| |
| 2.5, LaunchWiskey (ok), 17:10, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
 А оно по-умолчанию по HTTP ходит? Писал близкий друг автора ключа-звёздочки из соседней новости?
| | |
| |
| 3.31, Аноним (31), 19:14, 06/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– |
Да. Дебиляновцы из коробки до сих пор plain http используют.
| | |
| 3.45, Аноним (45), 20:12, 06/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– | |
Да, пакеты же подписаны блалбаллабал
А в чём проблема завернуть в https я не понимаю. Тот же ютуб трафик постоянно через него гоняет, которого в разы больше чем тех пакетиков. Тем более мажорные обновы раз в два года.
Может дебиан используют на таких ведрах, что они не смогут в еще один слой aes.
| | |
| |
| 4.46, Энтомолог_русолог (ok), 20:15, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
 > А в чём проблема завернуть в https я не понимаю
Ни в чем проблемы нет
И большинство зеркал имеют https, так что можно прописать https в адресе и всех проблем
| | |
|
| 3.86, selivan (ok), 00:41, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
 Он совершенно правильно умеет ходить по http, потому что это позволяет:
- кешировать пакеты для кучи серверов, скачивая их один раз
- спокойно через apt-cacher, apt-mirror и похожие софтины обновлять сервера, по соображениям безопасности не имеющие доступа в интернет
При нормально реализованной проверке подписей https в общем-то нафиг не нужен.
| | |
|
| 2.8, Аноним (-), 17:31, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
ну вроде как канал прикрывает, но если в репу подсунут - не спасёт. вроде везде уже поправили
| | |
| 2.17, Аноним (17), 18:33, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Это же lpe, какой https?) Подмена частично скачанного файла непосредственно на машине
| | |
| 2.26, Аноним (26), 19:06, 06/11/2026 [^] [^^] [^^^] [ответить]
| –3 +/– |
Апт не умеет https и скорее всего никогда не научится, целостность и доверие проверяется уровнем выше.
| | |
| |
| 3.35, Аноним (35), 19:23, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Апт не умеет https и скорее всего никогда не научится, целостность
> и доверие проверяется уровнем выше.
Надо рассказать все это apt-transport-https и apt-transport-tor всяким...
| | |
| |
| 4.44, Аноним (44), 20:02, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
apt-transport-https давно не нужен (это dummy пакет). Поддержка HTTPS из коробки.
| | |
|
|
|
| |
| 2.60, нах. (?), 22:10, 06/11/2026 [^] [^^] [^^^] [ответить]
| –3 +/– | |
нет, там реально чудовищный дерьмокод. И исправление еще хуже (потому что нимаги трогать то что натяпляпали до тебя, это может обидеть небинарных).
такому коду доверять работать не со 100% trusted external data действительно нельзя, переделывайте все на https и молитесь чтобы зеркало с которого качаете не подломили, а то точно так же могут напихать, и это разумеется дятлы не сообразили.
все что вы совершенно не хотели знать про деpьмиян но зачем-то спросили.
| | |
| |
| |
| 4.81, нах. (?), 23:45, 06/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– | |
открой патч да и посмотри. А, у тебя лапки. И ты ж не умеешь кодить.
причем и исправление кривое, и метод заслуживает шпицрутенов, и надо было не исправлять полумерами а выбросить код того васяна который его притащил ради каких-то совершенно бредовых use cases (но это низзя, он может абидетцо)
P.S. зато васян использовал греп на безопастном йезычке, не этот ваш дидовский! И очень походу этим горд.
| | |
| |
| 5.95, Инопланетянин (?), 01:16, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
> открой патч да и посмотри. А, у тебя лапки. И ты ж
> не умеешь кодить.
Ну вот я тебя и спрашиваю, что конкретно тебе не нравится. С сылкой на гит.
| | |
| |
| 6.97, нах. (?), 01:28, 07/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
ссылка прямо в новости. Ты ее, очевидно, даже не открывал.
Если ты не можешь понять два десятка строчек на по сути plain c (там "си с классами", что кстати само по себе показательно) и у тебя не появляется очевидных вопросов к остальным строчкам вида "да какого $%%!;!" и "да что они - совсем ... ели?" - с тобой просто не о чем разговаривать.
| | |
| |
| 7.98, Инопланетянин (?), 01:47, 07/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
> ссылка прямо в новости. Ты ее, очевидно, даже не открывал.
> Если ты не можешь понять два десятка строчек на по сути plain c (там "си с классами", что кстати само по себе показательно)
Ну и дальше что? Пришли конкретно ссылку на строку, к которой у тебя вопросы.
| | |
|
|
|
|
|
|
| 1.4, Аноним (4), 17:07, 06/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> добиться установки подменённого неверифицированого варианта пакета
Дальше можно и не галлюцинировать про какие-то FileFd раз в систему устанавливается чужой бинарник.
| | |
| |
| 2.9, Аноним (9), 17:32, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Это похоже на отравление кеша, которое имеет место из-за возможности писать в соседний файл, которая появляется из-за флага
| | |
|
| 1.11, Аноним (11), 17:56, 06/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– | |
Я сходил посмотреть на изменения и они выглядят какой-то нейрослоп, если честно... Какие-то переоткрытия файла, проверки бессмысленные. В итоге всё сводится к тому, что когда докачали, тогда и считаем контрольную сумму файла, но так и было изначально, только какие-то бессмысленные проверки добавили. Единсвенное наверное хорошо, что файл теперь в эксклюзивном режиме открывают, но это больше защита от того что кто-то локально пошалит, файл поломав, но проверка валидности то всё равно в итоге не прошла бы даже так
Может кто-то сможет лучше объяснить что там в изменениях, мне копаться в полных исходниках желания не было, только вверх и вниз пару экранов дооткрыл
| | |
| |
| 2.56, нах. (?), 21:28, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
да, чушь какая-то полная. Похоже прозапрошлогодней моделью нагенерено и то китайской.
Какие-то линки. Откуда блин возьмутся ВРАЖЕСКИЕ линки - в /var/cache/apt?! Причем бы тут вообще - http?
> но это больше защита от того что кто-то локально пошалит, файл поломав
локально этот файл и так только юзеру от которого работает apt доступен.
> Может кто-то сможет лучше объяснить что там в изменениях
ты не на тот сайт зашел, увы. Тут все больше пользователи гимпа и борцы за шв@60дку, а тут код какой-то, сложна-сложна.
Вон хамства в ответ тебе вывалили, забывшие попить таблеточек - мама не горюй (и где ж это наши бдительные когда их не звали модеруны прохлаждаются? А, ну да, ну да, их же огорчает слово ж..й а не хамство, на самом-то деле.)
А адекватного анализа хотя бы с помощью ИИ - не дождемся, не надейся.
могу тебе конечно опуса спросить. Мне самому - лень.
| | |
| |
| 3.58, нах. (?), 21:41, 06/11/2026 [^] [^^] [^^^] [ответить] | +1 +/– | а, ладно, удалось уговорить опус ответить а не сливаться что небезопастно - аж с... большой текст свёрнут, показать | | |
|
| 2.59, нах. (?), 21:51, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
❯ what we will really lost if dropping completely idiotic idea of linking
something in pkgAcquire::Worker ?
● Almost nothing. The linking only does anything when the same URI is queued
twice with different DestFiles, which is rare, and the only saving is one
duplicate download.
Why it exists
It came in with 08ea78064 (David Kalnischkies, 2015-06-15, "deal better with
acquiring the same URI multiple times"). The motivating case in that commit
message is apt-get changelog a b c where a, b and c are built from one source.
All three want the same changelog URI, but each item has its own DestFile.
Короче, какой-то больной ушлепок пооптимизил случай в реальности не бывающий вовсе. Наверное свой хеловрот кривой.
Когда ты зачем-то просишь apt changelog три раза одного и того же одной командой. Мы ведь каждый день именно это и делаем!
Причем там нахреноверчено ради этого в десять раз больше.
| | |
| |
| 3.65, Аноним (11), 22:42, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
>The motivating case in that commit message is apt-get changelog a b c where a, b and c are built from one source. All three want the same changelog URI, but each item has its own DestFile
Действительно, создали проблему на пустом месте. Ещё и реализовали внутреннюю логику средствами файловой системы
| | |
|
| 2.70, Инопланетянин (?), 23:13, 06/11/2026 [^] [^^] [^^^] [ответить]
| –3 +/– |
> и они выглядят какой-то нейрослоп, если честно...
> Какие-то переоткрытия файла, проверки бессмысленные. В итоге всё сводится к тому, что когда докачали, тогда и считаем контрольную сумму файла, но так и было изначально, только какие-то бессмысленные проверки добавили.
Вот это аналитика. Нейпрослоперы не могут разобраться в пачте и называют всех вокруг нейрослоперами. Мда...
| | |
|
| 1.12, Bottle (?), 18:21, 06/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
По мнению апологетов Линукса свобода это зависимость от централизованных репозиториев.
| | |
| |
| 2.19, Аноним (19), 18:41, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Ты вот язвишь, но местные линуксоиды ведь на полном серьезе воюют против всяких NPM и Cargo, кушая при этом пакеты из репозиториев.
Это то ли слабоумие, то ли лицемерие - то ли оба сразу.
| | |
| |
| 3.27, Аноним (27), 19:09, 06/11/2026 [^] [^^] [^^^] [ответить] | +1 +/– | Так там есть принципиальная разница - репозитории пакетов curated, а в NPM и Car... большой текст свёрнут, показать | | |
| |
| 4.34, Аноним (34), 19:19, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Ну если бекдор делает много уважаемый Jia Tan, то это другое дело, такой XZ Utils можно и из репозитория скачать!
| | |
| |
| 5.52, Аноним (52), 20:28, 06/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
Пока что, истории успешного захвата руководства проектами личностями типа Jia Tan исчисляются одним самим Жиа Таном.
| | |
| |
| 6.78, нах. (?), 23:33, 06/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– | |
наоборот, неуспешного. Попался только Жуан Тян. Остальные успешно руководят.
вот, например, цепочка мутных комитов в apt, каждый из которых был феерично ненужным, но сам по себе безобидным... или откровенно троянский конь закомитивший в musl под видом "cleanup" неожиданное поведение в совершенно неочевидном месте в четыре часа утра.
| | |
| |
| |
| 8.101, нах. (?), 03:04, 07/11/2026 [^] [^^] [^^^] [ответить] | +/– | внезапно, нет случай на который ты ссылаешься - это _апстрим_ наг08някал стопиц... текст свёрнут, показать | | |
|
|
|
| 5.53, Аноним (-), 21:11, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Ну если бекдор делает много уважаемый Jia Tan, то это другое дело,
> такой XZ Utils можно и из репозитория скачать!
В дебиане все получилось по уму - бэкдоры скачали только юзеры unstable. Ну так камикадзе с миноискателем затем и нужны чтоб проверить - есть ли мины на поле :). При том - они добровольно вписались в эту роль, их никто не заставлял юзать последний unstable.
| | |
| |
| 6.79, нах. (?), 23:35, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
их заставил супергерой дебиан, защищающий человечество от небезнадежно устаревшего софта.
И политика поддержки три года (и еще потом пять, вот, пажалуста, /bin/ls вам попатчили)
| | |
|
| 5.55, Аноним (27), 21:26, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Можно зубоскалить, но когда малварь обнаружат, репозиторий - единственное место где её можно прикрыть. А если бы ты тянул код из апстрима напрямую, как, например, в уродском go делают, или ставил приложения через setup.exe как в венде, то ты бы сидел с этим трояном до скончания века, и знать бы о нём не знал.
| | |
| |
| 6.80, нах. (?), 23:38, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
быстроприкрытое ж вляпавшимся не считается?
> А если бы ты тянул код из апстрима напрямую
то точно так же мог бы быстро стянуть исправленный. И setup.exe тоже.
Ну или не стянуть, а запустить троянский. И одного раза вполне хватит, в общем-то.
| | |
| 6.84, Аноним (19), 00:22, 07/11/2026 [^] [^^] [^^^] [ответить] | +/– | Или наоборот - получить Ибо репа - дополнительное звено, которое можно сломать ... большой текст свёрнут, показать | | |
|
|
|
| 3.43, Аноним (43), 19:59, 06/11/2026 [^] [^^] [^^^] [ответить] | +1 +/– | В случае Slackware я доверяю хозяинам пакетов, хозяевам их репозиториев, Патрику... большой текст свёрнут, показать | | |
| |
| 4.48, Аноним (-), 20:19, 06/11/2026 [^] [^^] [^^^] [ответить] | +2 +/– | На этом в общем-то можно закончить Это просто вариант религии , в стиле я вер... большой текст свёрнут, показать | | |
| 4.51, LaunchWiskey (ok), 20:26, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Что-то аж захотелось продовые сервера на Slackware перевести после таких обсуждений. Остановил меня лишь браузер, который отказался на сайт Slackware заходить, ибо там только HTTP.
| | |
|
| 3.68, Инопланетянин (?), 23:08, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> NPM и Cargo
Их васяны туда пушат, еще и без подписей. Давай лучше ты покажешь новость, где кто-то спецом из мэинтейнеров пакетов сделал что-то плохое?
| | |
| |
| 4.85, Аноним (19), 00:34, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
>> NPM и Cargo
> Их васяны туда пушат, еще и без подписей.
И в репы линукса тоже пушат васяны: код из апстрима, который пишут вторые васяны. Только как это относится к обсуждаемой теме?
> Давай лучше ты покажешь новость, где кто-то спецом из мэинтейнеров пакетов сделал что-то плохое?
А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc пакетов сделали что-то плохое? Ты о чем вообще?
| | |
| |
| 5.89, Инопланетянин (?), 00:44, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
>>> NPM и Cargo
>> Их васяны туда пушат, еще и без подписей.
> И в репы линукса тоже пушат васяны: код из апстрима, который пишут
> вторые васяны. Только как это относится к обсуждаемой теме?
Причем тут репы upstream? Вообще-то часто при сборке
1. накладываются пачти
2. мейнтейнер следит за изменениями
=> вероятность пропихнуть что-то плохое сильное сложнее. И дойдет это сильно дольше, т.к. в нормальных дистрах есть unstable -> testing -> stable. В LTS это вообще доедет еще дольше.
>> Давай лучше ты покажешь новость, где кто-то спецом из мэинтейнеров пакетов сделал что-то плохое?
> А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc
> пакетов сделали что-то плохое? Ты о чем вообще?
Задавать такой вопрос про npm? Ты серъезно?
| | |
| |
| 6.91, Аноним (19), 01:01, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Причем тут репы upstream?
При том, что васян-маинтайнер с подписью не спасут тебя от зловредного кода с апстрима. Поэтому я вообще не понял, зачем ты о них упомянул.
> мейнтейнер следит за изменениями
> вероятность пропихнуть что-то плохое сильное сложнее
Не смеши ради бога: с каких это пор маинтайнеры пакетов делают аудит кода, лол?
>> А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc
> пакетов сделали что-то плохое? Ты о чем вообще?
> Задавать такой вопрос про npm? Ты серъезно?
Я же не просто так написал "авторы, а не воры учеток". Новый вредоносный пакет под новым аккаунтом конечно можно пропихнуть - но смысл, если его никто не юзает.
| | |
| |
| 7.92, Инопланетянин (?), 01:08, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
>> Причем тут репы upstream?
> При том, что васян-маинтайнер с подписью не спасут тебя от зловредного кода
> с апстрима. Поэтому я вообще не понял, зачем ты о них
> упомянул.
Могут и спасти. Пусть лучше будут.
>> мейнтейнер следит за изменениями
>> вероятность пропихнуть что-то плохое сильное сложнее
> Не смеши ради бога: с каких это пор маинтайнеры пакетов делают аудит
> кода, лол?
Банально патч может не наложиться на новые изменения. А это значит, что кое-какое знакомство с кодом надо иметь. Или какие-то фичи явно будут отключены при сборке, к примеру поход в сеть, если мэинтейнер так решит для безопасности. Как минимум он может посмотреть на изменения, которые были, поэтому добавление вредоносного кода абы как не пройдет.
Это разумеется касается не всех мэинтейнеров. Где-то возможно что-то автоматом все делается.
>>> А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc
>> пакетов сделали что-то плохое? Ты о чем вообще?
>> Задавать такой вопрос про npm? Ты серъезно?
> Я же не просто так написал "авторы, а не воры учеток". Новый
> вредоносный пакет под новым аккаунтом конечно можно пропихнуть - но смысл,
> если его никто не юзает.
Похожие имена пакетов или угон учеток. Угон учетки мэинтейнера пакета в студию. Даже для таких случаев есть отзыв ключей.
| | |
|
|
|
|
|
| 2.20, defcon.socialkosmocommunist (?), 18:41, 06/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
Ничто не мешает добавить свои репозитории в систему, вполне децентрализовано, всё в руках пользователей и разработчиков. Например у браузера librewolf свои репозитории, чтобы его скачать с помощью apt надо ручками добавить их в систему.
Как ваше "замечание" относится к теме публикации?
| | |
| 2.21, Аноним (21), 18:43, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Это другое. Дистрибутив может и на зеркалах лежать.
А вот зеркало Windows Store - не сделаешь.
| | |
| |
| 3.37, Аноним (35), 19:27, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> А вот зеркало Windows Store - не сделаешь.
И свой appstore эпловский - хрен поднимешь. Особенно за 5 минут - как свои репы сабжа.
| | |
| 3.50, Аноним (3), 20:24, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Файло на помойках и официальных страничках кончились что ли? Под Вин всего навалом в отличии от лабы и во всех эпостасиях.
| | |
| 3.73, Аноним (-), 23:23, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
с другой стороны - помните как пару лет назад всё легло на день-два - от аэропортов до конгломератов, когда вин_апдейт накосячил?
| | |
|
| 2.28, Аноним (27), 19:12, 06/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> По мнению апологетов Линукса свобода это зависимость от централизованных репозиториев.
Какое милое либо полное непонимание темы, либо намеренное низведение до абсурда.
Во-первых, зависимости нет - форкни реп, или свой с нуля сделай, замени урл и используй. Во-вторых, собственно если тут что-то не так, то как должно быть?
| | |
| |
| 3.38, Аноним (38), 19:30, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> зависимости нет - форкни реп, или свой с нуля сделай, замени урл и используй
Ну стало быть npm, cargo, pypi, и да далее тоже не проблема. ЧТД.
| | |
|
| 2.36, Аноним (35), 19:26, 06/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> По мнению апологетов Линукса свобода это зависимость от централизованных репозиториев.
1) Пакеты ставятся хоть и совсем без реп.
2) Своя репа при желании поднимается минут за 5.
Т.е. это - удобство, а не единственный способ, как у всяких iDevice где кроме как из апстора и не поставишь нихрена, и конечно васян не сможет свой стор сетапнуть за 5 минут.
| | |
| |
| 3.42, Аноним (42), 19:55, 06/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> 2) Своя репа при желании поднимается минут за 5.
При условии что у тебя уже есть сервак - да за 5 минут можно попытаться.
> Т.е. это - удобство, а не единственный способ, как у всяких iDevice
А причем тут iDevice? У местного сбpoда горит от npm, cargo, pypi и тд
Хотя условный карго ты точно так же можешь развернуть локально или на сервере и накидать туда нужные данные.
> где кроме как из апстора и не поставишь нихрена, и конечно васян не сможет свой стор сетапнуть за 5 минут.
Ну так эпл ценится как раз за отсутствие васянов)
| | |
| |
| 4.54, Аноним (-), 21:16, 06/11/2026 [^] [^^] [^^^] [ответить] | –1 +/– | Ну, э, быть линуксоидом и совсем не уметь какой-то минимальный http хоть из чего... большой текст свёрнут, показать | | |
| |
| 5.82, Аноним (38), 00:13, 07/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> рулятся вср@тыми корпоратами в основном. Им я сильно меньше доверяю чем майнтайнерам моего дистро.
То, что ядро и все мейнстримные "дистро" пилятся корпорациями для своих нужд, и то, что корпорации содержат на зарплате подавляющее большинство "майнтайнеров" тебе никак не жмёт? Как на счёт корпоративного железа? Кризис доверия не вызывает?
| | |
|
|
|
| 2.47, Аноним (52), 20:19, 06/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
А чего ждать в децентрализованных: червей, вшитого шпионского кода?
| | |
| 2.69, Инопланетянин (?), 23:09, 06/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> это зависимость от централизованных репозиториев.
Только для apt можно создать свой репозиторий хоть с CD-диска, хость с флешки и обновляться с него.
| | |
| |
| 3.83, Аноним (38), 00:14, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
А setup.exe или персональный cargo нельзя на флешку записать? Защита стоит какая-то?
| | |
|
|
| |
| 2.96, LaunchWiskey (ok), 01:27, 07/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Это что же теперь все сервера переставлять?
И все документы переписывать и работу переделывать, а то мало ли что видоизменённые пакеты туда добавили и вставили. Если хранились видео и фото - то переснимать. Почту - переотправлять.
| | |
|
| 1.40, Аноним (38), 19:32, 06/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– | |
> вклиниться в HTTP-трафик
Но это не повод прекращать священную борьбу против HTTPS на опеннете!
| | |
| 1.62, нах. (?), 22:15, 06/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
и да, https, ВНЕЗАПНО, тоже уязвим.
Только не для мифического mitm, а для куда более банального и куда более вероятного взлома или заведомо васянского "безопастного" зеркала.
- The attacker needs two things: redirects, and transient 5xx errors that
trigger retries. A server operator controls both. The MITM version needed
plain HTTP only to get into a position to send those responses. A rogue
endpoint already has that position, and TLS just encrypts the attack.
- The only HTTPS-specific redirect rule is "no downgrade": basehttp.cc:431-450
forbids https→http, and test-apt-https-no-redirect tests it. That doesn't
matter here. To merge B into A, the server redirects B's URL to A's URL,
normally on the same https:// host. Same scheme, no downgrade.
| | |
| 1.100, Аноним (100), 02:54, 07/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
мне уже с этими кибергеддоном кошмары снятся,как будто меня взломали и наустанавливали мне кучу реклмного софта по типу амиги и прочего...ахах
| | |
|
