Lue keskustelun säännöt.
Tervetuloa lukemaan keskusteluja! Kommentointi on avoinna klo 7 - 23.
Tervetuloa lukemaan keskusteluja! Kommentointi on avoinna klo 7 - 23.
Alue: Aihe vapaa
Npm-pakettiekosysteemiin luottaminen softakehityksessä on eksistentiaalinen uhka ihmiskunnalle
24.10.2024 |
Jos haluaa nukkua yönsä huonommin, kannattaa miettiä mitä kaikkia kriittisiä järjestelmiä on rakennettu purkkaviritysten ja loputtomien dependenssiketjujen päälle.
Kommentit (5)
Luottaminen? Just tuossa kohtaa teillä menee pieleen.
Muuten kaikki nykysoftahan on rakenteeltaan kuvan kaltaista:
Sisältö jatkuu mainoksen alla
Sisältö jatkuu mainoksen alla
Monet tietoturva-asiantuntijoiksi itsensä julistaneethan paasaavat isoon äänen, kuinka tietoturvapäivitykset täytyy saada heti, ja Debian stablen kaltaiset jäädytykseen perustuvat ratkaisut ovat suorastaan käsittämätön tietoturvariski. Mutta kun lähtee sutta karkuun, voipi tulla karhu vastaan.
Vierailija kirjoitti:
Monet tietoturva-asiantuntijoiksi itsensä julistaneethan paasaavat isoon äänen, kuinka tietoturvapäivitykset täytyy saada heti, ja Debian stablen kaltaiset jäädytykseen perustuvat ratkaisut ovat suorastaan käsittämätön tietoturvariski. Mutta kun lähtee sutta karkuun, voipi tulla karhu vastaan.
Jaa, luulin että tuo jäädytys koskee vaan softan pääversiota eikä esim. turvapäivityksiä. Mutta en ole debiania käyttänyt (suoraan) aikoihin, vain noita siitä aikanaan jalostettuja versioita kuten ubuntu etc.
Vierailija kirjoitti:
Vierailija kirjoitti:
Monet tietoturva-asiantuntijoiksi itsensä julistaneethan paasaavat isoon äänen, kuinka tietoturvapäivitykset täytyy saada heti, ja Debian stablen kaltaiset jäädytykseen perustuvat ratkaisut ovat suorastaan käsittämätön tietoturvariski. Mutta kun lähtee sutta karkuun, voipi tulla karhu vastaan.
Jaa, luulin että tuo jäädytys koskee vaan softan pääversiota eikä esim. turvapäivityksiä. Mutta en ole debiania käyttänyt (suoraan) aikoihin, vain noita siitä aikanaan jalostettuja versioita kuten ubuntu etc.
Turvapäivitykset backportataan, mutta siihen menee välillä oma aikansa. Aina ei saada kaikkea mulle heti nyt.
Alue: Aihe vapaa
Heh, just äsken pistin sisään pull requestin fixistä, joka korjaa npm audit issueita :D