TG Daily - Secunia je objavila polletno poročilo (PDF-datoteka) o ranljivostih v izdelkih različnih proizvajalcev, ki so bile odkrite letos. Neslavno prvo mesto je pripadlo Applu, a to ni edina plat medalje.
Deset proizvajalcev z največ ranljivostmi je odgovornih za 30 odstotkov vseh odkritih ranljivosti. Da bi dobili zgodovinski pregled, so pri Secunii teh deset preučili za nazaj do leta 2005 in narisali graf. Ugotovili so, da so bili na prvih treh mestih ves čas Oracle, Apple in Microsoft, le nekoliko so se izmenjevali v vodstvo. Letos vodečemu Applu sledi Oracle, tretji je Microsoft. Zanimivo je, da povečanemu vlaganju v varnost navkljub nobeno izmed teh podjetij ni uspelo zmanjšati števila odkritih ranljivosti - nasprotno, krepko je raslo.
Druga plat medalje pa pravi, da je večina Applovih ranljivosti bolj teoretične narave, medtem ko so Microsoftove v praksi mnogo laže in tudi pogosteje zlorabljene. Nadalje, ker je uporabnikov Microsoftovih programov mnogo več, dejansko 90 odstotkov vseh zlorab odpade nanje. Žalostno je, da se je število ranljivosti, ki prežijo na povprečnega uporabnika računalnika s povprečno programsko opremo, povečalo z 220 na 420 v zadnjih treh letih, letos pa grozi vnovična podvojitev. Od teh je več kot polovica resnih ali kritičnih.
Iz grafa je razvidno, da je v teh petih letih Apple vedno pred Microsoftom po št. ranljivosti. Morda pa Appleov Mac OS X, le ni toliko varnejši od Microsoftovih Windowsev (očitno je prav nasprotno).
O hvala slotechovci za ponovni "test" ranljivosti, od katerega izvem natančno nič. Tako bodo nekateri manj poučeni lahko tu videli razlog za svojo neutemeljeno sovražnost do tega ali onega proizvajalca.
O hvala slotechovci za ponovni "test" ranljivosti, od katerega izvem natančno nič. Tako bodo nekateri manj poučeni lahko tu videli razlog za svojo neutemeljeno sovražnost do tega ali onega proizvajalca.
Saj niso slo-techovci naredili testa... so samo objavili povzetek.
no je treba povedat, da tisti, ki mamo kaj pojma vemo kakšno je stanje in zakaj je takšno. če pa pomislimo na laike je pa ta članek (po moje!) zavajajoč in težko razumljiv...
The reason why most of society hates conservatives and
loves liberals is because conservatives hurt you with
the truth and liberals comfort you with lies.
Ojoj, groza Ni mi jasno, kako sploh lahko kdorkoli objavi tako "raziskavo".... Že iz samega grafa bi moralo biti vsakemu na daleč očitno, da je tole največji možen absurd.
Par stvari:
Kako je možno med seboj primerjati POPOLNOMA različne firme s POPOLNOMA različnimi produkti (npr. Cisco in Adobe)??? "Tvoj bicikel ima več varnostnih ranljivosti kot moj glavnik. -- Aja? A bejž no..." Dobro, da vem, da bom naslednjič namesto Photoshopa raje kupil Ciscov switch, ker je bolj varen...
Kako je možno vreči v isti žakelj kar vse produkte neke firme? Microsoft dela vse od igrač do izredno kritičnih produktov. Ranljivost v Mine Sweeperju pač ni isto kot ranljivost v SQL Serverju.
Vsakemu bi moralo biti jasno, da več ko ima podjetje produktov, več bo potencialnih ranljivosti. Npr. moj edini javno objavljen produkt je zastonj programček s približno 20 uporabniki (in tudi približno toliko vrsticami kode). Zaenkrat še ni bila odkrita nobena ranljivost, torej sem boljši proizvajalec softvera kot Microsoft?
Še en lep primer absurdnosti: združevanje podjetij. Recimo, da so Oracle, Sun in BEA relativno kvalitetna podjetja, od katerih ima vsako samo 100 ranljivosti, medtem ko jih ima Microsoft 200, torej vsi so voljši od Microsofta. Nato Oracle kupi Beo in Sun, in kar naenkrat ima Oracle 300 ranljivosti, in brez da bi se v njihovih produktih karkoli spremenilo, vsi skupaj postanejo "slabši" od Microsofta.
Kako lahko vse ranljivosti štejejo enako? Ranljivost, ki v najslabšem primeru povzroči, da se nekemu uporabniku prikaže neželeno sporočilo, pač ni enako težka kot ranljivost, zaradi katere lahko Amazonu ukradejo številke kreditnih kartic vseh njihovih strank.
V primerjavo so vključena podjetja s POPOLNOMA različno verjetnostjo odkritja ranljivosti: open-source ponudniki softvera (izvorna koda z vsemi ranljivostmi vred je javno objavljena), closed-source ponudniki softvera (softver je javno objavljen v izvršljivi obliki), in online ponudniki storitev (tako izvorna kot izvršljiva koda sta zaprti). Google svoje ranljivosti javno objavlja? Ja, sigurno...
Verjetno bi lahko naštel še marsikaj, ampak mislim, da je že tole več kot dovolj. Avtorjem te "raziskave" bi morali doživljenjsko prepovedati uporabo statistike, ker bodisi nimajo o njej najmanjšega pojma, ali pa (bolj verjetno) namerno zavajajo ljudi, ki nimajo pojma.
Kakorkoli, urednike Slo-Techa bi prosil za malo kritične presoje pred objavo takih in podobnih "raziskav". Namreč vsak, ki ima 5 minut časa, lahko sešteje par številk in jih da na graf; ampak če ima ta graf DEJANSKO nek pomen, je pa popolnoma drugo vprašanje... In od Slo-Techa bi pričakoval malo višji nivo verodostojnosti informacij kot od trač revij.
"Nasvet za hujšanje: uporabljajte VMware namesto Apple."
O hvala slotechovci za ponovni "test" ranljivosti, od katerega izvem natančno nič. Tako bodo nekateri manj poučeni lahko tu videli razlog za svojo neutemeljeno sovražnost do tega ali onega proizvajalca.
Saj niso slo-techovci naredili testa... so samo objavili povzetek.
Ja doh da niso oni naredili testa. Komentar je letel na dejstvo da je takih novic na S-T malo morje. Obiskovalcev S-Tja pa take novice ne izobražujejo nič bolj kot novice s kom se je lady Gaga poročila.
No, povedat hočem, da novic nikol ni preveč. Kaj pa kdo naredi z vsebino novice je pa njegova stvar. Recimo, mene ne bi motilo, če bi na Slo-techu zvedel tudi kaj o Gady LaLa.
Jumping Jack , glej ti dam tipični primer. Tvoja točka 1 : Adobe kupi Cisco (ha ha ha). V ADOBE Production Sutu, naredim projekt , kjer finaliziram film recimo Avatar2. Sedaj pa jaz v tvojem Cisco routerju uporabim neko nepomembno lukno, ki promet na tvojo backup lokacijo, naredi še mirror promet na mojo lokacijo. Potem ker imam kompletni projekt, samo špice zamenjam, in to objavim. Luknja je načeloma nepomembna, kriv bo pa Adobe, ki luknje v Cisco Routerju, ni odpravil. Od tu 1+1 se luknje seštevajo, Seveda je prometa za tak film preveliko, lahko pa je recimo backup lokacija, tvoje produkcijske baze naročnikov.... Tvoja točka 2 : Glej točko ena, banalna napaka, ki lahko povzroči miljonski izpad... Tvoja Točka 3 : Nimam kaj za komentirati. Kolikor večji je tržni delež penetracije, toliko bolj je produkt zanimiv, za razna druga opravila ? Tvoja Točka 4: , glej Točko 1. Tvoja Točka 5 : Glej vsi, ki se ukvarjajmo, ali zavedamo o varnosti vemo da je za probleme v večini primerov kriv Uporabnik, ki tako brezvestno meče okoli podatke. Fishing, je bolj zanimiv, ko nameščanje zlobne kode. Problem je da uporabnik ne razume, če se politično izrazim, Materije, potem pa to dobi v roke politik, ki verjetno še manj razume to Materijo, in naredi zakon, mrežo, ali podobno, ki bo ščitila take uporabnike. Politik pa ne razume ,da tak tup tup uporabnik , brez kakršnega koli zadržka, pove zadnje tri številke na zadnji strani VISA kartice, če le dobi tako vprašanje. Ej sej me sedaj pa država ščiti.
Tvoja točka 6 : Glej točko tri.
PS : Če pralni stroj ima bluetooth, potem je skoraj vrjetno ranljiv, in se ga lahko uporabi kot morilsko orožje. Za načine pa uporabite lastno domišljijo.
France Rejects Genocide Accusations Against Israel in Gaza,
To accuse the Jewish state of genocide is to cross a moral threshold
Mr.B, mislim, da si malo narobe razumel. Namen mojega posta ni bil diskutirati o varnostnih problemih, ampak zgolj izpostaviti nesmiselnost takihle "raziskav". Jasno, da se ranljivosti "seštevajo", ko dodajaš tehnologijo na kup (ko uporabljaš več produktov istočasno). In jasno, da za ranljivosti odgovarja tisti, ki je lastnik produktov. Ampak enostavno sešteti število znanih ranljivosti v vseh produktih posameznih firm, in te številke primerjati med sabo, je pa prekleto zgrešeno (zaradi razlogov, ki sem jih naštel). Torej samo "raziskavo" sem kritiziral, nič drugega.
Glej sem francelj, uporabljam produkt samo enega proizvajalca. Francel dobil dobre posle, sedaj uporablja produkte dveh proizvajalcev. Potem sem nek Enterprise, kjer uporabljam deset proizvajalcev, z n različnimi produkti in funkcijami. Sedaj delam replikacijo finančnih podatkov med SQ bazo, ORacel produkcijo, in DB2 bazo. Torej imam sedaj tri produkte ki imajo svoje ranljivosti, dejansko z uporabo treh produktov, imam statistično 3x večjo verjetnost ranljivosti (pod pogojem da imajo vsi enako število lukenj) kot če uporabljam samo en produkt. Torej to je problem, gledati je potrebno širše, ne to kar mene direktno prizadene, potem je objavljena statistika neuporabna.
France Rejects Genocide Accusations Against Israel in Gaza,
To accuse the Jewish state of genocide is to cross a moral threshold
Oh, poglejte si kakšne predstavitve od Phenoelit. S tem, da so oni te zadeve, ki jih prestavljajo danes vedeli že vsaj par mesecev, celo let prej. Najbolj legendarna je bila tista, ko je FX ugotovil kako z enim samim magičnim paketkom rootnit katerikoli Cisco router...
Ok, mene pa nekaj drugega zanima. GOOGLE, ANDROID. Je tam na koncu ena pikca, ni grafa. A to pomeni da je nastal leta 2010? Ker google crome je že dalj časa zunaj? In če da? A to pomeni, da na začetku delajo dobro, potem pa vidijo, da je bolje narediti luknjastega, ker vidijo neke svoje interese?
Glej vsi, ki se ukvarjajmo, ali zavedamo o varnosti vemo da je za probleme v večini primerov kriv Uporabnik
Horda zlobnih uporabnikov je leta 2001 sredi noči vdrlo v premise Microsofta in tajno vgradila v Windows kodo VIS (Virus Import Service), ki od takrat laufa in preko mreže svobodno pušča v sistem viruse in črve ala Blaster &: co.
Ubogi MS, ki mora pucati zlobno vstavljeno kodo uporabnikov iz Windows.
1.) Mozilla ima letos tak padec? 2.) Te barve v grafu so za en *****. A niso opazili, da ima 90% folka zdaj LCD monitorje, kjer je barva piksla odvisna od položaja gledalca? (JPEG blur stvar samo še "izboljša") 3.) Kake izdelke pa ima Oracle??? Bazo? Še kaj?
Ni mi jasno, kako sploh lahko kdorkoli objavi tako "raziskavo".... Že iz samega grafa bi moralo biti vsakemu na daleč očitno, da je tole največji možen absurd.
