سلام؛
نقل قول:
you say ' i've got a redhat box , i was unable to use two application together , so linux can't/hardly can done this ' :)
:shock: !
نقل قول:
companies like redhat and even debian 'patch' , result will be new bugs and new features . use 'clean' source to make it right
یه نگاهی به نوشتهء من بنداز :
نقل قول:
من اطمینان دارم دور نیست زمانی که ابزارهائی با توصیفاتی که من کردم توسط توسعه گران سورس آزاد منتشر بشه و طبیعیه که آدم باید تجربه جدی و عملیاتی داشته باشه تا دردسرها و دشواریهای هماهنگ سازی برنامه هائی که برای کار کردن با هم تولید نشده اند رو بفهمه . براحتی میشه گفت تولید یک نمونه مشابه AD با ابزارهای سورس آزاد امکان داره ( که البته ابزارهائی که تو نام بردی کافی نیستند . اگر به نوشته قبلی من مراجعه کنی خواهی دید که حداقل حضور Kerberos - LDAP - Samba - Frees*** - CA - PortSlave - DNS - DHCP - CryptoFS الزامیه . حالا یک توزیع رو انتخاب کن ، مثلا" ردهت 9 . بعد از نصب PortSlave و برطرف کردن مشکلات مربوط به وابستگی بسته ها ، نتونستم MySQL رو نصب کنم چون به نسخهء بالاتری از یک بسته احتیاج داشت که دریافت اون PortSlave رو از کار مینداخت
من با ارائه یک مثال خواستم بحث "عدم پیوستگی" نرم افزارهای مورد بحث رو نشون بدم . ولی تو میگی میشه این مسئله رو با کامپایل از سورس یا استفاده از نسخ آخر و ... هندل کرد . مگه من گفتم نمیشه کرد ؟ :) به جرات اطمینان دارم کسی رو پیدا نمیکنی که از توزیعات مختلف لینوکس برای "ساختن" یک سرویس ترکیبی استفاده کرده باشه - بدون کاربرد سورس - و عدم سازگاری رو تجربه نکرده باشه . حتی با وجود سورس هم اگر برنامه ای از یک Shared Object سیستم استفاده کرده باشه که برنامهء دیگه ، نسخهء دیگری از همون SO رو بطلبه ، باز هم باید از دستاویزهای tricky برای رفع مشکل استفاده کرد . نمونه اش دقیقا" Mono است که به عنوان یک پروژه فوق العاده عظیم ( کامپایلر و CLR حدود یک میلیون خط کد دارن ، من غیر از موزیلا ، FrameWork سورس آزاد دیگه رو نمیشناسم که اینقدر حجیم باشه ) با بخش قابل توجهی از SO ها مشکل داره ( برنامه نویسان ویندوز هم برای سالها با DLL Hell آشنا بودن :wink: ) . بلا شک با نصب Patch یا گاهی تولید از سورس ، یا دریافت بسته های جدیدتر میشه مشکل رو برطرف کرد ، اما وقتی قراره یه شبکهء بزرگ اداره بشه ( بحث اصلیمون فراموش نشه ) و دستگاههای متعددی تحت نظر باشن و از ابزارهای مختلف استفاده بشه ، یا گاهی اوقات بسته ها به روز بشه ( به عنوان مثال یکی از برنامه های خیلی قدیمی ام که از QT استفاده میکرد ، حالا با نسخه های جدید Runtime اش کار نمیکنه ، به همین راحتی :) باید سورس برنامه رو مطلقا" تغییر بدم چون شکل و قالب کلاس String خیلی تغییر کرده ) ، "خیلی بهتر و معقول تر" خواهد بود اگر یک سیستم یکدست و یکپارچه وجود داشته باشه که حداقل ماژولهای مختلف اون " به قصد ِ با هم کار کردن" توسعه داده شده باشن که روند استفاده از اونها در طول زمان باعث نشه غیر از وظایف سنگین مدیریتی ، مطالعهء سورس یا تغییر فایلهای کانفیگ و ... هم به لیست وظایف عریض و طویل مدیر "شبکه" اضافه بشه .
نقل قول:
if you mean its just useable by hackers , i agree
من چهار بار به عرض کردم ایدهء تو محدوده به گروه خاصی از جامعهء توسعه گران ، تا حالا بالاخره agree رو دادی :wink:
من نمیفهمم چرا تو تصور میکنی گسترش این ایده ، خدمتی است به بشریت . تو سعی میکنی از یک فرهنگ به خصوص و فوق العاده محدود کننده ( منظور از محدودیت دانش و توانائی است ) صحبت کنی که قراره به دنیا کمک کنه ، اونم اینطوری :
ما کد مینویسیم ، کدها هم بصورت مشخص برای برنامه های خیلی خاص و تک بعدی طراحی میشن ، و هر کسی قراره از ترکیب این کدها چیز پیشرفته تری بسازه ، خوب باید اینکار رو یاد بگیره ( ما کاری براش نمیکنیم ، پولی هم نمیگیریم ) و قبل از اون باید ذهن و طرز فکر کاربران و "مدیران" و سرمایه گذاران و ... همگی عوض بشه .
یعنی در یک کلام تغییرات بسیار زیادی در نیازها و روش انجام امور مختلف ایجاد بشه تا ایدهء تو بتونه به دنیا کمک کنه .
من به هیچ وجه این رو نمیپسندم :)
همونطوری که قبلا" نوشتم ، ایدهء من اینه : جامعهء سورس آزاد باید برای تحقق اصلی ترین آرمانش ، یعنی انتشار آزاد اطلاعات و دانش نرم افزاری و ارائه حق اختیار و انتخاب و مجوز مطالعهء کد و ... به مخاطبینش ، باید وارد یک مرحلهء جدید از توسعه بشه . همونطوری که مرحلهء قبلی تشکیل شدن لینوکس از بهم پیوستن هزاران بستهء هم-فرهنگ بود ، این مرحله از بهم پیوستن ابزارها و سرویسهای هم جهت ، برای ایجاد بسته های اختصاصی سازی شدهء سورس آزادی است که هر کدوم دقیقا" به یک یا چند منظور مشخص و خاص تولید شده اند که اون منظور ها دارای کاربردهای متداولی هستند .
دنیا یه فایروالهای مطمئن و سورس آزاد ، ابزارهای "جامع" مدیریت شبکه ، بسترهای مناسب توسعه نرم افزار و ... احتیاج داره و این "دنیا" ، محدود به جامعهء Kernel Hacker ها نیست . نمیشه/نباید انتظار داشت همه بتونن از همهء ابعاد فنی برخورد با ابزارهای سورس آزاد سر در بیارن تا بتونن از اون استفاده کنن . خیلی سادس ها :) یه نفر دیش رو میسازه ، یه نفر NLB رو ، یه نفر هم یه ماهواره فرستاده هوا ، یک نفر هم تو خیابونها میگرده و دیش و ریسیور جمع میکنه :P این امکان "همیشه" برای هر کسی وجود داره که بتونه راه انداختن یک سرویس ماهواره ای رو خودش یاد بگیره و خودش انجام بده ، ( دقیقا به همین دلیل سورس آزاد نخواهد مرد ) اما یه زمانی هم وقتش رسید که یه نفر این سرویس رو به بقیه ای که یا نمیخان ، یا نمیتونن ، یا ازشون گذشته ، یا موقعیتش رو ندارن یا ... راه اندازی کنه . دیش و رابط و ریسیور رو بخره ، بیاره نصب کنه و آموزش بده ، کانالها رو تنظیم کنه و ... ؛ صاحب خونه هر وقت خواست میتونه با کسب اطلاعات کمی ، تغییرات کمی تو این سیستم بده ( با بیشتر یاد بگیره و بیشتر تغییر بده ) یا از کسی بخاد که کمکش کنه . اما بهر حال اون خوشحاله که میتونه المپیک آتن رو بدون سانسور و پیام بازرگانی و جواد خیابانی (!) تماشا کنه :)
( جواد خیابانی استعاره ای بود از همون صفحهء آبی معروف ویندوز :P )
وقتی صدا و سیما قراره غیر از نیازهای مردم ، چیزهای دیگه ای رو هم به خورد اونها بده ، طبیعیه که نیاز استفاده از یه سرویس دیگه احساس میشه . تو بازار نرم افزار ، هزاران دلیل میتونه برای مهاجرت به سورس آزاد وجود داشته باشه ، که بسیاریش در خلال همین مباحث مطرح شدن :)
ایدهء تو چه خدمتی به این بازار میکنه ؟
ببین چی نوشتی :
نقل قول:
if you mean its just useable by hackers , i agree
و ایضا" نوشتی :
نقل قول:
for who , is unable to look at code , because this person don't know what is code ! this kind of people use non-open-source softwares , because open source software have no benefit for them
طبیعیه که دیدگاه تو یک دیدگاه حرفه ای است ، که به ماهیت و ذات چرخهء حیاتی سورس آزاد بر میگرده ، اما این ایده ، کاملا" بی توجه به نیازهای واقعی است :)
بخش قابل توجه دنیائی که تو گفتی قراره نجاتش بدی ( 8) ) تشکیل شده از مردمی که بلد نیستن سورس بخونن و بلد نخواهند بود :) اونها کار و شغل دیگری دارن ، دغدغه های دیگری دارن ، زن و بچه و زندگی دارن عزیز ِ برادر :wink:
اگر طبق این دو نوشتهء تو که های لایت شدن ، تو بر آنی که کامپلکسیتی کاربرد سورس آزاد رو کاهش ندی و از عمومیت کاربران نرم افزار ( که روز به روز به تعدادشون افزوده میشه و یه روزی تمام مردم دنیا همونطوری که آدم هستند ، کاربر نرم افزار هم هستند :wink: ) بخای ضمن مطالعات وسیع ، یک دیدگاه "حرفه ای" نسبت به نرم افزار داشته باشن ، راه به جای چندان جالبی نخواهی برد :)
من مخالف محض مونوپولی ، محدودیت و اعمال سلیقهء محدود کننده هستم ؛ اما فکر میکنم توسعهء چیزی مثل Redhat Enterprise Edition ، ضمن توسعه ء کاربرد سورس آزاد ( نفی مونوپولی ) و حذف اعمال سلیقه های محدود کننده ( ویندوز ) ، میتونه به عنوان "هر چیزی که احتیاج داری ، یه جا" خیلی راحت مورد استفاده قشر بزرگتری قرار بگیره .
آینده ای که ایدهء من تصویر میکنه ، یک دنیای تشکیل شده از میلیونها شبکهء متصل و غیر متصل به منظورهای مختلف ( از شبکهء جنرال موتورز برای به روز رسانی کرنل لینوکس RealTime ای که روی یخچالها ، ماشینها ، تلویزیون ها و ... از نصب کرده گرفته تا شبکهء قدرتمند :P پلیس 110 برای ردیابی تجمعات بیش از دو نفر ِ جوانان ساعت 10 شب به بعد که روی بی سیمهای موتورولاشون که از FreeBSD استفاده میکنه تا ... ) که قراره "به مردم کمک کنن تا بهتر زندگی کنن " ، سریعتر ، امن تر ، و بدون صفحات آبی و مموری دامپ تر ! :wink:
این محقق نمیشه مگر با افزایش جامعیت و اختصاصی سازی ابزارهای سورس آزاد و افزایش QA و ایجاد فیلدهای تخصصی برای فعالیت ؛ یعنی توسعه گران فایروال ، توسعه گران هسته ، توسعه گران هسته های هم زمان ، توسعه گران رابط کاربر ، توسعه گران بستر گسترش نرم افزار و ... ایضا" توسعه بسته های خاص منظور .
نقل قول:
you are wrong , 90% of bugs found by developers of that software , take a look at linux/bsd kernel changlog , bind or openssh change log
من دقیقا" کجا اشتباه میکنم ؟ طبیعیه که وقتی یه عده ای دارن برنامه ای رو توسعه میدن باگها و نقاط ضعفش رو میشناسن و تو نسخ بعدی برطرفشون میکنن ( تو جهبهء مایکروسافت هم وضع خیلی متفاوت نیست ، دو سه کد مخربی که اخیرا" منتشر شده از نقاط ضعفی استفاده میکردن که بعد از انتشار Patch توسط مایکروسافت ، و مهندسی معکوس اون ، تو جامعهء نفوذگران منتشر شده بود ) اما غالب نقاط ضعف امنیتی توسط گروهها و افراد مستقل کشف میشن . با نگاهی به لیستهائی مثل Bug Traq یا full Disclosure به خوبی این مسئله قابل مشاهده است و جالبتر اینه که در بسیاری از موارد نقاط ضعف جدید جائی کشف میشن که قبلا" اونجا نقاط ضعف دیگری هم وجود داشته ( ر-ک بایند و مای اسکوئل ) نتیجتا" همونطوری که عرض کردم به مطالعهء مداوم و مستمر کد با دیدگاه امنیتی توسط توسعه گران سورس آزاد معتقد نیستم . باگ کشف میشه چون خودش رو نشون داده و تا وقتی خودش رو نشون نداده مخفیه . چه محصول محصول مایکروسافت باشه چه سورس آزاد . از این لحاظ هر دو مجموعه دارای نقاط ضعف جدی هستند .
نقل قول:
i will able to show a list , which have just one security exploit for open source software but many more for windows and open non open source softwares ...
جالبه :) این بحث رو حتما" تو بخش امنیت ادامه میدیم . اما برای حالا : ادعات حتی به لحاظ آماری هم غیر معتبره . با نگاهی به لیست CVE مطمئنا" نمیتونی انکار کنی که انتشار باگها و نقاط ضعف امنیتی محصولات سورس آزاد ترافیک و حجم بالاتری داره ! شاید توسعه کد مخرب دقیقا همینقدر ترافیک نداشته باشه اما هر چه هست از معادلش برای محصولات مایکروسافت بیشتره . فکر کنم لازمه این بحث رو اون طرف ادامه بدیم :wink:
نقل قول:
really ! to believe open source softwares have more bugs that non open source softwares in this kind of situlations ?
یقینا" وضع مایکروسافت بدتر خواهد بود . شکی در این نیست . اما قرار نیست چون وضع مایکروسافت "هم" خرابه ، بگیم خوب ، این طبیعیه :) شماها میتونید سورس رو بخونید و تغییرش بدید و ...
اگر واقعا اینطوره چگونه هفته ای نیست که توش نقاط ضعف و کدهای مخرب اون بصورت zero day منتشر نشن ؟ چرا این همه توسعه گر حرفه ای سورس آزاد نمیتونن بسیاری از نقاط ضعف رو قبل از انتشار کد مخرب کشف و براش Patch ارائه کنن یا تو نگارشهای جدیدتر برطرفشون کنن ؟ توجیه وجود کد بد با این استدلال :
نقل قول:
you may so ' so what ! the important point is that no body know there is a hole there , and anyone who is programmer cat find bugs in open source sofwares ' , and i will have to say ' this is true dear inpy , and the end point , open source softwares will be more secure plus that many of those bugs found by developers ...
به هیچ وجه حرکت حرفه ای نیست :)
تو ادعا میکنی سورس آزاد بودن میتونه باعث امنیت بخشی بیشتری بشه ؛ پس چرا همین حالا اینطور نیست ؟ چطور هر تو یه فصل ما میتونیم شاهد یه دوجین نقطه ضعف روی Apache و بایند و Kerberos و PHP و ... باشیم اما طی یکسال و نیم اخیر علیرغم وجود نفوذگران و هکرهای قهار و Reverese Engineer های زبر دست هنوز حتی یک نقطه ضعف روی IIS6 وجود نداره ؟ چون سورسش موجود نیست ؟ ممکنه :) و ممکنه اصولا" کد خوب یا بهتر از قبل نوشته شده باشه ، اما این چیزی رو برای جبههء سورس ازاد تغییر نمیده . "اونجا" واقعا" QA وجود نداره . یه باگ وقتی برطرف میشه که یه نفر پیداش کنه . ضمنا" یه چیزی بین خودمون باشه ، به عقیدهء من خوندن سورس و تسلط به یک نرم افزار و اعمال دانش امنیتی بر اون و کشف نقیصه ها ، خیلی ساده تر از کاربرد دانش مهندسی معکوس و استفاده از ابزارها و ... برای کشف نقیصه در ابزارهای سورس بسته نیست :wink: اگر خیلی پایه باشی بدم نمیاد در همین یکی دو مورد امنیتی که بحثی درش وجود داره تو بخش امنیت یه تاپیک ایجاد کنی و ایده ات رو بنویسی تا بصورت "عملی" یه کمی با هم روی دو سه تا کد کار کنیم تا یه چیزائی برای هر دومون مشخص تر بشه :)
نامربوط : طی هفته گذشته شرکت NGSSoftware که دو هفته قبل نقاط ضعفی تو مای اسکوئل سورس آزاد پیدا کرده بود ، "چهل" ( تکرار میکنم : "چهل" ) نقطه ضعف امنیتی روی اوراکل پیدا و منتشر کرده :) این نقاط ضعف به ادعای David Admed یکی از مدیران این شرکت ( لیست پستی Bug Traq ) طی ماه گذشته کشف شدن ، به اوراکل اعلام شدن و بعد از آماده شدن افزونه ها ، منتشر شدن .
تجربهء حضور تو دو تا Workshop شرکت NGS تو دانشگاه وست مینستر ( شرحشون رو توش بخش امنیت نوشتم همون موقع ) در کنار تجربیات عملی ، به من اثبات کرده ، برای کسانی که بصورت حرفه ای در این حیطه فعال هستند ، کشف نقائص امنیتی محصولات سورس بسته ، چندان دشوار تر از محصولات سورس آزاد نیست :)
نقل قول:
i have learned many thing with looking at kernel and apache sources , so benefit number 1
در این شکی نیست ؛ مطلب من هم ناقض این نبود . منظور من از فایدهء امنیتی ، home-made fixation بود .
نقل قول:
i don't know all of oss products fully secure , they are just more that other tested , and you know what you can expect them by reviewing the code ...
همینطوره . من ایمن نبودن رو یه چیز معمولی و طبیعی نمیدونم ، و لزومی نداره مثل بقیه چیزهای معمولی بپذیرمش . ایمن نبودن کدهای مایکروسافت و سورس آزاد به دلیل عدم وجود تعهد نسبت به کیفیت است ، بسیاری از توسعه گران سورس آزاد هم افرادی کم تجربه هستند . به عنوان مثال اون لوپ ِ بی انتهای Open SSL فکر میکنی شاهکار کی میتونه باشه ؟ و کدوم برنامه نویس با تجربه ای است که در حال توسعهء یک ابزار امنیتی باشه ، و موقع بازبینی کد ِ خودش (!) نفهمه که اگر Select نتونه هندل سوکت کذائی رو برگردونه ، لوپ تمام نخواهد شد ...؟ و بازبینهای این کد چه کسانی بودن ؟ آیا بازبینی اصولا" وجود داشته ؟ آیا میشه از چنین محصولی که توسعه گرانش هیچ تعهدی نسبت به QA ندارن استفاده صنعتی-تجاری یا خدای نکرده نظامی کرد ؟ ای دن ثینک سو .
یکی از دلائل اصرار من بر اختصاصی سازی و وجود فیلدهای تخصصی فعالیت ، حرفه ای نبودن بسیاری از مجموعه های توسعه گر ، برای کاری است که دارن انجام میدن :)
نقل قول:
wrong!!! microsoft way of solve !
135 and 139 are cifs protocols ( hey! really ?! ) people want to use them !
example :
my friends who run windows xp , share one of his *folders* for me , i like to access his folder , but nope , i cant be done ! because isp gateway drop 135/tcp connections !
من راه حل ارائه نکردم و گفتم که توجیهی برای نقطه ضعف نیست . عرض کردم "گسترش" کدهای مخرب با این مقیاس "فقط" به دلیل نقائص ویندوز نیست .
موفق باشی :)
