Хто стоїть за сховищем Webtatic і чи довіряєте ви цьому?

Веб-сховище має багато корисних пакетів для CentOS та RedHat. Однак сховище дуже непрозоре, і мені важко знайти інформацію, хто за ним стоїть, квартиру "Ендрю Томпсона", відомого як Енді.

Він, здається, робить велику роботу, надаючи всі ці корисні пакети. Мені потрібно використовувати репозиторій на серверах живих компаній, і використання неофіційних репозиторіїв викликає негайну тривогу в мені.

• Це єдине сховище для людини?
• Це підтримується компанією?
• Здається, існує вже кілька років, але як бути завтра? (крім гігантського астероїда, який може витерти нас усіх)
• Наскільки це безпечно? Я не хочу поруч yum updateіз завантаженням трояна.
• Як швидко розгортаються виправлення безпеки наданих пакетів? ….

Відгуки адміністраторів CentOS / RedHat у реальному житті будуть дуже вдячні.

Спасибі заздалегідь

Ще коли я вперше почав працювати як адміністратор Linux 8 років тому, я використовував популярний третій сховище для оновлення свого стека LAMP. Ним керувала одна людина. Однією з головних причин було те, що розробники наполягали на меншій версії PHP, ніж те, що прийшло з RHEL 5. Це в кінцевому підсумку мене вкусило.

Людина відмовився від сховищ, тому я більше не отримував оновлень безпеки, але я також не зміг видалити всі новіші пакети і повернутися до пакетів RHEL через те, що версія PHEL RHEL з занадто старої гілки. Перемістившись до стека LAMP цього сховища, вона торкнулася щонайменше півдюжини пакетів або більше. Отже, підтримка цих пакетів та їх перекомпіляція вручну час від часу було б головним ПДФА.

Ви також втрачаєте можливість використовувати рекомендації щодо безпеки постачальника ОС щодо вразливості CVE, щоб визначити, чи ваша система не вразлива для певного використання цих пакетів. Це виявилося для мене головною проблемою через роки, хоча я б і не очікував того часу.

Отже, окрім довіри до цілісності та технічних навичок утримувачів, ви повинні запитати себе, чи довіряєте ви їм не переходити на нову роботу, яка не дозволить їм підтримувати сховище, або вийти заміж і мати дітей і більше не мати встигнути тощо.

Відтоді я дуже скупий щодо використання будь-яких сторонніх сховищ, особливо тих, у яких працює лише одна людина.

Питання не в тому, якщо ми довіряємо Енді, це якщо ви довіряєте Енді.

Я не знайомий із сховищем, але кнопка пожертвування передбачає особисті зусилля. Не соромтеся робити внески, якщо це має для вас цінність.

Пакети виглядають як підписані GnuPG, тому можна з певною впевненістю перевірити, чи пакети справжні. Ви також можете перевірити, чи є він у мережі довіри.

Що стосується якості чи безпеки, то найкраще, якщо хтось інший погляне на те, як працює сховище. Це ти можеш бути ти. Підпишіться на рекомендації щодо безпеки вгору та перевірте, чи вони на них впливають. Оцініть пакети, як рецензент, для Fedora.

Якщо безперервність цих пакунків важлива для вас, придбайте подібні навички. Вивчіть упаковку або найнять когось, хто зможе.

Remi - це стандарт для останніх збірок PHP для RHEL. Він давно створений і надійний джерело для RPM-пакетів, який активно підтримується і включає якомога більше відповідних пакетів.

Вебтатичне джерело невідоме та ненадійне. Його взагалі не слід використовувати.

Я виявив, що це працює у застарілій системі. У ньому серйозно просочилася пам'ять. Я замінив його на Remi, точно таку ж версію PHP і раптом все працює без проблем. Я не думаю, що це навіть стабільна компіляція.

Взагалі, якщо ви не знаєте, що є функція, якій ви насправді серйозно потрібні і насправді не можете жити без неї (оскільки багато людей будуть вважати, що вони не можуть .. поки не буде вибір між "старим" чи нічого), тоді дотримуйтесь пакетів постачальників.

Навчіть своїх веб-розробників, чому галузь не є застійним знімком, і покажіть їм - PHP - чудовий варіант для цього - як Rebasing версії за течією приносить набагато більше помилок; і як у багатьох випадках час реакції на зворотний зв'язок навколо проблеми безпеки насправді швидше і надійніше доставляється дистрибутивом у їхній підтримуваній галузі (тому що це чийсь пріоритет і завдання), ніж у версії за версією OEM.

Ви можете бути тим, хто насправді домагається успіху, і ви зобов'язані решті нас спробувати ;-)