ZDNet - V nedeljo je bil za Linuxovo jedro oddan popravek, ki se je imenoval Huawei Kernel Self Protection (HKSP). Popravek naj bi dodal vrsto varnostnih izboljšav v jedro, presenetilo pa je njegovo poimenovanje. Velika podjetja (Google, Microsoft, Amazon ipd.) neredko prispevajo popravke za Linuxovo jedro, saj ga sama veliko uporabljajo. Huaweijev popravek je bil zato deležen posebne pozornosti, ker je kazal, da se je za to prakso odločil tudi Huawei. Strokovnjaki iz Grsecurity, kjer se tudi ukvarjajo z istim poslom, so zato pod drobnogled vzeli novi popravek. Ugotovili so, da v njem mrgoli hroščev in ranljivosti, ki jih je zlahka mogoče uporabiti za napad. Ni si težko predstavljati, da je to sprožilo ogromno polemik. Ali je želel Huawei v Linuxovo jedro vriniti ranljivosti? To bi bilo precej neumno, saj se koda pred vključitvijo temeljito preveri. Položaj se je zapletel, ko je Huawei v ponedeljek javno sporočil, da s popravkom nimajo nič. Poslal naj bi ga eden izmed zaposlenih na lastno pest kot del svojega popoldanskega projekta, medtem ko ga Huawei ni razvil niti ga ne uporablja v svoji opremi ali izdelkih. Da gre za lasten projekt, je v repozitorij kasneje dopisal tudi avtor kode. Ta koda je bila tudi antedatirana na petek, čeprav je bila dodana v nedeljo, kar je dodatna nenavadnost.
Javno dostopne informacije kažejo, da je avtor kode Huaweijev zaposleni, ki sodi v 20. plačni razred na področju varnosti izdelkov, kar je najvišji razred za inženirje. Gre torej za zelo izkušenega človeka. Koda ne bo vključena v jedro, je pa incident pokazal, da preverjanje popravkov deluje. Kaj točno je bil motiv, pa je težko ugotoviti. Strokovnjaki pa so prepričani, da Huawei ni namerno poskusil vnesti ranljivosti na tak način, ker je to naivno in neumno (koda je očitno hroščata, avtor je zaposlen v podjetju, Linuxovo jedro je najnatančneje preverjen del kode). In Huaweiju so se spodrsljaji z varnostjo kode že zgodili.
Hja, prostora za špekulacije, kolikor ga hočeš....
Pa še vprašaš se, če bi se kodo enako natančno pregledovalo, če nebi pisalo 'Huawei' na njej. Mogoče pa so zgolj ukradli pozornost... medtem pa kaj drugega podtaknili?
Presnet... bo treba preveriti, če je zemlja še okrogla...? Ko se enkrat začne s teorijami zarot, čeprav nimaš nobenih dokazov, so lahko stvari precej strašljive...
Pričujoče sporočilo je (lahko) oglasno sporočilo
- četudi na prvi pogled ni prepoznavno kot tako.
(Zdaj me pa obtožite prikritega oglaševanja, če morete!)
Strokovnjaki pa so prepričani, da Huawei ni namerno poskusil vnesti ranljivosti na tak način, ker je to naivno in neumno (koda je očitno hroščata, avtor je zaposlen v podjetju, Linuxovo jedro je najnatančneje preverjen del kode)
Za tiste, ki delamo s Kitajci, ni ne šlamparija, ne možnost načrtnega vnosa slabe kode in ne ceneno zanikanje resnice prav nič posebnega v njihovi kulturi (saj ne, da drugi tega ne počno, le da so pri tem precej bolj previdni in uporabljajo proxyje, če nič drugega). Edino, česar nikoli ne bom verjel, četudi me CCP pošlje na stadion, je, da nek visoko rangirani delavec kaj takega naredi na lastno pest. To se v kitajskem podjetju kitajskemu državljanu, ki sedi na Kitajskem, ne bo zgodilo v milijon letih.
Antifašizem je danes poslednje pribežališče ničvredneža, je ideologija ničesar
in neizprosen boj proti neobstoječemu sovražniku - v zameno za državni denar
in neprofitno najemno stanovanje v središču Ljubljane. -- Tomaž Štih, 2021
Glede americanov, tole je pa njihov poskus sabotaze, ce ga se ne poznate. Pa precej bolj resne vrste, k sreci, so se random generator spravili pravocasno analizirati, ne samo to, ameriske barabe so celo podkupile (z drzavnimi posli in vlaganji) RSA Security, da jim je stal ob strani: Dual EC DRBG @ Wikipedia
Strokovnjaki pa so prepričani, da Huawei ni namerno poskusil vnesti ranljivosti na tak način, ker je to naivno in neumno (koda je očitno hroščata, avtor je zaposlen v podjetju, Linuxovo jedro je najnatančneje preverjen del kode)
Za tiste, ki delamo s Kitajci, ni ne šlamparija, ne možnost načrtnega vnosa slabe kode in ne ceneno zanikanje resnice prav nič posebnega v njihovi kulturi (saj ne, da drugi tega ne počno, le da so pri tem precej bolj previdni in uporabljajo proxyje, če nič drugega). Edino, česar nikoli ne bom verjel, četudi me CCP pošlje na stadion, je, da nek visoko rangirani delavec kaj takega naredi na lastno pest. To se v kitajskem podjetju kitajskemu državljanu, ki sedi na Kitajskem, ne bo zgodilo v milijon letih.
Tocno tole. Se pridruzujem. Ce bi bil to Indijec, ne recem. Pa tudi te imajo lagati kot del kulture.
GDPR for idiots: https://www.youtube.com/watch?v=-stjktAu-7k
Glede americanov, tole je pa njihov poskus sabotaze, ce ga se ne poznate. Pa precej bolj resne vrste, k sreci, so se random generator spravili pravocasno analizirati, ne samo to, ameriske barabe so celo podkupile (z drzavnimi posli in vlaganji) RSA Security, da jim je stal ob strani: Dual EC DRBG @ Wikipedia
Ko sem pa jaz pred leti namigoval na tovrstne možnosti kompromitacije kode, so me Linux fanatiki malodane hoteli križati kot heretika.
Pri tem se je treba zavedati, da tudi če analize kode na koncu marsikaj odkrijejo, da ni nobene garancije, da odkrijejo vse tovrstne 'hrošče'. Če si dovolj vztrajen (imaš dovolj denarja), boš prej ali slej uspel vriniti kos kode, ki v projektu nebi imela kaj iskati.
Pričujoče sporočilo je (lahko) oglasno sporočilo
- četudi na prvi pogled ni prepoznavno kot tako.
(Zdaj me pa obtožite prikritega oglaševanja, če morete!)
Če je tip v visokem plačilnem razredu, potem gotovo ni dober strokovnjak, ampak kvečjemu potencial za managerja. Vsaj če je v Huaweiu tako kot pri nas :)
Zakaj se spet lažete? Vse kar smo trdili je, da je open source koda bolj varna. Nihče nikoli ni trdil, da je brez lukenj.
A ker jo beres? In redno pregledujes? Cisto vseeno je, ali kodo disassembliras ali napises v Cju. Danes ne zna nihce vec ne enega ne drugega, kaj sele, da bi bili sposobni karkoli reviewat. In ves kdo jo pregleduje, veliko bolj redno kot razni dobronamerni stricki? Blackhat. Na polno. Tako zelo, da je Torvalds ze pred leti nehal pisati v commit komentarje karkoli kar nakazuje, da je bil tam potencialen security issue. Open source koda bi lahko V TEORIJI bila bolj varna, ampak se na to teorijo ni treba cisto nic sklicevati, ker je samo teorija, zahteva pa ljudi, ki so slabo placani kot whitehat in neskoncno bolje kot blackhat in iz dneva v dan jih je vec v penziji. Ker danasnji frameworkarji in javascriptasi ne bojo nasli security issua v kodi, razen ce jim na glavo pade. Iz preprostega razloga, ker kode ne berejo. Nikoli. Po mojem je se SQL injectionov za nekaj generacij dovolj po serverjih in to nenamerno.
GDPR for idiots: https://www.youtube.com/watch?v=-stjktAu-7k
@zavajon: Ti nimas nobenega razumevanja kako Kitajski sistem deluje. Ce noces gniti v Foxconnu po 12 ur na dan kot suzenj bos delal tocno tisto, kar ti Partija govori. Nekateri smo pac delali s Kitajci in vemo da so laznjive, goljufive pizde.
Glede americanov, tole je pa njihov poskus sabotaze, ce ga se ne poznate. Pa precej bolj resne vrste, k sreci, so se random generator spravili pravocasno analizirati, ne samo to, ameriske barabe so celo podkupile (z drzavnimi posli in vlaganji) RSA Security, da jim je stal ob strani: Dual EC DRBG @ Wikipedia
Ko sem pa jaz pred leti namigoval na tovrstne možnosti kompromitacije kode, so me Linux fanatiki malodane hoteli križati kot heretika.
Pri tem se je treba zavedati, da tudi če analize kode na koncu marsikaj odkrijejo, da ni nobene garancije, da odkrijejo vse tovrstne 'hrošče'. Če si dovolj vztrajen (imaš dovolj denarja), boš prej ali slej uspel vriniti kos kode, ki v projektu nebi imela kaj iskati.
Ah seveda. Linux fanboyi so ravno tako nekriticni in zabiti kot windows fanboyi (ali apple). Android navijacem pa tako ali tako nic ne pride blizu, take mase zabitezev ne najdes nikjer drugje. Navijanje za karkoli je neumno do konca, seveda pa tega fanboyi nikoli ne bojo priznali, ker pac radi sedijo na tribunah in vrtijo svojo zastavico. Praviloma pa so tudi cisti brezvezniki, ki jim nic ni jasno, radi bi bili pa tigri, levi, carji ipd (seveda so preleni in preneumni, da bi karkoli taksnega res postali).
Se ti vidi, da nikdar nisi bil na Kitajskem. Povprecen Kitajc te bo probal olupit za vsak juan, ker si pac laowai. Tisti ki delajo v velikih firmah ki plesejo pod taktirko CCP-ja so pa tako ali tako kategorija zase.
Btw, sem se precej hehljal, ko sem tole pisal , me prav zanima koliko ljudi mi zna danes povedati kateri jezik tole sploh je. Edino ne vem koliko jih se podpira trigrafe.
Se ti vidi, da nikdar nisi bil na Kitajskem. Povprecen Kitajc te bo probal olupit za vsak juan, ker si pac laowai. Tisti ki delajo v velikih firmah ki plesejo pod taktirko CCP-ja so pa tako ali tako kategorija zase.
Eni plešejo pod diktatom CPP, drugi, na drugi strani pacifika, pa po diktatu $$$.
Rezultat je na koncu isti za vse ostale, razen za tiste, ki so bili podvrženi diktatu.
Pričujoče sporočilo je (lahko) oglasno sporočilo
- četudi na prvi pogled ni prepoznavno kot tako.
(Zdaj me pa obtožite prikritega oglaševanja, če morete!)
Odlicno obema. Kaj pa naredi? Meni se zdi hudo zabavno, sploh ce je zakopano v headerje pa ne skupaj. Bi se ga dalo pa se bolj grdega naresti, precej razbiti itd...
(Mr.Stein - nickname: muscle memory kills :D)
GDPR for idiots: https://www.youtube.com/watch?v=-stjktAu-7k
Zakaj se spet lažete? Vse kar smo trdili je, da je open source koda bolj varna. Nihče nikoli ni trdil, da je brez lukenj.
A ker jo beres? In redno pregledujes? Cisto vseeno je, ali kodo disassembliras ali napises v Cju. Danes ne zna nihce vec ne enega ne drugega, kaj sele, da bi bili sposobni karkoli reviewat.
Kako so potem našli to luknjo, če kode nihče ne pregleduje? Očitno nisi edini na svetu, ki še zna C.
Where all think alike, no one thinks very much.
Walter Lippmann, leta 1922, o predpogoju za demokracijo.
S C-jem sem nazadnje delal mogoce desetletje po K&R, res se mi ne da za nek brezvezen argument.
@SeMiNeSanja, Kitajska *je* diktatura ker bo stricek Pu na oblasti do smrti, Amerika pa to se postaja.
Exactly. Nihce ne bo sel take svinjarije studirat, sploh ko bo zakopana v header s kupom #ifdef-ov ipd. Ti pa povem kaj naredi... vsak if ima moznost da se preobrne v true 1:1024. Ubijes kakrsenkoli produkt. Ergo, moznosti za sabotirat open source je neskoncno, vsa stvar je samo v tem, kako kreaitiven si.
Jah asembler uporabljam samo se za reversanje, nazadnje sem v njem trampoline pisal, C precej vec, ko se pac zakopljes v kernel nima smisla v javi pisat ;) Lahko bi pa kdo sportal electron v kernel module to bi bilo sele veselja, vsak webshit bi lahko sral po sistemu.
GDPR for idiots: https://www.youtube.com/watch?v=-stjktAu-7k
Jaz se ne spuscam v kernel nivo. Moji interesi so drugje. Se pa spomnim, ko sem pred desetletji, se v DOS-u, se ukvarjal z optimizacijo neke 3D grafike (brez pospesevalcev) potem mi je pa koncno padlo na pamet da lahko ponucam malo asm trikov.
Also, 13h mode *srcek*
Jave pa nimam pretirano rad. Ceprav se da v njej tudi veliko naredit.
Jaz se ne spuscam v kernel nivo. Moji interesi so drugje. Se pa spomnim, ko sem pred desetletji, se v DOS-u, se ukvarjal z optimizacijo neke 3D grafike (brez pospesevalcev) potem mi je pa koncno padlo na pamet da lahko ponucam malo asm trikov.
Also, 13h mode *srcek*
Jave pa nimam pretirano rad. Ceprav se da v njej tudi veliko naredit.
Ti pa povem kaj naredi... vsak if ima moznost da se preobrne v true 1:1024.
A si prepričan? V kodi imaš očiten UB. Kompajlerju je dovoljeno narediti karkoli.
Iz glave narejeno, nisem skompajlal, tudi trigrafe ne vem ce se kdo podpira... se pa da, nekoc sem imel to kodo spisano, samo izgubljena v morju fajlov. Lahko pa probas pa porocaj.
Btw, precej vec odgovorov kot sem jih pricakoval, vracate mi vero v svet
GDPR for idiots: https://www.youtube.com/watch?v=-stjktAu-7k
Jaz se ne spuscam v kernel nivo. Moji interesi so drugje. Se pa spomnim, ko sem pred desetletji, se v DOS-u, se ukvarjal z optimizacijo neke 3D grafike (brez pospesevalcev) potem mi je pa koncno padlo na pamet da lahko ponucam malo asm trikov.
Also, 13h mode *srcek*
Jave pa nimam pretirano rad. Ceprav se da v njej tudi veliko naredit.
Kaj to pocne in ali je nevarno je povsem nerelevantno. Ko vidim tak zmazek v PR stisnem reject in to je konec. Jst ne rabim pogruntat vseh trikov kako skrit neke hacke, ce v osnovni rejectam vsako kodo, ki ni povsem preprosta in razumljiva.
Kaj to pocne in ali je nevarno je povsem nerelevantno. Ko vidim tak zmazek v PR stisnem reject in to je konec. Jst ne rabim pogruntat vseh trikov kako skrit neke hacke, ce v osnovni rejectam vsako kodo, ki ni povsem preprosta in razumljiva.
U ja, take imamo najraje, egoisticno fiksirane birokrate, ki so prepricani, da so najbolj pametni, ce je pa koda njim razumljiva, bo pa vse uredu. Ampak, kaj, ce je koda tebi razumljiva, ampak je ne razumes pravilno? Ampak saj ves, da nihce ne reviewa kode 100%, pac, pogleda na kilometer, ce ima res slab dan, jo pogleda na 1 meter, ampak pogledat jo moras na mikron natacno. Seveda ti to pocnes (samo ves ostali svet ne). No pa daj, ajde: http://www.underhanded-c.org/
Evo, cisto legit blok kode, kaj pocne? Randomness, Gigatronix, sta se ze iskazala, dajta se ostalim priliko :)
send(to, from, count)
register short *to, *from;
register count;
{
register n = (count + 7) / 8;
switch (count % 8) {
case 0: do { *to = *from++;
case 7: *to = *from++;
case 6: *to = *from++;
case 5: *to = *from++;
case 4: *to = *from++;
case 3: *to = *from++;
case 2: *to = *from++;
case 1: *to = *from++;
} while (--n > 0);
}
}
Pa dajmo ostati fokusirani, gre se za kernel kodo, cudovito po mojem mnenju, ne za visual basic style kodo (pa se tam bi se dalo marsikaj notri zapakirat).
GDPR for idiots: https://www.youtube.com/watch?v=-stjktAu-7k
Puuf. Zanka zanke v ifu s kazalci. Pri case0 zaštrata do pogoja n-1>0. Povečano vsebino iz froma prenaša v vsebino to? Sam kam pa kažeta kazalca? Na 0H. Na hitr. Zih sem kje falu.
Puuf. Zanka zanke v ifu s kazalci. Pri case0 zaštrata do pogoja n-1>0. Povečano vsebino iz froma prenaša v vsebino to? Sam kam pa kažeta kazalca? Na 0H. Na hitr. Zih sem kje falu.
Puuf. Zanka zanke v ifu s kazalci. Pri case0 zaštrata do pogoja n-1>0. Povečano vsebino iz froma prenaša v vsebino to? Sam kam pa kažeta kazalca? Na 0H. Na hitr. Zih sem kje falu.
Ne Puuf. Duff.
Exactly :)
GDPR for idiots: https://www.youtube.com/watch?v=-stjktAu-7k
U ja, take imamo najraje, egoisticno fiksirane birokrate, ki so prepricani, da so najbolj pametni, ce je pa koda njim razumljiva, bo pa vse uredu. Ampak, kaj, ce je koda tebi razumljiva, ampak je ne razumes pravilno?
Jaz prav gotovo ne bi sprejel kode, ki je ne razumem ali že če mi ne bi izgledala dovolj lepa, pa sem daleč od birokrata. Če je koda težko razumljiva je to zagotovo slabo. Ponavadi se tudi zahteva nek dogovorjen stil. Fino je če vsaj uporabljaš "-Wall -Wextra -Werror -pedantic -std=c99". Da bi bilo jedro napisano v Rust-u (ali nekaj takega) si pa verjetno proti. Seveda bugi in ranljivosti obstajajo in vedno bodo. Ali nam preostane kaj drugega?
, me prav zanima koliko ljudi mi zna danes povedati kateri jezik tole sploh je. Edino ne vem koliko jih se podpira trigrafe.
