Odkrit trojanec za Linux

SeMiNeSanja je 12. dec 2014 ob 15:09 izjavil:

27 let - to pove vse

To pove samo to, da se je nek bug odkrilo po 27 letih. Če hočeš pa iz tega sklepat, da se v odprti kodi hrošči odkrivajo kasneje, kot v zaprti, boš moral pa kako drugače to utemeljit. Al hočeš rečt, da se v zaprti kodi absolutno nikakor ne more zgodit, da hrošč toliko časa ostane neodkrit?

McAjvar je 12. dec 2014 ob 15:31 izjavil:

SeMiNeSanja je 12. dec 2014 ob 15:09 izjavil:

27 let - to pove vse

To pove samo to, da se je nek bug odkrilo po 27 letih. Če hočeš pa iz tega sklepat, da se v odprti kodi hrošči odkrivajo kasneje, kot v zaprti, boš moral pa kako drugače to utemeljit. Al hočeš rečt, da se v zaprti kodi absolutno nikakor ne more zgodit, da hrošč toliko časa ostane neodkrit?

Niti slučajno, zgolj parodiram na Jype-a, ki skuša zbujati vtis, da je odprta koda 100% pregledana in neprebojna.

Moje mnenje je, da VELIKA večina uporabnikov odprte kode nikoli ne pogleda v izvorno kodo. Pretežno se predpostavlja, da 'bo že kdo' pogledal kodo, saj je vsakomur na voljo - pa se to dejansko tudi dogaja? Kot kaže redko. Šele, ko se nekje pokaže nek sum, se potem začne brskati po kodi in nenadoma začno padati okostnjaki iz omar.

Kdor izhaja iz predpostavke, da je odprta koda bolje pregledana in kvazi bolj varna, naj farba samega sebe, samo naj prosim ne farba še vse ostale okoli sebe.

Varnostni pregled OpenSSL kode je cel projekt in kdo ve, koliko časa bo trajal. Pa je to samo en kamenček v mozaiku celega strežniškega sistema. Koliko je še takih komponent, ki bi jih bilo treba pregledat? Kdo? Kdaj? Na svetu ni toliko programerjev, da bi se lahko vse pregledalo. Treba je pač imeti neko določeno mero zaupanja in skepse, temu pa tudi prilagoditi način rabe ter zaščito strežniških sistemov. In to ne glede na to, ali so odprto ali zaprtokodni.

Sicer pa:

kdo je pred 27+ leti razmišljal o buffer overflow-ih in podobnih ranljivostih v kodi?

Kdo si upa napovedati, kakšne malomarnosti v kodiranju bodo zanamci čez 30 let očitali današnjim programerjem?

@Jype - vsak izgovor ti pride prav, mar ne? Samo upam, da boš imel srečo, pa da kdaj ne bo kdo 'razmontiral' kakšen server, ki ga imaš ti pod upravljanjem.

Saj odprtost kode ni zagotovilo, da je koda kvalitetna. Je pa to pomemben predpogoj.

Po drugi strani imamo software v telefonskih centralah, kjer se napake vlečejo še od 1970-tih let... and guess what - koda je zaprta.

Se trudi, kar je plus.

Ampak pozabljaš, da imajo bad guys dostop do zaprte kode. Veliki kupci (vlade) podpišejo NDA in kodo pregledajo.

SeMiNeSanja> ampak žal ne vedno v uporabnikovo korist!

Tega tudi ni nihče trdil - so pa vse raziskave z jasno metodologijo do danes prišle do enakega zaključka: Odprta koda je kvalitetnejša, ker jo je pregledalo in popravljalo več ljudi.

SeMiNeSanja> Motivacija za brskanje je tu zagotovo bistveno večja pri hudobcih, kot pa pri pridnih fantih.

Pa je res? Mnogi izmed nas se ukvarjamo z varnostno analizo sistemov in poleg tega, da imamo pri prostem programju precej lažje delo, ko je treba predlagati rešitve, imamo tudi lažje delo, ko je treba neodvisno testiranje avtomatizirati.

SeMiNeSanja> Kvalitetnejša NI isto kot VARNEJŠA.

Ja, je.

SeMiNeSanja> Skratka večina tega splošnega pregledovanja je namenjeno odpravi funkcionalnih napak, ne pa VARNOSTNIH.

Ne, to ni res. Če ne razumeš, kako se pregleduje pravilnost delovanja kode, potem je sicer normalno, da živiš v taki zmoti.

SeMiNeSanja> Že mogoče, da kdo spotoma naleti tudi na kakšno varnostno napako, vendar če osnovni namen pregledovanja ni varnostni pregled, se bo takšne napake v pravilu spregledalo.

Ne, tudi to ni res.

SeMiNeSanja> Točno to pa je tudi razlog, da se določene varnostne napake odkrivajo šele po desetletju, dveh in več - ker so zadeve leta in leta delovale brezhibno in je krepko upadlo število tistih, ki so svoj nos še kaj vtikali v izvorno kodo.

Razlog, da se je varnostne napake odkrivalo pozno je predvsem ta, da nihče ne poganja takega programja v okoljih z visokimi tveganji in zato nikogar pretirano ne skrbi, da varnostne ranljivosti v njem zares obstajajo.

http://www.dailymail.co.uk/sciencetech/...
tolk o tem, da ima samo odprtokodno programje antično stare buge.

SeMiNeSanja> Tako kot SSL nihče ni poganjal v 'okoljih z visokim tveganjem'?

(Open)SSL je bil mnogokrat pregledan in ranljivost, ki so jo našli, je bila veliko kompleksnejša in je z orodji za varnostno analizo ni bilo mogoče zaznati avtomatično.

SeMiNeSanja> Meni zgolj najeda Jype, ki trdi, da je Odprtokodni svet 'brezmadežen' kar se tega tiče.

Jaz tega sicer ne trdim, ampak tvoje bralno nerazumevanje ne izključuje tega, da moram bralcem teme pojasniti, pri čem vsem se temeljito motiš.

BigWhale je 12. dec 2014 ob 18:12 izjavil:

SeMiNeSanja je 12. dec 2014 ob 17:41 izjavil:

Meni zgolj najeda Jype, ki trdi, da je Odprtokodni svet 'brezmadežen' kar se tega tiče.

Tega se tanajhujsi zagovorniki FOSS programja ne trdijo. To si si enostavno izmislil.

Beri kaj piše..... ko mu stopiš pa na rep, pa neki javska o 'izredno kompleksni napaki'....

Se mi zdi, da je bilo tudi tisto z devico marijo 'izredno kompleksno'....

SeMiNeSanja je 12. dec 2014 ob 14:33 izjavil:

'Critical' security bugs dating back to 1987 found in X Window

Če nimaš X odprt na vzven (privzeto ni nikjer) moraš sam pognati malware.
Serverji (vsaj pravi) nimajo X-a.

jype je 12. dec 2014 ob 14:59 izjavil:

SeMiNeSanja> 'Critical' security bugs dating back to 1987 found in X Window

X ?

Čemu?

SeMiNeSanja> Najdeno po 27 letih.... toliko o 'pregledanosti odprte kode', na katero se stalno sklicuješ. Auč?

Tudi ta luknja je bila lažje najdena zato, ker je koda prosto dostopna in še lažje popravljena iz istega razloga, zaradi licence pa tudi lažje distribuirana.

SeMiNeSanja> Prav sit sem že tega, ko stalno ponavljaš, da 'lahko vsak pregleda kodo'. Super, očitno bolj malo kdo kaj 'gleda' kodo - sploh pa samo od 'gledanja'....
SeMiNeSanja> To je tko kot greš na plažo in 'gledaš' bejbe - s tem še nobeno nisi posexal. Je treba še kaj več, kot 'samo gledat'.

Retardirane primerjave, značilne za retardirane primerljalce.

TO, da je odprta koda bolj varna in da se nekaj najde, ker več ljudi išče napake je bullshit. Večino teh pizdarij najdejo po tem, ko jih nekdo začne zlorabljat. In v tem primeru prav nič hitreje kot pri zaprti kodi.
V bisvtu lahko prisloniš zraven še dejstvo, da obstaja možnost, da v kkšni dovolj veliki firmi, kodo za ogromno denarja bolj učinkovito pregleda večje število dejanskih strokovnjakov kot pa pri odprti kodi.
Tko, da ja...bi blo že počasi treba nehat neke neutemeljene pluse naprej metat.
Plusi so to, da lahko ti sam popraviš/dodaš nekaj kar rabiš in da ti zato ni treba plačati. Vse ostalo so neke mokre sanje fan boyev, ki z realnostjo nimajo nobene povezave.

Looooooka je 12. dec 2014 ob 19:04 izjavil:

V bisvtu lahko prisloniš zraven še dejstvo, da obstaja možnost, da v kkšni dovolj veliki firmi, kodo za ogromno denarja bolj učinkovito pregleda večje število dejanskih strokovnjakov kot pa pri odprti kodi.

Tudi za odprto kodo lahko nameniš ogromno denarja, da jo pregledajo dejanski strokovnjaki. Samo, da to lahko naredi kdorkoli.
Sem prepričan, da Google nameni kar veliko za iskanje luken v chromium-u.

sisemen> Vprasanje je samo zakaj bi sel luknjo v ki jo najdes, dejansko javiti/popraviti,... veliko vec denarja se da dobiti na crnem trgu in kontaktov niti ni tezko najti. Rekel bi, da je stevilo javljenih lukenj v bistvu samo nekaj procentov celotnega znanega arzenala.

Trg z ranljivostmi je poln tistih v lastniškem programju in precej manj poln tistih v prostem programju. Le čemu? Morda je pa investiranje v luknje, ki bodo zelo verjetno hitro odkrite in zakrpane dejansko manj donosno kot investiranje v ranljivosti v lastniškem programju?

Mr.B> koliko zlobne kode pod Winsi pa laufa v user kontekstu, brez da bi se aktiviral UAC in to brez potrebe po po kakšne AV blatware programu...

Nič od tega.

Skratka, če hočeš, lahko brez večjega truda zaobideš vse varnostne sisteme v Windows (predavanje zgoraj govori o XP in 7) in uničiš iranske centrifuge. Sliši se kot da so lastniške rešitve resnično bolj varne pred morebitnimi napadalci.

jype,
torej na krmilnikh teče Windows, nje...In krmilnik je tisti ki dela problematiko... A msiliš če bi bil linux, da bi bilo vse drugače, akr naenkrat nebi bilo problema, ker no way da bi napadalec uporabil kakšno lukno...

BigWhale je 14. dec 2014 ob 20:23 izjavil:

Men so ful smesne reakcije ljudi na tole zadevo, sploh ce jih primerjas z reakcijami ob kakih drugih zadevah.

Najdl smo enga trojanca za Windows.
"Meh. Sej jih je ze milijon."

Najdl smo prvega trojanca za Linux.
"ZOMG! Linux ni secure, smo vedl! WTFPWND The end of days is near!"

Pa ja, neki tazga kot prostitutka vs. devica. Slednja ni vec zanimiva, ker je razdevicena.

Mr.B je 15. dec 2014 ob 08:13 izjavil:

jype,
torej na krmilnikh teče Windows, nje...In krmilnik je tisti ki dela problematiko... A msiliš če bi bil linux, da bi bilo vse drugače, akr naenkrat nebi bilo problema, ker no way da bi napadalec uporabil kakšno lukno...

SCADA software ki krmili vse te krmilnike, teče na Windowsih.

Siemens je priznal cel kup varnostnih lukenj tako na SCADAh kot samih krmilnikih ...

nebivedu> Sposoben administrator bo znal namreč na obeh sistemih zagotovit varnost.

Nope: Pri Windows je core threat že vgrajen v sistem. Ne moreš zaupati, da bo deloval v nasprotju z interesi ZDA, ki imajo do Microsofta ogromne vzvode moči, hkrati ti pa Microsoft ne garantira ničesar - celo s pogodbo.

nebivedu> Zadnja 3 leta preživim vse napade na moje serverje brez problemov

Koliko jedrskih central, ki bi jih rad Izrael čimprej uničil, pa nadzirajo ti strežniki?

aleksander10 je 15. dec 2014 ob 13:59 izjavil:

krneki0001 je 15. dec 2014 ob 13:21 izjavil:

Jype
Problem je tukaj v besedi "sposoben". Sposoben administrator bo znal namreč na obeh sistemih zagotovit varnost. Glede lažjega zagotavljanja varnosti celotnega omrežja, pa je lahko nova debata. Bo pa predvsem dolga in težka debata, tako da mislim da je nepotrebna.

Meni se zagotavljanje varnosti na enem ali drugem sistemu ne zdi težko. Zadnja 3 leta preživim vse napade na moje serverje brez problemov (pa jih je povprečno nekje 1500 poizkusov na dan, zadnji teden pa celo večkratnik tega), na desktop sistemu pa že nekaj let nimam antivirusnega sistema, ker ga ne rabim.

Dej prosim tole alo bolj na drobno razdelja, kaj je zate napad in kako ga ugotavljaš? Kakšna orodja imaš, da sklepaš, da je bil napad narejen?

Honeypot.

jype je 15. dec 2014 ob 13:46 izjavil:

nebivedu> Sposoben administrator bo znal namreč na obeh sistemih zagotovit varnost.

Nope: Pri Windows je core threat že vgrajen v sistem. Ne moreš zaupati, da bo deloval v nasprotju z interesi ZDA, ki imajo do Microsofta ogromne vzvode moči, hkrati ti pa Microsoft ne garantira ničesar - celo s pogodbo.

Linux tukaj tudi ni izjema.

Build your own NSA-approved ...

krneki0001 je 15. dec 2014 ob 14:17 izjavil:

aleksander10 je 15. dec 2014 ob 13:59 izjavil:

krneki0001 je 15. dec 2014 ob 13:21 izjavil:

Meni se zagotavljanje varnosti na enem ali drugem sistemu ne zdi težko. Zadnja 3 leta preživim vse napade na moje serverje brez problemov (pa jih je povprečno nekje 1500 poizkusov na dan, zadnji teden pa celo večkratnik tega), na desktop sistemu pa že nekaj let nimam antivirusnega sistema, ker ga ne rabim.

Dej prosim tole alo bolj na drobno razdelja, kaj je zate napad in kako ga ugotavljaš? Kakšna orodja imaš, da sklepaš, da je bil napad narejen?

Honeypot.

Joj, no... Ze kar nekaj let je definicija honeypot-a precej enostavna: 'racunalnik, ki je prikopljen v internet'. Ce se zraven predstavis se Googlu, potem pa nisi vec honeypot ampak si kr javna hisa.

Tistih '1500 poizkusov na dan' pa prezivi vsak streznik, kjer imajo vsaj priblizno prav nastavljen firewall z NATom in neka pametna gesla. It's really not a rocket science.

Random port scanov in poizkusanj raznih gesel na servisih, ki so bolj razsirjeni, s strani zilijon bot netov, pa nihce vec ne steje kot 'poizkuse vdora'.

Vsaj noben pri zdravi pameti ne.

Jype bluzi sto na uro - vse v zagovor njegovega preljubega Linuxa.

Ne moreš v isti koš metati varnosti operacijskega sistema, aplikacije in varnost mreže. To so tri povsem različne kategorije, ki vsaka zase zahteva določeno specializacijo, da bi se lahko zares kompetentno pogovarjal na to temo.

Ko se gre za varnost omrežja, je čisto vseeno ali imaš na njemu Windows, Linux ali pa mogoče IBM mainframe. Postavljaš svoja pravila igre. Res da ta pravila pogosto koristijo značilnosti operacijskih sistemov izza njih, vendar se gre v prvi vrsti za zagotovitev varovanja mrežnih storitev od http pa do smtp protokola - ne glede na to, ali zadaj teče IIS, Apache ali kateri drugi web server, ne glede na to, ali uporabljaš Exchange ali nek drug mail server, ne glede na to, ali teče na Windows ali na Linuxu.

Kar se X-ov tiče, Jype nima pojma. Vem za banko, kjer je uporabniška bančna aplikacija bazirana na X-ih. X uporabljajo tudi za krmiljenje marsikaterega scada sistema v elektrogospodarstvu, da o splošni administrativni rabi X-ov sploh nebi govoril - na produkcijskih sistemih! X je daleč od tega, da bi bil 'upokojen'. Ali je nameščen in skonfiguriran za XDMCP ali pa ga štartaš na roke preko ssh, telneta,... tle ne igra vloge.

Če si dejaven na področju varnosti MREŽ, si ne moreš privoščiti luksuza, da bi apriori smatral nek OS za bolj varnega kot drugega. Če bi izhajal iz tega stališča, potem si naredil napako že v sami osnovi. Izhajaš iz predpostavke, da so vse naprave, ki so priključene na mrežo ranljive, morda celo že kompromitirane. Tvoja naloga pa je, da čim bolj otežiš izkoriščanje teh morebitnih kompromitacij in skrbiš za to, da se čim prej odkrije anomalije, ki bi kazale na možno kompromitacijo.

Honeypot kot beseda sama, meni ne pomeni nič. Kot že zgoraj od nekoga omenjeno, imamo dnevno nešteto raznoraznih scan-ov, ki sami po sebi še ne predstavljajo neposredne grožnje. Grožnja postanejo šele takrat, ko tak scan napadalcu pokaže, da smo ranljivi na grožnjo za katero se je skeniralo in naš IP pristane na spisku IP-jev, po katerem se bo tudi dejansko poskusilo izvesti zlorabo tiste ranljivosti.
Dokler je honeypot samemu sebi namen, v bistvu ne prispeva k varnosti. Je zgolj vir informacij glede aktualnega 'splošnega' dogajanja. Da bi lahko prispeval k varnosti, mora biti povezan z požarno pregrado in z njo skupaj tvoriti 'varnostni sistem'. Tu stvari lahko ratajo dokaj kompleksne. Problem pa je, ker honeypot ponavadi nadzira zgolj eno marginalno IP adreso, ki pa ni naša aktivno uporabljena IP adresa. Tako bore malo pove o dejanskem 'ciljanem' dogajanju na tisti 'kritični' adresi.

Za resnejšo vsakdanjo rabo (in ne za zbiranje statistik) dosti bolje služijo takšne požarne pregrade, ki imajo dinamične block liste. Na požarni pregradi definiraš običajna pravila, potem pa vse, kar krši ta pravila, mečeš za določen čas na block listo. Skeniranje takšne požarne pregrade je bistveno težje, saj avtomatsko zablokira vse IP range scan-e, kot tudi port scan-e - bistveno bolj učinkovito, kot navaden, še tako dobro integriran honeypot.