Trojanski konji tudi za Linux

BlackMaX je 9. avg 2013 ob 01:53 izjavil:

Ker nimam tega OSja, me zanima koliko ta trditev drži?

1. No code can ever be executed on a Linux desktop unless that code has the execute flag enabled. This keeps Linux users 100% safe.

Ne drži.

BlackMaX je 9. avg 2013 ob 01:53 izjavil:

2. There is no need for #2. #1 keeps Linux users 100% safe.

Ne drži.

100% varen je neumnost. Če poznaš koga, ki verjame v takšne pravljice, za zelo ugodno ceno prodajam malo rabljen most. Vse kar pričakejm je, da si sprotno razdeliva stroške transporta. Plačilo za most ob dostavi.

Koda nima "execute flag", datoteke jo imajo. Zastavica je informativnega značaja, ne pa "varnostni ukrep". Če želim lahko spišem aplikacijo, ki bo neko kodo naložila iz poljubne datoteke, lahko tudi neposredno preko omrežja, brez dotikanja lokalnega diska in jo izvršila.

$ echo echo fubar > foo.bar
$ sh foo.bar
fubar

Ooops. Izvršil sem kodo, pa ni bila označena kot izvršljiva.

Je doma kdo to preveril? Ooops 2.0. Moja koda se je izvršila na vašem domačem računalniku. Skoraj direktno iz spletne strani.

A se bi lahko sedaj prosim začeli resno pogovarjati o varnosti?

xxx je 9. avg 2013 ob 20:30 izjavil:

AndrejO zagotovo se motiš, sicer številke pravijo, da je linux notorično luknjast sistem, daleč bolj od Windows ampak to je samo zarota:

V čemu natančno se motim?

Aja se malo detajlov, npr. priviledge escalationi (ko dobis pravice, ki ti ne pripadajo, npr. ko uber-varen-user-sploh-ne-more-do-roota-pa-do-njega-vseeno-pride):
http://www.cvedetails.com/vulnerability...

techfreak :) je 9. avg 2013 ob 21:19 izjavil:

xxx je 9. avg 2013 ob 21:09 izjavil:

Aja se malo detajlov, npr. priviledge escalationi (ko dobis pravice, ki ti ne pripadajo, npr. ko uber-varen-user-sploh-ne-more-do-roota-pa-do-njega-vseeno-pride):
http://www.cvedetails.com/vulnerability...

Windows 7 jih ima letos 50, Linux pa 16. Poleg tega so pri Linuxu vse ranljivosti javne, pri Windowsu pa to ni nujno.

Dol mi visi ali je 1 ali 50 in koliko je javnih. Obe zadevi sta ko švicarski sir (kar je pri kompleksnosti in količine kode popolnoma razumljivo), ampak samo Linux fanboyi so dovolj neumni, da se hvalijo kako pa njihov sir nima lukenj. Dejstvo je, da linux še zdaleč ni varen in da ga pestijo popolnoma enake tezave kot Windowse. In pa predvsem nehaj nakladati koliko jih ima letos, popolnoma enake neumnosti kot jih od "vas" poslusam danes sem poslusal ze leta 2004, nic se ni spremenilo, vedno najdete kaksen lame excuse, od menjave vatlov naprej.

Poslusaj kekec, NT linja windowsov (ja od zacetka) ima vso podporo za štelanje permission na kernel objektih. By design. Zadeva je tako fine grained, da je dejansko nihče ne uporablja, ker se bi lahko administratorji cele dneve samo še s tem ukvarjali.

Pa taksnile "detajli" tudi niso prav v pomoč :P
http://thejh.net/misc/website-terminal-...

34054 je 9. avg 2013 ob 22:55 izjavil:

ti sistemi so redkeje tarče napadov in za njih je manj zle kode

Samo tule se bova strinjala. Teh sisteme uporablja 1% uporabnikov, tako da se za njih ne splača pisat "zle" kode. Ampak po drugi strani, tudi spectruma nihče več ne uporablja, je zato bolj varen? Najbrz...

Sicer si pa imel lepo plastičen primer kako ti vsa ta "varna" navlaka nič ne pomaga ker lahko čisto elegantno pastaš v konzolo neumnost. Lukenj imata pa oba sistema čisto dovolj, vaše zagovarjanje "bolj" varnega sistema je kot bi windowsaš in linuxaš na robu prepada blebetala kako je njegov cvirn boljši in ga bo dlje varoval pred padcem. Na koncu vseeno oba padeta. Bolj.. heh, my ass.

Aja, še to - I'm done with you. ;)

3 .. 2 .. 1 .. server side hack... lep dan

Posebej, ker nimaš ravno up to date, če je zapečen.

34054 je 9. avg 2013 ob 22:23 izjavil:

Kaj še torej preostane? Seveda .deb datoteke. Slednje se odprejo v Software Centru, skupaj z velikim odebeljenim opozorilom: "Hej, ne nalagaj tega, če ne zaupaš viru." Fino a ne? Moja punca, moja sestra, bosta ob tej priložnosti vse skupaj enostavno zaprli, ali pa pocukali za rokav mene in vprašali: "Hej, tukaj piše da bi nekaj lahko bilo nevarno. Kaj je to?"

Windows tudi vpraša "Ta fajl je lahko nevaren, si prepričan, da bi ga odprl".
Celo večkrat.

Glede "izkušnje mojega sorodnika" pa: sorodnik starejše generacije uporablja windows že kar precej let. In pazi to, o groza, "manj varno" verzijo, XP!
Pa dosedaj še en problem z malware ni imel. Spletno banko tudi uporablja.
PS: Pred tem ni znal kaj je folder in fajl. V bistvu še danes ne ve.

34054 je 9. avg 2013 ob 22:23 izjavil:

Dobro, torej, vedo, da vse kar rabijo je v Software Centru. Vsa ostala koda ki bi jo mogoče prenesli iz interneta nima execute flaga, in se torej ne bo izvršila; nasprotno, ob kliku na datoteko se bo prikazal izvorna koda v _Text Editorju_. Enako velja za .jar datoteke - odprle se bodo v _Archive Managaer_ aplikaciji, enako velja za .exe datoteke, in .zip in vse ostalo. Kul a ne?

Dokler uporabljaš aplikacijo, ki kompresirane izvršljive datoteke ne bo zagnala, se lahko slepiš, da "ostala koda ... nima ustrezne zastavice". Lahko jo ima. Tale zip vsebuje izvršljivo datoteko. Če jo boš slučajno razpakiral, jo boš lahko tudi slučajno zagnal. Z enostavnim klikanjem po vmesniku. Če so tvoji dovolj neizkušeni, da bodo sledili navodilu "prenesite iz arhiva na disk in tam odprite", mi lahko celo uspe podatkniti, kar rabim podtakniti.

Če pri tvojih ne, mi bo pa pri komu drugemu. Na koncu je vse skupaj samo igra številka.

Zastavica s katero se označi datoteko za neposredno izvršljivo (neposredno je tukaj ključna beseda), je še vedno samo pomoč in to takšna, da se jo lahko izkoristi v tvojo škodo (izvršljiva nujno.doc datoteka? mljac). Takšna, kot je končnica .exe v kakšnem drugem operacijskem sistemu. Pa tisti drugi sistem se je moral dobro potruditi, da je začel to oznako pred uporabnikom skrivati, grafični uporabniški vmesniki tega sistema pa večinoma še niso pogruntali kako to, potencialno nevarno lastnost, uporabniku jasno prikazati.

Pravilen prikaz je en izmed ključnih elementov varnosti. Ne pa zastavice. Sploh pa ne ta zastavica, ki nima zveze z varnostjo.

34054 je 9. avg 2013 ob 22:23 izjavil:

Torej, da, GNU-Linux sistem je samo po sebi bolj varen in _execute flag_ pri tem igra določeno (veliko) vlogo. Pika.

Koristna informacija o datotek ne pomeni "varnosten ukrep". Sploh pa ne neko "določeno (veliko) vlogo". Še zlasti pa ne, če zaupaš aplikaciji (Archive manager), da ti datoteke ne bo dovolila neposredno zagnati.

Na tej osnovi sklepati o varnosti GNU/Linux sistema v splošnem (brez upoštevanja vseh možnih variacij pa sploh), je nemogoče.

Bom poskusil še enkrat: se gremo raje resno pogovarjati o varnosti?

jype je 10. avg 2013 ob 01:22 izjavil:

MrStein> Windows tudi vpraša "Ta fajl je lahko nevaren, si prepričan, da bi ga odprl".

Nope - vsi profesionalni virusi to opozorilo zaobidejo z uporabo enega od znanih oziroma morda kakšnega neznanega mehanizma.

Ja, na neznanem kraju, na neznani način...

MrStein> Pa dosedaj še en problem z malware ni imel. Spletno banko tudi uporablja.

Ja, v resnici ima slackware, samo da se tega ne zaveda.

A ti imaš kaki dan, ko se ti ne blede?

jype je 10. avg 2013 ob 01:22 izjavil:

Nope - vsi profesionalni virusi to opozorilo zaobidejo z uporabo enega od znanih oziroma morda kakšnega neznanega mehanizma.

Dragi jype, to pa ne bo tako preprosto, dokler gre za širjenje preko uporabnikove neumnosti tega ne morejo zaobiti.

Mipe je 10. avg 2013 ob 13:55 izjavil:

Prevzetnost je ogromna varnostna luknja.

Ja, ampak trditi, da lahko tole zaobides je pa naravnost idiotsko...

if( isexecutable(filename))
{
if( !showdialog_canexecute() )
return;
createprocess(filename,...);
}

Imajo pa Windowsi res eno ogromno luknjo in to je prijaznost do uporabnikov, tukaj je Linux dalec bolj varen in iz istega razloga ga uporablja samo 1-2% (pa raje manj kot 2%) marginalcev.

Kjer se jim pojavlja napis "Hej, ne nalagaj tega, če ne zaupaš viru." in druge stvari iz teme, kajne?

Torej si spregledal sosednjo temo o OpenX?
Z mižanjem se res marsikaj reši, vprašaj naše politike, če ne verjameš.

Ne "Ubuntu", temveč Nautilius, ki je v vmesnikih Unity in Gnome privzeta aplikacija za brskanje po datotečnem sistemu. Če nekaj navajaš, navajaj natančno, sicer ti lahko argument odpišem z neumnim protiprimerom (npr. imam Ubuntu s KDE, ki se obnaša drugače - kdo ima sedaj prav?).

Očitno si razumel kaj sem hotel povedati, pa btw imenuje se Nautilus.

Pa tudi tega, mi ni potrebno storiti, ker ti lahko v arhivu podtaknem izvršljivo (ELF) datoteko, ki ima ime "nujno.doc ", česar ti Nautilius ne bo odprl na podlagi končnice.

$ file out.doc
out.doc: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.24, BuildID[sha1]=0x804cd8d475398f817950db007b8c7dcafbc26b0c, not stripped

Poglej si to, odpre mi jo v OpenOffice.

Pravilna je: pri tistih, pri katerih lastnik avtorskih pravic ne da pravice redistribucije (odrtokodnost potem več ni faktor).

Tukaj pa potem že govorimo o programski opremi namenjeno samo določenemu delu javnosti in takšne programske opreme za domačega uporabnika ni veliko.

Kaj pa, če je bil namestitveni paket "podtaknjenec"? Oops?

To se lahko pojavi tudi na ostalih sistemih, še vseeno pa je zelo malo oz. skoraj nič zlorab s strani razvijalca programske opreme. Poleg tega so vsi paketi digitalno podpisani in tudi ne more priti do MITM napada.

Ni bilo ocitno, vendar se v narekovajih skriva presledek. Ime datoteke mora biti "out.doc " in ne "out.doc".

Heh dobra fora.

Google Chrome, Microsoft Skype, Opera, Steam. Ce se uspes obesiti na nekaj popularnega in namesto pravega paketa podtakniti svojega, si svoje sanse ustrezno povecal. Skladisca so lepa stvar, ampak dokler izven osnovnega in prednastavljenega obstaja siroko uporabljana in popularna programska oprema, toliko casa bodo uporabniki imeli popolnoma legitimno zeljo, da bi si taksno programsko opremo namescali.

Opera je popularna? Steam imaš v software centru, Skype imaš na repozitoriju od Canonicala, za Chrome pa res potrebuješ dodati tuj repozitorij (njihov javni ključ je pa verjetno objavljen na večih mestih, tako da bi mogli spremeniti paketek ter tudi objavljen ključ).

To, da so paketi lahko podpisani, nima nikakrsnega pomena, ce sistem dopusca namestitev nepodpisanih paketov iz neznanih virov.

Vedno te obvesti ob nameščanju takšnih paketov. Če se pa sam strinjaš, da želiš kaj takšnega namestiti, te pa sistem ne bo oviral.

Očitno veš nekaj, česar jaz ne vem.

http://www.howopensource.com/2012/10/to...

Kako pa to "tuje" skladišče običajen laičen uporabnik doda?

http://www.howopensource.com/2011/10/in...

To je npr. ena težava, ki jo do sedaj nisem videl rešene in, razen pri Microsoftu, niti še nisem videl poskusov, da bi to že kdo reševal na način, ki bi "pil vodo", ko se pride do najbolj ogoroženega segmenta uporabnikov osebnih računalnikov, hkrati pa ne bi uvajal sistema, ki je danes najbolj znan in posneman pod imenom "AppStore".

Misliš SmartScreen od Microsoft 8? To je tista zadeva ki v polovici primerov pove, da program ni podpisan, v polovici primerov pa pove da je napaka glede povezave s strežnikom? V določenih primerih pa 5 minut preverja nekaj MB veliko datoteko in ti lahko samo čakaš, preden se ti dejansko zažene?

Verjetno je ta zadeva kriva za nezaupanje v programsko opremo in s tem tudi manjše dohodke teh podjetij. Uporabniki se ustrašijo in preprosto ne nadaljujejo z namestitvijo ... good job, MS.

AppStore je kar kul, žal pa vzamejo nekaj odstotkov denarja za sebe.

V /home je sicer en kup travniških rožic, ampak teh ni problem it ponovno nabirat. V /var je pa /www (s kar nekaj folderji).

Lepo da imaš na računalniku v /www spletne strani, ampak velika večina uporabnikov tega nima. Imajo pa vse svoje dokumente, fotografije, profile raznih programov, ... v /home imeniku.

Prav tako kot so tudi že ostali povedali, ima uporabnik tudi v poslovnem okolju dostop do vseh datotek, ki jih potrebuje za svoje delo.

Če nekomu izbrišeš /home oz. mape do katerih ima dostop mu lahko narediš katastrofalno škodo, če pa izbrišeš sistemske datoteke pa se da zadeva rešiti zelo hitro.

Načeloma pa zato ker se znam tudi na tujih napakah učit... in so vsi malo pomembnejši podatki shranjeni na najmanj dveh mestih (+ original).

Večinoma ljudje nimajo kopij svojih datotek.

techfreak :) je 10. avg 2013 ob 19:31 izjavil:

Iz neke naključne spletne strani bom v konzolo prilepil ukaze, katerih pomena ne poznam in ne razumem. Nekateri se začno s "sudo". :D

Lahko jih prepišeš in si tako prepričan da si res napisal canonical.com in google.com pri viru. Ni user friendly, je pa varno.

No, sedaj pa te prosim, da se postaviš v vlogo navadnega, tehnično neizobraženega človeka, ki se želi pogovarjati s prijateljem.

Prepišeš vrstico? Fail, ker je preprosto predolga. Kdo bo to prepisoval. Oseba, ki ima težave že z razporejanjem oken po zaslonu, zaradi česar jih ima najraje vedno povečane?

Kopiraš vrstico? CSS hide fail. Shellcode fail.

Ti nisi tarča. Jaz nisem tarča. Tarča so tisti, ki nimajo pojma o računalnikih, jih vidijo samo in izključno kot orodje in ki jih vsako vprašanje na poti do njihovega cilja ovira. Zadnja ideja, ki bi jim jo dajal v glavo je, da naj nekaj kopirajo ali prepisujejo iz nekega spletnega mesta.

Tudi če, potem to ne spremeni varnostne enačbe, kajti vse kar si s tem storil je to, da si premaknil sidro zaupanja. Če ne zaupam spletnem mestu, ki mi ponuja paket za prenos (vsebine ne morem avtenticirati in avtorizirati na uporabniku prijazen način), bom pa zaupal spletnem mestu, ki mi ponuja neko kodo, da jo izvršim (pri čemer vsebine te kode bodisi ne poznam, je ne razumem, ali pa je prikrita na način, da bo v trenutku, ko jo bom prilepil v terminal že prepozno).

Uf, ne hvala. Tole dam v kategorijo najslabših možnih rešitev za laike. Laiki pa so tisti, ki so najšibkejši člen in običajna žrtev zlorabe.

techfreak :) je 10. avg 2013 ob 19:31 izjavil:

Načeloma. Zgodovina tega je kar daljša in niso vsi koščki te zgodbe kar avtomatično zanič.

Samo povem da sem s tem imel več problemov kot pa koristi. Imel sem pa možnost ali ne zaupati programu ali pa ne uporabljati programa. Ugani kaj sem izbral.

Upam, da si izbral možnost "ne uporabljati", kajti to je edina pravilna izbira.

V skladu s to logiko in logiko poenostavljanja uprabniških vmesnikov, ki naj ne postavljajo retoričnih vprašanj, je seveda vprašanje popolnoma odvečno in bi ti moral biti zagon takšne aplikacije avtomatično preprečen s kratkim informativnim sporočilcem, da samo brez panike, ampak ta stvar ni delujoča.

Pragmatična in odškodninsko neodgovorna svetovna podjetja raje ponudijo možnost "ne teži mi več", da se jim ni potrebno ukvarjati s tehnično podporo še bolj nesposobnim neodvisnim razvijalcem.

techfreak :) je 10. avg 2013 ob 19:31 izjavil:

Veliko je takšnih programov, večkrat pa se tudi ne more povezati na njihove strežnike. Torej če imaš srečo je vse kar dobiš potrdilo da je paketek res sestavil proizvajalec in ne nekdo drug, kar še vseeno ne pomeni da ni trojanca notri.

Z ustrezno uporabo mehanizmov za podpisovanje kode lahko z visoko verjetnostjo zagotoviš, da je paket resnično sestavil proizvajalec in izključno ta bi lahko vstavil trojanca. Metanje kocke, ki je pogojeno z intenzivnostjo želje po zagonu programa (notranje prepričevanje v "saj ni nič narobe") tako nadomestiš z mnogo bolj zanesljivim razmislekom, če boš zaupal nepodpisanem paketu, paketu, ki ga je podpisala Mojca Pokrajculja iz Butal ali paketu, ki ga je v imenu Mojce Pokrajculje iz Butal podpisal Apple Inc.

V naslednjem koraku lahko to odločitev iz človeka preneseš na napravo samo in kvečjemu kje pri strani pustiš odprta vrata posebej za tisto skupino ljudi, ki to potrebuje, si želi in informirano sprejema posledice takšne odločitve. Laik za informirano odločitev ni izobražen (saj je laik), zato se strinjam, da mu je seveda ni potrebno ob vsakem kliku riniti pod nos.

Rezultat je predvidljiv natančno toliko, kot je predvidljiv odgovor na vprašanje "se strinjate, da vas sledimo s piškotki in o vas zbiramo vse možne podatke v zameno za to, da boste lahko v miru prebrali članek, ki se skriva pod tem opozorilom".

techfreak :) je 10. avg 2013 ob 19:31 izjavil:

Razlika med tem in Ubuntu repozitorji je v tem (glede na to kar sem prebral na internetu) da kupiš drag certifikat (ter se po možnosti še dogovoriš z Microsoftom za boljšo obravnavo) ali pa da imaš dovolj veliko število prenosov programa brez pripomb ter da se malware preverja pri uporabniku.

No, malo bolj nevtralno opisana konceptualna razlika je, da ti en pristop poskuša zagotavljati avtentikacijo kode (idealizirano je to jasna in pozitivna identifikacija dobavitelja - podpisnika kode), drug sistem pa ti poskuša zagotavljati avtorizacijo kode (idealizirano je to zagotovilo, da koda ne vsebuje zlonamernih elementov).

Pri prvem se izpostavljaš nevarnostim lažnega predstavljanja (Microsoft Inc. vs. Microsaft Inc.) in neznane stopnje zaupanja (ali lahko zaupam Mojci Pokrajculji?).

Pri drugem se izpostavljaš nevarnosti napačne ugotovitve, če malo zlorabim statistične izraze, tipa I (false positive) ali pa tipa II (false negative). Torej lahko ostaneš brez dobre aplikacije ali pa še vedno dobiš trojanca.

Pri obeh nisi varen pred napadom na infrastrukturo, kar pomeni, da to lahko omenim, ne morem pa šteti ne v slabo, ne v dobro katere koli strani. Verjetnost uspešnega napada na infrastrukturo je namreč preveč odvisna od detajlov implementacije in je zato od zunaj ni možno dobro oceniti.

techfreak :) je 10. avg 2013 ob 19:31 izjavil:

Kolikor sem zasledil ti pri Ubuntu oni preverjajo obnašanje tvojega paketka in ne moreš kar tako noter. Če pa hočeš dodati paket Debianu (od kjer potem pride k Ubuntu) pa moraš tako objaviti izvorno kodo in je stvar tudi pregledana.

Prva omejitev je ta, da moraš pokazati svojo izvorno kodo. Verjetno se strinjaš, da to ni realistično, saj želi povprečen uporabnik uporabljati tudi takšne aplikacije, ki niso odprtokodne. Lahko tudi takšne, ki jih tudi ni dovoljeno redistribuirati.

Glede pregledovanja izvorne kode, pa lahko glede na število diagnoz od kdaj je bila ta ali ona napaka prisotna v izvorni kodi in s tem vsaj "na papirju" vidna vsem, popolnoma argumentirano rečem, da je mit. Dodaj k temu še nesrečno napako, ko je en izmed razvijalcev za Debina paket sam "popravil" kodo za OpenSSL in s tem povzročil enega izmed največjih varnostnih incidentov tistega obdobja, pa dobiš res "impresiven" track record. Napaka, ki je bila vsem na očeh skrita dve leti.

Pojdimo naprej in pustimo mite pri miru.

techfreak :) je 10. avg 2013 ob 19:31 izjavil:

Torej očitno ni veliko razlike s strani uporabnika, razen v tem da pri Ubuntu zadeva vedno deluje in ni nadležna ter da so pri Windowsu vsi popularni zaprtokodni programi potrjeni.

Oboje potrebuje izobraževanje, oboje je pomanjkljivo, oboje je potrebno še naprej nadgrajevati, oboje vodi v sistemsko okolje v katerem bodo varovalke za uporabnika v osnovi in po naravi neločljive od sistemov za nadzor uporabnika.

Ne da bi želel zveneti apokaliptično ali kaj podobnega, vendar pa se osebno računalništvo (personal computing) kot ga poznamo zadnjih cca. 20 let (plus minus, odvisno od regije) nepreklicno bliža koncu tako po obliki, kot po vsebini. Varnostna vprašanja, kako zavarovati medsebojno permanetno povezane, vendar ne tudi strokovno vzdrževane sisteme, so tudi eno izmed gonil te smeri razvoja.

techfreak :) je 10. avg 2013 ob 22:07 izjavil:

Uf, ne hvala. Tole dam v kategorijo najslabših možnih rešitev za laike. Laiki pa so tisti, ki so najšibkejši člen in običajna žrtev zlorabe.

Ja, za laike pa to res ni najbolj primerna metoda, se strinjam. Očitno bodo morali nekako urediti še podporo za programe, ki ne spadajo v uradne repozitorije.

Mhm. To je pa sedaj jedro varnostnega problema te rešitve. Dokler obstaja enostavna možnost, da se rešitev zaobide, potem to ni varnostna rešitev. Ko začneš razmišljati kako ta vrata zapreti, pa te to zelo verjetno privede do omejitev, ki za marsikoga niso sprejemljive.

techfreak :) je 10. avg 2013 ob 22:07 izjavil:

Upam, da si izbral možnost "ne uporabljati", kajti to je edina pravilna izbira.

Seveda, če nimaš namena uporabljati računalnika ti je vseeno če ima programsko opremo ali ne. Drugače pa nimaš izbire in moraš zadevo zagnati/namestiti.

Vedno imaš izbiro. To, da izbire nimaš, je samo primer samomotivacijske zgodbice, ki si jo tipičen uporabnik "zaigra" v glavi, ko počne nekaj, kar mu vsi odvsetujejo, on pa hoče to in nič drugega. Povprečen uporabnik ne želi izbire. Če jo ima, ne bo izbral "pravilno pot", temveč bo izbral najhitrejšo pot.

Vnesi svoj EMŠO tukaj in sodeluj v nagradni igri za set čajnih skodelic. Varnost na tem nivoju deluje identično. Ker ga sistem opozarja, da kode ni možno preveriti (torej obstaja resna možnost, da je z njo kaj narobe), sam pa ni zmožen neodvisne objektivne preverbe, še manj pa objektivne in informirane odločitve kaj mora storiti v danem trenutku, je iz vidika varnosti rešitev samo ena in edina. Odvzem izbire, pojasnilo stanja in konec.

techfreak :) je 10. avg 2013 ob 22:07 izjavil:

V skladu s to logiko in logiko poenostavljanja uprabniških vmesnikov, ki naj ne postavljajo retoričnih vprašanj, je seveda vprašanje popolnoma odvečno in bi ti moral biti zagon takšne aplikacije avtomatično preprečen s kratkim informativnim sporočilcem, da samo brez panike, ampak ta stvar ni delujoča.

Zakaj ni delujoča in zakaj bi ti proizvajalec programske opreme imel pravico zavrniti zagon programske opreme, ki z njim nima nič opravka?

Vseeno je komu uporabnik sam podeli ali odvzame to pravico ali na kakšen način to izbiro opravi.

Kaj ima Canonical (hipotetično, če zapreš zogrnjo luknjo) za nadzirati katero programsko opremo je zaželjeno zaganjati na uporabnikovem računalniku? Ali pa Google? Ali pa Apple? Ali pa Microsoft? Ali pa kdorkoli?

Hkrati pa se tudi ti strinjaš z zaključkom, da zagon programa, ki je bil prenešen iz neznane lokacije iz varnostnega vidika ni najbolje urejen. Kako se to lahko uredi in ali je stranska posledica takšne ureditve, za laičnega povprečnega uporabnika, karkokoli drugačna od tega, da nekdo tretji, nekdo ki mu računalnik prednastavljeno zaupa, efektivno odloča o temu katera programska oprema bo na uporabnikovem računalniku delovala, katera pa ne.

techfreak :) je 10. avg 2013 ob 22:07 izjavil:

Obstajajo tudi druge alternative za preverjanje razvijalca, kot je recimo checksum datoteke ali self-signed certifikat, vendar je to težje za preveriti s strani uporabnika.

Checksum ni varnostna rešitev. Varnost takšne kode je za laika primerljiva z visokim standardom varnosti, ki ga predstavlja GIF slikica žiga na spletni strani za ribarjenje.

Ravno tako tudi samopodpisana potrdila niso varnostna rešitev. Izvoliš, tukaj imam pooblastilo za zastopanje tebe. Samo še podpišem te, pa je veljavno. To je samopodpisano digitalno potrdilo v tem kontekstu.

techfreak :) je 10. avg 2013 ob 22:07 izjavil:

Še vseeno pa v nobenem primeru to ne pomeni da ti ne boš dobil zlonamerne kode ter da je podpisani res tisti za katerega se predstavlja.

Se bom k temu vrnil malo nižje pri Mojci P.

techfreak :) je 10. avg 2013 ob 22:07 izjavil:

Torej v vsakem primeru moraš zaupati proizvajalcu.

Kot laik boš vedno moral zaupati nekomu. Kot strokovnjak boš moral večinoma zaupati nekomu. To so neizogibna dejstva.

techfreak :) je 10. avg 2013 ob 22:07 izjavil:

Načeloma boš tudi pri odprto kodnih projektih videl, da za večjo varnost priporočajo da sam preveš kodo, saj bi v nasprotnem primeru lahko bil trojanec v izvršljivi datoteki, ki v sami izvorni kodi ni prisoten.

Priporočilo je neumnost, ker je osnovano na mitih, da strokovnjaki beremo kodo (OpenSSL - 349304 vrstic v .c datotekah, 10.017.514 znakov; In search of lost time, Proust, angleščina - cca. 1.200.000 znakov, 4.211 strani v 7 zvezkih; War and peace, Tolstoj, angleščina - cca. 500.000 znakov), da strokovnjaki kodo in njene implikacije sploh razumemo (CVE-2008-0166). Še strokovnjaki tega nismo sposobni, pa naj bo to koristen nasvet.

techfreak :) je 10. avg 2013 ob 22:07 izjavil:

Mojci Pokrajculji pa lahko zaupaš če greš na njeno stran pogledati če ima slučajno objavljen javni ključ da preveriš če je res ona podpisala datoteko. Mogoče malo težje kot pa če preverjanje naredi Apple, še vseeno pa nič manj varno.

Ah, ampak pomešal si to, da mi (pravilen in varen - privzamimo, da je pač preverljiv in preverjen) podpis pove, da je kodo podpisala Mojca P., ne pove mi pa ničesar o temu, če ima Mojca P. kriminalna nagnjenja ali pa ne. Apple zagotovo nima kriminalnih nagnjen, ni pa popoln. Hkrati pa daje takšen sistem odgovor na dve tvoji vprašanji: kdo lahko govori kaj bom poganjal na svojem (lepo oblikovanem žepnem) računalniku in kakšna je ena možna rešitev za problem, da upravljanje s kodo, ki ni iz skladišča in ni preverjena (tudi, če je podpisana), pušča odprta vrata za zlorabo. Seveda ni popoln, je pa preklemano boljši od "to je nevarno, nimam pojma čigavo je, nimam pojma od kje je".

V splošnem pazi, da ne mešaš podpisa, ki jamči identiteto, s podpisom, ki jamči benignost. Dva tvoja odgovora tukaj sta to medsebojno malo pomešala.

techfreak :) je 10. avg 2013 ob 22:07 izjavil:

Pri obeh si v nevarnosti za trojanca, saj lahko pri preverjanju pride do napake ali pa preverjanja sploh ni. Pri obeh si tudi v nevarnosti glede neznane stopnje zaupanja, saj ti ne pomaga veliko če zadevo podpiše Apple, ker še vseeno ne veš če lahko zaupaš proizvajalcu aplikacije. Samo zaradi tega ker se Applu zdi zadeva kul, še ne pomeni da tudi res je.

Pa še cel kup razlogov lahko našteješ kaj je pri temu problematično in imel boš popolnoma prav. 100% varnost v trenutnem okolju ni dosegljiva. Kar je dosegljivo, je tolikšnja stopnja zahtevane kompleksnosti napada, da je dobiček ne dosega stroškov izvedbe.

To izrecno izključuje posebne sisteme, ki jih ne upravljajo ali varujejo laiki, ker se na njih nahajajo ali obdelujejo podatki, ki predstavljajo poslovne ali drugačne skrivnosti. Pri teh so stroški in dobički merijo z drugačnimi vatli, obramba je drugače organizirana in strukturirana in tudi napadalci so drugačna kategorija.

Pri temu pa še vedno velja, da en pristop omogoča, da identificiraš tiste avtorje, ki jim lahko bolj zaupaš, kot pa Mojci P. (kar pokrije veliko za laične uporabnike zanimivega programja), oziroma se zanašaš na delo podjetij, ki so svetovno znana in katerih ugled ter s tem dobički in cena delnice so nesporno na kocki, če svojega dela ne bodo opravljala najmanj zadovoljivo.

techfreak :) je 10. avg 2013 ob 22:07 izjavil:

Če prav vem je ta omejitev samo pri Debianu, saj ti drugače ne omogočijo dodajanja programov v njihove repozitorije. Pri Ubuntu lahko brez problema ponujaš zaprtokodne aplikacije in z njimi celo služiš (kar nekaj aplikacij v Ubuntu Software Centru je plačjivih). Glede redistribuiranja se strinjam da bi bilo potrebno urediti sistem za njih.

To je povzetek uvodnega odstavka tvojega sporočila, zato tukaj ne bom še dodatno odgovarjal.

techfreak :) je 10. avg 2013 ob 22:07 izjavil:

Kar pa še vseeno ne pomeni da se kaj takšnega ne more zgoditi tudi pri zaprto kodnih projektih. Imaš pa vsaj zadevo na voljo da jo pregledaš sam oz. najameš neodvisne raziskovalce. Pri zaprti kodi te opcije žal nimaš.

Spolzek teren. Po tej metriki primerjave med obema paradigmama razvoja ne moreš delati, ker za eno nimaš podatkov. Najemanje neodvisnih raziskovalcev... je spolzko. Če množice odvisnih in neodvisnih strokovnjakov ne zagledajo napak mesece in leta, potem pa se vsi držijo za glavo, ko je vsem očitno kaj je šlo narobe, to zagotovo ni argument, ki bi potrjeval njeno večjo varnost brez objektivnega podatka o drugi strani.

Odprta koda ima iz varnostnega vidika samo to lastnost, da je "poštena". Njen dolgoročen pozitiven učinek na splošno informacijsko varnost (tudi za zaprtokodne sistema) se skriva v temu, da omogoča učenje na napakah drugih. Pri odprti kodi se lahko odgovori na vsa bistvena vprašanja o napaki (kaj, kako, kdaj, zakaj).

techfreak :) je 10. avg 2013 ob 22:07 izjavil:

Upajmo da se kaj takšnega ne zgodi, saj bi v tem primeru imela določena podjetja skoraj popoln nadzor nad tem kaj delajo njihovi uporabniki. Podobne zadeve se že dogajajo sedaj (PRISM in podobne zadeve) in upajmo da bodo ljudje vsaj poizkusili kaj narediti proti temu.

Za to, da se to ne bo zgodilo, nasprotovanje ne bo zadoščalo. Potrebno je najti, predlagati in vzpostaviti alternativne in učinkovite rešitve s katerimi se bo odgovorilo na potrebe uporabnikov (znova: to nisva ti ali pa jaz), pri čemer pa se ne bo ogrozilo skoraj edinstvenih pozitivnih posledic za razvoj IT-ja kot panoge in IT-ja kot podpornega servisa postmoderni družbi, ki so jih prinesli poceni hramba, poceni računska moč in poceni povezanost (in povezljivost).

AndrejO je 10. avg 2013 ob 18:47 izjavil:

Iz neke naključne spletne strani bom v konzolo prilepil ukaze, katerih pomena ne poznam in ne razumem. Nekateri se začno s "sudo".

Neprecenljivo. Prodam malo rabljen most ...

Ni nujno. Lahko je povsem nedolžen ukaz: http://thejh.net/misc/website-terminal-...


Most pa kupim!

Tole: :(){ :|:&} ;: je blo včasih popularno podtikat kakim začetnikom. En kup brezveznih znakov. Ziher se ne bo nič zgodilo...

Tudi baje gre, guest->host.
Google. ;)