Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Kirill Maslinsky]

Girar awaiter (grenka) writes:

> http://git.altlinux.org/tasks/266405/logs/events.2.1.log
>
> 2021-Feb-16 10:06:39 :: test-only task #266405 for sisyphus resumed by grenka:
> 2021-Feb-16 10:06:39 :: message: test
> #100 delete manatee-open
> #200 delete bonito-open
> #300 delete python3-module-gdex

Зачем удалять? Я использую эти пакеты. Это попытка решить какую-то
другую проблему, пересборка? Что требуется?

> girar-check-perms: access to manatee-open ALLOWED for grenka: project leader welcomes random builders
> check-subtask-perms: #100: manatee-open: allowed for grenka

Добавляя @everybody в ACL я не предполагал, что ‘project leader
weolcomes random builders’ подразумевает ‘project leader welcomes random
deleters’. Если это так by design, то, пожалуй, мне стоит убрать
@everybody с важных пакетов.

-- 
KM

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Andrey Savchenko]

[-- Attachment #1: Type: text/plain, Size: 1018 bytes --]

On Tue, 16 Feb 2021 13:47:06 +0300 Kirill Maslinsky wrote:
> > girar-check-perms: access to manatee-open ALLOWED for grenka: project leader welcomes random builders
> > check-subtask-perms: #100: manatee-open: allowed for grenka
> 
> Добавляя @everybody в ACL я не предполагал, что ‘project leader
> weolcomes random builders’ подразумевает ‘project leader welcomes random
> deleters’. Если это так by design, то, пожалуй, мне стоит убрать
> @everybody с важных пакетов.

Я думаю, что такого быть не должно: random builder != random
deleter. Это явное злоупотребление полномочиями. Такие случаи у нас
уже были.

Предлагаю на уровне сборочницы запретить @everybody удалять пакеты,
если там есть кто-то, кроме @everybody.

Best regards,
Andrew Savchenko

[-- Attachment #2: Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Anton Farygin]

On 16.02.2021 13:56, Andrey Savchenko wrote:
> On Tue, 16 Feb 2021 13:47:06 +0300 Kirill Maslinsky wrote:
>>> girar-check-perms: access to manatee-open ALLOWED for grenka: project leader welcomes random builders
>>> check-subtask-perms: #100: manatee-open: allowed for grenka
>> Добавляя @everybody в ACL я не предполагал, что ‘project leader
>> weolcomes random builders’ подразумевает ‘project leader welcomes random
>> deleters’. Если это так by design, то, пожалуй, мне стоит убрать
>> @everybody с важных пакетов.
> Я думаю, что такого быть не должно: random builder != random
> deleter. Это явное злоупотребление полномочиями. Такие случаи у нас
> уже были.
>
> Предлагаю на уровне сборочницы запретить @everybody удалять пакеты,
> если там есть кто-то, кроме @everybody.
>
не вижу никаких проблем с удалением, т.к. восстанавливаются пакеты 
элементарно.

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Evgeniy Korneechev]

----- Исходное сообщение -----
> От: "Kirill Maslinsky" <kirill@altlinux.org>
> Кому: "grenka" <grenka@altlinux.org>
> Копия: "ALT Linux Team development discussions" <devel@lists.altlinux.org>
> Отправленные: Вторник, 16 Февраль 2021 г 13:47:06
> Тема: Re: [devel] [#266405] TESTED (try 2) del=manatee-open	del=bonito-open del=python3-module-gdex

> Girar awaiter (grenka) writes:
> 
>> http://git.altlinux.org/tasks/266405/logs/events.2.1.log
>>
>> 2021-Feb-16 10:06:39 :: test-only task #266405 for sisyphus resumed by grenka:
>> 2021-Feb-16 10:06:39 :: message: test
>> #100 delete manatee-open
>> #200 delete bonito-open
>> #300 delete python3-module-gdex
> 
> Зачем удалять? Я использую эти пакеты. Это попытка решить какую-то
> другую проблему, пересборка? Что требуется?

Видимо https://lists.altlinux.org/pipermail/devel/2021-February/213598.html

> 
>> girar-check-perms: access to manatee-open ALLOWED for grenka: project leader
>> welcomes random builders
>> check-subtask-perms: #100: manatee-open: allowed for grenka
> 
> Добавляя @everybody в ACL я не предполагал, что ‘project leader
> weolcomes random builders’ подразумевает ‘project leader welcomes random
> deleters’. Если это так by design, то, пожалуй, мне стоит убрать
> @everybody с важных пакетов.
> 
> --
> KM
> _______________________________________________
> Devel mailing list
> Devel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel

-- 
PS Просьба держать в копии всех получателей, нажимая кнопку "Ответить всем".

WBR, Korneechev Evgeniy
BaseALT/ALTLinux Team

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Grigory Ustinov]

16.02.2021 13:47, Kirill Maslinsky пишет:
> Girar awaiter (grenka) writes:
>
>> http://git.altlinux.org/tasks/266405/logs/events.2.1.log
>>
>> 2021-Feb-16 10:06:39 :: test-only task #266405 for sisyphus resumed by grenka:
>> 2021-Feb-16 10:06:39 :: message: test
>> #100 delete manatee-open
>> #200 delete bonito-open
>> #300 delete python3-module-gdex
> Зачем удалять? Я использую эти пакеты. Это попытка решить какую-то
> другую проблему, пересборка? Что требуется?

Я не удалял. Это скорее как напоминание о том, что с пакетом 
manatee-open нужно что-то сделать, чтобы он собирался с python3.9.

>> girar-check-perms: access to manatee-open ALLOWED for grenka: project leader welcomes random builders
>> check-subtask-perms: #100: manatee-open: allowed for grenka
> Добавляя @everybody в ACL я не предполагал, что ‘project leader
> weolcomes random builders’ подразумевает ‘project leader welcomes random
> deleters’. Если это так by design, то, пожалуй, мне стоит убрать
> @everybody с важных пакетов.

Я думаю, что если пакет manatee-open будет единственным 
непересобирающимся с новым питоном, то им пожертвуют вне зависимости от acl.

Как бы то ни было, я уже в devel просил его адаптировать, прошу ещё раз.

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Grigory Ustinov]

16.02.2021 14:01, Anton Farygin пишет:
> On 16.02.2021 13:56, Andrey Savchenko wrote:
>> On Tue, 16 Feb 2021 13:47:06 +0300 Kirill Maslinsky wrote:
>>>> girar-check-perms: access to manatee-open ALLOWED for grenka: 
>>>> project leader welcomes random builders
>>>> check-subtask-perms: #100: manatee-open: allowed for grenka
>>> Добавляя @everybody в ACL я не предполагал, что ‘project leader
>>> weolcomes random builders’ подразумевает ‘project leader welcomes 
>>> random
>>> deleters’. Если это так by design, то, пожалуй, мне стоит убрать
>>> @everybody с важных пакетов.
>> Я думаю, что такого быть не должно: random builder != random
>> deleter. Это явное злоупотребление полномочиями. Такие случаи у нас
>> уже были.
>>
>> Предлагаю на уровне сборочницы запретить @everybody удалять пакеты,
>> если там есть кто-то, кроме @everybody.
+1. Хотя бы в целях защиты от человеческого фактора. Мало ли кто из тим 
сойдёт с ума и удалит все пакеты?
> не вижу никаких проблем с удалением, т.к. восстанавливаются пакеты 
> элементарно.

Тогда я с удовольствием посмотрю на адептов вышеуказанной мысли, которые 
будут откатывать состояние репозитория.

> _______________________________________________
> Devel mailing list
> Devel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Sergey V Turchin]

On Tuesday, 16 February 2021 14:08:49 MSK Grigory Ustinov wrote:

[...]
> +1. Хотя бы в целях защиты от человеческого фактора. Мало ли кто из тим
> сойдёт с ума и удалит все пакеты?
Сможешь удалить хоть один мой?
 
[...]

-- 
Regards, Sergey.

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Kirill Maslinsky]

Grigory Ustinov writes:

> Я не удалял. Это скорее как напоминание о том, что с пакетом 
> manatee-open нужно что-то сделать, чтобы он собирался с python3.9.

Как форма напоминания — эффективно :) Подскажите, откуда взять
python3.9, чтобы с ним протестировать пересборку.

> Я думаю, что если пакет manatee-open будет единственным 
> непересобирающимся с новым питоном, то им пожертвуют вне зависимости от acl.
>
> Как бы то ни было, я уже в devel просил его адаптировать, прошу ещё раз.

Пропустил письмо, ок, займусь.

-- 
KM

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Anton Farygin]

On 16.02.2021 14:08, Grigory Ustinov wrote:
>
> 16.02.2021 14:01, Anton Farygin пишет:
>> On 16.02.2021 13:56, Andrey Savchenko wrote:
>>> On Tue, 16 Feb 2021 13:47:06 +0300 Kirill Maslinsky wrote:
>>>>> girar-check-perms: access to manatee-open ALLOWED for grenka: 
>>>>> project leader welcomes random builders
>>>>> check-subtask-perms: #100: manatee-open: allowed for grenka
>>>> Добавляя @everybody в ACL я не предполагал, что ‘project leader
>>>> weolcomes random builders’ подразумевает ‘project leader welcomes 
>>>> random
>>>> deleters’. Если это так by design, то, пожалуй, мне стоит убрать
>>>> @everybody с важных пакетов.
>>> Я думаю, что такого быть не должно: random builder != random
>>> deleter. Это явное злоупотребление полномочиями. Такие случаи у нас
>>> уже были.
>>>
>>> Предлагаю на уровне сборочницы запретить @everybody удалять пакеты,
>>> если там есть кто-то, кроме @everybody.
> +1. Хотя бы в целях защиты от человеческого фактора. Мало ли кто из 
> тим сойдёт с ума и удалит все пакеты?

Обычно администратор репозитория довольно быстро замечает и пресекает 
такую активность.


>
>> не вижу никаких проблем с удалением, т.к. восстанавливаются пакеты 
>> элементарно.
>
> Тогда я с удовольствием посмотрю на адептов вышеуказанной мысли, 
> которые будут откатывать состояние репозитория.

Смотрели уже.

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Grigory Ustinov]

16.02.2021 14:17, Sergey V Turchin пишет:
> On Tuesday, 16 February 2021 14:08:49 MSK Grigory Ustinov wrote:
>
> [...]
>> +1. Хотя бы в целях защиты от человеческого фактора. Мало ли кто из тим
>> сойдёт с ума и удалит все пакеты?
> Сможешь удалить хоть один мой?
Я имел в виду все на everybody. Так-то и aris защищает свои пакеты и я 
стараюсь, но что-то мне подсказывает, что около 80% всех остальных 
пакетов имеют everybody. Я вообще поражён, что некоторые из наших 
параноиков (в нейтральном значении слова), которые следят за 
безопасностью репозитория, до сих пор не рассмотрели такой вариант 
развития событий.

Тим растёт с каждым месяцем, появляется всё больше и больше людей и если 
раньше все друг друга знали, то теперь всё больше ников, которые я вижу 
первый раз. А значит и уровень доверия к комьюнити падает.

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Grigory Ustinov]

16.02.2021 14:38, Anton Farygin пишет:
> On 16.02.2021 14:08, Grigory Ustinov wrote:
>>
>> 16.02.2021 14:01, Anton Farygin пишет:
>>> On 16.02.2021 13:56, Andrey Savchenko wrote:
>>>> On Tue, 16 Feb 2021 13:47:06 +0300 Kirill Maslinsky wrote:
>>>>>> girar-check-perms: access to manatee-open ALLOWED for grenka: 
>>>>>> project leader welcomes random builders
>>>>>> check-subtask-perms: #100: manatee-open: allowed for grenka
>>>>> Добавляя @everybody в ACL я не предполагал, что ‘project leader
>>>>> weolcomes random builders’ подразумевает ‘project leader welcomes 
>>>>> random
>>>>> deleters’. Если это так by design, то, пожалуй, мне стоит убрать
>>>>> @everybody с важных пакетов.
>>>> Я думаю, что такого быть не должно: random builder != random
>>>> deleter. Это явное злоупотребление полномочиями. Такие случаи у нас
>>>> уже были.
>>>>
>>>> Предлагаю на уровне сборочницы запретить @everybody удалять пакеты,
>>>> если там есть кто-то, кроме @everybody.
>> +1. Хотя бы в целях защиты от человеческого фактора. Мало ли кто из 
>> тим сойдёт с ума и удалит все пакеты?
>
> Обычно администратор репозитория довольно быстро замечает и пресекает 
> такую активность.
Администратор репозитория иногда спит. А ещё иногда бывает на отдыхе без 
интернета. На месте злоумышленника, я бы планировал удаление пакетов 
именно в это время.
>>
>>> не вижу никаких проблем с удалением, т.к. восстанавливаются пакеты 
>>> элементарно.
>>
>> Тогда я с удовольствием посмотрю на адептов вышеуказанной мысли, 
>> которые будут откатывать состояние репозитория.
>
> Смотрели уже.
>
>
> _______________________________________________
> Devel mailing list
> Devel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Sergey V Turchin]

On Tuesday, 16 February 2021 14:39:36 MSK Grigory Ustinov wrote:
> 16.02.2021 14:17, Sergey V Turchin пишет:
> > On Tuesday, 16 February 2021 14:08:49 MSK Grigory Ustinov wrote:
> > 
> > [...]
> > 
> >> +1. Хотя бы в целях защиты от человеческого фактора. Мало ли кто из тим
> >> сойдёт с ума и удалит все пакеты?
> > 
> > Сможешь удалить хоть один мой?
> 
> Я имел в виду все на everybody.
Ну, удали, например, kde5-kcolorpicker. ;-)

[...]

-- 
Regards, Sergey.

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Anton Farygin]

On 16.02.2021 14:44, Grigory Ustinov wrote:
> 16.02.2021 14:38, Anton Farygin пишет:
>> On 16.02.2021 14:08, Grigory Ustinov wrote:
>>>
>>> 16.02.2021 14:01, Anton Farygin пишет:
>>>> On 16.02.2021 13:56, Andrey Savchenko wrote:
>>>>> On Tue, 16 Feb 2021 13:47:06 +0300 Kirill Maslinsky wrote:
>>>>>>> girar-check-perms: access to manatee-open ALLOWED for grenka: 
>>>>>>> project leader welcomes random builders
>>>>>>> check-subtask-perms: #100: manatee-open: allowed for grenka
>>>>>> Добавляя @everybody в ACL я не предполагал, что ‘project leader
>>>>>> weolcomes random builders’ подразумевает ‘project leader welcomes 
>>>>>> random
>>>>>> deleters’. Если это так by design, то, пожалуй, мне стоит убрать
>>>>>> @everybody с важных пакетов.
>>>>> Я думаю, что такого быть не должно: random builder != random
>>>>> deleter. Это явное злоупотребление полномочиями. Такие случаи у нас
>>>>> уже были.
>>>>>
>>>>> Предлагаю на уровне сборочницы запретить @everybody удалять пакеты,
>>>>> если там есть кто-то, кроме @everybody.
>>> +1. Хотя бы в целях защиты от человеческого фактора. Мало ли кто из 
>>> тим сойдёт с ума и удалит все пакеты?
>>
>> Обычно администратор репозитория довольно быстро замечает и пресекает 
>> такую активность.
> Администратор репозитория иногда спит. А ещё иногда бывает на отдыхе 
> без интернета. На месте злоумышленника, я бы планировал удаление 
> пакетов именно в это время. 

злоумышленник может грохнуть репозиторий не удалением пакетов, а 
сборкой. Запретим сборку новых пакетов ?

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Grigory Ustinov]

16.02.2021 14:56, Anton Farygin пишет:
> On 16.02.2021 14:44, Grigory Ustinov wrote:
>> 16.02.2021 14:38, Anton Farygin пишет:
>>> On 16.02.2021 14:08, Grigory Ustinov wrote:
>>>>
>>>> 16.02.2021 14:01, Anton Farygin пишет:
>>>>> On 16.02.2021 13:56, Andrey Savchenko wrote:
>>>>>> On Tue, 16 Feb 2021 13:47:06 +0300 Kirill Maslinsky wrote:
>>>>>>>> girar-check-perms: access to manatee-open ALLOWED for grenka: 
>>>>>>>> project leader welcomes random builders
>>>>>>>> check-subtask-perms: #100: manatee-open: allowed for grenka
>>>>>>> Добавляя @everybody в ACL я не предполагал, что ‘project leader
>>>>>>> weolcomes random builders’ подразумевает ‘project leader 
>>>>>>> welcomes random
>>>>>>> deleters’. Если это так by design, то, пожалуй, мне стоит убрать
>>>>>>> @everybody с важных пакетов.
>>>>>> Я думаю, что такого быть не должно: random builder != random
>>>>>> deleter. Это явное злоупотребление полномочиями. Такие случаи у нас
>>>>>> уже были.
>>>>>>
>>>>>> Предлагаю на уровне сборочницы запретить @everybody удалять пакеты,
>>>>>> если там есть кто-то, кроме @everybody.
>>>> +1. Хотя бы в целях защиты от человеческого фактора. Мало ли кто из 
>>>> тим сойдёт с ума и удалит все пакеты?
>>>
>>> Обычно администратор репозитория довольно быстро замечает и 
>>> пресекает такую активность.
>> Администратор репозитория иногда спит. А ещё иногда бывает на отдыхе 
>> без интернета. На месте злоумышленника, я бы планировал удаление 
>> пакетов именно в это время. 
>
> злоумышленник может грохнуть репозиторий не удалением пакетов, а 
> сборкой. Запретим сборку новых пакетов ?
Научи, пожалуйста!!! Мне интересно, как новый пакет может сломать 
репозиторий? Если это так, то значит в сборочнице нет какой-то проверки. 
Давайте выясним это?
>
> _______________________________________________
> Devel mailing list
> Devel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Vladimir D. Seleznev]

On Tue, Feb 16, 2021 at 03:28:31PM +0300, Grigory Ustinov wrote:
> 16.02.2021 14:56, Anton Farygin пишет:
> > On 16.02.2021 14:44, Grigory Ustinov wrote:
> >> 16.02.2021 14:38, Anton Farygin пишет:
> >>> On 16.02.2021 14:08, Grigory Ustinov wrote:
> >>>>
> >>>> 16.02.2021 14:01, Anton Farygin пишет:
> >>>>> On 16.02.2021 13:56, Andrey Savchenko wrote:
> >>>>>> On Tue, 16 Feb 2021 13:47:06 +0300 Kirill Maslinsky wrote:
> >>>>>>>> girar-check-perms: access to manatee-open ALLOWED for grenka: 
> >>>>>>>> project leader welcomes random builders
> >>>>>>>> check-subtask-perms: #100: manatee-open: allowed for grenka
> >>>>>>> Добавляя @everybody в ACL я не предполагал, что ‘project leader
> >>>>>>> weolcomes random builders’ подразумевает ‘project leader 
> >>>>>>> welcomes random
> >>>>>>> deleters’. Если это так by design, то, пожалуй, мне стоит убрать
> >>>>>>> @everybody с важных пакетов.
> >>>>>> Я думаю, что такого быть не должно: random builder != random
> >>>>>> deleter. Это явное злоупотребление полномочиями. Такие случаи у нас
> >>>>>> уже были.
> >>>>>>
> >>>>>> Предлагаю на уровне сборочницы запретить @everybody удалять пакеты,
> >>>>>> если там есть кто-то, кроме @everybody.
> >>>> +1. Хотя бы в целях защиты от человеческого фактора. Мало ли кто из 
> >>>> тим сойдёт с ума и удалит все пакеты?
> >>>
> >>> Обычно администратор репозитория довольно быстро замечает и 
> >>> пресекает такую активность.
> >> Администратор репозитория иногда спит. А ещё иногда бывает на отдыхе 
> >> без интернета. На месте злоумышленника, я бы планировал удаление 
> >> пакетов именно в это время. 
> >
> > злоумышленник может грохнуть репозиторий не удалением пакетов, а 
> > сборкой. Запретим сборку новых пакетов ?
> Научи, пожалуйста!!! Мне интересно, как новый пакет может сломать 
> репозиторий? Если это так, то значит в сборочнице нет какой-то проверки. 
> Давайте выясним это?

Всех проверок не сделаешь, да и незачем: всё-таки мы доверяем участникам
команды, а проверки нужны от непреднамеренных ошибок.

Я знаю несколько способов сломать репозиторий сборкой пакетов, но я о
них не расскажу :). Для злоумышленника есть проблема: чтобы так сделать,
нужно быть участником тим.

-- 
   WBR,
   Vladimir D. Seleznev

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Grigory Ustinov]

16.02.2021 15:35, Vladimir D. Seleznev пишет:
> On Tue, Feb 16, 2021 at 03:28:31PM +0300, Grigory Ustinov wrote:
>> 16.02.2021 14:56, Anton Farygin пишет:
>>> On 16.02.2021 14:44, Grigory Ustinov wrote:
>>>> 16.02.2021 14:38, Anton Farygin пишет:
>>>>> On 16.02.2021 14:08, Grigory Ustinov wrote:
>>>>>> 16.02.2021 14:01, Anton Farygin пишет:
>>>>>>> On 16.02.2021 13:56, Andrey Savchenko wrote:
>>>>>>>> On Tue, 16 Feb 2021 13:47:06 +0300 Kirill Maslinsky wrote:
>>>>>>>>>> girar-check-perms: access to manatee-open ALLOWED for grenka:
>>>>>>>>>> project leader welcomes random builders
>>>>>>>>>> check-subtask-perms: #100: manatee-open: allowed for grenka
>>>>>>>>> Добавляя @everybody в ACL я не предполагал, что ‘project leader
>>>>>>>>> weolcomes random builders’ подразумевает ‘project leader
>>>>>>>>> welcomes random
>>>>>>>>> deleters’. Если это так by design, то, пожалуй, мне стоит убрать
>>>>>>>>> @everybody с важных пакетов.
>>>>>>>> Я думаю, что такого быть не должно: random builder != random
>>>>>>>> deleter. Это явное злоупотребление полномочиями. Такие случаи у нас
>>>>>>>> уже были.
>>>>>>>>
>>>>>>>> Предлагаю на уровне сборочницы запретить @everybody удалять пакеты,
>>>>>>>> если там есть кто-то, кроме @everybody.
>>>>>> +1. Хотя бы в целях защиты от человеческого фактора. Мало ли кто из
>>>>>> тим сойдёт с ума и удалит все пакеты?
>>>>> Обычно администратор репозитория довольно быстро замечает и
>>>>> пресекает такую активность.
>>>> Администратор репозитория иногда спит. А ещё иногда бывает на отдыхе
>>>> без интернета. На месте злоумышленника, я бы планировал удаление
>>>> пакетов именно в это время.
>>> злоумышленник может грохнуть репозиторий не удалением пакетов, а
>>> сборкой. Запретим сборку новых пакетов ?
>> Научи, пожалуйста!!! Мне интересно, как новый пакет может сломать
>> репозиторий? Если это так, то значит в сборочнице нет какой-то проверки.
>> Давайте выясним это?
> Всех проверок не сделаешь, да и незачем: всё-таки мы доверяем участникам
> команды, а проверки нужны от непреднамеренных ошибок.
>
> Я знаю несколько способов сломать репозиторий сборкой пакетов, но я о
> них не расскажу :). Для злоумышленника есть проблема: чтобы так сделать,
> нужно быть участником тим.
Не для кого не секрет, что испытания для участников тим становятся всё 
проще и проще.
>

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Anton V. Boyarshinov]

В Tue, 16 Feb 2021 13:56:04 +0300
Andrey Savchenko <bircoph@altlinux.org> пишет:

> Предлагаю на уровне сборочницы запретить @everybody удалять пакеты,
> если там есть кто-то, кроме @everybody.

Проблема в том, что если деятельность реально злонамеренная, ничто не
мешает собирать вместо пакетов пустоту или мусок, что практически
эквивалентно удалению, но куда сложнее отличить автоматическими
средствами.

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Denis Medvedev]

On 2/16/21 4:13 PM, Anton V. Boyarshinov wrote:
> В Tue, 16 Feb 2021 13:56:04 +0300
> Andrey Savchenko <bircoph@altlinux.org> пишет:
>
>> Предлагаю на уровне сборочницы запретить @everybody удалять пакеты,
>> если там есть кто-то, кроме @everybody.
> Проблема в том, что если деятельность реально злонамеренная, ничто не
> мешает собирать вместо пакетов пустоту или мусок, что практически
> эквивалентно удалению, но куда сложнее отличить автоматическими
> средствами.
> _______________________________________________
> Devel mailing list
> Devel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel

А вот такой вариант: человек удалил пакет, затем собрал новый такой же и 
сделал на него restricted ACL?

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Andrey Savchenko]

[-- Attachment #1: Type: text/plain, Size: 4388 bytes --]

On Tue, 16 Feb 2021 15:52:45 +0300 Grigory Ustinov wrote:
> 16.02.2021 15:35, Vladimir D. Seleznev пишет:
> > On Tue, Feb 16, 2021 at 03:28:31PM +0300, Grigory Ustinov wrote:
> >> 16.02.2021 14:56, Anton Farygin пишет:
> >>> On 16.02.2021 14:44, Grigory Ustinov wrote:
> >>>> 16.02.2021 14:38, Anton Farygin пишет:
> >>>>> On 16.02.2021 14:08, Grigory Ustinov wrote:
> >>>>>> 16.02.2021 14:01, Anton Farygin пишет:
> >>>>>>> On 16.02.2021 13:56, Andrey Savchenko wrote:
> >>>>>>>> On Tue, 16 Feb 2021 13:47:06 +0300 Kirill Maslinsky wrote:
> >>>>>>>>>> girar-check-perms: access to manatee-open ALLOWED for grenka:
> >>>>>>>>>> project leader welcomes random builders
> >>>>>>>>>> check-subtask-perms: #100: manatee-open: allowed for grenka
> >>>>>>>>> Добавляя @everybody в ACL я не предполагал, что ‘project leader
> >>>>>>>>> weolcomes random builders’ подразумевает ‘project leader
> >>>>>>>>> welcomes random
> >>>>>>>>> deleters’. Если это так by design, то, пожалуй, мне стоит убрать
> >>>>>>>>> @everybody с важных пакетов.
> >>>>>>>> Я думаю, что такого быть не должно: random builder != random
> >>>>>>>> deleter. Это явное злоупотребление полномочиями. Такие случаи у нас
> >>>>>>>> уже были.
> >>>>>>>>
> >>>>>>>> Предлагаю на уровне сборочницы запретить @everybody удалять пакеты,
> >>>>>>>> если там есть кто-то, кроме @everybody.
> >>>>>> +1. Хотя бы в целях защиты от человеческого фактора. Мало ли кто из
> >>>>>> тим сойдёт с ума и удалит все пакеты?
> >>>>> Обычно администратор репозитория довольно быстро замечает и
> >>>>> пресекает такую активность.
> >>>> Администратор репозитория иногда спит. А ещё иногда бывает на отдыхе
> >>>> без интернета. На месте злоумышленника, я бы планировал удаление
> >>>> пакетов именно в это время.
> >>> злоумышленник может грохнуть репозиторий не удалением пакетов, а
> >>> сборкой. Запретим сборку новых пакетов ?
> >> Научи, пожалуйста!!! Мне интересно, как новый пакет может сломать
> >> репозиторий? Если это так, то значит в сборочнице нет какой-то проверки.
> >> Давайте выясним это?
> > Всех проверок не сделаешь, да и незачем: всё-таки мы доверяем участникам
> > команды, а проверки нужны от непреднамеренных ошибок.
> >
> > Я знаю несколько способов сломать репозиторий сборкой пакетов, но я о
> > них не расскажу :). Для злоумышленника есть проблема: чтобы так сделать,
> > нужно быть участником тим.
> Не для кого не секрет, что испытания для участников тим становятся всё 
> проще и проще.

Во-первых, это вопрос доверия, а не технической грамотности.

Во-вторых, требования к кандидатам тим считаю весьма жесткими
(и считаю что ты был неоправданно предзвзят к некоторым нашим
новичкам).

Мало того, сейчас у нас есть обязательный review сторонним членом
team после одобрения от ментора.

Думаю, что с точки зрения добросовестности и отсутствия
злонамеренности мы доверяем всем без исключения участникам team.

Best regards,
Andrew Savchenko

[-- Attachment #2: Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Andrey Savchenko]

[-- Attachment #1: Type: text/plain, Size: 1124 bytes --]

On Tue, 16 Feb 2021 16:13:28 +0300 Anton V. Boyarshinov wrote:
> В Tue, 16 Feb 2021 13:56:04 +0300
> Andrey Savchenko <bircoph@altlinux.org> пишет:
> 
> > Предлагаю на уровне сборочницы запретить @everybody удалять пакеты,
> > если там есть кто-то, кроме @everybody.
> 
> Проблема в том, что если деятельность реально злонамеренная, ничто не
> мешает собирать вместо пакетов пустоту или мусок, что практически
> эквивалентно удалению, но куда сложнее отличить автоматическими
> средствами.

Речь всё же не о злонамеренности в смысле желания нагадить, а об
ошибке, когда человек считает пакет ненужным/устаревшим/мешающим
и выносит его не обсудив с основным мейнтенером.

Best regards,
Andrew Savchenko

[-- Attachment #2: Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Sergey V Turchin]

On Tuesday, 16 February 2021 16:15:35 MSK Denis Medvedev wrote:

[...]
> А вот такой вариант: человек удалил пакет, затем собрал новый такой же и
> сделал на него restricted ACL?
Это легко доказать, не и не факт, что вообще можно удалить.
Например, glibc невозможно удалить даже если он будет @nobody .

[...]

-- 
Regards, Sergey.

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Kirill Maslinsky]

Aleksey Novodvorsky writes:

> вт, 16 февр. 2021 г., 16:29 Andrey Savchenko <bircoph@altlinux.org>:

> Коллеги, не лучше ли обсудить проблему  manatee-open, которая, мешает  его
> пересборке python-3.9?

Исправление отправлено в Сизиф, задание #266421

Извините, что спровоцировал флуд. Молчи, скрывайся и таи!

-- 
KM

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Anton Farygin]

On 16.02.2021 15:28, Grigory Ustinov wrote:
>>>>> +1. Хотя бы в целях защиты от человеческого фактора. Мало ли кто 
>>>>> из тим сойдёт с ума и удалит все пакеты?
>>>>
>>>> Обычно администратор репозитория довольно быстро замечает и 
>>>> пресекает такую активность.
>>> Администратор репозитория иногда спит. А ещё иногда бывает на отдыхе 
>>> без интернета. На месте злоумышленника, я бы планировал удаление 
>>> пакетов именно в это время. 
>>
>> злоумышленник может грохнуть репозиторий не удалением пакетов, а 
>> сборкой. Запретим сборку новых пакетов ?
> Научи, пожалуйста!!! Мне интересно, как новый пакет может сломать 
> репозиторий? Если это так, то значит в сборочнице нет какой-то 
> проверки. Давайте выясним это? 

Я, как и Володя, не сторонник раскрывать всех возможных вариантов слома 
репозитория.. просто поверь, что при очень большом желании можно 
специально или случайно собрать пакет, который попадёт во все системы с 
обновлением, а так же начнёт использоваться в большинстве сборочных 
окружений.

Re: [devel] [#266405] TESTED (try 2) del=manatee-open del=bonito-open del=python3-module-gdex

[Aleksey Novodvorsky]

вт, 16 февр. 2021 г. в 17:45, Kirill Maslinsky <kirill@altlinux.org>:
>
>
> Aleksey Novodvorsky writes:
>
> > вт, 16 февр. 2021 г., 16:29 Andrey Savchenko <bircoph@altlinux.org>:
>
> > Коллеги, не лучше ли обсудить проблему  manatee-open, которая, мешает  его
> > пересборке python-3.9?
>
> Исправление отправлено в Сизиф, задание #266421

Кирилл, спасибо!

Rgrds, Алексей

>
> Извините, что спровоцировал флуд. Молчи, скрывайся и таи!
>
> --
> KM
> _______________________________________________
> Devel mailing list
> Devel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel

Re: [devel] контроль за изменением состава базовой сборочной среды

[Dmitry V. Levin]

On Tue, Feb 16, 2021 at 05:48:34PM +0300, Anton Farygin wrote:
[...]
> специально или случайно собрать пакет, который попадёт во все системы с 
> обновлением, а так же начнёт использоваться в большинстве сборочных 
> окружений.

FWiW, контроль за изменением состава базовой сборочной среды (той, которую
формирует hsh --initroot-only), был среды тех фич, которые мы хотели
сделать.


-- 
ldv

Re: [devel] контроль за изменением состава базовой сборочной среды

[Anton Farygin]

On 16.02.2021 18:09, Dmitry V. Levin wrote:
> On Tue, Feb 16, 2021 at 05:48:34PM +0300, Anton Farygin wrote:
> [...]
>> специально или случайно собрать пакет, который попадёт во все системы с
>> обновлением, а так же начнёт использоваться в большинстве сборочных
>> окружений.
> FWiW, контроль за изменением состава базовой сборочной среды (той, которую
> формирует hsh --initroot-only), был среды тех фич, которые мы хотели
> сделать.
>
>
да, фича была бы отличной!

На самом деле было бы неплохо такую фичу сделать не только для базовой 
среды, но и для других пакетов.

т.е. - наверняка могут быть случаи, когда какой-то пакет окажет 
существенное влияние на на базовую сборочную среду, а, например, на 95% 
пакетов репозитория.

Я добавлю в TODO реализовать поиск таких пакетов в новой версии repodb. 
Это выглядит очень просто.

Re: [devel] контроль за изменением состава базовой сборочной среды

[Anton Farygin]

On 16.02.2021 19:17, Anton Farygin wrote:
> On 16.02.2021 18:09, Dmitry V. Levin wrote:
>> On Tue, Feb 16, 2021 at 05:48:34PM +0300, Anton Farygin wrote:
>> [...]
>>> специально или случайно собрать пакет, который попадёт во все системы с
>>> обновлением, а так же начнёт использоваться в большинстве сборочных
>>> окружений.
>> FWiW, контроль за изменением состава базовой сборочной среды (той, 
>> которую
>> формирует hsh --initroot-only), был среды тех фич, которые мы хотели
>> сделать.
>>
>>
> да, фича была бы отличной!
>
> На самом деле было бы неплохо такую фичу сделать не только для базовой 
> среды, но и для других пакетов.
>
> т.е. - наверняка могут быть случаи, когда какой-то пакет окажет 
> существенное влияние на на базовую сборочную среду, а, например, на 
> 95% пакетов репозитория.
>
> Я добавлю в TODO реализовать поиск таких пакетов в новой версии 
> repodb. Это выглядит очень просто.
>
Что-то мне подумалось, что для того, что бы понять влияние собранного 
пакета на сборочные окружения - не нужно даже ничего пересобирать. Да и 
пакеты сами не нужны, достаточно новых apt'овых хешей, памяти и CPU.
в src-list есть список сборочных зависимостей, можно сделать build-dep 
для каждого пакета из src-list и сравнить его с предыдущим.

Re: [devel] контроль за изменением состава базовой сборочной среды

[Anton V. Boyarshinov]

В Tue, 16 Feb 2021 19:20:50 +0300
Anton Farygin <rider@basealt.ru> пишет:

>  Да и 
> пакеты сами не нужны, достаточно новых apt'овых хешей, памяти и CPU.
> в src-list есть список сборочных зависимостей, 

Да, но ведь они могут поменяться. Например, если в новом пакете приехал
rpm macro, да и другими путями, возможно, тоже (в некоторых пакетах
сборочные зависимости вычисляются довольно причудливыми способами).

Re: [devel] контроль за изменением состава базовой сборочной среды

[Anton Farygin]

On 17.02.2021 10:24, Anton V. Boyarshinov wrote:
> В Tue, 16 Feb 2021 19:20:50 +0300
> Anton Farygin <rider@basealt.ru> пишет:
>
>>   Да и
>> пакеты сами не нужны, достаточно новых apt'овых хешей, памяти и CPU.
>> в src-list есть список сборочных зависимостей,
> Да, но ведь они могут поменяться. Например, если в новом пакете приехал
> rpm macro, да и другими путями, возможно, тоже (в некоторых пакетах
> сборочные зависимости вычисляются довольно причудливыми способами).

Зависимости будут использоваться из пакетов. Макросы не будут 
выполняться, но на этом тесте нам такое и не нужно - проверка макросов 
делается в другом месте.