头条消息

专门为 KDE Plasma 5桌面环境设计的分区管理软件 KDE 分区管理器 2.2.0 发布,在这个版本中提供了大量的 LUKS 加密文件系统支持。它允许用户关闭或打开使用 LUKS 加密的卷,也支持加密文件系统重新划分大小,还可以移动关闭的 LUKS 加密卷、移除打开的 LUKS 卷、检查内部文件系统的错误等等。这是目前为止唯一一个支持 LUKS 加密文件系统调整的开源软件。

版本更迭

  • 代号为“Atticus”的 Parsix GNU/Linux 8.5 和即将发行的代号为“Erik”的 Parsix GNU/Linux 8.10 最近都对核心组件的安全问题进行了修复。包括 expat, libgd2, libndp, ImageMagick, libidn, jansson, IceDove, libarchive, QEMU, Wireshark, librsvg, WebSVN, libxstream-java, xerces-c, swift-plugin-s3, and atheme-services。还没有进行更新的“Atticus”用户可以进行更新了。
  • Parsix GNU/Linux 的开发者发布了官方的 USB 镜像,允许用户使用 USB 闪存棒快速在自己机器上部署最新的 Parsix GNU/Linux 发行版,并且他们承诺很快就会提供对64位机器上 UEFI 的支持。与此同时,“Erik”的开发正在进行中,最近的构建版本采用 GNOME 3.20.1 桌面环境,鉴于 GNOME 3.20.2 已经出来了,我们期待看到采用最新 GNOME 桌面环境的发行版。
  • 面向树莓派3和2的 Sabayon ARM 16.06 媒体中心版发布。与此同时,Sabayon ARM 16.06 的基础版镜像采用了最新的稳定版 Linux 4.4 内核。点此下载媒体中心版和基础版镜像文件。
  • Linux 4.6 内核已经发布两周了,Linus Torvalds 为我们介绍了下一个Linux内核分支 Linux 4.7 的开发周期。目前第一个发行候选版本已经可以从官网进行下载了。这一版最显著的一个特性是对 VFS (虚拟文件系统Virtual File System)层的重大修改,它可能会影响所有 Linux 内核支持的文件系统。
  • 在NetBSD 7.0发布7个月后,NetBSD 7.0.1 发布,修复了核心组件的许多安全漏洞,改善了对 ODROID-C1 单板计算机的支持。
  • MKVToolNix 9.2.0 发布,这一版没有重大特性的更改,尽管如此,还是建议用户进行更新。

 

Linux 内核开发很少吸引像华盛顿邮报这样主流媒体的关注,内核社区在安全方面进展的冗长功能列表就更少人看了。所以当这样一个专题发布到网上,就吸引了很多人的注意(LCTT 译注:华盛顿邮报发表了一篇很长的专题文章,批评 Linux “没有一个系统性的机制以在骇客之前发现和解决安全问题,或引入更新的防御技术”,“Linux 内核开发社区没有一个首席安全官”等等)。关于这篇文章有不同的反应,很多人认为这是对 Linux 直接的攻击。文章背后的动机很难知道,但是从历史经验来看,它也可以看作对我们早就该前进的方向的一次非常必要的推动。

回顾一件昏暗遥远过去的事件 – 确切地说是在 1999 年 4 月。一家叫 Mindcraft 的分析公司发布了一份报告显示 Windows NT 在 Web 服务器开销方面完胜 Red Hat Linux 5.2 加 Apache。Linux 社区,包括当时还很年轻的 LWN,对此反应很迅速而且强烈。这份报告是微软资助的 FUD 的一部分,用来消除那些全球垄断计划的新兴威胁。报告中所用的 Linux 系统有意配置成低性能,同时选择了当时 Linux 并不能很好支持的硬件,等等。

在大家稍微冷静一点后,尽管如此,事实很明显:Mindcraft 的人,不管什么动机,说的也有一定道理。当时 Linux 确实在性能方面存在一些已经被充分认识到的问题。然后社区做了最正确的事情:我们坐下来解决问题。比如,单独唤醒的调度器可以解决接受连接请求时的惊群问题。其他很多小问题也都解决了。在差不多一年里,内核在这类开销方面的性能已经有了非常大的改善。

这份 Mindcraft 的报告,某种意义上来说,往 Linux 屁股上踢了很有必要的一脚,推动整个社区去处理一些当时被忽略的事情。

华盛顿邮报的文章明显以负面的看法看待 Linux 内核以及它的贡献者。它随意地混淆了内核问题和其他根本不是内核脆弱性引起的问题(比如,AshleyMadison.com 被黑)。不过供应商没什么兴趣为他们的客户提供安全补丁的事实,就像一头在房间里巨象一样明显。还有谣言说这篇文章后面的黑暗势力希望打击一下 Linux 的势头。这些也许都是真的,但是也不能掩盖一个简单的事实,就是文章说的确实是真的。

我们会合理地测试并解决问题。而这些问题,不管是不是安全相关,能很快得到修复,然后再通过稳定更新的机制将这些补丁发布给内核用户。比起外面很多应用程序(自由的和商业的),内核的支持工作做的非常好。但是指责我们解决问题的能力时却遗漏了关键的一点:解决安全问题终究来说是一个打鼹鼠游戏。总是会出来更多的鼹鼠,其中有一些在攻击者发现并利用后很长时间我们都还不知道(所以没法使劲打下去)。尽管 Linux 的商业支持已经非常努力地在将补丁传递给用户,这种问题还是会让我们的用户很受伤 – 只是这并不是故意的。

关键是只是解决问题并不够,一些关心安全性的开发者也已经开始尝试做些什么。我们必须认识到,缺陷永远都解决不完,所以要让缺陷更难被发现和利用。这意思就是限制访问内核信息,绝对不允许内核执行用户空间内存中的指令,让内核去侦测整形溢出,以及 Kee Cook 在十月底内核峰会的讲话中所提出的其他所有事情。其中许多技术被其他操作系统深刻理解并采用了;另外一些需要我们去创新。但是,如果我们想充分保护我们的用户免受攻击,这些改变是必须要做的。

为什么内核还没有引入这些技术?华盛顿邮报的文章坚定地指责开发社区,特别是 Linus Torvalds。内核社区的传统就是相对安全性更侧重于性能和功能,在需要牺牲性能来改善内核安全性时并不愿意折衷处理。这些指责一定程度上是对的;好的一面是,因为问题的范围变得清晰,态度看上去有所改善。Kee 的演讲都听进去了,而且很明显让开发者开始思考和讨论这些问题了。

而被忽略的一点是,并不仅仅是 Linus 在拒绝有用的安全补丁。而是就没有多少这种补丁在内核社区里流传。特别是,在这个领域工作的开发者就那么些人,而且从没有认真地尝试把自己的工作整合到上游。要合并任何大的侵入性补丁,需要和内核社区一起工作,为这些改动编写用例,将改动分割成方便审核的碎片,处理审核意见,等等。整个过程可能会有点无聊而且让人沮丧,但这却是内核维护的运作方式,而且很明显只有这样才能在长时间的开发中形成更有用更可维护的内核。

几乎没有人会走这个流程来将最新的安全技术引入内核。对于这类补丁可能收到的不利反应,有人觉得也许会导致“寒蝉效应”,但是这个说法并不充分:不管最初的反应有多麻烦,多年以来开发者已经合并了大量的改动。而少数安全开发者连试都没试过。

他们为什么不愿意尝试?一个比较明显的答案是,几乎没有人会因此拿到报酬。几乎所有引入内核的工作都由付费开发者完成,而且已经持续多年。公司能看到利润的领域在内核里都有大量的工作以及很好的进展。而公司觉得和它们没关系的领域就不会这样了。为实时 Linux 的开发找到赞助支持的困难就是很明显的例子。其他领域,比如文档,也在慢慢萧条。安全性很明显也属于这类领域。可能有很多原因导致 Linux 落后于防御式安全技术,但是其中最关键的一条是,靠 Linux 赚钱的公司没有重视这些技术的开发和应用。

有迹象显示局面已有所转变。越来越多的开发人员开始关注安全相关问题,尽管对他们工作的商业支持还仍然不够。对于安全相关的改变已经没有之前那样的下意识反应了。像内核自我保护项目这样,已经开始把现有的安全技术集成进入内核了。

我们还有很长的路要走,但是,如果能有一些支持以及正确的观念,短期内就能有很大的进展。内核社区在确定了自己的想法后可以做到很让人惊叹的事情。幸运的是,华盛顿邮报的文章将有助于提供形成这种想法的必要动力。以历史的角度看,我们很可能会把这次事件看作一个转折点,我们最终被倒逼着去完成之前很明确需要做的事情。Linux 不应该再继续讲述这个安全不合格的故事了。


via: https://lwn.net/Articles/663474/

作者:Jonathan Corbet 译者:zpl1025 校对:wxy

本文由 LCTT 原创编译,Linux中国 荣誉推出

头条消息

作为基于 Linux 内核的 Chrome OS 或 Chromium OS 的一个可能的替代品,Black Lab Software 即将发行的 NetOS,使用了 Black Lab Linux OS 企业版中相同的技术。其第一个版本正在开发中。NetOS 的 80% 基于 Web,只有 20% 在本地,这样它的内核会更小,对文件和库的维护更少,大量的工作都由开发者在服务器端解决了。NetOS Enterprise Linux 8 基于Linux 4.2 内核,以及 Google Chrome 50,并且涵盖了其他的一些软件,比如 GIMP, Dropbox, Scribus, 和 Parole 媒体播放器,此外还有一些其他很棒的新特性。可以从网站下载 ISO 镜像抢先体验。

版本更迭

  • 代号为“选择版Choice Edition”的 Gentoo Linux  Live DVD 镜像发布,该版本使用了 GNU/Linux 最新的技术,比如基于 Linux 内核 4.5 、KDE Plasma 5.6 桌面环境、LibreOffice 5.1.2 办公套件、Mozilla Firefox 45.0.1 等。特别是对UEFI 机器以及 ZFS 的支持,是之前的版本所没有支持过的。可以从此处下载32位或者64位的镜像文件。
  • 迈向 GNOME 3.22 的第二个快照版本 3.21.2 发布。该版本并没有更新很多的核心组件或者应用,可能比较重要的改变是对 Flatpak 软件包的支持。这只是 GNOME 3.22 的一个预览版本,不建议用户正式使用。GNOME 3.22 的发行版预计9月21号发布,敬请期待!

2012 年时候,我出席了一个开源社区的聚会,打那之后我就喜欢上了这个行业。

我做猎头很多年,现在我在 Greythorn 公司专门从事大数据方向招聘。我自己之前学习了几个月大数据,可是当我参加了 OSCON 开源大会,才发现之前的学习多么低效率。OSCON 里聚集了非常多聪明的人,他们每个人都很愿意分享他们的心得。分享的原因不是他们想推销产品,纯粹是因为喜欢。

我很快意识到,与其说开源和大数据是一个行业,不如说他们是一个社区community。这也是为什么我现在特别想把我从开源中学到的东西分享给大家,特别是给那些刚刚踏入工作的新人。

为什么雇主喜欢开源贡献者contributor

我的许多客户跟我说过:一个人的技术虽然重要,但真心喜欢自己从事的工作更重要。如果你热爱自己的工作,即便老板不给加班工资你都忍不住想加班。

我的客户也经常问,“这个人没事儿的时候写代码吗?”“我能在哪儿找到他们的作品呢?”“他们有什么爱好呀?”这时候开源社区贡献者的优势就出来了,因为上面的问题就是给他们量身定做的。他们做的项目开源,这就是他们编码能力的例证。

为什么猎头在寻找开源贡献者

硬派科技行业猎头了解技术,知道自己在找一个什么样的人,这样的猎头也能正确的了解对象的技能。我发现,猎头们找到的最优秀的人才很多时候也在做开源,所以我们经常直接去开源社区寻找我们的目标。猎头们会告诉雇主,“我们找到的那个人喜欢和团队一起创造了不起的产品”,而这基本上是优秀雇主共同的要求。

所以说:如果你的项目目标是改变人类的未来,那当这些聪明人来到你的团队之后,他们自己就会爱上自己的工作。

开源贡献者如何得到更好的职业生涯呢

怎么让你的贡献更广为人知呢:把代码放到 Github 上;做开源项目;参加会议和研讨等等。做这些事情你会有意想不到的收获的。

可以尝试问一下自己:

  • 你觉得所在的公司是否回馈开源社区这件事重要吗?很多优秀的人才都强调这一点,回馈社区也会极大的提升他们对工作本身的满意度。
  • 你在做产品是否基于开源软件?基于开源软件的公司的文化氛围会与其他公司与众不同,这也是你选择职位时候需要考虑的问题。
  • 你有没有特别想与之工作的人?虽然你可以随时换项目,但如果团队里有你崇拜或者欣赏的人,那工作就棒极了。

假如你了解自己的人生追求,那么过滤掉那些不适合你的职位就简单多了;假如你有一个相熟的猎头,那找到相合的雇主和团队的机会就大多了。

虽然我自己不写代码,但我会把我从开源社区中学到的东西分享给大家。开源社区是由一大群聪明又乐于分享的人组成,我很开心我也是其中小小的一份子。


via: https://opensource.com/business/16/5/open-source-recruiters-perspective

作者:Lindsey Thorne 译者:eriwoon 校对:wxy

本文由 LCTT 原创翻译,Linux中国 荣誉推出

头条消息

今天没有什么重要消息。

版本更迭

  • 基于 Ubuntu Kernel 4.2 的 BackBox Linux 4.6 发布,更新了一些黑客工具。比如 Metasploit,wxHexEditor,SE Toolkit,DirSearch Web 路径扫描工具等。另一个新特性是,将 Ruby 更新到了2.2,修复了一些小的问题。老用户可以使用下列命令进行更新:sudo apt-get update && sudo apt-get dist-upgrade &&sudo apt-get install -f 。新用户可以从此处进行下载
  • 基于 FreeBSD,专为防火墙和路由器功能定制的开源版本 pfSense 一周前发布了稳定版本 2.3.1 之后进行了首次更新,更新到 2.3.1_1 版本,主要修复了Web GUI的安全问题,修复了另外的7个问题。Patrick Ungeheuer 发现了pfSense 存在的 Web GUI (图形用户接口)的安全问题,即 diag_smart.php 和 diag_routes.php 文件的命令注入漏洞。这个安全漏洞可以让低权限用户以 root 身份执行命令。pfSense 2.3.1_1 就解决了这个问题。
  • Ubuntu 16.04 LTS 发布庆功会将于7月26号举行,地点选在日本东京。
  • 可以让你“衣锦夜行”的匿名 Linux 发行版 Tails 2.4 的第一个发行候选版本已经进行公开的 beta 测试了,最新版本将 Tor Browser 更新到了6.0,改善了非自动配置向导,实现了对 IPv4 协议分层发现路径 MTU 的支持,强化了防火墙和内核。
  • Wine 1.9.11 发布测试版,对于 Direct3D 11 进行了多项改进,支持 DirectSound 混频。感兴趣的用户可以下载 Wine 1.9.11 的源码自己编译。