Prvních 30 dní knihovny LibreSSL

Bob Beck (Twitter), ředitel OpenBSD Foundation, měl na konferenci BSDCan 2014 přednášku věnovanou prvním třiceti dnům knihovny LibreSSL a její budoucnosti (prezentace, videozáznam). Knihovna LibreSSL je forkem knihovny OpenSSL (zprávička).

19.5.2014 18:02 | Ladislav Hagara | Zajímavý článek

Komentáře

[Hans1024]

Nejlepsi je, jak vysvetlil proc pouzil Comic Sans. "Vedel jsem, ze web designeri budou stejne nadavat ze ta stranka stoji za prd, tak jsem aspon chtel, at stoji za poradny prd (nebo jak slusne prelozit 'suck GLORIOUSLY'), a dal jsem tam comic sans s blikajicim textem."

Jinak jsou prasarny v OpenSSL teda poradny

[pavele]

Starý program má staré chyby. Opravený starý program má staré chyby a nové chyby.

Fandím jim. Ovšem jako pragmatik bych počkal, až budou nové chyby a nové backdoory v LibreSSL opraveny nebo aspoň zamaskovány.

[x]

No pozor, to ma jeste pokracovani comic neue nebo pripadne tady na OpenPorts.se

[Josef Kufner]

Díky.

[smazáno]

Ten font je celkem hezky

[#Tom]

<?xml version="1.0"?>
<fontconfig>
  <selectfont>
    <rejectfont>
      <pattern>
        <patelt name="family">
          <string>Comic Sans MS</string>
        </patelt>
      </pattern>
    </rejectfont>
  </selectfont>
</fontconfig>

[Bystroushaak]

nebo jak slusne prelozit 'suck GLORIOUSLY'

Saje mocně?

[dvcasxcasdc]

muze mi nekdo vysvetlit proc forkujou do libressl, aby to opravili, misto aby venovali energii oprave openssl? jak uz nekdo vyse napsal, ze v novem kodu budou nove chyby, proc nefixujou radsi openssl? nebo to prepisujou na zelene louce, nebo jsou v tom jini lide?

[dvcasxcasdc]

aha, precetl jsem dabelskou prezentaci a tam to je nejak vysvetleno.

[dvcasxcasdc]

a je tam i odkaz i na cthulhu, dik

[David Heidelberg]

Sleduju záznam z přednášky a argumenty pro forknutí zní rozumně :)

[xkucf03]

Viz jeden komentář k věci od Dana Lukeše z FreeBSD konference.

Ja bych byl, co se tehle aktivit tyce, zdrave opatrnej. Ted, kdyz je prach rozvirenej poslednim vybuchem, kterej, pravda, stal za to, se nejruznejsi aktivity budou objevovat jak houby po desti.

Pozornost bych ale venoval jen tem, ktery budou aktivni i za pul roku, az se prach zase usadi.

Mj. i proto, ze zrovna u tohohle druhu kodu neni "hura nadsenec" tim typem programatora, ktery bychom meli nejak zvlast vitat.

Zatim ani jeden z "novych" projektu neprovazi sirsi diskuse na tema "takze tohle s tim tedy udelame, a to proto, ze ...". LibreSSL na me ve me zatim vyvolava dojem, ze ted se soustredi na to, aby z OpenSSL orezali vsechno co sami nepouzivaji a tudiz nepovazuji za uzitecne. A  bud' to v tom stavu zustane, pak ovsem bude LibreSSL pouzitelne jen na omezeny okruh pouziti (asi tak jako samo OpenBSD), nebo se do toho casem zacnou zpatky nektere veci dolepovat, az se k projektu dostane nekdo, kdo tu-kterou feature sam pouziva a tudiz za prinosnou povazuje ...

Ja bych pocka, co z toho (a tedy uz zase nemluvim jen o LibreSSL) nakonec vzejde ...

Dan

[little.owl]

LibreSSL na me ve me zatim vyvolava dojem, ze ted se soustredi na to, aby z OpenSSL orezali vsechno co sami nepouzivaji

Coz sedi jak prdel na hrnci, nebot snad vetsina diffu jejich zmen je odstraneni podpory pro jine OS a architektury.

[Hans1024]

Castecne kvuli tomu, ze se OpenSSL snazilo podporovat vsechny historicke systemy i architektury co kdy kdo vymyslel, se ta knihovna dostala do takoveho stavu v jakem je.

[little.owl]

Nemyslim si, ze OpenSSL byla v nejakem extremne spatnem stavu, jak se OpenBSD klaka snazi tvrdit. Zanedbanost a chyby pramenily predevsim z nevyjasneneho modelu financovani vyvoje (OpenSSL Foundation), kdy do toho nikdo poradne neinvestoval, pripadne provadel zmeny v produktovych brancich (Chromium) a to by melo byt ted vyreseno.

[x]

1) OpenSSL je, bylo a bude ve spatnem stavu. To vedeli takrka vsichni napric "politickym" spektrem, ale pravda je, ze to je az takovy hnuj a tak velky, ze se proste nikomu do toho nechtelo hrabat a porad se tak nejak doufalo, ze to prece upstream spravi, kdyz na to dostavaji tolik penez a maji tolik "velevyznamnych" uzivatelu a sponzoru

Napr. tohle uz je par let stare pojednani o "kvalite" OpenSSL a jen aktualizovane po poslednich nalezech. Tyto upravy delal prakticky kazdy kdo tomu vice do hloubky rozumi, ale bohuzel se nikdo neodvazoval se pustit primo do samotneho OpenSSL. Mozna se nahlasil bug, ale ten tam stejne lezel nekolik let klidne a OpenSSL tym na to kaslal.

2) Penez meli a maji jako supek, ze za to plati neschopne programatory nebo lidi, kteri radeji lezou firmam do zadku misto toho aby delali poradne svoji praci a slo jim v prve rade o bezpecnost, tak to uz je problem uplne jinde

3) Linux Foundation ted dlouho mlcela, ale uz konecne probiha debata v pozadi a je sance, ze konecne dostanou rozum a budou sponzorovat LibreSSL primo a ne pres tu pohadku co se objevila nedavno od Facebooku, Microsoftu a jinych. Problem z tohoto smeru je spise licence, protoze ze svobodne BSD maji dost strach a kdovi jestli jim bude umozneno spachat GPL harakiri s portable verzi LibreSSL (dost pochybuju). To Google bude mit vice rozumu jak je obvykle pokud jde o technickou stranku jako napr. zde nebo pokud jde o licence jako zde

[little.owl]

To jsou fraze. O tom, ze OpenSSL potrebuje full time vyvojare vedeli skutecne napric "politickym" spektrem, ale nikdo se k tomu nemel, vcetne vami zminenych BSD primadon, kteri si ted radi kopou. Stephen Henson a Robin Seggelmann, autori one chyby, rozhodne nejsou pitomci, podstatnou cast kodu dodali bez naroku na odmenu, to pak vas cas velmi limituje.

Penez meli a maji jako supek,

Dalsi blabol sireny BSD campem. Cituji Steve Marquess z OpenSSL Software Foundation:

In a typical year the OpenSSL project receives about US$2000 in donations.

$2000 rocne, u projektu na kterem zavisi spolecnosti s miliardovymi obraty, je absurdni a nic poradneho za to nevyvinete.

[x]

Ty tzv. primadony otevrene rikaji, ze za situaci mohou i oni, ze s necim jako LibreSSL nezacli drive, kdyz uz takovou dobu slo videt, ze OpenSSL na to evidentne nema to delat poradne. A to napric BSD. To mi neprijde moc jako chovani primadony. Ono se moc do toho nikomu nechtelo z tech typickych duvodu co clovek slychava dost casto, vzdyt prece to staci nahlasit a oni se tim budou nahore zabyvat nebo ze kod je takovy bordel, ze radeji delali lide neco jineho kde maji v kodu poradek atd. atd. Vetsina lidi to dela dobrovolne bez naroku na odmenu a tak se venuji tomu co je bavi nebo kde vidi prinos nez aby se hrabali v necem strasne velkem jako OpenSSL co prece pouzivaji ty uzasne velke firmy vyvijejici Linux, tak prece ve jmenu open source tam asi taky pomahaji ne?

Kolik tak zaplatil RedHat, LinuxFoundation, Oracle, IBM a jini radoby Linux velikani za OpenSSH treba? Ja jen tak aby bylo jasno diky komu se vlastne neplati

A co se tyce dotaci 2000$/rocne.....to je malo, ale kolikpak dostava OpenSSL za konzultace pro firmy To tam zmineno neni a to je dulezitejsi otazka. A opet, kdyz je OpenSSL tak dulezite, tak kolik zaplatil Linux, RedHat, Oracle, IBM do OpenSSL? Takovi velci propagatori a kolikpak tam dali penez? A nez by nastal trapny pokus o zneuziti, tak xBSD v prve rade musi financovat sebe a jak znamo komunita je mnohem mensi, ale kdyz je treba, tak se postavi do cela viz. OpenSSH, LibreSSL, Mandoc a podobne. Navic v OpenBSD pochopili, ze pokud to chteji mit na sve urovni kvality, tak jim nezbyva nic jineho nez fork, kdyz primo v OpenSSL lezi chyby neopravene leta.

[little.owl]

OpenSSL na to evidentne nema to delat poradne.

A k tomu jste dosel jak?

To mi neprijde moc jako chovani primadony.

Chovaji se jak po bitve general a cast z nich se navazi do lidi, kteri narozdil od nich alespon neco delali.

A co se tyce dotaci 2000$/rocne.....to je malo, ale kolikpak dostava OpenSSL za konzultace pro firmy

OpenSSL nic. U zainteresovanych vyvojaru nevim, ale treba Stephen Henson pracuje jako konzultatnt, ale temer vsechny jeho placene aktivity byly mimo oblast OpenSSL, prestoze byl k dispozici.

tak jim nezbyva nic jineho nez fork

Uvidime. Zatim vychazeli kod z jinych platforem, namergovali nejaky kod z vyvojovych vetvi OpenSSL a masturbuji nad vytrhanymi fragmenty kodu, snazici se dokazat jak je spatne, casto v kontextu, ktery v puvodnim kodu nemuze nastat.

[bugme]

eh, precti si ty patche a pak reaguj.

[little.owl]

Videl jsem diff mezi vytvorenim forku a vcerejsim stavem. Podle jejich velkohube retoriky bych cekal plno novych CVE-cek a ono nic. Linus mel pravdu, "a bunch of masturbating monkeys".

[DarkKnight]

Takze prvni vec, co delat pri "opravovani" knihovny je resit CVE a ne restrukturalizaci kodu? Nebo je opraveni spravy pameti a vyhozeni pseudogeneratoru, ktere pouzivaji fixni retezec / id uzivatele jako seed, vlastne uplne zbytecne?

Pro pripadnou reakci, ne, OpenBSD (ani jine BSD) nepouzivam

[pta]

Kdo chce psa bit, hul si vzdycky najde. Tyhle iracionalni spis emocionalni nez fakticke vylevy jsou k nicemu.

Ten projekt vznikl teprve pred mesicem a konfrontovat ho za tak kratkou dobu s vlastni vykonstruovanou predstavou co a jak by uz melo byt a delat z toho nejake zavery je zcestne. Obvinovat je z toho, ze prakticky jenom vyhazuji puvodni kod ? Za prve to neni pravda, protoze tech oprav kodu a potencialnich chyb ve sprave pameti, kontroly mezi a vstupu je tam hafo (viz commity). A ze kdekdo shledava takovy pristup systemovejsi a tobe se to nelibi je uplne jedno. V rade pripadu je daleko jednodussi a rychlejsi prasacky kod vyhodit a napsat to znovu a poradne, sjednotit rozhrani a spravu pameti. S predstavou ze budou veskery kod OpenSSL analyzovat a hrabat se v divokych konstrukcich, tak by se do dneska nehnuli z mista.

[little.owl]

Kdo chce psa bit, hul si vzdycky najde. Tyhle iracionalni spis emocionalni nez fakticke vylevy jsou k nicemu.

Me je celkem u zadku, co delaji. Jedine, co mi vadi, ze v zajmu zduvodneni existence sveho projektu, a zejmena nekteri jejich uzivatele, neoduvodnene demonizuji puvodni OpenSSL projekt a jeho programatory. OpenSSL potrebuje v prvni rade zajistit financovani a pak bude mozne udelat review a refactoring.

V rade pripadu je daleko jednodussi a rychlejsi prasacky kod vyhodit a napsat to znovu a poradne, sjednotit rozhrani a spravu pameti.

Zatim to prevazne nebylo o nejakem zasadnim prasackem kodu ci divokych konstrukcich, ale vyhozeni podpory pro jine platformy a odebrani nektere funkcionality.

[lertimir]

Financování by doufejme mohl zajistit projekt The Core Infrastructure Initiative. Otázka je, jak moc ty silné firmy budou The Linux Foundation tlačit do toho, co chtějí financovat a jak mají financované projekty vypadat zevnitř.

[pta]

Zanedbanost a chyby pramenily predevsim z nevyjasneneho modelu financovani vyvoje (OpenSSL Foundation)

Duvody "zanedbanosti" jsou diskutabilni, ale jako pricina chyb ? Jak treba souvisi vznik chyby v SSL Heartbeat s financovanim ?

[little.owl]

Je to slozite domyslet? Dotahoval jste nekdy nejaky projekt do produkcniho nasazeni?

[David Heidelberg]

najdi mi 10 lidí, kteří provozují poslední verzi openssl na DOSu nebo Win95

[mich]

A teď prosím vysvětli jak tohle souvisí s odstraněním podpory pro linux, solaris, windows... no prostě vše kromě OpenBSD.

[DarkKnight]

A ktery konkretni commit resi odstraneni podpory pro linux, solaris a windows? Odstranili podporu 16-bitovych windows a stareho macu, taky odstranili hacky pro kompilator, ktery byl v jedne verzi rozbity pred 14 lety (a o sprave pameti se nebavim). Podivejte se na tu prezentaci, pro naportovani je treba mit kompilator, ktery umi malloc, praci s c-stringy a dodrzuje posix standardy (plus ten system musi umet generovat dostatecnou entropii)

Jedine, na cem to momentalne zavisi je par BSD funkci (a proto chcou, at se portovani ujme nekdo, kdo vi co dela, ne, ze odstrani ty radky, kde to haze chybu a bum, mame naportovano)

[little.owl]

je treba mit kompilator, ktery umi malloc, praci s c-stringy

Malloc ci prace s c-stringy neni zalezitost kompilatoru.

[DarkKnight]

jo, omlouvam se, nejak mi to tam ulitlo, mel jsem na mysli standartni C knihovnu

[mich]

Jedine, na cem to momentalne zavisi je par BSD funkci (a proto chcou, at se portovani ujme nekdo, kdo vi co dela, ne, ze odstrani ty radky, kde to haze chybu a bum, mame naportovano)

Bohužel ne. Jednak je teda potřeba dodělat těch pár BSD only callů, ale hlavně je to o tom, co popisuje tenhle blog (jo, vím, že už to tu bylo několikrát odkazováno). Naportovat LibreSSL mimo OpenBSD není taková legrace. Což neznamená, že je LibreSSL špatný projekt, jen je potřeba počkat jak to nakonec dopadne a nesedat si hned na zadek.

[stativ]

Jde hlavně o pročištění kódu. Co jsem (krátce) nahlédnul do OpenSSL kódu, tak tam byla strašná spousta #ifdefů, které různě podivně větvily kód pro různé architektury. Tímto se zbavili těch strašných ifdefů a místo toho všude používají standardizované* funkce (jako třeba všude propíraný malloc).

Pokud tomu dobře rozumím, tak lidi z OpenBSD chtějí přistupovat k portabilitě značně rozdílným způsobem. Jak jsem říkal, předtím to byly ifdefy všude v kódu OpenSSL. Jejich přístup by měl být čistý kód s minimem ifdefů v „jádře“ LibreSSL a zvlášť definice a wrappery funkcí, které jsou platformně závislé.

* Výsledek vlastně nemá daleko ke zkompilovatelnosti na linuxu. Je nutné si uvědomit, že spousta funkcí je na OpenBSD bezpečnějších (paranoidnějších) než na linuxu a tudíž se do portování nemůže pustit kde kdo (viz krásný blog o častých chybách portů).

[little.owl]

DOS verze se pouziva u FreeDOSu, coz neni rozhodne mrtvy projekt - verze 1.1 mela skoro 500000 downloadu - a pouziva se v cele rade [industrialnich] zarizenich. Podstatne cast kodu pro Win95 je soucasti Win32 portu, coz opet neni mrtva zalezitost.

[pta]

Pocet stazeni FreeDOSu je argument jak noha, zvlast kdyz ho obvykle vyrobci nebo dealeri pocitacu davaji jako predinstalovany u variant "bez" OS, vetsinou Windows.

Delame reseni pro firmy napric velikosti, ale nikdy jsem se za poslednich deset let nesetkal s pouzitim FreeDOSu v (industrialnich) zarizenich. Fakt by me zajimala ta cela rada.

[j]

jj "ja to nepotrebuju = nikdo to nepotrebuje" ... presne ono ... ja trebas zcela osobne vim o desitkach prodejen ... kde jim kasy jedou v DOSu (v jaky konkretni verzi netusim) ... a menit to budou mozna az v situaci, kdy ta kasa chcipne a nevyplati se ji nechat opravit.

Stejne tak vim o nekolika strojich typu CNC frezka ... kde uvnitr bezi ... kupodivu DOS. A menit to nikdo nebude v zadnymm pripade, protoze se jedna o investice v radech desitek milionu ...

Opravdu nevim jestli zrovna ty kasy nebo ta frezka potrebujou ssl ... ale mohly by ...

[Hans1024]

O kasach vim, ale tam se pokud vim SSL nepouziva

Jako ja jsem clovek, ktery ma zpetnou kompatibilitu rad, pouzivam dosemu a byl jsem nastvany kdyz mi chteli v kernelu zakazat 16bitove segmenty.

Ale kdyz jde o bezpecnost, je potreba nekde udelat caru a rict "to uz je moc". Nejsem sebevrah, abych nechal DOSove aplikace posilat citliva data po internetu.

LibreSSL bude proste pro unixove systemy. Mene kodu --> snazsi udrzitelnost knihovny. Proto to forkli. Kdo ma nejake specialni potreby, muze pouzit OpenSSL.

[j]

=> nikdo to nebude pouzivat ... jak jednoduche. A vis proc to nikdo nebude pouzivat? Protoze absolutne zadnej vyvojar nebude resit, ze se mu ssl knihovna v kazdym systemu chova jinak a tudiz musi svoji appku pro kazdou napsat zvlast ...

A klidne to muze mit i stejny API ... protoze se ti nikdy nepovede udrzet 100% stejny chovani. A to jiste bude hromadu vyvojaru tesit, aby prave oni resili, ze jejich appka tam ci onde funguje "nejak divne" ... protoze ... ssl knihovna se chova ... proste trochu jinak.

Navic kdo kdy napsal aspon par radku, tak moc dobre vi, ze je snazsi napsat to cely od nuly, nez prekopavat neci praci. Jen velmi vyjimecne je kod natolik citelny a trivilani, ze ma smysl ho upravovat. Oni tim ze do toho zasadne hrabnou vnesou tolik bugu, ze se tu za par mesicu jeste bude openssl vychvalovat jak je to uzasny a fungujici kus sw...

Vem si, ze dneska potrebujes aby ti appka, pokud ma byt uspesna, fungovala na minimalne 10ti ruznych rozsirenejsich platformach. A pokud ti nekdo predhodi knihovnu, ktera se sice "derava", ale funguje vsude, vs knihovnu, ktera je sice "uzasne procistena", ale funguje ti jen na jedny z deseti ... tak co si vyberes?

[Hans1024]

To si musi autori tech aplikaci opravdu rozhodnout sami, podle svych priorit. A uprimne, u vetsiny "aplikaci" je mi to naprosto fuk, protoze ja nejsem ten, kdo za to rozhodnuti ponese pripadne nasledky.

[little.owl]

Nejsem sebevrah, abych nechal DOSove aplikace posilat citliva data po internetu.

A dokazete zduvodnit proc?

[Hans1024]

No dobra, ten vyrok byl prilis obecny, hodne zalezi na aplikaci a konkretnim DOSu. Za predpokladu, ze bych mel aplikaci s proverenym zdrojakem a treba FreeDOS, byl bych ochoten poslat citliva data jakozto klient. I kdyz nevim jak dobre by na tom byla treba nahodna cisla (ale nepochybne to resi jeden z tech neprehlednych ifdefu v OpenSSL ).

Jako server bych to bezet nenechal - zadne ochrany proti exploitnuti. (ne, DPMI vas nezachrani )

[lertimir]

Nejsem sebevrah, abych nechal DOSove aplikace posilat citliva data po internetu.

Co třeba patch biosu, HDD nebo jiná situace, kdy program potřebuje mít totální kontrolu nad HW, třeba proto, že to, co na hardware dělá, např z hlediska časování, a to, že nějaký multitaskový OS by mu v té kritické chvíli poslal interupt a provádění přerušil, je nemyslitelné. Klidně mohu mít open source program na FreeDOSu s tím, že potřebná data na aktualizaci přenese ze sítě.

[Hans1024]

Pokud dela neco tak kritickeho, pak se nabizi otazka, zda je opravdu moudre aby byl tento PC pripojeny k netu.

[lertimir]

To je naprosto nesmyslný argument. Na netu není nic démonického. To co je problematické, že v současných systémech komunikuje mnoho různých komponent, někdy příliž mnoho. Už v roce 2000 kryptolog Bruce Schneier v knize Secrects and Lies napsal, že na rozdíl od dřívějších systemů, které měly tvar: monolitický systém a několik málo aplikaci na něm, je současnost modulární systém a množství aplikaci, včetně různých pluginů a dalších modifikací.

DOS je takový monolitický systém s málem aplikací a jeho bezpečnost se dá jednoduše uřídit, je to výborný systém, pokud to, co potřebuji aby běželo, je jedna jediná aplikace. Zrealizuje pro ni sadu funkcí pro přístup k HW a službám a všechno ostatní je na ní, nikdo jí do správy HW nebude kecat. A to že pro aplikaci budou v DOSu funkce TCP/IP stacku a také funkce SSL/TLS není rozhodně nic nebezpečného.

[Hans1024]

Zalezi na tom, jestli to nechate vystavene s verejnou IP jako server.

[little.owl]

Hus. DOS v sitovani nehraje temer zadnou roli a pokud vam vadi tech par utilit, ktere muzete pouzit, strcte si cely TCP/IP stack, vcetne driveru sitovky do vasi aplikace, v tom neni problem.

[R]

BIOSy sa daju flashovat bez problemov z Linuxu, vid program flashrom. Niektore starsie typy flash pamati potrebuju dost presne casovanie, co sa neda zarucit na obycajnom kerneli (bez RT) - riesi sa to tak, ze sa zapis bloku opakuje, kym sa nepodari.

Upgrade firmware HDD je jednoducha zalezitost, netreba ziadnu "totalnu kontrolu nad HW". Do HDD sa posle prikaz a novy firmware. Vsetko ostatne si urobi HDD sam - bud o chvilu odpovie "OK" a je tam novy firmware alebo "chyba" a ostal tam povodny.

[little.owl]

Opravdu nevim jestli zrovna ty kasy nebo ta frezka potrebujou ssl ... ale mohly by ...

Ono staci mit dosovsky port wget, ktery je casto v listu utilit.

[little.owl]

Pocet stazeni FreeDOSu je argument jak noha, zvlast kdyz ho obvykle vyrobci nebo dealeri pocitacu davaji jako predinstalovany u variant "bez" OS, vetsinou Windows.

Pocet originalnich stazeni je bezne pouzivany indikator, ti vyrobci to nestahuji zvlast pro kazde PC.

jsem se za poslednich deset let nesetkal s pouzitim FreeDOSu v (industrialnich) zarizenich

My jsme jeste pred dvema lety dodavaly treba tyhle boardy s FreeDOSem (+ SUSI SW API package) a DOSovskou aplikaci. DOS je ve sve podstate vyborny RTOS, ktery slouzi jen jako (boot)loader a po spusteni do toho uz vlastni aplikaci nekeca a mate vse pod konrolou. Jen Royal Mail ma stale tisice terminalu postavenych na DOSu a stejne jako nektere obrabeci masiny pouzivane BAE.

[Bedňa]

+1

Poďalšie využili len momentálnu mediálnu bombu aby možno vytiahli z niekoho orachy, alebo len upútali pozornosť.

Čo sa týka komunity okolo BSD sú to všetko arogantní tupci a každý ich počin ma necháva chladným.

[x]

Spise bych si vsimal toho co rikaji lide jako Poul Henning Kamp, Michael W. Lucas, Justin Sherrill a dalsi. LibreSSL je velmi vitana vec v BSD kruzich a ocenuji, ze se do toho nekdo pustil o cem vedi, ze to meli delat davno.

Dan bohuzel asi netusi par vyznamnych veci. Jednak ma OpenBSD zaruceno financovani na par let dopredu (plus pokracujici dotace od beznych uzivatelu tak jako dosud), ale hlavne LibreSSL je neco co je nutne ke spravnemu chodu OpenBSD a OpenSSH jako takoveho. A i kdyz je nutne s tim delat neco okamzite, tak i presto nechteji pochopitelne narusit OpenBSD/OpenSSH (a jine projekty) jako takove. I proto probiha v prve rade cistka a uprava do stavu vhodneho pro OpenBSD a dostatecne cisteho pro budouci portable verzi. Samozrejme jim jde v prva rade o jejich projekty a podle toho jednaji. Ostatni klidne mohou par tydnu/mesicu pockat (a jak clovek vidi kvalitu jinych forku mimo LibreSSL,tak prechazet na ne je horsi nez pokracovat v pouzivani OpenSSL) a pockat si na portable verzi v ktere uz si pak mohou delat upravy jak se jim zlibi, klidne vracet podporu pro obskurni a leta nepouzivany HW/SW.

[chrono]

Jednak ma OpenBSD zaruceno financovani na par let dopredu (plus pokracujici dotace od beznych uzivatelu tak jako dosud)...

Nie je to tak dávno, čo sa aj tu objavila správa o tom, že OpenBDS nutne potrebuje dotácie, pretože nemajú peniaze ani na zaplatenie elektriny. ;)

[bugme]

Ano, a od te doby se to prave doooost vyrazne zmenilo. Keep current or shut up.

[chrono]

Úplne rovnako sa zmenilo aj financovanie OpenSSL.

[stativ]

OpenBSD – zvládají vyvíjet kvalitní SW i přes nedostatek financí. OpenSSL – finance mají (kolik, to je otázka, ale minimálně nebyli v mínusu) ale vývoj zřejmě moc nezvládají.

[chrono]

Tých $2000, čo v priemere OpenSSL dostával ročne z dotácií, stačilo pravdepodobne na zaplatenie elektrickej energie (a OpenBSD potreboval oveľa viac, napr. pre rok 2014 je to $150 000).

[pta]

Bacha, to muze byt dost zavadejici udaj. Zalezi jestli a jake meli dalsi prijmy (napr. ze supportu). Chtel jsem najit jejich aktualni rozvahu, ale kratke googleni ani stranky projektu OpenSSL vysledek neprinesly.

[pta]

To je pravda, ale nastesti se naslo dost donatoru (hlavne jeden bitcoinovy miliardar ), kterym osud tohoto projektu nebyl lhostejny.

Kdekdo bohuzel veri, ze komercni uspech ma nejakou formu prime umernosti ke kvalite nebo obecne prospesnosti. Kolikrat je to prave naopak.

[x]

Tady je treba sledovat detaily a dlouhodoby prubeh. Hrozilo, ze bude treba omezit nektere aktivity nebo treba zpomalit vyvoj. Posledni leta se toho hodne delo a projekt narustal. Stejne jako ceny za elektrinu nebo pripojeni k Internetu v Kanade a bylo to jednoduche, bud se ustoupi zpatky k situaci pred par lety nebo se do toho slapne ve velkem ve stylu dotaci ala FreeBSD a dalsi vetsi projekty. Debata nebyla jednoznacna, ale vyhral pristup, ze pokud se sezenou stabilni finance tak bude mozne udelat mnohem vice prace nez posledni leta. Povedlo se a zrychleni vseho je pozorovatelne a jeste toho je mnohem vice na ceste. I proto je letos OpenBSD poprve v GSoC od Google (ktery dal letos nejvice, ale stabilne prispiva uz 3 roky - je treba mit unikovou cestu) - doporucuju se na ty projekty podivat. Samozrejme dotace od komunity jsou pomerne stabilni a neni problem vybrat na novy velky server do 24 hodin atd., ale pokud jde o vetsi cile, tak je holt treba i vice penez.