From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: X-Spam-Checker-Version: SpamAssassin 3.4.1 (2015-04-28) on sa.local.altlinux.org X-Spam-Level: X-Spam-Status: No, score=-3.3 required=5.0 tests=BAYES_00, HEADER_FROM_DIFFERENT_DOMAINS,RP_MATCHES_RCVD autolearn=ham autolearn_force=no version=3.4.1 Date: Tue, 24 Jun 2025 07:32:22 +0300 From: "Alexey V. Vissarionov" To: ALT Linux Team development discussions Message-ID: <20250624043222.GB12847@altlinux.org> References: <6823795.DvuYhMxLoT@ztation.smnr> <875f6d0f-6212-46f4-90e7-1b8947c0fe80@altlinux.org> <82b455b59a265c91b39d216c53b52fea3932f4c5.camel@altlinux.org> MIME-Version: 1.0 Content-Type: text/plain; charset=koi8-r Content-Disposition: inline Content-Transfer-Encoding: 8bit In-Reply-To: <82b455b59a265c91b39d216c53b52fea3932f4c5.camel@altlinux.org> Subject: Re: [devel] zed is alive, baby, for now X-BeenThere: devel@lists.altlinux.org X-Mailman-Version: 2.1.12 Precedence: list Reply-To: ALT Linux Team development discussions List-Id: ALT Linux Team development discussions List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Tue, 24 Jun 2025 04:32:26 -0000 Archived-At: List-Archive: List-Post: Good ${greeting_time}! On 2025-06-20 20:56:16 +0400, Andrey Limachko wrote: > Не понимаю, что такого в том, что приложение загружает > бинарники из сети? Из какой сети? Как осуществляется контроль целостности? Везде ли он реализован? Что с воспроизводимостью сборки? > Так много кто делает, тут уже упомянули об этом. Если кто-то творит какую-то дурь - обязательно нужно творить такую же дурь? А зачем? > Использование docker'а, к примеру, под эти цели и заточено. Использование дыркера заточено на тиражирование помоек. > На самом деле, стоит подумать не только о загрузке бинарников, > но и о любом обращении в сеть в целом. Здесь все предельно просто: из сборочной среды доступа в сеть быть не должно. Никакого, нигде и никогда. То, что тот же хешер умеет unshare() без CLONE_NEWNET - это функция отладочной среды (в качестве которой его тоже можно использовать). > Обращение в сеть должно быть осознанным для пользователя. Для пользователя - возможно. В простейшем случае - на уровне "тут интернет, тут могут и по-всякому". Для сборочной среды - исключено полностью. Все необходимое попадает в сборочную среду либо в комплекте исходиников, либо по списку сборочных зависимостей. > К примеру, виджет погоды Gnome ни кого ни о чём не спрашивает. Остается надеяться, что его запросы наружу если не анонимизированы, то как минимум неуникальны. Впрочем, это уже забота мейнтейнера. > 20 июн. 2025г. 19:51:42 Alexandr Shashkin : - Потому что люди читают сверху вниз. - Почему нельзя писать ответ перед цитатой? -- Alexey V. Vissarionov gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net