(no subject)

[kastaneda]

Google Chrome без спроса добавил себя в /etc/apt/sources.list.d/
Debian unstable, ставил Chrome в виде deb-пакета.

Сукапиздецад, придумавшего это остроумного человека срочно необходимо убить.

Upd.: и в /etc/apt/trusted.gpg, конечно, тоже. Нет, это просто нереальный пиздец какой-то, мне просто на голову не налазит, что возможна такая запредельная наглость.

Upd. #2: ко мне по ссылкам набежало десять тысяч леммингов, которые принялись на разные лады жевать мантру «нефиг ставить бинарный софт откуда попало». Ребята, да чтоб вы были здоровы! Весь смысл моего поста в том, что Google внезапно стал «кем попало», наравне с анонимной малварью из gnome-apps. Вот, к примеру, у Skype изначально не было надёжной репутации — дык, параноики относились к этой штуке соответственно, держали в 32-битном chroot'е и те де.

Аналогично на тему «читай EULA, тебя предупреждали». Во-первых, не EULA, а TOS (разница есть). Во-вторых, про мои GPG-ключи в TOS не было ни слова. В-третьих, у меня есть и расово верный лицензионно чистый Chromium, и вражеская пропиетарная Opera разных версий (начиная с 3.60), и Dillo с ELinks'ом, и DOSовская Арахна, и ещё чёрт знает что — у меня к этому зоопарку есть некий спортивный интерес. Может, меня и предупреждали, но я всё равно копаюсь и пишу в свой жеже, шо неясно?

Comments

[egorfine.livejournal.com]

а вот и нет. Хром принудительно обновляется на всех ОС, и это правильно. Другое дело, что я бы на линуксе не ставился бы в apt sources, а обновлялся бы также, как и на других ОС - бинарно.

[kastaneda]

Принудительное обновление — это принципиально плохая идея.
То есть с точки зрения безопасности это лучше, чем миллионы зомби-машин с дырявой виндой, но это всё равно неправильно.

[p-a-d-l-a-.livejournal.com]

гы;)

[fester-ua.livejournal.com]

Гугль вообще этим страдает.

[egorfine.livejournal.com]

придумай что-то лучше. Наверняка тебя услышат.

[kastaneda]

А что, у десктопных линуксов есть проблемы с обновлением софта?

Вот тебе очень похожий пример. Опера предлагает deb-репозитарий и ключ для apt-key. Я могу сам, добровольно, вписать deb.opera.com в свой sources.list, могу натравить apt-key add на их pubkey и пользоваться их пропиетарным добром столько, сколько моей душе угодно.

Chrome от Оперы тут имеет только одно отличие: они это сделали за меня и без предупреждений. Но для меня это пиздец какое важное отличие.

[kastaneda]

Я знал, что это гигантский монстр, что им суждено стать новым Microsoft'ом и что грядущие поколения будут их проклинать. Но я как-то не ожидал, что пиздец наступит так быстро и неожиданно.

[fox-mulder-cp.livejournal.com]

хм. страно. я в бубунте гугль репозиторий сам прописывал, ручками. но отстутсвие подписи да.. не возбудило аж ниразу

[egorfine.livejournal.com]

Нет-нет, я имею в виду - есть у тебя лучшее решение для принудительного обновления софта под линуксом? Все добровольные варианты отметаем, т.к. не удовлетворяют условиям задачи.

[kastaneda]

Погоди, ТЫ О ЧЁМ ВООБЩЕ? Какое принудительное не-добровольное обновление?

[egorfine.livejournal.com]

Задача: обеспечить принудительное обновление Google Chrome под выбранными линуксами.

Одно из решений: вдуть свой репо в /etc/apt/sources*.

Какие еще будут предложения?

[kastaneda]

Ещё предложения? Вагон. Модифицировать ядро, вкопав в него руткит, не давать удалить себя с винта, не показываться в process list'е (а то глупый пользователь скажет sudo kill -9 и убьёт важную часть такой хорошей программы). Каждые N секунд проверять наличие обновлений. Выполнять любой криптографически подписанный (хозяином) код, который приползёт на специально открытый порт.

Если на моём компе за меня принимает решения какая-то malware — это и есть тот самый мерзкий бот-нет, вроде миллионов копий дырявой винды.

[egorfine.livejournal.com]

Ты не видишь полноты картины.
Со стороны админа и мнимого прайваси ты как бы прав. Но есть еще очень серьезные аргументы, почему принудительные обновления рулят, и поверь, не дураки принимают эти решения.

[kastaneda]

Я вижу одно: кто-то за меня принимает решения, что следует сделать со списком trusted gpg-ключей на моём компе.

[egorfine.livejournal.com]

Вот именно, ты видишь одно, а я тебе говорю, что есть еще что-то другое.

[kastaneda]

Достаточно логично, что я в своём журнале пишу о своих проблемах.

[egorfine.livejournal.com]

Не совсем. Ты же осуждаешь публично принятое решение, рассмотрев его только с одной стороны. А я тебе намекаю, что есть и другая сторона, рассмотрев которую, решение уже отнюдь не кажется таким страшным.

[kastaneda]

Нет, Егор. Сколько чёрное не называй белым, оно не побелеет.

Ребята из Google могли поступить как угодно: могли сделать автообновление только для Windows, могли сделать галочку [x] Yes, add this to my source list и могли хотя бы предупредить. У них было много-много времени, пока они делали линуксовую версию.

Они сделали свой выбор — при установке deb-пакета молча и без лишних сообщений что-то сделать с моими sources.list.d и trusted.gpg, и мне это не нравится.

___

Что ты пытаешься мне доказать? Что где-то домохозяйка с WinXP может нахвататься вирусов через MSIE, и поэтому ко мне, под другой системой и в совершенно других условиях, надо применить точно такие же средства «лечения», как к той домохозяйке? Автообновление софта — это как тараканов напалмом травить. Может, у меня интранет, может GPRS с покилобайтной оплатой трафика, может мне требуется использовать промежуточное зеркало apt'а или я просто хочу держать в десяти виртуалках десять разных снапшотов Хрома.

Что угодно может быть, а под линуксом — так тем более (у меня вот /etc в git'е, потому и заметил, а могло бы быть что-нибудь совсем дикое), и поэтому для меня «не дураки принимали решение» совершенно не аргумент. Может, они и умные, но они явные и недвусмысленные враги.

[kastaneda]

Со стороны админа и мнимого прайваси

Моя прайваси — весьма реальная. Я вообще терпеть не могу комплексных чисел :)

[egorfine.livejournal.com]

Слу, расслабся, легче жить станет, ей-Богу. Ты один такой умный, а в Гугле люди в X раз умнее и их много.

[nec-p1us-u1tra.livejournal.com]

Егор, зачем тебе деньги? Ты знаешь проблему с одной стороны, а с другой стороны есть 5 ребят, которые умнее тебя и им кажется что твои деньги лучше бы принадлежали им.

Аналогия должна быть понятна.

[nec-p1us-u1tra.livejournal.com]

компрометация системы, да.

В этом смысле левый репозитарий лучше.

[dimich-dmb.livejournal.com]

Это еще что, тут вот недавно вредоносное ПО в deb'ах распространялось (http://www.opennet.ru/opennews/art.shtml?num=24610).
Я вообще за отключение pre-install и post-install скриптов по умолчанию.

[erraen.livejournal.com]

И ты еще похоже не все нашел...
/etc/cron.daily/google-chrome видел?

[kastaneda]

Его хотя бы post-install удаляет, а ключ в /etc/apt/trusted.gpg остаётся.