Здравствуйте, Michael7, Вы писали:
M>Здравствуйте, kochetkov.vladimir, Вы писали:
KV>> Господа линуксоиды, вы будете продолжать утверждать, что подобных ошибок больше нет? Тогда на чем основывается ваш постулат, что под linux вирусов нет и быть не может? А что есть в уже упомянутом метасплоите по линуксячью душу? http://www.metasploit.com/framework/search?osvdb=&cve=&bid=&msb=&text=linux&commit=Search+Modules — мама дорогая, да там полный набор...
M>Что нет и быть не может вменяемые лиуксоиды и не утверждали
А может я это для невменяемых писал? Их вообще-то, субъективно больше, не в обиду будет сказано. Ну или, по крайней мере, они громче и больше шороху наводят
M>и такие вещи как руткиты и взломы линукс-систем очень даже бывают. Но вот с вирусами, в смысле с автоматическим заражением, как-то резко хуже.
За счет чего?
M>Может ещё и потому, что именно удаленных 0-day дырок, позволяющих реально внедрить чужой код, как-то мало, особенно учитывая принятые по умолчанию настройки.
Я даже написал почему их мало, вообще-то.
KV>> Быть может, дело в том, что ваша система пока еще нахрен никому не упала еще не набрала той критической массы десктоп-пользователей, чтобы сделать ее выгодной целью для атакующих?
M>А ничего, что под Linux есть куча серверов, довольно лакомых для всяких целей, только что-то не очень их спешат поражать.
Да ну?
M>А что касается массы, под виндой уж очень многие работают с правами админа, потому что в противном случае, в отличие от линукса, слишком много возни нужно.
Это миф времен XP
M>Признаюсь, что и я прекрасно понимая, что это нежелательно, работаю в винде обычно с админскими правами. Правда и вирусов у меня, несмотря на это почему-то нет или я думаю, что нет.
А какая версия винды?
M>А безопасность — это не совсем процесс. Может быть создана системы с доказанной безопасностью, правда такое мало кому нужно и по причине стоимости и по соображениям удобства.
"Доказанная безопасность" — это баззворд, мы же это еще в "Философии" недавно выяснили. Безопасность может быть "оцененной", но не более того. Ну вот SELinux — вполне себе MAC, реализует доказанную модель. Выше я привел пример того, чего стоит вся эта "доказанная" безопасность. Хинт: корректность реализации ты как доказывать будешь?
Здравствуйте, kochetkov.vladimir, Вы писали:
KV>Оно на мне не лежит, я бы заметил, уверяю тебя.
Ты слишком серьёзен .
__>>Ты можеш сам просмотреть весь список. Нумбер 6 это Анрил Турнамент Сервер. Прям вот в каждом Линух боксе стоит, да .
KV>Т.е. на уязвимости прикладного ПО мы внимания не обращаем?
Ты говорил об Линух, не об "какие в ВмВаре/Анриле криворукие программеры".
KV>Я хз что такое "сплоит из будущего"... "Слышу сплоит из прекрасного далека..."? Были в прошлом, есть в настоящем, будут и будущем.
Ну ты же его приводил в доказательство. Только его сейчас не существует. С его помощью нельзя сломать Линух.
KV>См. вопрос про прикладной софт.
См. мой ответ .
KV>Правильно понял, я на них и наезжал. Это ты к вмваре прицепился
Э нет, это ты доказывал дырявость Линуха для домохозяйки дырой в сервере ВмВаре которая к тому же ещё и гвест онли . И пофикшенна с год как.
KV>Т.е. у меня время на это есть, да?
Потому что ты доказываешь. Я не доказываю. Меня взяло любопытство, я кликнул по линку. А там смешно . Я поделился в этом топике.
KV>Ничего себе "неохота". Да это самое главное вообще-то, остальной текст так — для разогрева был
Вкратце мои мысли:
1. Система безопасности ОС может быть классной изначально. Типа как у Андроида (на мой дилетантский взгляд).
2. На дырявость (читай наличие сплоитов/вирусов) влияет не только архитектура ОС. Пример ВинМо, которая открыта всем ветрам, но под неё так и не написали ни одного вируса. С учётом что она распространённая и юзалась на смартфонах (инет).
3. Распространнёность ОС/платформы/софтины влияет на кол-во находимых в ней дыр. Пример Эпл ставшая номер1 в Секунии.
4. Безопасность компа может быть отличной и с кучей дыр в нём. Пример: я сам , ВинХП СП2, 1 вирус за 5-ть лет (или даже больше).
KV>Нет еще не смотрел, к сожалению, но в планах. Мои коллеги (в той же предметной области) отзывались о нем исключительно хорошо.
KV>Теперь линукс.
Unix защищен лучше за счет:
1. Разделения привелигий. Система исторически была спроектирована с разделением, и все умеют правильно этим пользоваться. Под виндой ДО СИХ ПОР все сидят под админом.
2. Зоопарка архитектур. В соседних ветках жалуются, что под разными дистрами линукса не идут некоторые приложения. А ты хочешь эксплойты! Не говоря уже о том, что кроме линукса есть солярка, фрибсд, и проч.
3. В дополнение к 1, для поддержки разделяемых полономочий в никсах есть много всяких решений. Например судо, ролевая безопасность в солярке, суид, мощные средства монтирования с носуид, ноэекзек, рид-онли и проч.
4. В винде НАМЕРЕННО встраивают дырки. Включенный по умолчанию авторан на сменных носителях, через которые был мной подхвачен вирус на винде — это же кто придумал такое?
k>>> Ну как бы, кто б спорил-то? Я ж их не сравниваю, я "немножко" о другой вещи говорю S>>Тоесть какбы винда просто менее защищена, так?
KV>Отнюдь. Количество обнаруженных уязвимостей не определяет факт защищенности системы в каждый определенный момент времени. Оно говорит лишь о возможности их существования там, не более того.
KV>Просто в винде уязвимости ищут более активно и с большей мотивацией. Вот как-то так.
Ну и плюс тот факт, что линукс обычно специально настраивается очень осторожно.
Вот реальный пример. Терминал оплаты. Стоит очень аккуратно собранная Генту(есть только самое необходимое для работы). Полное анальное отгорожение: все порты с внешнего мира задраены. Там крутится клиент на жабе. Он и осуществляет коммуникацию. По шифрованному каналу с рабочим ключем(достаточным, чтобы его взлом стал бесполезным занятием). Рабочий ключ обновляется каждые сутки. Мастер загружется один раз по SSL по уникальному коду, вводимому при активации(после которой, ессно, код протухает). Часть этого кода не передается, а является куском мастера. Код на терминал передается не электронным образом, т.е. его вводит доверенное лицо(считаем этот канал неперехватываемым, иначе это уже не технический взлом). Как это ломать? Перехватывать сообщения, подменять и взламывать жабовский(pure, без нативы вообще) код дешифрации? Ну это кагбе трудно: ни вам адресной арифметики, ни переполнений, виртуальная машина бдит. Ломать шифрование за сутки — анриал. Как это вообще ломать?
Вобщем, поинт в том, что ломать то, что грамотно защищено, всегда сильно труднее, чем пользовательскую машину, особенно если пользователь не шарит в IT и не страдает параноей.
Новости очень смешные. Зря вы не смотрите. Как будто за наркоманами подсматриваешь. Только тетка с погодой в завязке.
There is no such thing as a winnable war.
V>2. Зоопарка архитектур. В соседних ветках жалуются, что под разными дистрами линукса не идут некоторые приложения. А ты хочешь эксплойты! Не говоря уже о том, что кроме линукса есть солярка, фрибсд, и проч.
Ага.
#anime
xxx: я уже пять лет не переставлял о.с. и на ней никогда небыло антивируса, никогда ничего не ловил, не понимаю тот народ который плачется что подцепил троян и его не спас крутой дядя каспер или новый нод, что они такого делали ?
yyy: снеси уже свой линукс и кончай народу мозг парить
xxx: ну во первых не линукс а QNX......
Новости очень смешные. Зря вы не смотрите. Как будто за наркоманами подсматриваешь. Только тетка с погодой в завязке.
There is no such thing as a winnable war.
Здравствуйте, kochetkov.vladimir, Вы писали:
KV>Достали уже комменты в стиле "переходи на линукс и не парься, там нет никаких вирусов!" или "а я вот под 64-разрядной виндой сижу и горя не знаю, на ней современные сплоиты отваливаются". Если бы только здесь, так нет же, эти красноглазые весь интернет оккупировали
KV>Начнем с винды: http://habrahabr.ru/company/eset/blog/103249/ внимательно читаем (включая комменты) и осознаем, что все что дает нам 64-разрядность ядра ОС, это невозможность запуска на ней старых сплоитов, руткитов и т.п., разработанных под 32-битные архитектуры. В отличии от новых, ага. Как видно из статьи, в общем-то и обязательная подпись драйверов как бы не встает вопросом. А в свете того, что наметилась тенденция к краже ключей для подписи у уважаемых вендоров...
про линукс ничего не скажу но с вендой 0-day сегодня постучался прямо в лоб.
Читая новости потянулась рука нажать на ссылку: www.semiaccurate.защитаотнажатия.com/2010/09/01/amd-outs-bulldozer-based-orochi-die/
и пробило и фокс со всеми плагинами и 7ку x64 с UAC и Nod32 даже не пискнул. И даже без перезагрузки.
есть инфа от людей на форуме где я ссылку нашел что каспер справился.
Здравствуйте, kochetkov.vladimir, Вы писали:
KV>Достали уже комменты в стиле "переходи на линукс и не парься, там нет никаких вирусов!" или "а я вот под 64-разрядной виндой сижу и горя не знаю, на ней современные сплоиты отваливаются". Если бы только здесь, так нет же, эти красноглазые весь интернет оккупировали
[...]
Ты чего сказать-то хотел, мил человек? Плохой вброс, негодный. Камменты не доставляют. Неужто потерял сноровку?
KV>dixi.
Курица — это инструмент, с помощью которого одно яйцо производит другие.
Здравствуйте, Michael7, Вы писали:
M>А безопасность — это не совсем процесс. Может быть создана системы с доказанной безопасностью, правда такое мало кому нужно и по причине стоимости и по соображениям удобства.
Это сродни отключенному от сети (электрической компьютеру).
Покажи мне хоть одну систему, которая была создана и все. И больше к ней не прикасались.
К слову, утопичность такого подхода DoD понял еще в 70-ые.
Здравствуйте, kochetkov.vladimir, Вы писали:
KV>Хинт: корректность реализации ты как доказывать будешь?
Ну понятно, что можно. Однако получится ситуация, когда трудозатраты на оценку выше, чем прибыль от автоматизации.
Здравствуйте, kochetkov.vladimir, Вы писали:
KV>Безопасность через переход на якобы более защищенную ОС, будь то хоть винда, хоть линукс, хоть макос, хоть фря (можно я не буду дальше перечислять?) — это миф. Потому что безопасность — это процесс, а защищенность ОС — это одномоментное состояние, которое может измениться в любое время под воздействием внешних (неконтролируемых вами) факторов.
Вот мне кажется что Win98 на сегодняшний день самая защищенная система
Здравствуйте, kochetkov.vladimir, Вы писали:
M>>и такие вещи как руткиты и взломы линукс-систем очень даже бывают. Но вот с вирусами, в смысле с автоматическим заражением, как-то резко хуже.
KV>За счет чего?
За счёт большого разнообразия, хотя бы. Причём даже в рамках одного и того же дистрибутива. Например, чтобы после срыва стека коду получить управление, надо всё точно рассчитать, а тут банально если скомпилировать немного другой версией компилятора или использовать чуть другие версии библиотек, уже внедрение запросто может оказаться неработоспособным. В тоже время, как я уже говорил, работать с рутовыми правами как-то не принято, соответственно даже в случае успешного запуска на исполнение после проникновения возможностей что-то сделать сильно меньше.
KV>>> Быть может, дело в том, что ваша система пока еще нахрен никому не упала еще не набрала той критической массы десктоп-пользователей, чтобы сделать ее выгодной целью для атакующих?
M>>А ничего, что под Linux есть куча серверов, довольно лакомых для всяких целей, только что-то не очень их спешат поражать.
Про поражение вирусами (червями) виндовых серверов я слышал, о поражении юниксовых систем со времен Морриса что-то нет. Хотя был громкий случай, не так давно, в прошлом или позапрошлом году, когда вирус позаражал некоторые роутеры одной фирмы, ну так кто им доктор, если у них у всех был дефолтный рутовый пароль? Да ещё торчало это, доступное с любого адреса.
Остальное, результат проблем с конкретными приложениями, например, движка phpBB, при том, некоторые дыры даже были кроссплатформенными. Опять же причем тут линукс, впрочем как и винда.
M>>А что касается массы, под виндой уж очень многие работают с правами админа, потому что в противном случае, в отличие от линукса, слишком много возни нужно.
KV>Это миф времен XP
В висте UAC тоже очень любят отключать, в 7-ке с этим несколько получше, но все равно достает. Собственно, мне так и не понятно, что кроме жабы мешает в винде реализовать на десктопе нормальное переключение между разными пользователями.
M>>Признаюсь, что и я прекрасно понимая, что это нежелательно, работаю в винде обычно с админскими правами. Правда и вирусов у меня, несмотря на это почему-то нет или я думаю, что нет.
KV>А какая версия винды?
На работе в XP.
KV>"Доказанная безопасность" — это баззворд, мы же это еще в "Философии" недавно выяснили.
Ну ладно Я же оговорился, что это слишком трудно реализуемо, хотя все-таки есть у меня подозрение, что просто не пытались правильно, а может квалификации не хватает. Потому что для такой системы надо не только софт, но и железо разрабатывать специально заточенное на уровне принципов работы. Например, чтобы машинный язык позволял максимально просто доказывать софт на нем. Такое вообще в мире мало кто умеет делать.
Возвращаясь к линуксу, замечу, что может быть, действительно каких-то особых отличий в архитектуре безопасности и нет, но есть целый ряд моментов, которые реализованы в этом смысле лучше и в совокупности это сказывается. Плюс в целом лучшая культура программирования, потому что на PC, сначала в MS-DOS, потом в win3x — winMe привыкли писать, де-факто как Бог на душу положит, особо не беспокоясь о правилах приличия. Для NT уже стали лучше писать, но наследие бардака до сих пор сказывается. Отсюда и программы, которые пишут в Program Files и другие самые неожиданные места и засраный реестр и многое другое. Кстати, о реестре, то что Microsoft вытворила для Win64 в этом плане тоже образец для неподражания.
Здравствуйте, Eugeny__, Вы писали:
E__>Ну и плюс тот факт, что линукс обычно специально настраивается очень осторожно.
E__>Вот реальный пример. Терминал оплаты. Стоит очень аккуратно собранная Генту(есть только самое необходимое для работы). Полное анальное отгорожение: все порты с внешнего мира задраены.
Отключи всё ненужное в винде, задрай порты, поставь ещё этих других анальных затычек.
E__>Там крутится клиент на жабе. Он и осуществляет коммуникацию. По шифрованному каналу с рабочим ключем(достаточным, чтобы его взлом стал бесполезным занятием). Рабочий ключ обновляется каждые сутки. Мастер загружется один раз по SSL по уникальному коду, вводимому при активации(после которой, ессно, код протухает). Часть этого кода не передается, а является куском мастера. Код на терминал передается не электронным образом, т.е. его вводит доверенное лицо(считаем этот канал неперехватываемым, иначе это уже не технический взлом). Как это ломать? Перехватывать сообщения, подменять и взламывать жабовский(pure, без нативы вообще) код дешифрации? Ну это кагбе трудно: ни вам адресной арифметики, ни переполнений, виртуальная машина бдит. Ломать шифрование за сутки — анриал. Как это вообще ломать?
Вопросы:
1) В чём тут фишка собственно линукса ?
2) Зачем ломать терминал оплаты ? Вытащить физически имеющиеся деньги — это я понимаю. Украсть сессионне ключи — не вижу профита.
Тем не менее вот тебе такой сценарий: терминал вскрывается физически. А если у злоумышленника есть физический доступ к вашей машине то это уже не ваша машина. Через дырки LPE получаем рута и утаскиваем всё что хотим.
E__>Вобщем, поинт в том, что ломать то, что грамотно защищено, всегда сильно труднее, чем пользовательскую машину, особенно если пользователь не шарит в IT и не страдает параноей.
Попробую донести мысль ТС в виде метафоры-случая из жизни. У меня возле гаража стоит мой УАЗик. На кузове есть вмятины и небольшая ржа. В салоне пусто (все кресла я снял и унёс в гараж). Чтобы его завести и угнать достаточно принести табуретку в салон, открыть капот, накинуть один проводок, завести двигатель и поехать. Но ведь не угоняют, собаки серые. А вот иномарки с кучей сигналок угоняют только в лёт.
Здравствуйте, Michael7, Вы писали:
M>Здравствуйте, kochetkov.vladimir, Вы писали:
M>>>и такие вещи как руткиты и взломы линукс-систем очень даже бывают. Но вот с вирусами, в смысле с автоматическим заражением, как-то резко хуже.
KV>>За счет чего?
M>За счёт большого разнообразия, хотя бы. Причём даже в рамках одного и того же дистрибутива. Например, чтобы после срыва стека коду получить управление, надо всё точно рассчитать, а тут банально если скомпилировать немного другой версией компилятора или использовать чуть другие версии библиотек, уже внедрение запросто может оказаться неработоспособным.
ASLR
M>В тоже время, как я уже говорил, работать с рутовыми правами как-то не принято, соответственно даже в случае успешного запуска на исполнение после проникновения возможностей что-то сделать сильно меньше.
UAC в семёрке совершенно не напрягает. С другой стороны LPE дыры в линухе это очень частое явление. А соснифать рутовый пароль из X-Server-а, как я понял, вообще плёвая задачка, бо архитектурно так заложено.
Здравствуйте, Eugeny__, Вы писали:
KV>>Просто в винде уязвимости ищут более активно и с большей мотивацией. Вот как-то так. E__>Ну и плюс тот факт, что линукс обычно специально настраивается очень осторожно. E__>Вот реальный пример. Терминал оплаты. Стоит очень аккуратно собранная Генту(есть только самое необходимое для работы).
Странно, что этот довод до сих пор никто не вспомнил. Точнее не совсем этот, а тот факт, что в линуксе можно выпилить все ненужное собрав систему с минимальной "площадью плоскости атаки". Правда этот аргумент слабоприменим к домохозяйкам в целом (ибо требуется квалификация) и к десктопам в частности (т.к. там особо нечего выпиливать).
E__>Как это вообще ломать?
Искать ошибки в реализации, либо прибегать к "нетехническим" средствам, если это дешевле
E__>Вобщем, поинт в том, что ломать то, что грамотно защищено, всегда сильно труднее, чем пользовательскую машину, особенно если пользователь не шарит в IT и не страдает параноей.
Именно. Так вот чем отличаются пользовательские машины windows и linux юзеров, что делает вторые более защищенными чем первые?
Здравствуйте, FR, Вы писали: FR>Здравствуйте, kochetkov.vladimir, Вы писали:
KV>>Это миф времен XP
FR>Так данный момент и есть время XP и ближайшие пару — тройку лет точно будет.
Не уверен, т.к. наблюдаю иную картину, практически у всех моих знакомых уже семерка, контора переходит на семерку в конце года (да и то, исключительно в силу весьма консервативной политики, а так бы мы давно на ней уже сидели).
А что есть в уже упомянутом метасплоите по линуксячью душу? http://www.metasploit.com/framework/search?osvdb=&cve=&bid=&msb=&text=linux&commit=Search+Modules — мама дорогая, да там полный набор...
Их вообще-то, субъективно больше, не в обиду будет сказано. Ну или, по крайней мере, они громче и больше шороху наводят 
.
