Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Критическая уязвимость в криптографической библиотеке Libgcrypt 1.9.0 , opennews (??), 29-Янв-21, (0) [смотреть все] типикал си, Аноним (1), 22:05 , 29-Янв-21, (1) // Не трожь наш язык от бога Ничего лучше него придумать невозможно, Си - совершен, Wilem82 (ok), 22:12 , 29-Янв-21, (7) +3 // Эволюция свернула не туда , Аноним (11), 22:39 , 29-Янв-21, (11) +3 // Кто ж виноват что хипстеры не системщики а вебмакаки Вот и пользуемся тулсами о, Аноним (-), 23:35 , 29-Янв-21, (19) +7 Богов, кстати, было 2 , Аноним (32), 04:03 , 30-Янв-21, (32) +2 // Bug-ов , НеАноним (?), 05:07 , 30-Янв-21, (39) +2 Кто из-них бог 1 Ритчи создал язык Си 2 Томпсон создал UNIX, а также язык Би -, Аноним (-), 12:08 , 30-Янв-21, (70) +4 Поправка принимается, нехай будет трое А так - по сравнению с смузихлебами, люб, Аноним (93), 19:55 , 30-Янв-21, (93) +1 есть ещё Go, непосредственный приемник Limbo есть ещё D, каким и должен был быть, еман (?), 10:47 , 31-Янв-21, (119) дурачок, си это инструмент, а не религия, мимо проходил (?), 12:06 , 31-Янв-21, (120) –1 На месте надо писать, не будет таких косяков, Аноним (13), 22:51 , 29-Янв-21, (13) –1 // Не пишите программы - и в них не будет багов, проверенный способ , Аноним (93), 19:55 , 30-Янв-21, (94) Типикал опенсорс Зоркий глаз только через два года заметил, что у сарая нет сте, Аноним (18), 23:29 , 29-Янв-21, (18) +1 // Походу таки не 2 года и прилетело только тестовым манекенам, которые для этого к, Аноним (-), 23:36 , 29-Янв-21, (20) Твой глаз скорее всего заметил это Но мозг ничего не понял, так как он спит, а к, Аноним (27), 00:58 , 30-Янв-21, (27) +10 При чем тут си, если макаки кривоукие писать не умеют, я вот недавно на нем хелл, Чебур (?), 06:11 , 30-Янв-21, (44) +6 // Хаха, начинается Это неправильные программисты, они пишут неправильный код , , Аноним (11), 11:25 , 30-Янв-21, (65) // Либа опенсорсная, перепишите по своему Другой вопрос, что дистрибутивов, которы, Аноним (88), 17:48 , 30-Янв-21, (88) Надо было на Javascript писать , Аноним (54), 09:55 , 30-Янв-21, (54) Даже растофанатики выяснили что дело не в языке, после текущего редокса, а дело , Аноним (71), 12:10 , 30-Янв-21, (71) // И только дырописатели на сишке не видят разницы в утечке памяти и выходе за гран, Qwerty123456 (?), 12:17 , 30-Янв-21, (76) –1 // хелловротписатели на сишке это, потому что на полном серьезе приравнивают утечк, Аноним (86), 16:37 , 30-Янв-21, (86) +2 Лол Ну ничего, сейчас они начнут дагадываться зачем у нас valgrind, kasan, стат, Аноним (93), 19:58 , 30-Янв-21, (95) // То ли дело местные Эксперды - умеют ловить утечки памяти в ядерном менеджере п, Аноним (106), 21:26 , 30-Янв-21, (106) Кто он и мощнее чем что Что с чем ты сравниваешь , draw1 (?), 03:25 , 31-Янв-21, (113) Анализ, очевидно Эксперд выше ляпнул начнут дагадываться зачем у нас стати, Аноним (118), 05:05 , 31-Янв-21, (118) +2 Typical lasy stupid Т к вот оно А допущениев в реале-то нельзя делать вообще , An O Nim (?), 09:57 , 01-Фев-21, (123) Вот когда в ядре RUST посыпяться идентичные ошибки - вот тогда и смешно будет , bOOster (ok), 12:43 , 03-Фев-21, (126) Кстати, появилась альтернатива секвое для использования в качестве либы - https , Аноним (2), 22:05 , 29-Янв-21, (2) +3 // Очень хорошо , Fracta1L (ok), 09:05 , 30-Янв-21, (51) –6 // Как всегда, нужный 1 кода, который всё делает - на Си, и 99 - обвязка на расте, Аноним (53), 09:38 , 30-Янв-21, (53) +4 // Кинуть ссылку на этот сишный код тебя не затруднит Или как всегда, сморозил глу, Аноним (87), 16:44 , 30-Янв-21, (87) +2 Когда уже твой раст без питона и дырявой сишки можна будет собрать https ww, Аноним (61), 10:38 , 30-Янв-21, (61) –1 // когда уже дырявую сишку можно будет собрать без баша, перла, питона , alex312 (?), 11:43 , 30-Янв-21, (67) В каком месте мой makefile требует баш, перл и питон , Аноним (93), 19:59 , 30-Янв-21, (96) –2 https gcc gnu org install prerequisites html, Аноним (106), 21:15 , 30-Янв-21, (105) +1 Да, это разумеется проблема и когда-то сделать полный бустрап Просто еще не усп, Аноним (11), 11:45 , 30-Янв-21, (68) И еще 50 лет переписывать будут А там либо шах, либо ишак , Аноним (93), 20:00 , 30-Янв-21, (97) Ну ты же этим, я надеюсь, не пользуешься В смысле, ты же не жрёшь то, что обсир, draw1 (?), 03:40 , 31-Янв-21, (114) Факт что ты ездишь по плохим дорогам лишает тебя права критиковать плохие дороги, Аноним (124), 18:18 , 01-Фев-21, (124) Я на эти дороги плачу деньги и уже не один десяток лет Поэтому когда я их кри, draw1 (?), 00:22 , 04-Фев-21, (127) Тысячи глаз У меня то как раз 1 9 0 Я так понимаю всякие nettle более низкоуро, Аноним (4), 22:06 , 29-Янв-21, (4) // Из заметных пользователей kwallet и pidgin-otr, И libktorrent внезапно , Аноним (4), 22:08 , 29-Янв-21, (5) +2 Работает - не трогай , Аноним (6), 22:09 , 29-Янв-21, (6)   // 171 Не сломалось - не чини 187 - известный девиз говнокодеров Поскольку у н, Wilem82 (ok), 22:13 , 29-Янв-21, (8) +8   // Не обязательно, просто новый непроверенный код будет с багами А старый ломается, Аноним (4), 01:15 , 30-Янв-21, (29)   // С одной стороны - да Это неизбежно С другой стороны, из этого следует, что прог, Wilem82 (ok), 02:16 , 30-Янв-21, (31) +1   У си довольно приличная система типов - вот что-что а на типы он вонять умеет не, Аноним (-), 04:15 , 30-Янв-21, (37) –2   Вы неочень понимаете о чём речь идёт В С с некоторой точки зрения вообще типов , Аноньимъ (ok), 05:16 , 30-Янв-21, (40) +1   Я то как раз очень хорошо понимаю что в сишке с типами И знаю что если я дам ем, Аноним (-), 20:07 , 30-Янв-21, (98) –1   Нет unsafe в расте позволяет лишь две особые вещи вызов unsafe функции и разад, Ordu (ok), 23:55 , 30-Янв-21, (108) +2   Разработчики компиляторов Си бросили все силы на то чтобы сделать этот портируе, Аноньимъ (ok), 00:12 , 31-Янв-21, (111) +1   Без толики упрёка, я боюсь, что вы в принципе очень плохо понимаете что такое ти, Аноньимъ (ok), 00:09 , 31-Янв-21, (110) +1   Кстати, а эти либы сишные вроде либжкрипта и опенссл вообще юнит тестами покрыва, Аноньимъ (ok), 05:29 , 30-Янв-21, (42)   Удивительно, но тесты есть https github com gpg libgcrypt tree master testsht, Аноним (11), 13:48 , 30-Янв-21, (80) +2   Вот те раз, syzkaller то оказывается - хипстота , Аноним (-), 20:08 , 30-Янв-21, (99) –1   Не могли бы пояснить, почему в Go слабая система типов , Аноним (54), 09:58 , 30-Янв-21, (55)   P S Только щас понял, что возможно имеет место конфуз - под сильной я имею ввид, Wilem82 (ok), 15:57 , 30-Янв-21, (85) +1   Скрыто модератором, Аноним (-), 20:13 , 30-Янв-21, (100)   Дебианщики как-то раз починили не сломаное Нет, буфера не переполнялись, но воо, Аноним (-), 04:06 , 30-Янв-21, (33) +4   В голосину , Fracta1L (ok), 22:16 , 29-Янв-21, (9) +2 Ахахахаха Критическая уязвимость от переполнения буфера в либе используемой в Г, Аноним (11), 22:38 , 29-Янв-21, (10) +2 // https security archlinux org package opendoas, Аноним (21), 23:45 , 29-Янв-21, (21) // Он кстати единовременно с судо обновился, наверно такая же хрень , Аноним (4), 00:13 , 30-Янв-21, (23) // Хрень, но вообще совсем другая Он что-то не так делал с PATH, не очищал его что, Аноним (-), 04:11 , 30-Янв-21, (34) Спасибо, дорогой, за информацию Fixed opendoas-6 8 1-2, Мамкин Хакер (?), 01:51 , 30-Янв-21, (30) Критическая уязвимость в криптографической библиотеке Libgcr..., Аноним (83), 15:13 , 30-Янв-21, (83) +1 pacman -Ss libgcryptcore libgcrypt 1 9 1-1 установлен Держу в курсе , Мамкин Хакер (?), 23:13 , 29-Янв-21, (17) // А в Манжаре до сих пор даже в тестовой ветке core libgcrypt 1 8 7-1 installed М, Fracta1L (ok), 08:57 , 30-Янв-21, (49) // а мне говорили, что в арче новые версии появляются за два дня до их релиза, обма, Аноним (81), 14:20 , 30-Янв-21, (81) –1 // Манжара это не Арч, Fracta1L (ok), 14:55 , 30-Янв-21, (82) , печальная история на самом деле Надо начинать пилить своё LFS с пакманом и , Аноним (88), 18:01 , 30-Янв-21, (91) фрактал кукумбер, Аноним (22), 00:10 , 30-Янв-21, (22) +4 В промышленных дистрибутивах дырка не появилась, вот и славно , Аноним (24), 00:33 , 30-Янв-21, (24) –1 Какие популярные приложения пострадали , Аноним (25), 00:33 , 30-Янв-21, (25) // Freaktail Firmware v0 01, n00by (ok), 07:31 , 30-Янв-21, (47) Fedora 34 и Gentoo, правда они не очень популярные , VINRARUS (ok), 10:21 , 30-Янв-21, (58) +1 Раст, Аноньимъ (ok), 00:56 , 30-Янв-21, (26) +1 // Где ж вы с фракталом были Покажите нам как крипту кодить А мы посмотрим скольк, Аноним (-), 04:12 , 30-Янв-21, (35) // Далек например гляньте Айсис Агора Лавкрафт на ютубе рассказывает , Аноньимъ (ok), 05:25 , 30-Янв-21, (41) +1 // а кроме как на ютубе рассказывает - есть применения , Аноним (53), 07:23 , 30-Янв-21, (45) Может на тиктоке еще глянуть Странные какие-то места чтобы крипто затариться , Аноним (-), 20:17 , 30-Янв-21, (101) –1 А какие не странные Чем по вашему ютуб странный для обсуждения криптографии На , Аноньимъ (ok), 23:56 , 30-Янв-21, (109) +1 Ну вот ещё выше было https github com rpgp rpgpИ раз уж о крипте речь зашла, т, Аноньимъ (ok), 05:35 , 30-Янв-21, (43) +1 // т е раст тут никак не поможет , Аноним (53), 07:24 , 30-Янв-21, (46) –2 Чуть-чуть поможет, но переписывание может не стоить того, Лыжная дрель (?), 09:04 , 30-Янв-21, (50) Чуть-чуть поможет И сколько-то помешает При том в отличие от сей это вы как ра, Аноним (-), 20:19 , 30-Янв-21, (102) –1 Звучит как-то так Есть средство, позволяющее избежать хорошей части ошибок раб, Аноним (63), 11:11 , 30-Янв-21, (63) +3 На нём разве можно что-то написать работающее Даже Мозила уже отказалась и выгн, Аноним (53), 04:32 , 30-Янв-21, (38) –2 // На нём можна отлично посылать ненависников на dev null, VINRARUS (ok), 10:23 , 30-Янв-21, (60) Нет софт, нет узявимостей Язык на 100 безопасен , Аноним (71), 12:15 , 30-Янв-21, (74) +1 Раст не спасает от говнокода Даже безголовый фрактал в этом месте напишет unsaf, Аноним (71), 12:14 , 30-Янв-21, (73) Жаль что не на стадии проверки подписи - опять всякие говнодистры, не использующ, Аноним (2), 01:06 , 30-Янв-21, (28) // Поиметь реально только федору и генту Зачем вам эти багодромы У вас бэкдор чер, Аноинм (?), 04:14 , 30-Янв-21, (36) +2 Критическая уязвимость в Libgcrypt затрагивающая другую критическую уязвимос, Аноним (53), 09:36 , 30-Янв-21, (52) // Критические уязвимости 8212 обьеденяйтесь , VINRARUS (ok), 10:18 , 30-Янв-21, (57) // Минус на минус даёт плюс, Аноним (71), 12:23 , 30-Янв-21, (79) // Смотря что перемножать -i -i -1, Аноним (53), 03:58 , 31-Янв-21, (117) Одна уязвимость создана чтобы следить за другой , Аноним (71), 12:22 , 30-Янв-21, (78) +1 Заказ товмайора, а то зашифровались все, почитать нечего, скушно , Аноним (61), 10:16 , 30-Янв-21, (56) +2 https packages gentoo org packages dev-libs libgcryptСтабильна версия в Gentoo, Аноним (61), 10:23 , 30-Янв-21, (59) // Да они называются Ubuntu LTS и CentOS 7, Аноним (71), 12:17 , 30-Янв-21, (75) +2 // Debian еще есть, 10-й Из него меньше подарков выковыривать чем из убунт, Аноним (-), 20:21 , 30-Янв-21, (103) опять это пресловутое переполнение буфера когда уже программы начнут писать пр, Аноним (69), 11:46 , 30-Янв-21, (69) +1 // Когда ты уже начнешь думать головой и перестанешь верить заголовкам Это фича дл, Аноним (71), 12:18 , 30-Янв-21, (77) –1 // шапочка из фольги не жмет голову , alex312 (?), 15:21 , 30-Янв-21, (84) // В челябинске фольга настолько сурова что жмет голову , Аноним (-), 20:22 , 30-Янв-21, (104) Там проблема не в переполнении буфера, а а в мании прослушки , Аноним (88), 17:54 , 30-Янв-21, (90) Напомните, библиотека рассчитана на суперзащищенный ящик стоящий посреди поля, и, Аноним (88), 17:52 , 30-Янв-21, (89) +1 // Когда не было яойфонов и суперзащит - люди летали на Луну , Аноним (53), 03:54 , 31-Янв-21, (116) +1 Что системда шифрует Че за бред вообще Система инициализации и крипта Теперь , песик (?), 02:06 , 31-Янв-21, (112) +1 // системда - это зародыш винды в линухе , Аноним (53), 03:52 , 31-Янв-21, (115) // Винда лучше, МАРКС (?), 00:46 , 01-Фев-21, (122) +1 1,2,4,6,9,10,17,22,24,25,26,28,52,56,59,69,89,112

Сообщения

[Сортировка по времени | RSS]

6. "Критическая уязвимость в криптографической библиотеке Libgcr..."	+/–
Сообщение от Аноним (6), 29-Янв-21, 22:09
> и вызвана изменением в новой реализации хэш-функций, внесённым около двух лет назад Работает - не трогай!
Ответить | Правка | Наверх | Cообщить модератору

	8. "Критическая уязвимость в криптографической библиотеке Libgcr..."	+8 +/–
	Сообщение от Wilem82 (ok), 29-Янв-21, 22:13
	«Не сломалось - не чини» - известный девиз говнокодеров. Поскольку у них всё на соплях, малейшее движение рушит всю систему. Поэтому да. Ценный совет.
	Ответить | Правка | Наверх | Cообщить модератору

	29. "Критическая уязвимость в криптографической библиотеке Libgcr..."	+/–
	Сообщение от Аноним (4), 30-Янв-21, 01:15
	Не обязательно, просто новый непроверенный код будет с багами. А старый ломается в основном потому, что это теперь другой разработчик, который может быть в курсе некоторых аспектов. Или он в силу разных обстоятельств не может обеспечить тех уровня качества и рецензированности, что и прошлый разработчик.
	Ответить | Правка | Наверх | Cообщить модератору

	31. "Критическая уязвимость в криптографической библиотеке Libgcr..."	+1 +/–
	Сообщение от Wilem82 (ok), 30-Янв-21, 02:16
	> просто новый непроверенный код будет с багами С одной стороны - да. Это неизбежно. С другой стороны, из этого следует, что программы писать вообще нельзя - ведь они неизбежно будут с багами. А если даже ты собрался с духом и что-то написал, то ни в коем случае нельзя делать новые фичи или чинить баги. Ведь починка бага - это тоже новый код. Что, разумеется, абсурд. На самом деле понятно, что программы писать надо, и улучшать их тоже надо, иначе нахер они кому нужны будут - несуществующие или без фич? Другое дело, что есть техники по минимизации количества багов. Отчасти это зависит от языка (Си - плохой вариант), отчасти от уровня квалификации программиста - насколько он хорошо знает и понимает software engineering? Умеет ли правильно писать тесты? Пишет ли их? Понимает ли он, что алгоритмы в коде и состояния программы должны быть максимально простыми и следовательно предсказуемыми? А самое главное, умеет ли он писать код так, что бы другой разработчик случайно что-нибудь не поломал? Это уже в основном зависит от фич языка. Через язык ты должен иметь возможность выразить все необходимые инварианты, что бы компилятор если что не пропустил их нарушения. Для этого нужна сильная система типов (поэтому Си, как и Го - в пролёте). Ну и разумеется умение этого первого программиста этой системой пользоваться в нужном направлении.
	Ответить | Правка | Наверх | Cообщить модератору

	37. "Критическая уязвимость в криптографической библиотеке Libgcr..."	–2 +/–
	Сообщение от Аноним (-), 30-Янв-21, 04:15
	У си довольно приличная система типов - вот что-что а на типы он вонять умеет неплохо. Сидиотничать можно, конечно, но все же.
	Ответить | Правка | Наверх | Cообщить модератору

	40. "Критическая уязвимость в криптографической библиотеке Libgcr..."	+1 +/–
	Сообщение от Аноньимъ (ok), 30-Янв-21, 05:16
	Вы неочень понимаете о чём речь идёт. В С с некоторой точки зрения вообще типов нет. Что-то конечно похожее есть, но, войд указатель это всё стирает как та чёрная дыра. Скорее их нет чем они есть в общем.
	Ответить | Правка | Наверх | Cообщить модератору

	98. "Критическая уязвимость в криптографической библиотеке Libgcr..."	–1 +/–
	Сообщение от Аноним (-), 30-Янв-21, 20:07
	Я то как раз очень хорошо понимаю что в сишке с типами. И знаю что если я дам ему что-то левое, вонять будет. А void* примерно как unsafe в расте. То-есть поюзать на свою задницу можно, но корректность того что за этим следует на совести програмера. И да, без таких вещей яп просто не будет пригоден для системного программирования. И там вообще так по жизни довольно много небезопасных вещей. Так вон даже GOпники с фуксией вроде задолбались, что-то дрова и системные компоненты на го им не нравится :). Наверное, секрет в том что тявкать из кустов одно, а програмить это - другое.
	Ответить | Правка | Наверх | Cообщить модератору

	108. "Критическая уязвимость в криптографической библиотеке Libgcr..."	+2 +/–
	Сообщение от Ordu (ok), 30-Янв-21, 23:55
	> А void* примерно как unsafe в расте. Нет. unsafe в расте позволяет лишь две особые вещи: вызов unsafe функции и разадресацию raw-указателя. Собственно для этого и используется. void* же в C используется для полиморфизма, потому что система типов иначе не умеет. То есть вещи, которые вообще-то не являются небезопасными делаются программистом небезопасными, потому что иначе никак. Например, в libc есть функция qsort:        void qsort(void *base, size_t nmemb, size_t size,                   int (*compar)(const void *, const void *)); Программист вызывающий функцию должен сам всё чётко проверить, чтобы если base имеет тип T*, то compar был бы типа int (*)(const T*, const T*). Он должен проверить, чтобы nmemb был бы равен количеству элементов в массиве. Чтобы size был бы равен sizeof(T). Эти проверки вполне возможно выполнить, но когда эти проверки надо выполнять на каждом шагу, то некоторые неизбежно выполняются ошибочно. Или они станут ошибочными после каких-то изменений. Хотя параметрическая типизация легко спасает от этого, в гипотетическом C с темплитами это могло бы выглядеть так: template<T> void qsort(T* base, size_t nmemb, int (*compar)(T*, T*)); Видишь? Теперь единственный способ ошибиться -- это передать кривой nmemb. Накосячить с типами невозможно, потому что когда ты присунешь в вызов функции указатели на массив и на функцию, компилятор проверит, чтобы их типы соотносились бы определённым образом. А если ещё добавить идею слайса (нисколько не динамического массива, но "знающего" свой размер), как структурки вида {T* base; size_t nmemb}, и заменить ими C'шные массивы, то тогда ещё проще, и компилятор выполнит все проверки: template<T> void qsort(T base[], int (*compar)(T*, T*)); И теперь уже совершить ошибку невозможно. Ошибка может быть зарыта в qsort, который может, например, выходить за границы переданного слайса, но это вряд ли. И надо будет исхитряться, чтобы такой qsort заставить сделать что-нибудь плохое: надо как-то создать кривой слайс base, но если создание слайсов и подслайсов выполняется операциями известными компилятору, который может проверить во время компиляции, что подслайс целиком содержится в слайсе, то придётся реально исхитрятся чтобы создать кривой слайс. Это легко сделать злоумышленно, но случайно скорее всего не выйдет. И, заметь, это даже без деления кода на safe/unsafe, просто изменена система типов: в неё добавлены параметризованные типы и слайсы. void* в C нужен как костыль для полурабочей системы типов, потому как без него она не юзабельна.
	Ответить | Правка | Наверх | Cообщить модератору

	111. "Критическая уязвимость в криптографической библиотеке Libgcr..."	+1 +/–
	Сообщение от Аноньимъ (ok), 31-Янв-21, 00:12
	>и компилятор выполнит все проверки Разработчики компиляторов Си бросили все силы на то чтобы сделать этот "портируемый" язык портируемым. И получается всё еще плохо. Какие там проверки.
	Ответить | Правка | Наверх | Cообщить модератору

	110. "Критическая уязвимость в криптографической библиотеке Libgcr..."	+1 +/–
	Сообщение от Аноньимъ (ok), 31-Янв-21, 00:09
	> Я то как раз очень хорошо понимаю что в сишке с типами. Без толики упрёка, я боюсь, что вы в принципе очень плохо понимаете что такое типы, и почему их в Си нет. Я вот сам не очень понимаю, потому что тема сложная, но понимаю настолько чтобы знать, что их в Си нет. >И да, без таких вещей яп просто не будет пригоден для системного программирования. Вы правы отчасти. Системное программирование такой-же маркетинговый булщит как скорость и портируемость Си. Си даёт вам прямой доступ к части функционала ЦП(который изначально под выполнение Си кода заточен). Проблема однако в том, что, при попытке написать корректно работающее безопасное(в широко смысле) ПО вы используя этот прямой доступ неизбежно переизобретете велосипед(менеджер памяти набор методик специальные макросы и прочее прочее вплоть до ручного добавления проверки переполнения буфера на протяжении 30 лет "развития" вашего ПО) который миллион раз уже изобрели (причем 20 лет назад) и который изобретать еще раз нет никакой абсолютно необходимости.
	Ответить | Правка | К родителю #98 | Наверх | Cообщить модератору

	42. "Критическая уязвимость в криптографической библиотеке Libgcr..."	+/–
	Сообщение от Аноньимъ (ok), 30-Янв-21, 05:29
	Кстати, а эти либы сишные вроде либжкрипта и опенссл вообще юнит тестами покрывают?
	Ответить | Правка | К родителю #31 | Наверх | Cообщить модератору

	80. "Критическая уязвимость в криптографической библиотеке Libgcr..."	+2 +/–
	Сообщение от Аноним (11), 30-Янв-21, 13:48
	Удивительно, но тесты есть. https://github.com/gpg/libgcrypt/tree/master/tests https://github.com/openssl/openssl/tree/master/test Покрытие правда неизвестно, кто хочет может поискать. Но такой баг тестами покрыть сложно - там нужны особые входные данные. Возможно бы помог fuzz testing, но это уже хипстота и смузихлебство, настоящий сишник на такое не пойдет.
	Ответить | Правка | Наверх | Cообщить модератору

	99. "Критическая уязвимость в криптографической библиотеке Libgcr..."	–1 +/–
	Сообщение от Аноним (-), 30-Янв-21, 20:08
	Вот те раз, syzkaller то оказывается - хипстота?!
	Ответить | Правка | Наверх | Cообщить модератору

	55. "Критическая уязвимость в криптографической библиотеке Libgcr..."	+/–
	Сообщение от Аноним (54), 30-Янв-21, 09:58
	>Для этого нужна сильная система типов (поэтому Си, как и Го - в пролёте). Не могли бы пояснить, почему в Go слабая система типов?
	Ответить | Правка | К родителю #31 | Наверх | Cообщить модератору

	85. "Критическая уязвимость в криптографической библиотеке Libgcr..."	+1 +/–
	Сообщение от Wilem82 (ok), 30-Янв-21, 15:57
	P.S. Только щас понял, что возможно имеет место конфуз - под сильной я имею ввиду "фичастую", а не в смысле strongly / weakly typed. :) >>Для этого нужна сильная система типов (поэтому Си, как и Го - в пролёте). > Не могли бы пояснить, почему в Go слабая система типов? - Нет дженериков. Причём сам создатель языка (Роб Пайк) сказал, что в Гугле работают тупые мартышки которые не могут осилить сложные концепции, поэтому язык Го - мега-тупой, то есть дженериков там нет не потому, что они не нужны, а что бы у сотрудников Гугла голова случайно не заболела - Нет dependent types - а они есть даже у прости господи фронтэндщиков (TypeScript) - Нет sum types / tagged unions - Даже явного указания на реализацию какого-то интерфейса нет - там тупо duck typing. Программирование через "а вдруг мне повезёт и у этого типа будут функции совпавшие по сигнатурам с сигнатурами вон того типа" - это дорога в непредсказуемые баги Может ещё чего-то нет - можно погуглить про критику Го и почитать про то, почему это язык застрявший своими концепциями в 1960-ых. Пример языков с сильными системами типов - Scala, Haskell, TypeScript.  Это не значит, что они во всём хороши - просто как пример, можно посмотреть им в доку и почитать какие фичи даёт язык, с примерами как это применять и тд. На типах TypeScript например написали исполнитель SQL-запросов на стадии компиляции просто как демонстрацию крутизны компилятора.
	Ответить | Правка | Наверх | Cообщить модератору

	100. Скрыто модератором	+/–
	Сообщение от Аноним (-), 30-Янв-21, 20:13
	> (Роб Пайк) сказал, что в Гугле работают тупые мартышки которые не могут осилить сложные концепции Гугол ПИТОН у себя этим заменял!!! Что вы от питонистов хотели? Low entry barrier же.
	Ответить | Правка | Наверх | Cообщить модератору

	33. "Критическая уязвимость в криптографической библиотеке Libgcr..."	+4 +/–
	Сообщение от Аноним (-), 30-Янв-21, 04:06
	> «Не сломалось - не чини» - известный девиз говнокодеров. Дебианщики как-то раз починили не сломаное. Нет, буфера не переполнялись, но вообще все возможные варианты ключей которые их openssl мог генерить описывались примерно 6Мб блеклистом. Как вы понимаете - это ультра-мега-критикал, когда 6-метровый список содержит ВСЕ ключи ВСЕХ дебианов и прочих убунт на планете. Просто потому что хакеры его быстро сгенерили и пошли получать рут по ssh на вообще всех машинах которые найдут.
	Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема