forum.opennet.ru - "Раздел полезных советов: Используем BitMessage через IMAP/SMTP" (67)

"Раздел полезных советов: Используем BitMessage через IMAP/SMTP"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Раздел полезных советов: Используем BitMessage через IMAP/SMTP"	+/–
Сообщение от auto_tips (?), 02-Дек-20, 11:35
Инструкция по использованию [[https://en.wikipedia.org/wiki/Bitmessage BitMessage]] в любом почтовом клиенте (Thunderbird/Apple Mail/etc). BitMessage представляет собой децентрализованную P2P-сеть, использующую похожие на Bitcoin принципы построения распределённой шифрованной цепочки блоков, но вместо хранения информации о денежных транзакциях, ориентированную на пересылку сообщений. Устанавливаем Docker и создаём раздел для данных: $ docker volume create bm-data Создаём контейнер, в котором запускаем образ https://hub.docker.com/r/yshurik/bitmessage (https://github.com/yshurik/docker-bitmessage) $ docker run -v bm-data:/data -d --name bm -p 8444:8444 -p 127.0.0.1:25:2525 -p 127.0.0.1:143:143 --restart=unless-stopped yshurik/bitmessage:latest IMAP/SMTP открыт только для localhost Настраиваем Thunderbird. Для старта выбираем адрес bm@bitmessage Подключаемся по IMAP к localhost, выбрав сетевой порт 143. Security: none, Authentication: plain password. Имя пользователя bm, пароль тоже bm SMTP тоже localhost, порт 25, security: none Подключаемся, видим welcome email, забираем собственный BM адрес, меняем адрес аккаунта на него в формате BM-address@bitmessage. Таким же форматом ведём адресную книгу. Если были старые адреса из PyBitmessage, импортируем, смотри ссылку. URL: https://github.com/yshurik/docker-bitmessage https://hub.docker.com/r/yshurik/bitmessage Обсуждается: https://www.opennet.ru/tips/info/3166.shtml
Ответить \| Правка \| Cообщить модератору

Оглавление

Супер , Ataka (?), 11:35 , 02-Дек-20, (1)

Супер будет когда без дыркеров , валяйте (?), 17:44 , 14-Мрт-21, (59)

а в чем проблема поглядеть как оно внутри докера стартует и перенести в свое окр, Аноним123 (?), 16:20 , 23-Мрт-21, (60)

1 Там очень прикольный p2p клиентик, даже про tor в курсе и вообще дает полный, Аноним (64), 10:14 , 03-Апр-21, (64)

https github com yshurik notbit или его оригинал https github com bpeel notb, Аноним (-), 09:53 , 03-Апр-21, (63)

Если в этой ссылке буковки en заменить на буковки ru, то увидим, что статья об э, rvs2016 (ok), 11:39 , 02-Дек-20, (2)

Слева в колонки, в самом низу можно выбирать языки на википедии если что, Анонимим (?), 17:23 , 04-Дек-20, (15) +1

Вот никогда бы не заметил, КО (?), 07:04 , 13-Дек-20, (36)

Не на то внимание фокусирует, вы бы сделали фокус на то как статьи могут разнить, Вися (?), 06:28 , 08-Фев-21, (55)

Ну вообще это всей википедии свойственно Например по историческим вопросам , Вован (??), 02:41 , 12-Фев-21, (56)

Ну наконец-то Автора pybitmessage много раз просили чтобы можно было просто рабо, Hideen Coin (?), 13:37 , 02-Дек-20, (3)
Кстати Не точно по теме, но рядом с ней Как Thunderbird а научить запоминать те, rvs2016 (ok), 17:42 , 02-Дек-20, (4)

Дух Контрол СиВи негодует, Hum (?), 21:51 , 02-Дек-20, (5)

Его лучше вообще не использовать, там eval на входных данных в коде попадался , Аноним (-), 08:02 , 03-Дек-20, (6)

Пардон, гусары, то только про pybitmessage верно , Аноним (-), 08:06 , 03-Дек-20, (7) –1

Точно, это вам не пыхтон pybitmessage а клиент notbit на C, Hum (?), 10:40 , 03-Дек-20, (8)

Действительно Докер настроил на традиционное нубское УГ А поди ж ты - там куда, Аноним (-), 14:05 , 03-Дек-20, (11)

Нет, это про любой вредный могущественным организациям софт верно И на Си софт , Аноним (21), 20:57 , 05-Дек-20, (21)

Не соглашусь Питон отличный язык, но он как супер инструмент типа песочницы Толь, Hideen Coin (?), 00:22 , 06-Дек-20, (22)

В программе на си был бы не евал Туда бы запрятали уязвимость в работе с память, Аноним (21), 16:23 , 06-Дек-20, (23)

Ее первый же запуск под asan ubsan или valgrind спалит, статический анализ тоже , Аноним (25), 19:01 , 08-Дек-20, (25)

Не спалит ASAN и UBSAN палят только реально осуществлённое неопределённое повед, Аноним (27), 00:30 , 10-Дек-20, (27)

Поэтому еще fuzzing есть Питонисты до таких вещей обычно вообще не добираются Я, Аноним (-), 19:00 , 10-Дек-20, (29)

Предлагаю подумать, выполнит ли твой фаззинг и найдёт ли символьное выполнение у, Аноним (32), 00:55 , 11-Дек-20, (32)

Это скорее живой человек найдет При том в сабже быстро, там полтора файла, все , Аноним (-), 15:28 , 13-Янв-21, (41)

Лично я предпочту понимать код в этой мелкой и аккуратной штуке на си Потому чт, Аноним (25), 18:53 , 08-Дек-20, (24)

- это не про си Никакого За качественный аудит качественными глазами вообще при, Аноним (27), 00:55 , 10-Дек-20, (28)

Как-то получилось что у сишников тот код мелкий, аккуратный, понятный более мене, Аноним (-), 19:04 , 10-Дек-20, (30)

После слов Устанавливаем Docker дальше читать не стал , vantoo (ok), 12:53 , 03-Дек-20, (9)

Редкий случай довольно осмысленного использования, кст Оно поднимает окружение,, Аноним (-), 14:03 , 03-Дек-20, (10)

Сделал docker save, весь dockerimage всего 20МБ Тоже , Аноним (12), 15:30 , 03-Дек-20, (12)

Я забил на докер, он поди больше остального весит Но идею упер А вот ковырять , Аноним (-), 01:21 , 04-Дек-20, (13)

Этот репозитарий мой https github com yshurik notbit Автор bpeel очень не с, yshurik (??), 11:20 , 04-Дек-20, (14)

Я нашел https github com yshurik notbit в докерфайле По счастью это более-мен, Аноним (18), 04:18 , 05-Дек-20, (18)
очень круто придумано - распределенная почта , да еще совместимая с обычными кл, Аноним (-), 06:53 , 05-Дек-20, (19)

На самом деле, если нужна именно система обмена сообщений с использованием в сти, Аноним (12), 17:26 , 05-Дек-20, (20)

мне кажется или Delta Chat делает тоже самоеhttps delta chat, xc (?), 18:50 , 04-Дек-20, (16)

Вас жесточайше глючит Сабж мелкая штука на си установка dovecot для imap Испо, Аноним (17), 04:00 , 05-Дек-20, (17)
Наоборот DeltaChat -- это привычный современным юзерам мобобильников чатик по и, другой аноним (?), 21:28 , 04-Фев-21, (51)

Во всяком случае, в этом транспорте никто не может снести сервер или заблочить , Аноним (53), 01:27 , 05-Фев-21, (53)

Хорошая мыль оформить это в некий проект почтового сервера- потому что такой обм, Аноним (26), 14:26 , 09-Дек-20, (26)

А зачем Они готовый почтовый сервак взяли Или реюз кода для слабаков Есть уве, Аноним (-), 15:32 , 13-Янв-21, (42)

Худший подход к безопасности, какой можно придумать Здорово хранить все сообщ, Аноним (31), 23:54 , 10-Дек-20, (31)

Нет там цепочки блоков, это новость неправильно отредактировали BitMessage это с, yshurik (??), 12:54 , 11-Дек-20, (33)

Это оно у тебя удалится А у вон тех экземпляров с патченым клиентом и логгером , Аноним (-), 15:36 , 13-Янв-21, (43)

лучшее из того что есть не подделаешь отправителя, не подделаешь получателя, не , anonnnnnononon (?), 16:20 , 11-Дек-20, (34)

Я делал проверку notbit с PVS Studio Проверка показала очень хорошее качество к, Аноним (35), 19:35 , 11-Дек-20, (35)

Нашла ли бы PVS-Studio heartbleed , Аноним (38), 10:12 , 23-Дек-20, (38)

Возможно Однако с качеством и размером кода openssl вы заколебетесь сортировать, Аноним (-), 15:39 , 13-Янв-21, (44)

Идея отлична, вот это понимаю теперь будет у меня почта распределённая и зашифро, Hum (?), 21:18 , 16-Дек-20, (37)

Ты продвигаешь этот фейк или реально веришь что тебе бесплатно и без смс запилят, Аноним (-), 04:37 , 01-Фев-21, (49)

Это таки не фэйк, просто запакетировано по дурацки, в доскер Но клиентик сам по, Аноним (-), 09:46 , 03-Апр-21, (62)

Пытался запустить и получил ошибку You have reached your pull rate limit You , Аноним (39), 10:17 , 03-Янв-21, (39)

Да docker hub теперь хамит и рекетирствует Приивязывает сколько кто напулил к I, yshurik (??), 15:10 , 08-Янв-21, (40)

Фирмачи приветы хипстерам передавали P А вы думали что хайп и халявка это навс, Аноним (-), 15:42 , 13-Янв-21, (46)

Блин, ты не можешь 2 команды сам запустить без б-дского докера в отдельной вирту, Аноним (-), 15:41 , 13-Янв-21, (45)

С быкдором все уже выяснили, это троян Автор нотбита сам пишет что I am not a c, Аноним (-), 01:46 , 31-Янв-21, (47)

Короче, если есть заинтересованные и любопытствующие шагайте в сад те кто ощущ, Аноним (-), 01:50 , 31-Янв-21, (48)

Ну я сделал это работать без всяких дыркеров в отдельной мелкой vm И чего , Аноним (-), 07:50 , 14-Апр-21, (65)

Как это понимать , Аноним (50), 06:24 , 01-Фев-21, (50)

Это понимать так протокол не подразумевает доверия между системами принимающими, Аноним (53), 01:23 , 05-Фев-21, (52)

Эта помоина я имею в виду Docker затребовала доступ к iptables К iptables, Ка, Аноним (-), 21:21 , 16-Фев-21, (57)

Кроме тибя никто ни рискнул запустить это , Аноним (-), 19:55 , 04-Мрт-21, (58)

Я доскер не запускал, нафиг мне этот хипстерский шит Но идея зачетная - я сд, Аноним (-), 09:35 , 03-Апр-21, (61)

FYI, при использовании сабжа, как минимум90 151 X X 16145 239 X X 16 рекомендует, Аноним (-), 03:15 , 10-Май-21, (66)
makemake all-recursivemake 1 Entering directory home demo Downloads notbit, anon3453234353435 (?), 23:48 , 07-Июл-21, (67)
от yshurik не компилится, ошибку выше запостил а оригинальный от bpeel сначала , anon3453234353435 (?), 23:51 , 07-Июл-21, (68)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Ataka (?), 02-Дек-20, 11:35 +/–

Супер!

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #59

2. Сообщение от rvs2016 (ok), 02-Дек-20, 11:39 +/–

> Инструкция по использованию BitMessage
Если в этой ссылке буковки en заменить на буковки ru, то увидим, что статья об этом BitMessage на русском языке тоже существует, так что можно в описании заметки ссылку на русскую заменить:
Было:
https://en.wikipedia.org/wiki/Bitmessage
Стало:
https://ru.wikipedia.org/wiki/Bitmessage

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #15

3. Сообщение от Hideen Coin (?), 02-Дек-20, 13:37 +/–

Ну наконец-то.
Автора pybitmessage много раз просили чтобы можно было просто работать в почтовом клиенте. Кто-то что-то пытался прикрутить к pybitmessage но там были такие костыли что лучше не браться.

Ответить | Правка | Наверх | Cообщить модератору

4. Сообщение от rvs2016 (ok), 02-Дек-20, 17:42 +/–

Кстати. Не точно по теме, но рядом с ней:
Как Thunderbird'а научить запоминать темы писем, которые я отправлял ранее, чтобы при наборе темы в новом письме он занимался автодополнением темы в случае совпадения новой, набираемой, темы с ранее набиравшимися? Что-то подобное вроде умеет почтовая программа СиМонкея.
А то так можно ж и забодаться набирать каждый день одно и то же название темы ЦЕЛИКОМ. 😲

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #5

5. Сообщение от Hum (?), 02-Дек-20, 21:51 +/–

Дух Контрол СиВи негодует

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

6. Сообщение от Аноним (-), 03-Дек-20, 08:02 +/–

Его лучше вообще не использовать, там eval() на входных данных в коде попадался! Автор либо совсем дурак, либо вообще бэкдорщик.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #7

7. Сообщение от Аноним (-), 03-Дек-20, 08:06 –1 +/–

Пардон, гусары, то только про pybitmessage верно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #8, #21

8. Сообщение от Hum (?), 03-Дек-20, 10:40 +/–

> Пардон, гусары, то только про pybitmessage верно.
Точно, это вам не пыхтон pybitmessage а клиент notbit на C

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #11

9. Сообщение от vantoo (ok), 03-Дек-20, 12:53 +/–

После слов "Устанавливаем Docker" дальше читать не стал.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #10

10. Сообщение от Аноним (-), 03-Дек-20, 14:03 +/–

Редкий случай довольно осмысленного использования, кст. Оно поднимает окружение, настроенное с всей этой штукой чтобы косить им под SMTP+IMAP серваки для вашего почтаря. Можно это и без докера, даже нагло сперев команды прямо у них. Но в контейнер это все лучше убрать, а команды будут похожие.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #12

11. Сообщение от Аноним (-), 03-Дек-20, 14:05 +/–

Действительно. Докер настроил на традиционное нубское УГ. А поди ж ты - там куда разумнее подборка! Хотя вариант без докера можно было бы и сделать, чтоли.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

12. Сообщение от Аноним (12), 03-Дек-20, 15:30 +/–

Сделал docker save, весь dockerimage всего 20МБ. Тоже +++.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #13

13. Сообщение от Аноним (-), 04-Дек-20, 01:21 +/–

Я забил на докер, он поди больше остального весит. Но идею упер. А вот ковырять докерфайл чтобы найти репу откуда патченый клиент умеющий SMTP, неудобно! Нельзя ли в новость добавить? Чтобы не извращаться? Если кого интересовал сабж, врядли резон позволять качать что-то на автомате какой-то докерной гадости, это всю идею ставит может испортить.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #14

14. Сообщение от yshurik (??), 04-Дек-20, 11:20 +/–

Этот репозитарий мой (https://github.com/yshurik/notbit)
Автор (bpeel) очень не спешит добавлять что-то новое или вообще что-либо менять.
Smtp патч ему комитили, но он хотел его переработать, а я его забрал к себе.
Оригинальный notbit умеет только maildir, нормально работает с mutt, но для thunderbird итд отлично через dovecot поверх maildir что мне куда больше нравится.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #18, #19

15. Сообщение от Анонимим (?), 04-Дек-20, 17:23 +1 +/–

Слева в колонки, в самом низу можно выбирать языки на википедии если что

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #36

16. Сообщение от xc (?), 04-Дек-20, 18:50 +/–

мне кажется или Delta Chat делает тоже самое
https://delta.chat

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #17, #51

17. Сообщение от Аноним (17), 05-Дек-20, 04:00 +/–

Вас жесточайше глючит.
Сабж мелкая штука на си+установка dovecot (для imap). Использовать можно любой почтовик по вкусу, от mutt до outlook. И даже отправить "почту" sendmail-ом или чем кто хотел - "smtp" сервак для эмулирует, офигенно придумано! Так что если хотелось - алерты за 2 минуты туда завернуть как делать нечего.
А дельтанечто - все в одном, питоны, расты, мезоны, электроны во все поля, чтобы пересобрать надо скачать интернет, гуй не на гвозди прибил, сишная либа - не круто и в архиве, так что использовать полтора яп которые предусмотрели хипстеры. А так чтобы общеупотребительное апи которое сравнимо с smtp по распостраненности - хрен. И поэтому поюзать использовать почтовик или отослать алерт из мониторинга без напряга с всем этим явно не светит. Это очередной хипстерский чатик, плевавший на существование unix way.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

18. Сообщение от Аноним (18), 05-Дек-20, 04:18 +/–

Я нашел https://github.com/yshurik/notbit в докерфайле. По счастью это более-менее набор команд и его можно распарсить и без установки докера :)
> Автор (bpeel) очень не спешит добавлять что-то новое или вообще что-либо менять.
Возможно боится что превратится в очередной pybitmessage, с кучей уязвимостей. Там удивительно лаконичный код для такой категории программ. Почти чудо.

> Smtp патч ему комитили, но он хотел его переработать, а я его забрал к себе.
Было бы неплохо попинать немного чтобы он это все же сделал.
> Оригинальный notbit умеет только maildir, нормально работает с mutt, но для thunderbird
> итд отлично через dovecot поверх maildir что мне куда больше нравится.
Спасибо за отличную идею и патченый вариант. Взял в оборот и друзьям показал.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

19. Сообщение от Аноним (-), 05-Дек-20, 06:53 +/–

очень круто придумано - "распределенная почта", да еще совместимая с обычными клиентами и отправителями, идея офигенна, а реализовать можно и без докера.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #20

20. Сообщение от Аноним (12), 05-Дек-20, 17:26 +/–

На самом деле, если нужна именно система обмена сообщений с использованием в стиле почты, что на самом деле очень удобно как раз для деловой переписки. Не чатики всякие фотки тентаклей постить да еще и которые привязанны к твоему номеру телефона, а именно полноценная система, где транспортный уровень защищен и надежен и распределен p2p, плюс сокрытие факта переписки, то собственно кроме bitmessage особо и вариантов ведь нет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

21. Сообщение от Аноним (21), 05-Дек-20, 20:57 +/–

Нет, это про любой вредный могущественным организациям софт верно. И на Си софт горазде труднее в понимании, чем на питоне.
Логика такая - если на простом и memory-safe питоне софт не смогли уберечь от явных бэкдоров, более того, бэкдор обнаружили только когда всех отымели, это значит нет не то что "тысячи глаз", а даже четырёх глаз нет. Для кода на Си количество глаз смело делите на 100.
Не используйте любой софт, для которого нет хотя-бы пары внимательных добронамеренных глаз. Софт он есть софт, если пропустили eval в софте на питоне, то пропустят и system и exec в софте на си, даже если нет очень неочевидных бэкдоров в работе с памятью, которые в питоней версии исключены как класс.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #22, #24

22. Сообщение от Hideen Coin (?), 06-Дек-20, 00:22 +/–

Не соглашусь.
Питон отличный язык, но он как супер инструмент типа песочницы.
Только начальник отвернулся а в песочнице вы уже построили замок.
Потому питон отличен чтобы проверять концепции и делать драфт реализации.
Но как только надо создавать реальный продукт надо срочно менять язык/платформу на C, Rust, C++, Go или что там.
Вас попросят добавить подвал в замке в песочнице а у вас рухнут две башни, добавите башню рухнет еще что-то.
Потому зря автор делал из pybitmessage реальный продукт, он отвернулся и eval() пролез как в песочнице.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #23

23. Сообщение от Аноним (21), 06-Дек-20, 16:23 +/–

В программе на си был бы не евал. Туда бы запрятали уязвимость в работе с памятью, которую вы бы вообще хрен нашли. В питоне бэкдор обнаружили постфактум так быстро именно потому, что во первых её и не прятали, во-вторых питон memory safe и высокоуровен, программа делает только то, что в неё заложено, для исполнения произвольного кода тебе придётся либо изначально написать виртуальную машину на питоне, либо заюзать eval или exec, либо заюзать хак типа сохранения кода в файл и его импорта, что опять палево, либо делегировать это уязвимому или забэкдоренному модулю, либо заюзать subprocess. Больше способов нет,  поверхность атаки контролируется. Перечисленные способы палятся banditом, но pybitmessage, такой вот сюрприз, не проверялся banditом, когда в нём был этот бэкдор. Почему-то я не удивлён.
В отличие от C, где поверхность атаки - каждая функция, статический анализатор встроенный в язык прощает явно некорректный код, который заведомо приведёт к поврежбению стека и кучи, а традиция программирования - говнокод, в котором нет желающих копаться.
В отличие от C++, где поверхность атаки чуть лучше контролируется, но всё равно не контролируется, а стиль программирования уже энтерпрайзный с чётко разделёнными модулями о областями видимости.
В отличие от раст, который memory-safe, но сообщество которого совсем поехало и превратило пакетный менеджер в npm, при этом в добавок язык-отстой, писать на котором в стиле нормального ооп невозможно: автоделегирование до сих пор не завезли; соответственно малое сообщество.
Суммирую - для такого софта питон - один из наилучших выборов. Второй отн. норм выбор - джава. Если бы софт был строго для винды - то C#. В любом случае - Haxe, который транслируется во всё вышеперечисленное, а то что на нём почти никто не пишет, с лихвой компенсируется тем, что он генерирует человекочитаемый код, понятный разрабам на python, java, C#.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #25

24. Сообщение от Аноним (25), 08-Дек-20, 18:53 +/–

> Нет, это про любой вредный могущественным организациям софт верно. И на Си
> софт горазде труднее в понимании, чем на питоне.
Лично я предпочту понимать код в этой мелкой и аккуратной штуке на си. Потому что "простой" в понимании код pybitmessage энтузиазма не вызвал.
> Для кода на Си количество глаз смело делите на 100.
Какой смысл от глаз типа вас? Кроме количества есть еще качество.
> Не используйте любой софт, для которого нет хотя-бы пары внимательных добронамеренных глаз.
В этом софте точно были глаза - это форк софта от другого человека, патченый.

> Софт он есть софт, если пропустили eval в софте на питоне,
Там весь код такой что не поймешь, злой умысел это или у автора просто грибочки сегодня очень забористые попались. Вам наслаждаться этой питоногадостью никто не запрещает.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #28

25. Сообщение от Аноним (25), 08-Дек-20, 19:01 +/–

> в работе с памятью, которую вы бы вообще хрен нашли.
Ее первый же запуск под asan/ubsan или valgrind спалит, статический анализ тоже не отменяли. А вот в pybitmessage такой код что там даже и не понятно, специально это или автор в своем амплуа был.
> В питоне бэкдор обнаружили постфактум так быстро
Оперативность соответствовала кодеру и юзерам - всего несколько лет втюхивали это скрипткидисам, потом кто-то наконец почитал код и охренел. Я этот крап снес посмотрев 1 раз сорец и офигев.
> тебе придётся либо изначально написать виртуальную машину на питоне,
Зачем такие сложности, когда eval() готовый есть...
> Суммирую - для такого софта питон - один из наилучших выборов.
Оно и видно, выбор скрипткиди с бэкдорами.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #27

26. Сообщение от Аноним (26), 09-Дек-20, 14:26 +/–

Хорошая мыль оформить это в некий проект почтового сервера- потому что такой обмен документами это по сути почта будущего.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #42

27. Сообщение от Аноним (27), 10-Дек-20, 00:30 +/–

>Ее первый же запуск под asan/ubsan или valgrind спалит
Не спалит. ASAN и UBSAN палят только реально осуществлённое неопределённое поведение. А не гипотетически осуществлённое при неизвестных обстоятельствах.
>статический анализ тоже не отменяли.
Program Verification Solutions, залогиньтесь. Для статического анализа вам понадобится символическое выполнение. Которое невозможно, я надеюсь, почти всегда. Иначе мы живём в алгоритмике (https://www.semanticscholar.org/paper/A-personal-view-of-ave... и на всей криптографии вообще поставлен крест.
>А вот в pybitmessage такой код что там даже и не понятно, специально это или автор в своем амплуа был.
Дилемма решается очень просто - презумпцией виновности.
>Я этот крап снес посмотрев 1 раз сорец и офигев.
Неужто весь исходник прочитал?
>Зачем такие сложности, когда eval() готовый есть...
... который ловится хоть грепом, хоть бандитом.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #29

28. Сообщение от Аноним (27), 10-Дек-20, 00:55 +/–

>мелкой и аккуратной
- это не про си.
>Какой смысл от глаз типа вас? Кроме количества есть еще качество.
Никакого. За качественный аудит качественными глазами вообще принято платить. Нет оплаты - нет аудита.
>Там весь код такой что не поймешь, злой умысел это или у автора просто грибочки сегодня очень забористые попались. Вам наслаждаться этой питоногадостью никто не запрещает.
Помнишь, за что Столмана из FSF выгнали? За то что он высказался, что малолетние шлюхи сами виноваты, что они шлюхи, что всем с детства вдалбливают, что быть шлюхой - это плохо, и не хрен из себя целку строить после того, как поработал шлюхой. Но на Западе простртуция легализована и участники индустрии платят налоги, а раз представители профессии врагами государства не объявлены и платят налоги - значит автоматически ничего плохого нет, уважаемое ремесло. Напр. владельцы ЧВК ведь уважаемые люди, а не уголовники, по тюрьмам сидящие за организацию ОПГ. И у секс-работников подгорело, что против их отрасли высказываются. Навязывание стереотипов детям о принижении человеческого достоинства секс-работников!
Вот тут примерно так же. Использовал eval, через него взломали - не хрен из себя целку строить, везде написано во всех руководствах "eval не использовать", раз не последовал рекомендации - значит бэкдорщик. Правда похоже вставка бэкдоров скоро, если не уже, тоже станет уважаемой профессией.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #30

29. Сообщение от Аноним (-), 10-Дек-20, 19:00 +/–

Поэтому еще fuzzing есть. Питонисты до таких вещей обычно вообще не добираются.
> Program Verification Solutions, залогиньтесь.
Я cppcheck и smatch предпочитаю, так что им с этого ничего не достанется, увы.
> Дилемма решается очень просто - презумпцией виновности.
Тогда питонисты вредители и саботажники. Жуткий код работающий только в идеальных условиях в каждом первом питонпроекте практически.
> Неужто весь исходник прочитал?
1 файла хватило.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #32

30. Сообщение от Аноним (-), 10-Дек-20, 19:04 +/–

> - это не про си.
Как-то получилось что у сишников тот код мелкий, аккуратный, понятный более менее, в отличие от крупнооптового ужаса в pybitmessage. Самое издевательское что у сишников кода раз в 10 меньше. Один из самых лаконичных p2p.
> Никакого. За качественный аудит качественными глазами вообще принято платить. Нет оплаты - нет аудита.
Платить за аудит наколенных макетов на питоне - это не ко мне.
> Вот тут примерно так же. Использовал eval, через него взломали - не
> хрен из себя целку строить, везде написано во всех руководствах "eval
> не использовать", раз не последовал рекомендации - значит бэкдорщик. Правда похоже
> вставка бэкдоров скоро, если не уже, тоже станет уважаемой профессией.
Может и бэкдорщик. Но там весь код довольно наркоманский.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28

31. Сообщение от Аноним (31), 10-Дек-20, 23:54 +/–

Худший подход к безопасности, какой можно придумать. "Здорово" хранить все сообщения в цепочке блоков. Пройдут года, шифры ослабнут, а блоки никуда не денутся.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #33, #34

32. Сообщение от Аноним (32), 11-Дек-20, 00:55 +/–

>Поэтому еще fuzzing есть.
Предлагаю подумать, выполнит ли твой фаззинг и найдёт ли символьное выполнение условия для выполнения ветви if(RSA_VERIFY(publicKey, blobFromNet)){activateBackdoor();} ?
>Тогда питонисты вредители и саботажники. Жуткий код работающий только в идеальных условиях в каждом первом питонпроекте практически.
У вас предубеждение.
> 1 файла хватило.
Да вам бы и одного расширения имени файла хватило бы.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #41

33. Сообщение от yshurik (??), 11-Дек-20, 12:54 +/–

Нет там цепочки блоков, это новость неправильно отредактировали.
BitMessage это скорее аналог mempool в bitcoin, у сообщений есть TTL, вроде как макс 14 дней, потом оно удалится.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #43

34. Сообщение от anonnnnnononon (?), 11-Дек-20, 16:20 +/–

лучшее из того что есть.
не подделаешь отправителя, не подделаешь получателя, не узнаешь IP ни того ни другого, встроенная защита от ддоса, шифрование по умолчанию, пробив NAT по умолчанию, работает "искаропки".
что еще надо то? а то что шифры ослабнут так никто не мешает дополнительно gpg шифровать.
вот бы еще аудит notbit грамотный кто-то провел и вообще счастье.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #35

35. Сообщение от Аноним (35), 11-Дек-20, 19:35 +/–

Я делал проверку notbit с PVS Studio.
Проверка показала очень хорошее качество кода.
Все изученныe сообщения оказались false alarm.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34 Ответы: #38

36. Сообщение от КО (?), 13-Дек-20, 07:04 +/–

Вот никогда бы не заметил

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #55

37. Сообщение от Hum (?), 16-Дек-20, 21:18 +/–

Идея отлична, вот это понимаю теперь будет у меня почта распределённая и зашифрованная! Без смс и регистрации!

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #49

38. Сообщение от Аноним (38), 23-Дек-20, 10:12 +/–

Нашла ли бы PVS-Studio heartbleed?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35 Ответы: #44

39. Сообщение от Аноним (39), 03-Янв-21, 10:17 +/–

Пытался запустить и получил ошибку: "
You have reached your pull rate limit. You may increase the limit by authenticating and upgrading:
https://www.docker.com/increase-rate-limits.To increase your pull rate limits you can upgrade your account to a Docker Pro or Team subscription."
Мне еще и докеру заплатить, чтоб это поделие заработало?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #40, #45

40. Сообщение от yshurik (??), 08-Янв-21, 15:10 +/–

Да docker hub теперь хамит и рекетирствует.
Приивязывает сколько кто напулил к IP адресу.
Можно забрать из релизов: https://github.com/yshurik/docker-bitmessage/releases/downlo...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #46

41. Сообщение от Аноним (-), 13-Янв-21, 15:28 +/–

> Предлагаю подумать, выполнит ли твой фаззинг и найдёт ли символьное выполнение условия
> для выполнения ветви if(RSA_VERIFY(publicKey, blobFromNet)){activateBackdoor();} ?
Это скорее живой человек найдет. При том в сабже быстро, там полтора файла, все компактно и по делу. В отличие от адского питономесива в оригинале, которое вообще открывать то в редакторе жутко, оно шевелится. Так что eval() он мог влепить и не со зла, а потому что так ему быстрей наобезьянить было. А о том что хакеры могут слать не то что задумано, или там ошибки какие и проч бывают - высокоуровневые, объектно ориентированные предпочитают не думать, это рушит их стройную картину мира. А потом реальный мир вносит свои коррективы - и, конечно, это разваливается при любом отклонении от идеала.
Вон например "сикюрный" чатбот на пихоне. Всего-то так навскидку пара мелких проблем, бесконечная рекурсия позволяющая его зобанивать at will и умение вести переписку самого с собой в infinite loop, спамя себя и сеть. Чего-то на такое доисторический "несекурный" eggdrop и то не покупался. И это то что за 10 минут тыкания палочкой нашлось! Ах, еще жесткий write amplification когда на 1 команду спамит полчаса. И либо забанивается за спам, либо тупит как черт знает что, если раз в 5 минут команду слать.
> У вас предубеждение.
Что ж поделать если я ни разу не видел на питоне качественной, маленькой, аккуратной программы, готовой к неожиданностям? Обычно это либо нубаская наколенщина, либо летающие макаронные монстры, а самый эпик когда одно превращается в другое. Как питоносабж.
>> 1 файла хватило.
> Да вам бы и одного расширения имени файла хватило бы.
Как угодно - вы в своем праве копаться в гавнокоде оригинала, если вам это проще.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32

42. Сообщение от Аноним (-), 13-Янв-21, 15:32 +/–

> Хорошая мыль оформить это в некий проект почтового сервера- потому что такой
> обмен документами это по сути почта будущего.
А зачем? Они готовый почтовый сервак взяли. Или реюз кода для слабаков? Есть уверенность что вы imap server лучше сделаете?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

43. Сообщение от Аноним (-), 13-Янв-21, 15:36 +/–

> как макс 14 дней, потом оно удалится.
Это оно у тебя удалится. А у вон тех экземпляров с патченым клиентом и логгером - не удалится. Так что мониторить такую сеть в принципе удобнее. Но есть пара нюансов.
1) Ключей много, их все крякать предлагается? Оно настолько ослабнет, что, типа, крупным оптом вскрякается?
2) Даже так не особо понятно кто отправитель и кто получатель и как они с физическим миром стыкуются, даже если и видно что в тексте. Конечно вы можете запостить ваши банковские реквезиты, но зачем? Для безопасности можно считать что это публичный почтовый ящик. Все могут читать текст, но только настоящий получатель поймет смысл верно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33

44. Сообщение от Аноним (-), 13-Янв-21, 15:39 +/–

> Нашла ли бы PVS-Studio heartbleed?
Возможно. Однако с качеством и размером кода openssl вы заколебетесь сортировать false alarm от нормальных багрепортов. А питонисты static analisys вообще не практикуют, для начала. Они железно уверены что яп и рантайм подумает за них.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38

45. Сообщение от Аноним (-), 13-Янв-21, 15:41 +/–

> Мне еще и докеру заплатить, чтоб это поделие заработало?
Блин, ты не можешь 2 команды сам запустить без б-дского докера в отдельной виртуалке? :)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39

46. Сообщение от Аноним (-), 13-Янв-21, 15:42 +/–

> Да docker hub теперь хамит и рекетирствует.
Фирмачи приветы хипстерам передавали :P. А вы думали что хайп и халявка это навсегда? Подсекай, Джон, рыба заглотила червяка!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

47. Сообщение от Аноним (-), 31-Янв-21, 01:46 +/–

С быкдором все уже выяснили, это троян.
Автор нотбита сам пишет что I am not a cryptography expert and I don't know whether Notbit or the Bitmessage protocol is actually safe for secure communications.
О чем тут вообще разговор идет ? Тут есть люди способные оценить и осмыслить протокол и его ценность или бесполезность ?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #48

48. Сообщение от Аноним (-), 31-Янв-21, 01:50 +/–

Короче, если есть (заинтересованные и любопытствующие шагайте в сад) те кто ощущает что способен переварить и сделать это работать - давайте комуницировать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47 Ответы: #65

49. Сообщение от Аноним (-), 01-Фев-21, 04:37 +/–

Ты продвигаешь этот фейк или реально веришь что тебе бесплатно и без смс запилят безопасность ?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37 Ответы: #62

50. Сообщение от Аноним (50), 01-Фев-21, 06:24 +/–

> https://en.wikipedia.org/wiki/Bitmessage
> trustless communications protocol
> trustless
Как это понимать?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #52

51. Сообщение от другой аноним (?), 04-Фев-21, 21:28 +/–

Наоборот. DeltaChat -- это привычный современным юзерам мобобильников чатик по интерфейсу, но на транспорте обычной почты. А то, что здесь -- это привычный олдфагам интерфейс обычной почты, но на некоем другом транспорте. Насколько этот другой транспорт плох или хорош -- не мне судить. Но задачи изначально противоположные.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #53

52. Сообщение от Аноним (53), 05-Фев-21, 01:23 +/–

Это понимать так: протокол не подразумевает доверия между системами принимающими в нем участие. Некоторые системы вполне могут быть враждебными или некооперативными, это не должно влиять на результат.
Когда вы отправляете сообщение - шифрованое нечто кидается в рандомные системы, которым вы не обязаны доверять. Они со своей стороны понятия не имеют, ваше это сообщение или вы только форвардите чужое. Хучшее что они могут - не форвардить другим, но именно поэтому кидается в нескольких. Подделать не могут - вашего ключа у них нет.
В конечном итоге у всех есть все сообщения, но никто не знает кто начал. Более того - что в сообщении и кому оно знает только легитимный адресат. Критерий простой - клиенты пытаются расшифровывать все сообщения вообще. А когда это удается - значит это сообщение именно вам.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #50

53. Сообщение от Аноним (53), 05-Фев-21, 01:27 +/–

> этот другой транспорт плох или хорош -- не мне судить. Но
> задачи изначально противоположные.
Во всяком случае, в этом транспорте никто не может снести сервер или "заблочить аккаунт". А также не имеет понятия кто с кем переписывался. На сообщении вообще не указано кому оно, кто из толпы смог расшифровать - тому и мессага. Такой вот простой и забавный критерий.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51

55. Сообщение от Вися (?), 08-Фев-21, 06:28 +/–

Не на то внимание фокусирует, вы бы сделали фокус на то как статьи могут разниться. И как русская Вики, из энциклопедии в ересь превращается временами.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36 Ответы: #56

56. Сообщение от Вован (??), 12-Фев-21, 02:41 +/–

Ну вообще это всей википедии свойственно. Например по историческим вопросам.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

57. Сообщение от Аноним (-), 16-Фев-21, 21:21 +/–

Эта помоина (я имею в виду Docker) затребовала доступ к iptables. К iptables, Карл! Разработчики вообще берегов не знают!

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #58

58. Сообщение от Аноним (-), 04-Мрт-21, 19:55 +/–

Кроме тибя никто ни рискнул запустить это.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57 Ответы: #61

59. Сообщение от валяйте (?), 14-Мрт-21, 17:44 +/–

Супер будет когда без дыркеров.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #60, #63

60. Сообщение от Аноним123 (?), 23-Мрт-21, 16:20 +/–

а в чем проблема поглядеть как оно внутри докера стартует и перенести в свое окружение ?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59 Ответы: #64

61. Сообщение от Аноним (-), 03-Апр-21, 09:35 +/–

> Кроме тибя никто ни рискнул запустить это.
Я доскер не запускал, нафиг мне этот хипстерский шит :). Но идея зачетная - я сделал клон https://github.com/yshurik/notbit - собрал его и поднял тот же imap сервак что доскер пытался (это dovecot, конфиг можно стырать из того репо).
Благо доскер файл - тупой текстарь, понятный даже если вы про доскер знаете только то что он существует. На самом деле можно даже на IMAP сервак совсем забить, если вы ОК с тем что почта будет в "maildir" валиться с notbit, а отправка по smtp на него же, но почтовик так должен уметь.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58

62. Сообщение от Аноним (-), 03-Апр-21, 09:46 +/–

> Ты продвигаешь этот фейк или реально веришь что тебе бесплатно и без
> смс запилят безопасность ?
Это таки не фэйк, просто запакетировано по дурацки, в доскер. Но клиентик сам по себе прикольный весьма.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49

63. Сообщение от Аноним (-), 03-Апр-21, 09:53 +/–

> Супер будет когда без дыркеров.
https://github.com/yshurik/notbit или его оригинал https://github.com/bpeel/notbit без всяких дыркеров работают. И dovecot'а вы сами можете настроить на тот maildir, хотя можно и без dovecot'а, просто показав своему почтарю maildir.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59

64. Сообщение от Аноним (64), 03-Апр-21, 10:14 +/–

> а в чем проблема поглядеть как оно внутри докера стартует и перенести
> в свое окружение ?
+1! Там очень прикольный p2p клиентик, даже про tor в курсе и вообще дает полный контроль над тем что и как. Автор к тому же в курсе что есть valgrind, +10 в карму сразу. И pvs в этой штуке ничего такого вроде не видит.
Можете даже свою приватную сеточку запилить - unconnected в внешний мир, например, только с своими узлами. Можно даже локалочные узлы разрешить, в таком виде это будет ваша личный LAN-only интерком, например.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60

65. Сообщение от Аноним (-), 14-Апр-21, 07:50 +/–

Ну я сделал это работать без всяких дыркеров в отдельной мелкой vm. И чего?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48

66. Сообщение от Аноним (-), 10-Май-21, 03:15 +/–

FYI, при использовании сабжа, как минимум
90.151.X.X/16
145.239.X.X/16
рекомендуется занести в файер или ACL (тора, прокси, или что там) и следующие пару лет не выпускать из бани, любопытные зверьки, которых лучше держать в клетке.

Ответить | Правка | Наверх | Cообщить модератору

67. Сообщение от anon3453234353435 (?), 07-Июл-21, 23:48 +/–

make
make  all-recursive
make[1]: Entering directory '/home/demo/Downloads/notbit-0.6'
Making all in doc
make[2]: Entering directory '/home/demo/Downloads/notbit-0.6/doc'
make[2]: Nothing to be done for 'all'.
make[2]: Leaving directory '/home/demo/Downloads/notbit-0.6/doc'
Making all in src
make[2]: Entering directory '/home/demo/Downloads/notbit-0.6/src'
  CC       ntb-address.o
  CC       ntb-base58.o
ntb-base58.c: In function ‘ntb_base58_encode’:
ntb-base58.c:53:16: error: storage size of ‘val’ isn’t known
         BIGNUM val;
                ^~~
ntb-base58.c:57:9: warning: implicit declaration of function ‘BN_init’; did you mean ‘BN_print’? [-Wimplicit-function-declaration]
         BN_init(&val);
         ^~~~~~~
         BN_print
ntb-base58.c:53:16: warning: unused variable ‘val’ [-Wunused-variable]
         BIGNUM val;
                ^~~
ntb-base58.c: In function ‘ntb_base58_decode’:
ntb-base58.c:105:16: error: storage size of ‘val’ isn’t known
         BIGNUM val;
                ^~~
ntb-base58.c:105:16: warning: unused variable ‘val’ [-Wunused-variable]
make[2]: *** [Makefile:590: ntb-base58.o] Error 1
make[2]: Leaving directory '/home/demo/Downloads/notbit-0.6/src'
make[1]: *** [Makefile:378: all-recursive] Error 1
make[1]: Leaving directory '/home/demo/Downloads/notbit-0.6'
make: *** [Makefile:319: all] Error 2
demo@antix1:~/Downloads/notbit-0.6

Ответить | Правка | Наверх | Cообщить модератору

68. Сообщение от anon3453234353435 (?), 07-Июл-21, 23:51 +/–

от yshurik не компилится, ошибку выше запостил.
а оригинальный от bpeel  сначала не может к стартовым адресам подконектится, потом когда их заменишь и перекомпилишь он ничего не отправляет и не принимает, выдает
[2021-07-07T20:29:15Z] The signature in the pubkey message is invalid

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Ataka (?), 02-Дек-20, 11:35	+/–
Супер!
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #59

2. Сообщение от rvs2016 (ok), 02-Дек-20, 11:39	+/–
> Инструкция по использованию BitMessage Если в этой ссылке буковки en заменить на буковки ru, то увидим, что статья об этом BitMessage на русском языке тоже существует, так что можно в описании заметки ссылку на русскую заменить: Было: https://en.wikipedia.org/wiki/Bitmessage Стало: https://ru.wikipedia.org/wiki/Bitmessage
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #15

3. Сообщение от Hideen Coin (?), 02-Дек-20, 13:37	+/–
Ну наконец-то. Автора pybitmessage много раз просили чтобы можно было просто работать в почтовом клиенте. Кто-то что-то пытался прикрутить к pybitmessage но там были такие костыли что лучше не браться.
Ответить \| Правка \| Наверх \| Cообщить модератору

4. Сообщение от rvs2016 (ok), 02-Дек-20, 17:42	+/–
Кстати. Не точно по теме, но рядом с ней: Как Thunderbird'а научить запоминать темы писем, которые я отправлял ранее, чтобы при наборе темы в новом письме он занимался автодополнением темы в случае совпадения новой, набираемой, темы с ранее набиравшимися? Что-то подобное вроде умеет почтовая программа СиМонкея. А то так можно ж и забодаться набирать каждый день одно и то же название темы ЦЕЛИКОМ. 😲
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #5

5. Сообщение от Hum (?), 02-Дек-20, 21:51	+/–
Дух Контрол СиВи негодует
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4

6. Сообщение от Аноним (-), 03-Дек-20, 08:02	+/–
Его лучше вообще не использовать, там eval() на входных данных в коде попадался! Автор либо совсем дурак, либо вообще бэкдорщик.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #7

7. Сообщение от Аноним (-), 03-Дек-20, 08:06	–1 +/–
Пардон, гусары, то только про pybitmessage верно.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6 Ответы: #8, #21

8. Сообщение от Hum (?), 03-Дек-20, 10:40	+/–
> Пардон, гусары, то только про pybitmessage верно. Точно, это вам не пыхтон pybitmessage а клиент notbit на C
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7 Ответы: #11

9. Сообщение от vantoo (ok), 03-Дек-20, 12:53	+/–
После слов "Устанавливаем Docker" дальше читать не стал.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #10

10. Сообщение от Аноним (-), 03-Дек-20, 14:03	+/–
Редкий случай довольно осмысленного использования, кст. Оно поднимает окружение, настроенное с всей этой штукой чтобы косить им под SMTP+IMAP серваки для вашего почтаря. Можно это и без докера, даже нагло сперев команды прямо у них. Но в контейнер это все лучше убрать, а команды будут похожие.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9 Ответы: #12

11. Сообщение от Аноним (-), 03-Дек-20, 14:05	+/–
Действительно. Докер настроил на традиционное нубское УГ. А поди ж ты - там куда разумнее подборка! Хотя вариант без докера можно было бы и сделать, чтоли.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8

12. Сообщение от Аноним (12), 03-Дек-20, 15:30	+/–
Сделал docker save, весь dockerimage всего 20МБ. Тоже +++.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10 Ответы: #13

13. Сообщение от Аноним (-), 04-Дек-20, 01:21	+/–
Я забил на докер, он поди больше остального весит. Но идею упер. А вот ковырять докерфайл чтобы найти репу откуда патченый клиент умеющий SMTP, неудобно! Нельзя ли в новость добавить? Чтобы не извращаться? Если кого интересовал сабж, врядли резон позволять качать что-то на автомате какой-то докерной гадости, это всю идею ставит может испортить.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12 Ответы: #14

14. Сообщение от yshurik (??), 04-Дек-20, 11:20	+/–
Этот репозитарий мой (https://github.com/yshurik/notbit) Автор (bpeel) очень не спешит добавлять что-то новое или вообще что-либо менять. Smtp патч ему комитили, но он хотел его переработать, а я его забрал к себе. Оригинальный notbit умеет только maildir, нормально работает с mutt, но для thunderbird итд отлично через dovecot поверх maildir что мне куда больше нравится.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13 Ответы: #18, #19

15. Сообщение от Анонимим (?), 04-Дек-20, 17:23	+1 +/–
Слева в колонки, в самом низу можно выбирать языки на википедии если что
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #36

16. Сообщение от xc (?), 04-Дек-20, 18:50	+/–
мне кажется или Delta Chat делает тоже самое https://delta.chat
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #17, #51

17. Сообщение от Аноним (17), 05-Дек-20, 04:00	+/–
Вас жесточайше глючит. Сабж мелкая штука на си+установка dovecot (для imap). Использовать можно любой почтовик по вкусу, от mutt до outlook. И даже отправить "почту" sendmail-ом или чем кто хотел - "smtp" сервак для эмулирует, офигенно придумано! Так что если хотелось - алерты за 2 минуты туда завернуть как делать нечего. А дельтанечто - все в одном, питоны, расты, мезоны, электроны во все поля, чтобы пересобрать надо скачать интернет, гуй не на гвозди прибил, сишная либа - не круто и в архиве, так что использовать полтора яп которые предусмотрели хипстеры. А так чтобы общеупотребительное апи которое сравнимо с smtp по распостраненности - хрен. И поэтому поюзать использовать почтовик или отослать алерт из мониторинга без напряга с всем этим явно не светит. Это очередной хипстерский чатик, плевавший на существование unix way.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16

18. Сообщение от Аноним (18), 05-Дек-20, 04:18	+/–
Я нашел https://github.com/yshurik/notbit в докерфайле. По счастью это более-менее набор команд и его можно распарсить и без установки докера :) > Автор (bpeel) очень не спешит добавлять что-то новое или вообще что-либо менять. Возможно боится что превратится в очередной pybitmessage, с кучей уязвимостей. Там удивительно лаконичный код для такой категории программ. Почти чудо. > Smtp патч ему комитили, но он хотел его переработать, а я его забрал к себе. Было бы неплохо попинать немного чтобы он это все же сделал. > Оригинальный notbit умеет только maildir, нормально работает с mutt, но для thunderbird > итд отлично через dovecot поверх maildir что мне куда больше нравится. Спасибо за отличную идею и патченый вариант. Взял в оборот и друзьям показал.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14

19. Сообщение от Аноним (-), 05-Дек-20, 06:53	+/–
очень круто придумано - "распределенная почта", да еще совместимая с обычными клиентами и отправителями, идея офигенна, а реализовать можно и без докера.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14 Ответы: #20

20. Сообщение от Аноним (12), 05-Дек-20, 17:26	+/–
На самом деле, если нужна именно система обмена сообщений с использованием в стиле почты, что на самом деле очень удобно как раз для деловой переписки. Не чатики всякие фотки тентаклей постить да еще и которые привязанны к твоему номеру телефона, а именно полноценная система, где транспортный уровень защищен и надежен и распределен p2p, плюс сокрытие факта переписки, то собственно кроме bitmessage особо и вариантов ведь нет.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19

21. Сообщение от Аноним (21), 05-Дек-20, 20:57	+/–
Нет, это про любой вредный могущественным организациям софт верно. И на Си софт горазде труднее в понимании, чем на питоне. Логика такая - если на простом и memory-safe питоне софт не смогли уберечь от явных бэкдоров, более того, бэкдор обнаружили только когда всех отымели, это значит нет не то что "тысячи глаз", а даже четырёх глаз нет. Для кода на Си количество глаз смело делите на 100. Не используйте любой софт, для которого нет хотя-бы пары внимательных добронамеренных глаз. Софт он есть софт, если пропустили eval в софте на питоне, то пропустят и system и exec в софте на си, даже если нет очень неочевидных бэкдоров в работе с памятью, которые в питоней версии исключены как класс.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7 Ответы: #22, #24

22. Сообщение от Hideen Coin (?), 06-Дек-20, 00:22	+/–
Не соглашусь. Питон отличный язык, но он как супер инструмент типа песочницы. Только начальник отвернулся а в песочнице вы уже построили замок. Потому питон отличен чтобы проверять концепции и делать драфт реализации. Но как только надо создавать реальный продукт надо срочно менять язык/платформу на C, Rust, C++, Go или что там. Вас попросят добавить подвал в замке в песочнице а у вас рухнут две башни, добавите башню рухнет еще что-то. Потому зря автор делал из pybitmessage реальный продукт, он отвернулся и eval() пролез как в песочнице.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #21 Ответы: #23

23. Сообщение от Аноним (21), 06-Дек-20, 16:23	+/–
В программе на си был бы не евал. Туда бы запрятали уязвимость в работе с памятью, которую вы бы вообще хрен нашли. В питоне бэкдор обнаружили постфактум так быстро именно потому, что во первых её и не прятали, во-вторых питон memory safe и высокоуровен, программа делает только то, что в неё заложено, для исполнения произвольного кода тебе придётся либо изначально написать виртуальную машину на питоне, либо заюзать eval или exec, либо заюзать хак типа сохранения кода в файл и его импорта, что опять палево, либо делегировать это уязвимому или забэкдоренному модулю, либо заюзать subprocess. Больше способов нет, поверхность атаки контролируется. Перечисленные способы палятся banditом, но pybitmessage, такой вот сюрприз, не проверялся banditом, когда в нём был этот бэкдор. Почему-то я не удивлён. В отличие от C, где поверхность атаки - каждая функция, статический анализатор встроенный в язык прощает явно некорректный код, который заведомо приведёт к поврежбению стека и кучи, а традиция программирования - говнокод, в котором нет желающих копаться. В отличие от C++, где поверхность атаки чуть лучше контролируется, но всё равно не контролируется, а стиль программирования уже энтерпрайзный с чётко разделёнными модулями о областями видимости. В отличие от раст, который memory-safe, но сообщество которого совсем поехало и превратило пакетный менеджер в npm, при этом в добавок язык-отстой, писать на котором в стиле нормального ооп невозможно: автоделегирование до сих пор не завезли; соответственно малое сообщество. Суммирую - для такого софта питон - один из наилучших выборов. Второй отн. норм выбор - джава. Если бы софт был строго для винды - то C#. В любом случае - Haxe, который транслируется во всё вышеперечисленное, а то что на нём почти никто не пишет, с лихвой компенсируется тем, что он генерирует человекочитаемый код, понятный разрабам на python, java, C#.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #22 Ответы: #25

24. Сообщение от Аноним (25), 08-Дек-20, 18:53	+/–
> Нет, это про любой вредный могущественным организациям софт верно. И на Си > софт горазде труднее в понимании, чем на питоне. Лично я предпочту понимать код в этой мелкой и аккуратной штуке на си. Потому что "простой" в понимании код pybitmessage энтузиазма не вызвал. > Для кода на Си количество глаз смело делите на 100. Какой смысл от глаз типа вас? Кроме количества есть еще качество. > Не используйте любой софт, для которого нет хотя-бы пары внимательных добронамеренных глаз. В этом софте точно были глаза - это форк софта от другого человека, патченый. > Софт он есть софт, если пропустили eval в софте на питоне, Там весь код такой что не поймешь, злой умысел это или у автора просто грибочки сегодня очень забористые попались. Вам наслаждаться этой питоногадостью никто не запрещает.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #21 Ответы: #28

25. Сообщение от Аноним (25), 08-Дек-20, 19:01	+/–
> в работе с памятью, которую вы бы вообще хрен нашли. Ее первый же запуск под asan/ubsan или valgrind спалит, статический анализ тоже не отменяли. А вот в pybitmessage такой код что там даже и не понятно, специально это или автор в своем амплуа был. > В питоне бэкдор обнаружили постфактум так быстро Оперативность соответствовала кодеру и юзерам - всего несколько лет втюхивали это скрипткидисам, потом кто-то наконец почитал код и охренел. Я этот крап снес посмотрев 1 раз сорец и офигев. > тебе придётся либо изначально написать виртуальную машину на питоне, Зачем такие сложности, когда eval() готовый есть... > Суммирую - для такого софта питон - один из наилучших выборов. Оно и видно, выбор скрипткиди с бэкдорами.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #23 Ответы: #27

26. Сообщение от Аноним (26), 09-Дек-20, 14:26	+/–
Хорошая мыль оформить это в некий проект почтового сервера- потому что такой обмен документами это по сути почта будущего.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #42

27. Сообщение от Аноним (27), 10-Дек-20, 00:30	+/–
>Ее первый же запуск под asan/ubsan или valgrind спалит Не спалит. ASAN и UBSAN палят только реально осуществлённое неопределённое поведение. А не гипотетически осуществлённое при неизвестных обстоятельствах. >статический анализ тоже не отменяли. Program Verification Solutions, залогиньтесь. Для статического анализа вам понадобится символическое выполнение. Которое невозможно, я надеюсь, почти всегда. Иначе мы живём в алгоритмике (https://www.semanticscholar.org/paper/A-personal-view-of-ave... и на всей криптографии вообще поставлен крест. >А вот в pybitmessage такой код что там даже и не понятно, специально это или автор в своем амплуа был. Дилемма решается очень просто - презумпцией виновности. >Я этот крап снес посмотрев 1 раз сорец и офигев. Неужто весь исходник прочитал? >Зачем такие сложности, когда eval() готовый есть... ... который ловится хоть грепом, хоть бандитом.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #25 Ответы: #29

28. Сообщение от Аноним (27), 10-Дек-20, 00:55	+/–
>мелкой и аккуратной - это не про си. >Какой смысл от глаз типа вас? Кроме количества есть еще качество. Никакого. За качественный аудит качественными глазами вообще принято платить. Нет оплаты - нет аудита. >Там весь код такой что не поймешь, злой умысел это или у автора просто грибочки сегодня очень забористые попались. Вам наслаждаться этой питоногадостью никто не запрещает. Помнишь, за что Столмана из FSF выгнали? За то что он высказался, что малолетние шлюхи сами виноваты, что они шлюхи, что всем с детства вдалбливают, что быть шлюхой - это плохо, и не хрен из себя целку строить после того, как поработал шлюхой. Но на Западе простртуция легализована и участники индустрии платят налоги, а раз представители профессии врагами государства не объявлены и платят налоги - значит автоматически ничего плохого нет, уважаемое ремесло. Напр. владельцы ЧВК ведь уважаемые люди, а не уголовники, по тюрьмам сидящие за организацию ОПГ. И у секс-работников подгорело, что против их отрасли высказываются. Навязывание стереотипов детям о принижении человеческого достоинства секс-работников! Вот тут примерно так же. Использовал eval, через него взломали - не хрен из себя целку строить, везде написано во всех руководствах "eval не использовать", раз не последовал рекомендации - значит бэкдорщик. Правда похоже вставка бэкдоров скоро, если не уже, тоже станет уважаемой профессией.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #24 Ответы: #30

29. Сообщение от Аноним (-), 10-Дек-20, 19:00	+/–
Поэтому еще fuzzing есть. Питонисты до таких вещей обычно вообще не добираются. > Program Verification Solutions, залогиньтесь. Я cppcheck и smatch предпочитаю, так что им с этого ничего не достанется, увы. > Дилемма решается очень просто - презумпцией виновности. Тогда питонисты вредители и саботажники. Жуткий код работающий только в идеальных условиях в каждом первом питонпроекте практически. > Неужто весь исходник прочитал? 1 файла хватило.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #27 Ответы: #32

30. Сообщение от Аноним (-), 10-Дек-20, 19:04	+/–
> - это не про си. Как-то получилось что у сишников тот код мелкий, аккуратный, понятный более менее, в отличие от крупнооптового ужаса в pybitmessage. Самое издевательское что у сишников кода раз в 10 меньше. Один из самых лаконичных p2p. > Никакого. За качественный аудит качественными глазами вообще принято платить. Нет оплаты - нет аудита. Платить за аудит наколенных макетов на питоне - это не ко мне. > Вот тут примерно так же. Использовал eval, через него взломали - не > хрен из себя целку строить, везде написано во всех руководствах "eval > не использовать", раз не последовал рекомендации - значит бэкдорщик. Правда похоже > вставка бэкдоров скоро, если не уже, тоже станет уважаемой профессией. Может и бэкдорщик. Но там весь код довольно наркоманский.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #28