LINUX.ORG.RU
ФорумTalks

Продолжение про Cinnamon Screensaver

 , ,


0

1

Jamie «jwz» Zawinski, известный как автор XScreenSaver и поддержки HTML в email, выложил пост, описывающий причины возникновения недавней уязвимости в Cinnamon Screensaver (см. Двое ребятишек смогли взломать Linux Mint). В частности, указывается на проблемы дизайна и использование сторонних тулкитов в других реализациях скринсейвера под Linux, что несовместимо с требованиями к безопасности. На мой взгляд, довольно интересное чтиво.

Ссылка для !Ъ: https://www.jwz.org/blog/2021/01/i-told-you-so-2021-edition/

Дополнительно, автор указывает на нарушение лицензии BSD авторами GNOME Screensaver (и, как следствие, форками Cinnamon Screensaver и прочими), которые просто скопировали код из XScreenSaver, заодно удалив информацию об авторстве и налепили сверху GPL.

★★★★★

Последнее исправление: hateyoufeel (всего исправлений: 2)

просто скопировали код из XScreenSaver, заодно удалив информацию об авторстве и налепили сверху GPL.

О, а это пять!

tiinn ★★★★★
()

Линуксовый десктоп как есть.

fornlr ★★★★★
()
Ответ на: комментарий от token_polyak

Тащемта, BSD на то и BSD, что код под ней можно безнаказанно воровать.

Нет. BSD требует сохранения информации об авторстве и текста лицензии. Иначе можно получить жирный иск в суд. Будем тащемта крайне весело, если jwz подаст в суд на гномосеков. У него все шансы выиграть есть.

hateyoufeel ★★★★★
() автор топика

В чём смысл заводить баги на скринсейвер когда в линуксе до сих пор при открытии крышки ноута он светит твоим десктопом секунд 5 перед тем, как показать локскрин?

x3al ★★★★★
()
Ответ на: комментарий от x3al

В чём смысл заводить баги на скринсейвер когда в линуксе до сих пор при открытии крышки ноута он светит твоим десктопом секунд 5 перед тем, как показать локскрин?

Это где такое? У меня в KDE такой фигни нет.

hateyoufeel ★★★★★
() автор топика
Ответ на: комментарий от chenbr0

XScreenSaver was released under the BSD license, one of the oldest and most permissive of the free software licenses. It turns out, the Gnome-screensaver authors copied large parts of XScreenSaver into their program, removed the BSD license and slapped a GPL license on my code instead – and also removed my name. Rude.

hateyoufeel ★★★★★
() автор топика

в tty такой фигни нет!

даёшь логин через tty и startx через .bashrc!

Spoofing ★★★★★
()

Дополнительно, автор указывает на нарушение лицензии BSD авторами GNOME Screensaver

Дык, а что ещё ожидать от наркоманов…

DawnCaster ★★
()
Ответ на: комментарий от kott

Можно попробовать симулировать задержки через device mapper (dm_delay). Но мне, честно говоря, слишком наплевать чтобы этим заниматься.

hateyoufeel ★★★★★
() автор топика

Дополнительно, автор указывает на нарушение лицензии BSD авторами GNOME Screensaver (и, как следствие, форками Cinnamon Screensaver и прочими)

Тут следует заметить, что cinnamon screensaver был переписан практически с нуля некоторое время назад. Гномеры тоже переписали скринлок, сделав его частью шела.

Клем, кстати, ответ jwz накатал

https://github.com/linuxmint/cinnamon-screensaver/issues/354#issuecomment-762261555

Vovka-Korovka ★★★★★
()
Ответ на: комментарий от Vovka-Korovka

True, they did, and we did right now. Because they had to.

Крайне тупая отмаза.

jwz: Не пишите вот так код. Говно дырявое выйдет!
гномеры и сочувствующие: *пишут код, получается говно дырявое*
jwz: Я же говорил!
гномеры и сочувствующие: А ШО ДЕЛОЦЬ БУЛО?!!1
hateyoufeel ★★★★★
() автор топика
Ответ на: комментарий от token_polyak

Воровать можно, а вот чтобы имя изначального разраба не марать это ни-ни.

BceM_IIpuBeT ★★☆☆☆
()
Ответ на: комментарий от kott

На ssd такое есть. Периодически прилетают обновы. Исправляют, потом опять регрессия. Даже на CentOS такое было.

Видимо это и имеет ввиду Джейми Завински. Потому как по внешнему виду его скринсейвера (а именно, оконца ввода пароля), можно убедиться что он суперзащищен. (потому что выглядит всегда не в тему «тем»)

zendrz ★★
()

Я согласен с jwz, что написать надёжный блокировщик экрана для X11 сложно, и поэтому не доверяю даже XScreenSaver и использую physlock.

Странно, что ещё никто не сделал такой блокировщик, который бы (как в fast user switching) запускал ещё один экземпляр Xorg, а в нём окошко для ввода логина/пароля. Даже если кто-то сможет развалить процесс с этим окошком или даже Xorg, то он просто останется на VT, где ничего нет; без возможности переключиться обратно (VT_LOCKSWITCH). Мне кажется, что это гораздо проще, чем пытаться написать столь ответственную программу без ошибок.

kmeaw ★★★
()

Зачем писать велосипед, говорили они. Быстрая разработка, говорили они.

crutch_master ★★★★★
()
Последнее исправление: crutch_master (всего исправлений: 1)

известный как автор XScreenSaver и поддержки HTML в email,

Молодежь неблагодарная.

urxvt ★★★★★
()
Ответ на: комментарий от EXL

А это именно достап к рабочему столу на 5 сек? Или просто из видеобуфера старая картинка выводится?

hateyoufeel ★★★★★
() автор топика

скопировали код из XScreenSaver, заодно удалив информацию об авторстве и налепили сверху GPL

Вот оно, истинное лицо гнутых адептов свободы! А кричали-то, мол эта ваша BSD – подарок корпорациям, а сами вообще своровали исходники.

cocucka ★★★★☆
()
Ответ на: комментарий от hateyoufeel

jwz: Не пишите вот так код. Говно дырявое выйдет!
jwz: *пишет дырявый код на X11 и XScreenSaver*
гномеры: *форкают и портируют на Gdk и Gtk*
сочувствующие: *форкают форк гномеров и забивают на аудит*
гномеры: *выпиливают нахер скринсейверы, встраивая костыли в GnomeShell*
сочувствующие: *стреляют древним форком скринсейвера себе в ногу*
jwz: Я же говорил!

Fixed.

Тут разобрали: Опять GNOME обделался на почве копирастии!

EXL ★★★★★
()
Ответ на: комментарий от EXL

Где именно разобрали? Потому что дыра вызвана именно «гномеры: форкают и портируют на Gdk и Gtk». В самом XScreenSaver такой проблемы нет именно из-за отсутствия gtk.

hateyoufeel ★★★★★
() автор топика
Последнее исправление: hateyoufeel (всего исправлений: 1)
Ответ на: комментарий от hateyoufeel

Это свечение содержимым экрана до момента блокировки. Разное по продолжительности. Иногда 1 сек, иногда 10 сек. Там может быть, например, конфиденциальная информация, левый человек вполне может открыть крышку ноута или вывести из сна рабочую станцию.

Что говноплазма вкупе с наркоманским sddm так отрабатывает, что гномошелл с помоечным gdm.

EXL ★★★★★
()
Последнее исправление: EXL (всего исправлений: 1)
Ответ на: комментарий от hateyoufeel

В самом XScreenSaver такой проблемы нет именно из-за отсутствия gtk.

I would like Debian to stop shipping XScreenSaver, собственно, от самого jwz.

По хорошему, этот XScreenSaver и все его деривативы вроде gnome-screensaver или cinnamon-screensaver нужно было выкинуть ещё в 2005 году. Это просто дырявый кусок X11-кала, на который все забили, а сам автор заколебался чистить дырки и уязвимости, которые там наверняка до сих пор присутствуют.

google://xscreensaver vulnerability jwz

EXL ★★★★★
()
Последнее исправление: EXL (всего исправлений: 1)
Ответ на: комментарий от EXL

Это просто дырявый кусок X11-кала, на который все забили, а сам автор заколебался чистить дырки и уязвимости, которые там наверняка до сих пор присутствуют.

Это наименее дырявый кусок X11-кала. По хорошему, X11 надо выкинуть. Только что-то заменить нечем пока.

hateyoufeel ★★★★★
() автор топика
Ответ на: комментарий от kott

У меня есть. Ноутбучный 5400, старый. На кедах не видно рабочего стола после пробуждения.

Behem0th ★★★★★
()
Ответ на: комментарий от x3al

Как ты этого добился? У меня не получается

d09
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.