Адам Говдяк (Adam Gowdiak), известный польский исследователь безопасности, выявивший (http://www.opennet.me/opennews/art.shtml?num=34696) серию нашумевших уязвимостей в Java SE, выразил возмущение (http://seclists.org/fulldisclosure/2012/Oct/155) политикой компании Oracle, касающейся затягивания выпуска исправлений с устранением уязвимости в Java. В сентябре компании Oracle были переданы детали о критической уязвимости, проявляющейся во всех версиях Java SE 5, 6 и 7, независимо от операционной системы. Одновременно был продемонстрирован рабочий эксплоит, позволяющий при открытии в браузере специально оформленного апплета выполнить код в системе в обход всех уровней изоляции виртуальной машины Java.
Спустя три недели компания Oracle выпустила (http://www.opennet.me/opennews/art.shtml?num=35105) корректирующие обновления Java SE 6u37 и Java SE 7u9 с устранением 30 уязвимостей. При этом исправление для вышеотмеченной проблемы в состав новых версий включено не было и они по прежнему оставались уязвимыми. Исследователи попытались связаться с компанией Oracle и выяснить почему обнаруженная ими критическая проблема осталась неисправленной. В ответ представители Oracle сообщили, что устранение указанной уязвимости требует длительной работы над созданием патча, последующего тестирования качества интеграции с другими продуктами и анализа возникновения возможных регрессивных изменений. Поэтому исправление будет включено только в плановое обновление Java, намеченное на февраль 2013 года.
В ответ, выявившие уязвимости исследователи решили провести эксперимент и подготовить патч самостоятельно. Каково же было их удивление, когда на разработку патча для открытой кодовой базы OpenJDK потребовалось всего 26 минут. Патч потребовал в сумме изменения 25 символов и в силу того, что он не влияет на логику работы и затрагивает внешние программные интерфейсы, для него даже не требуется создание тестов для изучения возможных регрессивных изменений.URL: http://seclists.org/fulldisclosure/2012/Oct/155
Новость: http://www.opennet.me/opennews/art.shtml?num=35157
Спокойствие, программист в отпуск уехал. Вернется - исправит.
ну что непонятного, оракакл хочет маржу с контор за внеплановое обновление
Ораклу просто насрать. В огромных контрах всем на всё насрать. Как-то само что-то там работает, бабло капает -- и ладно.
не, немного не так. там высшим менеджерам не насрать, они за бонусы людей увольняют и лапшу ударно вешают.
не совсем так. в больших неповоротливых компаниях есть утверждённые циклы. ломать их — это не просто геморрой, а АДИЗРАИЛЬКРОВЬКИЩКИРАСКОЛБАСИЛО. соответственно, никто не хочет заниматься бюрократией, согласованиями и прочей тягомотиной.то, что такая организация — без учёта экстренных релизов и других нюансов — совершенно идиотична, это разговор уже совсем из другой сказки.
> Спокойствие, программист в отпуск уехал. Вернется - исправит.Он у них, наверное, один. Остальные - маркетологи.
Или юристы
> Oracle сообщили, что устранение указанной уязвимости требует [...] последующего тестирования качества интеграции с другими продуктами и анализа возникновения возможных регрессивных изменений.хм...
> В ответ, выявившие уязвимости исследователи решили провести эксперимент и подготовить патч самостоятельно. Каково же было их удивление, когда на разработку патча для открытой кодовой базы OpenJDK потребовалось всего 26 минут.
> В ответ, выявившие уязвимости исследователи решили провести эксперимент и подготовить патч самостоятельно. Каково же было их удивление, когда на разработку патча для открытой кодовой базы OpenJDK потребовалось всего 26 минут. Патч потребовал в сумме изменения 25 символов и в силу того, что он не влияет на логику работы и затрагивает внешние программные интерфейсы, для него даже не требуется создание тестов для изучения возможных регрессивных изменений.Гы. Сношу Oracle JDK. Публикации новостей об уязвимостях на вашем сайте так меня напугали, что я прежде чем запускать майнкрафтик заходил на java.com проверить обновления. Теперь - только открытая Java.
На открытой он не работает :)
То что офф. советуют поставить JRE, не значит что не работает. Если с первого раза не завелось, слегка пошаманить нужно.
Это неправда, всё работает.
К сожалению в открытой яве больше проблем с производительностью и многие программы на ней не работают...
> и многие программы на ней не работают...например те программы которые не используют JVM для своей работы :)
вот им-то как раз пофиг sun jdk или open)
> К сожалению в открытой яве больше проблем с производительностью и многие программы на ней не работают...<sarcazm>переходите на с++ - там это устранено... :)</sarcazm>
><sarcazm>переходите на с++ - там это устранено... :)</sarcazm>Программы на C++ еще труднее на Жабе запустить, надо обертку писать с JNI...
> Гы. Сношу Oracle JDK. Публикации новостей об уязвимостях на вашем сайте так
> меня напугали, что я прежде чем запускать майнкрафтик заходил на java.com
> проверить обновления. Теперь - только открытая Java.Может быть я ошибаюсь, но в тексте ясно сказано - в открытой версии этого патча нет.
Ох уж эти энтузиасты.
26 минут! Молодец!
А теперь пусть попробует провести полноценное тестирование всей java.>для него даже не требуется создание тестов для изучения возможных регрессивных изменений
Для всего требуется создавать тесты. И, более того, требуется проводить полный цикл тестирования всей java на всех возможных платформах после любого чиха.
Это не 3 недели. Это существенно дольше.
А в исследованиях Microsoft говорится, что тестировать на пользователях быстрее и эффективнее.
Если попадает jvm у корпоративных клиентов, а уж тем более в эмбедиде... вот тут ораклу станет действительно весело.
Лучше гипотетический крах, чем реальный взлом, пусть выпустят патч и дадут решать людям.
Выпуск патча - обнородование уязвимости. Тут выбора не остается.А если о дыре знает только нашедший и оракл, то тут риск только в том, что нашедший сделает всем подлянку и опубликует до патча.
> нашедший сделает всем подлянку и опубликует до патча.опубликует патч, что приведёт к необходимости Oracle закрыть дыру..
(в резльтате уязвимость исправится в короткий срок)
...подлянка что надо, даааа... хакеры негодуэ!
> Выпуск патча - обнородование уязвимости. Тут выбора не остается.
> А если о дыре знает только нашедший и оракл, то тут риск
> только в том, что нашедший сделает всем подлянку и опубликует до
> патча.s/знает только нашедший/знают только нашедшие/
При чем точное количество нашедших неизвесно, но >=1.
Это тоже необходимо учитывать, как и то, что среди нашедших может оказаться и любитель взламывать чего-нибудь...
Ну, это классика:Однажды инженер Чжа Вынь сообщил:
– Я нашёл уязвимость в программе «Лин». Что вы об этом думаете, Учитель?
– Надо сообщить Производителю.
Через некоторое время Чжа Вынь снова пришёл к почтенному защитнику Иню.
– Я написал об уязвимости Производителю. Мне ответили, что закроют уязвимость только в следующей версии. Она выйдет через полгода.
Инь Фу Во помрачнел:
– Напиши им, что мы опубликуем эту уязвимость ровно через две недели.
Через три дня вышел патч к программе «Лин».
– А если бы они не выпустили патч? – спросил Сисадмин Учителя. – Вы бы позволили Чжа Выню опубликовать найденную уязвимость?
Инь Фу Во мягко улыбнулся и сказал:
– Нет. Дао информационной безопасности тем и прекрасен, что по нему нельзя идти в одиночку. Как только ты опередил других, другие ускоряют шаг. Как только ты оторвался от других, ты покинул Дао.
Этот подход более, чем спорен. Единственным способом поддерживать систему в адекватном состоянии, а вендоров -- в готовности оперативно патчить софт -- это 0-day.Как только корпорастов пару раз сломают -- они начнут думать, какого вендора выбирать.
А может быть, что и вообще строить вендоронезависимую систему.
И выбор был между гипотетическим взломом и гипотетическим крахом.И тут еще большой вопрос что за взлом. Если это всего лишь выход из песочницы в браузерном аплете, то это курам на смех: этими аплетами ни кто и так не пользуется.
Когда нашедший сделал всем подлянку и опубликовал уязвимость, то сразу залатали ибо тогда взлом стал реальным.
> Если это всего лишь выход из песочницы в браузерном аплете, то это курам на смех: этими аплетами ни кто и так не пользуется.Ну вот не надо про "ни кто", приличненький ботнетик из пользователей можно настрогать при желании.
>> Если это всего лишь выход из песочницы в браузерном аплете, то это курам на смех: этими аплетами ни кто и так не пользуется.
> Ну вот не надо про "ни кто", приличненький ботнетик из пользователей можно
> настрогать при желании.Они, видимо, никогда не работал ни в чем, крупней Рогов и Копыт. Ну и уровень респонсибилити с компенсационным паком соответствующий.
Перечислю только дэцульные приложения навскидку: SAP/R3, OEBS.... Хватамбо?
В чем то ты конечно прав. Но насколько я понимаю если ошибка в обработке данных, например сторока не валидурется, то достаточно будет протестировать модуль в котром нашли ошибку. В таком случае Oracle тяжело понять.
Но возможно такая ситуация что, гдето во внутреннем API есть дыра, которую кроме злоумышлиника используют другие разаработчики Java (подобная ситуация бывала с WinAPI) - тогда тут уже может появиться много неприятных сюрпризов.
Говоря проще: четность ошибок.
Запустить скрипт который деплоит яву и запускает тесты дело 2х минут.
А не 3х недель.
> Запустить скрипт который деплоит яву и запускает тесты дело 2х минут.
> А не 3х недель.а тесты на баг тоже скрипт напишет?
плюс запустить гору тестов на всех платформах это далеко не 2 минуты.
Да это дело займет 3 секунды набрать команду в консоли.
> плюс запустить гору тестов на всех платформах это далеко не 2 минуты.да: запустить ещё быстрее. процесс тестирования… у оракеля нет денег, чтобы купить машинный парк и распараллелить тестирование, поэтому процесс длится месяцами? самому не смешно, нет?
> Ох уж эти энтузиасты.
> 26 минут! Молодец!
> А теперь пусть попробует провести полноценное тестирование всей java.
>>для него даже не требуется создание тестов для изучения возможных регрессивных изменений
> Для всего требуется создавать тесты. И, более того, требуется проводить полный цикл
> тестирования всей java на всех возможных платформах после любого чиха.
> Это не 3 недели. Это существенно дольше.Да не в тестах дело, будет или не будет работать то проблемы индейцев. Новая версия явы наверно должна пройти сертификацию ? И наверно сертификация бабла стоит ? Так может интузиасты вместе с патчем бабло приложат ? И тогда все быстро завертися яву пропатчат сертифицируют и выпустят.
> Да не в тестах дело, будет или не будет работать то проблемы
> индейцев. Новая версия явы наверно должна пройти сертификацию ? И наверно
> сертификация бабла стоит ? Так может интузиасты вместе с патчем бабло
> приложат ? И тогда все быстро завертися яву пропатчат сертифицируют и
> выпустят.так и представляю себе как это воглядет..
открывается скрипт на основе OpenSSL для генерации сертификата.
скрипт пишет в терминал: "insert 200$ into floppy drive and press spacebar or enter to continue...".
похоже он имел ввиду сертификацию всякими гос.органами и прочими "пожарниками и санэпидстанциями", а не сертификат на ссл. Т.е. на то что там нет государственных тайн и технологий, запрещенных для экспорта внешним странам
Это существенно меньше.
Полный тест Java идет менее 24 часов на приличной машине. И количество всех возможных платформ не играет роли -- есть лаб, там уже все что нужно наинсталлировано в достаточном количестве, есть автоматика которая по сабмиту теста позаботится обо всем.И кстати -- чисто так, посмеяться -- джава сейчас фейлит серьезный процент внутренних тестов, но nobody cares as long as there are no customer escalations.
> nobody cares as long as there are no customer escalations.Спасибо, занятно. Кто бы ещё изнутри намекнул, что может быть осмысленно обдумать внеочередное обновление _до_ full disclosure в виде ответственной починки openjdk...
> А теперь пусть попробует провести полноценное тестирование всей java.И всё-таки читать не умеете.
>> А теперь пусть попробует провести полноценное тестирование всей java.
> И всё-таки читать не умеете.Ты умеешь? Речь идет не о тестировании жабы, а о тестировании ВСЕХ писанных под нее ПЛАТНЫХ приложений (кста, ты в курсях, сколь стоит годовая лицензия на R/3, к примеру? И какой там уровень ответственности, в т.ч. материальной?) на совместимость и операбельность.
Потому что говенное исправление одной ошибки - ДА, МОЖЕТ СЛОМАТЬ В НЕИЗВЕСТНОМ МЕСТЕ систему управления предприятием с бюджетом, сопоставимым с бюджетом РФ, смекаешь?
> систему управления предприятием с бюджетом, сопоставимым с бюджетом РФ, смекаешь?Не, маловато. С бюджетом планеты было бы солидней.
--
латавший массивы под этим вашим сапом
эх… Sun создала отличную платформу, ставшую стандартом во многих сферах разработки ПО. Открытость, максимальная кроссплатформенность, хороший язык программирования с богатой стандартной библиотекой и кучей сторонних, огромное сообщество.Пришел Oracle, купил и прое…л всё это. Молодцы, Oracle.
Открытость, говорите?
"После этого они стали объяснять свою систему лицензирования. Она была ужасна. Совершенно дурацкая система. В основном дело сводилось к тому, что если кто-то другой захочет воспользоваться системой хотя бы полукоммерческим образом, то код уже не будет открытым. Эта идея показалась мне абсолютно идиотской. Меня очень возмутило, что в приглашении они объявили о своей приверженности открытым исходникам. Исходники были открыты в том смысле, что вы могли их читать, но если вы хотели их модифицировать или встраивать в свою инфраструктуру, то нужно было получить лицензию у Sun".
И оттуда же: "Пытаясь контролировать среду Java, Sun Microsystems по существу потеряла ее". Написано задолго до всей этой истории с Ораклом...
> В основном дело сводилось к тому, что если кто-то другой захочет воспользоваться системой хотя бы полукоммерческим образом, то кодА так хотелось зарабатывать бабки нахаляву, да?
> хороший язык программирования с богатой
> стандартной библиотекой и кучей сторонних, огромное сообщество.ЛОЛШИТО? где хорошая библиотека? как прочитать файл за одну команду? как распарсить аргументы командной строки? где event-driven движок?
лолчто?
FileUtils.readFileToByteArray()
ещё спроси как запустить ракету одной командой
> ещё спроси как запустить ракету одной командойлучше я спрошу как сделать клиентский HTTP-запрос с указанием дополнительных HTTP-заголовков :-D
...блин... ды дерьмовая в Java библиотека. бедная до невозможности (бедная -- что касается банальных вещей, зато богатая на переинженеренные сущности)
здорово в Java придумали: вместо того чтобы сделать простые API-интерфейсы к простым вещщам -- они пытаются внушить программистам мысль о том что "всё не так просто... всё это сложные инженерно-архитектурные конструкции....".
> лучше я спрошу как сделать клиентский HTTP-запрос с указанием дополнительных HTTP-заголовковApache HttpClient. В андроиде идет из коробки.
> ...блин... ды дерьмовая в Java библиотека. бедная до невозможности (бедная -- что
> касается банальных вещей, зато богатая на переинженеренные сущности)Бедная относительно чего? С++?
> здорово в Java придумали: вместо того чтобы сделать простые API-интерфейсы к простым
> вещщамА чтение файла это простая "вещщь"? Сколько типов файлов вы знаете?
> Сколько типов файлов вы знаете?два!
текстовые и двоичные
Неверно: для программиста файлы делятся на те, которые можно прочесть до конца сразу и те, которые сами сообщат о том, что чтение можно закончить.
Остальное - детали обработки информации, прочитанной из файла.
Сообщат как? EOF вроде везде EOF, а если это про какой-нибудь select / recv / ..., то вопрос был про файлы, а не файловые дескрипторы.
> Сколько типов файлов вы знаете?PS, PO, DA, IS, VS :)
> А чтение файла это простая "вещщь"?Вообще-то элементарная, да. Откройте для себя open, read, seek и close.
> Сколько типов файлов вы знаете?
Я не знаю, я читаю! Утилита file знает.
>лучше я спрошу как сделать клиентский HTTP-запрос с указанием дополнительных HTTP-заголовков :-DИнтересно, а есть ли такие языки программирования, на которых можно одновременно управлять двумя спутниками, кофеваркой и дивиди-проигрывателем - и все одной командой?
>Интересно, а есть ли такие языки программирования, на которых можно одновременно управлять двумя спутниками, кофеваркой и дивиди-проигрывателем - и все одной командой?Есть, но фигня получается.
> Интересно, а есть ли такие языки программирования, на которых можно одновременно управлять двумя спутниками, кофеваркой и дивиди-проигрывателем - и все одной командой?Я не знаю на счёт языков программирования, но ведь есть жабросли, тьфу, systemd.
HttpURLConnection.setRequestProperty("charset", "utf-8");по вопросам понятно что больше хелло ворд человек не пошёл )
да и вообше твои вопросы элементарные с точки зрения нормального программиста
>FileUtilsОбсуждалась стандартная библиотека.
java.nio.file.Files.readAllBytes(java.nio.file.Paths.get("c:\\filename.ext"))
java >= 7
> java.nio.file.Files.readAllBytes(java.nio.file.Paths.get("c:\\filename.ext"))что-то маловато квалификаторов. несолидно выглядит, когда меньше десятка на команду.
и, конечно, они все без труда интуитивно запоминаемы, да. поэтому на жабе и невозможно писать без развесистой тормозной среды, которая делает не менее развесистые тормозные кривоподсказки.
вы про инструкцию import что-то слышали?
> вы про инструкцию import что-то слышали?конечно. очередной костыль, который «всё вместе или по одиночке». но как это отменяет великолепную интуитивность?
в си, конечно, не лучше — ну так то си.
хинт: основная мысль не в том, что это всё долго печатать, а в том, что столько квалификаторов — маразм. от чего и возникла нужда в import'е. а Вирт вообще нас учит, что импорт чужих идентификаторов в свою область видимости (для неквалифицированного использования) — bad-bad-bad. и я с ним таки согласен.
Да! И блины печь она тоже не умеет!!! >:-\
Ну далеко не всё ))) Что-то осталось. Совсем чуть-чуть. Где-то с полмира по цене )))
> эх… Sun создала отличную платформу, ставшую стандартом во многих сферах разработки
> ПО. Открытость, максимальная кроссплатформенность, хороший язык программирования с богатой
> стандартной библиотекой и кучей сторонних, огромное сообщество.
> Пришел Oracle, купил и прое…л всё это. Молодцы, Oracle.Не трындел бы ты о том, чего не знаешь, да?
Оракл покупает продукты чтобы их убивать, все видим прекрасно как это происходит на примере java и mysql
> Оракл покупает продукты чтобы их убивать, все видим прекрасно как это происходит
> на примере java и mysqlНу java и mysql это не так явно заметно. OpenOffice и Hudson -это просто пипец
оракл это менеджер и отмазки у него менеджерские
- ну это програмно технический комплекс настолько сложный насколько это возможно поэтому нам нужно много денег и много времени что решить ваши проблемы за ваши деньги.
> оракл это менеджер и отмазки у него менеджерские
> - ну это програмно технический комплекс настолько сложный насколько это возможно поэтому
> нам нужно много денег и много времени что решить ваши проблемы
> за ваши деньги.да. эт чисто мэнэджерные такие отмазки.
программист бы наверно подругому отмазывался.. что-то типа:
"""
щаз мы не можем исправить/потестить , так как щаз идёт процесс компиляции исходников версии в которой патч ещё не был интегрирован. нужно подождать когда компиляция завершится
"""
26 минут на 25 символов. Печатают символ в минуту :).
> 26 минут на 25 символов. Печатают символ в минуту :).Ну если считать жабу вполне зрелым проектом с многомиллионной кодовой базой, то 1 символ в минуту - это вполне нормально так: соответствует 10-12 LOC/day
http://stackoverflow.com/questions/966800/mythical-man-month...