S Debianem nepracuji. Pro ty, co s ním pracují, mám otázku: Jak je možné, že "rockstable" Stable verze Debianu, která nepracuje s nejčerstvějšími verzemi jádra ani aplikací obsahuje takto závažné a bezpečnostní chyby? Jak je asi na tom Testing? Pracuji s Archem, a navzdory jeho superaktuálnosti nemám v posledních letech čas zaznamenat jakýkoli bezpečnostní či funkční problém. Nějak podivně se jeví současný debianí testovací proces...
Skutecnost, ze Debian posbiral dulezite aktualizace za posledni dobu a vydal to na nove cedecko a pojmenoval to 7.3 nijak, opakuji nijak nesouvisi s beznym zivotem, ve kterem se softwarove chyby a bugy objevuji kazdy den nezavisle na tom, kolikata verze stabilniho Debianu zrovna beha po svete.
ARCH je rolling distribution, neco jako Debian Testing. Tam se nevydava cedecko k nejakemu datu. Tam je proste nightly-build. Stejne bych se Vas mohl zeptat, jak je mozne, ze ARCH vydava cedecko kazdou noc, to je jako ta distribuce tak derava, ze se musi kazdou noc vybuildovat nove cedecko?
Jak reagoval ARCH na nize uvedenou chybu? Tykala se vsech distribuci. A nerikejte mi, ze se to ARCHu netykalo. Kdyz jsem si precetl o teto chybe na rootu, updatoval jsem system a uz tam cekala oprava teto chyby, stacilo nainstalovat. Stejne to muselo probihat i v pripade ARCHu. http://www.root.cz/zpravicky/0-day-zranitelnost-v-bind-9/
Arch Linux má nové CD každý měsíc (ne nightly-build, je to stabilní kus softwaru) bez ohledu na systém, který je s ním instalován. Systém se instaluje z repositářů, které jsou aktualizovány průběžně, stejně jako u Debianu. Na CD tedy není jediný balíček, který by se nakonec objevil v nainstalovaném Linuxu. Bohužel nejde dohledat (nechce se mi :-)), kdy byla opravena zmíněná chyba, ale v Archu je zvykem, že jde oprava společně s upstreamem.
Dekuji za vysvetleni, jak to v Archu chodi :) Je mi jasne, ze hned jak byla chyba objevena a vzapeti opravena v repo, tak jste pustil pacmana a bylo po zranitelnosti.
Bohuzel az ted mi dochazi, ze puvodni tazatel asi ani netusi, na co se vlastne ptal. Mel jsem prokazat vetsi miru trpelivosti. Nechal jsem se zbytecne unest. Ostatni diskutujici to v mezicase dostatecne objasnili.
Prijmete mou omluvu za neurvaly prispevek, preji vsem prijemny zbytek dne.
Debian se aktualizuje průběžně, až když je toho víc, udělá se nové sestavení, aby to nebylo jako u Windows, že nainstaluješ systém a pak dva dny stahuješ a instaluješ aktualizace. To, že nezaznamenáváš bezpečnostní a výkonostní problém neznamená, že takový nějaký arch neobsahuje, ani uživatelé debianu to nezaznamenávají. Jakmile by to uživatelé začali zaznamenávat, tak by to bylo špatné!
nepředstavuje si to tak, že debian stable je jakoby doslova freeze a že nemá žádné aktualizace v rámci jednoho relase.. bezpečností aktualizace na vás nevyskočí hromadně až při upgrade, ale taky se na vás průběžně "rolujou"
Debian pouzivam, (jejda, uz je to vic nez 10 let...) ale k veci:
To ze je vetev "stable" neznamena ze po jejim vydani se jeji obsah uplne "zmrazi"...
"stable" v pojeti Debianu znamena ze se po vydani nebude menit VERZE baliku aby se nerozbily zavislosti (coz souvisi jak psal nekdo vyse s ABI/API lock v ramci daneho release), jedine co se dela (ma to na starosti security team) je, ze se backportuji opravy prislusnych bezpecnostnich problemu ktere se objevi po vydani (z upstreamu ale i mimo nej) zpatky na zdrojaky ve verzi v danem releasu.
No a kdyz je pocase techto oprav vice udela se novy build instalacnich image aby se po cerstve instalaci nemuselo toho tolik tahat (a nekdy to ani nejde).
Prelozte si ted nejaky netrivialni program, pote system 4 roky aktualizujte a pak ten program spuste. To "stable" v nazvu Debianu znamena, ze se spusti. V Archu se nejspis ani neslinkuje se sdilenymi knihovnami.
