Проблемы в инфраструктуре проекта Fedora

Сообщается о неопределенных проблемах в инфраструктуре проекта Fedora и вероятном нарушении целостности работы сервисов. Пользователям рекомендуется не производить загрузку или обновление пакетов до устранения возникших проблем. В настоящее время команда разработчиков занимается исследованием инцидента (вторжение злоумышленников ?). Дополнительная информация будет опубликована в списке рассылки [URL="https://www.redhat.com/archives/fedora-announce-list/2008-August/thread.html"]fedora-announce-list.[/URL]

[URL="http://www.mail-archive.com/[email protected]/msg01396.html"]Подробнее.[/URL]

[URL="http://www.opennet.ru/opennews/art.shtml?num=17417"]Источник.[/URL]

Разобрались?

[quote=Maxim;268785]Разобрались?[/quote]

Последнее сообщение, от 16 августа, - обещают возобновить нормальную работу системы авторизации и Wiki на сайте проекта на следующей неделе, об остальном - пока ограничиваются формулой "мы работаем над этим". В сообщении от 14 августа рекомендовали не скачивать и не устанавливать дополнительные пакеты и дополнения/исправления, последнее сообщение эту рекомендацию не отменяет.

[url=http://www.mail-archive.com/[email protected]/msg01399.html]Сообщение от 18 августа 2008 года[/url] - восстановлена работоспособность части сервисов на сайте проекта. Насколько я понимаю, репозиторий пакетов пока недоступен, потому как в списке пока недоступных систем, которые "пожалуй, будут доступны очень скоро" стоит [code]* builders, x86 and ppc[/code] Обещают объяснить в деталях, что же произошло, но пока не объясняют, тоже "очень скоро" :)

[URL="http://www.mail-archive.com/[email protected]/msg01400.html"]Сообщение от 22 августа 2008 года[/URL] - объясняет причины сбоев в работе и предупреждений разработчиков. Очень коротко: был обнаружен взлом ряда серверов проекта Fedora. Одна из машин, на которой обнаружены следы взлома, использовалась для создания цифровых подписей для пакетов проекта. Отсюда - рекомендации не устанавливать пакеты обновлений и дополнительные программы с официальных репозиториев - разбирались, не была ли нарушена целостность пакетов, и не были ли скомпрометированы цифровые подписи. Сейчас, по словам представителя, есть уверенность, что никакие из пакетов не были скомпрометированы, однако, помимо усиления прочих мер безопасности, они собираются сформировать новые ключи для всех пакетов дистрибутива. Параллельно с серверами Федоры, следы взлома обнаружены и на [URL="http://rhn.redhat.com/errata/RHSA-2008-0855.html"]серверах RedHat[/URL]. Там скомпрометированы некоторые пакеты, касающиеся реализации security shell, в связи с чем RedHat выпустила критические обновления, заменяющие эти пакеты, и предложила [URL="http://www.redhat.com/security/data/openssh-blacklist.html"]скрипт[/URL] по обнаружению скомпрометированных пакетов в системе.

Да... Взлом... Это плохо. Теперь нет никакой уверенности в "правильности" софта. Не будешь ведь исходники анализировать сидеть... Где гарантия, что не взломаны сервера других компаний поддерживающих линукс?... Вот так люди сидят, обновляются, а потом бац и неприятный сюрприз...

[QUOTE=ALEX(XX);272877]Да... Взлом... Это плохо. Теперь нет никакой уверенности в "правильности" софта. Не будешь ведь исходники анализировать сидеть... [/QUOTE]-сомнения в "правильности" софта с открытым кодом всегда есть и одной только проверкой целостности пакетов этих сомнений не развеешь... помните [URL="http://www.itsec.ru/newstext.php?news_id=44834"]нашумевшую историю[/URL] с вьетнамской локализацией Firefox?.. там ведь и серверов никто не взламывал и подписи не компрометировал...
-опасность, как не странно, кроется в открытости кода, мало ли кто в него чего допишет, а не в наличии или отсутствии цифровых подписей... но в этом же заключается и его безопасность, любой может проанализировать, то что там написано... парадокс, да и только :>

[QUOTE=ALEX(XX);272877]...Где гарантия, что не взломаны сервера других компаний поддерживающих линукс?... Вот так люди сидят, обновляются, а потом бац и неприятный сюрприз...[/QUOTE]-нет никаких гарантий, эт точно... как впрочем нет таких гарантии и для других ОС... 8)

Возобновлен выход обновлений для Fedora Linux 8 и 9, прекратившийся 12 августа из-за взлома серверов проекта и потенциальной опасности утечки ключей для подписи пакетов. Обновления будут размещены в отдельном каталоге и подписаны новым ключом.

В старый репозиторий помещены пакеты fedora-release, PackageKit, gnome-packagekit и unique, призванные обеспечить прозрачную миграцию на новые пути для получения обновлений. Т. е. необходимо запустить получение обновлений два раза: первый для получения данных о новых путях и ключах из старого репозитория, второй - для непосредственной загрузки обновлений пакетов из новых директорий.

[CENTER]Руководство по переходу на новые GPG ключи представлено в материале [URL="https://fedoraproject.org/w/index.php?title=Enabling_new_signing_key"]"Enabling new signing key"[/URL] (пример для Fedora 9):[/CENTER]

* Загружаем [URL="http://kojipkgs.fedoraproject.org/packages/fedora-release/9/5.transition/data/signed/4f2a6fd2/noarch/fedora-release-9-5.transition.noarch.rpm"]fedora-release-9-5.transition.noarch.rpm[/URL]
* Выполняем "sha1sum fedora-release-9-5.transition.noarch.rpm" и сверяем с хешем 259165485c16d39904200b069873967e3eb5fa6e;
* Устанавливаем пакет: "rpm -iv fedora-release-9-5.transition.noarch.rpm";
* Импортируем ключ: "rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-fedora-8-and-9";
* Запускаем процесс обновления "yum update", в случае ошибки, связанной с yum-utils, пробуем выполнить "yum update --exclude yum --exclude yum-utils" или "yum --skip-broken update".

[URL="http://www.mail-archive.com/[email protected]/msg01410.html"] Подробнее.[/URL]

Источник: [URL="http://www.opennet.ru/opennews/art.shtml?num=17829"]opennet.ru[/URL]