Webtatik deponun arkasında kim var ve ona güveniyor musunuz?

Webtatik deponun CentOS ve RedHat için birçok yararlı paketi vardır. Ancak depo çok opak ve arkasında kim olduğunu, "Andy Thompson" appart, burada Andy olarak bilinen bilgi bulmak için zor zamanlar var.

Tüm bu faydalı paketleri sağlamak için harika bir iş yapıyor gibi görünüyor. Havuzu canlı şirket sunucularında kullanmalıyım ve gayri resmi depoları kullanmam derhal içimde bir alarm tetikler.

• Tek bir kişi havuzu mu?
• Bir şirket tarafından destekleniyor mu?
• Birkaç yıldır var gibi görünüyor, ama yarın ne olacak? (hepimizi silebilecek dev asteroit dışında)
• Ne kadar güvenli? Daha sonra yum updatebir truva atı indirmek istemiyorum .
• Güvenlik düzeltmeleri sağlanan paketlere ne kadar hızlı dağıtılır? ....

Gerçek hayattaki CentOS / RedHat yöneticilerinden gelen geri bildirimler çok takdir edilecektir.

Şimdiden teşekkürler

8 yıl önce Linux yöneticisi olarak ilk başladığımda LAMP yığınımı yükseltmek için popüler bir üçüncü taraf deposunu kullanıyordum. Tek bir kişi tarafından yönetildi. Temel nedenlerden biri, RHEL 5 ile gelenlerden daha yeni bir PHP sürümü için bana baskı yapan geliştiricilerdi.

Kişi artık depoları terk etti, bu yüzden artık güvenlik güncelleştirmeleri almıyordum, ancak PHP'nin RHEL sürümünün çok eski bir daldan olması nedeniyle tüm yeni paketleri kaldıramadım ve RHEL paketlerine geri dönemedim. Bu deponun LAMP yığınına geçmek en az yarım düzine pakete değdi. Bu nedenle, bu paketleri korumak ve zaman zaman el ile yeniden derlemek önemli bir PITA olacaktır.

Ayrıca, sisteminizin bu paketler için belirli bir açıklığa karşı savunmasız olup olmadığını belirlemek için OS satıcısının CVE güvenlik açıklarına ilişkin güvenlik önerilerini kullanma yeteneğini de kaybedersiniz. O zamanlar hiç beklemiyor olsam da, yıllar sonra bu benim için büyük bir sorun oldu.

Bu nedenle, koruyucunun bütünlüğüne ve teknik becerilerine güvenmenin yanı sıra, kendinize depoyu sürdürmelerine veya evlenmelerine ve çocuk sahibi olmalarına izin vermeyecek yeni bir işe devam etmemelerine güvenip güvenmediklerini sormalısınız. zaman var, vb ....

O zamandan beri herhangi bir üçüncü taraf deposunu, özellikle de yalnızca bir kişi çalıştıran depoları kullanma konusunda çok ürkütücü oldum.

Soru Andy'ye güvenirsek değil, Andy'ye güvenirsen.

Depoya aşina değilim ama bağış düğmesi kişisel bir çaba gösteriyor. Sizin için değeri varsa katkıda bulunmaktan çekinmeyin.

Paketler GnuPG imzalı görünüyor, bu yüzden paketlerin gerçek olduğunu kesin olarak doğrulamak mümkün. Ayrıca, güven ağında olup olmadığını da kontrol edebilirsiniz.

Kalite veya güvenlik ile ilgili olarak, bir başkası deponun nasıl çalıştığına bir göz atmak en iyisidir. Bu sen olabilirsin. Akış yukarı güvenlik önerilerine abone olun ve etkilenip etkilenmediklerini kontrol edin. Paketleri Fedora için gözden geçirenlerin yaptığı gibi değerlendirin.

Bu paketlerin sürekliliği sizin için önemliyse, benzer beceriler edinin. Ambalajlamayı öğrenin veya yapabilecek birini işe alın.

Remi, RHEL için PHP'nin son sürümleri için standarttır. Aktif olarak bakımı yapılan ve mümkün olduğunca çok sayıda ilgili paket içeren RPM paketleri için köklü ve güvenilir bir kaynaktır.

Webtatik kaynağı bilinmemektedir ve güvenilir değildir. Hiç kullanılmamalıdır.

Eski bir sistemde çalıştığını gördüm. İçinde ciddi bir bellek sızıntısı vardı. Remi, tam olarak aynı PHP sürümü ile değiştirdim ve aniden her şey sorunsuz çalışıyor. Kararlı bir derleme bile olduğunu sanmıyorum.

Genel olarak, gerçekten ciddi bir şekilde ihtiyacınız olan ve olmadan yaşayamayacağınız bir özellik olduğunu bilmediğiniz sürece (birçok kişi yapamayacağına inanacağı gibi .. 'eski' ya da hiçbir şey arasında bir seçim olana kadar) satıcı paketlerine sadık kalın.

Webderinize bir dalın neden durgun bir anlık görüntü olmadığını öğretin ve onlara gösterin - PHP bunun için harika bir kaynaktır - yukarı akış yeniden yapılandırmanın nasıl daha fazla hata getirdiğini; ve çoğu durumda bir güvenlik sorunu etrafındaki backport için yanıt süresinin, mevcut şubedeki bir dağıtım tarafından (birisinin önceliği ve işi olduğu) yukarı akış OEM versiyonundan daha hızlı ve daha güvenilir bir şekilde nasıl sağlandığını.

Gerçekten başarılı olan siz olabilirsiniz ve denemek için geri kalanımıza borçlusunuz ;-)