Chi è il repository Webtatic dietro e ti fidi di esso

Il repository Webtatic ha molti pacchetti utili per CentOS e RedHat. Tuttavia il repository è molto opaco e ho difficoltà a trovare informazioni su chi c'è dietro, a parte "Andrew Thompson", noto come Andy da queste parti.

Sembra che stia facendo un ottimo lavoro fornendo tutti questi utili pacchetti. Devo utilizzare il repository su server aziendali attivi e l'utilizzo di repository non ufficiali fa scattare immediatamente un allarme in me.

• È un repository per una sola persona?
• È supportato da un'azienda?
• Sembra esistere da qualche anno ormai, ma per quanto riguarda domani? (a parte l'asteroide gigante che può spazzarci via tutti)
• Quanto è sicuro? Non desidero yum updatequindi scaricare un trojan.
• Con quale rapidità vengono implementate le correzioni di sicurezza dei pacchetti forniti? ....

Il feedback degli amministratori CentOS / RedHat nella vita reale sarà molto apprezzato.

Grazie in anticipo

Quando ho iniziato come amministratore Linux 8 anni fa, utilizzavo un noto repository di terze parti per aggiornare il mio stack LAMP. Era gestito da un singolo individuo. Uno dei motivi principali era che gli sviluppatori mi facevano pressioni per una versione più recente di PHP rispetto a quella fornita con RHEL 5. Alla fine mi ha morso.

La persona ha abbandonato i repository, quindi non ottenevo più aggiornamenti di sicurezza, ma non riuscivo nemmeno a rimuovere tutti i pacchetti più recenti e tornare ai pacchetti RHEL a causa della versione RHEL di PHP che proveniva da un ramo troppo vecchio. Passare allo stack LAMP di quel repository ha toccato almeno una mezza dozzina di pacchetti o più. Pertanto, mantenere questi pacchetti e ricompilarli tutti di volta in volta sarebbe un grande PITA.

Si perde anche la possibilità di utilizzare gli avvisi di sicurezza del fornitore del sistema operativo in merito alle vulnerabilità CVE per determinare se il proprio sistema è o meno vulnerabile a un determinato exploit per tali pacchetti. Questo si è rivelato un grosso problema per me anni dopo, anche se non avrei mai previsto in quel momento.

Quindi, oltre ad avere fiducia nell'integrità e nelle capacità tecniche dei manutentori, devi chiederti se ti fidi di non passare a un nuovo lavoro che non permetterà loro di mantenere il repository, o sposarsi e avere figli e non più avere tempo, ecc ....

Da allora sono stato molto scaltro sull'uso di repository di terze parti, in particolare quelli che hanno solo una persona che li gestisce.

La domanda non è se ci fidiamo di Andy, è se ti fidi di Andy.

Non ho familiarità con il repository ma il pulsante di donazione suggerisce uno sforzo personale. Sentiti libero di contribuire se ha valore per te.

I pacchetti sembrano essere firmati GnuPG, quindi è possibile verificare con una certa sicurezza che i pacchetti sono autentici. Puoi anche verificare se si trova sulla rete di fiducia.

Per quanto riguarda la qualità o la sicurezza, è meglio se qualcun altro dà un'occhiata a come sta andando il repository. Questo potresti essere tu. Iscriviti agli avvisi di sicurezza a monte e controlla se sono interessati. Valuta i pacchetti come farebbe un revisore per Fedora.

Se la continuità di questi pacchetti è importante per te, acquisisci competenze simili. Impara l'imballaggio o assumi qualcuno che può.

Remi è lo standard per le ultime build di PHP per RHEL. È una fonte consolidata e affidabile per i pacchetti RPM che viene mantenuta attivamente e include il maggior numero possibile di pacchetti pertinenti.

La fonte webtatic è sconosciuta e non attendibile. Non dovrebbe essere usato affatto.

L'ho trovato in esecuzione su un sistema legacy. Aveva una grave perdita di memoria. L'ho sostituito con Remi, esattamente la stessa versione di PHP e all'improvviso tutto procede senza intoppi. Non credo sia nemmeno una compilazione stabile.

In generale, a meno che tu non sappia che c'è una funzionalità di cui davvero seriamente hai bisogno e in realtà non puoi vivere senza (come molte persone crederanno di non poterlo fare ... fino a quando non sarà una scelta tra "vecchio" o niente), allora rimani con i pacchetti del fornitore.

Insegna ai tuoi webdev perché un ramo non è un'istantanea stagnante e mostra loro - PHP è un'ottima per questo - in che modo il rebasing a monte porta molti più bug; e come in molti casi il tempo di risposta per un backport attorno a un problema di sicurezza sia effettivamente più veloce e più affidabile consegnato da una distribuzione nella loro filiale gestita (perché è la priorità e il lavoro di qualcuno) rispetto alla versione OEM a monte.

Potresti essere quello che ha effettivamente successo, e lo devi a tutti noi per provare ;-)