Разработчики из проекта Mozilla объявили (http://blog.mozilla.org/addons/2015/02/10/extension-signing-.../) о скором внедрении практики верификации устанавливаемых в Firefox дополнений по цифровой подписи. Целью введения проверки по цифровой подписи является повышение уровня защиты от распространения вредоносных и шпионских дополнений. Текущая схема, основанная на чёрных списках, не обеспечивает должного уровня защиты. Так как введение обязательной проверки по цифровой подписи сопряжено с изменением процесса публикации и установки дополнений, переход будет постепенным.Цифровая подпись будет формироваться в инфраструктуре Mozillа, после прохождения дополнением стадии рецензирования. Уже размещённые в репозитории Mozilla дополнения будут подписаны автоматически. Разработчики, распространяющие дополнения не через репозиторий Mozilla, будут вынуждены завести аккаунт на сайте каталога дополнений Mozilla и пройти процесс рецензирования, после чего могут распространять подписанное дополнение через сторонние сайты (по желанию разработчика данное дополнение может не отображаться в каталоге Mozilla).
Начиная с Firefox 39 планируется организовать вывод предупреждений о переходе к обязательной проверке дополнений по цифровой подписи. Далее, на протяжении двух последующих релизов Firefox, разработчикам дадут возможность пройти стадию рецензирования, после чего работа неподписанных дополнений будет заблокирована. Блокировка неподписанных дополнений будет применяться только в релизах и beta-выпусках, в ночных сборках и Developer Edition (http://www.opennet.me/opennews/art.shtml?num=41029) будет оставлена возможность установки любых дополнений. Таким образом для тестирования своих дополнений перед их публикацией разработчики будут вынуждены использовать только ночные сборки или выпуски Developer Edition.URL: http://blog.mozilla.org/addons/2015/02/10/extension-signing-.../
Новость: http://www.opennet.me/opennews/art.shtml?num=41655
Вот блин, а что делать с самописными дополнениями, созданными для автоматизации узкоспециализированных задач для себя или определённой компании. Это дополнения для личного пользования, что хочу в них, то и делаю. Я не желаю где-то светить их код и проходить какие-то процедуры проверки. Mozilla просто обязана добавить в about:config флажок для отключения цифровых подписей. Даже в Chrome проверку можно отключить.
Идти лесом :-)
Тебе же сказали, что браузер это теперь для быдла.
> Тебе же сказали, что браузер это теперь для быдла.для небыдла есть исходный код и sed/patch/gcc
> для небыдла есть исходный код и sed/patch/gccЭто для тех кто любит windows way - разминирование программ до их запуска.
> Для дополнений, не подлежащих публичному распространению, будет предложен отдельный вариант проверки, детали которого пока не разглашаются.Или используй SeaMonkey
В IceCat больше шансов, что с этим что-то сделают.
>Для дополнений, не подлежащих публичному распространению, будет предложен отдельный вариант проверки, детали которого пока не разглашаются.
>В ночных сборках и Developer Edition будет оставлена возможность установки любых дополнений.
>>Для дополнений, не подлежащих публичному распространению, будет предложен отдельный вариант проверки, детали которого пока не разглашаются.
>>В ночных сборках и Developer Edition будет оставлена возможность установки любых дополнений."Но вы можете изогнуться буквой зю и перекомпилировать файрфокс". Единственная проблема: это не отменяет западлостроительных инициатив и доверие к такому вендору подмачивается.
>>"Но вы можете изогнуться буквой зю и перекомпилировать файрфокс"мы каждые 2 месяца делаем emerge firefox :) Думаю, появится USE=developer или типа того...
Если у тех кто "не желает где-то светить их код" ничего не будет работать - то это просто отлично.
> Если у тех кто "не желает где-то светить их код" ничего не будет работать - то это просто отлично.Зачем светить исходники софта, который был разработан для использования исключительно самим разработчиком (не важно, одним человеком или компанией)? Даже GPL не обязывает выкладывать исходники в свободный доступ всем подряд.
А зачем их зажопливать?
а почему вы должны иметь доступ к тому что я написал для себя? Самим слабо написать и выложить?
С философской точки зрения они используют Firefox, которому многие помогали бесплатно и под бесплатной лицензией, они что-то должны отдавать взамен.С реальной никто не запрещал дополнения для Firefox под проприетарной лицензией.
> А зачем их зажопливать?Чтобы энтропию не увеличивать. Потом ведь ничего не найти будет, если каждый свои черновики вывешивать начнёт.
Свои пароли, даже зашифрованные Вам не жалко?
Почему в все файлы в вашей фс не опубликуете? Зажопили?
Публикуем. Аж под 2 Тб, без ограничения слотов отдачи. Dc++ называется.
Но по факту использование СПО не предполагает обязательного вклада в это СПО "взамен полученного".
Да ладно, что это там за чудо-дополнение к файрфоксу, покрытое такой тайной? :)
For extensions that will never be publicly distributed and will never leave an internal network, there will be a third option. We’ll have more details
Угу опция "Опасносте, это дополнение не подписано. Разрешить Да/Нет?"
Или доп опция "вы точно уверены? Да/Нет"
а в чем трабла получить подпись? Лень? :)
Дополнениям: "Ваш браузер заблокирован за просмотр порно, отправьте смс на короткий номер для разблокирования" - подпись не дают. Пичалька.
> для разблокирования" - подпись не дают. Пичалька.Пичалька - в том что мозилла хочет единолично рулить всем. Чтобы проверить аддон - извольте использовать версию для камикадзе. Повседневный браузер не прокатит. А мозилла будет за всех решать что хорошо а что плохо. Доплатит им например микрософт и гугл - и они не будут подписывать, например, адблокеры. А оспорить можно в спортлото. Знаем мы эти схемы.
> А мозилла будет за всех решать что хорошо а что плохо.В том числе и принудительно заставлять пользоваться огнелисом -- да, да, ОНИ такие!
> А оспорить можно в спортлото. Знаем мы эти схемы.
MPL не запрещает сделать свой, "правильный" форк / патч-сеты -- или пользоваться другим браузером =)
> В том числе и принудительно заставлять пользоваться огнелисом -- да, да, ОНИ такие!Знаем мы этих буржуев - "но у вас есть выбор: вы можете ходить пешком!". К счастью, Форду за его "только черным" все-таки отлилось. И мозилле отольется.
> MPL не запрещает сделать свой, "правильный" форк / патч-сеты -- или пользоваться
> другим браузером =)Зато возможности авторов по предложению дополнений сильно урежутся. Но ок, это хороший повод заменить знакомым хомякам файрфокс на что-то менее западлостроительное.
> К счастью, Форду за его "только черным" все-таки отлилось. И мозилле отольется.Что именно Генрику отлилось? В Европе одна из самых популярных марок и в пиндостане вполне себе тоже.
Да уж. F.O.R.D = Fix Or Repair Daily.
Не у нас придумана фраза.
года два уже сижу на "версии для камикадзе", трабла была только один раз - при выходе 38 версии, и ту уже исправили.
Пихать в обход штатных средств установки дополнений. ЭЦП проверяется только на этапе установки, расширения, подсунутые пакетным менеджером не проверяются.
> установки, расширения, подсунутые пакетным менеджером не проверяются.Так это... скажут что это безобразие и позволяет подпихивать левые дополнения в обход мозиллы. На маздайке уж по любому так сделают.
Ну, когда сделают, тогда волнуйся :-) Придётся пересобирать свой собственный Firefox с б-дж. и ш.
> Вот блин, а что делать с самописными дополнениями,Ты не понял, чувак. Фошысское желание Рулить Единолично Всем - заразная штука. Ну вот каждое удило теперь пытается сгородить "экосистему", где амебышей заставляют ходить по струнке, так как надо владельцам "экосистемы".
Поздравляю, мозилла популярно объяснила юзерам что они амебы в их пробирке. Пора валить на icecat...
Народ возмутится, и в about:config добавят пунктик (надеюсь)
Нечего всех сгонять на свои овномаркеты регистрироваться.
> Народ возмутится, и в about:config добавят пунктик (надеюсь)
> Нечего всех сгонять на свои овномаркеты регистрироваться.http://www.opennet.me/openforum/vsluhforumID3/101470.html#139
> Вот блин, а что делать с самописными дополнениями, созданными для автоматизации узкоспециализированных
> задач для себя или определённой компании. Это дополнения для личного
> пользования, что хочу в них, то и делаю. Я не желаю
> где-то светить их код и проходить какие-то процедуры проверки. Mozilla просто
> обязана добавить в about:config флажок для отключения цифровых подписей. Даже
> в Chrome проверку можно отключить.Соберешь Хромиум, тебя это что, затруднит?
> Соберешь Хромиум, тебя это что, затруднит?Вытряхивать за другими их г-но - всегда не очень приятно, знаешь ли.
> Mozilla просто обязана добавить в about:config флажок для отключениятвой "about:config" это всего лишь лишняя строчка внутри файла
.mozilla/firefox/blahblahblah/prefs.js
любое вирусное дополнение (во время своей вирусной инсталяции) -- будет НЕВЕРОЯТНО РАДО(!) прописать "нужную" строчку внутри "prefs.js" ("about:config"), и таким образом вЫключить проверку дополнений, к чёртовой бабушке.
в этом смысле подход Мозиллки -- очень корректен: не хотите проверку дополнений -- значит делайте перекомпелированную версию на свой страх-и-риск!
Наконец-то у юзверей лиса не будет загажена хламо-дополнениями.
Теперь будет загажена подписанными хламодополнениями.
> Теперь будет загажена подписанными хламодополнениями.В т ч вредоносными, т к после добавления в маркет обновления проверяются сквозь пальцы.
> Наконец-то у юзверей лиса не будет загажена хламо-дополнениями.Ну да, наконец то мозилла сможет выпилить адблокеры, когда гугл и микрософт ей за это доплатят. Так что у вас не будет неправильных дополнений. Смотрите рекламу, дорогие пользователи.
Так, что там еще осталось из адекватного? Seamonkey?
Еще нафоркают. А так да, упомянутая тобой seamonkey, pale moon, и qupzilla (но проект менее похож на хром, и более на файрфокс 3-4 версий, на любителя). Либо переходи на хромофорки - хромиум, яндекс браузер, вивальди, iron и т.д.
> Еще нафоркают. А так да, упомянутая тобой seamonkey, pale moon, и qupzilla
> (но проект менее похож на хром, и более на файрфокс 3-4
> версий, на любителя). Либо переходи на хромофорки - хромиум, яндекс браузер,
> вивальди, iron и т.д.Какие из них хорошо умеют SPNEGO на прокси и на сайтах?
> Так, что там еще осталось из адекватного? Seamonkey?Seamonkey, PaleMoon, TorBrowser (для обычного веба с отключенным прокси).
Интересно, как с этим поступят разрабы TorBrowser. В PaleMoon скорее всего отключат запрет на установку. У Seamonkey свои заморочки, приходится переписывать дополнения под него с Firefox.
w3m
В Firefox приходит тивоизация и, как следствие, несовместимость с GPLv3. Столлман будет счастлив.
rpm (и apt) проверяет подпись каждого пакета который пользователь устанавливает в системе
>To verify Red Hat packages, you must import the Red Hat GPG key. To do so, execute the following command at a shell prompt:
>rpm --import /usr/share/rhn/RPM-GPG-KEYТоже тивоизация?
Это не одно и тоже.
Штатный RPM и API позволяют игнорировать проверку и вручную установить любой пакет.
Штатные стабильные сборки Firefox позволят использовать только подписанные дополнения, хочешь ты того или нет.
>Штатный RPM и API позволяют игнорировать проверку и вручную установить любой пакет.Администратору ака root - у.
>Штатные стабильные сборки Firefox позволят использовать только подписанные дополнения, хочешь ты того или нет.Пользователю. Администратор же может поставить версию для разработчиков и ставить произвольные блобы по желанию.
> Штатные стабильные сборки Firefox позволят использовать только подписанные дополнения,
> хочешь ты того или нет.Посмотрите первую же ссылку в новости или выдержку из материала по ней в #27.
Интересно, что они собираются придумать -- шаг в сторону и вектор атаки...
Проверят, ругается, но позволяет ставить сторонние пакеты.
Однако, есть разница
Обычному пользователю? На данный момент что бы установить вам в фф кейлогер и снифер паролей злоумышленнику нужен 10 секундный физический доступ к вашему компьютеру. И не нужен административный пароль. Это абсурдная ситуация.
При физическом доступе можно положить свой троян в ~/bin.
И readme.txt к нему, с просьбой смонтировать /home без noexec, и запускать его во время ввода номеров банковских карт.
/home с noexec монтируют только те, у кого в ~/bin только трояны.
Пишем троян на питоне, автозапуск питона с трояном в качестве аргумента прописываем в какой-нибудь bash_profile. noexec на /home Вас обязательно защитит.
> Пишем троян на питоне, автозапуск питона с трояном в качестве аргумента прописываем
> в какой-нибудь bash_profile. noexec на /home Вас обязательно защитит.Да ладно, он интерпретатор не найдет, а если и найдет - то версия все-равно не та окажется :).
> rpm (и apt) проверяет подпись каждого пакета который пользователь устанавливает в системеДля APT и RPM любой разработчик может сделать свой репозиторий со своими ключами, которыми он будет подписывать свои пакеты.
Ключи для подписи дополнений Firefox есть/будут только у Мозиллы.
IMHO, разница очевидна.
>>rpm --import /usr/share/rhn/RPM-GPG-KEY
> Тоже тивоизация?Так тут я могу свой ключ добавить и далее ставить свой софт подписанный лично мной. А вот у мозиллы всего этого в планах не знавится.
Понимаешь, чувак, полезность или вредность замка очень зависит от того у кого ключи. Если у ТЕБЯ нет ключей - для тебя замок ничего хорошего не обещает. Ну а мозилла решила быть единоличным гестаповцем который решает, кого пропускать в здание, а кого расстрелять при входе.
>>>rpm --import /usr/share/rhn/RPM-GPG-KEY
>> Тоже тивоизация?
> Так тут я могу свой ключ добавить и далее ставить свой софт
> подписанный лично мной. А вот у мозиллы всего этого в планах
> не знавится.
> Понимаешь, чувак, полезность или вредность замка очень зависит от того у кого
> ключи. Если у ТЕБЯ нет ключей - для тебя замок ничего
> хорошего не обещает. Ну а мозилла решила быть единоличным гестаповцем который
> решает, кого пропускать в здание, а кого расстрелять при входе.Ничего не напоминает?
> Ничего не напоминает?Ну они такие не уникальные, но от них это как-то меньше всего ожидалось.
Напоминает центр сертификации драйверов Windows. Уверен что Mozilla откажется подписывать Adblock по надуманной причине. Или не объясняя причин.
>Уверен что Mozilla откажется подписывать Adblock по надуманной причине. Или не объясняя причин.Нострадамус, ты?
- Холмс, как вы догадались о том, кто победит выборы в России?
- Опять издеваетесь, Ватсон!
>победит выборыВсе понятно.
Я бы сказал - абсолютно корректное выражение в некотором смысле
> Я бы сказал - абсолютно корректное выражение в некотором смыслеТак может в этом и издевка? :)
Фокс - туфта, а не опенсорс, имеет по умолчанию включённые зонды, поддерживает DRM и вот теперь это. Скорее всего Вы правы, это такой хитрый способ избавиться от Adblock'ов.
В 2015 году мозила собирается устранить уязвимость на которую указывал @Moxie еще в 2011.
@Moxie - автор sslstrip
DEFCON 17: More Tricks For Defeating SSL
http://www.youtube.com/watch?v=ibF36YyeehwЕсли у вас есть валидный сертификат на сайт мозиллы и или addons.mozilla.org или угнанный корневой, вы можете запустить у пользователя произвольный код, через систему автообновления дополнений. @Moxie используя одну из уязвимостей выписал себе сертификат на * (весь интернет).
Для истеричек. Вы понимаете что именно так работают публичные репозитории всех основных дистрибутивов линукса?
> Для истеричек. Вы понимаете что именно так работают публичные репозитории всех основных
> дистрибутивов линукса?Только там распределение ключей как-то поумнее сделано. И свой можно добавить. А вот мозилла такой возможности не обещает.
Ключевые слова здесь "Если у вас есть валидный сертификат на сайт мозиллы и или addons.mozilla.org или угнанный корневой". Перефразирую "Если у вас есть ключи от особняка Рокфеллера...", "Если у вас есть SSH-ключ администратора сервера kernel.org...", "Если вы получили коды доступа к банковской ячейке...".
Слава богу корневые сертификаты не разу не угоняли. И в библиотеках проверки ssl, типа openssl, не было уязвимостей.
> Слава богу корневые сертификаты не разу не угоняли. И в библиотеках проверки
> ssl, типа openssl, не было уязвимостей.А ssl bump, стало быть, приснился?
Кстати, а ничего, что в SSL дырища в концепции дерева доверия главная, а не в реализации библиотек?
> Слава богу корневые сертификаты не разу не угоняли.Comodohacker с вами не согласен. Между прочим, за счет его деятельности закрылся DigiNotar, потому что после такого факапа не живут.
И угнать валидный сертификат на сайт x, и иметь возможность запускать бинарный код на стороне жертвы это очень разные вещи.
> Ключевые слова здесь "Если у вас есть валидный сертификат на сайт мозиллы
> и или addons.mozilla.org или угнанный корневой". Перефразирую "Если у вас есть
> ключи от особняка Рокфеллера...", "Если у вас есть SSH-ключ администратора сервера
> kernel.org...", "Если вы получили коды доступа к банковской ячейке...".То вы всё равно ни на кернел орг, ни к Рокфеллеру не попадете, т.к. есть другие уровни безопасности в лице охранников, доступа с ограниченного кол-ва ип, и т.д.
А тут всё проще будет. Так что смысла в такой "безопасности" нет. Лучше бы sudo требовали для установки ЛЮБОГО дополнения. И UAC-подтверждения в винде.
а как мне самодельное расширение использовать?
>Для дополнений, не подлежащих публичному распространению, будет предложен отдельный вариант проверки, детали которого пока не разглашаются.Сообщите, когда узнаете детали.
> Сообщите, когда узнаете детали.Зачем бы это NSA - информировать вас о том как вас можно поиметь?
> Сообщите, когда узнаете детали.если бы я знал, откуда их узнать, то тут бы не спрашивал. Авось, кто владеет тайными знаниями о цифровом угнетении народных масс.
Коснётся ли это freshplayerplugin или плагины и расширения разные вещи?
Оп-па... На что же менять уютную SeaMonkey?
> Оп-па... На что же менять уютную SeaMonkey?На gnuzilla, вестимо. </tag>
Ни на что, в ней этого не будет.
>На что же менять уютную SeaMonkey?А почитать нормально, не судьба? В SeaMonkey проверку добавлять не будут.
Зачем "добавлять", просто не выпиливать. DRM оставили, и с этим не будут напрягаться.
Читай ещё раз - к SeaMonkey это "нововведение" не относится
> Читай ещё раз - к SeaMonkey это "нововведение" не относитсяРазве там написано, что "оно" никогда не будет в ff-esr? :-O
Чтобы понимать, почему его там не будет, нужно понимать, какая ситуация с дополнениями в SeaMonkey. Если коротко - каждый второй его пользователь руками или софтинами патчит дополнения. Если добавить эту антифичу - он просто умрёт к чёртовой матери.
> умрёт к чёртовой матери.Так мозильщики судя по всему решили вдариться в walled garden экосистему.
>> умрёт к чёртовой матери.
> Так мозильщики судя по всему решили вдариться в walled garden экосистему.А дрищ-реризы раз в 3 гнедели не то же было? А монолит, носящий "всё с собой" (да, целых 2 библиотеки внешние - nss и nspr; три - +glibc) в перекати-патч версиях, не?? Папа ESR должен _очень гордиться.
seamonkey не контролируется мозиллой, если вы не знали. Это дружественные проекты, и мозилла им помогает (в основном хостингом), но не более
интересно болтает лису ...Сначала интерфейс как у хрома, теперь подписанные дополнения как драйвера у MS ...
Красота !
Кстати - любителям девелопер эдишен ... Проверку сертификата ssl можно отключить? А то задолбало получать на сайтах -
==================
произошла ошибка. SSL-узел не ожидал полученного сообщения рукопожатия. (Код ошибки: ssl_error_handshake_unexpected_alert)Страница, которую вы пытаетесь просмотреть, не может быть отображена, так как достоверность полученных данных не может быть проверена.
==================
> ssl_error_handshake_unexpected_alert
Ну во первых -
Status: UNCONFIRMED
и Reported: 2009-07-06 22:58 PDT by PGNet DevА появилась такая бяка только в 37.0a2
А во вторых - "SSLtap and SSLdump are your friends." очень обнадёживает - ага.
P.S. Пока штатный FF нормально это дело отрабатывает.
>[оверквотинг удален]
> Сначала интерфейс как у хрома, теперь подписанные дополнения как драйвера у MS
> ...
> Красота !
> Кстати - любителям девелопер эдишен ... Проверку сертификата ssl можно отключить? А
> то задолбало получать на сайтах -
> ==================
> произошла ошибка. SSL-узел не ожидал полученного сообщения рукопожатия. (Код ошибки: ssl_error_handshake_unexpected_alert)
> Страница, которую вы пытаетесь просмотреть, не может быть
> отображена, так как достоверность полученных данных не может быть проверена.
> ==================Рутовый паблик от сайта, стало быть, установить не допетрил, знаток PKI?
Одно к одному. Открыл новую вкладку бравзёра, а там надпись:
Mozilla principle #5: Individuals must have the ability to shape the Internet and their own experiences on it. Read more.
Как-то не вяжется.
> Как-то не вяжется.man double standards :(
еще одну платформу для html-приложений угробили.
придется переходить на slimerjs для автоматизации.
Т.е. такого https://www.schneier.com/blog/archives/2014/01/adware_vendor...
> Adware Vendors Buy and Abuse Chrome Extensions
> ownership of a Chrome extension can be transferred to another party,
> and users are never informed when an ownership change happens.
> Malware and adware vendors have caught wind of thisможно будет не бояться? =)
> можно будет не бояться? =)Конечно. Ты можешь быть уверен: враг уже внутри :)
Интересно, какие дополнения стояли за прецедентами.Опубликовали списочек бы.
> Опубликовали списочек бы.Ну как бы самоходного барахла бывает. Микрософт например вкорячивал в лису без спроса дотнет и сервелат. Но тут что называется, с водой выплеснули ребенка. В смысле, мозиллу люди использовали как-то совсем не за то что они огороженный концлагерь, простите, walled garden.
Поищи "How to remove Adware from Mozilla Firefox"
Это правильно. Пользователи бинарных дистрибутивов должны страдать.
> Это правильно. Пользователи бинарных дистрибутивов должны страдать.Ну спасибо, добрый человек...
> Это правильно. Пользователи бинарных дистрибутивов должны страдать.Вот я всю жизнь мечтал перекомпилить файрфокс. Особенно - для того чтобы расзондировать его.
Так, стоп: а почему доверия исходникам от проблемных авторов больше чем бинарникам от них же? То что я могу выколупать шит... ну я могу и бинарь запатчить, если уж очень приперло. Но вот мое желание выколупывать западло и из сорца и из бинаря - одинаково предсказуемое.
>> Это правильно. Пользователи бинарных дистрибутивов должны страдать.
> Вот я всю жизнь мечтал перекомпилить файрфокс. Особенно - для того чтобы
> расзондировать его.Ой да ладно. Всё-таки не руками собирать -- билдсистема у него есть, и она разрулит сама. Пыхтеть процессор будет. Это не какой-нибудь там XFree86 в те годы, когда он ещё на модульность не перешёл и не назвался Xorg'ом. Вот с ним было сложно, особенно в первый раз. С файрфоксом и с его предшественником Mozilla у меня никогда никаких проблем не возникало. Ну, точнее последнее время пришлось своп подключать, потому что иначе линкеру не хватает 4Gb оперативки -- и теперь линковка занимает минут десять-двадцать времени. Но мне не приходится вручную диск крутить -- ядро на себя берёт эти проблемы, -- и поэтому мне не очень важно.
> Так, стоп: а почему доверия исходникам от проблемных авторов больше чем бинарникам
> от них же? То что я могу выколупать шит... ну я
> могу и бинарь запатчить, если уж очень приперло. Но вот мое
> желание выколупывать западло и из сорца и из бинаря - одинаково
> предсказуемое.Ты смотришь на ситуацию с точки зрения пользователя бинарного софта. Опция проверки подписи -- всего лишь опция. Да для неё нету галочки в графическом диалоге настроек. Несколько неудобно, потому что её нельзя включать/выключать без пересборки, но с другой стороны совершенно понятно почему именно так: чтобы её нельзя/сложнее было бы выключить посредством вредоносного js. А если надо и то, и другое, то можно и два файрфокса собрать.
Но на самом деле, ты зря так бурно реагируешь. Я просто вбросил на вентилятор. Мне, если честно, фиолетово -- что так, что эдак. Те аддоны, которые я использую, mozilla не сможет задавить, даже если очень захочет. А уж придётся ли мне, для использования этих аддонов, прописывать в /etc/portage/package.use какие-нибудь флаги или нет -- это уже совершенно неважно. Для пользователей бинарных дистров есть IceCat, есть уже собранная версия мозиллы для девелоперов -- выбирай на вкус. И собственно я не вижу вообще причин что-либо обсуждать. Поэтому и вбрасываю: вижу же, что всем хочется что-нибудь пообсуждать.
> Ой да ладно. Всё-таки не руками собирать -- билдсистема у него есть,
> и она разрулит сама. Пыхтеть процессор будет.А оно мне сильно охота - греть воздух по причине "выколупываю западло от мозиллы"? И как я уже сказал - проблема больше в самой нужде выколупывать западло. То-есть а завтра я в сорце еще что-то не найду и пропущу вон ту мину. И вообще - постепенно работенки получается почти на целого майнтайнера.
> никогда никаких проблем не возникало.
Не испытываю огромного желания быть целым майнтайнером в рамках аж одного или нескольких локалхостов. А так - решения по распадлоидизации будут и для тех кто бинарными дистрами пользуется. Но проблема не в том. Такие авторы элементарно утрачивают доверие как апстрим.
> поэтому мне не очень важно.
Ну а я не хочу становиться майнтайнером в пределах локалхоста. Собственно потому и предпочитаю бинарные дистры. Там я могу выбрать более-менее устраивающих майнтайнеров. Проблема то не в сорцах и бинарях как таковых а в доверии к источнику их происхождения.
> Ты смотришь на ситуацию с точки зрения пользователя бинарного софта.
Это не так. Я иногда собираю софт из исходников. Но это как правило проекты, в которых я по какой-то причине заинтересован лично, вношу какие-то изменения и прочая.
> Опция проверки подписи -- всего лишь опция.
Весьма зависит как реализовать. Если это только в исходниках будет выпиливаться - ну, знаешь, железная дверь - не есть непреодолимое препятствие: полдня прыгания с болгаркой и проблема решена. Ну вот выпиливать таким макаром проверку подписей из лисы столь же приятно как входить в свой дом при помощи болгарки, потому что какой-то хрен поставил там дверь с замками, от которых у меня нет ключей.
> чтобы её нельзя/сложнее было бы выключить посредством вредоносного js. А если
> надо и то, и другое, то можно и два файрфокса собрать.Я и говорю - я могу в принципе спилить болгаркой дверь приваренную соседом к моей хате. Но это не значит что нужда полдня прыгать с болгаркой добавит симпатий соседу. Ну вот и тут как-то так же.
> Но на самом деле, ты зря так бурно реагируешь. Я просто вбросил на вентилятор.
Ну а я не оценил игнора проблемы в виде скурвившегося апстрима. Который явно возжелал устроить walled garden по типу эппла.
> прописывать в /etc/portage/package.use какие-нибудь флаги или нет -- это уже совершенно
> неважно.Звучит примерно как "но я могу срезать колючую проволоку, обезвредить мины и спилить дверь болгаркой - и все-таки попаду домой!".
> всем хочется что-нибудь пообсуждать.
Превращения апстрима в walled garden - это таки серьезная проблема. Это и расширения угробит почти все. Сам будешь майнтайнить то что тебе надо, если в политики мозиллы не протиснется, а т.к. им заносят денег микрософты и гуглы - это запросто. Уж какие-нибудь блокировщики рекламы придушат как пить дать.
> Звучит примерно как "но я могу срезать колючую проволоку, обезвредить мины и
> спилить дверь болгаркой - и все-таки попаду домой!".Простите, вы когда в диалог настроек суётесь, у вас тоже ассоциация с колючей проволокой проскакивает? А когда пакетным менагером пользуетесь?
> билдсистема у него есть, и она разрулит самаАга, разрулит, скажет - мне твоя либа не нравится - меняй, потом другая, третья, так пол системы можно за вечер пересобрать, а до сборки сабжа так и не добраться, сломав по пути что-нить и наплодив кучу libY.[0-9].so.
Хотя, гентушникам наименее геморойно будет.
А от пользователей сырцовых дистрибутивов страдает природа и на них наживаются проприерасты (или в ЭСах перешли на свободное ПО?)!1
> А от пользователей сырцовых дистрибутивов страдает природа и на них наживаются проприерасты
> (или в ЭСах перешли на свободное ПО?)!1Да-да. Ищите оправдания своим страданиям. ;)
> Да-да. Ищите оправдания своим страданиям. ;)Да,да. Или бинарники, или сырцы! Вернее -- только сырцы, только хардкор!
Иного не дано и компромисы (собираем только то, что действительно нужно заточить под себя, всякие либроофисы устанавливаем из реп) -- для слабых духом! =)
> Да,да. Или бинарники, или сырцы! Вернее -- только сырцы, только хардкор!
> Иного не дано и компромисы (собираем только то, что действительно нужно заточить
> под себя, всякие либроофисы устанавливаем из реп) -- для слабых духом!а какой у вас дистрибутив/ось с удобной сборкой из сырцов с репа с патчами (и/или своими патчами) в пакет и репами готовых пакетов ?
> а какой у вас дистрибутив/ось с удобной сборкой из сырцов с репа
> с патчами (и/или своими патчами) в пакет и репами готовых пакетов?На тему _удобной_ сборки из исходников в репозитории SCM за последние лет десять наблюдается несколько различных экспериментов; соответственно с различными результатами по состоянию на сейчас. Например, в случае дебиана стоит посмотреть на https://wiki.debian.org/PackagingWithGit
После всех новостей о гниении (некогда прекрасного в своей идеологии) Firefox-а у меня остаётся (вы не поверите!) только один (!) вопрос: как будет называться форк правильного Фокса? (даже не "кто" или "когда", т.к. явно скоро и явно кто-нибудь не выдержит этого ..з..ца)
Переходим на Chrome, котаны.
> Переходим на Chrome, котаны.Из огня да в полымя? Хвост у тебя подгорит.
А без всяких истерик о том что "щвободку ущемляют!!!" Конкретно как то мешается?
Всё правильно делают. Или хотите такой же помойки как у расширений safari?
Ты жалкий потребитель, а мне свои расширения запускать надо.
Не угадал. Писал расширения можно сказать под все мажорные браузеры (ie, safari, opera presto, chromium), кроме фурифокса. Проблемы не вижу в этом нововведении.
Ха, вовремя я перешёл на Icecat. Надеюсь там такой шит не впилят [trollface]
Я не единственный пострадалец буду от ввода доп проверки, т.к. использую пяток-другой самописных или подправленных аддонов, которые или уже не поддерживаются или не работают чисто по линукс. Например: открыть терминал, а не папку из окна загрузки.
Вариантов решений думаю хватит, коль разработал, то и сиди на Developer Edition, сам несколько лет на ночных сборках сидел, кучу раз хватал проблемы.А я придумал вариант, когда в бинарник внедрить тулзу, которая считает привязку к железу, например, серийнку жётского диска. Так многие проги делают, сама винда, при переносе слитает лицензия/активация.
высчитанный код нужно будет вставить в дополнение и подписать его либо каким-то публичным ключом, либо через сервис мозилы, т.е. зарегавшись там и прошедши многофакторную авторизацию.
т.е. получившееся дополнение будет не публичным и работать только на каком-то одном компе.
а я придумал решение ещё проще: диалоговое окно с сообщением, двумя кнопками и галкой. сообщение такое: «это дополнение не подписано. всё равно хотите установить?» две кнопки: «да», «нет». галка: «уйди, зануда грешная, и больше меня об этом дополнении не спрашивай!»
> использую пяток-другой самописных или подправленных аддонов, которые или уже не поддерживаются или не работают чисто по линукТак почему же не сделать их по нормальному и не выложить для общего пользования?
на самом деле идея у них — защититься от подпихивания «левых» дополнений. если в браузере будет переключатель «молчать и принимать» — то подписи в принципе становятся бесполезны, потому что троян первым делом выставит переключатель в «молчать», и дальше поставит всё, что захочет.именно по этой причине в «юзерских» версиях флажок делать не хотят.
однако идея посадить в концлагерь ВСЕХ ради мнимой безопасности кучки идиотов — категорически кривая.
почему мнимой? да полноте, с современными интернетами трояны будут таскать с собой даже и не патчилку, а просто пересобраный .exe с отключеной проверкой. если идиот трояна подхватил… в общем, защитить идиота от его идиотизма невозможно. зато возможно создать неудобства всем остальным — чем мозилловцы и занимаются с достойным лучшего применения усердием.
Они уничтожили опенсоурс дополнения, какой теперь смысл публиковать их на всяких гитхабах? Нету смысла.
> на самом деле идея у них — защититься от подпихивания «левых» дополнений. если в браузере будет переключатель «молчать и принимать» — то подписи в принципе становятся бесполезны, потому что троян первым делом выставит переключатель в «молчать», и дальше поставит всё, что захочет.Если на машине сидит троян, который может имитировать ввод с клавиатуры и действия мыши, дополнения Огнелиса — далеко не главная проблема владельца машины. Сопсна, такой троян и без левых дополнений Огнелиса сможет весьма многое.
У оперы кстате смешнее, там защищают настройки поисковых систем. Нельзя добавить свою поисковую систему и сделать её по умолчанию. Типа защита от вредоносного ПО, которое подменяет поисковые системы.