forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

PyPI приостановил регистрацию новых пользователей и проектов из-за всплеска вредоносных публикаций, opennews (??), 29-Мрт-24, (0) [смотреть все]

На самом деле, утомительно по 10 раз перепроверять, что вон тот васянопакет на с, Аноним (5), 13:25 , 29-Мрт-24, (5) +5 //

Хоть как-то у себя поддерживать базу доверительных публичных ключей https pac, Аноним (20), 16:00 , 29-Мрт-24, (20) //

А бэкдор в xz-utils ведь был подписан Или нет , Аноним (5), 20:04 , 29-Мрт-24, (43) +2 //

Говорат был подписан Newer releases were signed by a potentially compromised u, Аноним (51), 09:48 , 30-Мрт-24, (51)

Адекватные люди ставят все pure-python пакеты исключительно из исходников, бинар, Аноним (7), 13:26 , 29-Мрт-24, (7) –1 //

А как отличить правильный исходник от 171 немножко изменённого 187 У бинарн, Аноним (8), 13:36 , 29-Мрт-24, (8) +1 //

Вот бинарник от подправленного ты никак не отличишь - злоумышленник и сумму пере, Аноним (31), 17:36 , 29-Мрт-24, (31)
Кстати, там в дистрибутивных xz-utils малварь нашли в исходниках, вот это по-акт, Аноним (5), 19:53 , 29-Мрт-24, (42) //

В том то и дело, что нашли В бинарнике бы её даже выискивать не стали , Аноним (65), 17:41 , 30-Мрт-24, (65)
И подчеркну - бэкдор был именно в релизах, которые обычно никто не смотрит, пото, Аноним (66), 17:46 , 30-Мрт-24, (66)

Неа, никто ничего не заметил за 2 месяца и растащили повсюду, в том числе по дис, Аноним (5), 19:23 , 30-Мрт-24, (68)

Повторяю недоумки берут архив с релизами Просто потому, что для архива нужен п, Аноним (70), 16:13 , 31-Мрт-24, (70)

Дело в том, что это быстрее и лучше поддаётся автоматизации И разве люди, сноша, Аноним (5), 16:43 , 31-Мрт-24, (71)

Смотри, перечень пакетов со сборкой которых возникли сложности лично у меня толь, Аноним (5), 13:38 , 29-Мрт-24, (9) //

Читай маны, Аноним (10), 14:03 , 29-Мрт-24, (10) //

Ты не понял Тысячи пакетов я скомпилировал, включая все используемые пакеты в p, Аноним (5), 14:15 , 29-Мрт-24, (12)

Не из pypi надо кшмпилить, а с гитхаба , Аноним (31), 17:37 , 29-Мрт-24, (32)

Сказано Tensorflow я сам ставлю из бинарей Потому что Гуглаг специально саботир, Аноним (30), 17:31 , 29-Мрт-24, (30) +1 //

Это 1 spacy и его зависимости на самом деле , Аноним (5), 17:38 , 29-Мрт-24, (34)

Я себе просто отключил проверку зависимостей в pip Доустанавливаю если что-то н, Аноним (36), 17:48 , 29-Мрт-24, (36)

Слезть с питона, очевидно же , YetAnotherOnanym (ok), 19:04 , 29-Мрт-24, (41) –1

А какой не является Можно список с аргументами , БуБука (?), 16:34 , 29-Мрт-24, (28)
Много ли ты видел pure-python пакетов , Пряник (?), 17:37 , 29-Мрт-24, (33) //

Более сотни - это лишь те, что я полностью сам написал, без учёта превосходящего, Аноним (36), 17:52 , 29-Мрт-24, (37) –1 //

под pure python имеется в виду отсутствие компиляции cext или долботни с maturin, Аноним (36), 17:56 , 29-Мрт-24, (38)

Правда, pure python _именно это_ и означает только интерпретируемый код, без ис, Аноним (5), 18:11 , 29-Мрт-24, (39)

О, оправдания пошли Для меня pure-python пакет - это пакет, состоящий из кода н, Аноним (40), 18:54 , 29-Мрт-24, (40)

Например, Paramiko не pure-python, потому что зависит от cryptography, написанно, Пряник (?), 10:30 , 01-Апр-24, (73)

Есть модуль multiprocessing Между разными процессами GIL не используется , Пряник (?), 10:25 , 01-Апр-24, (72)

Зато добавляются накладные расходы, IPC очень дорого и невозможно шарить конекше, Аноним (5), 10:49 , 01-Апр-24, (74)

Ну так про GIL говорили же А GIL никак не связан с однопоточной природой Asynci, Пряник (?), 15:05 , 01-Апр-24, (75)

Как можно из 16 пакетов сделать 566, кажись это очень эффективные менеджеры , Alladin (?), 17:08 , 29-Мрт-24, (29) +5
И куда он отправляет пароли Давайте уже вычислим по IP этого мамкиного шалунишк, Пряник (?), 17:43 , 29-Мрт-24, (35) +1 //

Тебе надо, сам и вычисляй С , голос из леса (?), 21:19 , 29-Мрт-24, (45) //

Нет, это тебе надо чтобы тут пользователь вычислил иначе бы комментарии не пис, Аноним (49), 07:14 , 30-Мрт-24, (49) //

Рекурсия получается, Прохожий (??), 12:30 , 30-Мрт-24, (59)

Точнее, не рекурсия, а бесконечный цикл , Прохожий (??), 12:33 , 30-Мрт-24, (60)

На какой-нибудь бесплатный хостинг ВПН, естественно , Аноним (54), 11:11 , 30-Мрт-24, (54)

А нельзя сделать просто проверку на похожесть и не разрешать имена пакетов, похо, Аноним (48), 03:25 , 30-Мрт-24, (48) +3 //

Во сколько символов разница должна быть, чтобы название не считать похожим , Прохожий (??), 12:27 , 30-Мрт-24, (57) //

С точностью до опечатки достаточно , 3draven (ok), 19:12 , 30-Мрт-24, (67)

Любые научные книги, в том числе по ИИ, содержащие упоминание технологий Pytho, Аноним (52), 10:13 , 30-Мрт-24, (52) –4 //

Тёплое с мягким тебя где научили сравнивать Или ты сам , Вы забыли заполнить поле Name (?), 12:03 , 30-Мрт-24, (56) +2

Надо запрещать похожие названия, а вообще давно пора по умолчанию сделать userna, Вы забыли заполнить поле Name (?), 12:01 , 30-Мрт-24, (55) //

Во сколько символов разница должна быть, чтобы название не считать похожим , Прохожий (??), 12:28 , 30-Мрт-24, (58) –1 //

Очевидно, коллега - специалист по сравнениюПоэтому будет делать это, Аноним (52), 13:57 , 30-Мрт-24, (61) –1
Очевидно разница может быть равна нулю Функция похожести будет сложнее чем прос, Вы забыли заполнить поле Name (?), 16:41 , 30-Мрт-24, (64)

и будут тайпсквотить имена разрабов кроме имени пакета, чатжпт (?), 14:14 , 30-Мрт-24, (62) //

Для тайпскотинга имени пакета нужна 1 учетная запись, для имени пользователя N , Вы забыли заполнить поле Name (?), 16:40 , 30-Мрт-24, (63) +1

Ну парни, кожанные мешки не могут называться программистами, если попадаются на , Аноним (69), 11:32 , 31-Мрт-24, (69) +1

Сообщения [Сортировка по времени | RSS]

42. "PyPI приостановил регистрацию новых пользователей и проектов..." +/–

Сообщение от Аноним (5), 29-Мрт-24, 19:53

Кстати, там в дистрибутивных xz-utils малварь нашли в исходниках, вот это по-актуальнее https://bugs.gentoo.org/928134 https://www.openwall.com/lists/oss-security/2024/03/29/4

Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

65. "PyPI приостановил регистрацию новых пользователей и проектов..." +/–

Сообщение от Аноним (65), 30-Мрт-24, 17:41

В том то и дело, что нашли. В бинарнике бы её даже выискивать не стали.

Ответить | Правка | Наверх | Cообщить модератору

66. "PyPI приостановил регистрацию новых пользователей и проектов..." +/–

Сообщение от Аноним (66), 30-Мрт-24, 17:46

И подчеркну - бэкдор был именно в релизах, которые обычно никто не смотрит, потому что все разрабы работают с git. А спалили именно на работе с другими разрабами. Если бы xz был поддерживаемым - спалили бы гораздо раньше. Но он фактически не был никому интересен. Как и bitmessage, в котором тоже был явный бэкдор, RCE, вообще никак не спрятанный - публично сообщили только после начала массовой атаки. Не пользуйтесь проектами с низким числом независимых разрабов и индикаторами мутности, или читайте и аудируйте их исходники сами.

Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

68. "PyPI приостановил регистрацию новых пользователей и проектов..." +/–

Сообщение от Аноним (5), 30-Мрт-24, 19:23

Неа, никто ничего не заметил за 2 месяца и растащили повсюду, в том числе по дистрам. Никто не использует гит/свн и т.д., понятное дело все берут релизный архив с исходниками, а он-то и заражён. То, что он соответствует реальным исходникам, никто не проверяет, как мы видим.

Ответить | Правка | Наверх | Cообщить модератору

70. "PyPI приостановил регистрацию новых пользователей и проектов..." +/–

Сообщение от Аноним (70), 31-Мрт-24, 16:13

Повторяю: недоумки берут архив с релизами. Просто потому, что для архива нужен просто curl, а для релиза - git + git-lfs + libcurl для фетча по http + настройка (которую можно сделать черрез переменные окружения), потому что гит откажется даже клонировать, пока никнейм и email не задашь.

Ответить | Правка | Наверх | Cообщить модератору

71. "PyPI приостановил регистрацию новых пользователей и проектов..." +/–

Сообщение от Аноним (5), 31-Мрт-24, 16:43

Дело в том, что это быстрее и лучше поддаётся автоматизации. И разве люди, сношающиеся с гитхабами и их ограничениями скорости, не недоумки? Самые настоящие. Проблема не в используемых инструментах, проблема в том, что пользователям получать дерево достаточно болезненно, а если ещё разные ветки с тегами выкачивать придётся, то всё.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру


	42. "PyPI приостановил регистрацию новых пользователей и проектов..."	+/–
	Сообщение от Аноним (5), 29-Мрт-24, 19:53
	Кстати, там в дистрибутивных xz-utils малварь нашли в исходниках, вот это по-актуальнее https://bugs.gentoo.org/928134 https://www.openwall.com/lists/oss-security/2024/03/29/4
	Ответить \| Правка \| К родителю #8 \| Наверх \| Cообщить модератору


	65. "PyPI приостановил регистрацию новых пользователей и проектов..."	+/–
	Сообщение от Аноним (65), 30-Мрт-24, 17:41
	В том то и дело, что нашли. В бинарнике бы её даже выискивать не стали.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	66. "PyPI приостановил регистрацию новых пользователей и проектов..."	+/–
	Сообщение от Аноним (66), 30-Мрт-24, 17:46
	И подчеркну - бэкдор был именно в релизах, которые обычно никто не смотрит, потому что все разрабы работают с git. А спалили именно на работе с другими разрабами. Если бы xz был поддерживаемым - спалили бы гораздо раньше. Но он фактически не был никому интересен. Как и bitmessage, в котором тоже был явный бэкдор, RCE, вообще никак не спрятанный - публично сообщили только после начала массовой атаки. Не пользуйтесь проектами с низким числом независимых разрабов и индикаторами мутности, или читайте и аудируйте их исходники сами.
	Ответить \| Правка \| К родителю #42 \| Наверх \| Cообщить модератору


	68. "PyPI приостановил регистрацию новых пользователей и проектов..."	+/–
	Сообщение от Аноним (5), 30-Мрт-24, 19:23
	Неа, никто ничего не заметил за 2 месяца и растащили повсюду, в том числе по дистрам. Никто не использует гит/свн и т.д., понятное дело все берут релизный архив с исходниками, а он-то и заражён. То, что он соответствует реальным исходникам, никто не проверяет, как мы видим.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	70. "PyPI приостановил регистрацию новых пользователей и проектов..."	+/–
	Сообщение от Аноним (70), 31-Мрт-24, 16:13
	Повторяю: недоумки берут архив с релизами. Просто потому, что для архива нужен просто curl, а для релиза - git + git-lfs + libcurl для фетча по http + настройка (которую можно сделать черрез переменные окружения), потому что гит откажется даже клонировать, пока никнейм и email не задашь.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	71. "PyPI приостановил регистрацию новых пользователей и проектов..."	+/–
	Сообщение от Аноним (5), 31-Мрт-24, 16:43
	Дело в том, что это быстрее и лучше поддаётся автоматизации. И разве люди, сношающиеся с гитхабами и их ограничениями скорости, не недоумки? Самые настоящие. Проблема не в используемых инструментах, проблема в том, что пользователям получать дерево достаточно болезненно, а если ещё разные ветки с тегами выкачивать придётся, то всё.
	Ответить \| Правка \| Наверх \| Cообщить модератору