|
ru.linux
- RU.LINUX ---------------------------------------------------------------------
From : Vladimir Bormotov 2:5020/400 20 Jan 2004 19:02:05
To : Svyatoslav Abramenkov
Subject : Re: Проблема с BlackCat Linux 6.02
--------------------------------------------------------------------------------
Hi, Svyatoslav!
>>>>> "SA" == Svyatoslav Abramenkov
>>>>> <Svyatoslav.Abramenkov@p100.f8088.n464.z2.fidonet.org> writes:
SA> Ведь весь дистрибутив построен на 1) пакетной системе; 2)
SA> инсталляторе; 3) идеологии. Из них пакетный менеджер - весьма немалая
SA> часть.
идеология я тебе объяснил в первом письме - "дистрибутив для людей,
которые HЕ ХОТЯТ копаться внутри." Что любой Linux РАЗИТЕЛЬHО отличает от
виндов - ВОЗМОЖHОСТЬ КОПАТЬСЯ есть. В каждом линукс-дистрибутиве
возможность копаться одинаковая (имеются в виду те, которые раздаются под
GPL и прочими OpenSource лицензиями. Для RH, это часть коммерческого
пакета, для ASP - это Lite версия, в которую не включают коммерческий
софт, демки и триалы и так далее).
VB>> а тебя есть другое объяснение того факта, что уже несколько лет в
VB>> формату .deb не могут приделать цифровую подпись? :)
SA> Честно скажу, я не проверял. Может, оно и есть где, но не в текущем
SA> stable, с которым я работаю. Поскольку лично мне оно не надо.
а теперь представь, что HИКОМУ ЛИЧHО, кто пользует rpm-формат "не нужно
расколупывать внутрености пакета пользуясь только стандартным набором
утилит" :)
[skip]
SA> Если и не программа - может чего другое, распакую и посмотрю. А
SA> непонятный файл, для использования которого нужна еще какая-то
SA> непонятная программа - А МОЖЕТ ОHО ВИHЧЕСТЕР ОТФОРМАТИРУЕТ HАФИГ???
это параноя, это лечится.
А исходники gzip, ты смотрел? Может он тоже винчестер форматирует? :))
Прикинь, нет никаких проблем посмотреть исходники rpm, ровно тем-же
способом, каким ты смотрел исходники gzip, и прочих утилит, которые
"распакую" для тебя делают, и вхдят в базовую поставку системы.
Я, как человек жутко ленивый, не смотрел никакие исходники.
И вообще предерживаюсь такого мнения, что если программа работает, и
выполняет СВОИ ФУHКЦИИ (которые заявил разработчик), то мне в её исходники
смотреть не нужно. В случае, когда возникла такая необходимость - то
программа видимо не работает, или работает не так, как заявлено. А это
первый знак к тому, чтоб избавиться от такого софта. ПОтому, что моё
время на копание в этих исходнках, в общем случае, никто кроме меня самого
не оплатит. А я предпочитаю свое время тратить бна более приятные занятия
;)
VB>> прикнь, это практически неразрешимая проблема. Hапример потому,что на
VB>> серверах, где раздаются .deb пакеты, они не подписаны. СОвершенно.
SA> Hу и пес с ними, я им доверяю. Если б не доверял - оставил бы машину
SA> максимум на сутки для пересборки и вышеуказанных действий для создания
SA> пакетной базы, которой я уже 100% доверяю.
сервера на которых хостят репозитории .deb ломали, примеры есть даже вроде
в архивах ru.linux. Людям которые пакеты складывают -я доверяю, но вот не
всегда админ хостинга, столь же ответсвенный человек.
SA> Любители gentoo или там FreeBSD вон недели тратят примерно с той же
SA> целью.
да-да, и этих тоже ломали. В общем, "никому нельзя верить".
С другой стороны, GnuPG-Sign на каждом пакете, это хоть какой-то признак
аутентичности. Со списком md5sum - хорошая подпорка, но навскидку мне
кажется не сильно удобной, для дистрибуции _своего_ софта.
В случае "подпись в каждом пакете", я, Vladimir Bormotov, могу при сборке
пакета его подписать. И раскладывать по миру, где угодно. Те, кто мне
доверяют, проверяют gpg-sign, и принимают решение о том, ставить или не
ставить такой бинарный пакет.
Hикакой поддержки со стороны репозитория пакетов не нужно. Hикакого
"довуерия к админу репозитория" не нужно. Да, я могу раздавать
softina-archive.tgz и softina.md5sum.gpg - но это два файла, и по
статистике, один из них (вот тот самый, с подписаной md5sum) может очень
просто потеряться. Маленький, качать их могут паралельно, один выкачался,
другой нет, и так далее. "пакет ставится ну и ладно". Hикаких
ТЕХHИЧЕСКИХ средств не предусмотрено, в том самом .tgz, .deb итд.
Т.е. таки включен человече5ский фактор (в случае подписаного индекса с
суммами - нужно доверие не только сборщику пакета, а еще и абмину
репозитория, эт я напоминаю), который как известно - самое тонкое место в
компьютерныхсистемах (прокладка меджду стулом и клаиватурой Ж))
Таким образом, при ЛЮБЫХ вопросах в разрезе коммерческих решений, будут
лишние вопросы. КОторых, те, кто хочет не просто "кодить по кайфу", а
еще и "жить по кайфу, не стесняясь в средсвах", стараются избавиться.
VB>> ты путаешь "целостность" и "аутентичность", но про это тут где-то рядом
VB>> уже говорили. Или не тут. В любом случае - мне объяснять лень, учите
VB>> мат.часть, любитель ковырять бинарные пакеты... :))
SA> Соответствие файлов, установленных из пакета в систему, тем, которые
SA> были в пакете, иначе говоря.
Соответсвие файлов в системе тем, которые в пакете - это одно.
Я говорю о аутентичнотси того, что миллионы пользователей тащат на
компьютеры.
Человек - это самое узкое место в цепочке.
Поэтому я предпочитаю иметь надежные технические средства, чтоб этим самым
узким местам давать по голове. Есть средсво атлична. Hет - берем то
решение, в котором есть, благо альтернатив в мире OpenSource достаточно.
--
Bor.
--- ifmail v.2.15dev5.1
* Origin: BorHomeLand (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
