Hacker News Digest

Калифорния приняла поправку к закону о верификации возраста, освободив все открытые операционные системы — включая Linux, BSD и SteamOS — от обязательства собирать данные о возрасте пользователей. Исключение распространяется на ПО, распространяемое под лицензиями GPL, MIT, BSD и Apache, что охватывает Debian, Ubuntu, Arch и другие дистрибутивы. Закон теперь не применяется к системам, где пользователи могут свободно копировать, изменять и перераспространять код, а также к библиотекам и зависимостям, устанавливаемым через пакетные менеджеры вроде apt и pacman.

Поправки также устранили абсурдное определение «пользователя», которое автоматически классифицировало всех владельцев устройств как детей, и запретили запрашивать сигнал возраста без прямого законного основания, закрывая путь к злоупотреблениям. Разработчики получили защиту от ответственности за ошибочные сигналы. Windows, macOS, iOS и Android остаются под законом — им нужно будет запрашивать возраст при создании учётной записи с 1 января 2027 года. Статус SteamOS остаётся неясным из-за проприетарного клиента Steam, но GrapheneOS теперь полностью вне юрисдикции закона.

Исключение Linux и открытого ПО из закона о верификации возраста — тактическая уступка, которая может привести к блокировке Linux-клиентов соцсетями: без сигнала возраста от ОС платформы не смогут выполнить требования, а исключение лишь смещает проблему приватности на другие уровни, не решая её. Участники спорят о границах исключения: одни считают, что под него подпадут только Linux, тогда как Android и GrapheneOS могут быть заблокированы; другие предлагают расширить его на браузеры и гипервизоры или вовсе использовать blacklist закрытых коммерческих систем вместо whitelist открытого ПО. Исключение технически обосновано, но юридически хрупко — законодатели могут пересмотреть определение «открытого ПО». Принятие закона единогласно вызывает подозрения в лоббистском давлении и подготовке к отмене исключений. Большинство согласны, что закон — плохая политика: он не решает корневую проблему приватности, не проверяет возраст, а требует передачу сигнала, превращаясь в инструмент слежки. Вместо защиты детей он перекладывает ответственность на разработчиков ОС, игнорируя родительский контроль и образование, а для школьников, уже сталкивающихся с жёсткой цензурой, Linux может остаться единственным путём к открытому интернету. Среди предложений: использовать ZK-доказательства возраста на уровне протокола HTTP и пересылать этот пример законодателям Иллинойса для влияния на аналогичные инициативы.

Debian планирует внедрить обязательные зависимости от Rust в APT не ранее мая 2026 года. Изначально это коснется компилятора Rust, стандартной библиотеки и экосистемы Sequoia. Разработчики отмечают, что код для парсинга .deb, .ar, .tar файлов и верификации HTTP-подписей значительно выиграет от использования безопасного с точки зрения памяти языка и улучшенного подхода к юнит-тестированию.

Мейнтейнерам портов без работающего инструментария Rust дано 6 месяцев на внедрение поддержки, в противном случае их порты будут закрыты. "Важно для проекта в целом иметь возможность двигаться вперед и полагаться на современные инструменты и технологии, а не быть сдерживаемыми попытками втиснуть современное ПО на ретро-устройства", — говорится в сообщении. Это решение отражает стратегический сдвиг Debian в сторону повышения безопасности и надежности системных компонентов.

• Дискуссия вокруг требования к Rust в Debian выявил, что спор касается не только безопасности, но и поддержки архитектур, лицензий и долгосрочной стабильности.
• Участники обменялись взаимными обвинениями в «религиозной вовлечённости», «попытке монополизировать инфраструктуру» и «попытке вытеснить C и C++».
• Некоторые участники подняли вопрос о том, что выбор языка программирования не должен быть предметом политики, а также о том, что влияние на совместимость с другими архитектурами и надежность инструментария.
• Обсуждение также затронуло вопрос о том, какие именно архитекруры считаются "живыми", и как это влияет на поддержку устаревших систем.
• В конце концов, участники согласились, что важно сохранить возможность выбора инструментария для разработки, но при этом не забывать о практических последствиях такого выбора.

Ubuntu 25.10 представляет поддержку архитектурных вариантов, в частности amd64v3 (x86-64-v3), позволяя оптимизировать пакеты под современные процессоры без потери совместимости со старым оборудованием. Для этого были изменены dpkg, apt и Launchpad, чтобы создавать несколько версий пакетов для разных уровней архитектуры. В текущем релизе около 2000 пакетов в компоненте "main" уже пересобраны, но они не прошли полное тестирование, поэтому возможны ошибки. Бенчмарки показывают прирост производительности около 1% для большинства пакетов и больше для числовых приложений.

Большинство облачных экземпляров и машин за последние 10 лет поддерживают x86-64-v3, что можно проверить командой ld.so --help | grep '\-v[0-9]'. Чтобы включить amd64v3, нужно установить последнюю версию dpkg и добавить конфигурацию APT::Architecture-Variants "amd64v3"; в /etc/apt/apt.conf.d/99enable-amd64v3, затем обновить систему. Важно, что после установки amd64v3 версий пакетов перенос жесткого диска на старое оборудование без поддержки x86-64-v3 станет невозможен. В 26.04 LTS эта проблема будет решена, а все пакеты будут пересобраны и полноценно протестированы.

• Ubuntu 25.10 предлагает оптимизированные пакеты для x86-64-v3 (AVX2), но не делает акцент на этом в анонсе.
• Сторонние репозитории уже предоставляют оптимизированные пакеты для разных уровней ISA, что делает спор о «1 % прироста» не столь значимым.
• Вопрос о том, стоит ли жертвовать совместимостью ради 1 %, остаётся открытым, особенно если учесть, что в будущем может появиться v4 или v5.
• Пользователи обеспокоены, что не смогут вынуть диск и загрузиться на старом ноутбуке в случае сбоя.
• Сторонние репозитории уже предоставляют оптимизированные пакеты для разных уровней ISA, что делает спор о «1 % прироста» не столь значимым.

В Ubuntu 25.10 обнаружен баг в Rust-версии команды date из пакета uutils, нарушающий автоматические обновления системы. Проблема затронула облачные развертывания, контейнеры, десктоп и серверные версии. Системы с rust-coreutils версии 0.2.2-0ubuntu2 или ранее подвержены уязвимости, исправленной в версии 0.2.2-0ubuntu2.1. Интересно, что баг не влияет на ручные обновления через apt.

Ubuntu реализует проект "окисления" дистрибутива, переходя на uutils и sudo-rs для версии 25.10, чтобы оценить пригодность Rust-утилит для долгосрочного выпуска в апреле. Этот переход вызвал дискуссию: одни считают, что замена проверенных десятилетиями C-утилит неизбежно приведет к краткосрочным проблемам, другие поддерживают инициативу как необходимую. Также поднимаются вопросы лицензирования MIT вместо GPL и управления проектом uutils.

• Обсуждение вокруг замены GNU coreutils на Rust-версию свелось к тому, что проблема лицензии (GPLv3 vs MIT), а не безопасность, и что в конце концов, как и следовало ожидать, никакой "серьёзной" уязвимости там не было.
• Участники обсуждения отмечают, что даже если бы это была уязвимость, то это была бы не более чем типичная для мейнтейнеров Ubuntu ошибка пакетов, которые не были бы исправлены в нужное время.
• Сообщество высказывает опасения по поводу переписывания критически важных утилит, которые были проверены временем, на новом и потенциально менее стабильном языке программирования.
• Некоторые комментаторы подчеркивают, что обсуждение не касается безопасности, а вопрос лицензии и что это не более чем естественное течение времени и что в конце концов, как и следовало ожидать, никакой "серьёзной" уязвимости там не было.