Webtaticリポジトリの背後にいるのは誰ですか？

Webtaticリポジトリには、CentOSとRedHatに役立つパッケージがたくさんあります。しかし、リポジトリは非常に不透明であり、この背後にあるAndyとして知られる「Andrew Thompson」のアパートの背後にいる人物の情報を見つけるのに苦労しています。

彼は、これらすべての便利なパッケージを提供する素晴らしい仕事をしているようです。稼働中の会社のサーバーでリポジトリを使用する必要があり、非公式のリポジトリを使用するとすぐにアラームがトリガーされます。

• 一人称リポジトリですか？
• 会社に支援されていますか？
• 今は数年間存在しているようですが、明日はどうですか？（私たち全員を拭くことができる巨大な小惑星の一部）
• どのくらい安全ですか？次にyum updateトロイの木馬をダウンロードしたくありません。
• 提供されたパッケージのセキュリティ修正プログラムはどれくらい迅速に展開されますか？....

実際のCentOS / RedHat管理者からのフィードバックは大歓迎です。

前もって感謝します

8年前にLinux管理者として初めて仕事を始めたとき、私はLAMPスタックをアップグレードするために人気のあるサードパーティのリポジトリを使用していました。一人の個人によって運営されていました。主な理由の1つは、開発者がRHEL 5に付属していたものよりも新しいバージョンのPHPを要求していたことです。

その人がリポジトリを放棄したため、セキュリティ更新プログラムを入手できなくなりましたが、PHPのRHELバージョンが古すぎるブランチであるため、新しいパッケージをすべて削除してRHELパッケージに戻ることもできませんでした。そのリポジトリのLAMPスタックに移動すると、少なくとも半ダース以上のパッケージが影響を受けました。したがって、それらのパッケージを保守し、時々すべてを手作業で再コンパイルすることは、主要なPITAになります。

また、CVEの脆弱性に関するOSベンダーのセキュリティアドバイザリを使用して、システムがこれらのパッケージの特定のエクスプロイトに対して脆弱であるかどうかを判断することもできなくなります。このことは、私がその時に予想していなかったとしても、数年後の私にとって大きな問題であることがわかりました。

したがって、メンテナーの整合性と技術スキルに信頼を置くことに加えて、リポジトリを維持できない、または結婚して子供ができなくなった新しい仕事に移らないことを信頼するかどうかを自問する必要があります時間があるなど。

それ以来、私はサードパーティのリポジトリ、特にそれらを実行しているのが1人だけのリポジトリを使用することについて非常に巧妙でした。

問題は、アンディを信頼するかどうかではなく、アンディを信頼するかどうかです。

私はリポジトリに精通していませんが、寄付ボタンは個人的な努力を示唆しています。あなたに価値があるなら、気軽に貢献してください。

パッケージはGnuPGで署名されているように見えるため、パッケージが本物であることを確実に確認することができます。また、彼が信頼の輪の上にいるかどうかを確認することもできます。

品質またはセキュリティに関しては、リポジトリがどのように行われているかを他の誰かが見ているのが最善です。これはあなたかもしれません。アップストリームセキュリティアドバイザリを購読し、それらが影響を受けるかどうかを確認します。Fedoraのレビュー担当者と同じようにパッケージを評価します。

これらのパッケージの継続性が重要な場合は、同様のスキルを習得してください。パッケージングを学ぶか、できる人を雇います。

Remiは、RHELのPHPの最新ビルドの標準です。彼は、RPMパッケージの長い間確立された信頼できるソースであり、積極的に保守されており、可能な限り多くの関連パッケージを含んでいます。

Webtaticソースは不明であり、信頼できません。まったく使用しないでください。

レガシーシステムで実行されていることがわかりました。深刻なメモリリークが発生していました。まったく同じPHPバージョンのRemiに置き換えたところ、突然すべてがスムーズに実行されました。安定したコンパイルでさえないと思います。

一般的に、あなたが実際に真剣に必要な機能があり、実際にそれなしでは生きていけない機能があることを知らない限り（多くの人々は「古い」か「何もない」の選択になるまではできないと信じているため）、ベンダーパッケージを使い続けます。

ブランチが停滞したスナップショットではない理由をwebdevsに教え、それらを示します-PHPはこれに最適です-アップストリームリベースがはるかに多くのバグをもたらす方法。また、多くの場合、セキュリティ問題に関するバックポートの応答時間は、上流のOEMバージョンよりも、保守されたブランチのディストリビューションによって（誰かの優先順位と仕事であるため）実際に速く、より確実に配信されます。

実際に成功するのはあなたかもしれませんが、他の人に試してみてください。