> свыкнется — внести следующее маленькое изменение, чуть-чуть улучшающее ситуацию.
> И т.д.Это очень важное и очень сильное допущение, что с каждым изменением ситуация будет улучшаться.
Если апстрим диктует условия, в каком виде и в каких объёмах, в какой форме (локализация в коде, например) должны поступать изменения... И если в итоге он пополняет свой feature list, поддерживая видимость активной результативной работы над безопасностью, и сохраняет надёжную основу для маркетинга... Если он таким образом получает всё, что хотел, что же в итоге должно измениться? Зачем или почему вдруг апстрим станет менять приоритеты и подход, пропускать в ядро более объёмные и сложные изменения?
В итоге, something is better than nothing - это именно тот статус кво, с которым после всех затраченных усилий придётся жить дальше. Или использовать grsec. Плюс ещё сильнее введённое в заблуждение сообщество. И минус время, которое могло быть потрачено на разработку действительно полезных вещей в рамках grsec.
>> 1. Честно оценивать качество и практическую применимость достигаемых результатов
>> 2. Честно освещать организационную составляющую ситуации: отмечать отуствие среди разработчиков системного подхода к вопросу безопасности и консенсуса по его нахождению, а также трезво оценивать перспективы
> На это вряд ли можно надеяться. Ведь это видно только со стороны,
Мне кажется, вы исходите из предпосылки об искренности всех участников. В том числе об искренних и неустранимых заблуждениях. Однако это не так.
Кэйс Кук, глава KSPP, прекрасно осведомлён о происходящем, не поддерживает пиар со стороны LF ни по форме, ни по содержанию. Осознаёт и признаёт первенство и превосходство результатов Grsecurity, а также недостатки текущего подхода в апстриме, как и то, что изменить его будет очень сложно (и он, как ему кажется, над этим работает). А поскольку в процессе обсуждения его кода участвуют разработчики Grsecurity, он видит и конкретные его (кода) недостатки.
Однако всё это мало волнует LF, Торвальдся и других разработчиков. Понимаете? Внутренее осознание есть. Но есть и конфликт интересов, отсутствие заинтересованности и политической воли. В частности, LF достаточно было бы попросить Кука честно и открыто описать ситуацию для сообщества, не сглаживая недостатки, а наоборот - подчёркивая их, как того требует подход к информационной безопасности как таковой, в принципе, безотносительно данной конкретной ситуации. Оптимизму и шапказакидательству тут места категорически быть не должно.
> организационной составляющей: если бы LF/KSPP видели в ней проблему, они бы
> её исправили, а раз не исправили, значит они честно не видят
> проблему, и осветить её не могут даже если бы хотели.
Они не видят в этом проблемы _для_себя_, понимаете? Свои карьерные, маркетинговые и бизнес-задачи они решают именно благодаря, в контексте сложившейся ситуации, а нисколько не вопреки ей. Собственно, и ситуация сама себя не создавала - мне кажется, она в значительной мере является результатом вполне осмысленной деятельности LF в целом и отдельных её членов, таких как Red Hat. То есть, целеполагание имело место.
>> 3. Last but not least, честно указывать на Grsecurity, как на источник практически всех изменений, с признанием его превосходства в плане безопасности
> Тут да. Но это обычный marketing bullshit, преувеличение своих достижений в глазах
Именно. Вся деятельность LF по освещению безопасности в линуксе - это marketing bullshit, применительно и к первым двум пунктам. Ниже вы сами высказываете мысль о положении Grsecurity как конкурента KSPP/LF/mainline, но вместе с тем выше почему-то делаете предположение о честном заблуждении последних. Это очень странно, ведь логичнее было бы предположить как раз обратное. Бизнес - есть бизнес.
> Выходит, чтобы заслуги Grsecurity признавали
Несколько в стороне от темы... В даной ситуации я бы не стал делать акцент на проблемах Grsecurity - проект их уже решает и так или иначе решит для себя. В публичной плоскости, на мой взгляд, гораздо важнее, что во всей этой ситуации теряет сообщество. А теряет оно не столько доступ к патчам, сколько перспективы реальной результативной работы по защите ядра и системы в целом. И не в силу недавних действий со стороны проекта Grsecurity, а в силу давно сложившегося подхода в основной команде разработчиков ядра и в освещении её деятельности со стороны ангажированных организаций и СМИ.
К сожалению, разработчики grsec решили не политизировать свой анонс изложением взгляда на ситуацию и не втягивать себя в очередной медийный скандал, где их точка зрения, как уже случалось множество раз, воспринималась бы сквозь призму отношения к чужакам, не вызывающим никакой симпатии и якобы преследующим только собственные корыстные интересы. В итоге, всё, что я пытаюсь донести здесь, в неструктурированной форме размазано по всему интернету, по комментариям, письмам и статьям.
У меня было намерение хоть как-то восполнить этот пробел: может быть, написать статью и протолкнуть её на какой-нибудь хабр. Но наблюдая за реакцией сообщества, я всё меньше вижу в этом смысл (не говоря о пропаже всякого желания). Складывается впечатление, что сообщество поляризовано настолько, что осведомлённая его часть не нуждается ни в каких пояснениях, а остальная часть - даже не готова их рассмотреть и воспринять как мнение. И где-то посредине находятся единицы пользователей grsec, которые в свою очередь могут задать вопросы его разработчикам напрямую - было бы желание.
> им нужно либо заниматься ответным пиаром
> и судебными угрозами о недобросовестной конкуренции, либо стать некоммерческим проектом
Они уже были некоммерческим проектом, но по ряду причин это стало не вполне приемлемо. Некоммерческий проект не может себя ни самостоятельно защитить, ни хотя бы компенсировать себе затраты на некоторую особенно трудоёмкую работу, вроде создания RAP (не говоря уже о получении прибыли).
> (тогда они не будут конкурентами, и может быть маркетологи перестанут врать
> про их заслуги), либо объединиться с KSPP/LF. Последнее им не подойдёт
> по этическим причинам.
Не только по этическим причинам. Они не могут объединиться с LF, осуществлять какую-то деятельность в рамках этих отношений и при этом не поставить под удар будущее проекта и качество его результатов.
> Становиться некоммерческим проектом им тоже не хочется, не
> для того 16 лет старались.
На самом деле и сейчас стараются: над проектом работают в свободное от оплачиваемой работы время. И работа эта никак не пересекается с grsec, осознанно, во избежание конфликта интересов.
Их коммерческая компания занимается, как и раньше, только отношениями с клиентами и пока не приносит достаточной прибыли. Если бы ставилась самостоятельная, приоритетная цель коммерциализироваь grsec, это было бы сделано много лет назад. В частности, не было бы никакого смысла выкладывать в открытый доступ стабильные патчи (которые выпускались в рамках работы со спонсорами/клиентами), где они находились вплоть до конфликта по части trademark abuse и нарушений GPL, сопровождавшегося угрозами суда со стороны богатых корпораций и рисками понесения больших судебных изержек.
> А первое им самим оказалось не
> под силу. Финансово или юридически могло бы помочь "сообщество", но не
> сделало этого, и мы имеем то, что имеем. Да, теперь почти
> всё стало на свои места.
> [/мысли_вслух]
Главная помощь, которую могло и, лично я уверен, всё ещё может (в принципе) оказать сообщество - это поддержка в медийном пространстве и чёткое формулирование спроса на реальную безопасность в линуксе. Общественное мение - величайшая сила, об этом вам любой социолог и обществовед расскажет. Но пользоваться ей надо уметь, а также иметь желание и давать себе труд её приложить - как и любую другую силу. Этого не происходит и, вероятно, не произойдёт даже в будущем, после составления сообществом картины ситуации, более близкой к реальной. Посмотрим...
> Может стоило дать сообществу шанс? Не сжигать сразу все мосты, а вывесить
У сообщества есть шанс, он и не пропадал никуда. Мосты не сожжены: патчи как пропали из общего доступа, так могут и вернуться. До публикации анонса разработчики grsec рассматривали, как возможность, и развёрнутое объяснение причин своего решения, и периодическую, но редкую публикацию патчей для поддержки сообщества. Да, в итоге от этого отказались. Но решение об отказе принималось тогда, когда сообщество ещё никак в данной конкретной ситуации себя не проявило.
> объявление, "ищем юридической помощи и пиар-поддержки, если за два месяца не
> найдём — закроем доступ и к тестовым патчам тоже"?
Важно ведь не намерение, а потенциал. А потенциал сообщества (которое вы тоже - наверное, не без оснований - берёте в кавычки) в этом весьма невысок, как показали некоторые предыдущие события в жизни проекта, а также сам факт формирования и существования сложившейся ситуации.
>> - Осознавая потребность, стараться прийти к системному подходу - в противовес feature list-driven marketing, который мы наблюдаем сейчас
> Тут пока не знаю... Неужели никак нельзя прийти к этому системному подходу
> постепенно, пусть через огрызки и недоделки, но шаг за шагом, feature
> by feature?
Конечно, можно! Но обратите внимание даже на ход ваших собственных мыслей: как вы размышляете о том, в какой бы такой форме, да по частям, да планомерно повышая качество, можно было бы портировать патчи в ядро, чтобы там со временем подход и приоритеты могли измениться. А никак. Должна быть встречная заинтересованность, чтобы дело хоть как-то, со скрипом сдвинулось в сторону реальных, а не маркетинговых и набумажных результатов. А её нет - вот, в чём дело.
Сформировать эту заинтересованность может лишь конкурентная борьба, которой мы не наблюдаем (и давайте признаемся себе честно: линукс превратился в своего рода монополиста, со всеми вытекающими), ну или спрос со стороны покупателя (пользователей). Как ещё? Ну не регуляцией же со стороны государства. :) По сути своей ситуация стара, как мир, и для выхода из таких ситуаций существуют очень консервативные и всем известные решения, помимо которых извернуться и придумать что-то новое - практически невозможно. Этот путь человечеством уже был пройден.
>> - Формировать критерии и адекватный спрос на безопасность со стороны пользователей линукса - в противовес the market for lemons, в условиях которого они действуют на данный момент, и той, простите, гебельсовщине, которую сейчас льют им в головы коммерчески заинтересованные стороны
> Это было бы здорово... Но разве это возможно? Не обучишь же пользователей
> тонкостям низкоуровневого программирования.
Конечно, возможно. Смотрите, есть Grsecurity, который позволяет защититься от эксплуатации некоторых серьёзных классов уязвимостей в принципе, а эксплуатацию других классов, отдельных уязвимостей и их цепочек - существенно усложнить. Есть реальные критерии оценки, понимаете? Бери да смотри: что работает, а что не работает, как частно и почему.
И есть концепции, лежащие в основе Grsecurity, да и информационной безопасности, как таковой. Например, истина о том, что защищающемуся необходимо закрыть все уязвимости, а нападающему - достаточно найти и эксплуатировать одну единственную. Понимание одной этой истины вкупе со сравнительным анализом эффективности grsec на примере эксплуатации публикуемых уязвимостей (в т.ч. в рамках конкурсов а ля Pwn2Own) способно поставить под сомнение любой пиар, превозносящий бессистемные результаты бессистемного процесса, который мы сейчас наблюдаем. На концептуальном уровне поставить под сомнение, понимаете? Что нужно, чтобы такое понимание сформировать - вопрос отдельный и сложный, у меня нет на него ответа.
Но я уверен (и считаю, что не без оснований), что в токности низкоуровневого программирования никому для этого вникать не нужно. Нужны какие-то серьёзные изменения в плане социальных отношений, общественная институционализация взаимодействия между покупателями (пользователями) и продавцами (разработчиками) - что-то, аналогичное обществам защиты прав потребителей. Но пока что это всё только мои хотелки и догадки, с этим спорить не стану.
