[devel] I: debuginfod.altlinux.org

[devel] I: debuginfod.altlinux.org

[Vitaly Chikunov]

Hi,

В _тестовом_ режиме запущен сервер debuginfod.altlinux.org позволяющий
(при наличии elfutils 0.182-alt2 и/или gdb 10.1) получать debuginfo
(DWARF и исходники) для отладки и получения читабельных stack traces без
инсталляции -debuginfo пакетов.

Как пользоваться:

  $ export DEBUGINFOD_URLS="http://debuginfod.altlinux.org/"

Затем, можно пользоваться gdb или утилитами elfutils,
например "eu-stack -v -p <pid>".

Информация про debuginfod:

  https://sourceware.org/elfutils/Debuginfod.html

Re: [devel] I: debuginfod.altlinux.org

[Vladimir D. Seleznev]

On Fri, Nov 27, 2020 at 01:11:20PM +0300, Vitaly Chikunov wrote:
> Hi,
> 
> В _тестовом_ режиме запущен сервер debuginfod.altlinux.org позволяющий
> (при наличии elfutils 0.182-alt2 и/или gdb 10.1) получать debuginfo
> (DWARF и исходники) для отладки и получения читабельных stack traces без
> инсталляции -debuginfo пакетов.
> 
> Как пользоваться:
> 
>   $ export DEBUGINFOD_URLS="http://debuginfod.altlinux.org/"
> 
> Затем, можно пользоваться gdb или утилитами elfutils,
> например "eu-stack -v -p <pid>".
> 
> Информация про debuginfod:
> 
>   https://sourceware.org/elfutils/Debuginfod.html

Он проходится по всех debuginfo-пакетам, находящихся в архиве, или
только по опубликованным в release/latest? Другими словами, если в
репозитории собрана более свежая версия пакета, чем установлена в
системе, получит ли gdb debuginfo от той более ранней версии?

И ещё вопрос: есть ли какая-то защита от MITM?

-- 
   WBR,
   Vladimir D. Seleznev

Re: [devel] I: debuginfod.altlinux.org

[Vitaly Chikunov]

On Fri, Nov 27, 2020 at 01:23:11PM +0300, Vladimir D. Seleznev wrote:
> On Fri, Nov 27, 2020 at 01:11:20PM +0300, Vitaly Chikunov wrote:
> > Hi,
> > 
> > В _тестовом_ режиме запущен сервер debuginfod.altlinux.org позволяющий
> > (при наличии elfutils 0.182-alt2 и/или gdb 10.1) получать debuginfo
> > (DWARF и исходники) для отладки и получения читабельных stack traces без
> > инсталляции -debuginfo пакетов.
> > 
> > Как пользоваться:
> > 
> >   $ export DEBUGINFOD_URLS="http://debuginfod.altlinux.org/"
> > 
> > Затем, можно пользоваться gdb или утилитами elfutils,
> > например "eu-stack -v -p <pid>".
> > 
> > Информация про debuginfod:
> > 
> >   https://sourceware.org/elfutils/Debuginfod.html
> 
> Он проходится по всех debuginfo-пакетам, находящихся в архиве, или
> только по опубликованным в release/latest? Другими словами, если в
> репозитории собрана более свежая версия пакета, чем установлена в
> системе, получит ли gdb debuginfo от той более ранней версии?

По всем!

> 
> И ещё вопрос: есть ли какая-то защита от MITM?
> 
> -- 
>    WBR,
>    Vladimir D. Seleznev
> _______________________________________________
> Devel mailing list
> Devel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel

Re: [devel] I: debuginfod.altlinux.org

[Anton Farygin]

On 27.11.2020 13:11, Vitaly Chikunov wrote:
> Hi,
>
> В _тестовом_ режиме запущен сервер debuginfod.altlinux.org позволяющий
> (при наличии elfutils 0.182-alt2 и/или gdb 10.1) получать debuginfo
> (DWARF и исходники) для отладки и получения читабельных stack traces без
> инсталляции -debuginfo пакетов.
>
> Как пользоваться:
>
>    $ export DEBUGINFOD_URLS="http://debuginfod.altlinux.org/"
>
Класс! На него как-то загружаются пакеты ?


Пакеты из бранчей есть ?

Re: [devel] I: debuginfod.altlinux.org

[Vitaly Chikunov]

On Fri, Nov 27, 2020 at 01:29:01PM +0300, Anton Farygin wrote:
> 
> 
> On 27.11.2020 13:11, Vitaly Chikunov wrote:
> > Hi,
> > 
> > В _тестовом_ режиме запущен сервер debuginfod.altlinux.org позволяющий
> > (при наличии elfutils 0.182-alt2 и/или gdb 10.1) получать debuginfo
> > (DWARF и исходники) для отладки и получения читабельных stack traces без
> > инсталляции -debuginfo пакетов.
> > 
> > Как пользоваться:
> > 
> >    $ export DEBUGINFOD_URLS="http://debuginfod.altlinux.org/"
> > 
> Класс! На него как-то загружаются пакеты ?

Он периодически сканирует архив.

> Пакеты из бранчей есть ?

Есть.

> 
> _______________________________________________
> Devel mailing list
> Devel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel

Re: [devel] I: debuginfod.altlinux.org for KDE

[Anton Farygin]

On 27.11.2020 13:30, Vitaly Chikunov wrote:
> On Fri, Nov 27, 2020 at 01:29:01PM +0300, Anton Farygin wrote:
>>
>> On 27.11.2020 13:11, Vitaly Chikunov wrote:
>>> Hi,
>>>
>>> В _тестовом_ режиме запущен сервер debuginfod.altlinux.org позволяющий
>>> (при наличии elfutils 0.182-alt2 и/или gdb 10.1) получать debuginfo
>>> (DWARF и исходники) для отладки и получения читабельных stack traces без
>>> инсталляции -debuginfo пакетов.
>>>
>>> Как пользоваться:
>>>
>>>     $ export DEBUGINFOD_URLS="http://debuginfod.altlinux.org/"
>>>
>> Класс! На него как-то загружаются пакеты ?
> Он периодически сканирует архив.
>
>> Пакеты из бранчей есть ?
> Есть.

Спасибо! Очень нужный сервис.

@zerg: можно прикрутить к KDE5 ?

Re: [devel] I: debuginfod.altlinux.org for KDE

[Sergey V Turchin]

On Friday, 27 November 2020 13:34:26 MSK Anton Farygin wrote:
> On 27.11.2020 13:30, Vitaly Chikunov wrote:
> > On Fri, Nov 27, 2020 at 01:29:01PM +0300, Anton Farygin wrote:
> >> On 27.11.2020 13:11, Vitaly Chikunov wrote:
> >>> Hi,
> >>> 
> >>> В _тестовом_ режиме запущен сервер debuginfod.altlinux.org позволяющий
> >>> (при наличии elfutils 0.182-alt2 и/или gdb 10.1) получать debuginfo
> >>> (DWARF и исходники) для отладки и получения читабельных stack traces без
> >>> инсталляции -debuginfo пакетов.
> >>> 
> >>> Как пользоваться:
> >>>     $ export DEBUGINFOD_URLS="http://debuginfod.altlinux.org/"
> >> 
> >> Класс! На него как-то загружаются пакеты ?
> > 
> > Он периодически сканирует архив.
> > 
> >> Пакеты из бранчей есть ?
> > 
> > Есть.
> 
> Спасибо! Очень нужный сервис.
> 
> @zerg: можно прикрутить к KDE5 ?
Думаю, да.

-- 
Regards, Sergey.

Re: [devel] I: debuginfod.altlinux.org

[Vitaly Chikunov]

On Fri, Nov 27, 2020 at 01:23:11PM +0300, Vladimir D. Seleznev wrote:
> 
> И ещё вопрос: есть ли какая-то защита от MITM?

Сейчас можно сделать:

  export DEBUGINFOD_URLS="https://debuginfod.altlinux.org/"

Потом http:// для debuginfod API будет отключен, а со странички с
информацией будет редирект на https.

Re: [devel] I: debuginfod.altlinux.org for KDE

[Anton Farygin]

On 27.11.2020 13:50, Sergey V Turchin wrote:
> On Friday, 27 November 2020 13:34:26 MSK Anton Farygin wrote:
>> On 27.11.2020 13:30, Vitaly Chikunov wrote:
>>> On Fri, Nov 27, 2020 at 01:29:01PM +0300, Anton Farygin wrote:
>>>> On 27.11.2020 13:11, Vitaly Chikunov wrote:
>>>>> Hi,
>>>>>
>>>>> В _тестовом_ режиме запущен сервер debuginfod.altlinux.org позволяющий
>>>>> (при наличии elfutils 0.182-alt2 и/или gdb 10.1) получать debuginfo
>>>>> (DWARF и исходники) для отладки и получения читабельных stack traces без
>>>>> инсталляции -debuginfo пакетов.
>>>>>
>>>>> Как пользоваться:
>>>>>      $ export DEBUGINFOD_URLS="http://debuginfod.altlinux.org/"
>>>> Класс! На него как-то загружаются пакеты ?
>>> Он периодически сканирует архив.
>>>
>>>> Пакеты из бранчей есть ?
>>> Есть.
>> Спасибо! Очень нужный сервис.
>>
>> @zerg: можно прикрутить к KDE5 ?
> Думаю, да.
>
Вообще отлично будет, если вы это сделаете по умолчанию для обработки 
падений.

Re: [devel] I: debuginfod.altlinux.org

[Alexey V. Vissarionov]

On 2020-11-27 18:44:38 +0300, Vitaly Chikunov wrote:

 >> И ещё вопрос: есть ли какая-то защита от MITM?
 > Сейчас можно сделать:
 > export DEBUGINFOD_URLS="https://debuginfod.altlinux.org/"
 > Потом http:// для debuginfod API будет отключен, а со
 > странички с информацией будет редирект на https.

Может, лучше подписи пакетов проверять? Один раз запускаем
rpmsign, а потом спокойно раздаем хоть по HTTP, хоть по FTP,
хоть вообще на забор вывешиваем...

Ибо MitM для HTTPS реален (хотя и не общедоступен) вот уже
не первый десяток лет...


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] I: debuginfod.altlinux.org

[Vitaly Chikunov]

On Fri, Nov 27, 2020 at 07:10:41PM +0300, Alexey V. Vissarionov wrote:
> On 2020-11-27 18:44:38 +0300, Vitaly Chikunov wrote:
> 
>  >> И ещё вопрос: есть ли какая-то защита от MITM?
>  > Сейчас можно сделать:
>  > export DEBUGINFOD_URLS="https://debuginfod.altlinux.org/"
>  > Потом http:// для debuginfod API будет отключен, а со
>  > странички с информацией будет редирект на https.
> 
> Может, лучше подписи пакетов проверять? Один раз запускаем
> rpmsign, а потом спокойно раздаем хоть по HTTP, хоть по FTP,
> хоть вообще на забор вывешиваем...
> 
> Ибо MitM для HTTPS реален (хотя и не общедоступен) вот уже
> не первый десяток лет...

В debuginfod протоколе приезжает не весь RPM пакет, а только .debug
бинарник соответствующий build-id стрипнутого бинарника.

Re: [devel] I: debuginfod.altlinux.org

[Alexey V. Vissarionov]

On 2020-11-27 19:57:58 +0300, Vitaly Chikunov wrote:

 >>>> И ещё вопрос: есть ли какая-то защита от MITM?
 >>> Сейчас можно сделать:
 >>> export DEBUGINFOD_URLS="https://debuginfod.altlinux.org/"
 >>> Потом http:// для debuginfod API будет отключен, а со
 >>> странички с информацией будет редирект на https.
 >> Может, лучше подписи пакетов проверять? Один раз запускаем
 >> rpmsign, а потом спокойно раздаем хоть по HTTP, хоть по FTP,
 >> хоть вообще на забор вывешиваем...
 >> Ибо MitM для HTTPS реален (хотя и не общедоступен) вот уже
 >> не первый десяток лет...
 > В debuginfod протоколе приезжает не весь RPM пакет, а только
 > .debug бинарник соответствующий build-id стрипнутого бинарника.

А они где-то заранее сгенерированы или всякий раз выдергиваются
из debuginfo-пакетов?

В первом случае их опять же можно подписать (gpg --detach-sign)
и скачивать оба файла (.debug и .debug.gpg), а во втором, думаю,
надо менять концепцию и генерировать эти файлы заранее - заодно
появится возможность их зеркалить и использовать локальную копию
(а то и anycast). Иначе, боюсь, никаких ресурсов не хватит.


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] I: debuginfod.altlinux.org

[Vitaly Chikunov]

On Fri, Nov 27, 2020 at 08:31:28PM +0300, Alexey V. Vissarionov wrote:
> On 2020-11-27 19:57:58 +0300, Vitaly Chikunov wrote:
> 
>  >>>> И ещё вопрос: есть ли какая-то защита от MITM?
>  >>> Сейчас можно сделать:
>  >>> export DEBUGINFOD_URLS="https://debuginfod.altlinux.org/"
>  >>> Потом http:// для debuginfod API будет отключен, а со
>  >>> странички с информацией будет редирект на https.
>  >> Может, лучше подписи пакетов проверять? Один раз запускаем
>  >> rpmsign, а потом спокойно раздаем хоть по HTTP, хоть по FTP,
>  >> хоть вообще на забор вывешиваем...
>  >> Ибо MitM для HTTPS реален (хотя и не общедоступен) вот уже
>  >> не первый десяток лет...
>  > В debuginfod протоколе приезжает не весь RPM пакет, а только
>  > .debug бинарник соответствующий build-id стрипнутого бинарника.
> 
> А они где-то заранее сгенерированы или всякий раз выдергиваются
> из debuginfo-пакетов?

Всякий раз. Архив занимает многие терабайты места. Уже скачанный бинарик
не перескачивается, а лежит в ~/.cache/debuginfod_client/.

> 
> В первом случае их опять же можно подписать (gpg --detach-sign)
> и скачивать оба файла (.debug и .debug.gpg), а во втором, думаю,
> надо менять концепцию и генерировать эти файлы заранее - заодно
> появится возможность их зеркалить и использовать локальную копию
> (а то и anycast). Иначе, боюсь, никаких ресурсов не хватит.

По изменению протокола, видимо, нужно писать в Редхат.

> 
> 
> -- 
> Alexey V. Vissarionov
> gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
> GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net
> _______________________________________________
> Devel mailing list
> Devel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel

Re: [devel] I: debuginfod.altlinux.org

[Alexey V. Vissarionov]

On 2020-11-29 12:51:17 +0300, Vitaly Chikunov wrote:

 >>>>>> И ещё вопрос: есть ли какая-то защита от MITM?
 >>>>> Сейчас можно сделать:
 >>>>> export DEBUGINFOD_URLS="https://debuginfod.altlinux.org/"
 >>>>> Потом http:// для debuginfod API будет отключен, а со
 >>>>> странички с информацией будет редирект на https.
 >>>> Может, лучше подписи пакетов проверять? Один раз запускаем
 >>>> rpmsign, а потом спокойно раздаем хоть по HTTP, хоть по FTP,
 >>>> хоть вообще на забор вывешиваем...
 >>> В debuginfod протоколе приезжает не весь RPM пакет, а только
 >>> .debug бинарник соответствующий build-id стрипнутого бинарника.
 >> А они где-то заранее сгенерированы или всякий раз выдергиваются
 >> из debuginfo-пакетов?
 > Всякий раз. Архив занимает многие терабайты места.

Многие - это сколько?

 > Уже скачанный бинарик не перескачивается, а лежит в
 > ~/.cache/debuginfod_client/.

Хорошо бы в каком-нибудь мануале порекомендовать готовую строчку
для crontab наподобие

1 1 * * *  find ~/.cache/debuginfod_client -type f -atime +30 -delete

 >> В первом случае их опять же можно подписать (gpg --detach-sign)
 >> и скачивать оба файла (.debug и .debug.gpg), а во втором, думаю,
 >> надо менять концепцию и генерировать эти файлы заранее -
 >> заодно появится возможность их зеркалить и использовать локальную
 >> копию (а то и anycast). Иначе, боюсь, никаких ресурсов не хватит.
 > По изменению протокола, видимо, нужно писать в Редхат.

Если уж менять протокол - то предусмотреть выдергивание пакетов из
локальной репы (зеркала). Хотя насчет "никаких ресурсов не хватит"
я, возможно, был излишне пессимистичен: что debuginfo-пакеты, что
куски их содержимого бывают нужны пренебрежимо редко, и даже одного
сервера для них может быть вполне достаточно.

Но подпись файла заведомо лучше любой защиты канала.


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] I: debuginfod.altlinux.org

[Vitaly Chikunov]

On Mon, Nov 30, 2020 at 07:45:09AM +0300, Alexey V. Vissarionov wrote:
> On 2020-11-29 12:51:17 +0300, Vitaly Chikunov wrote:
>  >>>> Может, лучше подписи пакетов проверять? Один раз запускаем
>  >>>> rpmsign, а потом спокойно раздаем хоть по HTTP, хоть по FTP,
>  >>>> хоть вообще на забор вывешиваем...
>  >>> В debuginfod протоколе приезжает не весь RPM пакет, а только
>  >>> .debug бинарник соответствующий build-id стрипнутого бинарника.
>  >> А они где-то заранее сгенерированы или всякий раз выдергиваются
>  >> из debuginfo-пакетов?
>  > Всякий раз. Архив занимает многие терабайты места.
> 
> Многие - это сколько?

Минимум 16.

> 
>  > Уже скачанный бинарик не перескачивается, а лежит в
>  > ~/.cache/debuginfod_client/.
> 
> Хорошо бы

elfutils-devel@sourceware.org

Re: [devel] I: debuginfod.altlinux.org

[Alexey V. Vissarionov]

On 2020-11-30 08:25:35 +0300, Vitaly Chikunov wrote:

 >>>>>> Может, лучше подписи пакетов проверять?
 >>>>> В debuginfod протоколе приезжает не весь RPM пакет, а только
 >>>>> .debug бинарник соответствующий build-id стрипнутого бинарника.
 >>>> А они где-то заранее сгенерированы или всякий раз
 >>>> выдергиваются из debuginfo-пакетов?
 >>> Всякий раз. Архив занимает многие терабайты места.
 >> Многие - это сколько?
 > Минимум 16.

Не так уж и много. RAID-5 из четырех дисков по 8 Тб хватит с запасом.

 >>> Уже скачанный бинарик не перескачивается, а лежит в
 >>> ~/.cache/debuginfod_client/.
 >> Хорошо бы
 > elfutils-devel@sourceware.org

Ну, все же не до такой степени :-)


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] I: debuginfod.altlinux.org

[Vitaly Chikunov]

On Mon, Nov 30, 2020 at 07:45:09AM +0300, Alexey V. Vissarionov wrote:
> 
> Если уж менять протокол - то предусмотреть выдергивание пакетов из
> локальной репы (зеркала). Хотя насчет "никаких ресурсов не хватит"
> я, возможно, был излишне пессимистичен: что debuginfo-пакеты, что
> куски их содержимого бывают нужны пренебрежимо редко, и даже одного
> сервера для них может быть вполне достаточно.

Я смотрел статистику запросов по известным debuginfod серверам (на сайте
elfutils он есть[0]) неделю назад.

- К сожалению, основной агрегатор - debuginfod.elfutils.org перезапустили
 и статистика обнулилась (сейчас там сказано, что было 6150 debuginfo
 запросов - можно будет сравнить через неделю).

- На debuginfod.opensuse.org 24 ноября было 10555 запросов к debuginfo, а
 сейчас (почти через неделю) 22292. То есть, у openSUSE примерно по 10000
 запросов в неделю (а там один лишь Tumbleweed).

> 
> Но подпись файла заведомо лучше любой защиты канала.

ps. Кстати, если бы мы поддерживали IMA подписи в rpm, то было бы
логично их добавлять в http хедерах к отдаваемым файлам и легко можно
было бы их проверить на клиенте. По-моему эти подписи сейчас никто (ни
один дистрибутив) не генерирует, хотя поддержка в rpm есть.

[0] https://sourceware.org/elfutils/Debuginfod.html

Re: [devel] I: debuginfod.altlinux.org

[Alexey V. Vissarionov]

On 2020-11-30 09:07:02 +0300, Vitaly Chikunov wrote:
 >> Хотя насчет "никаких ресурсов не хватит" я, возможно, был
 >> излишне пессимистичен: что debuginfo-пакеты, что куски их
 >> содержимого бывают нужны пренебрежимо редко, и даже одного
 >> сервера для них может быть вполне достаточно.
 > Я смотрел статистику запросов по известным debuginfod серверам
 > (на сайте elfutils он есть[0]) неделю назад.
 > - К сожалению, основной агрегатор - debuginfod.elfutils.org
 > перезапустили и статистика обнулилась (сейчас там сказано,
 > что было 6150 debuginfo запросов - можно будет сравнить через
 > неделю).
 > - На debuginfod.opensuse.org 24 ноября было 10555 запросов к
 > debuginfo, а сейчас (почти через неделю) 22292. То есть, у
 > openSUSE примерно по 10000 запросов в неделю (а там один лишь
 > Tumbleweed).

В первом приближении - один запрос в минуту (в неделе 10080 минут).

Это вообще ни о чем: дернули пакет, неспешно распотрошили, отдали
файлы (еще и подписать можно успеть), и после всего этого осталось
время поспать до следующего запроса.

 >> Но подпись файла заведомо лучше любой защиты канала.
 > ps. Кстати, если бы мы поддерживали IMA подписи в rpm, то было
 > бы логично их добавлять в http хедерах к отдаваемым файлам и
 > легко можно было бы их проверить на клиенте. По-моему эти
 > подписи сейчас никто (ни один дистрибутив) не генерирует,
 > хотя поддержка в rpm есть.

Мысль интересная. Надо бы ее подумать.


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] I: debuginfod.altlinux.org

[Denis Medvedev]

On 11/30/20 9:41 AM, Alexey V. Vissarionov wrote:
> On 2020-11-30 09:07:02 +0300, Vitaly Chikunov wrote:
>   >> Хотя насчет "никаких ресурсов не хватит" я, возможно, был
>   >> излишне пессимистичен: что debuginfo-пакеты, что куски их
>   >> содержимого бывают нужны пренебрежимо редко, и даже одного
>   >> сервера для них может быть вполне достаточно.
>   > Я смотрел статистику запросов по известным debuginfod серверам
>   > (на сайте elfutils он есть[0]) неделю назад.
>   > - К сожалению, основной агрегатор - debuginfod.elfutils.org
>   > перезапустили и статистика обнулилась (сейчас там сказано,
>   > что было 6150 debuginfo запросов - можно будет сравнить через
>   > неделю).
>   > - На debuginfod.opensuse.org 24 ноября было 10555 запросов к
>   > debuginfo, а сейчас (почти через неделю) 22292. То есть, у
>   > openSUSE примерно по 10000 запросов в неделю (а там один лишь
>   > Tumbleweed).
>
> В первом приближении - один запрос в минуту (в неделе 10080 минут).
>
> Это вообще ни о чем: дернули пакет, неспешно распотрошили, отдали
> файлы (еще и подписать можно успеть), и после всего этого осталось
> время поспать до следующего запроса.
>
>   >> Но подпись файла заведомо лучше любой защиты канала.
>   > ps. Кстати, если бы мы поддерживали IMA подписи в rpm, то было
>   > бы логично их добавлять в http хедерах к отдаваемым файлам и
>   > легко можно было бы их проверить на клиенте. По-моему эти
>   > подписи сейчас никто (ни один дистрибутив) не генерирует,
>   > хотя поддержка в rpm есть.
>
> Мысль интересная. Надо бы ее подумать.
>
>
В BigSur уже подумали... вой раздался на весь мир...

Думайте не только о подписывании, но и о распределении ключей

и отзыве ключей тоже. И о denial of service от отсутствия возможности 
проверки подписей.

Re: [devel] I: debuginfod.altlinux.org for KDE

[Sergey V Turchin]

On Friday, 27 November 2020 19:05:11 MSK Anton Farygin wrote:

[...]
> >> Спасибо! Очень нужный сервис.
> >> 
> >> @zerg: можно прикрутить к KDE5 ?
> > 
> > Думаю, да.
> 
> Вообще отлично будет, если вы это сделаете по умолчанию для обработки
> падений.
Не уверен, что скачивание нескольких гигов будет хорошо по умолчанию. Надо 
будет посмотреть.

-- 
Regards, Sergey.

Re: [devel] I: debuginfod.altlinux.org for KDE

[Andrey Savchenko]

[-- Attachment #1: Type: text/plain, Size: 2101 bytes --]

On Fri, 27 Nov 2020 19:05:11 +0300 Anton Farygin wrote:
> On 27.11.2020 13:50, Sergey V Turchin wrote:
> > On Friday, 27 November 2020 13:34:26 MSK Anton Farygin wrote:
> >> On 27.11.2020 13:30, Vitaly Chikunov wrote:
> >>> On Fri, Nov 27, 2020 at 01:29:01PM +0300, Anton Farygin wrote:
> >>>> On 27.11.2020 13:11, Vitaly Chikunov wrote:
> >>>>> Hi,
> >>>>>
> >>>>> В _тестовом_ режиме запущен сервер debuginfod.altlinux.org позволяющий
> >>>>> (при наличии elfutils 0.182-alt2 и/или gdb 10.1) получать debuginfo
> >>>>> (DWARF и исходники) для отладки и получения читабельных stack traces без
> >>>>> инсталляции -debuginfo пакетов.
> >>>>>
> >>>>> Как пользоваться:
> >>>>>      $ export DEBUGINFOD_URLS="http://debuginfod.altlinux.org/"
> >>>> Класс! На него как-то загружаются пакеты ?
> >>> Он периодически сканирует архив.
> >>>
> >>>> Пакеты из бранчей есть ?
> >>> Есть.
> >> Спасибо! Очень нужный сервис.
> >>
> >> @zerg: можно прикрутить к KDE5 ?
> > Думаю, да.
> >
> Вообще отлично будет, если вы это сделаете по умолчанию для обработки 
> падений.

Т.е. чтоб сегфолтнулось, а потом не пойми что в инет лезло?
Нет спасибо, из коробки такое не нужно. Это прямая угроза
безопасности и конфиденциальности. Особенно с точки зрения админа
системы, а не разработчика такого решения.

Сам факт автоматического скачивания debuginfo после падения можно
использовать для получения информации об успешности атаки.

Best regards,
Andrew Savchenko

[-- Attachment #2: Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] I: debuginfod.altlinux.org for KDE

[Sergey V Turchin]

On Friday, 27 November 2020 19:05:11 MSK Anton Farygin wrote:

[...]
> >> @zerg: можно прикрутить к KDE5 ?
> > 
> > Думаю, да.
> 
> Вообще отлично будет, если вы это сделаете по умолчанию для обработки
> падений.
Пока не скачает, никакой обработки не начнёт.
В общем, `apt-get install kde5-kwrite` предлагает скачать 776MB (для всех 
пользователей), а с debuginfod я остановил запуск `gdb kwrite` после 2GB 
скачанного (в ~/.cache/debuginfod_client).

-- 
Regards, Sergey.

Re: [devel] I: debuginfod.altlinux.org for KDE

[Sergey V Turchin]

On Tuesday, 1 December 2020 13:50:33 MSK Sergey V wrote:
> On Friday, 27 November 2020 19:05:11 MSK Anton Farygin wrote:
> 
> [...]
> 
> > >> @zerg: можно прикрутить к KDE5 ?
> > > 
> > > Думаю, да.
> > 
> > Вообще отлично будет, если вы это сделаете по умолчанию для обработки
> > падений.
> 
> Пока не скачает, никакой обработки не начнёт.
> В общем, `apt-get install kde5-kwrite` предлагает скачать 776MB
`apt-get install kde5-kwrite-debuginfo` имелся ввиду.

-- 
Regards, Sergey.

Re: [devel] I: debuginfod.altlinux.org for KDE

[Dmitry V. Levin]

On Tue, Dec 01, 2020 at 01:58:08PM +0300, Sergey V Turchin wrote:
> On Tuesday, 1 December 2020 13:50:33 MSK Sergey V wrote:
> > On Friday, 27 November 2020 19:05:11 MSK Anton Farygin wrote:
> > 
> > [...]
> > 
> > > >> @zerg: можно прикрутить к KDE5 ?
> > > > 
> > > > Думаю, да.
> > > 
> > > Вообще отлично будет, если вы это сделаете по умолчанию для обработки
> > > падений.
> > 
> > Пока не скачает, никакой обработки не начнёт.
> > В общем, `apt-get install kde5-kwrite` предлагает скачать 776MB
> `apt-get install kde5-kwrite-debuginfo` имелся ввиду.

Пакеты небось сильно пожатые, а в ~/.cache/debuginfod_client уже распакованное.


-- 
ldv

Re: [devel] I: debuginfod.altlinux.org for KDE

[Sergey V Turchin]

On Tuesday, 1 December 2020 14:06:52 MSK Dmitry V wrote:
> On Tue, Dec 01, 2020 at 01:58:08PM +0300, Sergey V Turchin wrote:
> > On Tuesday, 1 December 2020 13:50:33 MSK Sergey V wrote:
> > > On Friday, 27 November 2020 19:05:11 MSK Anton Farygin wrote:
> > > 
> > > [...]
> > > 
> > > > >> @zerg: можно прикрутить к KDE5 ?
> > > > > 
> > > > > Думаю, да.
> > > > 
> > > > Вообще отлично будет, если вы это сделаете по умолчанию для обработки
> > > > падений.
> > > 
> > > Пока не скачает, никакой обработки не начнёт.
> > > В общем, `apt-get install kde5-kwrite` предлагает скачать 776MB
> > 
> > `apt-get install kde5-kwrite-debuginfo` имелся ввиду.
> 
> Пакеты небось сильно пожатые, а в ~/.cache/debuginfod_client уже
> распакованное.
Само собой. Я к тому, что автоматом ещё и больше выкачивать. Проще 
packageinstall прикрутить к KDE для установки debuginfo и без автоскачивания.

-- 
Regards, Sergey.

Re: [devel] I: debuginfod.altlinux.org for KDE

[Vitaly Chikunov]

On Tue, Dec 01, 2020 at 02:33:18PM +0300, Sergey V Turchin wrote:
> On Tuesday, 1 December 2020 14:06:52 MSK Dmitry V wrote:
> > On Tue, Dec 01, 2020 at 01:58:08PM +0300, Sergey V Turchin wrote:
> > > On Tuesday, 1 December 2020 13:50:33 MSK Sergey V wrote:
> > > > On Friday, 27 November 2020 19:05:11 MSK Anton Farygin wrote:
> > > > 
> > > > [...]
> > > > 
> > > > > >> @zerg: можно прикрутить к KDE5 ?
> > > > > > 
> > > > > > Думаю, да.
> > > > > 
> > > > > Вообще отлично будет, если вы это сделаете по умолчанию для обработки
> > > > > падений.
> > > > 
> > > > Пока не скачает, никакой обработки не начнёт.
> > > > В общем, `apt-get install kde5-kwrite` предлагает скачать 776MB
> > > 
> > > `apt-get install kde5-kwrite-debuginfo` имелся ввиду.
> > 
> > Пакеты небось сильно пожатые, а в ~/.cache/debuginfod_client уже
> > распакованное.

1. Это натолкнуло меня на мысль попробовать добавить сжатие при http трансфере
с debuginfod. Скачивание идет через libcurl, а она должна смочь разжать.
 Но 776MB всё равно много.

2. Stack trace можно заресолвить в нормальный постфактум, если есть
build-id. Так например eu-stack -b умеет их показывать, например:

  # eu-stack -b -p 1
  PID 1 - process
  TID 1:
  #0  0x00007ffa8d4c2886 epoll_wait
      [c017df57d6194b6479cef409cba575bbaa537c94]@0x7ffa8d3c5000+0xfd886
  #1  0x00007ffa8d1d3379 sd_event_wait
      [35710ca6821e09d93b4727adff7c12097f72095d]@0x7ffa8d149000+0x8a378

Такая технология называется retrace. В будущем можно будет попробовать
её тоже сделать. Юзер копипастит stack trace с build-id на сайт (или
разраб копипастит то, что ему прислал юзер), а на выходе читаемый bt
с addr2line каждой строке.

Кстати, жаль, что они не сделали в debuginfod протоколе просто addr2line.

> Само собой. Я к тому, что автоматом ещё и больше выкачивать. Проще 
> packageinstall прикрутить к KDE для установки debuginfo и без автоскачивания.
> 
> -- 
> Regards, Sergey.
> _______________________________________________
> Devel mailing list
> Devel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel

Re: [devel] I: debuginfod.altlinux.org for KDE

[Vitaly Chikunov]

On Tue, Dec 01, 2020 at 01:40:34PM +0300, Andrey Savchenko wrote:
> On Fri, 27 Nov 2020 19:05:11 +0300 Anton Farygin wrote:
> > On 27.11.2020 13:50, Sergey V Turchin wrote:
> > > On Friday, 27 November 2020 13:34:26 MSK Anton Farygin wrote:
> > >> On 27.11.2020 13:30, Vitaly Chikunov wrote:
> > >>> On Fri, Nov 27, 2020 at 01:29:01PM +0300, Anton Farygin wrote:
> > >>>> On 27.11.2020 13:11, Vitaly Chikunov wrote:
> > >>>>> Hi,
> > >>>>>
> > >>>>> В _тестовом_ режиме запущен сервер debuginfod.altlinux.org позволяющий
> > >>>>> (при наличии elfutils 0.182-alt2 и/или gdb 10.1) получать debuginfo
> > >>>>> (DWARF и исходники) для отладки и получения читабельных stack traces без
> > >>>>> инсталляции -debuginfo пакетов.
> > >>>>>
> > >>>>> Как пользоваться:
> > >>>>>      $ export DEBUGINFOD_URLS="http://debuginfod.altlinux.org/"
> > >>>> Класс! На него как-то загружаются пакеты ?
> > >>> Он периодически сканирует архив.
> > >>>
> > >>>> Пакеты из бранчей есть ?
> > >>> Есть.
> > >> Спасибо! Очень нужный сервис.
> > >>
> > >> @zerg: можно прикрутить к KDE5 ?
> > > Думаю, да.
> > >
> > Вообще отлично будет, если вы это сделаете по умолчанию для обработки 
> > падений.
> 
> Т.е. чтоб сегфолтнулось, а потом не пойми что в инет лезло?
> Нет спасибо, из коробки такое не нужно. Это прямая угроза
> безопасности и конфиденциальности. Особенно с точки зрения админа
> системы, а не разработчика такого решения.

При этом, подобные сервисы работают, например, у Федоры по ~60000
автоматических багрепортов в сутки:

  Статистика:
  https://retrace.fedoraproject.org/faf/summary/
  https://retrace.fedoraproject.org/faf/stats/today/

  Репорты:
  https://retrace.fedoraproject.org/faf/reports/

> 
> Сам факт автоматического скачивания debuginfo после падения можно
> использовать для получения информации об успешности атаки.
> 
> Best regards,
> Andrew Savchenko



> _______________________________________________
> Devel mailing list
> Devel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel

Re: [devel] I: debuginfod.altlinux.org for KDE

[Sergey V Turchin]

On Tuesday, 1 December 2020 15:11:46 MSK Vitaly Chikunov wrote:

[...]
> Юзер копипастит stack trace с build-id на сайт (или
> разраб копипастит то, что ему прислал юзер), а на выходе читаемый bt
> с addr2line каждой строке.
О, это прикольно!

[...]

-- 
Regards, Sergey.

Re: [devel] I: debuginfod.altlinux.org for KDE

[Andrey Savchenko]

[-- Attachment #1: Type: text/plain, Size: 2685 bytes --]

On Tue, 1 Dec 2020 15:16:45 +0300 Vitaly Chikunov wrote:
> On Tue, Dec 01, 2020 at 01:40:34PM +0300, Andrey Savchenko wrote:
> > On Fri, 27 Nov 2020 19:05:11 +0300 Anton Farygin wrote:
> > > On 27.11.2020 13:50, Sergey V Turchin wrote:
> > > > On Friday, 27 November 2020 13:34:26 MSK Anton Farygin wrote:
> > > >> On 27.11.2020 13:30, Vitaly Chikunov wrote:
> > > >>> On Fri, Nov 27, 2020 at 01:29:01PM +0300, Anton Farygin wrote:
> > > >>>> On 27.11.2020 13:11, Vitaly Chikunov wrote:
> > > >>>>> Hi,
> > > >>>>>
> > > >>>>> В _тестовом_ режиме запущен сервер debuginfod.altlinux.org позволяющий
> > > >>>>> (при наличии elfutils 0.182-alt2 и/или gdb 10.1) получать debuginfo
> > > >>>>> (DWARF и исходники) для отладки и получения читабельных stack traces без
> > > >>>>> инсталляции -debuginfo пакетов.
> > > >>>>>
> > > >>>>> Как пользоваться:
> > > >>>>>      $ export DEBUGINFOD_URLS="http://debuginfod.altlinux.org/"
> > > >>>> Класс! На него как-то загружаются пакеты ?
> > > >>> Он периодически сканирует архив.
> > > >>>
> > > >>>> Пакеты из бранчей есть ?
> > > >>> Есть.
> > > >> Спасибо! Очень нужный сервис.
> > > >>
> > > >> @zerg: можно прикрутить к KDE5 ?
> > > > Думаю, да.
> > > >
> > > Вообще отлично будет, если вы это сделаете по умолчанию для обработки 
> > > падений.
> > 
> > Т.е. чтоб сегфолтнулось, а потом не пойми что в инет лезло?
> > Нет спасибо, из коробки такое не нужно. Это прямая угроза
> > безопасности и конфиденциальности. Особенно с точки зрения админа
> > системы, а не разработчика такого решения.
> 
> При этом, подобные сервисы работают, например, у Федоры по ~60000
> автоматических багрепортов в сутки:
> 
>   Статистика:
>   https://retrace.fedoraproject.org/faf/summary/
>   https://retrace.fedoraproject.org/faf/stats/today/
> 
>   Репорты:
>   https://retrace.fedoraproject.org/faf/reports/

Федора никак не может являться образцом для подражания в вопросах
безопасности.

Best regards,
Andrew Savchenko

[-- Attachment #2: Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] I: debuginfod.altlinux.org for KDE

[Vitaly Chikunov]

On Tue, Dec 01, 2020 at 09:31:20PM +0300, Andrey Savchenko wrote:
> On Tue, 1 Dec 2020 15:16:45 +0300 Vitaly Chikunov wrote:
> > On Tue, Dec 01, 2020 at 01:40:34PM +0300, Andrey Savchenko wrote:
> > > On Fri, 27 Nov 2020 19:05:11 +0300 Anton Farygin wrote:
> > > > On 27.11.2020 13:50, Sergey V Turchin wrote:
> > > > > On Friday, 27 November 2020 13:34:26 MSK Anton Farygin wrote:
> > > > >> On 27.11.2020 13:30, Vitaly Chikunov wrote:
> > > > >>> On Fri, Nov 27, 2020 at 01:29:01PM +0300, Anton Farygin wrote:
> > > > >>>> On 27.11.2020 13:11, Vitaly Chikunov wrote:
> > > > >>>>> Hi,
> > > > >>>>>
> > > > >>>>> В _тестовом_ режиме запущен сервер debuginfod.altlinux.org позволяющий
> > > > >>>>> (при наличии elfutils 0.182-alt2 и/или gdb 10.1) получать debuginfo
> > > > >>>>> (DWARF и исходники) для отладки и получения читабельных stack traces без
> > > > >>>>> инсталляции -debuginfo пакетов.
> > > > >>>>>
> > > > >>>>> Как пользоваться:
> > > > >>>>>      $ export DEBUGINFOD_URLS="http://debuginfod.altlinux.org/"
> > > > >>>> Класс! На него как-то загружаются пакеты ?
> > > > >>> Он периодически сканирует архив.
> > > > >>>
> > > > >>>> Пакеты из бранчей есть ?
> > > > >>> Есть.
> > > > >> Спасибо! Очень нужный сервис.
> > > > >>
> > > > >> @zerg: можно прикрутить к KDE5 ?
> > > > > Думаю, да.
> > > > >
> > > > Вообще отлично будет, если вы это сделаете по умолчанию для обработки 
> > > > падений.
> > > 
> > > Т.е. чтоб сегфолтнулось, а потом не пойми что в инет лезло?
> > > Нет спасибо, из коробки такое не нужно. Это прямая угроза
> > > безопасности и конфиденциальности. Особенно с точки зрения админа
> > > системы, а не разработчика такого решения.
> > 
> > При этом, подобные сервисы работают, например, у Федоры по ~60000
> > автоматических багрепортов в сутки:
> > 
> >   Статистика:
> >   https://retrace.fedoraproject.org/faf/summary/
> >   https://retrace.fedoraproject.org/faf/stats/today/
> > 
> >   Репорты:
> >   https://retrace.fedoraproject.org/faf/reports/
> 
> Федора никак не может являться образцом для подражания в вопросах
> безопасности.

Я предполагаю, что 98% пользователей хотят нам дать эту информацию
(анонимизировао, естественно) для улучшения качества репозитория.
Особенно, для не стабильно бранча, где подразумевается тестирование.
При этом, понятно, что нельзя такое включать для тех кто категорически
не хочет.


> 
> Best regards,
> Andrew Savchenko



> _______________________________________________
> Devel mailing list
> Devel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel

Re: [devel] I: debuginfod.altlinux.org for KDE

[Vitaly Chikunov]

On Tue, Dec 01, 2020 at 03:11:46PM +0300, Vitaly Chikunov wrote:
> > > > > В общем, `apt-get install kde5-kwrite` предлагает скачать 776MB
> > > > 
> > > > `apt-get install kde5-kwrite-debuginfo` имелся ввиду.
> > > 
> > > Пакеты небось сильно пожатые, а в ~/.cache/debuginfod_client уже
> > > распакованное.
> 
> 1. Это натолкнуло меня на мысль попробовать добавить сжатие при http трансфере
> с debuginfod. Скачивание идет через libcurl, а она должна смочь разжать.
>  Но 776MB всё равно много.

FYI. Content-Encoding: gzip сжатие включено.

Re: [devel] I: debuginfod.altlinux.org for KDE

[Andrey Savchenko]

[-- Attachment #1: Type: text/plain, Size: 4453 bytes --]

On Wed, 2 Dec 2020 14:13:30 +0300 Vitaly Chikunov wrote:
> On Tue, Dec 01, 2020 at 09:31:20PM +0300, Andrey Savchenko wrote:
> > On Tue, 1 Dec 2020 15:16:45 +0300 Vitaly Chikunov wrote:
> > > On Tue, Dec 01, 2020 at 01:40:34PM +0300, Andrey Savchenko wrote:
> > > > On Fri, 27 Nov 2020 19:05:11 +0300 Anton Farygin wrote:
> > > > > On 27.11.2020 13:50, Sergey V Turchin wrote:
> > > > > > On Friday, 27 November 2020 13:34:26 MSK Anton Farygin wrote:
> > > > > >> On 27.11.2020 13:30, Vitaly Chikunov wrote:
> > > > > >>> On Fri, Nov 27, 2020 at 01:29:01PM +0300, Anton Farygin wrote:
> > > > > >>>> On 27.11.2020 13:11, Vitaly Chikunov wrote:
> > > > > >>>>> Hi,
> > > > > >>>>>
> > > > > >>>>> В _тестовом_ режиме запущен сервер debuginfod.altlinux.org позволяющий
> > > > > >>>>> (при наличии elfutils 0.182-alt2 и/или gdb 10.1) получать debuginfo
> > > > > >>>>> (DWARF и исходники) для отладки и получения читабельных stack traces без
> > > > > >>>>> инсталляции -debuginfo пакетов.
> > > > > >>>>>
> > > > > >>>>> Как пользоваться:
> > > > > >>>>>      $ export DEBUGINFOD_URLS="http://debuginfod.altlinux.org/"
> > > > > >>>> Класс! На него как-то загружаются пакеты ?
> > > > > >>> Он периодически сканирует архив.
> > > > > >>>
> > > > > >>>> Пакеты из бранчей есть ?
> > > > > >>> Есть.
> > > > > >> Спасибо! Очень нужный сервис.
> > > > > >>
> > > > > >> @zerg: можно прикрутить к KDE5 ?
> > > > > > Думаю, да.
> > > > > >
> > > > > Вообще отлично будет, если вы это сделаете по умолчанию для обработки 
> > > > > падений.
> > > > 
> > > > Т.е. чтоб сегфолтнулось, а потом не пойми что в инет лезло?
> > > > Нет спасибо, из коробки такое не нужно. Это прямая угроза
> > > > безопасности и конфиденциальности. Особенно с точки зрения админа
> > > > системы, а не разработчика такого решения.
> > > 
> > > При этом, подобные сервисы работают, например, у Федоры по ~60000
> > > автоматических багрепортов в сутки:
> > > 
> > >   Статистика:
> > >   https://retrace.fedoraproject.org/faf/summary/
> > >   https://retrace.fedoraproject.org/faf/stats/today/
> > > 
> > >   Репорты:
> > >   https://retrace.fedoraproject.org/faf/reports/
> > 
> > Федора никак не может являться образцом для подражания в вопросах
> > безопасности.
> 
> Я предполагаю, что 98% пользователей хотят нам дать эту информацию
> (анонимизировао, естественно) для улучшения качества репозитория.
> Особенно, для не стабильно бранча, где подразумевается тестирование.
> При этом, понятно, что нельзя такое включать для тех кто категорически
> не хочет.

Пользователи часто недооценивают серьёзность ситуации. Здесь очень
много каналов утечек: как косвенных, один из которых описан выше,
так и прямых, например, backtrace может содержать части ключей или
иной конфиденциальной информации (по сути дела всё, что аргументы
функции попадёт и не только).

Поэтому включать из коробки такую функциональность категорически
нельзя. Для продвинутых пользователей, осознающих риски
и последствия, безусловно должен быть способ включить данную
функциональность.

Best regards,
Andrew Savchenko

[-- Attachment #2: Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] I: debuginfod.altlinux.org for KDE

[Vitaly Chikunov]

On Wed, Dec 02, 2020 at 02:21:32PM +0300, Andrey Savchenko wrote:
> On Wed, 2 Dec 2020 14:13:30 +0300 Vitaly Chikunov wrote:
> > On Tue, Dec 01, 2020 at 09:31:20PM +0300, Andrey Savchenko wrote:
> > > On Tue, 1 Dec 2020 15:16:45 +0300 Vitaly Chikunov wrote:
> > > > On Tue, Dec 01, 2020 at 01:40:34PM +0300, Andrey Savchenko wrote:
> > > > > On Fri, 27 Nov 2020 19:05:11 +0300 Anton Farygin wrote:
> > > > > > On 27.11.2020 13:50, Sergey V Turchin wrote:
> > > > > > > On Friday, 27 November 2020 13:34:26 MSK Anton Farygin wrote:
> > > > > > >> On 27.11.2020 13:30, Vitaly Chikunov wrote:
> > > > > > >>> On Fri, Nov 27, 2020 at 01:29:01PM +0300, Anton Farygin wrote:
> > > > > > >>>> On 27.11.2020 13:11, Vitaly Chikunov wrote:
> > > > > > >>>>> Hi,
> > > > > > >>>>>
> > > > > > >>>>> В _тестовом_ режиме запущен сервер debuginfod.altlinux.org позволяющий
> > > > > > >>>>> (при наличии elfutils 0.182-alt2 и/или gdb 10.1) получать debuginfo
> > > > > > >>>>> (DWARF и исходники) для отладки и получения читабельных stack traces без
> > > > > > >>>>> инсталляции -debuginfo пакетов.
> > > > > > >>>>>
> > > > > > >>>>> Как пользоваться:
> > > > > > >>>>>      $ export DEBUGINFOD_URLS="http://debuginfod.altlinux.org/"
> > > > > > >>>> Класс! На него как-то загружаются пакеты ?
> > > > > > >>> Он периодически сканирует архив.
> > > > > > >>>
> > > > > > >>>> Пакеты из бранчей есть ?
> > > > > > >>> Есть.
> > > > > > >> Спасибо! Очень нужный сервис.
> > > > > > >>
> > > > > > >> @zerg: можно прикрутить к KDE5 ?
> > > > > > > Думаю, да.
> > > > > > >
> > > > > > Вообще отлично будет, если вы это сделаете по умолчанию для обработки 
> > > > > > падений.
> > > > > 
> > > > > Т.е. чтоб сегфолтнулось, а потом не пойми что в инет лезло?
> > > > > Нет спасибо, из коробки такое не нужно. Это прямая угроза
> > > > > безопасности и конфиденциальности. Особенно с точки зрения админа
> > > > > системы, а не разработчика такого решения.
> > > > 
> > > > При этом, подобные сервисы работают, например, у Федоры по ~60000
> > > > автоматических багрепортов в сутки:
> > > > 
> > > >   Статистика:
> > > >   https://retrace.fedoraproject.org/faf/summary/
> > > >   https://retrace.fedoraproject.org/faf/stats/today/
> > > > 
> > > >   Репорты:
> > > >   https://retrace.fedoraproject.org/faf/reports/
> > > 
> > > Федора никак не может являться образцом для подражания в вопросах
> > > безопасности.
> > 
> > Я предполагаю, что 98% пользователей хотят нам дать эту информацию
> > (анонимизировао, естественно) для улучшения качества репозитория.
> > Особенно, для не стабильно бранча, где подразумевается тестирование.
> > При этом, понятно, что нельзя такое включать для тех кто категорически
> > не хочет.
> 
> Пользователи часто недооценивают серьёзность ситуации. Здесь очень
> много каналов утечек: как косвенных, один из которых описан выше,
> так и прямых, например, backtrace может содержать части ключей или
> иной конфиденциальной информации (по сути дела всё, что аргументы
> функции попадёт и не только).
> 
> Поэтому включать из коробки такую функциональность категорически
> нельзя. Для продвинутых пользователей, осознающих риски
> и последствия, безусловно должен быть способ включить данную
> функциональность.

Такой подход тождественен тому, что её включать вообще никогда и нигде
нельзя. Потому что "продвинутый пользователь" один на миллион и он не
будет её включать. А делать систему ради одного пользователя, которому
это не нужно - напрасный труд.

Re: [devel] I: debuginfod.altlinux.org for KDE

[Andrey Savchenko]

[-- Attachment #1: Type: text/plain, Size: 5699 bytes --]

On Wed, 2 Dec 2020 14:29:02 +0300 Vitaly Chikunov wrote:
> On Wed, Dec 02, 2020 at 02:21:32PM +0300, Andrey Savchenko wrote:
> > On Wed, 2 Dec 2020 14:13:30 +0300 Vitaly Chikunov wrote:
> > > On Tue, Dec 01, 2020 at 09:31:20PM +0300, Andrey Savchenko wrote:
> > > > On Tue, 1 Dec 2020 15:16:45 +0300 Vitaly Chikunov wrote:
> > > > > On Tue, Dec 01, 2020 at 01:40:34PM +0300, Andrey Savchenko wrote:
> > > > > > On Fri, 27 Nov 2020 19:05:11 +0300 Anton Farygin wrote:
> > > > > > > On 27.11.2020 13:50, Sergey V Turchin wrote:
> > > > > > > > On Friday, 27 November 2020 13:34:26 MSK Anton Farygin wrote:
> > > > > > > >> On 27.11.2020 13:30, Vitaly Chikunov wrote:
> > > > > > > >>> On Fri, Nov 27, 2020 at 01:29:01PM +0300, Anton Farygin wrote:
> > > > > > > >>>> On 27.11.2020 13:11, Vitaly Chikunov wrote:
> > > > > > > >>>>> Hi,
> > > > > > > >>>>>
> > > > > > > >>>>> В _тестовом_ режиме запущен сервер debuginfod.altlinux.org позволяющий
> > > > > > > >>>>> (при наличии elfutils 0.182-alt2 и/или gdb 10.1) получать debuginfo
> > > > > > > >>>>> (DWARF и исходники) для отладки и получения читабельных stack traces без
> > > > > > > >>>>> инсталляции -debuginfo пакетов.
> > > > > > > >>>>>
> > > > > > > >>>>> Как пользоваться:
> > > > > > > >>>>>      $ export DEBUGINFOD_URLS="http://debuginfod.altlinux.org/"
> > > > > > > >>>> Класс! На него как-то загружаются пакеты ?
> > > > > > > >>> Он периодически сканирует архив.
> > > > > > > >>>
> > > > > > > >>>> Пакеты из бранчей есть ?
> > > > > > > >>> Есть.
> > > > > > > >> Спасибо! Очень нужный сервис.
> > > > > > > >>
> > > > > > > >> @zerg: можно прикрутить к KDE5 ?
> > > > > > > > Думаю, да.
> > > > > > > >
> > > > > > > Вообще отлично будет, если вы это сделаете по умолчанию для обработки 
> > > > > > > падений.
> > > > > > 
> > > > > > Т.е. чтоб сегфолтнулось, а потом не пойми что в инет лезло?
> > > > > > Нет спасибо, из коробки такое не нужно. Это прямая угроза
> > > > > > безопасности и конфиденциальности. Особенно с точки зрения админа
> > > > > > системы, а не разработчика такого решения.
> > > > > 
> > > > > При этом, подобные сервисы работают, например, у Федоры по ~60000
> > > > > автоматических багрепортов в сутки:
> > > > > 
> > > > >   Статистика:
> > > > >   https://retrace.fedoraproject.org/faf/summary/
> > > > >   https://retrace.fedoraproject.org/faf/stats/today/
> > > > > 
> > > > >   Репорты:
> > > > >   https://retrace.fedoraproject.org/faf/reports/
> > > > 
> > > > Федора никак не может являться образцом для подражания в вопросах
> > > > безопасности.
> > > 
> > > Я предполагаю, что 98% пользователей хотят нам дать эту информацию
> > > (анонимизировао, естественно) для улучшения качества репозитория.
> > > Особенно, для не стабильно бранча, где подразумевается тестирование.
> > > При этом, понятно, что нельзя такое включать для тех кто категорически
> > > не хочет.
> > 
> > Пользователи часто недооценивают серьёзность ситуации. Здесь очень
> > много каналов утечек: как косвенных, один из которых описан выше,
> > так и прямых, например, backtrace может содержать части ключей или
> > иной конфиденциальной информации (по сути дела всё, что аргументы
> > функции попадёт и не только).
> > 
> > Поэтому включать из коробки такую функциональность категорически
> > нельзя. Для продвинутых пользователей, осознающих риски
> > и последствия, безусловно должен быть способ включить данную
> > функциональность.
> 
> Такой подход тождественен тому, что её включать вообще никогда и нигде
> нельзя. Потому что "продвинутый пользователь" один на миллион и он не
> будет её включать. А делать систему ради одного пользователя, которому
> это не нужно - напрасный труд.

В таком случае её не следует делать.

Аргумент, что пользователи должны жертвовать своей безопасностью
и конфиденциальностью потому, что разработчики затратили ресурсы
и время на создание сервиса — неприемлемый.

Best regards,
Andrew Savchenko

[-- Attachment #2: Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] I: debuginfod.altlinux.org for KDE

[Vitaly Chikunov]

On Wed, Dec 02, 2020 at 02:32:06PM +0300, Andrey Savchenko wrote:
> > > > > Федора никак не может являться образцом для подражания в вопросах
> > > > > безопасности.
> > > > 
> > > > Я предполагаю, что 98% пользователей хотят нам дать эту информацию
> > > > (анонимизировао, естественно) для улучшения качества репозитория.
> > > > Особенно, для не стабильно бранча, где подразумевается тестирование.
> > > > При этом, понятно, что нельзя такое включать для тех кто категорически
> > > > не хочет.
> > > 
> > > Пользователи часто недооценивают серьёзность ситуации. Здесь очень
> > > много каналов утечек: как косвенных, один из которых описан выше,
> > > так и прямых, например, backtrace может содержать части ключей или
> > > иной конфиденциальной информации (по сути дела всё, что аргументы
> > > функции попадёт и не только).
> > > 
> > > Поэтому включать из коробки такую функциональность категорически
> > > нельзя. Для продвинутых пользователей, осознающих риски
> > > и последствия, безусловно должен быть способ включить данную
> > > функциональность.
> > 
> > Такой подход тождественен тому, что её включать вообще никогда и нигде
> > нельзя. Потому что "продвинутый пользователь" один на миллион и он не
> > будет её включать. А делать систему ради одного пользователя, которому
> > это не нужно - напрасный труд.
> 
> В таком случае её не следует делать.
> 
> Аргумент, что пользователи должны жертвовать своей безопасностью
> и конфиденциальностью потому, что разработчики затратили ресурсы
> и время на создание сервиса — неприемлемый.

Система сбора багрепортов скорее всего делается не для того, чтоб
разработчики затратили ресурсы и время.

Re: [devel] I: debuginfod.altlinux.org for KDE

[Anton Farygin]

On 02.12.2020 14:32, Andrey Savchenko wrote:
> On Wed, 2 Dec 2020 14:29:02 +0300 Vitaly Chikunov wrote:
>> On Wed, Dec 02, 2020 at 02:21:32PM +0300, Andrey Savchenko wrote:
>>> On Wed, 2 Dec 2020 14:13:30 +0300 Vitaly Chikunov wrote:
>>>> On Tue, Dec 01, 2020 at 09:31:20PM +0300, Andrey Savchenko wrote:
>>>>> On Tue, 1 Dec 2020 15:16:45 +0300 Vitaly Chikunov wrote:
>>>>>> On Tue, Dec 01, 2020 at 01:40:34PM +0300, Andrey Savchenko wrote:
>>>>>>> On Fri, 27 Nov 2020 19:05:11 +0300 Anton Farygin wrote:
>>>>>>>> On 27.11.2020 13:50, Sergey V Turchin wrote:
>>>>>>>>> On Friday, 27 November 2020 13:34:26 MSK Anton Farygin wrote:
>>>>>>>>>> On 27.11.2020 13:30, Vitaly Chikunov wrote:
>>>>>>>>>>> On Fri, Nov 27, 2020 at 01:29:01PM +0300, Anton Farygin wrote:
>>>>>>>>>>>> On 27.11.2020 13:11, Vitaly Chikunov wrote:
>>>>>>>>>>>>> Hi,
>>>>>>>>>>>>>
>>>>>>>>>>>>> В _тестовом_ режиме запущен сервер debuginfod.altlinux.org позволяющий
>>>>>>>>>>>>> (при наличии elfutils 0.182-alt2 и/или gdb 10.1) получать debuginfo
>>>>>>>>>>>>> (DWARF и исходники) для отладки и получения читабельных stack traces без
>>>>>>>>>>>>> инсталляции -debuginfo пакетов.
>>>>>>>>>>>>>
>>>>>>>>>>>>> Как пользоваться:
>>>>>>>>>>>>>       $ export DEBUGINFOD_URLS="http://debuginfod.altlinux.org/"
>>>>>>>>>>>> Класс! На него как-то загружаются пакеты ?
>>>>>>>>>>> Он периодически сканирует архив.
>>>>>>>>>>>
>>>>>>>>>>>> Пакеты из бранчей есть ?
>>>>>>>>>>> Есть.
>>>>>>>>>> Спасибо! Очень нужный сервис.
>>>>>>>>>>
>>>>>>>>>> @zerg: можно прикрутить к KDE5 ?
>>>>>>>>> Думаю, да.
>>>>>>>>>
>>>>>>>> Вообще отлично будет, если вы это сделаете по умолчанию для обработки
>>>>>>>> падений.
>>>>>>> Т.е. чтоб сегфолтнулось, а потом не пойми что в инет лезло?
>>>>>>> Нет спасибо, из коробки такое не нужно. Это прямая угроза
>>>>>>> безопасности и конфиденциальности. Особенно с точки зрения админа
>>>>>>> системы, а не разработчика такого решения.
>>>>>> При этом, подобные сервисы работают, например, у Федоры по ~60000
>>>>>> автоматических багрепортов в сутки:
>>>>>>
>>>>>>    Статистика:
>>>>>>    https://retrace.fedoraproject.org/faf/summary/
>>>>>>    https://retrace.fedoraproject.org/faf/stats/today/
>>>>>>
>>>>>>    Репорты:
>>>>>>    https://retrace.fedoraproject.org/faf/reports/
>>>>> Федора никак не может являться образцом для подражания в вопросах
>>>>> безопасности.
>>>> Я предполагаю, что 98% пользователей хотят нам дать эту информацию
>>>> (анонимизировао, естественно) для улучшения качества репозитория.
>>>> Особенно, для не стабильно бранча, где подразумевается тестирование.
>>>> При этом, понятно, что нельзя такое включать для тех кто категорически
>>>> не хочет.
>>> Пользователи часто недооценивают серьёзность ситуации. Здесь очень
>>> много каналов утечек: как косвенных, один из которых описан выше,
>>> так и прямых, например, backtrace может содержать части ключей или
>>> иной конфиденциальной информации (по сути дела всё, что аргументы
>>> функции попадёт и не только).
>>>
>>> Поэтому включать из коробки такую функциональность категорически
>>> нельзя. Для продвинутых пользователей, осознающих риски
>>> и последствия, безусловно должен быть способ включить данную
>>> функциональность.
>> Такой подход тождественен тому, что её включать вообще никогда и нигде
>> нельзя. Потому что "продвинутый пользователь" один на миллион и он не
>> будет её включать. А делать систему ради одного пользователя, которому
>> это не нужно - напрасный труд.
> В таком случае её не следует делать.
>
> Аргумент, что пользователи должны жертвовать своей безопасностью
> и конфиденциальностью потому, что разработчики затратили ресурсы
> и время на создание сервиса — неприемлемый.
>
Я думаю что правильнее в момент отправки bug-report'а предупредить 
пользователя о возможной утечке конфиденциальных данных.

Т.е. - не надо решать за пользователя, готов ли он нам помогать за счёт 
собственной безопасности - давайте дадим выбор именно ему.

Re: [devel] I: debuginfod.altlinux.org for KDE

[Anton V. Boyarshinov]

В Wed, 2 Dec 2020 14:35:44 +0300
Vitaly Chikunov <vt@altlinux.org> пишет:

> Система сбора багрепортов скорее всего делается не для того, чтоб
> разработчики затратили ресурсы и время.

А для чего же ещё? ;-)
Разгребание автоматических багрепортов (и автоматизация автоматизации
разгребания автоматических багрепортов) -- неслабые ресурсы и время...

Re: [devel] I: debuginfod.altlinux.org for KDE

[Sergey V Turchin]

On Wednesday, 2 December 2020 15:37:19 MSK Anton V wrote:
> В Wed, 2 Dec 2020 14:35:44 +0300
> 
> Vitaly Chikunov <vt@altlinux.org> пишет:
> > Система сбора багрепортов скорее всего делается не для того, чтоб
> > разработчики затратили ресурсы и время.
> 
> А для чего же ещё? ;-)
> Разгребание автоматических багрепортов (и автоматизация автоматизации
> разгребания автоматических багрепортов) -- неслабые ресурсы и время...
Не. Главное удобство в том, что не нужно пользователя учить устанавливать кучу 
debuginfo пакетов. В случае с KDE достаточно поставить gdb и мышкой из 
графической утилиты скопировать и отправить backtrace разработчику, который 
уже авторизованно может на сервере быстро конвертнуть в читаемый вид.

-- 
Regards, Sergey.

Re: [devel] I: debuginfod.altlinux.org for KDE

[Alexey V. Vissarionov]

On 2020-12-02 14:13:30 +0300, Vitaly Chikunov wrote:

 >>>>> Вообще отлично будет, если вы это сделаете по умолчанию
 >>>>> для обработки падений.
 >>>> Т.е. чтоб сегфолтнулось, а потом не пойми что в инет лезло?
 >>>> Нет спасибо, из коробки такое не нужно. Это прямая угроза
 >>>> безопасности и конфиденциальности. Особенно с точки зрения
 >>>> админа системы, а не разработчика такого решения.
 >>> При этом, подобные сервисы работают, например, у Федоры по
 >>> ~60000 автоматических багрепортов в сутки:

При десятках миллионов пользователей.

 >>> Статистика:
 >>> https://retrace.fedoraproject.org/faf/summary/
 >>> https://retrace.fedoraproject.org/faf/stats/today/
 >>> Репорты:
 >>> https://retrace.fedoraproject.org/faf/reports/
 >> Федора никак не может являться образцом для подражания в
 >> вопросах безопасности.
 > Я предполагаю, что 98% пользователей хотят нам дать эту
 > информацию (анонимизировао, естественно) для улучшения
 > качества репозитория.

Хотят - менее 1%, могут согласиться (если им для этого будет
достаточно нажать пару кнопок) - единицы процентов.

 > Особенно, для не стабильно бранча, где подразумевается
 > тестирование.

Это для нас это нестабильная ветка, а для них - прежде всего
бесплатная ОС, пусть даже с какими-то недостатками.

 > При этом, понятно, что нельзя такое включать для тех кто
 > категорически не хочет.

Мы об этом можем только просить, ибо если переусердствовать -
это будет мощным ударом по нашей репутации. Поэтому "мы будем
очень благодарны, если вы включите автоматическую отправку
багрепортов - если что-то вдруг гавкнулось, у вас это сожрет
всего несколько килобайтов трафика и меньше секунды времени,
а нам эта информация нужна, чтобы сделать систему еще лучше".


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] I: debuginfod.altlinux.org for KDE

[Alexey V. Vissarionov]

On 2020-12-02 14:32:06 +0300, Andrey Savchenko wrote:

 >>> Поэтому включать из коробки такую функциональность
 >>> категорически нельзя. Для продвинутых пользователей,
 >>> осознающих риски и последствия, безусловно должен
 >>> быть способ включить данную функциональность.
 >> Такой подход тождественен тому, что её включать вообще
 >> никогда и нигде нельзя. Потому что "продвинутый
 >> пользователь" один на миллион и он не будет её включать.
 >> А делать систему ради одного пользователя, которому это
 >> не нужно - напрасный труд.
 > В таком случае её не следует делать.

Дурь.

 > Аргумент, что пользователи должны жертвовать своей
 > безопасностью и конфиденциальностью потому, что
 > разработчики затратили ресурсы и время на создание
 > сервиса — неприемлемый.

Ты только что совершил самую большую ошибку разработчика -
попытался думать за пользователя :-)

Не надо за них думать, они это и сами весьма неплохо умеют
(особенно при хорошей мотивации). Достаточно их спросить.
Вежливо и внятно.


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] I: debuginfod.altlinux.org for KDE

[Alexey V. Vissarionov]

On 2020-12-02 15:57:28 +0300, Sergey V Turchin wrote:

 >>> Система сбора багрепортов скорее всего делается не для
 >>> того, чтоб разработчики затратили ресурсы и время.
 >> А для чего же ещё? ;-)
 >> Разгребание автоматических багрепортов (и автоматизация
 >> автоматизации разгребания автоматических багрепортов) --
 >> неслабые ресурсы и время...
 > Не. Главное удобство в том, что не нужно пользователя учить
 > устанавливать кучу debuginfo пакетов. В случае с KDE достаточно
 > поставить gdb и мышкой из графической утилиты скопировать

[голосом User Otus Vulgaris]
Слооооооожно...

 > и отправить backtrace разработчику, который уже авторизованно
 > может на сервере быстро конвертнуть в читаемый вид.

Разработчики-то разберутся, но для пользователя это в норме
должно выглядеть как "Ух ты, оно гавкнулось! Но вы можете
помочь нам сделать так, чтобы это не повторялось. Отправить
багрепорт?"


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] I: debuginfod.altlinux.org for KDE

[Alexey V. Vissarionov]

On 2020-12-02 14:36:14 +0300, Anton Farygin wrote:

 >> Аргумент, что пользователи должны жертвовать своей
 >> безопасностью и конфиденциальностью потому, что
 >> разработчики затратили ресурсы и время на создание
 >> сервиса — неприемлемый.
 > Я думаю что правильнее в момент отправки bug-report'а
 > предупредить пользователя о возможной утечке
 > конфиденциальных данных.

[голосом User Otus Vulgaris]
Страаааашно...

 > Т.е. - не надо решать за пользователя, готов ли он нам
 > помогать за счёт собственной безопасности - давайте
 > дадим выбор именно ему.

Но и пугать пользователя тоже не надо. А для тех, кто
заботится о безопасности своих данных, обязательно нужно
сделать возможность просмотра отчета перед отправкой.


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] I: debuginfod.altlinux.org for KDE

[Andrey Savchenko]

[-- Attachment #1: Type: text/plain, Size: 2148 bytes --]

On Wed, 2 Dec 2020 23:55:33 +0300 Alexey V. Vissarionov wrote:
> On 2020-12-02 14:32:06 +0300, Andrey Savchenko wrote:
> 
>  >>> Поэтому включать из коробки такую функциональность
>  >>> категорически нельзя. Для продвинутых пользователей,
>  >>> осознающих риски и последствия, безусловно должен
>  >>> быть способ включить данную функциональность.
>  >> Такой подход тождественен тому, что её включать вообще
>  >> никогда и нигде нельзя. Потому что "продвинутый
>  >> пользователь" один на миллион и он не будет её включать.
>  >> А делать систему ради одного пользователя, которому это
>  >> не нужно - напрасный труд.
>  > В таком случае её не следует делать.
> 
> Дурь.

Обоснуй.
 
>  > Аргумент, что пользователи должны жертвовать своей
>  > безопасностью и конфиденциальностью потому, что
>  > разработчики затратили ресурсы и время на создание
>  > сервиса — неприемлемый.
> 
> Ты только что совершил самую большую ошибку разработчика -
> попытался думать за пользователя :-)
> 
> Не надо за них думать, они это и сами весьма неплохо умеют
> (особенно при хорошей мотивации). Достаточно их спросить.
> Вежливо и внятно.

Я думаю прежде всего за себя: мне не нужна ОС, которая из коробки
будет отсылать куда-либо данные о своей работе.

Best regards,
Andrew Savchenko

[-- Attachment #2: Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] I: debuginfod.altlinux.org for KDE

[Sergey V Turchin]

On Thursday, 3 December 2020 00:03:06 MSK Alexey V wrote:
> On 2020-12-02 15:57:28 +0300, Sergey V Turchin wrote:
>  >>> Система сбора багрепортов скорее всего делается не для
>  >>> того, чтоб разработчики затратили ресурсы и время.
>  >> 
>  >> А для чего же ещё? ;-)
>  >> Разгребание автоматических багрепортов (и автоматизация
>  >> автоматизации разгребания автоматических багрепортов) --
>  >> неслабые ресурсы и время...
>  > 
>  > Не. Главное удобство в том, что не нужно пользователя учить
>  > устанавливать кучу debuginfo пакетов. В случае с KDE достаточно
>  > поставить gdb и мышкой из графической утилиты скопировать
> 
> [голосом User Otus Vulgaris]
> Слооооооожно...
gdb поставить? Да не проблема, включу в дефолтную установку в Workstation K.

>  > и отправить backtrace разработчику, который уже авторизованно
>  > может на сервере быстро конвертнуть в читаемый вид.
> 
> Разработчики-то разберутся, но для пользователя это в норме
> должно выглядеть как "Ух ты, оно гавкнулось! Но вы можете
> помочь нам сделать так, чтобы это не повторялось. Отправить
> багрепорт?"
Реально сейчас его надо или кнопкой "Скопировать" или "Сохранить в файл" и 
запостить в нашу багзилу. Там есть возможность кнопкой "Отправить" в KDE-шную. 
Теперь после обновления нашей есть смысл посмотреть, лагко ли перепилить на 
нашу.

-- 
Regards, Sergey.

Re: [devel] I: debuginfod.altlinux.org for KDE

[Sergey V Turchin]

On Thursday, 3 December 2020 00:10:24 MSK Alexey V wrote:
> On 2020-12-02 14:36:14 +0300, Anton Farygin wrote:
>  >> Аргумент, что пользователи должны жертвовать своей
>  >> безопасностью и конфиденциальностью потому, что
>  >> разработчики затратили ресурсы и время на создание
>  >> сервиса — неприемлемый.
>  > 
>  > Я думаю что правильнее в момент отправки bug-report'а
>  > предупредить пользователя о возможной утечке
>  > конфиденциальных данных.
> [голосом User Otus Vulgaris]
> Страаааашно...
> 
>  > Т.е. - не надо решать за пользователя, готов ли он нам
>  > помогать за счёт собственной безопасности - давайте
>  > дадим выбор именно ему.
> 
> Но и пугать пользователя тоже не надо. А для тех, кто
> заботится о безопасности своих данных, обязательно нужно
> сделать возможность просмотра отчета перед отправкой.
А тем, кто не шарят, не делать. Пусть так отправляют. ;-)

-- 
Regards, Sergey.

Re: [devel] I: debuginfod.altlinux.org for KDE

[Sergey V Turchin]

On Wednesday, 2 December 2020 23:55:33 MSK Alexey V wrote:
> On 2020-12-02 14:32:06 +0300, Andrey Savchenko wrote:
>  >>> Поэтому включать из коробки такую функциональность
>  >>> категорически нельзя. Для продвинутых пользователей,
>  >>> осознающих риски и последствия, безусловно должен
>  >>> быть способ включить данную функциональность.
>  >> 
>  >> Такой подход тождественен тому, что её включать вообще
>  >> никогда и нигде нельзя. Потому что "продвинутый
>  >> пользователь" один на миллион и он не будет её включать.
>  >> А делать систему ради одного пользователя, которому это
>  >> не нужно - напрасный труд.
>  > В таком случае её не следует делать.
> Дурь.
Дурь это не пояс целомудрия, а когда не надел штаны.
 
>  > Аргумент, что пользователи должны жертвовать своей
>  > безопасностью и конфиденциальностью потому, что
>  > разработчики затратили ресурсы и время на создание
>  > сервиса — неприемлемый.
> 
> Ты только что совершил самую большую ошибку разработчика -
> попытался думать за пользователя :-)
"Программа, написанная для дурака, работает по-дурацки".

> Не надо за них думать, они это и сами весьма неплохо умеют
> (особенно при хорошей мотивации). Достаточно их спросить.
> Вежливо и внятно.
Разве что, ты лично будешь спрашивать. ;-D

-- 
Regards, Sergey.

Re: [devel] I: debuginfod.altlinux.org for KDE

[Alexey V. Vissarionov]

On 2020-12-03 09:59:31 +0300, Sergey V Turchin wrote:

 >>>> Аргумент, что пользователи должны жертвовать своей
 >>>> безопасностью и конфиденциальностью потому, что
 >>>> разработчики затратили ресурсы и время на создание
 >>>> сервиса — неприемлемый.
 >>> Я думаю что правильнее в момент отправки bug-report'а
 >>> предупредить пользователя о возможной утечке
 >>> конфиденциальных данных.
 >> [голосом User Otus Vulgaris]
 >> Страаааашно...
 >>> Т.е. - не надо решать за пользователя, готов ли он нам
 >>> помогать за счёт собственной безопасности - давайте
 >>> дадим выбор именно ему.
 >> Но и пугать пользователя тоже не надо. А для тех, кто
 >> заботится о безопасности своих данных, обязательно нужно
 >> сделать возможность просмотра отчета перед отправкой.
 > А тем, кто не шарят, не делать. Пусть так отправляют. ;-)

Ну да:

[*Send*] [Review] [Cancel]


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] I: debuginfod.altlinux.org for KDE

[Sergey V Turchin]

On Thursday, 3 December 2020 15:36:28 MSK Alexey V wrote:

[...]
>  >> Но и пугать пользователя тоже не надо. А для тех, кто
>  >> заботится о безопасности своих данных, обязательно нужно
>  >> сделать возможность просмотра отчета перед отправкой.
>  > 
>  > А тем, кто не шарят, не делать. Пусть так отправляют. ;-)
> Ну да:
> [*Send*] [Review] [Cancel]
Разве что,
[Send ;-)] [*Review*] [Cancel]
, чтоб если что: "Смайлик видели -- сами виноваты".

-- 
Regards, Sergey.