* [devel] упаковка потенциально небезопасного ПО
@ 2018-12-21 10:38 Pavel Nakonechnyi
2018-12-21 11:30 ` Alexey V. Vissarionov
0 siblings, 1 reply; 4+ messages in thread
From: Pavel Nakonechnyi @ 2018-12-21 10:38 UTC (permalink / raw)
To: Devel
Здравствуйте,
Хотел спросить совета грамотных людей по поводу обозначенной темы.
По работе есть необходимость иметь в своем распоряжении (установленным
в системе) небезопасной версии OpenSSL. Эта же версия используется
инструментом, который сам по себе угроз не привносит.
Локально я проделал следующий ужас:
- собрал openssl скопипастив альтовский пакет старой версии 1.0.2i
- при этом все названия составных частей пакета, имена библиотек,
pkg-config файлы, директория заголовочных файлов переименованы с
добавлением "unsafe" префикса/суффикса.
- но установка такого пакета производится в соответствии с FHS (а не в
какой-нибудь /opt)
- инструмент, который упомянул выше, в свою очередь может использовать
как стандартную системную openssl, так и unsafe версию, если найдет.
во втором случае больше функционала становится доступным.
То есть я попытался достичь того, чтобы с этой unsafe библиотекой
случайно никто не слинковался.
Я переживу если такое нельзя включать в Сизиф, всё равно кроме меня
это никому наверняка не надо. Но хотелось бы получить рекомендации,
насколько такое в принципе разрешено для включения в репозиторий?
Спрашиваю с прицелом на дистрибутивы где к безопасности отношение
другое. :)
--
WBR, Pavel
^ permalink raw reply [flat|nested] 4+ messages in thread
* Re: [devel] упаковка потенциально небезопасного ПО
2018-12-21 10:38 [devel] упаковка потенциально небезопасного ПО Pavel Nakonechnyi
@ 2018-12-21 11:30 ` Alexey V. Vissarionov
2018-12-21 11:32 ` Alexey V. Vissarionov
2018-12-21 11:54 ` Pavel Nakonechnyi
0 siblings, 2 replies; 4+ messages in thread
From: Alexey V. Vissarionov @ 2018-12-21 11:30 UTC (permalink / raw)
To: ALT Linux Team development discussions
[-- Attachment #1: Type: text/plain, Size: 2068 bytes --]
On 2018-12-21 11:38:02 +0100, Pavel Nakonechnyi wrote:
> По работе есть необходимость иметь в своем распоряжении
> (установленным в системе) небезопасной версии OpenSSL.
Старой, что ли?
> Эта же версия используется инструментом, который сам по
> себе угроз не привносит.
А собрать со свежей - вообще никак?
> Локально я проделал следующий ужас: - собрал openssl скопипастив
> альтовский пакет старой версии 1.0.2i - при этом все названия
> составных частей пакета, имена библиотек, pkg-config файлы,
> директория заголовочных файлов переименованы с добавлением
> "unsafe" префикса/суффикса. - но установка такого пакета
> производится в соответствии с FHS (а не в какой-нибудь /opt)
В общем даже правильно.
> - инструмент, который упомянул выше, в свою очередь может
> использовать как стандартную системную openssl, так и unsafe
> версию, если найдет. во втором случае больше функционала
> становится доступным.
Что именно отваливается при сборке со свежей версией?
> То есть я попытался достичь того, чтобы с этой unsafe библиотекой
> случайно никто не слинковался.
Самый простой и надежный вариант - сделать ее статической: в этом
случае код из нее попадет только в пакеты, где будет явно указано
BuildRequires: openssl-old-devel-static
> Я переживу если такое нельзя включать в Сизиф, всё равно кроме
> меня это никому наверняка не надо.
Даже если и надо, в публичном репозитарии важно избегать зоопарка
версий.
> Но хотелось бы получить рекомендации, насколько такое в принципе
> разрешено для включения в репозиторий?
Создай свою собственную реау и пихай туда что угодно. Ну, то есть,
в полном соответствии с твоей же политикой :-)
man rpmsign
man genbasedir
> Спрашиваю с прицелом на дистрибутивы где к безопасности отношение
> другое. :)
В них не надо целиться - их надо бомбить. Неконвенционными спецБЧ.
--
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net
[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 801 bytes --]
^ permalink raw reply [flat|nested] 4+ messages in thread
* Re: [devel] упаковка потенциально небезопасного ПО
2018-12-21 11:30 ` Alexey V. Vissarionov
@ 2018-12-21 11:32 ` Alexey V. Vissarionov
2018-12-21 11:54 ` Pavel Nakonechnyi
1 sibling, 0 replies; 4+ messages in thread
From: Alexey V. Vissarionov @ 2018-12-21 11:32 UTC (permalink / raw)
To: ALT Linux Team development discussions
[-- Attachment #1: Type: text/plain, Size: 251 bytes --]
> Создай свою собственную реау и пихай туда что угодно.
^^^^
Репу, разумеется.
--
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net
[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 801 bytes --]
^ permalink raw reply [flat|nested] 4+ messages in thread
* Re: [devel] упаковка потенциально небезопасного ПО
2018-12-21 11:30 ` Alexey V. Vissarionov
2018-12-21 11:32 ` Alexey V. Vissarionov
@ 2018-12-21 11:54 ` Pavel Nakonechnyi
1 sibling, 0 replies; 4+ messages in thread
From: Pavel Nakonechnyi @ 2018-12-21 11:54 UTC (permalink / raw)
To: ALT Linux Team development discussions
пт, 21 дек. 2018 г. в 12:31, Alexey V. Vissarionov <gremlin@altlinux.org>:
>
> On 2018-12-21 11:38:02 +0100, Pavel Nakonechnyi wrote:
>
> > По работе есть необходимость иметь в своем распоряжении
> > (установленным в системе) небезопасной версии OpenSSL.
>
> Старой, что ли?
Старой, со включенной поддержкой SSLv2, небезопасных шифров и т.п.
> > Эта же версия используется инструментом, который сам по
> > себе угроз не привносит.
>
> А собрать со свежей - вообще никак?
ПО для тестирования, можно и с новой и старой собирать. Просто если
собрать с новой часть тестов (по поддержке устаревших протоколов)
отвалятся.
> > Локально я проделал следующий ужас: - собрал openssl скопипастив
> > альтовский пакет старой версии 1.0.2i - при этом все названия
> > составных частей пакета, имена библиотек, pkg-config файлы,
> > директория заголовочных файлов переименованы с добавлением
> > "unsafe" префикса/суффикса. - но установка такого пакета
> > производится в соответствии с FHS (а не в какой-нибудь /opt)
>
> В общем даже правильно.
>
> > - инструмент, который упомянул выше, в свою очередь может
> > использовать как стандартную системную openssl, так и unsafe
> > версию, если найдет. во втором случае больше функционала
> > становится доступным.
>
> Что именно отваливается при сборке со свежей версией?
Поддержка небезопасных протоколов и шифров. :)
> > То есть я попытался достичь того, чтобы с этой unsafe библиотекой
> > случайно никто не слинковался.
>
> Самый простой и надежный вариант - сделать ее статической: в этом
> случае код из нее попадет только в пакеты, где будет явно указано
> BuildRequires: openssl-old-devel-static
Хотелось бы попробовать без статической линковки обойтись, потому что
изначально хотел чтобы более прозрачно использовалась старая/новая
версии OpenSSL. Т.е. сейчас чтобы залинковаться с этой версией надо
написать нечто вроде BuildRequires: libunsafessl-devel
> > Я переживу если такое нельзя включать в Сизиф, всё равно кроме
> > меня это никому наверняка не надо.
>
> Даже если и надо, в публичном репозитарии важно избегать зоопарка
> версий.
В данном случае получается как-бы другая библиотека: имя/версия, но
частично пересекающаяся функциональность.
> > Но хотелось бы получить рекомендации, насколько такое в принципе
> > разрешено для включения в репозиторий?
>
> Создай свою собственную реау и пихай туда что угодно. Ну, то есть,
> в полном соответствии с твоей же политикой :-)
>
> man rpmsign
> man genbasedir
Ну это да, так сейчас и делаю.
> > Спрашиваю с прицелом на дистрибутивы где к безопасности отношение
> > другое. :)
>
> В них не надо целиться - их надо бомбить. Неконвенционными спецБЧ.
>
Да вот пользуются именно такими дистрибутивами. :)
^ permalink raw reply [flat|nested] 4+ messages in thread
end of thread, other threads:[~2018-12-21 11:54 UTC | newest]
Thread overview: 4+ messages (download: mbox.gz / follow: Atom feed)
-- links below jump to the message on this page --
2018-12-21 10:38 [devel] упаковка потенциально небезопасного ПО Pavel Nakonechnyi
2018-12-21 11:30 ` Alexey V. Vissarionov
2018-12-21 11:32 ` Alexey V. Vissarionov
2018-12-21 11:54 ` Pavel Nakonechnyi
ALT Linux Team development discussions
This inbox may be cloned and mirrored by anyone:
git clone --mirror http://lore.altlinux.org/devel/0 devel/git/0.git
# If you have public-inbox 1.1+ installed, you may
# initialize and index your mirror using the following commands:
public-inbox-init -V2 devel devel/ http://lore.altlinux.org/devel \
devel@altlinux.org devel@altlinux.ru devel@lists.altlinux.org devel@lists.altlinux.ru devel@linux.iplabs.ru mandrake-russian@linuxteam.iplabs.ru sisyphus@linuxteam.iplabs.ru
public-inbox-index devel
Example config snippet for mirrors.
Newsgroup available over NNTP:
nntp://lore.altlinux.org/org.altlinux.lists.devel
AGPL code for this site: git clone https://public-inbox.org/public-inbox.git