Evropský parlament dnes přijal směrnici týkající se tzv. práva spotřebitele na opravu. Poslanci ji podpořili 584 hlasy (3 bylo proti a 14 se zdrželo hlasování). Směrnice ujasňuje povinnosti výrobců opravovat zboží a motivovat spotřebitele k tomu, aby si výrobky nechávali opravit a prodloužili tak jejich životnost.
Bylo oznámeno (cs) vydání Fedora Linuxu 40. Přehled novinek ve Fedora Workstation 40 a Fedora KDE 40 na stránkách Fedora Magazinu. Současně byl oznámen notebook Slimbook Fedora 2.
ČTK (Česká tisková kancelář) upozorňuje (X), že na jejím zpravodajském webu České noviny byly dnes dopoledne neznámým útočníkem umístěny dva smyšlené texty, které nepocházejí z její produkce. Jde o text s titulkem „BIS zabránila pokusu o atentát na nově zvoleného slovenského prezidenta Petra Pelligriniho“ a o údajné mimořádné prohlášení ministra Lipavského k témuž. Tyto dezinformace byly útočníky zveřejněny i s příslušnými notifikacemi v mobilní aplikaci Českých novin. ČTK ve svém zpravodajském servisu žádnou informaci v tomto znění nevydala.
Byla založena nadace Open Home Foundation zastřešující více než 240 projektů, standardů, ovladačů a knihoven (Home Assistant, ESPHome, Zigpy, Piper, Improv Wi-Fi, Wyoming, …) pro otevřenou chytrou domácnost s důrazem na soukromí, možnost výběru a udržitelnost.
Společnost Meta otevírá svůj operační systém Meta Horizon OS pro headsety pro virtuální a rozšířenou realitu. Vedle Meta Quest se bude používat i v připravovaných headsetech od Asusu a Lenova.
Společnost Espressif (ESP8266, ESP32, …) získala většinový podíl ve společnosti M5Stack, čímž posiluje ekosystém AIoT.
Byla vydána nová stabilní verze 3.5 svobodného multiplatformního softwaru pro editování a nahrávání zvukových souborů Audacity (Wikipedie). Přehled novinek také na YouTube. Nově lze využívat cloud (audio.com). Ke stažení je oficiální AppImage. Zatím starší verze Audacity lze instalovat také z Flathubu a Snapcraftu.
50 let operačního systému CP/M, článek na webu Computer History Museum věnovaný operačnímu systému CP/M. Gary Kildall z Digital Research jej vytvořil v roce 1974.
Byl zveřejněn program a spuštěna registrace na letošní konferenci Prague PostgreSQL Developer Day, která se koná 4. a 5. června. Na programu jsou 4 workshopy a 8 přednášek na různá témata o PostgreSQL, od konfigurace a zálohování po využití pro AI a vector search. Stejně jako v předchozích letech se konference koná v prostorách FIT ČVUT v Praze.
Po 48 letech Zilog končí s výrobou 8bitového mikroprocesoru Zilog Z80 (Z84C00 Z80). Mikroprocesor byl uveden na trh v červenci 1976. Poslední objednávky jsou přijímány do 14. června [pdf].
Skript pro automatickou aktualizaci aplikací FireFox, Thunderbird atp., které stahuje z ftp.mozilla.org, svůj průběh loguje do souboru, případně odesílá e-mail s reportem.
Závislosti v Debian Wheezy/Jessie jsou:
# aptitude install python2.7 libpython2.7-stdlib libpython2.7-minimal python-gpgme python-pycurl
Nejprve si ve stručnosti popíšeme jak skript funguje.
Nyní přistoupíme k vlastní akci. Nejprve si stáhneme a rozbalíme vlastní skript s konfiguračními soubory:
$ wget http://www.fuky.org/update_package/update_package-1.0.6.tar.bz2 $ tar xf update_package-1.0.6.tar.bz2
Stáhneme a ověříme veřejný klíč:
https://ftp.mozilla.org/pub/mozilla.org/firefox/releases/latest/KEY
Importujeme stažený veřejný klíč do ~/.gnupg/pubring.gpg:
$ gpg --import KEY
Vypíšeme si informace o veřejných klíčích:
$ gpg --list-keys /home/fuky/.gnupg/pubring.gpg ------------------------------------- pub 4096R/3A06537A 2013-07-16 uid Mozilla Software Releases <releases@mozilla.org> sub 4096R/15A0A4BC 2013-07-16 [expires: 2015-07-16]
Zjistíme fingerprint subklíče:
$ gpg --fingerprint --fingerprint 15A0A4BC pub 4096R/3A06537A 2013-07-16 Key fingerprint = 2B90 598A 745E 992F 315E 22C5 8AB1 3296 3A06 537A uid Mozilla Software Releases <releases@mozilla.org> sub 4096R/15A0A4BC 2013-07-16 [expires: 2015-07-16] Key fingerprint = 5445 390E F5D0 C2EC FB8A 6201 057C C3EB 15A0 A4BC
Nastavíme fingerprint v našem konfiguračním souboru:
$ vim update_firefox.cfg fingerprint = 5445390EF5D0C2ECFB8A6201057CC3EB15A0A4BC
Vytvoříme si cílový adresář pro rozbalení archívu (pro testy /tmp/opt, naostro /opt):
$ mkdir /tmp/opt
Spustíme vlastní skript:
./update_package.py update_firefox.cfg
Informace o průběhu nalezneme v logu:
$ cat update_package_firefox.log Installed version = None Remote version = 29.0.1 curl 'http://ftp.mozilla.org/pub/mozilla.org/firefox/releases/latest/linux-x86_64/cs/../../SHA512SUMS' curl 'http://ftp.mozilla.org/pub/mozilla.org/firefox/releases/latest/linux-x86_64/cs/firefox-29.0.1.tar.bz2' curl 'http://ftp.mozilla.org/pub/mozilla.org/firefox/releases/latest/linux-x86_64/cs/../../SHA512SUMS.asc' Create symbolic link '/tmp/opt/firefox-29.0.1' '/tmp/opt/firefox' firefox-29.0.1 installation successful
Jste-li s funkcí skriptu spokojeni můžeme přistoupit ke spouštěním pod uživatelem root, stačí si adresář se skriptem a konfiguračními soubory nakopírovat do /opt, nezapomenout nakopírovat veřejný klíč i uživateli root:
# cp /home/user/.gnupg/pubring.gpg ~/.gnupg
a změnit v *.cfg cílový adresář:
[DEFAULT] pkg_dir = /opt
Skript můžeme automaticky spouštět např. pomocí Cronu každý den v 05:00 ráno:
# crontab -e 0 5 * * * /opt/update_package/update_package.py update_firefox.cfg
Vše potřebné můžeme nastavovat v konfiguračním souboru, který se předává programu jako první argument. Zadává se pouze název konfiguračního souboru bez cesty, protože se *.cfg hledá přímo v adresáři kde se nachází skript.
Pokud chceme zaslat upozornění v případě vyjímky (např. špatně podepsaný soubor s checksumy, neodpovídající checksum atp.) nebo úspěšné instalaci nové verze e-mailem, tak to povolíme v následující sekci *.cfg:
[mail] enable = 1 smtp = smtp.example.org subject = Update firefox from = admin@example.org to = user@example.org
Následující nastavení odpovídá rozbalení do adresáře /opt/firefox-VERSION a vytvoření symbolického linku /opt/firefox na tento adresář:
[DEFAULT] pkg_name = firefox pkg_dir = /opt pattern_dir = ^firefox-(?P<version>.+)$ change_destination_dir = 1 [version] file_cfg =
Číslo verze se v tomto případě zjišťuje z názvu adresáře, na který ukazuje symbolický link.
Pokud chceme, aby se nám archív rozbaloval přímo do adresáře /opt/firefox a předtím tento adresář smazal tak upravíme následující nastavení:
[DEFAULT] change_destination_dir = 0 [version] file_cfg = platform.ini section = Build option = Milestone
Číslo lokální verze se poté bude zjišťovat v /opt/firefox/platform.ini.
Chceme-li instalovat českou verzi místo anglické, tak níže změníme en-US na cs:
pkg_url = http://ftp.mozilla.org/pub/mozilla.org/firefox/releases/latest/linux-x86_64/en-US checksum_fn_prefix = linux-x86_64/en-US/
Obdobně můžeme měnit i cílovou platformu, případně stahovat i jiné aplikace od Mozilla Foundation.
VALUE = { SIGSUM_KEY_EXPIRED = 32, SIGSUM_KEY_MISSING = 128 }
Klíči 3A06537A vypršela platnost 2015-07-16 a Mozilla ho použila i po jejím vypršení, takže skript končil s chybou 32. S dalším releasem Mozilla vydala nový klíč a skript skončil s chybou 128. Stačí odstranit starý klíč:
# gpg --delete-key 3A06537A pub 4096R/3A06537A 2013-07-16 Mozilla Software Releases <releases@mozilla.org> Delete this key from the keyring? (y/N) y
Stáhnout a importovat nový:
# gpg --import KEY gpg: key D98F0353: public key "Mozilla Software Releases <releases@mozilla.org>" imported gpg: Total number processed: 1 gpg: imported: 1 (RSA: 1) # gpg --list-keys pub 4096R/D98F0353 2015-07-17 uid Mozilla Software Releases <releases@mozilla.org> sub 4096R/5E9905DB 2015-07-17 [expires: 2017-07-16]
A aktualizovat fingerprint v konfiguračním souboru:
fingerprint = F2EF4E6E6AE75B95F11F1EB51C69C4E55E9905DB
Od 21.10. 2015 je změněný web mozilla.org, proto je třeba použít novou verzi update_package-1.0.2, která s novým webem počítá.
Od 17.11. 2015 je změněný web mozilla.org, proto je třeba použít novou verzi update_package-1.0.4, která s novým webem počítá.
09.03. 2016 - update_package-1.0.5 - bugfix: počítá s více mezerami v souboru SHA512SUMS.
28.04. 2016 - update_package-1.0.6 - řeší vyjímku "Exception: CHECKSUM not found", která začala nastávat, protože Mozilla změnila formát názvu souboru uvedeného v SHA512SUMS od verze FireFoxu 46.0.
Máte-li náměty na vylepšení či dotazy, případně pokud jsem opomněl něco důležitého zmínit, piště do diskuze.
Tiskni Sdílej:
ad 1. Je jedno zda-li stáhnu archív přes http nebo https, pokud mám správný veřejný klíč, tak mám i ověřeno, že archív pochází od majitele klíče privátního. Co by podle tebe přineslo https?
ad 2. Mě osobně napadá hned několik použití. Server, který poskytuje systém přes NFS X bezdiskovým PC (v tomto případě je vlastní repozitář zbytečný, využíval by ho pouze tento server). Binárky pro balíček ve vlastním repozitáři musím také někde stáhnout, což zařídí právě tento skript, pak už není problém automaticky vygenerovat a podepsat balíček. Jak by jsi to udělal bez něj?
ad 1. Dle mého názoru je nejvíce kritické místo získání veřejného klíče. Pakliže není tento klíč podvržený a autorům není odcizen klíč privátní, tak nevidím příliš prostoru pro to, aby někdo podvrhu vlastní verzi archívu, případně využil "replay attack".
ad 2. Vycházím z předpokladu, že se na http://ftp.mozilla.org/pub/mozilla.org/firefox/releases/latest nachází vždy nejnovější verze. Je tedy pravda, že by útočník mohl podvrhnout sice oficiální verzi od Mozilla Foundation, ale mohla by to být verze starší, která obsahuje více známých a snadněji zneužitelných bezpečnostních chyb. Tento problém vyřeším tak, že ještě před instalací budu kontrolovat verzi přímo v archívu firefox/platform.ini a nebudu porovnávat verze jako řetězce, ale jako sekvenci čísel, s tím, že nově instalovaná musí být větší.
cat firefox-update.sh if [[ $# -eq 0 ]] ; then echo 'Argument je meno stiahnuteho suboru firefoxu v tvare firefox-29.0.1.tar.bz2' exit 1 fi rm /usr/lib/firefox/ -fr cd /usr/lib/ tar xvjf /home/jj/Downloads/$1 rm /usr/bin/firefox ln -s /usr/lib/firefox/firefox /usr/bin/firefox
$ wget http://ftp.mozilla.org/pub/mozilla.org/firefox/releases/latest/KEY $ gpg --import KEY
nasrat
Ano, věta "Stáhneme a ověříme veřejný klíč" není jednoznačná, upřesním jí tedy. Milý uživateli Petře, stáhni si veřejný klíč, klidně pomocí "wget http://" a ověř si jeho pravost jak jsi zvyklý, podle svého nejlepšího vědomí a svědomí.
Každý jsme totiž jinak paranoidní. Někdo důvěřuje certifikátu podepsanému od DigiCert Inc, někdo i certifikátu podepsanému od DigiCert Sdn. Bhd. Další zase věří, že se mirroru nemůže nikdo zmocnit. A někdo zase pro změnu kontroluje fingerprint veřejného klíče na více nezávislých místech. Rozebírat to by vydalo na článek.
Bude fajn, když se s námi podělíš o informace jak to řešíš ty, kde vidíš potencionální nebezpečí a co už je podle tebe příliš paranoidní.
Z mé strany je motivace následující:
nejčerstvější verze by měla mít bezpěčnostní aktualizace rychleji než verze ESR, ze které čerpá DebianJe vcelku běžné, že distribuce implementují bezpečnostní opravy ve stejnou dobu jako upstream, takže toto zdůvodnění nelze aplikovat bez analýzy bezpečnostních problému konkrétního software v konkrétní distribuci. Často může být tento přístup naopak kontraproduktivní kvůli zanesení bezpečnostních chyb ještě před jejich odhalením. Ostatní body nepovažuju za motivaci, nýbrž obhajobu.
Pokud mám správné informace, tak momentálně by to mělo fungovat tak, že se udělá nejprve aktualizace nejnovější verze FireFoxu, posléze se udělá backport do verze ESR a ten převezme i tým Debianu. S časem bude aktuální verze FireFoxu vzdálena verzi ESR víc a víc. Takže předpokládám, že nejvíce úsilí se zaměřuje právě na aktuální verzi.
Není to obhajoba, snažil jsem se reagovat na "minimálně jeden pádný důvod, proč to nedělat" a "alternativní přístup", jen jsem se snažil uhádnout co konkrétně jsi měl na mysli.
Pokud mám správné informace, tak momentálně by to mělo fungovat tak, že se udělá nejprve aktualizace nejnovější verze FireFoxu, posléze se udělá backport do verze ESR a ten převezme i tým Debianu.Chceš říct, že má Firefox v Debianu výjimku a jeho bezpečnostní problémy se ve stable řeší čekáním na opravu v ESR? Máš pro to nějaký relevantní zdroj?
Mrkni se na iceweasel - several vulnerabilities. Mmj. je pro mě důležité mít FireFox s opravovanými chybami i v oldstable, ale na to nemá Debian kapacity, skript to opět řeší...