Но есть же всякие ухищрения типа strong namer, позволяющие подписывать самому неподписанные. Вот думаю, не лучше ли туда отправить

И ты такую либу с той же версией нахер пошлёшь как скамерскую

И чо?

И то что ты требуешь Нутонсофт.жсон 1.0.5 public key=3638dbdb

Мы вроде делали, чтобы совпадало

Мы вроде делали, чтобы совпадало

Это равносильно подбору биткоина

Ключ не завязан на содержимое

Ключ не завязан на содержимое

Да ладно

Прохладно

Ща узнаем точно. Я думал там паблик ки от содержимого берется (а от чего ещё?)

Нет

Снаружи сажается

What makes a strong-named assembly? A strong named assembly is generated by using the private key that corresponds to the public key distributed with the assembly, and the assembly itself. The assembly includes the assembly manifest, which contains the names and hashes of all the files that make up the assembly. Assemblies that have the same strong name should be identical.

Говорят что стронг нейм ассембли включает в себя хеши файлов

Я никогда этой фичей не пользовался если что, хз

Ща, до компа доберусь

Добрался

Ключ там внешний

И от контента не зависит

А зачем некоторым людям стронгнейм

В общем, лет 10 назад мы зашивали сертификат

И имели список файлов с хэшами

Который на старте проверяли

@omgszer

Warning Do not rely on strong names for security. They provide a unique identity only.

ЦИТАТА

Из доки по мсдн

А какое отношение к strong naming библиотек в 2021 году? По-прежнему раздраженное или с приходом .NET 5 окей?

Отрицательное

Но Новотны заявляла, что вариантов нет

Отрицательное

А почему? Вот Newtonsoft делает это уже много лет, в чем сейчас проблема?

А почему? Вот Newtonsoft делает это уже много лет, в чем сейчас проблема?

Потому что мне, как мейнтейнеру, этот геморрой зачем?

Но Новотны заявляла, что вариантов нет

Да, помню, Новотны писал (тогда еще писал, не писала), что надо.

Какую пользу он принесёт?

А почему? Вот Newtonsoft делает это уже много лет, в чем сейчас проблема?

Потому что обратного пути нет

Потому что мне, как мейнтейнеру, этот геморрой зачем?

Being service oriented

Being service oriented

То есть ни за чем.

Будет отдельный скрипт сборки для публикации, отдельный для разработчика. Концепция immutable артефакта идёт лесом, скорее всего

А польза не очень понятная

А польза не очень понятная

Была бы мне понятна, я бы не спрашивал. Но меня ж рефлексия разъедает, как любого разработчика. Чувство собственного несовершенства

Польза - использование из других сборок со стронг неймом

Польза - использование из других сборок со стронг неймом

Они могут сами подписать моё, если им зачем-то это очень надо

Заодно проведут security audit

Они могут сами подписать моё, если им зачем-то это очень надо

Могут, но это ОЧЕНЬ неудобно

Заодно проведут security audit

Зачем?

Зачем?

Ну мало ли в моей библиотеке малварь

Стронг нейм это не про безопасность все таки

стронг-нэйм малварь

Warning Do not rely on strong names for security. They provide a unique identity only.

Вот!

Unrelated: сейчас из подъезда вышел мужик в куртке, шапке, посмотрел на +23, спросил какое число и такой: "что-то я наверно тепло оделся, пойду переоденусь"

год не спросил?

Стронг нейм это не про безопасность все таки

Ну, если ты что-то подписываешь своей подписью, неплохо бы этот код проверить на безопасность

Ну, если ты что-то подписываешь своей подписью, неплохо бы этот код проверить на безопасность

Это же не аутентикод

Это же не аутентикод

Это я тебе про административный процесс и подход

Или ты договора тоже подписываешь не читая?

Или ты договора тоже подписываешь не читая?

Стронг нейм это не криптографическая подпись

По крайней мере по задумке

Как же она тогда identity гарантирует?

год не спросил?

Нет

Если стронг нейм не подписывает содержимое - нахуй не надо. Я думал хотя бы ради этого -_-

Вообще непонятны профиты

Как же она тогда identity гарантирует?

Используя криптографию!

Для подписи содержимого нужен аутентикод, но никак не стронг нейм

зачем вообще нужны ключи, если хэши файлов и так можно проверить?

зачем вообще нужны ключи, если хэши файлов и так можно проверить?

ну руками-то понятно, хотелось бы удобнее

зачем вообще нужны ключи, если хэши файлов и так можно проверить?

Как ты себе это представляешь?🤔

Как ты себе это представляешь?🤔

качаешь исходники, компилишь, берешь хеш, проверяешь хеш своей длл с эталонным!!11

всё разъебывается на этапе "компилишь" как правило

https://youtu.be/q11Xfgfkx90

качаешь исходники, компилишь, берешь хеш, проверяешь хеш своей длл с эталонным!!11

Линукс вей?😁

так падажжите. что такое этот ваш стронг нэйм? encode(private key, hash([(file.name, hash(file) | file <- assemnly.files])) грубо говоря?

если так, то почему это с секьюрити не связано? не даёт подменить ассемблю какой-то малварью. то, что оригинальная ассембля может быть малварью - другой вопрос

чтобы проверить, что не малварь, надо делать аудит кода. но откуда ты знаешь, что эта ассембля подписанная вообще собрана из того кода, аудит которого проводился

https://www.infoq.com/news/2021/05/corewcf-first-ga-release/?utm_campaign=infoq_content&utm_source=infoq&utm_medium=feed&utm_term=.NET

https://github.com/dsplaisted/strongnamer В общем я пока к этому склоняюсь.

Посмотрел доклад Айрата @omgszer (история ФП), 1й вопрос из зала- что почитать из теории чтоб понимать твой доклад 😁😁😁

Доклад кстати интересный 👍

Посмотрел доклад Айрата @omgszer (история ФП), 1й вопрос из зала- что почитать из теории чтоб понимать твой доклад 😁😁😁

Он посоветовал почитать сопромат?🤔

ммм сопромат все же другая штука

Он посоветовал почитать сопромат?🤔

лучше

Он посоветовал почитать сопромат?🤔

Он посоветовал сразу на фшарпе писать 😁

Он посоветовал почитать сопромат?🤔

https://github.com/hmemcpy/milewski-ctfp-pdf