Разработчики дистрибутива Arch Linux сообщили (http://www.archlinux.org/news/pacman-4-moves-to-core/) об интеграции менеджера пакетов pacman 4.0.0 (http://www.archlinux.org/pacman/) в базовую систему. Кроме исправления ошибок и нескольких новых возможностей, новая версия включает в себя уже много лет ожидаемую функцию проверки цифровых подписей пакетов.
Краткий список изменений (http://projects.archlinux.org/pacman.git/tree/NEWS) в pacman 4.0.0:
- Система проверки цифровых подписей пакетов, интегрированная в pacman, смежные библиотеки и скрипты. Для управления ключами подготовлена утилита pacman-key (https://wiki.archlinux.org/index.php/Pacman-key_%28...);
- Опция '--recursive' для обновления пакета и всех его зависимостей;
- Значительное улучшение документации, генерируемой Doxygen;
- Утилита pacsort, предназначенная для сортировки пакетов по версиям;
- Множество исправлений ошибок и оптимизаций.
Особое место в этом...URL: http://www.archlinux.org/news/pacman-4-moves-to-core/
Новость: http://www.opennet.me/opennews/art.shtml?num=32835
И как всегда, появилась ВНЕЗАПНО. Нескучный дистрибутив.
> И как всегда, появилась ВНЕЗАПНОЭто ты, видимо, на тестинге не сидел. Вот там внезапно, так внезапно.
В смысле внезапно? Давно известно было, и новость на главной есть. А те кто в роллинг-дистрибутивах обновляется наудачу - сами себе злобные буратины. В роллингах сначала надо читать примечания, а потом обновляться, это правило №1.
> В роллингах сначала надо...скрестить пальцы, помолиться тому во что вы там верите и зааплаить :)
Глупый вопрос... А зачем? Есть же набор источников пакетов, перечисленный на офсайте.
Чтобы можно было проверить что это - от разработчиков арча, а не от доброго хакера В. Пупкина, отгружающего полезняшки с двойным дном.
Ага. А теперь вспоминаем сколько арчу лет и учитываем, что подписи а) появились ТОЛЬКО СЕЙЧАС б) оффициально рекомендуется пока их проверку отключить
> Ага. А теперь вспоминаем сколько арчу лет и учитываем, что подписи а)
> появились ТОЛЬКО СЕЙЧАС б) оффициально рекомендуется пока их проверку отключитьРаздолбайство и безответственность, да.
> Ага. А теперь вспоминаем сколько арчу лет и учитываем, что подписи а)
> появились ТОЛЬКО СЕЙЧАС б) оффициально рекомендуется пока их проверку отключитьА как это сделать :)) ?
Edit / e t c / p a c ma n . c o n f and uncomment the following line under [options]: S i g L e v e l = N e v e rhttps://wiki.archlinux.org/index.php/Pacman-key#Disabling_si...
> Глупый вопрос... А зачем? Есть же набор источников пакетов, перечисленный на офсайте.Пакет можно подцепить и не на оффсайте. И на оффсайт положить левый пакет.
Так ведь пользователь сознательно потянет пакет с левого источника. Если уж он решил, то он и подпись проигнорирует.Подсунуть левый пакет не так просто. А если уж возникнет такая возможность в связи с человеческим фактором, то его и подпишут. Хотя конечно лишняя степень защиты не помешает.
> Подсунуть левый пакет не так просто.Жалкие людишки всегда рады помочь.
Зеркала не являются левыми источниками, однако нет никакой уверенности, что эти зеркала вдруг не окажутся скомпрометированными. КО
Как впрочем и обычная атака на ДНС с целью подмены ip адресов. Да и много еще чего...
> Зеркала не являются левыми источниками, однако нет никакой уверенности, что эти зеркала
> вдруг не окажутся скомпрометированными. КОА еще бывает хакер сломавший сервер с репами. Интересная же мишень - всего 1 взлом, а сколько новых машин в ботнет.
> Подсунуть левый пакет не так просто.Достаточно просто. Достаточно взломать сервак или вклиниться в траффик вовремя. Первое предпочтительнее по широте охвата аудитории.
>Глупый вопрос... А зачем? Есть же набор источников пакетов, перечисленный на офсайте.От спуфа и MITM никто не застрахован.
Отравить DNS провайдера наверно простейший способ.Теперь Арчу можно в продакшн, наконец-то.
не, мне каждый раз интересно - вы это всерьёз? Насчёт роллинг-дистрибутива в продакшне? Или это какие-то специфические случаи?
Арч в продакшне может быть лишь в фантазиях у людей, никогда с продакшном дела не имевших. Это как лакмус - ляпнул такое, и все видят твою некомпетентность.
> продакшном дела не имевших.Да ладно вам, у японцев же были одноразовые летчики с одноразовыми самолетами. Чего б не быть одноразовым админам с одноразовым продакшном?
> Да ладно вам, у японцев же были одноразовые летчики с одноразовыми самолетами.
> Чего б не быть одноразовым админам с одноразовым продакшном?Так их ещё добросить до потенциального супостата надо...
Кривые руки дистрибутивом не компенсируются.
> Кривые руки дистрибутивом не компенсируются.Зато объем административных работ очень даже зависит от.
> не, мне каждый раз интересно - вы это всерьёз? Насчёт роллинг-дистрибутива в
> продакшне? Или это какие-то специфические случаи?Вполне обычный случай. Со своей спецификой, да. Арч раздолбайства и криворукости не прощает.
Ну в моём понимании "раздолбайства и криворукости не прощает" - это жирный минус, ибо продакшн должен быть (в числе прочего) в разумных пределах дуракоустойчив всё же. Но ладно. А что он даёт, в продакшне-то?
> Арч раздолбайства и криворукости не прощает.Для начала раздолбайство - это когда вы пакеты без подписей в продакшн вкатываете. А как вы при этом проверяете что пакет от авторов, а не хакера Васи Пупкина? Приглашаете FBI провести расследование?
Да, вполне в продакшн. Только в этом случае обновления делаются не с публичных репов, с внутреннего репозитория.
Пакеты предварительно обкатываются на тестовых конфигурациях, потом только помещаются в основную внутреннюю репу.
> не, мне каждый раз интересно - вы это всерьёз? Насчёт роллинг-дистрибутива в
> продакшне? Или это какие-то специфические случаи?Работал в конторе, которая ставила свои сборки генты, поверх которой работал написанный конторой софт, на промышленные компьютеры. Об обновлении, правда, речи не шло, ибо смысла особого оно не имело, а вот когда имеет место жёсткое ограничение в ресурсах, самое оно.
Впрочем, сервера там тоже работали под Calculate, ибо денег на ПО не давали.
Ну наконец-то! Ура!
А что, раньше не было? 8[ ]
> А что, раньше не было? 8[ ]Она и сейчас, по-умолчанию, отключена.
> Она и сейчас, по-умолчанию, отключена.Хм, я был лучшего мнения о арчеводах. Такие компетентные вики пишут, а такое глупое упущение - прошляпили.
Прежде всего, людям надо чтоб все работало, А не с дурацкими подписями возиться.
После обновления пакман ломается и не работает до того момента, пока юзер не почешется и не заменит конфиг на тот, где подписи отключены, либо разберется во всем и добавит мильен подписей к себе и одобрит их (есть скрипты). Естественно, первый вариант выберет большинство.
... Естественно, первый вариант выберет большинство.Вантузоидом можно быть даже на линуксе - то же мне удивил :)
> Прежде всего, людям надо чтоб все работало, А не с дурацкими подписями возиться.Подписи не дурацкие. А неизбежная плата за прогресс. Системы стали сложными и подключены к сети. Сети бывают разными, и методов подсовывания фуфла придумано навалом. А в системах на серверах майнтайнеров может найтись баг. И некоторые хакеры могут не сообщить об этом а просто заменить пару десятков пакетов на немного допатченые, с бэкдорчиками. Особенно такое любят некие Acid Bitches, вполне убедительно поимевшие пару недотеп клавших на секурити болт. А скажи, прикольно будет обнаружить что в твою систему оказывается уже пару лет как мог ходить любой знающий о бэкдоре, да?
> После обновления пакман ломается и не работает до того момента, пока юзер
> не почешется и не заменит конфиг на тот, где подписи отключены,
> либо разберется во всем и добавит мильен подписей к себе и
> одобрит их (есть скрипты). Естественно, первый вариант выберет большинство.Надеюсь что вы утрясете у себя этот бардак и у вас все будет как у белых людей (debian-based, RPM-based, etc). Без этого всерьез арч воспринимать не получается.
Подписи - не неизбежная плата за прогресс в разных областях, а следствие прогресса в области безопасности. Необходимость шифрования и подписей существовала даже в самые дремучие по меркам интернета времена, просто раньше не всегда на это обращали внимание, а сейчас это приобрело широкий размах. Когда-то и сервера админились через telnet - ужас и кошмар по современным меркам.
> в самые дремучие по меркам интернета времена,Во времена флоппинета злоумышленнику можно было просто дать в бубен и проблема как-то не возникала :)
Была и уже давно. Только довели до стадии релиза.
В mint например уже нет
И чуть ли не второй по популярности
> В mint например уже нетЧего в минте нет? Арча? Да, там убунта и дебиан. У этих с подписями порядок.
Один пункт пропустили:
* pacman стал турбореактивным. зависимости резолвятся моментально, необходимое свободное место считается тоже моментально, работа по-сравнению с pacman 3.5.4 визуально ускорилась в несколько раз.Арч - роскошный дистр.
> * pacman стал турбореактивным. зависимости резолвятся моментально, необходимое свободное
> место считается тоже моментально, работа по-сравнению с pacman 3.5.4 визуально ускорилась
> в несколько раз.А волосы стали мягкими и шелковистыми. pacman как в диск упирался, так и продолжает упираться, без pacman-cage тормозит.
> pacman как в диск упирался, так и продолжает упираться,Видать хорошая штука раз в диск упирается, а не в сеть/цпу/оперативку, однако.
Главным образом потому что функционала очень мало. Впрочем, это фича.> The key to making programs fast is to make them do practically nothing.
Майк Хертель
> Главным образом потому что функционала очень мало. Впрочем, это фича.
>> The key to making programs fast is to make them do practically nothing.
> Майк ХертельКакой годный псевдоним у Капитана Очевидности.
> Арч - роскошный дистр.Согласен, но
>работа по-сравнению с pacman 3.5.4 визуально ускорилась
> в несколько раз.У меня вчера pacman -Sy делался с nой попытки, все пакеты ставились только со второй попытки. Не знаю с чем это связанно но надеюсь это будет исправлено.
еще роскошнее было наблюдать как pacman не обновляется из-за package-query, а тот из-за pacman'а =\
> еще роскошнее было наблюдать как pacman не обновляется из-за package-query, а тот
> из-за pacman'а =\Вот уж, как говориться, научи дурака богу молиться.
pacman -Ss package-query || echo Who\'s your Daddy?
Это yaourt не обновляется из-за package-query, а package-query не обновляется из-за pacman'a
В арче всякие сюрпризы случаются, но циклически неразрешимые зависимости пока не попадались. Это, слава Богу, не Мандрива (Панихида по которой, кстати, организована в соседней новости. Кто желает - зайдите, скажите пару слов).
Уточните, откуда у Вас package-query (и при чём здесь разработчики пакмана).
Не путайте теплое с мягким. Причем тут пакеты из аура. Не пользуйтесь Арчем - это не Ваш дистрибутив.
Разработчики дистрибутива Arch Linux сообщили об интеграции менеджера пакетов pacman 4.0.1 (1 млять!!! 4.0 был только в тестинге)
Из вышесказанного:>А что, раньше не было?
>Она и сейчас, по-умолчанию, отключена.Феерично.
Ну, а по сути, как говорится "не прошло и полгода", только здесь побольше будет. И да, как Вы на нем сидели все это время? Как на пороховой бочке? :) И на серваки, небось, тоже ставили. Молодцы, всем зачет.
А вот кто расскажет - в чём профит арча по сравнению с гентой той же? Ну то есть с ней понятно - если хочешь специфические сборки софта, оптимизации под своё железо или свободу от очередной модной фигни, но при этом иметь управление зависимостями - гента годится. А у арча ниша какая? Эта же, или что-то другое?
> А у арча ниша какая?Модная слакварь.
Скорость обновления пакетной базы, ну и "модность" (из которой вытекает быстрое решение проблем). Сравнивать было бы вернее с дебианом testing, чем со слакой или гентой.
плюс AUR, она же помойка наподобие PPA
плюс, действительно, немного слаковая прямолинейность (у них именуемая словом "простота").
> "простота").А у нас говорят что простота - хуже воровства. Наверное, кто-то подозревал что через 100500 лет появятся хакеры, которых хлебом не корми, дай только левый пакет вкатить :)
> плюс AUR, она же помойка наподобие PPAда не, ppa - это бинарники. AUR скорее аналог slackbuild для слаквари или упрощенного portage из дженты.
По большому счету без разницы. Функционально это просто склад софта, пока не попавшего в основной репо, собранный юзерами Арча. А что оно source-based и можно опции configure провести например - это уже вопрос десятый.И если проводить параллель с джентой - скорее аналог сторонних оверлеев. Портежи это ABS.
да, оверлеи, конечно же
читай https://wiki.archlinux.org/index.php/Arch_Compared_to_Other_...
Да это я видел - но там как-то совсем вяло. Их почитать - так выходит, что по сравнению с гентой той же преимуществ и нет... Ладно, ещё где-нибудь пороюсь. А то в моду оно, кажется, вошло, а за что - непонятно.
> Да это я видел - но там как-то совсем вяло. Их почитать
> - так выходит, что по сравнению с гентой той же преимуществ
> и нет... Ладно, ещё где-нибудь пороюсь. А то в моду оно,
> кажется, вошло, а за что - непонятно.не, ну как, собирать не надо =) плюс у них бсд-подобная система инит-скриптов, через rc.conf
может еще, что есть, я арчем недолго пользовался, слишком часто, что-нибудь ломалось после апдейтов.
> А у арча ниша какая?Гента без геморроя.
> Гента без геморроя.Не, ну это не спортивно. По моим наблюдениям для гентусятников важен процесс, а не результат :)
Так набери yaourt -S unity и взирай на процесс.
Можешь опции gcc поковырять, чтобы процесс затянулся, а результат был более непредсказуем.
Хотя, в случае с юнити результат предсказуем в любом случае. Зато процесс... :)
Ну вот меня гента зацепила USE-флагами. Возможность в одном месте попросить, чтобы никакая зараза не собирала неиспользуемые мной гномовские запчасти, скажем - это вкусно - куча зависимостей отсекается минимумом телодвижений. Так что зря ободщаете :-)
Давай, кто быстрее - задача поставить N пакетов, например, для визуализации баз данных, протестировать, выбрать лучший и приступить к работе. Или вышел новый KDE 4.8, надо поставить, посмотреть, снести и вернуться на OpenBox.А ваши USE-флаги. Это собрать, к примеру, MPlayer с поддержкой проигрывания только avi. И когда потребуется поддержка .mkv, снова компилять. И так весь софт. А потом перекомпилять, когда выйдут обновления. А разницы в работе - никакой. Только segmentation fault на Генте чаще вылетает, из-за того, что какой-то флаг выкинули или не той версией gcc компилировали. Генту - это для консерваторов или разработчиков.
В Арче можно компилять точно также, только там это вспомогательный инструмент. Я поначалу, когда ушел с Генты, тоже скучал по USE-флагам, но задавать опции через конфигураторы при сборке PKGBUILD оказалось много гибче, хотя и не проще. Арч сильно экономит время, предоставляя те же возможности, что и Генту, за исключением слотов.
> - это для консерваторов или разработчиков.По моим наблюдениям, это для камикадзе. Вот надо вам позарез почту послать вот прям ща. А система то и говорит: отдыхай, чувак. Работать сегодня не будем.
Да ладно. Они могут Links быстро собрать и через web-интерфейс отправить, или какой-нибудь mailx настроить. Он тоже быстро собирается.
> Да ладно. Они могут Links быстро собрать и через web-интерфейс отправить,При условии что этот веб-фэйс не пошлет вас нафиг с этим чудо-пепелацем. А большая часть интерфейсов - пошлет, однако.
Э нет, попрошу поаккуратнее. У самого дома гента - геморроя особого не заметил по сравнению с привычным дебианом.
Отличная новость. Pacman - замечательный пакетный менеджер. Хвала разрабам. Про увеличение скорости - ни за что бы не поверил, если сам бы не пользовался. Куда ж еще быстрее )
> Отличная новость. Pacman - замечательный пакетный менеджер. Хвала разрабам. Про увеличение
> скорости - ни за что бы не поверил, если сам бы
> не пользовался. Куда ж еще быстрее )я никакого увеличения скорости не заметил у пакмана - как летал, так и летает. Отличный дистр.
Ощутимо увеличилась скорость проверки целостности пакетов. Теперь работает молниеносно.
Не совсем понятен текст новости:> Опция '--recursive' для обновления пакета и всех его зависимостей;
Для обновления ЛЮБОГО пакета или самого пакмана? А какой смысл работы БЕЗ этой опции, если каждая перделка требует именно тех обновлённых зависимостей, с которыми собиралась?
Поправьте плиз.
> А какой смысл работы БЕЗ этой опции, если каждая перделка требует
> именно тех обновлённых зависимостей, с которыми собиралась?Например, пакет A требует пакет B версии не ниже 2.3.4. Доступна 2.4.6, стоит 2.4.5. Можно просто поставить A и его зависимости будут довольны, а можно за компанию и B вверх подтянуть. (это по самой постановке задачи, с некруглым pacman не сталкивался)