Питонодебилы, рубидауны и нодоотбросы соснули. Впрочем, ничего нового.>Немецкий специалист по безопасности Николай Чахер (Nikolai Tschacher) продемонстрировал, насколько легко распространять вредоносный код через PyPi — каталог программного обеспечения, написанного на языке программирования Python, а также через репозитории NodeJS (Npmsjs.com) и Ruby (rubygems.org). >The possibility of registering any package name and uploading code without supervision.>The feasibility to achieve code execution upon package installation on the host system.https://geektimes.ru/post/277190/http://incolumitas.com/2016/06/08/typosquatting-package-managers/То есть, код в этих «репозиториях» не проверяется вообще никем, и в ШВАБОДКУ можно запихнуть любой троян, лишь бы опенсорсный был. Ладно, предположим, это ещё НИСОВСЕМ СОСНУЛИ, в конце-концов, ситуация в спермомирке ещё хуже — там репозиториев вообще нет, а проверять бинарники бесполезно.Но зачем тогда советовать устанавливать вирусное говнище с правами рута? Пикрелейтед, вы ёбнутые? Даже спермобляди в конце-концов додумались, что сидеть под админом себе дороже, а прыщедурачки всё ещё застряли в 2003: «запустите с правами администратора».
>>1748398 (OP)Эта хуйня стара как мир. Луркай историю с gnome-look.
>>1748423Одно дело мокрописечный сайтик с нескучными обоями, другое — пакетный менеджер языка программирования.
>>1748398 (OP)>Даже спермобляди в конце-концов додумались, что сидеть под админом себе дорожеЕблан что ли? Инсталлеры в сперме запускаются с правами админа.
>>1748398 (OP)Это еще что. Goвно позволяет подключать модули, просто указав адрес репозитория на каком-нибудь щитхабе. Вся суть хипсторов.
>>1748398 (OP)никогда не запускаю pip под рутом, вообще для каждой хуйни отдельный каталог.
>>1748398 (OP)Для Python существует виртуальные окружения и файлы с зависимостями. Тайпосквоттеры СОСНУЛИ.
>>1748398 (OP)Похуй, проблемы хипстеров-креаклов enterprise-господ не ебут.
>>1748398 (OP)> Питонодебилы, рубидауны и нодоотбросы соснули. Впрочем, ничего нового.Почему фиксация на вышеперечисленных языках? Что-то мешает подсунуть свинью в любой %языкнейм% с пакетным менеджером или нет? если скачать либу у васяна на сайте будет лучше? может есть язык/пакетный менеджер где кто-то перечитывает десятки тысяч строк кода перед заливкой каждого пакета в репозиторий? Ну и в конце концов как это касается ШВАБОДКИ, если бы пакетные менеджеры/код были закрытими это как-то бы изменило ситуацию?> и в ШВАБОДКУ можно запихнуть любой троян, лишь бы опенсорсный был. В нешвабодку нельзя?> Но зачем тогда советовать устанавливать вирусное говнище с правами рута?Никто не советует устанавливать вирусное говнище с правами рута.> а прыщедурачки всё ещё застряли в 2003: «запустите с правами администратора».Касательно пользовательського софта согласен, но это уже давно всё поняли, космонавт пилит - snap, красношляпа - flatpack, а для установки модулей pip/gem/и-что-то-там-у-нододебилов рут не нужен/лучшего варианта нет.> Даже спермобляди в конце-концов додумались, что сидеть под админом себе дорожеНикто кроме спермобядей никогда не сидел под админом.Но вообще забавно смотреть на то как спермобляди с бревном в глазу пытаются в безопасность, хороший тред.>>1748739Практически для любого пакетного менеджера языка существуют виртуальные окружения и файлы с зависимостями.
>>1748744> Практически для любого пакетного менеджера языка существуют виртуальные окружения и файлы с зависимостями.Возможно. Говорил только, за что знаю.
>>1748739>виртуальные окружения и файлы с зависимостямиСперва узнай, как твоё виртуальное окружение работает и попробуй найти там хоть что-то, что помешает процессу с правами root сделать что угодно с системой.>>1748744>Что-то мешает подсунуть свинью в любой %языкнейм% с пакетным менеджером или нет?>В нешвабодку нельзя?>спермобляди с бревном в глазу пытаются в безопасностьЯ правильно понял, что твой основной довод это «У нас всё хуёво, но хотя бы не у нас одних»?
>>1748749Нет, мой основной довод то, что проблема не относится ни к питону/руби/ноде, ни к лицензии на код.
>>1748753А к чему? К распиздяйству мейнтейнеров конекретных реп, решивших дать возможность загружать что угодно без проверки?
>>1748749Сперва скажи, зачем мне рут в виртуалэнве?
>>1748766Откуда мне знать, зачем тебе это? Оп-пик показывает, что это распространённая практика.
>>1748768Ну хуй знает, зачем вообще думать о безопасности, если использовать инструмент, назначение которого тебе не известно.
>>1748755> А к чему?К тому что схема в которой какие-то мифические чуваки за спасибо или даже нет проверяют сотни миллионов строк хипстерского говнокода просто нежизнеспособна, либо так, либо ходи к васянам на сайт и качай те же никем не проверенные либы.>>1748768Ты же сам не знаешь о чем говоришь, на оп пике установка либы в систему, а не вирт. окружение.
>>1748786На оп-пике 200 000 результатов по запросу "sudo pip install".
> люди, страдающие дисграфией, соснулиТак будет вернее.
http://guides.rubygems.org/security/
Тащемта питоноебы во-первых любят спид вроде виртуаленва (хотя это не особо спасет от экзекуции кода), а во-вторых особо не используют васянопакеты, ибо себе дороже.
>>1748962драчую, лишнее гавно которое только мешает. проще спиздить нужные куски кода себе.
>>1748398 (OP)>reqeustsА в чем отсос? Если ты невнимательный уебан и купишь кроссовки Abibos вместо Adidas, кто тебе доктор?
>>1749099> и купишь кроссовки Abibos вместо AdidasКРОССОВКОДЕБИЛЫ СОСНУЛИ, ЗАЧЕМ СОВЕТОВАТЬ ПОКУПАТЬ ЭТО КИТАЙСКОЕ ДЕРЬМИЩЕ В МАГАЗИНАХ, ВЫ СОВСЕМ ЕБАНУТЫЕ?
>>1749099Если кроссовки Adldas продаются в официальном магазине рядом с Adidas, виноват, конечно, пользователь.>>1748946>However, this method of securing gems is not widely used.>OpenPGP signing is not recommended due to lack of support.Лол.
>>1749288>продаются в официальном магазине>AdldasНу вот ты и обосрался окончательно. Во-первых, не продается - ты ничего не платил и все манятребования насчет того, чтобы тебя за ручку вели, можешь засунуть себе в жопу. А во-вторых, таким образом нельзя напечатать название пакета даже случайно. Давай уебывай, мамкин траливалер. Может в следующий раз не соснешь.
>>1749366>ТВАИ АНАЛОГЕИ ГАВНО>МАИ ХАРОШИЕМань, ну чё ты завиляла?Концепцию покупки ты сама заявила первой >>1749099, так что про «не продается» и «ничего не платил» себе самой и рассказывай.Аналогия requests/reqeusts -> Adldas/Adidas идеальна, ведь в случае с установкой пакетов ты пишешь, а в случае с покупкой обуви — читаешь.Проблемы, сверхманёвренная?
>>1748398 (OP)Проблема-то даже не в опечатках, а в том что код никто не читает. Представьте ситуацию - взломали аккаунт майнтейнера какого-нибудь популярного пакета и всунули внутрь зонд. Кто заметит? Никто не заметит.
>>1749374>я обосрался но буду копротивляться до последнего потому что я школьникЯсно.>АНАЛОГЕИФрейд.пнг>Концепцию покупкиВ моей аналогии концепция покупки уместна, дурачок. А ты взял и не глядя ее перенес. Вот дебил-то.
>>1749394>ты обосрался>ти дебил>у меня хорошо у тебя плохо яскозалПердoля, ты опять таблетки не выпил?
