форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

Сообщения по теме

[Сортировка по времени | RSS]

1. "Google предлагает переосмыслить подход к раскрытию информаци..."	+5 +/–
Сообщение от Аноним (??) on 23-Июл-10, 09:01
К сожалению работает только full disclosure, посмотрите последние выпуски PHP и Firefox, в PHP поправили дыры о которых приватно сообщили в мае, а в Firefox - в марте. Одновременно в Firefox почти мгновенно поправили дыру о которой стало известно публично.
Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	7. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от ВДНХ on 23-Июл-10, 09:59
	> К сожалению работает только full disclosure, посмотрите последние выпуски PHP и Firefox, в PHP поправили дыры о которых приватно сообщили в мае, а в Firefox - в марте. Одновременно в Firefox почти мгновенно поправили дыру о которой стало известно публично. Как вы можете знать, работают ли другие способы, если вы их не видите? В том то и суть, чтобы было больше дела, и меньше зависеть от от пустых крикунов. Своевремменность нахождения и исправления ошибок зависит в первую очередь от качества архитектуры проекта. Если архитектура корявая - потом кричи, не кричи об ошибках - их будет море. Как это можно наблюдать с PHP.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	9. "Google предлагает переосмыслить подход к раскрытию информаци..."	–1 +/–
	Сообщение от klalafuda on 23-Июл-10, 10:16
	s/PHP/руками/g В руках мастера и палочки - оружие. Обезьяна же на танке безопасна.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	12. "Google предлагает переосмыслить подход к раскрытию информаци..."	+1 +/–
	Сообщение от ВДНХ on 23-Июл-10, 10:29
	>s/PHP/руками/g > >В руках мастера и палочки - оружие. Обезьяна же на танке безопасна. Да, если выбора не оказалось в конкретный момент. Однако, если выбор есть, то хороший мастер выбирает хороший инструмент. Хотя, я так понял, вы согласны со мной относительно низкого качества PHP. А сравнивать палочки и танк по качеству - нелогично. Вы явно путаете качество с размером и назначением. Могут быть качественные палочки и некачественный танк.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	14. "Google предлагает переосмыслить подход к раскрытию информаци..."	–7 +/–
	Сообщение от klalafuda on 23-Июл-10, 10:44
	Нет, Вы неправильно меня поняли. Я не согласен с Вами по поводу 'низкого качества PHP'. Это точно такой же инструмент, как и все остальные. Perl, Python, Ruby, you name. Ни чем от них не отличающийся. По крайней мере с точки зрения 'качества'. Поясню проще: с умом можно разрабатывать качественные продукты на любом из них. Кривыми же руками можно испортить абсолютно все, что угодно. И абстрактное 'качество' приведенного в качестве примера PHP тут совершенно не причем. Не стоит списывать дремучую некомпетентность отдельных конечных пользователей на проблемы инструмента.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	19. "Google предлагает переосмыслить подход к раскрытию информаци..."	+4 +/–
	Сообщение от ВДНХ on 23-Июл-10, 11:00
	>Нет, Вы неправильно меня поняли. Я не согласен с Вами по поводу 'низкого качества PHP'. Это точно такой же инструмент, как и все остальные. Perl, Python, Ruby, you name. Ни чем от них не отличающийся. По крайней мере с точки зрения 'качества'. То, что вы ставите в одну линию PHP, Perl, Python и Ruby по качеству архитектуры, может говорить только о том, что вы плохо представляете себе архитектуру ПО и процессы проектирования. >Поясню проще: с умом можно разрабатывать качественные продукты на любом из них. Разрабатывать-то можно, но только не с умом. Продукт может и будет одинакового качества, но себестоимость его производства с помощью инструментов разного качества будет тоже разной. Таких простых вещей не знаете. А еще говорите о компетентности. >Кривыми же руками можно испортить абсолютно все, что угодно. И абстрактное 'качество' приведенного в качестве примера PHP тут совершенно не причем. Не стоит списывать дремучую некомпетентность отдельных конечных пользователей на проблемы инструмента. Поздно метаться. Вы сравнивали до этого по качеству танк и палочки. А ваши поздние оправдания по поводу плохого качества ваших мыслей - сродни тем самым выкрикам о больших количествах найденных и исправленных ошибках, когда качество проектирования было плохим изначально.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	54. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от Crazy Alex (??) on 23-Июл-10, 16:05
	Да понятно, что PHP не без недостатков, но всё же это далеко не бейсик. Писать на нём хорошо можно, он этому не мешает особо. Не навязывает - это да, но не мешает. Если, конечно, вы не PHP3 имеете в виду, с register_globals, magic quotes, без ООП и пространств имён.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	56. "Google предлагает переосмыслить подход к раскрытию информаци..."	+3 +/–
	Сообщение от ВДНХ on 23-Июл-10, 16:36
	>Да понятно, что PHP не без недостатков, но всё же это далеко не бейсик. Ну если вы можете сравнить только с бейсиком - то конечно. >Писать на нём хорошо можно, он этому не мешает особо. Писать и на бумаге хорошо можно, она тоже этому не мешает особо. >Не навязывает - это да, но не мешает. Этим интересным противопоставлением вы как бы пытаетесь нам сказать, что вам даже тех навязываний, которые есть в PHP не достаточно, но зато вас утешает, что он вам "не мешает особо". Вообще очень даже много чего навязывает, как многие более примитивнные языки. Хотя примитивные языки и должны навязывать - стиль, методы решения и др. - в этом их назначение, своеобразная "защита от дурака". Но ведь речь шла именно о качестве реализации, а это совсем другое. Потому что будучи рожденным, как узко-специализированное средство для веб-разработок, PHP пытается изображать из себя язык общего назначения. А в итоге - "не пава, не ворона". И куча хаотичных заплат во внутренней архитектуре. Плюс еще плохое начальное проектирование даже как узко-специализированного средства. И комьюнити такое же. Интересно, на каких тогда языках вам "плохо писать", и какие языки вам "танцевать^W писать мешают"? >Если, конечно, вы не PHP3 имеете в виду, с register_globals, magic quotes, без ООП и пространств имён. Понятно одно. Вы тоже один из тех, кто плохо представляет себе, что такое архитектура ПО и качество проектирования. И руководствуетесь преимущественно такими туманными критериями, как "на нем хорошо писать", типа "хорошо сидим".
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	29. "Google предлагает переосмыслить подход к раскрытию информаци..."	+3 +/–
	Сообщение от Аноним (??) on 23-Июл-10, 12:22
	>Поясню проще: с умом можно разрабатывать качественные продукты на любом из них. >Кривыми же руками можно испортить абсолютно все, что угодно. И абстрактное >'качество' приведенного в качестве примера PHP тут совершенно не причем. Не стоит >списывать дремучую некомпетентность отдельных конечных пользователей на проблемы >инструмента. не верно. вы и все-все окружающие могут ездить на машинах всегда по правилам, но если вдруг у вашей машины откажут тормоза, то совершенно не очевидно, что вы не соберете впереди едущего.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	41. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от Michael Shigorin (ok) on 23-Июл-10, 14:04
	>PHP [...] Perl, Python, Ruby, you name. Ни чем от них не отличающийся. >По крайней мере с точки зрения 'качества'. Как полагаете -- руки, которыми такое пишется, как можно назвать?.. :( PS: такое ощущение, что выгорели и устали от проблем "здеся".  Не переживайте, тоже порой бывает, но в итоге когда понимаешь, что диагностируемость всё-таки милее -- всё возвращается на круги своя :)
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	46. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от User294 (ok) on 23-Июл-10, 14:30
	>Обезьяна же на танке безопасна. А как насчет обезьяны с гранатой? :)
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	72. "Google предлагает переосмыслить подход к раскрытию информаци..."	–2 +/–
	Сообщение от XoRe (ok) on 23-Июл-10, 20:43
	>>Обезьяна же на танке безопасна. > >А как насчет обезьяны с гранатой? :) Ну если рассуждать с научной точки зрения, то вероятность того, что она грамотно оторвет чеку, после этого бросит в вас (и умудрится не подорваться сама) - вероятность маленькая) Хотя смотря какая обезъяна. Если на вас несется разъяренная горилла, то там пофиг на гранату) А с кодингом - 99% ошибок идут изза кривизны рук, и 1% - изза ошибок самого языка. Я бы даже сказал, что соотношение 99,99% и 0,01% =) Фишка ещё в том, что когда знаешь, что вон в том модуле, или вон в том операторе часто находят ошибки, можно написать код с оглядкой на это. Т.е. поставить там побольше проверок данных, побольше проверок на error=1 и т.д. Т.е. руками уменьшить даже вероятность глюка изза ошибки языка. Обычно наоборот - это язык уменьшает вероятность глюка изза кривых рук)
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	81. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от ВДНХ on 24-Июл-10, 09:59
	Итак, речь шла о факторах, влияющих на количество багов в проектах и мерах их предотвращения. А "обезьяна" - была метафорой к этому. >>>Обезьяна же на танке безопасна. >> >>А как насчет обезьяны с гранатой? :) > >Ну если рассуждать с научной точки зрения, то вероятность того, что она грамотно оторвет чеку, после этого бросит в вас (и умудрится не подорваться сама) - вероятность маленькая) То есть вы считате, что с научной точки зрения очень мала вероятность того, что примат сможет "грамотно оторвать чеку". Это в метафоре прмерно соответствует способности представителей определенных течений в программировании написать код, который может запускаться. Далее вы видимо считаете, что обезьяна с гранатой да еще и с оторванной чекой по прежнему не представляет большой опастности, и ей по-вашему надо ее еще именно бросить, чтобы создать эффект. А может ли она подорваться сама - это по-вашему вообще не важно. С учетом того, что обезьяна - это метафора какбэ "специалиста", плохо владеющего инструментом, а взрыв - это метафора большого количества багов в проектах, с учетом этого ход ваших рассуждений очень даже характеризует. Особенно игнорирование опасности "самоподрыва". >Хотя смотря какая обезъяна. >Если на вас несется разъяренная горилла, то там пофиг на гранату) И продолжение вашей мысли не менее интересно. Далее, судя по всему, если попытаться вывести общий смысл из ваших сбивчивых формулировок - вы не согласны с тем, что количество багов в первую очередь зависит от качества проектирования. >А с кодингом - 99% ошибок идут изза кривизны рук, и 1% - изза ошибок самого языка. >Я бы даже сказал, что соотношение 99,99% и 0,01% =) >Фишка ещё в том, что когда знаешь, что вон в том модуле, или вон в том операторе часто находят ошибки, можно написать код с оглядкой на это. Интересно, что за такими "языками" вы предпочитаете пользоваться, в операторах которых "часто находят ошибки". И вмето того, чтобы отправить баг репорт об этом, фундаментально огораживают это место большим количеством "проверок". И судя по всему, операторов в них не меньше, чем модулей. >Т.е. поставить там побольше проверок данных, побольше проверок на error=1 и т.д. Т.е. по-вашему, главное поставить "побольше проверок", а проектировать не обязательно. А откуда у вас берутся проверочные условия, вы обычно не особо задумываетесь. А также какова вероятность неправильно поставить сами эти проверки. >Т.е. руками уменьшить даже вероятность глюка изза ошибки языка. >Обычно наоборот - это язык уменьшает вероятность глюка изза кривых рук) Ну и наконец, вы явно путаете понятие языка со средсвами разработки. Из всего вами сказанного, отчетливо виден общий стиль, в котором вы пишете. Это длинные-длинные тексты програм, с большим-большим количеством "проверок". И вы убеждены, что именно такой стиль фундаментально огораживает вас от большого числа багов. А также можно пердположить, что вы пользуетесь средствами, которые такой стиль всячески поощряют, и создают иллюзию, что якобы можно обойтись и без проектирования.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	10. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от Аноним (??) on 23-Июл-10, 10:23
	Почему не вижу ? Не вижу только до выхода исправленной версии. Как только версия вышла обычно можно отследить историю определения дыр. И в самих advisory обычно приводится лог, дыра найдена тогда-то, тогда-то сообщено разработчикам, тогда-то поправлено, тогда-то информация придана огласке.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	13. "Google предлагает переосмыслить подход к раскрытию информаци..."	–1 +/–
	Сообщение от ВДНХ on 23-Июл-10, 10:34
	>Почему не вижу ? Потому что у вас упрощенный и идеализированный взгляд на мир. >Не вижу только до выхода исправленной версии. Как только версия вышла обычно можно отследить историю определения дыр. И в самих advisory обычно приводится лог, дыра найдена тогда-то, тогда-то сообщено разработчикам, тогда-то поправлено, тогда-то информация придана огласке. А кто вам сказал, что все придается огласке? Если цивилизованный способ сообщать об ошибках разработчикам, не придавая ошибки огласке. Тем не менее все довольны.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	50. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от ВДНХ on 23-Июл-10, 15:19
	>> Если цивилизованный способ сообщать об ошибках разработчикам, не придавая ошибки огласке. Тем не менее все довольны. ^Есть^ цивилизованный способ сообщать об ошибках разработчикам, не придавая ошибки огласке. Тем не менее все довольны.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	85. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от XoRe (ok) on 24-Июл-10, 14:28
	>>>>Почему не вижу ? >>> >>>Потому что у вас упрощенный и идеализированный взгляд на мир. >> >>Клевый аргумент. >>И не поспоришь - труднее всего спорить с глупым аргументом =) > >Ну, данный аргумент далее более подробно объясняется, и вы с этими объяснениями >спорить не решились, посто вырвав фразу из общего контекста, и сферчно >заявив о глупости в вакууме. Это хорошо, если подробно объясняется. А вы можете спорить с человеком, не стараясь его задеть (своими предположениями о его возможной низкой квалификации)? Ну и плюс, не просто сотрясать воздух фразами "грамотное проектирование", "семантическая ошибка", и т.д. А добавить конкретики. Например, привести пример кода или пример проектирования, который доказывает вашу правоту. Ещё можно ссылки приводить на конкретные статьи. А то получается спор в виде "все вот так и вот так, а если вы не понимаете этого, то вы дилетант и дурак". Конструктива и позитива.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	88. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от ВДНХ on 24-Июл-10, 15:10
	>Ну и плюс, не просто сотрясать воздух фразами "грамотное проектирование", "семантическая ошибка", и т.д. >А добавить конкретики. Я вообще-то говорил о зависимости количества багов от качества проектирования. А не сферическое "грамотное проектирование" в вакууме. То есть для вас тема проектирования - не конкретна? Сдается, что вы вообще плохо представляете себе, что это такое. Вы не знаете, что такое "семантическая ошибка"? А это вы вообще к чему? >Например, привести пример кода или пример проектирования, который доказывает вашу правоту. Интересно, как вы представляете себе пример проектирования, размещенный здесь в форуме? И что я потеряю, если факт моей правоты, конкретно вы посчитаете не доказанным? >Ещё можно ссылки приводить на конкретные статьи. На какие статьи? В уголовном кодексе? Как я могу привести ссылки на конкретнные стаьи, если я на конкретные стаьи не ссылался? Вы обнаружили пробелы в своих знаниях, и хотите, чтобы я вам подсказал, как их восполнить? При этом ставя ворос так, как будто я обязан заботиться о целостности ваших познаний. >А то получается спор в виде "все вот так и вот так, а если вы не понимаете этого, то вы дилетант и дурак". Я что-то потеряю, если у вас так получится? Я говорил то, что я говорил. Количество багов в проектах в первую очередь зависит от качества проектирования.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	47. "Google предлагает переосмыслить подход к раскрытию информаци..."	+2 +/–
	Сообщение от User294 (ok) on 23-Июл-10, 14:32
	>К сожалению работает только full disclosure, А он вообще очень полезное лекарство от раздолбайства. ИМХО гугл дело говорит - должен ставиться максимальный срок реакции. Нет реакции? Получите сплойты, будет стимул быстро реагировать.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

2. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
Сообщение от klalafuda on 23-Июл-10, 09:16
Дело за малым: заставить пользователей конкретного продукта в массовом порядке своевременно накатывать соответствующие обновления безопасности. Иначе это все борьба с ветряными мельницами.
Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	3. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от klalafuda on 23-Июл-10, 09:19
	PS: Да, и, если уж ставить себе глобальную задачу бороться за мир во всем мире, отучить пользователей качать всякую дрянь из сети. В противном случае, не смотря на все потуги, конечный результат будет все равно один и тот же. А интересует лишь конечный результат.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	35. "Google предлагает переосмыслить подход к раскрытию информаци..."	+1 +/–
	Сообщение от ВДНХ on 23-Июл-10, 13:08
	> Дело за малым: заставить пользователей конкретного продукта в массовом порядке своевременно накатывать соответствующие обновления безопасности. Иначе это все борьба с ветряными мельницами. И в чем суть вашего сарказма? Вы описали то, что существует, так, какбудто этого нет. Ну можно не заствлять своевременно накатывать - есть автоматическое обновление безопасности. Да, оно работает не идеально. Но не хуже, чем лавинообразный процесс исправления ошибок, как результат плохого проектирования. >PS: Да, и, если уж ставить себе глобальную задачу бороться за мир во всем мире, отучить пользователей качать всякую дрянь из сети. В противном случае, не смотря на все потуги, конечный результат будет все равно один и тот же. А интересует лишь конечный результат. Все гораздо проще. Есть разработчики, которые плохо проектируют, и есть пользователи, которые с завидным упорством выбирают плохие разработки. И таких большинство. А есть качественные проекты. И есть пользователи, которые такие проекты умеют отличать. И таких всегда меньшинство. Однако польза от более качественного меньшинства всегда компенсирует проблемы, которые порождает большинство. В этом заключается природное рановесие. Все в конечном итоге определяется качеством проектирования, а во вторую - системой исправления ошибок. А там, где проекты качественнее - там и система исправления ошибок качественнее, как следствие, а не наоборот, как причина, потому что систему исправления ошибок тоже надо проектировать. Просто в качественных проектах меньше шума об исправленных ошибках. Так же, как и криков о борьбе за мир там, где друг с другом не борются.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	52. "Google предлагает переосмыслить подход к раскрытию информаци..."	–1 +/–
	Сообщение от klalafuda on 23-Июл-10, 15:26
	>> Дело за малым: заставить пользователей конкретного продукта в массовом порядке своевременно накатывать соответствующие обновления безопасности. Иначе это все борьба с ветряными мельницами. > >И в чем суть вашего сарказма? Вы описали то, что существует, так, >какбудто этого нет. Ну можно не заствлять своевременно накатывать - есть >автоматическое обновление безопасности. Да, оно работает не идеально. Но не хуже, >чем лавинообразный процесс исправления ошибок, как результат плохого проектирования. Применительно конкретно к браузерам этого нет. Достаточно взглянуть на статы user agent на пачке веб серверов с более-менее приличным трафиком. Зоопарк из версий осла и фокса фееричен. А ведь все помнят, что если не каждый то через раз то точно релиз фокса закрывает иногда до десяти критических дыр, которые при определенном желании и навыке могут привести к компрометации системы. И дыры, кстати, после релиза (а иногда и до) становятся известными широкой публике. Да, они - закрыли. Они - молодцы. Да, у них есть соотв. механизм обновления. Причем в MS Windows например нужно приложить минимум телодвижений, чтобы фокс был up to date. А что толку? Если хотя бы треть их пользователей воспользуется обновлением а тем более сделает это своевременно - это уже можно сказать счастье. Ну а остальные?
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	53. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от ВДНХ on 23-Июл-10, 15:41
	>Применительно конкретно к браузерам этого нет. Чего именно _этого_ нет? "И как один умрем в борьбе за _это_". >Достаточно взглянуть на статы user agent на пачке веб серверов с более-менее приличным трафиком. Зоопарк из версий осла и фокса фееричен. А ведь все помнят, что если не каждый то через раз то точно релиз фокса закрывает иногда до десяти критических дыр, которые при определенном желании и навыке могут привести к компрометации системы. И дыры, кстати, после релиза (а иногда и до) становятся известными широкой публике. >Да, они - закрыли. Они - молодцы. Да, у них есть соотв. механизм обновления. Причем в MS Windows например нужно приложить минимум телодвижений, чтобы фокс был up to date. А что толку? Если хотя бы треть их пользователей воспользуется обновлением а тем более сделает это своевременно - это уже можно сказать счастье. Ну а остальные? Вы, собственно что здесь доказываете? Что механизм автообновлений работает не идеально? Ну так я уже выше это и так сказал. Кроме того, я уже сказал, что лучший способ минимизировать количество дыр - качественное проектирование. А вы опять все про дыры, да про дыры. Вы за что боритесь-то? Кроме невнятных формулировок, изобилующих всякими словечками, смысл которых, как видно, вы плохо понимаете, вам так и не удалось сформулировать, за что и против чего вы выступаете. Ясно только одно - что вы плохо представляете себе реальные процессы разработок.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	55. "Google предлагает переосмыслить подход к раскрытию информаци..."	–1 +/–
	Сообщение от klalafuda on 23-Июл-10, 16:14
	> Вы, собственно что здесь доказываете? Что механизм автообновлений работает не идеально? Ну так я уже выше это и так сказал. Неидеально - это как бы это сказать, это несколько смазано. Я бы сказал чуть точнее что он не работает вообще. В лучшем случае - присутствует в следовых количествах. Без этого ключевого момента все попытки оптимизации процесса репортирования багов - это все равно что тушить пожар из кружки. Круто, громко, в принципе может дать красивый PR при должном подходе, но... вот только это мало полезно с практической точки зрения. > Кроме того, я уже сказал, что лучший способ минимизировать количество дыр - качественное проектирование. Есть какие-то конкретные предложения? Кроме абстрактного пожелания 'давайте будем писать лучше'? Если же обсуждать сугубо по абстракциям лежа на диване и плюя в потолок то я бы предложил, чтобы все человеки на земле были добрыми честными умными и вообще положительными во всех отношениях. Мечтать всего лишь о 'качественном проектировании' - это как-то слишком мелко. Нужно шире смотреть на проблему. Не нужно себя ограничивать в мечтах. > А вы опять все про дыры, да про дыры. Вы за что боритесь-то? Борюсь? Нет, спасибо. Пусть уж гугл сам как-нибудь, без меня. Благо они большие красивые и толстые и вроде как все могут. По крайней мере по слухам. У них все получится рано или поздно. Хотя сам подход конечно же не может вызывать некоторых сомнений. О чем и было написано мною выше. Впрочем, это их бизнес, их продукт и соответственно их проблемы. Хотя.. Они несут определенную социальную ответственность. И микрософт и мозила и теперь уже гугл. Ведь это в первую очередь благодаря их продуктам Сеть постепенно но неумолимо превращается в один большой ботнет катастрофических размеров. И с них - спрос. > Ясно только одно - что вы плохо представляете себе реальные процессы разработок. Упорно хотите перейти на личности? Welcome to LOR. Здесь я сраться на столь низком уровне не хочу.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	58. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от ВДНХ on 23-Июл-10, 17:16
	В исходном посте вы говорили так, как будто автообновления вообще не существует. Поняв эту оплошность, вы теперь пытаетесь что-то такое выдумать на эту тему. >Неидеально - это как бы это сказать, это несколько смазано. Я бы сказал чуть точнее что он не работает вообще. В лучшем случае - присутствует в следовых количествах. Без этого ключевого момента все попытки оптимизации процесса репортирования багов - это все равно что тушить пожар из кружки. Круто, громко, в принципе может дать красивый PR при должном подходе, но... вот только это мало полезно с практической точки зрения. Во-первых, вы путаете автообновление с "процессом репортирования багов" - что в очередной раз демонстрирует, что вы плохо знаете, о чем говорите. "присутствует в следовых количествах" - Такое впечатление, что вы просто переводите малопонятные вам английский тексты авто-переводчиками, пытаясь скрыть свою некомпетентность за всякими словечками. Ну если вы пользуетесь только софтом с большим количеством дыр и не можете настроить автообновление, то это еще ведь не значит, что у всех так. Хотя то, что автообновление - вещь неидеальная, я уже сказал. Но если у вас совсем с этим плохо, то это уже сугубо ваши проблемы. >> Кроме того, я уже сказал, что лучший способ минимизировать количество дыр - качественное проектирование. > >Есть какие-то конкретные предложения? Кроме абстрактного пожелания 'давайте будем писать лучше'? Вы хотите сказать, что не знаете, как это делать, или вы просто не верите, что где-то это делают. Ну это не удивительно, если вы понимаете "качественное проектирование" просто как "лучше писать". А зачем мне предлагать, если качественно проектируемые проекты и так существуют. Другой вопрос, что это вы сомневаетесь в их существовании. Но это уже не моя проблема. >Если же обсуждать сугубо по абстракциям лежа на диване и плюя в потолок то я бы предложил, чтобы все человеки на земле были добрыми честными умными и вообще положительными во всех отношениях. Мечтать всего лишь о 'качественном проектировании' - это как-то слишком мелко. Нужно шире смотреть на проблему. Не нужно себя ограничивать в мечтах. Ну я понял уже, что вы считаете, что качественного проектирования по-вашему в принципе в природе не существует. Вы считаете это чем-то абстратным, а любые упоминания об этом, вызывают у вас ассоциации с "борьбой за мир". Похоже, что вы плохо представляете, что такое проектирование вообще. >Борюсь? Нет, спасибо. Пусть уж гугл сам как-нибудь, без меня. Благо они большие красивые и толстые и вроде как все могут. По крайней мере по слухам. У них все получится рано или поздно. Хотя сам подход конечно же не может вызывать некоторых сомнений. О чем и было написано мною выше. Впрочем, это их бизнес, их продукт и соответственно их проблемы. И все-таки вы за что-то тут боритесь, только не можете сформулировать за что конкретно и прыгаете с тему на тему. >Хотя.. Они несут определенную социальную ответственность. И микрософт и мозила и теперь уже гугл. Ведь это в первую очередь благодаря их продуктам Сеть постепенно но неумолимо превращается в один большой ботнет катастрофических размеров. И с них - спрос. А, понятно, вас беспокоит социальная ответственность. Именно поэтому вы отождествляете вопросы исправления багов с идеями борьбы за мир. Правда, судя по вашим словам, вам и то и другое кажется безнадежным, но все равно вы призываете к социальной ответственности за это безнадежное дело. Такое ощущение, что вас вообще раздражает развитие индустрии ИТ. Без всего этого вам явно было бы проще жить, и вам бы очень хотелось вернуться во времена, когда этого всего не было. >Упорно хотите перейти на личности? Welcome to LOR. Здесь я сраться на столь низком уровне не хочу. А, ну да, вы признаете только такую возвышенную полемику, как измерение "длины палочек" и сопоставление этого с танком. (См. в постах выше)
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	59. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от klalafuda on 23-Июл-10, 17:44
	>> Есть какие-то конкретные предложения? Кроме абстрактного пожелания 'давайте будем писать лучше'? > Вы хотите сказать, что не знаете, как это делать, или вы просто не верите, что где-то это делают. Ну это не удивительно, если вы понимаете "качественное проектирование" просто как "лучше писать". Повторю свой вопрос: у Вас будут какие-то конкретные технические предложения по улучшению архитектуры вполне конкретных проектов - Хрома (если уж новость о гугле) и Фокса дабы уменьшить поток багов в этих проектах и повысить безопасность конечных пользователей? Если Вы так упорно апеллируете к правильной архитектуре то, очевидно, есть какие-то конкретные мысли, предложения, пожелания, может быть даже решения? Ведь нельзя же апеллировать к ней просто так, абстрактно, правда?
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	62. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от ВДНХ on 23-Июл-10, 18:14
	>Повторю свой вопрос: у Вас будут какие-то конкретные технические предложения Если вы хотите услышать конкретные технические предложения, сформулируйте ваши вопросы так, чтобы было понятно, что вы разбираетесь в этой технической области. А вас вообще, почему интересует этот вопрос? Вы сами хотите им что-то предложить, но не знаете что? Или вы осознали (или сразу понимали но пытались скрыть) недостаток своих знаний в этой области, и ждете от меня идей, как этот недостаток поправить? >по улучшению архитектуры вполне конкретных проектов - Хрома (если уж новость о гугле) и Фокса дабы уменьшить поток багов в этих проектах и повысить безопасность конечных пользователей? И жалуясь на мою якобы "абстрактность", вы считаете этот свой вопрос конкретным? С учетом масштабов указанных вами проектов и количества используемых в них технологий. И наконец, с учетом этой же масштабности, вы ведь не доказали, что именно в этих проектах с количеством багов все так уж совсем плохо. И то, что один "грамотей" поставил их в один ряд с PHP, а вы это приняли как должное, в очередной раз подтверждает, что вы плохо в этом разбираетесь. >Если Вы так упорно апеллируете к правильной архитектуре то, очевидно, есть какие-то конкретные мысли, предложения, пожелания, может быть даже решения? Ведь нельзя же апеллировать к ней просто так, абстрактно, правда? Я уже прекрасно понял, что для вас зависимость количества багов от архитектуры и качества проектирования - вещь совершенно абстрактная.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

4. "Google предлагает переосмыслить подход к раскрытию информаци..."	–13 +/–
Сообщение от koblin (ok) on 23-Июл-10, 09:23
Желание гугла понятно - иметь неограниченно большое время на исправление уязвимостей, чтобы никуда не торопясь попивая мохито пол года писать патч. Только причем тут интересы пользователей?!
Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	8. "Google предлагает переосмыслить подход к раскрытию информаци..."	+1 +/–
	Сообщение от ВДНХ on 23-Июл-10, 10:05
	>Желание гугла понятно - иметь неограниченно большое время на исправление уязвимостей, чтобы никуда не торопясь попивая мохито пол года писать патч. Желание создателей и владельцев Гугла - максимально извлекать выгоду, благодаря своим талантам и способностям. Никуда не торопясь. Это их право и заслуга. > Только причем тут интересы пользователей?! Ну может интересы нормальных пользователей и при чем, а вот интересы всяких бездарностей, которые даже из халявы выгоду для себя извлечь не могут, и просто точат лясы от зависти к другим, вместо того, чтобы самим развиваться - их интересы действительно ни при чем.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	18. "Google предлагает переосмыслить подход к раскрытию информаци..."	+4 +/–
	Сообщение от Lain_13 on 23-Июл-10, 10:59
	Ты статью точно читал дальше первого абзаца?
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

5. "Google предлагает переосмыслить подход к раскрытию информаци..."	–2 +/–
Сообщение от filosofem (ok) on 23-Июл-10, 09:29
И что в этой демагогии нового, чего мы как бы не знали и не практиковали?
Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	26. "Google предлагает переосмыслить подход к раскрытию информаци..."	+2 +/–
	Сообщение от Lain_13 on 23-Июл-10, 11:25
	Это рекомендация мировому сообществу от всемирно известной корпорации. Этим и раньше пользовались, просто они обращают всеобщее внимание на то, какой метод сообщения об ошибках по их мнению лучше. Когда рекомендацию даёт некто Василий Пупких в своём ЖЖ, то его ни кто не замечает, а к Гуглу может и прислушаются. Тем более, что они готовы не словом, а делом доказать работоспособность такого подхода.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	28. "Google предлагает переосмыслить подход к раскрытию информаци..."	+2 +/–
	Сообщение от Michael Shigorin guest on 23-Июл-10, 11:48
	Хм, а можно поинтересоваться, что именно _Вы_ как security researcher практикуете и в чём это выражается?
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	33. "Google предлагает переосмыслить подход к раскрытию информаци..."	–4 +/–
	Сообщение от filosofem (ok) on 23-Июл-10, 12:59
	Поинтересоваться можно. Кто же вам запретит?
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	42. "Google предлагает переосмыслить подход к раскрытию информаци..."	+2 +/–
	Сообщение от Michael Shigorin (ok) on 23-Июл-10, 14:12
	>Поинтересоваться можно. Кто же вам запретит? Тогда представьте список найденных и отрепорченных Вами уязвимостей, пожалуйста.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	44. "Google предлагает переосмыслить подход к раскрытию информаци..."	–4 +/–
	Сообщение от filosofem (ok) on 23-Июл-10, 14:17
	Может быть еще ключ от квартиры где девки визжат?
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	90. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от Michael Shigorin (ok) on 24-Июл-10, 17:21
	>Может быть еще ключ от квартиры где девки визжат? Полагаю, его у Вас тоже нет. :)
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

6. "Google предлагает переосмыслить подход к раскрытию информаци..."	+3 +/–
Сообщение от Аноним (??) on 23-Июл-10, 09:40
Давать срок три дня и разглашать всю информацию.
Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	15. "Google предлагает переосмыслить подход к раскрытию информаци..."	+4 +/–
	Сообщение от splat_pack (ok) on 23-Июл-10, 10:44
	та не, 2 часа достаточно..
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	34. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от filosofem (ok) on 23-Июл-10, 13:07
	Почему именно 3 дня? Правда интересно откуда такая цифра появилась.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

16. "Google предлагает переосмыслить подход к раскрытию информаци..."	+2 +/–
Сообщение от SaveMeGood (??) on 23-Июл-10, 10:58
Всегда удивляло (скорее даже бесило) когда люди нагло и бесстыжи прикрываются заботой о тебе, делая что либо с выгодой для себя. Мол, "я думал ты устал с работы хочешь отдохнуть и решил, что занесу долг в другой раз"...
Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	20. "Google предлагает переосмыслить подход к раскрытию информаци..."	+2 +/–
	Сообщение от Lain_13 on 23-Июл-10, 11:06
	Открывать информацию о дыре по-принципу полного раскрытия не этично в первую очередь по-отношению к другим пользователям. Сообщая разработчику информацию приватно с условием полного раскрытия через установленный срок этично по-отношению ко всем. Если разработчики не исправят, то это будет уже лишь их и только их вина, а если исправят и выпустят обновление, то раскрытие информации о уязвимости уже мало кому повредит.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

21. "Google предлагает переосмыслить подход к раскрытию информаци..."	+3 +/–
Сообщение от Maris on 23-Июл-10, 11:09
В подходе "Полное раскрытие" упустили еще одно очень важное достоинство. Имея информацию о уязвимости любой пользователь сможет защитить сам себя. Если уязвимость на столько сложная что на исправление уйдет много времени, то пользователь может не использовать возможности программного обеспечения подверженные данной уязвимости, или вовсе на время использовать альтернативное ПО, если такова имеется. Согласен что не очень выгодный вариант для производителя, но это надо рассматривать если говорить о защищенность конечного пользователя.
Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	24. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от Lain_13 on 23-Июл-10, 11:21
	В случае простой уязвимости и срок будет на её решение установлен короткий (всё зависит от нашедшего, естественно), а сложную не только хрен ещё кто найдёт, так потом ещё и хрен использует. Например, баги с переполнением стека в разном софте часто находят, вот только не всегда дело даже до proof of concept вызывающий крэш доходит и дыра так и остаётся лишь потенциальной, а ведь использовать его для запуска своего кода ещё сложнее.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	36. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от filosofem (ok) on 23-Июл-10, 13:12
	>В подходе "Полное раскрытие" упустили еще одно очень важное достоинство. Имея информацию >о уязвимости любой пользователь сможет защитить сам себя. Если уязвимость на >столько сложная что на исправление уйдет много времени, то пользователь может >не использовать возможности программного обеспечения подверженные данной уязвимости, или вовсе на >время использовать альтернативное ПО, если такова имеется. Согласен что не очень >выгодный вариант для производителя, но это надо рассматривать если говорить о >защищенность конечного пользователя. Пользователю достаточно сообщить, что уязвимость имеется и чем (не )?надо пользоваться, чтобы не нарваться. "Полного раскрытия" уязвимости для этого не нужно.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	43. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от Michael Shigorin (ok) on 23-Июл-10, 14:17
	>В подходе "Полное раскрытие" упустили еще одно очень важное достоинство. >Имея информацию о уязвимости любой пользователь сможет защитить сам себя. Не любой, а достаточно квалифицированный и притом заинтересованный в срочнейшем решении очередной вылезшей проблемы. Скажем, недавно пробегала информация по libtiff.  Слегка припоминая характер внутренностей и прошлых пачей по тамошним buffer/integer overflow'ам, решил не рыпаться да подождать, пока апдейт приедет -- хотя если бы действительно было критично, то можно было бы напрячься и вспомнить/доразучить си в нужном объёме.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

27. "Google предлагает переосмыслить подход к раскрытию информаци..."	–1 +/–
Сообщение от i (??) on 23-Июл-10, 11:40
60 дней это слишком много, 7 ну максимум. А лучше 3
Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	30. "Google предлагает переосмыслить подход к раскрытию информаци..."	+2 +/–
	Сообщение от Аноним (??) on 23-Июл-10, 12:28
	>60 дней это слишком много, 7 ну максимум. А лучше 3 по хорошему, перед раскрытием уязвимости, нужно ждать пока ее исправят разработчики и когда  она разойдется по юзерам. второе, так-же, ограничено скоростью мантейнера. 3-и дня это очень мало.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	31. "Google предлагает переосмыслить подход к раскрытию информаци..."	–1 +/–
	Сообщение от i (??) on 23-Июл-10, 12:41
	что можно исправлять ДВА месяца? не понимаю. Ну пару дней ещё пока заплатка по юзерам разойдется, ладно.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	32. "Google предлагает переосмыслить подход к раскрытию информаци..."	+3 +/–
	Сообщение от Lain_13 on 23-Июл-10, 12:54
	Жирные архитектурные косяки, что же ещё?
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	38. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от fr0ster (ok) on 23-Июл-10, 13:36
	Неизвестнуюю массам дыру не закроют быстро. Ибо зачем, все равно никто не знает:) можно ничегометр встроить лишний.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	84. "Google предлагает переосмыслить подход к раскрытию информаци..."	+1 +/–
	Сообщение от XoRe (ok) on 24-Июл-10, 14:24
	>что можно исправлять ДВА месяца? не понимаю. Ну пару дней ещё пока >заплатка по юзерам разойдется, ладно. Просто сиутации разные бывают. Разработчик именно этой подсистемы может свалить в отпуск. Или разработчики могут долго обсуждать дырку через списки рассылки (некоторые почту читают пару раз в день). Потом написание патча, тестирование, отладка. Если проект коммерческий, то плюс ещё всякие административные проволочки, согласование. Например, может быть политика обновлений раз в месяц - могут приурочить патч к этому. А потом - обновления у юзеров. Кто-то обновления раз в месяц, или два накатывает. Или админ может в отпуск уйти. Ну и все такое. Плюс некоторый запас. Так что, если учесть все это, 2 месяца - вполне разумный срок.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	89. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от fr0ster (ok) on 24-Июл-10, 15:18
	1 А что делали тестировщики до этого? 2 А то что у пользователь изза этой дыры может за два месяца "реально попасть на бабки" ничего? Так что такие 2 месяца способстыуют снижению доверия к софту, бог с ним с приетарным, но ведь и СПО обсирается
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	91. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от Michael Shigorin (ok) on 24-Июл-10, 17:22
	>снижению доверия к софту Вы доверяете _софту_??? PS: я -- нет, только людям.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	92. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от Аноним (??) on 24-Июл-10, 21:32
	то есть, если уязвимость через два дня откроют, то у юзера меньше возможностей попасть на бабки, нежели подробности уязвимости станут известны через 60-ят дней?
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	93. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от fr0ster (ok) on 25-Июл-10, 05:03
	>то есть, если уязвимость через два дня откроют, то у юзера меньше >возможностей попасть на бабки, нежели подробности уязвимости станут известны через 60-ят >дней? Кто следит за используемым софтом сможет или самостоятельно костыли прикрутить, или отказаться от софта в пользу аналога. В любом случае шерстить логи в поисках следов использования уязвимости за 2 дня и за 60 таки большая разница.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	100. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от XoRe (ok) on 26-Июл-10, 17:23
	>>то есть, если уязвимость через два дня откроют, то у юзера меньше >>возможностей попасть на бабки, нежели подробности уязвимости станут известны через 60-ят >>дней? > >Кто следит за используемым софтом сможет или самостоятельно костыли прикрутить, или отказаться >от софта в пользу аналога. В любом случае шерстить логи в >поисках следов использования уязвимости за 2 дня и за 60 таки >большая разница. Ну, блин, мы говорим и про обычных домашних юзеров тоже. Они ни за чем ни следят, ничего не знают. Просто их браузер тупо сам обновляется) Я не говорю, что мы говорим ТОЛЬКО про них. Мы говорим И про них.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	106. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от fr0ster (ok) on 26-Июл-10, 19:03
	>Ну, блин, мы говорим и про обычных домашних юзеров тоже. >Они ни за чем ни следят, ничего не знают. >Просто их браузер тупо сам обновляется) > >Я не говорю, что мы говорим ТОЛЬКО про них. >Мы говорим И про них. Заражение вирусом машин хомячков одного провайдера с образованием ботнета приведет к компрометации провайдера.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	99. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от XoRe (ok) on 26-Июл-10, 17:22
	>1 А что делали тестировщики до этого? Тестировали другие _известные_ дырки, очевидно же =) >2 А то что у пользователь изза этой дыры может за два >месяца "реально попасть на бабки" ничего? Каким образом? Если инфу о дырке не раскрывать, то под неё не напишут эксплоит. Здесь идет разговор про те случаи, когда кто-то один нашел дыру, а другие её не нашли.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	104. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от fr0ster (ok) on 26-Июл-10, 18:59
	>Каким образом? >Если инфу о дырке не раскрывать, то под неё не напишут эксплоит. Вы правда думаете, что уязвимость может только кто то один найти? >Здесь идет разговор про те случаи, когда кто-то один нашел дыру, а >другие её не нашли. 1 Система все равно будет скомпрометирована, стало быть всем системам зависящим от нее уже не будет доверия. 2 В большинстве случаев уязвимость обнаруживает несколько разных людей, вопрос лишь кто будет первым и кто использует уязвимость в своих целях.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	105. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от fr0ster (ok) on 26-Июл-10, 19:01
	>Каким образом? >Если инфу о дырке не раскрывать, то под неё не напишут эксплоит. Вы правда думаете, что уязвимость может только кто то один найти? >Здесь идет разговор про те случаи, когда кто-то один нашел дыру, а >другие её не нашли. 1 Система все равно будет скомпрометирована, стало быть всем системам зависящим от нее уже не будет доверия. 2 В большинстве случаев уязвимость обнаруживает несколько разных людей, вопрос лишь кто будет первым и кто использует уязвимость в своих целях.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	94. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от nuclight (ok) on 26-Июл-10, 00:10
	Допустим, проект крупный, и только полностью пересобирается почти сутки. Допустим, ошибка найдена в ряде веток, которые еще поддерживаются, штук пять, скажем. Их все надо проверить отдельно, проверить, нет ли индивидуальных особенностей в каждой. Пересобрать. Проверить, что дырка закрыта. Выдать тестировщикам, дабы они проверили, что этот патч ничего не поломал другого, если поломал, разобраться, починить, снова пересобрать и снова проверить. Это легко может растянуться в недели. Добавляем сюда форс-мажоры, типа, ответственный за подсистему находится в отпуске или в командировке, или проблема более серьезная архитектурная, прочий резерв времени - так верхняя граница и получится.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	101. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от XoRe (ok) on 26-Июл-10, 17:26
	>Тем более монструозные платформы не >имеют даже доли устойчивости реальных динозавров Скажите это крупным корпорациям. "Юзайте программы типа echo, cat, grep, head, tail через конвейер" =) В некоторых случаях программы сложны и огромны не от скуки программистов. Уточняю: не во всех случаях, а в некоторых.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	102. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от Andrey Mitrofanov on 26-Июл-10, 18:36
	>Скажите это крупным корпорациям. >"Юзайте программы типа echo, cat, grep, head, tail через конвейер" =) Да! %) Даёшь Корпоративный Конвейер: https://www.opennet.ru/openforum/vsluhforumID10/4649.html#1 ! Чем длиннее, тем корпоративнее. >В некоторых случаях программы сложны и огромны не от скуки программистов.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	114. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от ВДНХ (ok) on 27-Июл-10, 10:30
	>Скажите это крупным корпорациям. >"Юзайте программы типа echo, cat, grep, head, tail через конвейер" =) >В некоторых случаях программы сложны и огромны не от скуки программистов. >Уточняю: не во всех случаях, а в некоторых. Да, считающему себя программистом обычно скучать некогда, если других способов борьбы с ошибками он не знает, кроме как вставлять в код "побольше проверок", не задумываясь даже толком, откуда он сам берет условия для этих проверок. В результате даже для элементарных вещей у него получается длинный-длинный код, который он уже сам потом с трудом отлаживает. Зато такую работу вместо компьютера он считает "трудолюбием". См. в начале темы.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

37. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
Сообщение от Аноним (??) on 23-Июл-10, 13:14
ну тут так если бы платили за приватные баги и по качественное было бы.. А так в принципе что позже что раньше без разницы. Нет профита
Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

39. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
Сообщение от uldus (ok) on 23-Июл-10, 13:36
Неоднократно наблюдал, когда security team в Debian или Red Hat правили уязвимости раньше, чем разработчики, причем значительно раньше, на месяц и более.
Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	45. "Google предлагает переосмыслить подход к раскрытию информаци..."	+1 +/–
	Сообщение от Michael Shigorin (ok) on 23-Июл-10, 14:19
	>Неоднократно наблюдал, когда security team в Debian или Red Hat правили уязвимости >раньше, чем разработчики, причем значительно раньше, на месяц и более. В альте, как и в OpenBSD, нередко бывали случаи "у нас эта дырка не работает" -- по той причине, что либо заткнуто в ходе аудита, либо вообще переписано начисто. :) (или как вариант -- отключено по умолчанию, при включении слушает только 127.0.0.1)
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	57. "Google предлагает переосмыслить подход к раскрытию информаци..."	–1 +/–
	Сообщение от klalafuda on 23-Июл-10, 16:47
	Что не помешало RedHat-у внести в репы firefox 3.6.4 лишь совсем недавно. До этого там долго и основательно жил мамонт чрезвычайно почтенного возраста.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	60. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от ВДНХ on 23-Июл-10, 17:45
	>Что не помешало RedHat-у внести в репы firefox 3.6.4 лишь совсем недавно. >До этого там долго и основательно жил мамонт чрезвычайно почтенного возраста. Что именно не помешало? Судя по контексту вы отождествляете "правку уязвимостей" с "внесением в репы" нового пакета. А неиспользование последних версий - это по-вашему тоже самое, что и уязвимость.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	69. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от Bod (??) on 23-Июл-10, 20:06
	> >Что не помешало RedHat-у внести в репы firefox 3.6.4 лишь совсем недавно. >До этого там долго и основательно жил мамонт чрезвычайно почтенного возраста. > В Debian Sid вчера вечером ещё был firefox, пардон, iceweasel 3.5.11.. Не все куда-то спешат ;)
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

61. "Google предлагает переосмыслить подход к раскрытию информаци..."	–1 +/–
Сообщение от Аноним (??) on 23-Июл-10, 17:47
Предлагаемый гуглом метод попахивает шантажом. А кто-нибудь из кретинов именно так его и поймёт и сделает на этом акцент где-нибуть в суде.
Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	68. "Google предлагает переосмыслить подход к раскрытию информаци..."	+1 +/–
	Сообщение от User294 (ok) on 23-Июл-10, 19:19
	>Предлагаемый гуглом метод попахивает шантажом. А когда дыру зарепортили но за годы так и не было починено и в итоге все пришло к тому что через эту дыру хаксоры набрали некислый ботнет и завалили все вокруг спамом - это попахивает преступной халатностью. Пусть виновные оплатят паразитную нагрузку на сервера? :) Учтя что 90% почты - спам, виновные должны разориться нахрен, оплачивая 90% стоимости работы почтовых серверов во всем мире.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	70. "Google предлагает переосмыслить подход к раскрытию информаци..."	–1 +/–
	Сообщение от Аноним (??) on 23-Июл-10, 20:25
	full disclosure работает в данном случае лучше предложенного, ИМХО. По крайней мере в opensource. Если разработчик не шевелится, то хоть кто-то патч напишет. А в случае с проприетарщиной нефига этих маргиналов в принципе информировать. Надо юзать их дыры и все дела :) ... ах да. Если что - в суд их за драные продукты. :)
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

74. "Google предлагает переосмыслить подход к раскрытию информаци..."	–1 +/–
Сообщение от XoRe (ok) on 23-Июл-10, 20:54
Предлагаю дополнение. Если руководитель отказывается реагировать на запрос, или если истек срок, пойти другим путем. Отправляете информацию об ошибке разработчикам, или даже сообществу. На форумах, в списках рассылки и т.д. Возможно кто-то из разработчиков исправит ошибку по своей инициативе. Если никто не откликнулся, публиковать на весь интернет.
Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	87. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
	Сообщение от User294 (ok) on 24-Июл-10, 14:55
	А почему административные грабли какой-то конторки/команды/... должны парить кого-то вне этой конторы вообще? В обязанности исследователей безопасности не должно входить наведение порядка в работе команд/контор. Это совершенно ненужный им геморрой который не оплачивается. Вариантов есть два: или зарепортить дыру просто, почетно и вознаграждается, или дыра будет слита на черный рынок, пардон. Потому что это относительно просто и вознаграждается. Далее те кто делают софт сами решают как они предпочитают.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема