Washington Post рекомендует

[Vladjmir]

Абсолютно безопасная система и абсолютно дружественная для пользователя система -- это совершенно разные подходы. Поэтому речь должна идти о неком компромиссе между дружелюбностью и безопасностью.

Винда изначально позиционировалась как система для домохозяек, т.е. абсолютно дружелюбная к пользователю. Со временем выяснилось, что макс. открытость системы оборачивается против пользователя (вирусы, трояны, черви, сетевые атаки). Поэтому Масдай от версии к версии начал ужесточать систему безопасности. В висте они перегнули палку и наделали много глупостей (в частности, по-дурацки сделанный UAC), поэтому система с треском провалилась на рынке (компании и домашние пользователи предпочли сидеть на XP либо ждать семёрки). Сейчас в 7-ке это поправили, нашли более приемлемый компромисс.

Даже когда вытаскиваешь чей-то домашний комп из ступора, понимаешь, что не можешь серьёзно ограничить права хозяина. Например, сделать ему учётную запись пользователя, иначе завтра он захочет что-нибудь установить и не сможет без доп. инструкций и снова принесёт свой тазик ко мне, что не есть хорошо. Антивирус -- это то, что рекомендуешь иметь стопудово (но не Кашперу). Проблема здесь только в том, что многие не хотят покупать лиценз, а хотят пиратский и чтоб обновлялся из и-нета (а это уже задача не для домохозяек, ибо обновлять пиратку надо нестандартными способами). Файрвол (особенно такой как Agnituum Outpost) я юзерам типа "домохозяйка" не рекомендую, т.к. он слишком много чего затыкает в сети и в результате у юзера куча программ и сайтов не работает. А тонко настраивать Outpost на куче чужих тазиков не есть хорошо (или отвечать на кучу тел.звонков на вопросы типа "а пачему у меня не открывается такой-то сайт или не работает ася?").

С моей точки зрения, Linux архитектурно нашёл лучший компромисс между безопасностью и юзабельностью, т.к. здесь ты работаешь в пользователе, а на потенциально опасные операции нужно вводить пароль рута. Win 7 тоже пришла примерно к тому же, но в ней надо просто подтверждать выполнение программы, требующей админовских прав.

[YUKLA]

С моей точки зрения, Linux архитектурно нашёл лучший компромисс между безопасностью и юзабельностью, т.к. здесь ты работаешь в пользователе, а на потенциально опасные операции нужно вводить пароль рута. Win 7 тоже пришла примерно к тому же, но в ней надо просто подтверждать выполнение программы, требующей админовских прав.

В Linux, в силу его малой распространённости, еще нет вирусов. А вот эксплойтов ядра навалом. Забыли обновить ядро "домохозяйке" - оп, и компьютер взломан. И работает спам-ботом, к примеру. "Домохозяйка" со своей колокольни (со своей учетной записью) этого никогда и не заметит...

[Vladjmir]

В Linux, в силу его малой распространённости, еще нет вирусов. А вот эксплойтов ядра навалом. Забыли обновить ядро "домохозяйке" - оп, и компьютер взломан. И работает спам-ботом, к примеру. "Домохозяйка" со своей колокольни (со своей учетной записью) этого никогда и не заметит...

Ну всё-таки массовое заражение windows-систем с помощью троянов или сетевых червей через известные уязвимости - это не одно и то же, что взлом ПК с помощью экспойта, что является штучной работой, -- производительность не та.

[YUKLA]

Ну всё-таки массовое заражение windows-систем с помощью троянов или сетевых червей через известные уязвимости - это не одно и то же, что взлом ПК с помощью экспойта, что является штучной работой, -- производительность не та.

А в чем разница? Да будет вам известно - примерно 50% ботнетов составляют Linux и BSD сервера с необновленными ядрами.

ЗЫ: Вы не заметили, как вдруг стало не модно хвалиться большими "аптаймами"? Если "мой сервер проработал без перезагрузки уже 2 года" - значит с вероятностью более 99% к нему есть эксплойт и, возможно, не один!

[sash-kan]

Да будет вам известно - примерно 50% ботнетов составляют Linux и BSD сервера с необновленными ядрами.

???

[vinny]

Да будет вам известно - примерно 50% ботнетов составляют Linux и BSD сервера с необновленными ядрами.

???

Саша, вот ты зачем ему посылку вопросов выслал? он сейчас ответит, что-то типа: половина машин в моём ботнете, это Linux и BSD сервер. и как мы с этим будем жить дальше?

[YUKLA]

Саша, вот ты зачем ему посылку вопросов выслал? он сейчас ответит, что-то типа: половина машин в моём ботнете, это Linux и BSD сервер. и как мы с этим будем жить дальше?

Почитайте вот, что вам дает Google по запросу linux kernel exploit. Или для вас это - новость?

[Ali1]

Или для вас это - новость?

Нет. И что?
Вас не затруднит описать технологию удаленных процедур: загрузки эксплойта , установки компиллятора, ну и его, эксплойта сборки и запуска.

[YUKLA]

Нет. И что?
Вас не затруднит описать технологию удаленных процедур: загрузки эксплойта , установки компиллятора, ну и его, эксплойта сборки и запуска.

Что-то не так? Ну, хорошо - вот, смотрим сюда: openssh root exploit.

[Bluetooth]

ЗЫ[b]: Вы не заметили, как вдруг стало не модно хвалиться большими "аптаймами"? Если "мой сервер проработал без перезагрузки уже 2 года" - значит с вероятностью более 99% к нему есть эксплойт и, возможно, не один!

http://habrahabr.ru/blogs/linux/27799/

Что-то не так? Ну, хорошо - вот, смотрим сюда: openssh root exploit.

А можно что-нибудь поновее?

[vinny]

Саша, вот ты зачем ему посылку вопросов выслал? он сейчас ответит, что-то типа: половина машин в моём ботнете, это Linux и BSD сервер. и как мы с этим будем жить дальше?

Почитайте вот, что вам дает Google по запросу linux kernel exploit. Или для вас это - новость?

для меня всё новость. и, вообще, я легковерна и доверчива, т.е. по сию пору думаю, что каждый 64битный проц участвует в распределённых вычислениях по поиску во вселённой, гнёзд зелёных человеков. без ведома хозяина и благодаря крису касперски. а вы меня наивную растраиваете... я думала, что сейчас увижу список ip серваков, на которых по сию пору стоит red hat 7.2, пробью их хуизом, познакомлюсь с некро-админами, а вы меня гуглом пугаете. скучно, батенька ):

[YUKLA]

А можно что-нибудь поновее?

Вы полагаете - все этим пользуются? И все апгрейтят ядро, причем сразу с kernel.org? Версию за версией? И все прочие пакеты, ага.
Да в самом лучшем случае ядро пересобирают раз в год, да и то, когда оно приползёт с критическими обновлениями из репозитария.

Наличие эксплойта, опубликованного публично - это огромнейшая дыра в безопасности. С подробным руководством по ее использованию. А вы тут дружно отмахивайтесь - мол, старые данные, нету причин волноваться, правильные пацаны от всего защищены и так далее...

[Bluetooth]

И все апгрейтят ядро, причем сразу с kernel.org? Версию за версией? И все прочие пакеты, ага.
Да в самом лучшем случае ядро пересобирают раз в год, да и то, когда оно приползёт с критическими обновлениями из репозитария.

А что, обновляться из репов - это не кошерно, да?

Вы полагаете - все этим пользуются?

Чем, применением секьюрити патчей к ядру "на ходу"? Кому надо, те пользуются. Остальные просто перезагрузиться могут.

Наличие эксплойта, опубликованного публично - это огромнейшая дыра в безопасности.

Да. Огромная дыра. Была. В 2002м году.

правильные пацаны от всего защищены

Это действительно так. А неправильные пацаны - ссзб.

нету причин волноваться

Вы мне предлагаете волноваться по поводу чего? По поводу древнего эксплойта в опэнссш, или по поводу чего?

[YUKLA]

• Огромная дыра. Была. В 2002м году.
• Чем, применением секьюрити патчей к ядру "на ходу"? Кому надо, те пользуются. Остальные просто перезагрузиться могут.
• Это действительно так. А неправильные пацаны - ссзб.
• Вы мне предлагаете волноваться по поводу чего? По поводу древнего эксплойта в опэнссш, или по поводу чего?

Вот и поговорили. Я думал - вы что-то серьёзное напишите. А получилось, как на любом M$-админском форуме:
"Пацаны, обновляйте систему, апликухи, антивирь и базы - и ничего не бойтесь".

Все начиналось, между тем, с утверждения, что де Linux безопаснее Wndows...

[Bluetooth]

• Огромная дыра. Была. В 2002м году.
• Чем, применением секьюрити патчей к ядру "на ходу"? Кому надо, те пользуются. Остальные просто перезагрузиться могут.
• Это действительно так. А неправильные пацаны - ссзб.
• Вы мне предлагаете волноваться по поводу чего? По поводу древнего эксплойта в опэнссш, или по поводу чего?

Вот и поговорили. Я думал - вы что-то серьёзное напишите. А получилось, как на любом M$-админском форуме:
"Пацаны, обновляйте систему, апликухи, антивирь и базы - и ничего не бойтесь".

Все начиналось, между тем, с утверждения, что де Linux безопаснее Wndows...

Нет, одной обновленно системы мало. Нужно еще и правильно настроить ее, а так же иметь средства для мониторинга, и следить за их показаниями.
Теперь жду ответов на мои вопросы, прозвучавшие в предыдущем посте.

[sash-kan]

а я всё жду ссылки на публичную статистику, в которой «примерно 50% ботнетов составляют Linux и BSD сервера с необновленными ядрами».

а то, знаете, за пацанов как-то обидно. которые «и не знают».
под «пацанами» подразумеваю компанию microsoft. вроде бы как повелось считать, что в этом плане они впереди планеты всей. с громадным отрывом.

[YUKLA]

Почитайте вот, про бот-нет на gninx. Статья свежайшая, не 2002 года.

[Yaros]

В Linux, в силу его малой распространённости, еще нет вирусов. А вот эксплойтов ядра навалом. Забыли обновить ядро "домохозяйке" - оп, и компьютер взломан. И работает спам-ботом, к примеру. [...]

В венде даже ядро обновить низзя, в целях безопасности. Пипец =)
А про малую распространенность - эта шутка уже лет десять как не смешная и считается моветоном.

А в чем разница? Да будет вам известно - примерно 50% ботнетов составляют Linux и BSD сервера с необновленными ядрами.

Да будет вам известно - вообще большая часть серверов крутится под никсами => вероятность встретить ломаный сервак здесь выше. А одмины-роспидтяи есть везде.

Наличие эксплойта, опубликованного публично - это огромнейшая дыра в безопасности. С подробным руководством по ее использованию. А вы тут дружно отмахивайтесь - мол, старые данные, нету причин волноваться, правильные пацаны от всего защищены и так далее...

For one thing, http://www.milw0rm.com/search.php. Впечатайте слова "ms" и "win". Винда ничуть не меньше подвержена паблик эксплоитам.
Во-вторых, опыт использования-то сплоитов есть? Эксплоитить все компы - это примерно то же, что и пытаться затащить в постель всех мало-мальски симпатичных девушек. Они реально нужны для конкретных взломов, так что ссылаться на то, что они столь же сильно влияют на среднего юзера, как вирусы в оффтопике - маразм и/или незнание матчасти. Сильно сомневаюсь, что тебя начнут хачить лишь потому, что ты - линуксоид

Почитайте вот, про бот-нет на gninx. Статья свежайшая, не 2002 года.

Цитирую последний абзац:

В настоящий момент в ботнете зафиксировано около сотни серверов, работающих под управлением различных дистрибутивов Linux. Сеть выглядит как первый прототип и следует иметь в виду, что не представляет большого труда адаптировать серверную часть кода злоумышленников для других операционных систем. Код работает с правами пораженного аккаунта хостинга. Точно путь внедрения кода пока не определен.

Как видим, тут может быть дырка самого nginx + под винду эта штука скоро тоже появится - но только может стать куда более опасной в связи с большей дырявостью последней.

[/dev/random]

Почитайте вот, про бот-нет на gninx. Статья свежайшая, не 2002 года.

Второй в истории человечества. Первый был основан на adsl-модемах, хозяева которых открыли во внешнюю сеть админку с заводским паролем, и строго говоря, не имел отношения к линуксу - с тем же успехом эти модемы могли работать на любой другой ОС. Да и этот, второй, целиком составлен из компьютеров, взломанных _вручную_. Вручную, если постараться, можно взломать любую ОС. А сколько этих ботнетов на винде, причём созданных автоматически?

[YUKLA]

Второй в истории человечества. Первый был основан на adsl-модемах, хозяева которых открыли во внешнюю сеть админку с заводским паролем, и строго говоря, не имел отношения к линуксу - с тем же успехом эти модемы могли работать на любой другой ОС. Да и этот, второй, целиком составлен из компьютеров взломанных _вручную_. Вручную можно взломать любую ОС. А сколько этих ботнетов на винде, причём созданных автоматически?

Господа!

Давайте предметно спорить. Во-первых - "первый обнаруженный". Во-вторых - "первый на nginx". В третьих - почему "вручную"? Цитато:

Точно путь внедрения кода пока не определен.

Я, вообще-то, вел речь не только про HTTP сервера и вовсе не про nginx... Не составит труда найти соотв. сообщения про серьезные проблемы с безопасностью на ряде других демонов Linux-хостов, смотрящих в сеть.

[Yaros]

Господа!

Давайте предметно спорить.

Давайте, я свои аргументы выложил, и все они относятся к делу.

Я, вообще-то, вел речь не только про HTTP сервера и вовсе не про gninx... Не составит труда найти соотв. сообщения про серьезные проблемы с безопасностью на ряде других демонов Linux-хостов, смотрящих в сеть.

1. Он все-таки nginx.
2. Эти же сервисы уязвимы под виндой. И уязвимости везде есть, только кое-где больше, а кое-где - меньше...
А на линуксе, кстати, гораздо проще латать потенциальные дырки.

[vinny]

Точно путь внедрения кода пока не определен, но наиболее вероятны три варианта организации загрузки и запуска кода злоумышленника на сервере:

* Использование широко известных уязвимостей в популярных web-приложениях (например, WordPress версии ниже 2.8.4);
* Организация словарного подбора простых паролей;
* Поражение троянским ПО одной из клиентских машин и последующая организация сниффинга FTP-паролей в локальной сети (именно так сейчас осуществляется получение паролей для подстановки троянских JavaScript вставок на сайты).

гггггггг

[YUKLA]

1. Он все-таки nginx.
2. Эти же сервисы уязвимы под виндой. И уязвимости везде есть, только кое-где больше, а кое-где - меньше...
А на линуксе, кстати, гораздо проще латать потенциальные дырки.

1. Исправил. Описка.
2. Не все сервисы, типичные для Unix, есть "под виндой". Скорее, "в винде" есть аналогичные, но организованы они совершенно по другому. К примеру, попробуйте провести параллели между MS ISA Server и Squid.
3. Открытость кода - это и хорошо и плохо. Больше плохо - те же потенциальные "дыры" в безопасности ищутся сканированием кода. Причем - злоумышленники это делают чаще и охотнее, чем авторы. Опять же в виду того, что "открытая" модель разработки, зачастую приводит к отсутствию единого руководства и общего понимания перспектив и приоритетов развития кода. Нарушается стандартная схема развития продукта, к стабильным по сути и по номеру версии веткам добавляется новый непроверенный код и новая функциональность и так далее.

Со всеми вытекающими.

[/dev/random]

3. Открытость кода - это и хорошо и плохо. Больше плохо - те же потенциальные "дыры" в безопасности ищутся сканированием кода. Причем - злоумышленники это делают чаще и охотнее, чем авторы. Опять же в виду того, что "открытая" модель разработки, зачастую приводит к отсутствию единого руководства и общего понимания перспектив и приоритетов развития кода. Нарушается стандартная схема развития продукта, к стабильным по сути и по номеру версии веткам добавляется новый непроверенный код и новая функциональность и так далее.

А, так это вы, наш категоричный противник открытых исходников ))) Блин, на ник не посмотрел ) Ну, тогда всё ясно. До свидания.

[Boboms]

2 YUKLA
Не очень понятно, что вы пытаетесь доказать: Linux - это ХОРОШО/ПЛОХО. Если "плохо", то зачем вы его сами используете? Если вы сторонник венды, то зачем вы выражаете ей приверженность на linuxforum? Странно как-то?
ИМХО, те, кто пользуются linuxом сделали (внимание !!!) осознанный выбор. В отличие от ...

[Yaros]

1. Он все-таки nginx.
2. Эти же сервисы уязвимы под виндой. И уязвимости везде есть, только кое-где больше, а кое-где - меньше...
А на линуксе, кстати, гораздо проще латать потенциальные дырки.

1. Исправил. Описка.
2. Не все сервисы, типичные для Unix, есть "под виндой". Скорее, "в винде" есть аналогичные, но организованы они совершенно по другому. К примеру, попробуйте провести параллели, между MS ISA Server и Squid.
3. Открытость кода - это и хорошо и плохо. Больше плохо - те же потенциальные "дыры" в безопасности ищутся сканированием кода. Причем - злоумышленники это делают чаще и охотнее, чем авторы. Опять же в виду того, что "открытая" модель разработки, зачастую приводит к отсутствию единого руководства и общего понимания перспектив и приоритетов развития кода. Нарушается стандартная схема развития продукта, к стабильным по сути и по номеру версии веткам добавляется новый непроверенный код и новая функциональность и так далее.

Со всеми вытекающими.

2. Дырок в них, тем не менее, все равно хватает.
3. Серьезные пректы сканированием проверяются. Просто у разрабов нет причины искать сферичиский несканируемый баг в вакууме, а у взломщиков - есть.
Серьезный баг, кстати, сканером почти наверняка не найти, Это почти всегда ручная работа.

[YUKLA]

А, так это вы, наш категоричный противник открытых исходников ))) Блин, на ник не посмотрел ) Ну, тогда всё ясно. До свидания.

Простите, не понял. Что - на форуме нельзя и слова сказать ПРОТИВ "открытых исходников"? Это ваша личная позиция или и она будет отображена в Правилах?
То - что я написал - очевидные и известные всем вещи. Почти цитата из курса "Управление проектами".

3. Серьезные пректы сканированием проверяются. Просто у разрабов нет причины искать сферичиский несканируемый баг в вакууме, а у взломщиков - есть.
Серьезный баг, кстати, сканером почти наверняка не найти, Это почти всегда ручная работа.

Гм... Стандартный эксплойт с повышением полномочий - переполнение, чаще всего, строковой переменной. Или любой другой переменной, которая является входным параметром функции и функция не предпринимает никаких усилий для контроля ее (переменной) длины.

Такие ситуации в коде - сплошь и рядом. Их можно обнаружить в любых приложениях. Свежий пример - страничка Online Package Database на сервере Gentoo. Которая еще недавно была оснащена поиском пакета по наименованию. Теперь там такого функционала нет. Знаете - почему? Ломанули сервак... И админы Gentoo не смогли найти адекватного решения для сохранения строки поиска. Теперь - поиск там только каталожный (по категориям).

[t.t]

Приведите, пожалуйста, пример двух библиотек, дублирующих друг друга и усложняющих их одновременное использование -- но при этом, конечно, не перекрывающих друг друга по функционалу, т.е. могущих пригодиться в одном приложении. Хотя бы один пример.

Пожалуйста - GNU LibC и GLIB. Функции перечислить? И libX11 и libxcb. Это только на вскидку.

Неверно. Читайте внимательнее:

при этом, конечно, не перекрывающих друг друга по функционалу, т.е. могущих пригодиться в одном приложении.

А есть еще одна замечательная библиотека - libsysfs, про которую в sysfs-rules.txt написано следующее:

Do not use libsysfs
[...]
Therefore it is not better than reading directories and opening the files yourself.

И что? Библиотека, признанная несостоявшейся в собственной документации и там же не рекомендуемая к использованию, не является примером несостоятельности системы (не говоря уж о том, что такие примеры есть во всех распространённых системах без исключения). Выбросьте эту библиотеку, как и написано в документации. Linux от этого не станет хуже, чем если бы её не написали вообще. Там говорится лишь о том, что она не лучше существующего интерфейса, который упоминается в последнем процитированном мною предложении. Кстати, это предложение перекликается с тем, что я Вам говорил в Вашей собственной теме. (;

Итог. API в Linux:

• Отвратно документировано
• Не стандартизовано
• Постоянно меняется
• Часто не имеет обратной совместимости после этого

Скажу максимально корректно: слишком смелый вывод из нескольких единичных примеров, несостоятельных к тому же. Ваши примеры не доказывают _ни одного_ из этих пунктов даже в _частных_ случаях -- и уж тем более относительно всей системы.

По пунктам:

Не стандартизовано

Почитайте спецификации POSIX и LSB.

Отвратно документировано

Не видел ни одного примера документации на закрытый апи, из которой можно было бы понять больше (или хотя бы столько же), чем из исходников.

Постоянно меняется
Часто не имеет обратной совместимости после этого

Если к этому относились приведенные Вами примеры, то опять мимо: программы с libx11 и libxcb нормально работают в одной системе. Если же речь о переводе программы с одной из этих библиотек на другую, то тут обратной совместимости быть и не обязано: эть разные библиотеки -- но и переводить никто не заставляет, потому как см. предыдущее предложение.

[YUKLA]

Если к этому относились приведенные Вами примеры, то опять мимо: программы с libx11 и libxcb нормально работают в одной системе. Если же речь о переводе программы с одной из этих библиотек на другую, то тут обратной совместимости быть и не обязано: эть разные библиотеки -- но и переводить никто не заставляет, потому как см. предыдущее предложение.

Вы лукавите.

xcb заявлена как полная замена Xlib. При этом, совершенно не исключено, что часть разработчиков останется и продолжит развивать Xlib. Как это было (и есть) c XOrg и XFree86.

Это разные библиотеки в интерфейсе. Но информацию они возвращают одинаковую. И действия выполняют аналогичные. При этом, внятной документации на xcb пока что нет. Несмотря на то, что проект xcb разрабатывается с 2002 года. И взять и перевести любой рабочий проект на эту библиотеку ПОКА весьма проблематично.

Складывается ощущение, что в какой-то момент сторонники xcb "перебороли" сторонников Xlib. Или кто-то из "монстров" старой команды отошел на покой. Ибо при всем моем уважении крайне маловероятно, что такая замечательная библиотека, ускоряющаяся общение с X Server 7 лет ждала своего часа. Со своей сугубой колокольни могу сказать, что по крайне мере, на текущем этапе код с использованием функций xcb вместо функций Xlib ВЫГЛЯДИТ более громоздким и запутанным.

Ну а на счет GLIB и GNU LibC. Можете мне детально объяснить разницу между g_strdup_printf() и sprintf()? Для эндюзера? Ах да - там gchar *, а там char *... Первые надо выделять g_malloc() и освобождать g_free(), а вторые - malloc() и free()...

[Yaros]

3. Серьезные пректы сканированием проверяются. Просто у разрабов нет причины искать сферичиский несканируемый баг в вакууме, а у взломщиков - есть.
Серьезный баг, кстати, сканером почти наверняка не найти, Это почти всегда ручная работа.

Гм... Стандартный эксплойт с повышением полномочий - переполнение, чаще всего, строковой переменной. Или любой другой переменной, которая является входным параметром функции и функция не предпринимает никаких усилий для контроля ее (переменной) длины.

Такие ситуации в коде - сплошь и рядом. Их можно обнаружить в любых приложениях.

В любых, в том числе и виндовых. Это не объясняет, почему ОпенСорс хуже
Вообще, выглядит так, будто Вы пытаетесь доказать, что эксплоиты есть только под линукс и они могут поломать сразу всех и вся, а винда от этого свободна...
Спор вроде начался с того, что не все согласились с тем, что линукс лучше защищен от вирусов... Собственно: эксплоит != вирус, у них разное назначение, разная область действия и разные способы использование. Поэтому сравнение некорректно. Речь идет не о целевом взломе.

Ну а на счет GLIB и GNU LibC. Можете мне детально объяснить разницу между g_strdup_printf() и sprintf()? Для эндюзера? Ах да - там gchar *, а там char *... Первые надо выделять g_malloc() и освобождать g_free(), а вторые - malloc() и free()...

Если мне ни с кем не изменяет память, Glib - это гномья библиотека. А GNU LibC - общесистемная.
И я еще не видел "эндюзера", которого бы интересовали подобные вещи