> az első dolgom, hogy blogbejegyzésben szénné cinkelni
megvan meg valakinek az eredeti bejegyzes? mert mar annyit irtatok rola, erdekelne, mi volt (ismerve loriant van sejtesem, de megis ;).
> Azért testing, hogy ott derüljenek ki, ha valami nem jó.
az a baj ezzel az allitassal, hogy ez egy altalanosnak tuno igazsag, de megsem az, pont a mostani pelda ra a bizonyitek. az eredeti problema (es nem bug, mert tudott volt, bele volt kommentezve!) ugye az volt, hogy a lorian altal valasztott lapmeret proci fuggo volt, es 'csak' a vilag legelterjedtebben hasznalt (mar ami a php futtatast illeti) x86 procijain volt biztosan jo, mas, nagyobb lapmeretet hasznalo procikon meg sigsegv lett az eredmenye. erre mondhatna a naiv felhasznalo, hogy a javitas a sigsegv megszuntetese es kesz. a szakember viszont azt fogja mondani, hogy nem, ez nem eleg, mert ugy kell a sigsegv-t eltuntetni, hogy kozben az eredetileg szandekolt feature is megmaradjon. kulonben mi a francnak az egesz ugyebar. a debian testing-bol az derult volna ki, hogy a sigsegv megszunt, az viszont *sosem* derult ki volna testing-ben, hogy kozben az eredetileg szandekolt tamadasok elleni vedelem kvazi elveszett (persze ha be tudod bizonyitani, hogy a testing felhasznalok aktiv biztonsagi tamdasoknak es teszteleseknek vetnek ala mindent, es garantaltan kideritettek volna ezt a problemat, akkor visszavonom. de nyakam ra, hogy meg csak azt se tudjak, mit kellett volna tenni hozza). magyaran a debianosoknak goze nem volt arrol, mit csinalnak, ok a naiv programozo szemevel neztek a problemara, nem a biztonsagi szakemberevel (ismeros helyzet? ;).
szamomra az egesz helyzetbol egy nagy bug derult csak ki: a debian a mai napig nem oldotta meg a hibak korrekt kezeleset, egyszeruen nincs ra belso folyamatuk, amivel az ilyen maloroket el lehetne kerulni. a suhosin eseteben pontosan lehetett tudni, hogy biztonsaggal kapcsolatos az egesz cucc, pontosan lehetett tudni, hogy az adott kod/feature biztonsaggal kapcsolatos, pontosan lehetett tudni, hogy lorian tudta, mekkora hack es ennek ellenere egy emaillel elinteztek az upstream-et, mondvan ok majd jobban tudjak. bocs, de ez minden, csak nem professzionalizmus (igen, meg kellett volna keresniuk loriant es kikerni a velemenyet, akkor is ha ez tobb, mint egy szem emailbe kerul, akkor is, ha mondjuk a bugtraq-en kell lorianra rapiritaniuk. meg mindig jobb, mint szar kodot a felhasznalok nyakaba zuditani). en magamrol ugy tartom, hogy ertek valamit a sajat teruletemhez, de ennek ellenere ha nem vagyok 100% biztos valamiben, akkor inkabb rakerdezek a szakertonel (l. sparc64 NX tamogatas, ami csak par evig volt teljesen hibas linuxban es 10 perc alatt javitotta DaveM, amikor ramutattunk - kb 1 sor kod, de en megse mertem magam belevagni, mert sparc-on nem erzem magam annyira otthon).