Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Результаты второго аудита безопасности разработок проекта Tor, opennews (??), 30-Янв-24, (0) [смотреть все] Каковы методы аудита Фуззинг Не верится, что всё вручную , Аноним (4), 18:17 , 30-Янв-24, (4) // Не похоже Какой фаззинг додумается до bridge_lines А zip-бомба это вообще пер, Карлос Сношайтилис (ok), 19:38 , 30-Янв-24, (43) // В оригинале pdf по ссылке code audit и crystal box То есть код смотрели Скан, n00by (ok), 20:11 , 30-Янв-24, (56) +1 // Может они без исходников за 50x в дисассемблере сидят и то же самое проверяют , Электрон (?), 07:06 , 31-Янв-24, (84) В такое я не верю Лично у меня систематическая ошибка при переписывании с асма , n00by (ok), 16:48 , 31-Янв-24, (100) Arti,я так понимаю, тестировать не стали Типа не готово ещё , anonymous (??), 19:05 , 30-Янв-24, (29) // Нет аудита - нет и уязвимостей А то мог бы получится и конфуз с утратой доверия, Аноним (35), 19:19 , 30-Янв-24, (35) +2   // О, вы прогрессируете Раньше было нет кода - нет уязвимостей , а теперь не ауд, Аноним (-), 19:57 , 30-Янв-24, (53) +4   // Проблема раста в том, что его сложно читать, низкая популярность и дефицит специ, Аноним (57), 20:36 , 30-Янв-24, (57) –1   тем, кто на нем не писал, это даа все остальным норм, не сложнее чем крестыа мож, Аноним (-), 21:36 , 30-Янв-24, (63) +3   Лукавишь В плюсах нет такого количества закорючек и всё более наглядно, зачасту, Аноним (57), 21:44 , 30-Янв-24, (65)   Ну и самая частая, это постоянные падения по поводу и без Например, я пытался и, Аноним (57), 21:50 , 30-Янв-24, (66) –2   Хоть бы доку открыл https nnethercote github io perf-book profiling htmlсильно, Аноним (-), 21:55 , 30-Янв-24, (67) +3   Просто ты теоретик Я основываюсь на собственном опыте и отзывах жертв ржавчины , Аноним (57), 22:51 , 30-Янв-24, (74) –1   А, ну так начал бы с того, что ты хейтер, я бы не тратил время Неосияторы есть в, Аноним (-), 23:20 , 30-Янв-24, (75)   Я не хейтер, мне нравится раст рядом идей Пока асинхронных генераторов нет, о с, Аноним (57), 23:30 , 30-Янв-24, (76)   Так и пиши закорючки меня расстраивают, они заставляют напрягаться опилкам в мо, Аноним (-), 22:10 , 30-Янв-24, (69)   Каждый раз поражаюсь какое доброжелательное у Раста коммьюнити, и почему многие , Аноним (82), 02:59 , 31-Янв-24, (82) –1   По сравнению со злобными функциональщиками в свое время просто зайки , Ф1 (?), 09:08 , 31-Янв-24, (86)   С чего вдруг Они сами пишут что Аоти только дорос до версии 1 0 и там еще кучу , Аноним (-), 22:03 , 30-Янв-24, (68) +1   // Не проекты на Rust, а проект только RustVMM И еще они провели аудит полсотни, Аноним (82), 02:46 , 31-Янв-24, (79)   ждут когда chatgpt протестирует за них, Аноним (39), 19:30 , 30-Янв-24, (39) Для проекта, который разрабатывается на Си, нетипично мало ошибок Вероятно, это, Bottle (?), 19:33 , 30-Янв-24, (40) // Это те люди, которые ещё аудит заказывают Респект, вне зависимости от языка, ибо, Карлос Сношайтилис (ok), 19:40 , 30-Янв-24, (44) +6 // Эх, вот бы придумали такой, где отсутствие логических ошибок можно доказать, да , Аноним (61), 21:31 , 30-Янв-24, (61) // Так есть же уже - формальная верификация и все дела Но на них настолько дорого , Аноним (-), 22:17 , 30-Янв-24, (70) +1 Сегодня есть спарк ада , отзывы говорят, что подорожание незначительно , Аноним (57), 22:32 , 30-Янв-24, (72) GNATprove - инструмент для формальной верификации языка SPARK Он проверяет соот, Аноним (82), 02:51 , 31-Янв-24, (80) Давно придумали и не один, из самых практичных это ATS https www cs bu edu hw, Ф1 (?), 09:06 , 31-Янв-24, (85) Просто это не первый аудит Плюс там сильная команда, которая старается писать оч, Аноним (-), 19:59 , 30-Янв-24, (54) // Хм, так выходит метод писать нормально и не допускать очевидной лажи все же ра, Аноним (82), 02:11 , 31-Янв-24, (78) +3 // не забывай что эта же команда также применила метод переписать свой продукт на , Советский инженер (ok), 10:03 , 31-Янв-24, (88) все могут ошибаться, никто не идеален, Аноним (89), 10:33 , 31-Янв-24, (89) Не работает, потому что оно требует неоправданно много трудозатрат И все равно , Аноним (-), 10:38 , 31-Янв-24, (90) Им просто финансирование нужно осваивать Иначе зачем им деньги давать, если все, Аноним (103), 19:02 , 01-Фев-24, (103) Что ни говорите, а живые программисты -- слабое звено современного IT , Аноним (59), 21:05 , 30-Янв-24, (59) // Смотри шире Живые люди - слабое звено современного мира , Аноним (60), 21:18 , 30-Янв-24, (60) +4 // Скрыто модератором, Аноним (-), 11:32 , 31-Янв-24, (93) Cовременного O_o Диды не могли правильно посчитать размер массива еще когда икс, Аноним (-), 22:50 , 30-Янв-24, (73) // А мы еще посмотрим как потомки будут разбирать те залежи гуано, что сегодняшние , Аноним (82), 02:56 , 31-Янв-24, (81) да ты в сервис сходи, аха, Аноним (77), 02:05 , 31-Янв-24, (77) То что сейчас почему-то называют ИИ по надежности вообще ниже плинтуса , Ф1 (?), 09:12 , 31-Янв-24, (87) То есть теперь официально запруфано, что Си-версия Тора более чем безопасна Это, Аноним (82), 03:03 , 31-Янв-24, (83) +1 // Да, после кучи времени разработки, багов и аудитов они решили просто переписа, Аноним (-), 10:44 , 31-Янв-24, (91) // То есть навсегда Фух, можно выдохнуть У напичканной закладками NSA версии на, Аноним (103), 18:58 , 01-Фев-24, (102) Пацаны, что там с подозрительным товарищ-майоровским входным нодом Когда подклю, Аноним (-), 11:30 , 31-Янв-24, (92) +1 // Ни хрена не разумеется Каждый экземпляр TOR-клиента имеет локальную актуальную , Аноним (60), 12:33 , 31-Янв-24, (94) // А разве сам факт подключения к анонимной враждебной сети не будет уже флажком дл, Аноним (-), 12:43 , 31-Янв-24, (95) +1 // Конечно является Потому что в мире есть отбитые, которое кричат, что https это з, Аноним (-), 12:56 , 31-Янв-24, (96) В случае TOR вариантов нет Facebook, Twitter, Reddit, ProtonMail, DuckDuckGo, De, Аноним (60), 13:13 , 31-Янв-24, (97) Хорошо Тогда вопрос Кто контроллирует сервер входной ноды во Франции Не ду, Аноним (-), 13:46 , 31-Янв-24, (98) // В РФ провайдеры негласно РКН официально не запрещает TOR блокируют входные нод, Аноним (60), 14:00 , 31-Янв-24, (99) И оплачивают его - DARPA- U S Department of State Bureau of Democracy, Human Ri, Аноним (60), 22:51 , 31-Янв-24, (101) +1 4,29,40,59,83,92

Сообщения

[Сортировка по времени | RSS]

	35. "Результаты второго аудита безопасности разработок проекта To..."	+2 +/–
	Сообщение от Аноним (35), 30-Янв-24, 19:19
	Нет аудита - нет и уязвимостей. А то мог бы получится и конфуз с утратой доверия.
	Ответить | Правка | Наверх | Cообщить модератору

	53. "Результаты второго аудита безопасности разработок проекта To..."	+4 +/–
	Сообщение от Аноним (-), 30-Янв-24, 19:57
	> Нет аудита - нет и уязвимостей. О, вы прогрессируете! Раньше было "нет кода - нет уязвимостей", а теперь "не аудита - нет уязвимостей")) Можете начинать придумывать следующую, на случай когда еще и аудит проведут и уязвимостей не на найдут.
	Ответить | Правка | Наверх | Cообщить модератору

	57. "Результаты второго аудита безопасности разработок проекта To..."	–1 +/–
	Сообщение от Аноним (57), 30-Янв-24, 20:36
	Проблема раста в том, что его сложно читать, низкая популярность и дефицит специалистов, ну и ничего адекватного для инструментирования не придумали, что тоже накладывает определённый отпечаток. Но вообще нежелание саботировать такую славную серебряную пулю тоже понятно.
	Ответить | Правка | Наверх | Cообщить модератору

	63. "Результаты второго аудита безопасности разработок проекта To..."	+3 +/–
	Сообщение от Аноним (-), 30-Янв-24, 21:36
	> сложно читать тем, кто на нем не писал, это да а все остальным норм, не сложнее чем кресты > ничего адекватного для инструментирования не придумали а можно чуть более развернуто, чего именно не хватает? компилятор - есть дебаггер - есть система сборки - есть пакетный менеджер - есть > низкая популярность и дефицит специалистов Да, такая проблема есть, но для проектов типа Тор нужна парочка крутых спецов, а не 100500 кодеров. Можно посмотреть на статистику для си проекта (gitlab torproject org/tpo/core/tor/-/graphs/main?ref_type=heads), то можно увидеть что основной разраб был один Nick Mathewson. И еще штук пять с вкладом поменьшь. А если посмотреть тоже самое для Arti - то основных контрибьюторов три, в том числе Nick Mathewson. Так что в данном случае специалистов более чем достаточно.
	Ответить | Правка | Наверх | Cообщить модератору

	65. "Результаты второго аудита безопасности разработок проекта To..."	+/–
	Сообщение от Аноним (57), 30-Янв-24, 21:44
	>не сложнее чем кресты Лукавишь. В плюсах нет такого количества закорючек и всё более наглядно, зачастую. >чего именно не хватает Средств анализа и профилирования, например. Частая проблема программ на расте это утекающая в неизвестном направлении по неочевидным причинам память, непонятные блокировки, и прочее подобное. >парочка 2 саботирующих друг друга специалиста не смогут развивать серьёзный проект, кроме того, пока что всё указывает на то, что разработка на расте в среднем в 1000 раз медленнее разработки на других языках.
	Ответить | Правка | Наверх | Cообщить модератору

	66. "Результаты второго аудита безопасности разработок проекта To..."	–2 +/–
	Сообщение от Аноним (57), 30-Янв-24, 21:50
	>Частая проблема Ну и самая частая, это постоянные падения по поводу и без. Например, я пытался использовать ripgrep, и он постоянно падал у меня по десяткам различных причин. А производительность в 1-задачном режиме (что является единственно применимым вариантом на тех же жёстких дисках) совсем не впечатляла. И, учитывая невозможность использовать привычные возможности и выражения классического гну греп, это сводит на нет любую применимость в любых задачах. Про повышенные требования к памяти я даже не говорю.
	Ответить | Правка | Наверх | Cообщить модератору

	67. "Результаты второго аудита безопасности разработок проекта To..."	+3 +/–
	Сообщение от Аноним (-), 30-Янв-24, 21:55
	> Средств анализа и профилирования, например. Хоть бы доку открыл https://nnethercote.github.io/perf-book/profiling.html > саботирующих друг друга специалиста сильное заявление, пруфцов бы... > разработка на расте в среднем в 1000 раз медленнее разработки на других языках. Эти оценки не могут быть адекватными, иначе Arti не дополз даже до версии 0.1. Его начали писать May 07, 2020 (первый коммит), а текущую версию (1.1.12) уже можно использовать для клиента. При этом сам тор пилят с 2002 года.
	Ответить | Правка | К родителю #65 | Наверх | Cообщить модератору

	74. "Результаты второго аудита безопасности разработок проекта To..."	–1 +/–
	Сообщение от Аноним (57), 30-Янв-24, 22:51
	Просто ты теоретик. Я основываюсь на собственном опыте и отзывах жертв ржавчины с хакерньюс (больших поклонников ржавчины, надо понимать, раз они её выбирали), тамошняя аудитория как-то более убедительна в своих доводах, по сравнению с местными сумасшедшими, уж извини.
	Ответить | Правка | Наверх | Cообщить модератору

	75. "Результаты второго аудита безопасности разработок проекта To..."	+/–
	Сообщение от Аноним (-), 30-Янв-24, 23:20
	А, ну так начал бы с того, что ты хейтер, я бы не тратил время. > опыте и отзывах жертв ржавчины с хакерньюс Неосияторы есть везде, не без этого. Но делать по этому выводы - пуста затея. Лучше смотреть на тех у кого получилось и задуматься, почему они смогли, а другие - нет.
	Ответить | Правка | Наверх | Cообщить модератору

	76. "Результаты второго аудита безопасности разработок проекта To..."	+/–
	Сообщение от Аноним (57), 30-Янв-24, 23:30
	Я не хейтер, мне нравится раст рядом идей. Пока асинхронных генераторов нет, о серьёзном внедрении речи быть не может. А у кого получилось? Есть куча примеров провальности применения раста в продукте. Очень дорого, исключительно медленно, крайне не эффективно. Конкурировать сложно. В рекламные брошюры и пустой хайп верят только безумцы.
	Ответить | Правка | Наверх | Cообщить модератору

	69. "Результаты второго аудита безопасности разработок проекта To..."	+/–
	Сообщение от Аноним (-), 30-Янв-24, 22:10
	> В плюсах нет такого количества закорючек и всё более наглядно, зачастую. Так и пиши "закорючки меня расстраивают, они заставляют напрягаться опилкам в моей голове". > Частая проблема программ на расте это утекающая в неизвестном направлении по неочевидным причинам память, непонятные блокировки, и прочее подобное. Хм... без примеров звучит как балабольство. Так что ссылочки на багтреккеры или репы. > разработка на расте в среднем в 1000 раз медленнее разработки на других языках. Пруфы, Билли, нам нужны пруфы! Это выглядит или как делириум, или как бред фанатика.
	Ответить | Правка | К родителю #65 | Наверх | Cообщить модератору

	82. "Результаты второго аудита безопасности разработок проекта To..."	–1 +/–
	Сообщение от Аноним (82), 31-Янв-24, 02:59
	Каждый раз поражаюсь какое доброжелательное у Раста коммьюнити, и почему многие хейтят этих милых людей??
	Ответить | Правка | Наверх | Cообщить модератору

	86. "Результаты второго аудита безопасности разработок проекта To..."	+/–
	Сообщение от Ф1 (?), 31-Янв-24, 09:08
	>Каждый раз поражаюсь какое доброжелательное у Раста коммьюнити, и почему многие хейтят этих милых людей?? По сравнению со злобными функциональщиками в свое время просто зайки.
	Ответить | Правка | Наверх | Cообщить модератору

	68. "Результаты второго аудита безопасности разработок проекта To..."	+1 +/–
	Сообщение от Аноним (-), 30-Янв-24, 22:03
	С чего вдруг? Они сами пишут что Аоти только дорос до версии 1.0 и там еще кучу всего писать. Но проекты на раст уже подвергались аудиту, даже в новостях тут было opennet.ru/opennews/art.shtml?num=60133 "Фонд OSTIF (Open Source Technology Improvement Fund), созданный с целью усиления защищённости открытых проектов, опубликовал результаты аудита проекта RustVMM, предоставляющего компоненты для создания специфичных для определённых задач гипервизоров и мониторов виртуальных машин (VMM). ... Аудит подтвердил высокое качество кодовой базы и использование в архитектуре и реализации приёмов, нацеленных на достижение максимальной безопасности. В ходе аудита было выявлено 6 проблем, не имеющих прямого влияния на безопасность. "
	Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

	79. "Результаты второго аудита безопасности разработок проекта To..."	+/–
	Сообщение от Аноним (82), 31-Янв-24, 02:46
	Не проекты на Rust, а проект )) только RustVMM. И еще они провели аудит полсотни проектов на других языках.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема