Re: [devel] repocop: obsolete attacks test

[Igor Vlasenko]

On Wed, Oct 28, 2009 at 12:39:07PM +0600, Slava Semushin wrote:
> 27 октября 2009 г. 22:36 пользователь Igor Vlasenko
> <vlasenko@imath.kiev.ua> написал:
> [...]
> > Помогает отслеживать в репозитории забытый мусор
> > (пакет залит с новым именем, а старый остался)
> 
> Он уже работает на sisyphus.ru или ещё нет?

К вечеру должно обновиться.

-- 

Dr. Igor Vlasenko
--------------------
Topology Department
Institute of Math
Kiev, Ukraine