forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

В NPM планируют использовать Sigstore для подтверждения подлинности пакетов, opennews (??), 09-Авг-22, (0) [смотреть все]

Как, друзья, вы не садитесь, И А Крылов , Аноним (7), 15:50 , 09-Авг-22, (7) +13 //

Не на пики приземлитесь, Аноним (28), 20:10 , 09-Авг-22, (28) +4
Правильный путь подписи OpenPGP, лучше с аппаратной защитой секретного ключа htt, Аноним (91), 15:46 , 10-Авг-22, (91) +1

Npm не спасти , pashev.ru (?), 15:52 , 09-Авг-22, (8) +11 //

Зато можно добавить ещё одну подпорочку , Аноним (10), 16:15 , 09-Авг-22, (10) +8
Что сделано лучше чем npm и почему Хотелось бы от вас получить технический анали, Аноним (48), 05:58 , 10-Авг-22, (48) –2 //

apt, Аноним (72), 12:40 , 10-Авг-22, (72) +6 //

Уважаемый анонимный эксперт, вы забыли добавить технический анализ почему apt лу, Аноним (105), 23:44 , 10-Авг-22, (105) –3

Раньше CDN был популярен Там нельзя как в NPM выполнить любой скрипт при устано, Аноним (111), 01:04 , 11-Авг-22, (111)

Хорошее предложение, было бы интересно посмотреть на реализацию, особенно если о, Аноним (25), 18:41 , 09-Авг-22, (25) //

Я всегда думал, что distributed - это где угодно, а не на гитпуке , Аноним (75), 13:39 , 10-Авг-22, (75) //

Значит ты всегда думал неправильно Передумывай заново всё , Аноним (25), 19:55 , 10-Авг-22, (98)
Let s encrypt так то тоже ни разу не децентрализованый Как может быть распредел, Аноним (-), 01:02 , 11-Авг-22, (109) –1

Скоро все разработчики убегут куда-нибудь на ржавчину , Аноним (27), 19:18 , 09-Авг-22, (27) +3 //

На карбонщину , Аноним (31), 20:46 , 09-Авг-22, (31) +1
Не все захотят убегать в эту эзотерику , аноним228 (?), 21:18 , 09-Авг-22, (34) +1
На кристальщинуhttps opennet ru 57549 там одной командой можно сервер поднять, Аноним774 (?), 07:42 , 10-Авг-22, (56) //

А уронить , Аноним (71), 12:39 , 10-Авг-22, (71) +1
На лиспе этой одной командой можно его не то, что поднять, но и залезть ему в ки, Аноним (75), 13:41 , 10-Авг-22, (76)
Прикинь, на шеле тоже, истина в последней инстанции (?), 15:23 , 10-Авг-22, (88) –1
Более того И на C можно и на C можно Одной командой , истина в последней инстанции (?), 15:24 , 10-Авг-22, (89) +1

А в случае, если не злоумышленник, а автор решит добавить вредонос в новую верси, Аноним (29), 20:16 , 09-Авг-22, (29) //

Конечно Персональная репутация Кроме того, в случае реального урона, на такого, Аноним (25), 21:26 , 09-Авг-22, (35) –1 //

какая репутация, какой суд там при установке чего угодно через npm обычно 10050, Аноним (29), 22:22 , 09-Авг-22, (36) +1 //

Я сплю и вижу, как анонимные кодеры на js пушат на гитхаб свои нетленки через то, Аноним (25), 00:52 , 10-Авг-22, (39)

Всё верно Только с точки зрения ответственности, разницы никакой нет Максимум а, Аноним (48), 04:05 , 10-Авг-22, (44) +2

Максимум найдут и на швабру насадят , Аноним (64), 11:18 , 10-Авг-22, (64) +2

Репутация Вот, например, лично ты что знаешь о тех людях, чьи исходники использ, YetAnotherOnanym (ok), 01:58 , 10-Авг-22, (42) +1 //

Тоже самое сделает и Microsoft А, нет, ещё 5 ущерба заплатит Пиши этот код сам, Аноним (48), 04:03 , 10-Авг-22, (43) +1
Напомню вопрос, на который я отвечал, раз уж чукча не читатель Ключевые слова а, Аноним (25), 20:41 , 10-Авг-22, (99)

Ну так тем более не будет дорожить своей репутацией тот, кто делает что-то, за ч, YetAnotherOnanym (ok), 09:51 , 11-Авг-22, (114)

Вы точно уверены, что сможете установить личность любого из авторов 100500 пакет, Аноним (29), 14:29 , 11-Авг-22, (115)

Кстати, да, очень хорошее наблюдение Что там насчёт репутации этих авторов, бОл, YetAnotherOnanym (ok), 18:54 , 11-Авг-22, (121)
Оксюморон , Аноним (122), 19:04 , 11-Авг-22, (122)

есть прецеденты даже ослу же ясно, что npm создан для того, чтобы приманивать ло, darkshvein (ok), 14:26 , 10-Авг-22, (82) //

Есть И как арестовывают в транзитных аэропортах тоже есть Почитай хоть у того , Аноним (25), 20:47 , 10-Авг-22, (100)

это называется экономика, darkshvein (ok), 23:46 , 10-Авг-22, (106)

А какое отношение экономика имеет к ослиному мышлению , Аноним (122), 19:05 , 11-Авг-22, (123)

киса, ты обиделсо тебе пояснить, что проще и главное дешевле тебя по статье нат, darkshvein (ok), 21:23 , 11-Авг-22, (127)

Разверните подробнее вашу мысль, на каком основании вы считаете что npm для тех , Аноним (105), 23:40 , 10-Авг-22, (104)

К сожалению, персональная репутация становится пустым звуком во время войны, п, Аноним (131), 14:53 , 13-Авг-22, (131) +1

Конечно есть Отслюнявливаешь баксы юридическому лицу, с регистрацией, адресом, , Аноним (48), 01:32 , 10-Авг-22, (41) +2
Никакой защиты нет Теоретически можно было бы защититься если устанавливать толь, Аноним (105), 06:42 , 10-Авг-22, (50) +2 //

это тот неадекват, что рекламу пихает на компьютеры без разрешения что ему поме, вебмакак (?), 11:39 , 10-Авг-22, (67) +1 //

Рекламу чего , Аноним (105), 19:35 , 10-Авг-22, (96)

Круто, они придумали прибить сборочную конфигурацию на гвозди И удачи пересобра, Аноним (-), 04:41 , 10-Авг-22, (45) //

Опеннет экспертам незачем , Аноним (105), 06:45 , 10-Авг-22, (51) //

Так я сабжем и не пользуюсь, к счастью, так что вон то будет не моими проблемами, Аноним (-), 07:31 , 10-Авг-22, (54) //

Нода она до всех доберется , Аноним (62), 10:23 , 10-Авг-22, (62)

Я не все, это их проблемы , Аноним (-), 01:03 , 11-Авг-22, (110)

Github CI должен себя окупать естественно, ради безопасности, вебмакак (?), 11:41 , 10-Авг-22, (68)
Ну ты попробуй пописать что-то сложнее hello world и накопленных скриптов, поймё, Аноним (25), 20:54 , 10-Авг-22, (101) //

Я уже попробовал, но такая фееричная вебмакакятина мне к счастью не требовалась , Аноним (-), 01:04 , 11-Авг-22, (112) //

Если только во сне Это ужасная практика, которая приводит к несуразным тратам вр, Аноним (122), 19:08 , 11-Авг-22, (124)

А просто запретить выполнять произвольный скрипт при установке пакета до сих пор, Аноним (111), 05:36 , 10-Авг-22, (46) +1
Большинство NPM пакетов не лезут на левые сайты ajax всякий Если ввести прост, Аноним (111), 05:40 , 10-Авг-22, (47) +1 //

Да ладно Или вы имели ввиду, что они таки лезут, но на совершенно не левые , yet another anonymous (?), 08:09 , 10-Авг-22, (58) –3

Есть простое правило посылать нах все платформы и языки, которым из коробки нуж, Аноним (-), 09:51 , 10-Авг-22, (59) +1 //

Ты только что изобрел С стандарта С99 А примеры кода вообще надо брать из книж, Аноним (62), 10:21 , 10-Авг-22, (61) +1
Чтобы чего-то откуда-то не грузить, оно уже должно быть на компукторе, что порож, Ляля (??), 12:05 , 10-Авг-22, (70) //

Ты только что открыл дистрибутив линукс с пакетным менеджером , Аноним (74), 13:09 , 10-Авг-22, (74) +2 //

Это же буквально то же самое чего-то откуда-то грузить Чем репозитории дистриб, Ляля (??), 14:29 , 10-Авг-22, (83) +1

Степенью проверенности ментейнеров пакетов Содержимое, а тем более обновления э, none7 (ok), 17:04 , 10-Авг-22, (92) +1

То есть принципиально ничем, только в деталях репозиторий дистра наполняют боле, Ляля (??), 14:50 , 11-Авг-22, (116)

Если не хочешь весь необходимый софт писать с нуля включая компиляторы, то необх, Аноним (119), 15:10 , 11-Авг-22, (119)

Спасибо, я об этом как раз и говорю Репа дистра не безопаснее NPM, но доверять , Ляля (??), 15:17 , 11-Авг-22, (120)

А можешь тезисно пояснить как ты пришёл к такому выводу Какие-то объективные кр, Аноним (122), 19:11 , 11-Авг-22, (125)

Иди в другом месте поиграй, сорванец , Ляля (??), 00:05 , 12-Авг-22, (128)

Тем, что репозитории дистров ОС поддерживаются слаженной командой дистростроител, Аноним (95), 17:35 , 10-Авг-22, (95)

А я их не знаю, для меня они какие-то люди в интернете Как их знакомство друг с, Ляля (??), 14:58 , 11-Авг-22, (118)

Если ничего умного не приходит, можно вспомнить про дискетки , Аноним (95), 17:32 , 10-Авг-22, (94)

Собственно, почему всякие удобные язычки с удобненькими пакетными менеджерами не, Аноним (75), 13:43 , 10-Авг-22, (77) +1 //

portage, Аноним (95), 17:30 , 10-Авг-22, (93)
Так называемые Фронтэнд разработчики не могут в apt Все что они могут это проз, Аноним (105), 23:28 , 10-Авг-22, (102) //

Это тупые обезьянки дистростроители не могут в npmи не научились собирать пакеты, Аноним (48), 00:00 , 11-Авг-22, (107)
Так это не баг а фича сразу видно кто в вольере гадит , Аноним (-), 01:06 , 11-Авг-22, (113) +1

В песочницу их, с запросом на доступ на каждый чих , Аноним (-), 09:54 , 10-Авг-22, (60) +2 //

Ты все пропустил это называется докер и его все используют , Аноним (64), 11:17 , 10-Авг-22, (63) +1 //

Либо ты используешь докер или он начнет использовать тебя , Аноним (84), 14:32 , 10-Авг-22, (84)

Но докер - это не про песочницу Докер - это про я забыл ключи от apt-get , Аноним (75), 13:45 , 10-Авг-22, (78) +2 //

В интерактивном режиме команды набирай и будет тебе apt-get А если ты еще польз, Аноним (84), 14:33 , 10-Авг-22, (85)
Вы имеете в виду что современные разработчики не могут понять apt и поэтому изоб, Аноним (105), 23:35 , 10-Авг-22, (103)

а поясните за npm почему нельзя ставить те же rpm, deb на худой конец srcпочему, darkshvein (ok), 13:54 , 10-Авг-22, (79) +3 //

NPN это сплошной facepalm можно исполнить любой скрипт на стороне разработчика , Аноним (111), 15:04 , 10-Авг-22, (86) +3
Поставь react из Deb А потом из rpm, Аноним (105), 19:42 , 10-Авг-22, (97)
Потому, что можно без знаний и без душнилова писать от души слабо продуманный ко, A (?), 10:19 , 15-Авг-22, (132)

эхъ, а когда-то kde собирали в freebsd из сорцов, а чтоб все собиралось и работа, Аноним (129), 08:46 , 12-Авг-22, (129) //

Дык до сих пор так делают, ну может в код особо не лезут, но желающие - могут , BorichL (ok), 14:58 , 12-Авг-22, (130)

Проблема мусорного бака в том что его нужно периодически вывозить Что npm, что , Аноним (134), 13:53 , 15-Авг-22, (134) //

И при этом когда из содержимого бака что-либо обязательно неотъемлемая часть обе, Ааантоним (?), 18:25 , 15-Авг-22, (135)

Сообщения [Сортировка по времени | RSS]

74. "В NPM планируют использовать Sigstore для подтверждения подл..." +2 +/–

Сообщение от Аноним (74), 10-Авг-22, 13:09

Ты только что открыл дистрибутив линукс с пакетным менеджером.

Ответить | Правка | Наверх | Cообщить модератору

83. "В NPM планируют использовать Sigstore для подтверждения подл..." +1 +/–

Сообщение от Ляля (??), 10-Авг-22, 14:29

Это же буквально то же самое: чего-то откуда-то грузить. Чем репозитории дистрибутива в этом смысле принципиально отличаются от NPM? Ничем, особенно если это AUR или «добавьте наш ppa».

Ответить | Правка | Наверх | Cообщить модератору

92. "В NPM планируют использовать Sigstore для подтверждения подл..." +1 +/–

Сообщение от none7 (ok), 10-Авг-22, 17:04

Степенью проверенности ментейнеров пакетов. Содержимое, а тем более обновления этого содержимого в NPN НИКТО не проверяет. Это помойка. Вы если виндой пользуетесь и хотите чего либо, то просто гуглите и запускаете первый попавшийся бинарник с варезника? А вот пользователи ПО из NPM так делают.
PPA это конечно зло и их можно ставить только на свой страх и риск, думая насколько автору PPA можно доверять. По хорошему их стоит ставить только в песочницу.

Ответить | Правка | Наверх | Cообщить модератору

116. "В NPM планируют использовать Sigstore для подтверждения подл..." +/–

Сообщение от Ляля (??), 11-Авг-22, 14:50

То есть принципиально ничем, только в деталях: репозиторий дистра наполняют более симпатичные люди, и попадает в туда не всё, а что эти люди посчитали нужным добавить.
С репой дистра мы полагаемся на неких абстрактных ментейнеров, изначально и безусловно доверяя им, хотя причин для этого просто нет. «У них подписанные ключи» и «они знают друг друга» это причина для доверия между ментейнерами, но не для юзера, юзеру остаётся только верить, что репа беды не принесёт, верить, что ментейнеры хорошие парни.

Ответить | Правка | Наверх | Cообщить модератору

119. "В NPM планируют использовать Sigstore для подтверждения подл..." +/–

Сообщение от Аноним (119), 11-Авг-22, 15:10

Если не хочешь весь необходимый софт писать с нуля включая компиляторы, то необходимо кому-то доверять. И так уж сложилось, что бомж Вася, который свой аккаунт сольёт за бутылку водки любому прохожему, заслуживает меньшего доверия чем Линус Торвальдс.
Если доверять всем, то можете с тем же успехом оставить свой бумажник с кредитными картами в кафе, все же честные люди. А если не доверять не никому, то нужно собственный процессор печатать на собственном станке.

Ответить | Правка | Наверх | Cообщить модератору

120. "В NPM планируют использовать Sigstore для подтверждения подл..." +/–

Сообщение от Ляля (??), 11-Авг-22, 15:17

Спасибо, я об этом как раз и говорю! Репа дистра не безопаснее NPM, но доверять ей проще.

Ответить | Правка | Наверх | Cообщить модератору

125. "В NPM планируют использовать Sigstore для подтверждения подл..." +/–

Сообщение от Аноним (122), 11-Авг-22, 19:11

> доверять ей проще
А можешь тезисно пояснить как ты пришёл к такому выводу? Какие-то объективные критерии привести, определение простоты дать, разъяснить в общем для менее осведомленной публики.

Ответить | Правка | Наверх | Cообщить модератору

128. "В NPM планируют использовать Sigstore для подтверждения подл..." +/–

Сообщение от Ляля (??), 12-Авг-22, 00:05

Иди в другом месте поиграй, сорванец.

Ответить | Правка | Наверх | Cообщить модератору

95. "В NPM планируют использовать Sigstore для подтверждения подл..." +/–

Сообщение от Аноним (95), 10-Авг-22, 17:35

Тем, что репозитории дистров ОС поддерживаются слаженной командой дистростроителей. Они знают друг друга. Есть взаимное доверие, есть моральная ответственность.

Ответить | Правка | К родителю #83 | Наверх | Cообщить модератору

118. "В NPM планируют использовать Sigstore для подтверждения подл..." +/–

Сообщение от Ляля (??), 11-Авг-22, 14:58

>Они знают друг друга.
А я их не знаю, для меня они какие-то люди в интернете. Как их знакомство друг с другом делает пакет безопаснее для меня?
>есть моральная ответственность
Тоже наверно перед друг другом, не передо мной же или другим админом.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру


	74. "В NPM планируют использовать Sigstore для подтверждения подл..."	+2 +/–
	Сообщение от Аноним (74), 10-Авг-22, 13:09
	Ты только что открыл дистрибутив линукс с пакетным менеджером.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	83. "В NPM планируют использовать Sigstore для подтверждения подл..."	+1 +/–
	Сообщение от Ляля (??), 10-Авг-22, 14:29
	Это же буквально то же самое: чего-то откуда-то грузить. Чем репозитории дистрибутива в этом смысле принципиально отличаются от NPM? Ничем, особенно если это AUR или «добавьте наш ppa».
	Ответить \| Правка \| Наверх \| Cообщить модератору


	92. "В NPM планируют использовать Sigstore для подтверждения подл..."	+1 +/–
	Сообщение от none7 (ok), 10-Авг-22, 17:04
	Степенью проверенности ментейнеров пакетов. Содержимое, а тем более обновления этого содержимого в NPN НИКТО не проверяет. Это помойка. Вы если виндой пользуетесь и хотите чего либо, то просто гуглите и запускаете первый попавшийся бинарник с варезника? А вот пользователи ПО из NPM так делают. PPA это конечно зло и их можно ставить только на свой страх и риск, думая насколько автору PPA можно доверять. По хорошему их стоит ставить только в песочницу.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	116. "В NPM планируют использовать Sigstore для подтверждения подл..."	+/–
	Сообщение от Ляля (??), 11-Авг-22, 14:50
	То есть принципиально ничем, только в деталях: репозиторий дистра наполняют более симпатичные люди, и попадает в туда не всё, а что эти люди посчитали нужным добавить. С репой дистра мы полагаемся на неких абстрактных ментейнеров, изначально и безусловно доверяя им, хотя причин для этого просто нет. «У них подписанные ключи» и «они знают друг друга» это причина для доверия между ментейнерами, но не для юзера, юзеру остаётся только верить, что репа беды не принесёт, верить, что ментейнеры хорошие парни.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	119. "В NPM планируют использовать Sigstore для подтверждения подл..."	+/–
	Сообщение от Аноним (119), 11-Авг-22, 15:10
	Если не хочешь весь необходимый софт писать с нуля включая компиляторы, то необходимо кому-то доверять. И так уж сложилось, что бомж Вася, который свой аккаунт сольёт за бутылку водки любому прохожему, заслуживает меньшего доверия чем Линус Торвальдс. Если доверять всем, то можете с тем же успехом оставить свой бумажник с кредитными картами в кафе, все же честные люди. А если не доверять не никому, то нужно собственный процессор печатать на собственном станке.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	120. "В NPM планируют использовать Sigstore для подтверждения подл..."	+/–
	Сообщение от Ляля (??), 11-Авг-22, 15:17
	Спасибо, я об этом как раз и говорю! Репа дистра не безопаснее NPM, но доверять ей проще.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	125. "В NPM планируют использовать Sigstore для подтверждения подл..."	+/–
	Сообщение от Аноним (122), 11-Авг-22, 19:11
	> доверять ей проще А можешь тезисно пояснить как ты пришёл к такому выводу? Какие-то объективные критерии привести, определение простоты дать, разъяснить в общем для менее осведомленной публики.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	128. "В NPM планируют использовать Sigstore для подтверждения подл..."	+/–
	Сообщение от Ляля (??), 12-Авг-22, 00:05
	Иди в другом месте поиграй, сорванец.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	95. "В NPM планируют использовать Sigstore для подтверждения подл..."	+/–
	Сообщение от Аноним (95), 10-Авг-22, 17:35
	Тем, что репозитории дистров ОС поддерживаются слаженной командой дистростроителей. Они знают друг друга. Есть взаимное доверие, есть моральная ответственность.
	Ответить \| Правка \| К родителю #83 \| Наверх \| Cообщить модератору


	118. "В NPM планируют использовать Sigstore для подтверждения подл..."	+/–
	Сообщение от Ляля (??), 11-Авг-22, 14:58
	>Они знают друг друга. А я их не знаю, для меня они какие-то люди в интернете. Как их знакомство друг с другом делает пакет безопаснее для меня? >есть моральная ответственность Тоже наверно перед друг другом, не передо мной же или другим админом.
	Ответить \| Правка \| Наверх \| Cообщить модератору