Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Сбои в системах сборки из-за изменения контрольных сумм архивов в GitHub, opennews (??), 03-Фев-23, (0) [смотреть все] Контрольная сумма должна рассчитываться самостоятельно каждым проектом своим спо, Аноним (1), 18:03 , 03-Фев-23, (1) +16 // Скрыто модератором, Аноним (-), 18:20 , 03-Фев-23, (6) +7 Да, пусть кто хочет делает gostsum или sha256 , Аноним (10), 18:31 , 03-Фев-23, (10) –1 как раз в духе микрософта , Аноним (14), 18:48 , 03-Фев-23, (14) +5 // за линуксоидов MS и Git уже пишет сами то хоть что нибудь делаете, 4324234 (?), 08:39 , 04-Фев-23, (110) +2 Я даже не знаю как они так формируют архивы, что у них контрольные суммы не совп, НяшМяш (ok), 19:24 , 03-Фев-23, (21) –3 // Еще круче говорят шитхабу - сформируй-ка нам архив _своего_ репо с нашим мва, ms (??), 19:58 , 03-Фев-23, (31) +3 // Я так понимаю, что иначе пришлось бы хранить вечно архивы для каждого коммита, д, Аноним (222), 17:38 , 07-Фев-23, (222) Для этого придется репу гита клонить Скачать gzip c релизом все ж быстрей Я кс, Аноним (-), 12:20 , 04-Фев-23, (131) // Ну есть какой-нибудь потребитель какого-то архива, сделанного из какого-то конкр, www2 (??), 12:45 , 04-Фев-23, (140) +1 // Откуда их миллионы и что они делают Это боты ботнета Зобанить гадов Жесткие ди, Аноним (-), 13:45 , 04-Фев-23, (145) А чем заменить pages , user (??), 15:10 , 04-Фев-23, (159) сходу jekyllесли поискать, то таких статических можно нарыть и больше, нейм (?), 18:00 , 04-Фев-23, (162) Так это не хостинг , user (??), 19:59 , 04-Фев-23, (172) Двухбаксовой впской Намного круче будет и без зависимости от п-сов которые могу, Аноним (-), 03:00 , 05-Фев-23, (185) –1 Бесплатный pages, который пользователю не нужно обслуживать и в который можно пу, Аноним (205), 20:00 , 05-Фев-23, (205) Так клоньте, б Необучаемые Если у каких-то отсталых архивы - прибитый гвоз, Аноним (167), 19:17 , 04-Фев-23, (167) –1 // Это заметно дольше И врядли слабей грузит серваки сабжа Таких систем на все вку, Аноним (-), 03:02 , 05-Фев-23, (186) Хвост виляет собакой , Аноньимъ (ok), 18:10 , 03-Фев-23, (2) +6 // ну виляет и виляет, что бубнить то, Аноним (5), 18:18 , 03-Фев-23, (5) +1 // Главное не бухтеть, всё схвачено у кого нужно, вопрос под контролем, всё решат н, Аноньимъ (ok), 18:26 , 03-Фев-23, (8) +7 Собака сама виновата Какой вообще смысл в контрольных суммах исходников которые, ms (??), 20:06 , 03-Фев-23, (35) –2 // Что значит какой смысл Там обычно качают конкретный тарбол и чекают его хэш, за, Аноним (-), 12:23 , 04-Фев-23, (132) +1 // Например, нарушилась сборка около 5800 портов - отлично работает Напоминаем - в, ms (??), 18:12 , 04-Фев-23, (163) –1 Было бы сильно хуже если бы микросакс отгрузил измененное файло 5800 сборочницам, Аноним (-), 03:04 , 05-Фев-23, (187) +1 Очевидно же, что они хранят релизнутые файлы, если они залиты вручную А если вы , Stellarwind (?), 10:51 , 06-Фев-23, (211) Пихать в архив файл с контрольными суммами содержимого Ну, действительно, прове, Михаил (??), 18:27 , 03-Фев-23, (9) –2 // Здесь контрольная сумма не для целостности, а для защиты от подмены , Шарп (ok), 18:46 , 03-Фев-23, (12) +1 // для этого контрольную сумму подписывают, а сама сумма - контроль целостности, Sw00p aka Jerom (?), 22:43 , 03-Фев-23, (60)   // Нет, у наших друзей из freebsd именно для защиты от подмены Для этого они ее пр, ms (??), 23:15 , 03-Фев-23, (75) +1   ну а кто виноват бсдешник гит не придумывали, который на лету формирует архив о, Sw00p aka Jerom (?), 07:02 , 04-Фев-23, (104)   Обама, наверное Он еще помнится в подъезде у меня нассал bsdшники гит не придум, пох. (?), 12:13 , 04-Фев-23, (129)   вот оно что у шитхаба места для архивов неткек, тут я считаю майки как хотят так, Sw00p aka Jerom (?), 20:41 , 04-Фев-23, (174)   Ну тебе ж объяснили - там механизм наверняка общий в том числе для вообще однора, пох. (?), 01:27 , 05-Фев-23, (180)   и о чем это говорит шитхаб не место для хранения продуктовых сборок проектов, т, Sw00p aka Jerom (?), 12:23 , 05-Фев-23, (199)   Так других-то нет ну не переписывать же им самим git Тем более вони опять будет, пох. (?), 17:30 , 06-Фев-23, (214)   Не, Грета Что не объяснила до сих пор за неприемлемость нагрева её детства сжи, Michael Shigorin (ok), 22:19 , 04-Фев-23, (177) +1   Захардкодить sha256 тарбола какой в сборочный скрипт достигает ту же цель но быс, Аноним (-), 12:28 , 04-Фев-23, (134)   эммммм, зачем подписывает владелец автор, мейнтейнер и т д доверяй, но провер, Sw00p aka Jerom (?), 22:04 , 04-Фев-23, (176)   владелец уже выложил все исходники на шитхаб и уже нажал кнопочку релиз Как т, пох. (?), 01:29 , 05-Фев-23, (181) +1   а причем тут вообще шитхаб подписывает владелец и выкладывает владелецтакс, зач, Sw00p aka Jerom (?), 12:14 , 05-Фев-23, (197)   Вообще-то конкретный хэш пишут для предсказуемости процесса сборки, а тут вон то, Аноним (-), 11:44 , 05-Фев-23, (194)   речь идет о хешах тарболову вас лежит тарбол, контрольная сумма и подпись, рядом, Sw00p aka Jerom (?), 12:37 , 05-Фев-23, (200)   Вот это и вопрос - что за код массово добавляется в исходники неизвестно кем, в , Аноним (111), 09:13 , 04-Фев-23, (111) –1 // Несовпадение контрольных сумм архивов может означать банальное изменение степени, www2 (??), 10:26 , 04-Фев-23, (120) +1 Вот, хоть у кого-то мозги ещё на месте , Омномним (?), 10:48 , 04-Фев-23, (124) во времена когда писали pkg, идиотизм снизить нагрузку , перепаковывая архивы к, пох. (?), 12:19 , 04-Фев-23, (130) Вообще-то очень странная идея менять gzip ы уже сгенереных релизов Какой-то инд, Аноним (-), 12:30 , 04-Фев-23, (135) ну вот похоже, что да, они настолько ну может не каждому, кэшировали наверняк, пох. (?), 13:17 , 04-Фев-23, (142) Выгрузить на вон ту пачку 10терабайтных винчей и пусть там качают по 100 кило в , Аноним (-), 13:49 , 04-Фев-23, (146) херак, выпуск новой версии какого-нибудь npm, ее качает миллиард васянов, все др, пох. (?), 15:09 , 04-Фев-23, (158) Майки не могут нанять пару челов которые им кэш на ssd настроят Правильно уходят, Аноним (-), 11:47 , 05-Фев-23, (195) Хэш, будь он хоть трижды криптографическим, это всего лишь функция настоящего со, www2 (??), 12:59 , 04-Фев-23, (141) ну эксперт как он есть , пох. (?), 15:04 , 04-Фев-23, (157) –1 Ты вот развёл теорию, но не довёл до конца Тгебую от вас довести до конца - взя, Аноним (169), 19:28 , 04-Фев-23, (169) ну, если бы такое было даже в теории невозможно - мы бы изобрели работающий архи, пох. (?), 17:37 , 06-Фев-23, (215) Держи, эксперт https www opennet ru opennews art shtml num 46102, www2 (??), 17:02 , 08-Фев-23, (225) Чисто теоретически вы можете угадать мой 4096-битный ключ случайно сгенерив тако, Аноним (-), 11:50 , 05-Фев-23, (196) Зачем угадывать, если знаешь Хэш-суммы архивов известны Надо только изменить с, www2 (??), 17:04 , 08-Фев-23, (226) Это нормально Гораздо лучше чем иметь по контрольной сумме на каждый файл дирек, keydon (ok), 18:48 , 03-Фев-23, (13) +2 // Ненене, на каждый файл - контрольную сумму Обязательно в xml, так энтерпрайзнее, YetAnotherOnanym (ok), 02:14 , 04-Фев-23, (85) +2 // В json жеж, xml - прошлый век Формат сделать плавающим, описание формата положит, пох. (?), 12:05 , 04-Фев-23, (128) +2 Бывает и хуже, некоторые вообще лысеют И там закрашивай, не закрашивай, разве ч, Аноним (-), 12:31 , 04-Фев-23, (136) Угу а в json - блоб с xml-документом в base64 , YetAnotherOnanym (ok), 12:40 , 04-Фев-23, (139) +1 защита от сбоев передачи данных по сети и ошибок носителей, Атон (?), 19:21 , 03-Фев-23, (19) +4 // Тут маленькая проблемка это должна быть чексумма неизменного архива А если архи, Омномним (?), 10:49 , 04-Фев-23, (125) // Какая третья сторона у тебя перепаковывает архив между HDD и CPU, и между серв, Атон (?), 13:57 , 04-Фев-23, (149) –2 Ну вот какая любителям стрелять себе в ногу переупаковала , Омномним (?), 11:37 , 05-Фев-23, (192) 2 2 4, а может 5 или 33 , Аноним (14), 18:53 , 03-Фев-23, (15) +2 // gzip будет давать разные контрольные суммы при разных настройках сжатия по умолч, aploskov.dev (ok), 19:05 , 03-Фев-23, (17) // а бывает архиватор, который дает одинаковые контрольные суммы при разных настрой, Атон (?), 19:22 , 03-Фев-23, (20) +3 // Вряд ли Разве что собранный на коленке, который игнорирует настройки, рандом, в, aploskov.dev (ok), 19:24 , 03-Фев-23, (22) есть ведь, по телику показывали, весь ынтернет на флешке сохранял пс 99191 , Sw00p aka Jerom (?), 20:49 , 04-Фев-23, (175) Я подозреваю тебя тут кусают в зад твои вольные формулировки Архиватор не даёт , Аноним (-), 19:53 , 03-Фев-23, (30) –2 Слишком усложняете , Аноньимъ (ok), 20:26 , 03-Фев-23, (40) +1 с этого нужно начинать всегда он не прогнулся, он отложил на время тут у тебя, Атон (?), 20:57 , 03-Фев-23, (44) Чтобы меньше платить за трафик А может дело не в размере, а в том сколько проце, Аноним (-), 21:03 , 03-Фев-23, (47) –2 Это не мы Это разработчиков git спросите, сколько битов они сэкономили на своем, ms (??), 23:08 , 03-Фев-23, (71) +1 Кстати да, можно же проверять контрольную сумму tar-архива, а не сжатого вариант, www2 (??), 10:33 , 04-Фев-23, (121) +2 А потом выйдет новая версия glibc с другим порядком collation, и снова произойдё, YetAnotherOnanym (ok), 19:03 , 04-Фев-23, (165) Зачем, если можно сортировать просто по бинарнику имени не декодируя строку в с, Аноним (170), 19:32 , 04-Фев-23, (170) Латинские A, a, B, b и - однобайтовые, их декодировать не нужно, но порядок со, YetAnotherOnanym (ok), 01:36 , 05-Фев-23, (183) Чтобы были одинаковые суммы, файлы должны быть одинаковыми Ты хочешь одинаковые, Аноним (91), 05:19 , 04-Фев-23, (91) мимо этот вопрос следует задать aploskov dev который не только хочет, но, видим, Атон (?), 09:46 , 04-Фев-23, (117) Кстати, в unix архиввтор и компрессор - это два разных класса программ Архивато, www2 (??), 10:37 , 04-Фев-23, (122) +1 Не может быть А мужики-то думали, что у всех любых архивов сумма одна и та же , Аноним (14), 21:04 , 03-Фев-23, (48) +4 // 1 Прочитай новость Действительно думали 2 Посмотри, на какой комментарий я от, aploskov.dev (ok), 21:09 , 03-Фев-23, (50) –1 Думали-думали, да недодумали В результате всё навернули, как обычно , Аноним (14), 22:37 , 03-Фев-23, (59) то есть, снимаем сумму с самих данных, а не с сжатых архивов, Sw00p aka Jerom (?), 22:47 , 03-Фев-23, (61) Ну как бы 2 2 это 22 , Аноним (68), 23:02 , 03-Фев-23, (68) Все мало-мальски знающие люди в курсе, что 2 2 104 - 50 мне, 50 тебе и 4 в кассу, YetAnotherOnanym (ok), 11:39 , 04-Фев-23, (127) 171 Надо обновляться 187 , 8212 говорили они 8212 171 Обновления важ, pashev.ru (?), 19:11 , 03-Фев-23, (18) +5 // Для них - да , Аноним (25), 19:39 , 03-Фев-23, (25) +1 Вам количество CVE в гите напомнить за последние пол-года Да, нам тоже приходит, ms (??), 23:05 , 03-Фев-23, (70) –3 // Лучше напомни количество пострадавших из-за каждой CVE , Аноним (98), 05:43 , 04-Фев-23, (98) +1 Да сколько раз уже повторять что гит это пятое колесо в телеге , Аноним (23), 19:26 , 03-Фев-23, (23) +12 // Все проблемы индустрии в том, что никто не читает опеннетных экпертов , Аноним (54), 21:31 , 03-Фев-23, (54) –3 // он и прав и не прав гит должен быть свой на своем серваке, а не у мелкосранска, анонна (?), 22:29 , 03-Фев-23, (58) –3 // оверинженеринг, Аноним (69), 23:03 , 03-Фев-23, (69) +3 шёл бы ты свои докеры в снапы деплоить, Аноним (81), 01:21 , 04-Фев-23, (81) эксперты на опеннете появились за долго до появления всех этих проектов, mc не д, Sw00p aka Jerom (?), 22:50 , 03-Фев-23, (62) –1 Системы контроля версий это пятое колесо у телеги, Аноним (207), 20:22 , 05-Фев-23, (207) Непредусмотрительно Флаг надо называть --fucking-legacy, лет через десять будет, Аноним (-), 19:39 , 03-Фев-23, (26) –2 // Более актуально --no-hipsters , Аноним (98), 05:46 , 04-Фев-23, (99) +3 Они каждый раз для каждого вызова собирали архив Неудивительно Тем более что ф, fuggy (ok), 19:40 , 03-Фев-23, (27) +1 // Ты хотел сказать _наивный_ человек Или может человек склонный делать ничем н, Аноним (-), 20:00 , 03-Фев-23, (32) // Вы это так говорите, как будто архив причем вместе с контрольной суммой сохран, ms (??), 20:02 , 03-Фев-23, (34) // Ты имеешь в виду сохранялся при создании на сервере Он сохранялся скорее всег, Аноним (-), 21:02 , 03-Фев-23, (46) +1 На github можно любой коммит в виде архива скачать Ты представляешь, сколько ме, www2 (??), 12:24 , 04-Фев-23, (133) +1 // Они и так хранят релизы и много чего ещё Во-вторых диски дешевле процессоров , fuggy (ok), 13:53 , 04-Фев-23, (148) Не для каждого, а по факту релиза Архив клали в кэш, и если обращений к кэшу не, Аноним (205), 20:12 , 05-Фев-23, (206) посконный zip и то куда лучше , Аноним (36), 20:19 , 03-Фев-23, (36) +3 // для бинарников ARJдля текстов HA, Атон (?), 21:00 , 03-Фев-23, (45) +1 // Скрыто модератором, Аноним (-), 21:46 , 03-Фев-23, (55) Lrzip zpaq всё ещё непревзойдённая связка, но только распаковывается столько же , Аноним (74), 23:15 , 03-Фев-23, (74) Смех смехом, но на сайте росстата статистику отдают в arj , Аноним (77), 00:42 , 04-Фев-23, (77) // Потому что работает - и не трогай , YetAnotherOnanym (ok), 02:19 , 04-Фев-23, (86) +5 А кто-то шутил , Атон (?), 09:48 , 04-Фев-23, (118) +1 Последнее время часто rar наблюдаю Напомнить, что означает жаргонное словечко , Аноним (111), 09:14 , 04-Фев-23, (112) –1 гитшваб, нпм, карго-культ - это все только начало прогрессивных модных молодежны, ihatenpm (?), 20:41 , 03-Фев-23, (41) +2 // Там нет технологий Только сайты за много денег , Аноним (111), 09:15 , 04-Фев-23, (113) –1 Вполне справедливо А я-то раньше удивлялся зачем некоторые люди на странице ре, Аноним (54), 20:51 , 03-Фев-23, (43) +1 // Разьве не логично предполагать что архив конкретной версии софта - нечто неизмен, ms (??), 21:11 , 03-Фев-23, (51) // Как бы в этом вся суть проблемы, не Ну, предполагайте на здоровье вместо чтения , Аноним (54), 21:25 , 03-Фев-23, (53) кого волнует твой архив бери исходный файл конкретной версии и наслаждайся неиз, Аноним (57), 22:23 , 03-Фев-23, (57) –1 // он предлагает верить циферкам в названии файла пс куда ушли времена, Новая Папка, Sw00p aka Jerom (?), 07:06 , 04-Фев-23, (105) +1 В своих нет всяких git и сделаны первые шаги autocrap , user (??), 13:37 , 04-Фев-23, (144) Дорога Всё для ленивых ведет в ад , Аноним (72), 23:08 , 03-Фев-23, (72) +2 Мне нравится в этой историито, что ПЕРВОЙ реакции Гитхаба читай Микрософт на ж, Kuromi (ok), 23:11 , 03-Фев-23, (73) +2 // Не то что в опенсорсе - сначала совещание, потом конференция, а потом мы посмотр, Аноним (77), 00:43 , 04-Фев-23, (78) Ну а какой гений решил надеяться на постоянность контрольной суммы создаваемого , mikhailnov (ok), 01:39 , 04-Фев-23, (84) // Ну а какой гений зачем-то додумается впилить свою версию архиватора, дающую друг, Бывалый смузихлёб (?), 08:24 , 04-Фев-23, (109) –2 // Проблемы начались у того, кто не думал головой Улучшение в алгоритме сжатия или, www2 (??), 12:32 , 04-Фев-23, (137) +1 Именно такой она и должна была быть Проблемы долбоящеров не должны волновать ко, Аноним (171), 19:36 , 04-Фев-23, (171) Я правильно понял, проблема в том, что все эти релизные tgz у github нигде не хр, edo (ok), 00:50 , 04-Фев-23, (79) +2 // исходя из чего ты это понял , Аноним (81), 01:04 , 04-Фев-23, (80) –1 Да, именно так, у пострадавших В Росе abf io import , например, в очень многих , mikhailnov (ok), 01:37 , 04-Фев-23, (83) // во freebsd есть distfiles, насколько я помню, Аноним (93), 05:24 , 04-Фев-23, (93) +1 Здрастия, мы - большая злая корпорация, и нам очень важна гарантия безопасности,, Аноним (82), 01:36 , 04-Фев-23, (82) +2 // Простите, вы опять все перепутали МЫ корпорация зла А контрольные суммы - это р, ms (??), 18:19 , 04-Фев-23, (164) Можно считать контрольную сумму для tar файла до его архивации gz, zst, xz Т, Аноним (90), 04:34 , 04-Фев-23, (90) +2 // все можно, ток этим дуракам надо сказать, семь раз отмерь, потом ломай, Sw00p aka Jerom (?), 07:53 , 04-Фев-23, (107) Будет Только уже не от gzip xz whatever, а от tar , Омномним (?), 10:51 , 04-Фев-23, (126) +2 Напомните майкам для чего нужны контрольные суммы , КО (?), 08:08 , 04-Фев-23, (108) +1 // Когда они купили Нокию, самое худшее, что они могли сделать в области нанесения , Аноним (111), 09:18 , 04-Фев-23, (114) +1 // Они пошли выше и удалили то, что использовало это кутэ и жабу, погрузив сие инст, Аноним (14), 00:27 , 05-Фев-23, (179) Мда, лютые любители стрелять себе по ногам опять пострадали, что ж ты будешь дел, Омномним (?), 10:46 , 04-Фев-23, (123) Ни хрена не понятно Если архив для релиза тега уже был создан, то нафига его пе, Аноним (138), 12:35 , 04-Фев-23, (138) +1 // Видимо на GitHub было что-то вроде кэша с удалением давно не запрашиваемых архив, Аноним (143), 13:18 , 04-Фев-23, (143) // То-то замечаю архив на 100Кб качается минуты 2-3 , fuggy (ok), 13:49 , 04-Фев-23, (147) +1 Они реально считают что архивы в среднем от 100кб до скажем 5 мб реально делают , Аноним (152), 14:04 , 04-Фев-23, (152) +1 // Более того я могу сам скачать архив из тега релиза tar gz zip и залить их обратн, Аноним (152), 14:06 , 04-Фев-23, (153) Это же микрософт , Аноним (14), 14:48 , 04-Фев-23, (156) –1 Гитхаб может выдавать архив для любого коммита Педставь, сколько нужно дисковог, Аноним (54), 16:34 , 04-Фев-23, (160) // Архивы каждого коммита не попадают на страницу Release Не тормозим, включаем мо, Аноним (152), 17:29 , 04-Фев-23, (161) –1 // И что Очевидно, что у Гитхаба для этого унифицированный механизм Ничто не меша, Аноним (54), 19:06 , 04-Фев-23, (166) а у них что - выбор был потому что те чья инфраструктура - берут исходники там к, пох. (?), 01:34 , 05-Фев-23, (182) Так авторы исходники по факту не выкладывали А остальные почему-то решили, чт, Аноним (54), 02:07 , 05-Фев-23, (184) Ну авторы вообще-то кнопку нажаль, подтвердив что да, это именно оно Релиз с ар, пох. (?), 12:21 , 05-Фев-23, (198) +1 Именно Поэтому привязываться к чексумме конкретного архива, тем более, что он н, Омномним (?), 11:39 , 05-Фев-23, (193) А проверяли бы подписи и не было бы проблем , Аноним (154), 14:21 , 04-Фев-23, (154) –1 // Подписи _чего_ , Michael Shigorin (ok), 22:54 , 04-Фев-23, (178) +4 Подписи тут не помогут особо Ведь чтобы подписать новый архив нужен ключ А есл, Аноним (201), 12:39 , 05-Фев-23, (201) // Как будто если его не давать шитхабу это что-то изменит В лучшую, я имею в виду, пох. (?), 15:17 , 05-Фев-23, (202) +3 // Аминь , Аноньимъ (ok), 20:00 , 05-Фев-23, (204) GitHub виноват что стал менять настройки сжатия для уже сгенерированных архивов-, Аноним (207), 20:46 , 05-Фев-23, (208) –1 // В прочем в нашей днищешаражке та же самая проблема, для старых актов сверки и сч, Аноним (207), 20:57 , 05-Фев-23, (209) опять обама виноват Или неумение опеннетовских экспертов читать написанное gith, пох. (?), 09:48 , 06-Фев-23, (210) // Чё прямо так и используют git exe без модификации Ужас то какой 128561 И и, Аноним (207), 09:34 , 07-Фев-23, (216) // GitHub скорее всего даже git exe --stable запустить тоже не сможет, по этому тол, Аноним (207), 09:41 , 07-Фев-23, (217) –1 Ты-то конечно не такой, ты его весь сам переписал А, нет опять админ локалхос, ms (??), 12:01 , 07-Фев-23, (218) Если не знаешь как правильно сделать - вынеси в настройки Э это сложно , Серб (ok), 13:54 , 06-Фев-23, (212) // Ну ты новость читать не пробовал Разработчики Git пока лишь обсуждают возможные, ms (??), 12:03 , 07-Фев-23, (219) // Так то я вовсе не git имел ввиду И, признаться, не могу понять, каким он тут бок, Серб (ok), 12:08 , 07-Фев-23, (220) И, таки да Если вынести в настройки тип архивации сложно, дай два типа архива п, Серб (ok), 13:57 , 06-Фев-23, (213) // В Гите можно менять тип архивации Напимер, черезgit config tar tar gz command , Аноним (54), 16:45 , 07-Фев-23, (221) // Речь о гитхабе , Серб (ok), 09:55 , 08-Фев-23, (224) 1,2,9,15,18,23,26,27,36,41,43,72,73,79,82,90,108,123,138,154,208,212,213

Сообщения

[Сортировка по времени | RSS]

	60. "Сбои в системах сборки из-за изменения контрольных сумм архи..."	+/–
	Сообщение от Sw00p aka Jerom (?), 03-Фев-23, 22:43
	>для защиты от подмены для этого контрольную сумму подписывают, а сама сумма - контроль целостности
	Ответить | Правка | Наверх | Cообщить модератору

	75. "Сбои в системах сборки из-за изменения контрольных сумм архи..."	+1 +/–
	Сообщение от ms (??), 03-Фев-23, 23:15
	Нет, у наших друзей из freebsd именно для защиты от подмены. Для этого они ее просто хранят у себя, один раз посчитанную при опакечивании конкретной версии. Без всяких ненужных подписей, закрытые ключи от которых вы так любите нечаянно закомитить в репозиторий. Просто и эффективно. Было. Потому что битый архив скачать еще ладно, а вот вместо распаковки, как у вас всех принято, ненароком исполнить какой-нибудь интересный код - так себе идея. Но это все имело смысл во времена, когда архивы были архивами, для хранения навечно. А не просто сжатыми исходниками для упрощения скачивания. Если нас поломают - вам никакие контрольные суммы не помогут. Так что передайте им чтоб кончали устаревшей ерундой заниматься.
	Ответить | Правка | Наверх | Cообщить модератору

	104. "Сбои в системах сборки из-за изменения контрольных сумм архи..."	+/–
	Сообщение от Sw00p aka Jerom (?), 04-Фев-23, 07:02
	>А не просто сжатыми исходниками для упрощения скачивания. ну а кто виноват? бсдешник гит не придумывали, который на лету формирует архив от любого коммита. А как иначе понять, что я скачал необходимый срез состояния проекта, если заранее не сохраню его контрольную сумму? Тупо по циферкам в имени файла ориентироваться?
	Ответить | Правка | Наверх | Cообщить модератору

	129. "Сбои в системах сборки из-за изменения контрольных сумм архи..."	+/–
	Сообщение от пох. (?), 04-Фев-23, 12:13
	> ну а кто виноват? Обама, наверное? Он еще помнится в подъезде у меня нассал. bsdшники гит не придумывали и за него не то что не отвечают - уследить за всеми улучшизмами некому, в том и беда. Они втянули в существующую свою инфраструктуру, предназначенную и уместную для работы во времена sourceforge и ftp.gnu.org. А оно - вот. > А как иначе понять, что я скачал необходимый срез состояния проекта, если заранее не сохраню > его контрольную сумму? да никак. Не, ну можно веровать в святой git, и проверять идиотский id последнего комита. Утверждается что там все сесюрно и подделать его сохранив хотя бы возможность скомпилировать то от чего посчитан - невозможно. Но зачем? Если мы уже кому-то там веруем - то не проще ли плюнуть и растереть, переложив окончательно ответственность на microsoft? > Тупо по циферкам в имени файла ориентироваться? ну а почему нет? Все равно в конечном итоге ты доверяешь его содержимому. Тем более проект freebsd, у которого давным-давно бяда с ресурсами. Как будто они на самом деле проверяют содержимое, а не бессмысленные суммы... Впрочем, судя по отсутствию в списке пострадавших гентушных кр@сн0гл@зиков, у тех с ресурсами все еще хужей и они еще даже не заметили. (потому что они тоже использовали эту же горе-технологию... впрочем, у них вообще большая часть идей взята именно из bsd)
	Ответить | Правка | Наверх | Cообщить модератору

	174. "Сбои в системах сборки из-за изменения контрольных сумм архи..."	+/–
	Сообщение от Sw00p aka Jerom (?), 04-Фев-23, 20:41
	>А оно - вот. вот оно что у шитхаба места для архивов нет >переложив окончательно ответственность на microsoft? кек, тут я считаю майки как хотят так и вертят, проблема в тех кто их услугами пользуются. >Все равно в конечном итоге ты доверяешь его содержимому. после проверки
	Ответить | Правка | Наверх | Cообщить модератору

	180. "Сбои в системах сборки из-за изменения контрольных сумм архи..."	+/–
	Сообщение от пох. (?), 05-Фев-23, 01:27
	>>А оно - вот. > вот оно что у шитхаба места для архивов нет Ну тебе ж объяснили - там механизм наверняка общий в том числе для вообще одноразовых архивов конкретного комита, а не только того что помечено release Конечно нет. Любой васянский прожект имеет стотыщсорок никому ненужных форков. И каждый норовит что-то порелизить или скопипастить релиз из оригинала. Так никакого мелкософта не хватит. >>переложив окончательно ответственность на microsoft? > кек, тут я считаю майки как хотят так и вертят, проблема в в данном случае именно майки сделали то что нужно - осознав масштаб проблемы, откатились на старый гит. Шва6одкиные разработчики гита - собрали совещание, и, посовещавшись, решили ничего с проблемой не делать. Но корпорация зла, конечно, ms, смотри не перепутай! >>Все равно в конечном итоге ты доверяешь его содержимому. > после проверки э... ты вот это сейчас чего за чушь сказанул-то? Вот эти все 5600 никому ненужных портов из там какого-нибудь /ports/astro - кто-то ПРОВЕРЯЛ?! "собирается", вот и вся проверка.
	Ответить | Правка | Наверх | Cообщить модератору

	199. "Сбои в системах сборки из-за изменения контрольных сумм архи..."	+/–
	Сообщение от Sw00p aka Jerom (?), 05-Фев-23, 12:23
	> Конечно нет. Любой васянский прожект имеет стотыщсорок никому ненужных форков. И каждый > норовит что-то порелизить или скопипастить релиз из оригинала. > Так никакого мелкософта не хватит. и о чем это говорит? шитхаб не место для хранения продуктовых сборок проектов, точка! > в данном случае именно майки сделали то что нужно - осознав масштаб > проблемы, откатились на старый гит. на свой страх и риск говорят они, и проблема для тех кто юзает шитхаб в продуктовых целях. > Но корпорация зла, конечно, ms, смотри не перепутай! кек, с коих пор? никто и звать их никак :) > э... ты вот это сейчас чего за чушь сказанул-то? в смысле? > Вот эти все 5600 никому ненужных портов из там какого-нибудь /ports/astro - > кто-то ПРОВЕРЯЛ?! "собирается", вот и вся проверка. ну а чеж сломалась сборка?
	Ответить | Правка | Наверх | Cообщить модератору

	214. "Сбои в системах сборки из-за изменения контрольных сумм архи..."	+/–
	Сообщение от пох. (?), 06-Фев-23, 17:30
	> и о чем это говорит? шитхаб не место для хранения продуктовых сборок > проектов, точка! Так других-то нет. > на свой страх и риск говорят они, и проблема для тех кто ну не переписывать же им самим git? Тем более вони опять будет... >> Вот эти все 5600 никому ненужных портов из там какого-нибудь /ports/astro - >> кто-то ПРОВЕРЯЛ?! "собирается", вот и вся проверка. > ну а чеж сломалась сборка? так для make checksum ничего _проверять_ не надо. Если б вот make package не сработал - такой не удалось бы закомитить. А если он сработал - альтернативно-одаренный гендерно-небинарный бсд-порт-комитер переходит к следующему.
	Ответить | Правка | Наверх | Cообщить модератору

	177. "Сбои в системах сборки из-за изменения контрольных сумм архи..."	+1 +/–
	Сообщение от Michael Shigorin (ok), 04-Фев-23, 22:19
	Не, Грета.  Что не объяснила до сих пор за неприемлемость нагрева её детства сжиманием одних и тех же архивов в промышленных масштабах -- и заодно за SSL по поводу и без оного.
	Ответить | Правка | К родителю #129 | Наверх | Cообщить модератору

	134. "Сбои в системах сборки из-за изменения контрольных сумм архи..."	+/–
	Сообщение от Аноним (-), 04-Фев-23, 12:28
	> для этого контрольную сумму подписывают, Захардкодить sha256 тарбола какой в сборочный скрипт достигает ту же цель но быстрее, эффективнее и меньше утилит надо. Ах да, чтобы майк вообще смог подписать что-то - ему приватный ключ надо давать. И тогда они смогут грузить левак. Вот уж фиг им. А с хэшом все просто: если я знаю что хочу тарбол с хэшом 1234....CDEF - я либо получаю его, либо нет, промежуточных вариантов нет. И нет никакого шанса это подменить если я знаю что мне надо именно 1234....CDEF - а не что-то еще. Тут правда вознимает вопрос где я скрипт с вколоченой константой равной 1234....CDEF для хэша взял и почему я им доверяю но это другой вопрос. Зачем майкам потребовалось ворошить уже существующие тарболы - вопрос интересный. Заодно они узнали что опенсорсеры оказывается еще и проверяют что им отгружают, экие злыдни.
	Ответить | Правка | К родителю #60 | Наверх | Cообщить модератору

	176. "Сбои в системах сборки из-за изменения контрольных сумм архи..."	+/–
	Сообщение от Sw00p aka Jerom (?), 04-Фев-23, 22:04
	> Ах да, чтобы майк вообще смог подписать что-то - ему приватный ключ надо давать. эммммм, зачем? подписывает владелец (автор, мейнтейнер и т.д.) > для хэша взял и почему я им доверяю но это другой вопрос. доверяй, но проверяй :) а хеш получать из рук в руки (шутка) > Зачем майкам потребовалось ворошить уже существующие тарболы - вопрос интересный. у них не то, чтобы места нет для хранения тарболов, но и выходит временного места нет при сжатии на лету, вот и заменили алгоритм на с большим кэфом сжатия.
	Ответить | Правка | Наверх | Cообщить модератору

	181. "Сбои в системах сборки из-за изменения контрольных сумм архи..."	+1 +/–
	Сообщение от пох. (?), 05-Фев-23, 01:29
	>> Ах да, чтобы майк вообще смог подписать что-то - ему приватный ключ надо давать. > эммммм, зачем? подписывает владелец (автор, мейнтейнер и т.д.) владелец уже выложил все исходники на шитхаб и уже нажал кнопочку "релиз". Как теперь он что-то подпишет не давая ключей владельцу шитхаба? > у них не то, чтобы места нет для хранения тарболов, но и > выходит временного места нет при сжатии на лету, вот и заменили > алгоритм на с большим кэфом сжатия. б-ть, эксперт, ты новость-то вообще читать пробовал а не бредить?
	Ответить | Правка | Наверх | Cообщить модератору

	197. "Сбои в системах сборки из-за изменения контрольных сумм архи..."	+/–
	Сообщение от Sw00p aka Jerom (?), 05-Фев-23, 12:14
	> владелец уже выложил все исходники на шитхаб и уже нажал кнопочку "релиз". > Как теперь он что-то подпишет не давая ключей владельцу шитхаба? а причем тут вообще шитхаб? подписывает владелец и выкладывает владелец > б-ть, эксперт, ты новость-то вообще читать пробовал а не бредить? такс, зачем генерить архив на лету?
	Ответить | Правка | Наверх | Cообщить модератору

	194. "Сбои в системах сборки из-за изменения контрольных сумм архи..."	+/–
	Сообщение от Аноним (-), 05-Фев-23, 11:44
	> эммммм, зачем? подписывает владелец (автор, мейнтейнер и т.д.) Вообще-то конкретный хэш пишут для предсказуемости процесса сборки, а тут вон тот господин сможет черти что отгрузать. Если у меня компонент A билдился с комионентом B версии X это еще ничего не говорит что с версией X+5 он тоже нормально сбилдится, мало ли кто там какие апи поменять решил. А с точки зрения верификации origin - примерно 1 фиг, что я хэш ключа которым подписано где-то узнаю, что хэш тарбола, разницы никакой только канители больше. > доверяй, но проверяй :) а хеш получать из рук в руки (шутка) Fingerprint ключа аналогичен в этом аспекте.
	Ответить | Правка | К родителю #176 | Наверх | Cообщить модератору

	200. "Сбои в системах сборки из-за изменения контрольных сумм архи..."	+/–
	Сообщение от Sw00p aka Jerom (?), 05-Фев-23, 12:37
	> Вообще-то конкретный хэш пишут для предсказуемости процесса сборки речь идет о хешах тарболов > что я хэш ключа которым подписано где-то узнаю, что хэш тарбола, разницы никакой > только канители больше. у вас лежит тарбол, контрольная сумма и подпись, рядом ключа для верификации лежать не должно, это совсем другая тема, как безопасно его получить, конечно когда он там же будет лежать - толку не будет. > Fingerprint ключа аналогичен в этом аспекте. фингерпринты выкладывать нет смысла, другой механизм должен быть, и это не тема сего обсуждения. мы же не будем обсуждать как хранится приватный ключ у мейнтейнера, ясно же - секрет должен храниться - в секрете :)
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема