O repositório Webtatic possui muitos pacotes úteis para o CentOS e RedHat. No entanto, o repositório é muito opaco e tenho dificuldade em encontrar informações sobre quem está por trás dele, parte de "Andrew Thompson", conhecido como Andy por aqui.
Ele parece estar fazendo um ótimo trabalho fornecendo todos esses pacotes úteis. Eu preciso usar o repositório nos servidores da empresa ao vivo e usar repositórios não oficiais dispara imediatamente um alarme em mim.
- É um repositório de uma pessoa?
- É apoiado por uma empresa?
- Parece existir já há alguns anos, mas e amanhã? (além do asteróide gigante que pode acabar com todos nós)
- Quão seguro é? Não quero o próximo
yum updatedownload de um Trojan. - Com que rapidez as correções de segurança são implantadas nos pacotes fornecidos? ....
O feedback dos administradores do CentOS / RedHat na vida real será muito apreciado.
desde já, obrigado
centos
redhat
repository
Niki
fonte
fonte
Respostas:
Quando comecei como administrador do Linux, há 8 anos, eu costumava usar um repositório de terceiros popular para atualizar minha pilha LAMP. Foi dirigido por um único indivíduo. Um dos principais motivos foi que os desenvolvedores me pressionaram por uma versão mais recente do PHP que a que veio com o RHEL 5. Acabou me mordendo.
A pessoa abandonou os repositórios para que eu não estivesse mais recebendo atualizações de segurança, mas também não pude remover todos os pacotes mais recentes e voltar aos pacotes RHEL devido à versão RHEL do PHP ser de uma ramificação muito antiga. A mudança para a pilha LAMP desse repositório tocou pelo menos meia dúzia de pacotes ou mais. Portanto, manter esses pacotes e recompilá-los manualmente de vez em quando seria uma grande PITA.
Você também perde a capacidade de usar os avisos de segurança do fornecedor do SO em relação às vulnerabilidades do CVE para determinar se o seu sistema é ou não vulnerável a uma certa exploração desses pacotes. Isso provou ser um grande problema para mim anos depois, mesmo que eu nunca tivesse previsto na época.
Portanto, além de confiar na integridade e nas habilidades técnicas dos mantenedores, você deve se perguntar se confia neles para não seguir para um novo emprego que não permita que eles mantenham o repositório ou se casem e tenham filhos e não mais tem tempo, etc ....
Desde então, tenho me preocupado muito com o uso de repositórios de terceiros, especialmente aqueles que têm apenas uma pessoa executando-os.
fonte
A questão não é se confiamos em Andy, é se você confia em Andy.
Não estou familiarizado com o repositório, mas o botão de doação sugere um esforço pessoal. Sinta-se livre para contribuir se tiver valor para você.
Os pacotes parecem estar assinados pelo GnuPG, portanto é possível verificar com alguma certeza que os pacotes são autênticos. Você também pode verificar se ele está na rede de confiança.
Em relação à qualidade ou segurança, é melhor que alguém veja como está o repositório. Esse poderia ser você. Assine os avisos de segurança upstream e verifique se eles são afetados. Avalie os pacotes como um revisor faria para o Fedora.
Se a continuidade desses pacotes for importante para você, adquira habilidades semelhantes. Aprenda a empacotar ou contrate alguém que possa.
fonte
Remi é o padrão para as versões mais recentes do PHP para RHEL. Ele é uma fonte estabelecida e confiável há muito tempo para pacotes RPM que está sendo ativamente mantida e inclui o maior número possível de pacotes relevantes.
A fonte webtatic é desconhecida e não é confiável. Não deve ser usado.
Eu o encontrei rodando em um sistema legado. Havia um sério vazamento de memória. Substituí-o pelo Remi, exatamente a mesma versão do PHP e de repente tudo está funcionando sem problemas. Eu não acho que seja uma compilação estável.
fonte
Em geral, a menos que você saiba que existe um recurso que você realmente precisa e que realmente não pode viver (como muitas pessoas acreditam que não pode ... até que seja uma escolha entre 'velho' ou nada), fique com os pacotes do fornecedor.
Ensine aos seus webdevs por que um ramo não é um instantâneo estagnado e mostre a eles - o PHP é ótimo para isso - como o rebasing upstream traz muito mais bugs; e como, em muitos casos, o tempo de resposta para um backport em torno de um problema de segurança é realmente mais rápido e mais confiável por uma distro em sua filial mantida (porque é a prioridade e o trabalho de alguém) do que na versão original do OEM.
Você pode ser quem realmente consegue, e você deve ao resto de nós tentar ;-)
fonte