У меня внезапно вопрос по эликсиру (вдруг кто в курсе). Я

Question

У меня внезапно вопрос по эликсиру (вдруг кто в курсе). Я

узнал о пакете на hex.pm: https://hex.pm/packages/age
Как я могу найти репозиторий пакета, чтобы ознакомиться с исходниками?
Эта удивительная штука скачивает .tar, внутри которого есть mix.exs и в нём source_url: "https://ravy.dev/root/age_ex",
Но при этом в общем случае весьма сложно проверить, что скачанный код никак не изменён хитрецами по пути

#erlang #it #programming #russian

0

23.07.2024

25 ответов

21 просмотр

Danil Zagoskin Автор вопроса

т.е. два вопроса * как почитать код до скачивания пакета? * обещает ли кто-нибудь, что tar содержит оригинальный код?

0

1 месяц назад

Danil Zagoskin Автор вопроса

Lama Lover
> обещает ли кто-нибудь, что tar содержит оригинал...

В то, что они сами честны и в то, что их не взломали, остаётся только верить?

0

1 месяц назад

via ☸️ led

Danil Zagoskin
В то, что они сами честны и в то, что их не взлома...

https://hex.pm/docs/self-hosting я так понимаю что можно проверенные артефакты со своего репозитория тянуть если очень хочется

0

1 месяц назад

Danil Zagoskin Автор вопроса

via ☸️ led
https://hex.pm/docs/self-hosting я так понимаю чт...

да, это ценная возможность

0

1 месяц назад

Lama Lover

Danil Zagoskin
В то, что они сами честны и в то, что их не взлома...

Да, а какие ещё варианты? Можно собирать все эти пакеты самим локально из источников. Но тогда придётся верить что автор туда ничего не вписал

0

1 месяц назад

Иванов

Danil Zagoskin
В то, что они сами честны и в то, что их не взлома...

там нет контрольных сумм?

0

1 месяц назад

Danil Zagoskin Автор вопроса

Lama Lover
Да, а какие ещё варианты? Можно собирать все эти п...

они и так собираются локально, но в случае с hex — из сомнительных источников. А так да, склонировать в своё хранилище и использовать оттуда, обновляясь раз в пару лет

0

1 месяц назад

Lama Lover

Иванов
там нет контрольных сумм?

Так если они будут, то контрольные суммы сам hex и предоставлять будет

0

1 месяц назад

Danil Zagoskin Автор вопроса

Иванов
там нет контрольных сумм?

есть контрольная сумма к tar. Но что это даёт? Это ж даже не хеш коммита в гите

0

1 месяц назад

Иванов

Danil Zagoskin
есть контрольная сумма к tar. Но что это даёт? Это...

как я понимаю контрольная сумма тара на hex должна совпадать с конрольной суммой оригинала, не сами же они собирают и упаковывают?

0

1 месяц назад

Danil Zagoskin Автор вопроса

Иванов
как я понимаю контрольная сумма тара на hex должна...

а что есть оригинал и как узнать его контрольную сумму? Насколько я понял, мэйнтейнер регистрируется на сайте hex и загружает какой-то tar, сделанный их скриптами. Даже если мэйнтейнер — автор, то где он напишет «вот этот хеш — действительно мой»?

0

1 месяц назад

Иванов

Danil Zagoskin
а что есть оригинал и как узнать его контрольную с...

там написано что ты зарегаться можешь пушнуть пакадж и он будет сразу доступен. ну вот так вот

0

1 месяц назад

Иванов

Danil Zagoskin
а что есть оригинал и как узнать его контрольную с...

нигде, он там файлики локльные указывает, и может, видимо опционально, указать source_url

0

1 месяц назад

Sergei

Danil Zagoskin
В то, что они сами честны и в то, что их не взлома...

То же самое с репами разных дистрибутивов ОС. Всё на доверии

0

1 месяц назад

Иванов

Sergei
То же самое с репами разных дистрибутивов ОС. Всё ...

вообще не тоже самое

0

1 месяц назад

Sergei

Иванов
вообще не тоже самое

Конечно не тоже, а то же

0

1 месяц назад

Danil Zagoskin Автор вопроса

Sergei
То же самое с репами разных дистрибутивов ОС. Всё ...

У дебиана, вроде, строго с тем, кто может загружать пакеты

0

1 месяц назад

Sergei

Danil Zagoskin
У дебиана, вроде, строго с тем, кто может загружат...

Но что это меняет?

0

1 месяц назад

Danil Zagoskin Автор вопроса

Sergei
Но что это меняет?

Сложность добавления вредоносного кода

0

1 месяц назад

Sergei

Danil Zagoskin
Сложность добавления вредоносного кода

https://pentest-tools.com/blog/xz-utils-backdoor-cve-2024-3094

0

1 месяц назад

Иванов

Danil Zagoskin
У дебиана, вроде, строго с тем, кто может загружат...

первично что есть upstream исходники, и дальше то что ты с этими исходниками делаешь

0

1 месяц назад

Иванов

Иванов
первично что есть upstream исходники, и дальше то ...

некоторые менеджеры пакетов не таскают апстрим, но могут ломаться при сборке

0

1 месяц назад

Danil Zagoskin Автор вопроса

Иванов
первично что есть upstream исходники, и дальше то ...

да, и в ту же кучу воспроизводимый процесс сборки, чтобы можно было получить идентичные бинари на другой машине

0

1 месяц назад

Иванов

Danil Zagoskin
да, и в ту же кучу воспроизводимый процесс сборки,...

ну, так или иначе - там наличие точного источника где можно сравнить контрольные суммы. тут сам hexpm на это петендует, как я понимаю. наличие апстрима опционально. так что в некотором роде hex от github ничем не отличается в этом плане

0

1 месяц назад

Lama Lover · Accepted Answer

Lama Lover

Danil Zagoskin
т.е. два вопроса * как почитать код до скачивания ...

> обещает ли кто-нибудь, что tar содержит оригинальный код? hexpm обещает. Там нельзя менять старые версии пакетов (за исключением короткого промежутка времени в 15 минут сразу после релиза версии)

0

1 месяц назад

185 похожих чатов

У меня внезапно вопрос по эликсиру (вдруг кто в курсе). Я

25 ответов

Похожие вопросы