*הבזאר

פרוייקט מוזילה מודע לבעייתיות העדכון והצורך להתקין בכל פעם את המערכת מחדש. כפי שכבר כתבתי כאן, "מתחילים לבנות שם את התשתיות להפצת טלאי עדכונים (משימה לא פשוטה, בהתחשב בכמות הפלטפורמות שעבורן יש גרסה רשמית, ובכמות השפות הנתמכות)".

יש לקוות שהתשתית תהיה זמינה באחת הגרסאות הקרובות (למרות שמדובר, למשתמשי חלונות, בעדכון של 5 מ"ב בלבד שמופץ אוטומטית).

זה לא העיניין, העיניין הוא שאנשים לא מעניין אותם השידרוגים. הם לא מבינים בזה, ואז התנאים המקדימים לבזאר (צריך להתחיל להשתמש בקונקי עם הבודק שגיאות כתיב... יש כזה לשועל?) לא מתקיים: השחרר מוקדם, שחרר מהר. יופי אז שיחררת... אבל אנשים לא עדכנו, אז הם עדיין חשופים...

ומה קורה עם מפלצות גדולות יותר? כמו אופן אופיס?

מי שרוצה להיות בת יענה - אולי עדיף שלא יתחבר לרשת בכלל. אין דבר כזה תוכנה בטוחה ב-100% - ולהוסיף חטא על פשע יש אנשים שמרגישים בטוחים עם תוכנת אנטי וירוס ישנה שהעדכונים בחינם שלה הופסקו מזמן, מנטרלים חומות אש כי הן מפריעות לשיתוף קבצים, לא דואגים לעדכן תוכנות שחשופות לרשת וכו'.

אני מניח שקוראי האתר הזה הם מהסוג שכן מבין קצת במחשבים, ולא מהסוג ההדיוט. המינימום שאפשר לעשות עבור המשתמשים מהסוג השני הוא להפוך את מנגנון העדכונים לאוטומטי ומופעל כברירת מחדל - חלונות XP עושה את זה והנוהג מתחיל להיות נפוץ גם בהפצות לינוקס.

יש הבדל בין תוכנה שמפתחיה לא יודעים על בעיות שבה לבין תוכנה שמפתחיה יודעים על בעיות שבה (ואפילו כל העולם). מבחינתי קרן מוזילה איבדה הרבה מוניטין כספקית של תוכנה אמינה ובטוחה.

עד שיצא FF1.0 השתדלתי לא להתקין אותו אצל משתמשים רגילים שאני לא מבקר אצלם יותר מדי, כי לא רציתי שתישאר אצלם גרסה ישנה ולא מתוחזקת. לא רציתי שזה מה שיגרום להם לחשוב ש־FF הוא תוכנה לא טובה. לא רציתי גם שתישאר שם תוכנה עם חורי אבטחה ידועים שתשמש ביום מן הימים לחדירה למחשב.

כש־FF1.0 יצא שמחתי לקראות שמטפלים בנושא השדרוגים. שמחתי לראות שהשדרוג ל־1.0.1 היה תהליך די אוטומטי ודי פשוט למשתמש הרגיל. שמחתי לראות שמקדישים תשומת לב לנושא המורכב של עדכון ההרחבות.

אני מנסה "למכור" לאנשים את FF בתור תוכנה אמינה. תוכנה שאיתה הם לא צריכים לפחוד מ"אתרים מפוקפקים". אבל אם בתוכנה יש חורים רציניים כאילו והם ידועים ואין להם תיקון, אני לא אהיה כל־כך בטוח להגיד דבר כזה.

ברור לי שכל מערכת אמינה כמו המרכיב הכי פחות אמין שבה. אבל אני רוצה ש־FF יהיה רכיב אמין.

צפריר

"אבל אם בתוכנה יש חורים רציניים כאילו והם ידועים ואין להם תיקון, אני לא אהיה כל־כך בטוח להגיד דבר כזה."

על איזה חורים מדובר? להבנתי בעיות האבטחה שדווחו תוקנו באופן כמעט מיידי. זהו הרי העדכון השלישי של פיירפוקס מאז שחרורו. מבחינת יחסי ציבור היה להם יותר קל שלא לשחרר את עדכוני האבטחה, להחביא את הדיווחים ולחכות ל-1.1.

עד כמה שאני מבין, הם פועלים באופן כמעט מיידי לתיקון הליקויים.

אז תכריח את המשתמשים לעדכן.
שתהיה אופציה לעדכון אוטומטי של עדכונים קריטיים ושהאופציה תהיה מופעלת באופן דיפולטיבי.
לגבי מפלצות גדולות יותר - אפשר לבנות מערכת תלויות של קבצים (קובץ ה exe תלוי בשלושת קבצי ה dll, קובץ ה README לא תלוי בכלל וכו').
תוסיף מנגנון של stable/testing/unstable ופתרת את הבעיה.


אה, ולגבי בודק שגיאות כתיב - יש אחד כזה SpellBound, אבל הוא מתבסס על myspell המאעפן, יש גם את מה שלינספייר עשו לגירסא שלהם לפיירפוקס (lsuite) - אבל לא ראיתי גרסאות קוד מקור/ חבילות דביאן שלה.

גירסאת קוד מקור של גירסאת הפיירפוקס של לינספייר ניתן להוריד מכאן:
http://software.linspire.com/pool-src/m/mozilla-firefox/

פריצה ש"תפיל לך את הדפדפן" תאפשר במקרה הרע להריץ כל תוכנית עם הרשאות של המשתמש שהריץ את התוכנית.

בפרט:

1. לשלוח דואר זבל לכל העולם.

2. להריץ שרת קבצים על פורט לא פרווילגי

3. במצב של מערכות לינוקס כיום נראה די סביר שיש פרצה ידועה במערכת שמאפשרת גישה כ־root. אם יש תוכנית שרצה "בסבלנות" מספיק זמן על המערכת וכתובה מספיק חכם, יש לה סיכוי לא רע להשיג הרשות root.

צפריר

אבל זו פרצה ידועה. ברגע שיש פרצה ידועה שקלה לניצול מרחוק, המוצר אינו בטוח. הפצות לינוקס הגיבו יותר מהר מקרן מוזילה.

דרך אגב: קרן מוזילה לקחה לעצמה מונופול על השמות Mozilla, Firefox וכו'. היא היחידה שמוסמכת להוציא גרסאות רשמיות.

צפריר

> יש יתרון אחד עצום שעושה את כל ההבדל: הוא מבוסס קוד פתוח. ואין דבר בטוח יותר
> מקוד פתוח, מכיוון שעם מתעוררת בעיה אין מצב שהיא תוסתר עד שיהיה נוח למפתחים
> להפיץ טלאי. הבעיה יוצאת לאור מיד, ודורשת תיקון ללא דיחוי.

אממ... לא.
קודם כל, קוד פתוח הוא לא בהכרח קוד בטוח, שגיאת עיצוב בתשתית יכולה להפוך לבעיה רצינית בכל פרוייקט.
שנית, אין במוזילה full disclosure בנושאי אבטחה - אם יש באג הוא עלול לשבת זמן רב במרתפים עד שהמפתחים ירגישו שהם מוכנים לדווח עליו.

אוף!
ראשית, תודה. לא שמתי לב לחץ הזה ובאמת כשלחצתי עליו הוא הוריד לי את הגירסה החדשה במהירות גדולה יותר ממה שהשגתי כשהתחלתי להוריד מהשרת הראשי.
הבעיות התחילו אח"כ (על windows), אני חשבתי שהתוכנה הותקנה אוטומטית. אבל כשניסיתי לסגור ולהפעיל מחדש קיבלתי הודעה שיש לסגור אותה והסתיימה במילים Please restart.
אף חלון של firefox לא היה פתוח, כך שאחרי כמה נסיונות, התעצבנתי על ה-firefox שמחייב restart בעידן שאפילו תוכנות Windows כבר לא מחייבות זאת בדרך כלל, וביצעתי restart למחשב.
כשחזרתי, שמתי לב שקובץ בשם Firefox Setup 1.0.3.exe נמצא על שולחן העבודה. כיון שהפיירפוקס המשיך לסרב לעלות והודיע את ההודעה המפוקפקת הנ"ל, הגעתי למסקנה שהגירסה החדשה לא הותקנה אוטומטית, אלא רק הגירסה הישנה הושבתה והתקנתי את התוכנה מהקובץ שעל שולחן העבודה. והנה הפלא ופלא, הפיירפוקס חזר לעבוד והגירסה סוף-סוף שודרגה.
מסקנה - כנראה שהשדרוג האוטומטי של firefox לא דורש restart למחשב. אבל הוא גם לא ממש אוטומטי, וההודעות שלו בודאי דורשות rethinking.

(אגב, העדכון האוטומטי של ה-Extentions מתבצע מאותו ממשק, אבל הוא עובד כצפוי - הגירסאות החדשות מותקנות אוטומטית, בתום העידכון אתה מאתחל את הפיירפוקס והגירסאות החדשות פועלות מיד.
כיון שאני משתמש בהרחבה הגאונית - SessionSaver אני אפילו לא צריך לגלוש שוב לדפים שהייתי בהם קודם).