Проблемы с финансированием каталогов пакетов открытого ПО

Майкл Уинсер из Alpha-Omega обрисовал мрачную картину: популярнейшие реестры пакетов (PyPI, npm, Crates .io, RubyGems, Maven Central) работают практически на чистом энтузиазме и спонсорских ресурсах, а их бюджеты не растут вслед за трафиком. 25% расходов уходит на CDN, 18% на хранение, но на разработку новых фич всего 2%, а на безопасность и вовсе 1%.

При этом количество вредоносных пакетов, генерируемых AI, растёт экспоненциально, а среднее время жизни такого пакета до удаления - 39 часов. В сентябре 2025 червь Shai-Hulud уже показал, как это работает, поразив экосистему npm.

Монетизировать реестры сложно: введение платы за доступ породит зеркала и фрагментацию, а без денег инфраструктура просто не выдержит. Уинсер предлагает искать баланс между коммерческими моделями и сохранением открытости, иначе безопасность всей цепочки поставок ПО окажется под вопросом.

Linux / Линукс 🥸

👨‍🦳 Когда приватность в ТГ стоит 500 рублей.

На фоне суеты с замедлением ТГ и слухов про блокировку, в сторах и рекламе начал активно форситься клиент с незамысловатым названием «Telega»👨‍🔬. Разработчики обещают, что он будет работать в РФ без VPN даже при тотальном шатдауне. Звучит заманчиво и хочется срочно поставить? А теперь давайте посмотрим, что у него под капотом (спасибо bruhcollective за декомпиляцию 🎩).

Внутри полный набор товарища майора 👮‍♂️:
🟢Клиент подменяет адреса дата-центров Telegram (DC1-5) на свои собственные прокси. Весь ваш трафик, включая медиа и файлы, идет через промежуточные сервера разрабов.
🟢При авторизации на сторону разработчика улетает не только номер телефона (который в обычном клиенте скрыт), но и auth_key_id. Это технически позволяет отслеживать активность конкретной сессии и, возможно, банить юзера точечно.
🟢В коде найдена функциональность для блокировки каналов и чатов независимо от ТГ. То есть, если РКН скажет заблокировать канал, в официальном приложении он может работать, а в приложении выдаст заглушку что материалы недоступны.
🟢При включенном фильтре клиент отправляет на сервер ID всех открываемых вами чатов. Идеально для построения социального графа... кто с кем общается и что читает😗

Но самое занятное вскрылось в последних находках. В библиотеках клиента обнаружили функцию проверки флага isPfsEnabled, которой нет в оригинальном коде Дурова. Perfect Forward Secrecy (PFS) - это механизм, гарантирующий, что даже если злоумышленник украдет долговременные ключи шифрования, он не сможет расшифровать переписку, записанную в прошлом. В официальном клиенте Telegram этот параметр - константа, всегда равная true. Его нельзя выключить, это база безопасности MTProto. А вот в «Telega» это переменная, значение которой прилетает с сервера конфигурации разработчиков 😶

Получается, что разрабы «Telega» могут удаленно, без обновления приложения, отключить PFS для конкретного пользователя или для всех сразу. Это превращает шифрование в ничто, т.к. если трафик перехватывается (а он может перехватываться через их прокси), то при наличии ключей его можно будет расшифровать постфактум.

Еще из интересного... приложение имеет галочку верификации и рекламируется через официальную платформу Telegram Ads. Это наводит на очень нехорошие мысли о том, что Кто-то 😬 мог пойти на сделку, типа... Окей, мы не дадим вам ключи шифрования, но разрешим работу специального клиента, который будет всё соблюдать.

Ну и на десерт про лицензионное соглашение. Пользователи, которые не поленились прочитать юридическую часть, нашли там прекрасное:
🟢Разработчики прямо пишут, что могут передавать персональные данные госорганам.
🟢Ответственность за разглашение данных третьим лицам? Отсутствует.
🟢Максимальная компенсация за любой ущерб - 500 рублей 😂

Вот и получается, что «Телега» - не простой форк, а с доступом к ТГ ценой приватности. Такое мы ставим? 🤢

Типичный 🥸 Сисадмин

Ну, в целом он переместил папку... в царство мертвых

Linux / Линукс 🥸

Oracle обещает открыть MySQL сообществу, но сообщество просит независимую организацию

Oracle объявила о новой стратегии: инновации MySQL теперь будут попадать сразу в Community Edition, а не только в коммерческие версии. Обещают PGO-сборки, гиперграфный оптимизатор, векторный поиск для AI, OpenTelemetry, многопоточную репликацию. Плюс прозрачность и упрощённый приём патчей.

В ответ около 250 представителей сообщества и компаний (включая WordPress, Drupal, Magento) подписали открытое письмо с предложением создать независимую некоммерческую организацию для управления MySQL. Претензии конкретные: потеря доли рынка, закрытость разработки, барьеры для контрибьюторов, фрагментация на форки. Oracle предлагает "сотрудничество", а сообщество хочет реальное управление. Разница между "мы вас послушаем" и "вы принимаете решения" принципиальная.

Обсуждают модели от OpenELA-стиля (Oracle сохраняет контроль, сообщество консультирует) до полностью независимой организации.

Последние судороги перед смертью?

Linux / Линукс 🥸

Разработчик io_uring с помощью Claude нашёл и исправил 80-кратное замедление в QEMU

Йенс Аксбо обнаружил регрессию в QEMU: при использовании блочных устройств в режиме aio=io_uring и простое системы операция ppoll() уходила в сон с таймаутом 499 мс, игнорируя готовые запросы ввода-вывода. Особенно ярко проблема проявлялась на AHCI/SATA из-за MMIO, но затрагивала все типы устройств.

Аксбо написал воспроизводимый тест и подключил к отладке Claude AI. ИИ-ассистент запустил деструктивный сценарий на виртуальной машине, случайно уничтожив первые 128 МБ диска /dev/vda, но затем по просьбе разработчика восстановил их. В итоге Claude помог разобраться в циклах событий QEMU, что привело к патчу буквально из нескольких строк, добавляющих вызов aio_notify() при создании SQE.

Исправление устраняет задержку в 50-80 раз для idle-систем. Аксбо отмечает, что в синтетических тестах проблема не ловилась, нужна была симуляция обработки данных через usleep(). Теперь патч предложен в QEMU.

Linux / Линукс 🥸

Как оптимизировать команду cd, чтобы переходить сразу в несколько папок

Linux / Линукс 🥸

PipeWire 1.6 вышел с LDAC, компенсацией потерь Bluetooth и поддержкой AI-обработки звука

После года разработки представлен мультимедийный сервер PipeWire 1.6. Главные новшества касаются Bluetooth-аудио: добавлен декодер LDAC для высококачественной передачи звука и опция компенсации потерь пакетов (через библиотеку SpanDSP), что должно улучшить стабильность на проблемных соединениях.

Кроме того, в новой версии появилась возможность подключать AI-модели для обработки звука (например, детектор голоса Silero) через ONNX и использовать FFmpeg-фильтры прямо в графе узлов. Расширены возможности для профессионального аудио: лимит каналов увеличен до 128, добавлена поддержка многоканальных раскладок через простую настройку audio.layout = 5.1, улучшена работа с RTP/AVB и Milan (сетевой аудиопротокол).

Для разработчиков важны внутренние изменения: блокировки с инверсией приоритетов, новые типы цветопередачи для HDR, безопасная сериализация POD в разделяемой памяти и прекращение поддержки древнего протокола v0.

Linux / Линукс 🥸

Linux / Линукс 🥸

LibreOffice против OnlyOffice ⚔️⚔️

The Document Foundation (разработчики LibreOffice) раскритиковала OnlyOffice за гибридную модель и, по их мнению, «поддельный открытый код». Главная претензия в том, что OnlyOffice по умолчанию использует проприетарные форматы Microsoft (OOXML) вместо открытых стандартов, фактически привязывая пользователей к экосистеме Microsoft.

В TDF проводят параллель с войной браузеров времён IE6: тогда W3C не дал Microsoft сломать HTML, и интернет остался открытым. Но ISO, по мнению фонда, ошиблась, признав OOXML стандартом, ведь формат остаётся несовместимым с другими реализациями, и пользователи вечно мучаются с кривым форматированием при переходе с Microsoft Office.

OnlyOffice же рекламирует совместимость с Microsoft как фичу, а свою проприетарную корпоративную версию как дополнение к открытой. LibreOffice считает это цифровыми наручниками, которые защищают бизнес Microsoft и ставят под угрозу контент пользователей.

Linux / Линукс 🥸

Linux / Линукс 🥸

MinIO заархивировал репозиторий и отправил всех на проприетарный AIStor за $96K/год. Сообщество ответило форком

Разработчики MinIO, совместимого с Amazon S3 высокопроизводительного объектного хранилища, насчитывающего более миллиарда загрузок на Docker Hub, перевели Git-репозиторий проекта в режим «только чтение», порекомендовав пользователям переходить на проприетарный продукт MinIO AIStor. Последней каплей стало удаление из Community-редакции web-консоли администрирования (оставили только навигацию) и прекращение публикации образов на Docker Hub.

Конфликт назревал давно: в 2021 году лицензию сменили с Apache 2.0 на AGPLv3, затем MinIO агрессивно преследовала нарушителей (Nutanix, Weka), а в 2023 году пыталась отозвать даже старые лицензии, но получила отпор. Теперь компания окончательно сворачивает открытую разработку.

В ответ основатель Pigsty создал форк pgsty/minio, где восстановил веб-консоль, документацию и процесс сборки Docker-образов. Форк будет поддерживать стабильную AGPLv3-версию без активного наращивания функциональности (MinIO и так законченный продукт). Если торговая марка помешает, форк переименуют в silo или stow.

Linux / Линукс 🥸

Linux / Линукс 🥸

KDE готовит Plasma 6.7, а SonicDE обещает вечную жизнь X11-версии

Опубликован еженедельный отчёт о разработке KDE: в корректирующем релизе 6.6.1 фиксят вылеты KWin, проблемы Discover и регрессии с буфером обмена. В грядущей Plasma 6.7 (июнь 2026) появится новый менеджер очереди печати, улучшения Spectacle (опция --release-capture), синхронизация стилуса с мышью на Wayland, округление масштабирования до 100/200/300% для производительности и возможность скрывать окна из скринкастов через постоянные правила KWin.

Но главная новость - проект SonicDE (бывший KDE Lite) продолжит развитие KDE для X11 после того, как официальный KDE Plasma 6.8 (2027) полностью откажется от поддержки протокола. SonicDE форкнул kwin-x11 и plasma-workspace, добавив исправления для сохранения возможностей, недоступных в Wayland: глобальные меню в заголовке, инерционная прокрутка, drag&drop в Chromium, глобальные хоткеи в Telegram/OBS, корректное восстановление окон и захват экрана в TeamViewer.

Сборки уже доступны для Arch (AUR), Artix, FreeBSD, Gentoo, OpenMandriva и NixOS.

Linux / Линукс 🥸

Linux / Линукс 🥸

Godot тонет в ИИ-мусоре: 4600 открытых PR и выгоревшие мэйнтейнеры

Реми Вершельде, ключевой сопровождающий Godot, бьёт тревогу: поток низкокачественных пулл-реквестов, сгенерированных нейросетями, достиг критического уровня. В репозитории скопилось более 4600 открытых PR, и рецензенты вынуждены тратить часы на разбор кода, который авторы зачастую сами не понимают. ИИ не только пишет бессмысленные патчи, но и фабрикует результаты тестов и генерирует многословные, но пустые описания.

Проблема усугубляется тем, что некоторые контрибьюторы честно признаются: «Я использовал ИИ только для описания, потому что плохо знаю английский». Но как это проверить? Сопровождающим приходится сомневаться в каждом новом вкладе, что деморализует и выматывает.

Реми видит только один выход, это нанимать больше людей за деньги, чтобы те разбирали ИИ-слоп. Аналогичные проблемы уже признали в Blender, Linux Foundation, GNOME, Firefox и других крупных проектах. GitHub тоже начал обсуждать меры против ИИ-спама, но пока Godot тонет в одиночку.

Linux / Линукс 🥸

Linux / Линукс 🥸