Topic: Клиент просит апгрейда (Read 4448 times)

И к чему тогда ты привел этот случай? Напомню, это было в контексте "Это уже вторая псевдоуязвимость, вынуждающая перейти на шестую версию."
Я ничего не понял. "Если клиент отвергает что-то...то эти данные следует отвергнуть".  И да, что, много "других клиентов" было "во времена Сатоши"?
Ну и правильно сделал. На SourceForge идут люди неподготовленные, которым нужно просто скачать и запустить клиент. Зачем там глюкавая и устаревшая версия? Чтоб потом какой-нибудь умник сказал "я скачал биткоин с официального сайта и у меня все украли"? Для экспериментов есть, повторяю, гитхаб.
Это твое частное мнение как неразработчика биткоин. Кстати, было бы неплохо, если бы ты указал что-то, что может доказать твой авторитет в областях, которые ты критикуешь. Ну знаешь, кроме "я модератор" и "я видел божественную длань Сатоши". Я вот знаю, что ты участвовал в переводе официального клиента. А есть ли твои наработки более глубокого характера (строки кода), чтобы я, как рядовой пользователь, прислушался к твоим словам о том, что "это вовсе не уязвимость". У нас ведь есть мнение Gavin, разработчика, вложившего туеву хучу времени в развитие проекта и мнение...кого?
Меня твои теории заговоров уже давно не интересуют. Без доказательств ты можешь тайно готовить хоть всемирный коммунистический переворот - мне по барабану. Для меня ты тот, кому не дают порулить велосипедом. Как говорится, или пруф, или не было.
Я говорю, что это невозможно. Ты или как-то опровергни мне этот тезис спокойно без лозунгов, чтоб описание механизма было, или...STFU

может тогда отправить их в паблик, зачем у себя хранить, а вдруг носитель загнется

Ну, не надо искать привидений, где их и нет. Просто Сатоши в версии 0.2.9
ввел контрольные суммы для заголовков сообщений. С 20 февраля клиенты
должны общаться именно с контрольными суммами. МультиБит был к этому
готов, но не был готов к самому алерту, так как он не был тогда достаточно
документирован, и МультиБит просто застревал при десериализации алерта.
Починили на следующий же день. Никакого злого умысла в алерте и не было.

Во времена Сатоши было отчетливое правило: если клиент отвергает что-то
из того, что присылают другие клиенты, то эти данные следует отвергнуть.
Противоречие в том, что Гэвин почистил SourceForge. Сатоши этого не делал
даже после ужасной катастрофы с блоком 74638, когда какой-то умник себе
нарисовал 184 миллиарда биткоинов. У меня-то есть все версии клиента, так
как уже тогда ожидал, что Гэвин для устранения препятствий к тотальному
переходу на Bitcoin 0.6 может пойти и на ликвидацию несовместимых версий.

Ну, там было вполне понятно, что это вовсе не уязвимость. Обсуждали же.
На мой взгляд, просто продвинули BIP30, в котором я позже разочаровался.

Послушай. С зимы я собрал достаточно информации и доказательств, чтобы
развесить траурные венки по всему форуму. Но я же этого не делаю только
потому, что я в этом идеологически не заинтересован, это убило бы проект.

Руля не должно быть принципиально. Нам больше вообще не нужен лидер.

Так, давайте по порядку.
Я так и не понял, что там изменили и зачем. Ты, видимо, понял, а раз так, поясни, пожалуйста, что за злой умысел имел место и почему подобного исправления не следовало бы вводить. Если подразумевается "атака на сторонние клиенты" - ну даже не смешно же, е-мае.
И на кой они там нужны? Есть гитхаб, там есть исходники ко всем версиям - компелируй-нехочу.
В какой конкретно части?
Есть ошибка/уязвимость, выходит исправление, нужно его устанавливать. И где здесь противоречие я не пойму? Если есть сомнения в наличии уязвимости - нужно говорить открыто, громко и конкретно, потому что это саботаж и прочие нехорошие слова. Вот только я сомневаюсь, что это действительно так, ибо ты бы уже давно развесил победные транспаранты по всему форуму.
Абсолютной децентрализации не существует, не надо спекулировать подобными понятиями. Зато все твои претензии объясняются элементарно: обидой по поводу того, что тебя, такого охрененно умного, какая-то ничтожная личность Гэвин не слушает и не пускает порулить велосипедом.
Угу, самая ирония тут в том, что "при Сатоши" случилось ровно наоборот - он передал тем, кого бы якобы выгнал, фактически полное управление проектом 

Почему не нужно-то? Вообще-то это именно то, о чем постоянно разговоры идут от некоторых граждан   "Там бэкдор" и прочее. Сертификация позволит подтвердить, что не описанных в документации бэкдоров нет.  

Список достаточно большой:

http://www.wikisec.ru/index.php?title=%C8%F1%EF%FB%F2%E0%F2%E5%EB%FC%ED%FB%E5_%EB%E0%E1%EE%F0%E0%F2%EE%F0%E8%E8

Лаборатории имеют аттестаты ФСТЭК, ФСБ, МО, но сами по себе они к ним не относятся-то. Так что какая-никакая, а конкуренция есть.

Документировать юзерский инферфейс и алгоритмы нужно, в том числе и для сертификации на отсутствие НДВ. Но я думаю, что оформление статей на выходе далеко от ГОСТов.  

А документирование подобного проекта в целом - это довольно непростая задача, хотя совместными усилиями команда добровольцев может и смогла бы это сделать где-то за полгода-год не напряженной работы вполне. После чего надо будет для солидности зарегить юрлицо и от его имени сделать заявку, предоставить документацию, оплатить и ждать... Потом править, отправлять и опять ждать, пока не получишь заветную бумажку.  

Кстати, в тему "врагов госмашины" и прочего, сертифицировать можно, кстати, даже не заявляя о том что это такое непосредственно. Можно задекларировать как "средство для создания распределенной базы данных с криптографическим контролем целостности блаблабла" и это вполне прокатит, т.к. будет правдой.

Сообщество не соберет, потому как именно то что делают аккредитованные лаборатории ФСТЭК этому сообществу не нужно.

Но у меня возник вопрос, а есть другие компании на этом поприще?

p.s. На текущий момент единственная нормально работающая схема документирования bitcoin (в русскоязычном секторе) - написание статей за плату, через рекламу (btcsec), схема работает, но направлена к сожалению не в то русло.

Почитай ссылки выше. Сертификацию не только ФСТЭК делает, есть достаточно аккредитованных им лабораторий, и требования везде одинаковые. А как же еще установить соответствие или не соответствие кода документации?

ФСТЭК и ко без разницы что сертифицировать, в этом плане это совершенно нейтральная организация, можно хоть вирус сертифицировать. Т.е. это не их дело, для чего предназначена программа. Другой вопрос, что вряд ли кто выложит достаточную сумму денег и напишет документацию к коду, чтобы все это проделать. А так было бы круто, конечно, но вряд ли кто возьмется потрошить клиента настолько глубоко.

Ну тут причина гемороя видна невооруженным взглядом - требование такое, чтобы сертификацию проводила именно эта контора.
Т.е. документирование, требования к коду и коментариям, высокая цена (почти наверняка) - это не проблема ревизии, это проблема конкретно взятой ФСТЭК!

p.s. вам не кажется, что проводить сертификацию программного обеспечения, создаваемого в противовес государственной машины (отдельным ее финансовым частям) фактически у этой же гос-конторы несколько, наивно?

Работаю в компании, которая пишет проекты по заказу всяких ведомств. И как результат, требуется сертификация с соопутствующим ей геморроем в виде описывания каждой переменной. 

Вообще, если бы потребовалось какой-либо госорганизации использовать биткоин, то не думаю что кто-то вообще занимался бы описыванием и сертификацией клиента Сатоши. Гораздо дешевле написать клиент с нужным функционалом самим, как часто делается. К примеру, в дистрибутивах типа Astra Linux SE всякие текстовые редакторы, оконный менеджер, софт для организации доменной сети и прочее самостоятельной разработки, а не готовые решения. Не потому что "а мы возьмем и сделаем свое", а потому что написать самим, попутно документируя, гораздо дешевле чем разбираться и документировать чужое.

В данном случае будет требование переписать код так, чтобы он не патчил себя, либо сертифицировать патченые бинарники отдельно и распространять в уже патченом виде, чтобы желающий мог проверить их контрольную сумму перед тем как запускать. Но вообще, сертификация майнеров это уже бред по-моему )

Я прошу прощения... они там действительно работают, а не рисуют красивую и дорогую бумажку? Чудеса, не верю.. Лично что ли работали?

Инструменты, документация... форма предоставления документации тут может оказаться гораздо дороже, чем анализ. Есть формальная сторона а есть реалии... у нас тут код, который пилится уже не первый год, оброс коммунити, страшилками и легендами.. а документации как таковой и нет, но при этом спроси любого (ладно, не любого, а тех кто в курсе основ), общую идею за час сформулирует на бумажке.

Реалии таковы что нужно подтверждение этим утверждениям на бумажке. А то понять нужно, является ли этот код тем о чем думаю тысячи его пользователей или нет, а контора будет требовать какие то ТЗ, комментарии к коду и т.п. И тем более, 'этот код нам не нравится, в нем оптимизации'... вы на майнеры посмотрите - кажется у phoenix кернель opencl для ati идет (раньше шел, сейчас не знаю) с бинарным патчем (на живую патчит скомпилированный 'бинарник')... меня как заказчика отмазка - 'там бинарники патчат, поэтому не занимаемся' не устроила бы.

p.s. ясно что код смешной, я про комментарии, они способны запутать проверяющего еще сильнее чем сам код!

Цены не могут быть ниже, потому что очередь на сертификацию очень велика, а людей этим занимается сравнительно немного. Да и посмотрите список, там много учереждений и не все из них государственные. Просто контора должна иметь аттестат, подтверждающий право заниматься подобной деятельностью.

Так и есть, первая сертификация самая тяжелая, может тянуться до полугода. С возвратами кода на доработку по несколько раз и прочим. А потом на сертификацию идут только изменения уже.

Если используются openSource-библиотеки, то описывать их не нужно обычно. Достаточно обосновать их использование и дать ссылки на публичные репозитории и ресурс вендора. Если это не модули компилятора какие-нибудь или не код режима ядра.

Это сертификация на недекларированные возможности, а не на отсутствие багов или понижающих что-то там заплаток. Т.е. сертификат заверяет, что код делает именно то, что написано в документации к нему. А документирование кода это уже совсем отдельная статья расходов.

С таким кодом 100% пошлют, и правильно сделают. Посылали и за гораздо меньшее. Никаких "оптимизированных алгоритмов" в base64, иначе посмотрят как на придурков и вернут заявку. Было дело, возвращали заявку после того как один из программеров решил приколоться, и написал в неисполняемой ветке кода фразу "Ос - это такой большой полосатый мух".  

Кстати, фишка - код c/c++ сертифицируется проще и дешевле обычно, т.к. под него за десятки лет разработана масса инструментов для облегчения процесса. А от PHP или PL/pgSQL сертификаторы порой готовы повеситься со словами "как нас достал ваш PHP"  

У меня некоторые предубеждения к ценообразованию у гос-учреждений. Просто 99.9999%-тная практика пиления госбюджета накладывает свой отпечаток.

Я еще соглашусь на высокую трудоемкость первоначальной ревизии, в которой могут действительно участвовать используемые библиотеки, но последующая ревизия патчей не должна быть на столько трудоемкой. Так же не стоит забывать, что требуется ревизия кода bitcoin, а не всего наследия OpenSource, лично меня вполне устроила бы ревизия, в которой внешние библиотеки считались бы априори не опасными (хотя параллельно неплохо было бы проводить ревизию и их). И не забываем... искать нужно не баги, а заплатки понижающие децентрализацию.
Тем более код можно завернуть как 'Намеренно или случайно запутанный для ревизии'.

В общем что то мне говорит что цены могут быть значительно ниже, как минимум на порядок.

p.s. Про комментарии:

Забыл еще уточнить. Сертифицируется конкретная сборка программного продукта, а не проект вообще в целом. Т.е. если пересобрать проект не то что с другими библиотеками, а просто с опциями компилятора, отличающимися от тех что были в сборке, поданной на сертификацию, то сертификат аннулируется, т.к. у бинарей будут другие контрольные суммы. Вот такие дела.  

Balthazar, спасибо за информацию. Будем иметь в виду.

Сертификация ФСТЭК на предмет отсутствия недекларированных возможностей (НДВ) стоит от 150-300 т.р. При этом, необходимо перед подачей на сертификацию описать в комментариях коду и в документации каждый класс, каждую переменную, и каждый параметр функции. Что делает, как инициализируется, для чего предназначен. И да, при разработке приложения должны использоваться сертифицированные средства разработки (это касается сторонних библиотек, компилятора, скриптов сборки), иначе их тоже придется сертифицировать. Но с сертификацией библиотек проблем меньше, не придется их полностью описывать.

Тут подробнее на эту тему:

http://wikisec.ru/index.php?title=%CF%EE%F0%FF%E4%EE%EA_%EF%F0%EE%E2%E5%E4%E5%ED%E8%FF_%F1%E5%F0%F2%E8%F4%E8%EA%E0%F6%E8%E8

http://wikisec.ru/index.php?title=%D2%F0%E5%E1%EE%E2%E0%ED%E8%FF_%EA_2_%F3%F0%EE%E2%ED%FE_%EA%EE%ED%F2%F0%EE%EB%FF_%EE%F2%F1%F3%F2%F1%F2%E2%E8%FF_%CD%C4%C2
http://wikisec.ru/index.php?title=%D2%F0%E5%E1%EE%E2%E0%ED%E8%FF_%EA_3_%F3%F0%EE%E2%ED%FE_%EA%EE%ED%F2%F0%EE%EB%FF_%EE%F2%F1%F3%F2%F1%F2%E2%E8%FF_%CD%C4%C2
http://wikisec.ru/index.php?title=%D2%F0%E5%E1%EE%E2%E0%ED%E8%FF_%EA_4_%F3%F0%EE%E2%ED%FE_%EA%EE%ED%F2%F0%EE%EB%FF_%EE%F2%F1%F3%F2%F1%F2%E2%E8%FF_%CD%C4%C2

http://www.wikisec.ru/index.php?title=%C8%F1%EF%FB%F2%E0%F2%E5%EB%FC%ED%FB%E5_%EB%E0%E1%EE%F0%E0%F2%EE%F0%E8%E8

Интересно, кто-нибудь ведет серьезную ревизию кода bitcoin?
Речь идет не просто о понимании его работы, но и изучение на предмет опасностей вида децентрализация!

p.s. если нет, а сколько это может стоить, и почему бы не собрать на это дело средства у сообщества?

В конце апреля 2011 стало известно, что Гэвин получил $3000 на проезд до ЦРУ. Курс же не дергался всю весну.
В начале мая 2012 произошла утечка отчета ФБР. Гэвин мутит всякую хрень. Курс вновь не дергается всю весну.

Ждем лета!

не в курсе.. Черт, ща как раз на работе поперло, времени нет, фиг знает еще где больше выйдет...

Ну, тут информации-то кот наплакал. Да и быстро затеряется тема сама по себе.
Да, все как в прошлом году, только вместо новости про ЦРУ, новость про ФБР.

Хорош сливать, цену сбивать   шестерка резистанса уже третий день маячит, дайте 5.2...5.4 пробить, щас биткоиники нет (думаю спецально ее убрали для этого) что бы коротить, по идее должно повториться как в 11году, там и сольете по хорошей цене  

Да, мой коллега davout, модератор французского раздела и владелец сервиса InstaWallet.org,
все еще предоставляет такую возможность на своей старой торговой площадке Bitcoin Central.

Кто-то продаёт пекуникс за биткойны?

о, спасибо

По поводу подписи сообщения: https://bitcointalksearch.org/topic/m.809167.

По поводу праведников: каждый сам для себя решает, нужно ли ему строить ковчег или все окей.

не бойтесь, я спасу праведников, а Сатоши пусть наказывает гавнокодеров и продавцов наркотой/оружием

наверно в тему. общался тут с одним пулом по поводку подтверждения своиох притязаний на акк


впервые этим пользуюсь, даже не понял все ли я правильно сделал, а как проверить не знаю. почему ап до 0.6.2 тож не понятно

Зависит от даты получения монет. Если они уже лежат с прошлого года,
то лучше их просто не трогать, а сам кошелек записать на флешку и CD.
Если же с этого года, то лучше действовать по ситуации: часть средств
можно держать для мелких расходов в самой последней версии клиента,
если средств остается еще очень много - вложить их в покупку золота.

Сформулирую по другому первоначальный вопрос, допустим у меня есть n BTC которые я не хочу трогать n-ное кол-во времени, мне их лучше держать в зашифрованном валлете, постоянно обновляя клиент до последней версии или лучше c 0.3.x версии создать, туда перебросить и спрятать?

upd. разницу между bip16 и bip17 пока не понял (объясните), читая в вики. вроде двойная ауиндификация. что тут плохого? или может произойти как тут http://www.southparkstudios.com/clips/222624/the-importance-of-saving-money ?

Хоть я вовсе и не говорил того, что Вы процитировали, однако, смысл передан верно,
если же под сердцами младенцев понимать право голоса за будущее системы Bitcoin.

Я считаю, что пул, использующий мощности своих майнеров для голосования обязан
предоставлять на своем сайте всю необходимую информацию, чтобы каждый майнер
знал, за что именно он отдает свой голос, а вовсе не оставался марионеткой пула...

Смысл тот же самый, вернее, его отсутствие.

Вместо бредопостинга лучше бы занялись модерированием, я серьезно. А то весь раздел сплошная помойка, зато все знают, что Сатоши Бог.

Он вернется и всех накажет: и тех кто обманывал, и тех кто обманулся.

интересно где Сатоши ))) он за всем этим наблюдает? )

Он в свое время поддерживал BIP17, реализацию мультисига от Люка.


Лично мое мнение: и BIP16, и BIP17 - это попытки возрождения OP_EVAL,
победил бы BIP17, мы бы кланялись Люку, а не Гэвину. А сути не меняет.

Ой ей, вот уж что-что, а Бальтазар "поддерживающий" Люка, это что-то из ряда вон выходящее.

Нет, она централизована. Ваш же ответ следует игнорировать, так как Вы - заинтересованное лицо,
поддерживающее Luke Dashjr, который до сих пор грезит об OP_EVAL. Да, я знаю, что такое дебаты.

Сеть децентрализованная? Да, докажите обратное, или блаблабла.

Не говоря уж о том, что имея больше 51% мощности на новом клиенте нет смысла кого бы то ни было принуждать на него перейти (тем более, путем построения тайных заговоров), сами перейдут. Кроме того,


Да, мы все уже знаем, что нас обманывают и что новая версия bitcoin заставляет пойти к хирургам ЦРУ, чтобы встроить в мозги микрочип с приватным ключом для ее запуска и дистанционно активируемым механизмом самоуничтожения.

Это уже вторая псевдоуязвимость, вынуждающая перейти на шестую версию.

Алерт от 18 февраля 2012 (затрагиваемые версии: все версии):
Что произошло: если и пострадали, то только самые ранние версии Bitcoin,
МультиБит же потерял возможность соединения, так как не ожидал алерт.

Алерт от 16 марта 2012 (затрагиваемые версии: 0.5 - 0.5.3; 5.99; 6.0):
Что произошло: Гэвин воспользовался суматохой вокруг этой уязвимости
и удалил все старые версии Bitcoin до 0.3.24 с SourceForge, и кроме того
вышла версия 0.5.3.1 - первая версия клиента, бинарник и исходный код
которого умышленно не соответствовали друг другу; на самой странице,
указанной в алерте, рекомендовалось перейти на 0.6 Release Candidate.

Алерт от 15 мая 2012 (затрагивает: 0.1 - 0.4.5; 0.4.99 - 0.5.4; 0.6.0):
Что произошло: Luke-Jr выпустил версии 0.4.6 и 0.5.5 (намек на удаление
версий 0.4 и 0.5 с SourceForge?); Гэвин рекомендует перейти на версию
0.6.2, то есть теперь достаточно находить в каждой предыдущей версии
уязвимость, чтобы пользователи всегда использовали только последнюю.

А тут кто-то все еще верит в децентрализованность Bitcoin? Это монархия.
Происходи такое при Сатоши, Гэвина и Люка давно бы с позором прогнали.

последний

Lzsaver в посте про шушпанчиков описал как-то свое видение, вот что-то подобное пару раз уже слышал
а у вас какой клиент стоит?

какие слухи и кто их заставляет ходить?

вот и собираю информацию как раз

да видел я эту объяву на морде

слухи разные просто ходят

На морде висит объява

8 May 2012

Bitcoin version 0.6.2 is now available for download at:
http://sourceforge.net/projects/bitcoin/files/Bitcoin/bitcoin-0.6.2/

This is a bug-fix release with no major new features.

А собрать информацию и принять ответственное финансовое решение самостоятельно - это не модно?

постоянно внизу надпись Urgent: upgrade required, see bitcoin.org/ dos for details
хочет апгрейда до 0.6?
ставить чтоль?
мнение Lzsaver`а особенно интересно на этот счет