Gentoo Weekly Newsletter: April 7th, 2003Lo scorso numero che è stato appositamente ritardato di un giorno per essere pubblicato il 1 Aprile conteneva una storia riguardante l'adozione del formato RPM per la gestione dei pacchetti. I risultati di questo pesce d'aprile sono andati be oltre il previsto, forse anche troppo secondo alcuni. Inutile dire che era uno scherzo e che il team di sviluppo Gentoo non ha nessuna intenzione di abbandonare il formato ebuild come mezzo di gestione dei pacchetti. E adesso smettetela di spedirci mail inferocite. Portage passa ad un nuovo formato più sicuro Nell'intento di aumentare la sicurezza di Gentoo Linux, il team di sviluppo di Portage sta iniziando a implementare alcune nuove feature in Portage che consentiranno l'introduzione di un maggiore livello di sicurezza nel sistema di gestione dei pacchetti e di distribuzione. Una delle prime feature che gli utenti gradiranno sarà il digest di ogni file coinvolto nel processo di merging, ad esempio ebuild, patch e sorgenti. Oltre ad offrire meggiore sicurezza questi digest saranno di aiuto per isolare e riconoscere ebuild o altri file non funzionanti sui vari mirror, sia di rsync che di sorgenti. Il passo successivo del processo sarà di firmare i digest con una chiave GPG per garantire la non-repudiation. E' ancora in discussione nel team di sviluppo il come raggiungenere questo obiettivo nella maniera migliore, ma l'idea che va per la maggiore è che ogni sviluppatore firmi personalmente le sua ebuild e che poi una "superchiave" di Gentoo firmi tutte le chiavi degli sviluppatori per creare una rete sicura. Le chiavi degli sviluppatori saranno rese disponibili tramite i keyserver pubblici ma anche su www.gentoo.org. L'obiettivo di ciò che è già stato denominato "Secure Portage" è di fornire un sistema di gestione dei pacchetti solido che garantisca sicurezza nel processo di installazione. Al momento non esistono riferimenti temporali per la realizzazione dell'intero sistema, ma la parte dei digest è già in fase di testing e il resto arriverà presto.
Sendmail presenta un overflow dello stack nella fase di controllo degli indirizzi email. Questa vulnerabilità può essere sfruttata da remoto per eseguire un attacco DoS, ottenere il controllo del server sendmail o eseguire codice arbitrario con i privilegi del server (tipicamente root).
Sono state identificate vari vulnerabilità nelle implementazioni krb5 e mit-krb5 del protocollo di autenticazione Kerberos. Tra le altre esistono un buffer underrun che consente un attacco DoS sul demone di amministrazione di Kerberos, un attacco con testo in chiaro arbitrario e probloemi di buffer underrun e overrun che consentirebbero nomi e host particolari che potrrebbero essere usati per altri attacchi.
Una debolezza di crittografia in Kerberos 4 consente un attacco con testo arbitrario che consente di impersonare altri principals del realm. Il file system distribuito openafs utilizza Kerberos 4 ed è dunque vulnerabile all'attacco.
La funzione xdrmem_getbytes() compresa in dietlibc continete un overflow di intero che potrebbe essere utilizzato da un attaccante remoto per seguire una chiamata RPC che consentirebbe un exploit sul servizio vulnerabile.
Non ci sono nuovi bug di sicurezza questa settimana. Marcus Martin ha proposto una idea per includere una funzionalità "emerge security" per aggiornare automaticamente i pacchetti oggetto di GLSA. La discussione che ne è seguita è arrivata alla conclusione che non è una brutta idea (sebbene possa non essere banale da implementare) e la proposta è stata archiviata come bug #5835. Chris Frey ha inviato uno script che fornisce un set di firme md5 sul server di portage principale per consentire agli utenti Gentoo di controllare l'autenticità delle ebuild. E' una proposta per tamponare il problema in attesa delle ebuild firmate. L'idea ha sollevato un po' di pareri e alcuni criticano il fatto che la soluzione potrebbe affollare i server e distrarre gli sviluppatori dalla realizzazione di una soluzione definitiva al problema. La discussione è stata conclusa da Nicholas Jones che ha puntualizzato che il problema è discutibile visto che la soluzione dovbrebbe essere incorporata in portage-2.0.47. 3. Sviluppatore della settimana Seth Chandler
Tutti amano lamentarsi della lentezza di OpenOffice, ma è comunque una delle più complete e compatibili suite per ufficio esistenti. Lo sviluppatore di questa settimana, Seth Chandler, è responsabile dei pacchetti openoffice e openoffice-bin; inoltre mantiene keychain, scrive documentazione ed è anche uno dei tre leader del tem PPC. Il suo primo compito, correggere i bug di Openoffice, prenede la maggior parte del suo tempo, ma aiuta anche qua e la quando altri sviluppatori vengono a mancare. Seth ha iniziato ad utilizzare Gentoo circa due anni fa ed è stato invitato nel team di sviluppo Gentoo da Spanky che lo conosceva da scuola perchè c'era bisogno di qualcuno che si occupasse di OpenOffice. Tramite la sua collaborazione con Gentoo è diventato frequentatore abituale dei canali IRC e mailing list di OpenOffice; ha inoltre contribuito alla IssueZilla di OpenOffice perchè il carattere innovativo di Gentoo comporta anche che i problemi vengano rilevati prima qui che in altre distro. Seth studia presso il Worcester Polytechnic Institute e frequenterà una delle tante facoltà di legge a cui è stato ammesso (Cornell, UGA, UConn, Emory, BU, Vanderbilt; deve ancora avere notizie da UVA e Yale). I suoi tre computer (un Dual P3, un Dual Athlon MP2100 e un Powerbook da quindici pollici) montano tutti Gentoo, sebbene Il Mac abbia un dual boot con MacOSX. Fa girare Waimea-cvs e qmail su tutte le macchine e le sue applicazioni preferite sono gaim-cvs, xchat-2, kmail, aterm, e gkrellm. Entrambe le sua macchine x86 hanno l'ultima versione del kernel che al momento dell'intervista era la 2.5.65-mm2. Seth fa parte del team degli Atlanta Braves e lavora li da ormai quindici anni; suo padre è il medico della squadra. Dice che va a scuola solo quando non ci son partite. Sempre aggiornatissimi! Lo sviluppo del kernel di linux si sta dirigendo velocemente verso la versione 2.6 e parecchi thread nei forum denotano chiaramente che gli utenti Gentoo stanno seguendo lo sviluppo molto da vicino, con qualche piccolo problema a volte.. Il miglior pesce d'aprile di sempre Da primo link della lista si intuisce che i forum l'avevano già detto. Ma la minaccia dell'abbandono di Portage ha colpito nel vivo di molti appassionati e diversi utenti sono rimasti shockati per ore. hanno maledetto i monitor e imprecato verso amici e parenti, minacciando di cancellare il proprio portage tree prima del tempo; ci son cascati! E abbagliati dal timore che Gentoo passasse agli RPM solo qualcuno del forum Tedesco si è accorto della seconda notizia falsa dello scorso numero della GWN.
Gruppo di utenti Gentoo del New Jersey Gli utenti Gentoo del New Jersey potrebbero essere interessati alla proposta di dweigert in Gentoo Chat di dare vita ad un gruppo di utenti Gentoo del New Jersey. Sembra che l'iniziativa si focalizzi sul New Jersey Centrale per adesso, ma tutti i residenti nello stato sono invitati. Date un'occhiata al thread per avere informazioni più precise sul date e luoghi: Utilizzo aziendale di Gentoo? Con più di 60 mail fino ad ora, il thread più affollato della settimana su gentoo-user tratta di (grandi) aziende che abbiano adottato Gentoo in un contento di produzione. Molti hanno risposto che non credono che Gentoo sia adatto alla produzione, visti i vari problemi che presentano le proprio configurazioni personali. Altri invece hanno segnalato che Gentoo si comporta bene in produzione, serverndo fino a 150000 client. Le opinioni ovviamente variano molto e in molti casi sono andate offtopic, ma la discussioni ha presentato alcune interessanti osservazioni a proposito dell'utilizzo di Gentoo in un contesto di produzione. Gestione dei pacchetti per software per cui non esiste ebuild Jan Drugowitsch ha chiesto informazioni a proposito della gestione di pacchetti software non compresi in Portage. Le risposte sono state varie ed esaurienti, con indicazioni a vari progetti open source che potrebbero essere d'aiuto. Domanda a proposito della programmazione di Portage Robin H. Johnson ha chiesto delucidazioni a proposito della disponibilità di documentazione sulle API del database di Portage ed è stato ben sorpreso quando gli è stato suggerito di scrivere python [RETURN] help() [RETURN] portage per entrare nell'help interattivo di Python. Un equivalente per ACCEPT_KEYWORDS="~arch"? Jani Monoses si chiedeva se esiste una comoda alternativa all'utilizzo del noioso ACCEPT_KEYWORDS="~arch" emerge package_name. Thomas M. Beaudry ha suggerito l'utilizzo degli alias di bash (man bash). Un altro Thomas ha proposto il suo alias alias expmerge='ACCEPT_KEYWORDS="~x86" emerge'. Un Meta-Progetto Francese per una Meta-Distribuzione Gentoo France sta re-emergendo: Dopo la nascita di gentoofr.org lo scorso Luglio (e mantenendo buoni rapporti con precedenti progetti), una nuova organizzazione fondata da Baptiste Simon, Guillaume Morin e Mark Krauth chiamata frgentoo.net sta cercando di mettere assieme un po' di persone desiderose di aiutare per una nuova iniziativa di traduzioni in Francese della documentazione e dei tutorial di Gentoo, per organizzare canali IRC e mailing list, e più in generale di dare qualcosa in più rispetto alla media. Il nuovo club vuole fornire un ampio spettro di servizi legati a Gentoo Linux, in Francia, ed è determinato a darsi da fare sul serio sin dal primo giorno. Le elezioni per l'assegnamento delle posizioni da ricoprire all'interno di frgentoo si terranno alla fine del mese, la presentazione delle candidature per i ruoli di coordinatore e project leader chiuderà il giorno 11 Aprile, mentre le elezioni si svolgeranno tramite voto elettronico tra il 14 ed il 20 Aprile. Andate su alpha.gentoo.org per informazioni più dettagliate. International Event Calendar Mentre la comunità di Köln-Bonn community sta ancora discutendo pubblicamente l'agenda del loro primo meeting, negli US due eventi cominciano ad essere imminenti:
I seguenti pacchetti stabili sono stati aggiunti questa settimana a Portage
Aggiornamenti a pacchetti importanti
La comunità di Gentoo usa Bugzilla (bugs.gentoo.org) per annotare e tenere traccia di bugs, notifiche, suggerimenti e altre interazioni con il team di sviluppo. Negli ultimi 7 giorni, l'attività sul sito è stata la seguente:
Attualmente in Bugzilla ci sono 2895 aperti. Di questi: 63 sono classificati 'bloccanti', 107 sono classificati 'critici', sono 227 sono classificati'primari'. Gli sviluppatori e i team che questa settimana hanno chiuso il maggior numero di bug sono:
Gli sviluppatori e i team a cui questa settimana è stato assegnato il maggior numero di bug sono:
Cambiare gli attributi dei file Il tip di questa settimana spiega come usare chattr per mantenere sicuri alcuni importanti file di sistema. Il comando "change attribute", o chattr, può essere usato per aggiungere o cambiare gli attributi dei file relativi a aggiornamenti sincroni, sicurezza dei file più stretta, eccetera. Tuttavia, questo comando è disponibile solo su partizioni ext2 e ext3. Qui sotto è riportata una lista degli attributi più comuni, e i relativi flag. Per una lista più completa leggete man chattr.
Innanzitutto assicuratevi che chattr sia installato, emergendo e2fsprogs.
Per settare gli attributi di un file, usate il comando chattr mentre per visualizzare gli attributi, utilizzate il comando lsattr
Questi attributi sono utili, ad esempio, per assicurarsi che alcuni file importanti non siano accidentalmente candellati. Ricordate che nemmeno root può cancellare un file con gli attributi 'immutable' o 'append-only' senza prima rimuovere esplicitamente questi attributi. L'uso di questi flag sui file /etc/passwd o /etc/shadow li mette al sicuro da un accidentale rm -f e oltretutto assicura che con un exploit non possano essere creati nuovi account. Mantere dei file 'append-only' implica che, una volta scritti, i dati che contengono non possono essere cancellati. I log sono ottimi candidati a questo utilizzo, in modo che non possano essere alterati. Con chattr e lsattr, avete dunque dei nuovi strumenti per mantenere sicuro il vostro sistema. 9. Partenze, arrivi e cambiamenti I seguenti sviluppatori hanno recentemente lasciato il team di Gentoo:
I seguenti sviluppatori si sono recentemente uniti al team di Gentoo:
I seguenti sviluppatori hanno recentemente cambiato ruolo all'interno del progetto Gentoo Linux:
Ti interessa contribuire alla Gentoo Weekly Newsletter? Mandaci una email. Mandateci i vostri commenti e aiutateci a rendere GWN migliore. La Gentoo Weekly Newsletter è disponibile anche nelle seguenti lingue:
|
|
