Omarchy: разработка без правил безопасности ведёт к предсказуемым уязвимостям
Omarchy development practices lead to predictable security issues
Автор блога One Happy Fellow предупреждает о серьёзных проблемах безопасности в Omarchy 4.0, включая bash-инъекции через названия видео и выполнение произвольного bash-кода через уведомления. Он критикует практики разработки проекта, называя их «кучей bash-мусора», и утверждает, что Omarchy не воспринимает безопасность всерьёз, несмотря на маркетинговые заявления DHH. Автор считает, что компании могут запретить использование Omarchy из-за рисков.
Omarchy не относится к безопасности как к чему-то важному — они лишь играют роль, но их практики разработки и лёгкость, с которой они наступают на десятилетия известных граблей и изобретают новые, говорят о безопасности Omarchy гораздо больше, чем заявления Security Team.
- Hugsbox
Я немного не в курсе, и в статье об этом не упоминается, но что с Omarchy и этим безумным количеством финансовой поддержки от довольно известных личностей? До пары недель назад я о ней никогда не слышал, а потом услышал, что её делает очень... э-э, эксцентричный(?) человек, и теперь у неё внезапно куча финансирования. Что я упускаю?
- ricardobeat
Две связанные проблемы — это один и тот же баг-репорт. Друг уже несколько месяцев уговаривает меня установить Omarchy. Я наконец сдался после ужасного опыта с разрекламированным CachyOS. Всё, что я могу сказать — я понимаю ажиотаж. Она работает. Установка простая, без выбора из пяти легаси-загрузчиков, выбора версий или оконного менеджера. Тайловый оконный менеджер работает примерно так, как я уже использую Mac. Мне нравятся терминальные системные инструменты. Установка ПО проста и молниеносна.
- fidotron
Этот уровень дискурса уровня Tumblr — именно то, что Linux-сообществу нужно оставить в прошлом.
- dborovikov
"Полна дыр в безопасности" — а два примера в статье были быстро исправлены, игнорируя тот факт, что есть целая выделенная команда безопасности https://omarchy.org/teams/ Что это за блоггинг такой?
- thehappyfellow
Эй, почему заголовок моего поста в блоге отредактировали? Должно было быть "Торговцы небезопасностью". Грубо!
- fnoef
Есть такой мем с колоколообразной кривой, где слева — новичок, пытающийся сделать что-то очевидное, справа — "профи", делающий то же самое очевидное, а в середине — тот, кто пытается делать что-то крутое/новое/модное. Слева у нас Ubuntu/Fedora. Справа — Arch. В середине — все эти техно-инфлюенсеры-неудачники с кастомными ИИ-улучшенными дистрибутивами.
- okinternets
За последнюю неделю я видел так много подкастов и видео на YouTube про Omarchy. Должно быть, это массовый маркетинговый толчок или просто хайп.
- markstos
По-видимому, экосистема плагинов Omarchy — это тоже свалка, как AUR в Arch, только аудитория включает людей, новичков в Linux, которые с меньшей вероятностью понимают риски.
- vova_hn2
Ладно, но как круто, что эта функция (горячая клавиша для передачи видео, открытого в браузере, в yt-dlp) существует и работает из коробки? Жаль, что она была разработана странным, небезопасным способом, но я думаю, что сам факт её существования очень крут. Я слышал об Omarchy давно, но не переключался, потому что в какой-то момент жизни я начал предпочитать что-то надёжное и хорошо поддерживаемое (сейчас на Fedora Atomic с KDE) новому/блестящему/на острие. Но всё же. Я думаю, что хороший UX из коробки складывается из таких мелочей.
- UK-Al05
Разве большинство дыр в безопасности не остались бы, если бы использовал Arch и устанавливал пакеты сам? Многие жаловались, что у ssh в Omarchy проблемы с безопасностью, потому что использовались настройки по умолчанию. Было бы то же самое на Arch?