|
|
[ cynique @ 03.03.2007. 10:19 ] @
[ vladared @ 03.03.2007. 10:49 ] @
[ Stator @ 03.03.2007. 11:07 ] @
Od takvih gluposti se stitis na drugi nacin. Evo npr kod Gentoo-a ta verzija uopste nije uvrscenja u paket menadzer te nisam ni mogao da se "zajebem" :)
Code:
stator@localhost ~ $ eix wordpress
* www-apps/wordpress
Available versions:
(2.0.9) ~2.0.9
(2.1.2) [M]~2.1.2
Homepage: http://wordpress.org/
Description: Wordpress php and mysql based CMS system.
[ cynique @ 03.03.2007. 16:18 ] @
Nije poanta baš u sad TOJ verziji WordPressa, jednog od najpopularnijih blog softvera na webu, već u činjenici da ovakve stvari postaju sve više karakterna crta svih većih projekata iz open-source komune. Što više ljudi gleda...više ih pokušava nešto haknuti :)
Na svaki otkriveni pokušaj dođe još najmanje toliko neotkrivenih, jerbo ovakve stvari ne rade 15-godišnji h4x0ri sa kojekakvih foruma, već iskusni profesionalci :)
I onda govore o government-security linuxu/Solarisu....lol.
[ japan @ 03.03.2007. 16:40 ] @
Citat: cynique: ovakve stvari postaju sve više karakterna crta svih većih projekata iz open-source komune.
kako si ti dosao do tog zakljucka? na osnovu gore navedenih linkova?
moram da ti odam priznanje za skill ;o) [ cynique @ 03.03.2007. 17:38 ] @
Citat: japan: kako si ti dosao do tog zakljucka? na osnovu gore navedenih linkova?
Ma jok, linux kernel, debian.org, sourceforge i WordPress su sve primjeri minornih open-source projekata. <ironija>Baš mi ne idu logičke falacije poopćavanja, ke ne?</ironija> [ japan @ 03.03.2007. 18:06 ] @
ne, nisu minorni projekti, ali predstavljati incidente kao karakternu crtu je malo... onako...
[ cynique @ 03.03.2007. 18:16 ] @
Ako projekt dovoljno naraste, bude imao dovoljno veliku publiku i broj korisnika, prirodno je očekivati da će biti to veća meta za bad ass haxore...
S druge strane, ja ne vidim nijedan poznatiji komercijalni program/OS backdooran, tako da možemo slobodno reći da je ovo karakterna crta projekata koje je iznjedrila open source komuna :>
[ japan @ 03.03.2007. 18:39 ] @
Citat: cynique: Ako projekt dovoljno naraste, bude imao dovoljno veliku publiku i broj korisnika, prirodno je očekivati da će biti to veća meta za bad ass haxore...
ovo ne osporavam uopšte
Citat: S druge strane, ja ne vidim nijedan poznatiji komercijalni program/OS backdooran, tako da možemo slobodno reći da je ovo karakterna crta projekata koje je iznjedrila open source komuna :>
već sam izrazio svoje poštovanje, mislim da nema potrebe da se ponavljam ;o)
ali, teško da bilo koja osoba sa bar dvocifrenim IQ, kojoj tramvaji ne lete i brodovi ne idu po šinama, progutati ovu tvrdnju. [ Stator @ 03.03.2007. 18:58 ] @
@cynique: Ne ne kapiras ni ti mene :) Ono sto 'ocu da ti kazem je to da kod boljih distribucija imas viseslojnu zastitu.
1. Mora taj neko da prevari devolepere i da oni objave njegov kod
2. To isto mora da se podkrade i developerima neke distribucije koja ima npr stabilnu i nestabilnu granu (Debian, Gentoo itd)
Pa cak i kada se to desi ti odmah dobijes na mail poruku da je aplikacija koju koristis explojtovana i da je updejtujes
Primer evo ovo sam ja dobio za FF koji jelte koristim
Code:
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Gentoo Linux Security Advisory GLSA 200703-04
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
http://security.gentoo.org/
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Severity: Normal
Title: Mozilla Firefox: Multiple vulnerabilities
Date: March 02, 2007
Bugs: #165555
ID: 200703-04
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Synopsis
========
Multiple vulnerabilities have been reported in Mozilla Firefox, some of
which may allow user-assisted arbitrary remote code execution.
Background
==========
Mozilla Firefox is a popular open-source web browser from the Mozilla
Project.
Affected packages
=================
-------------------------------------------------------------------
Package / Vulnerable / Unaffected
-------------------------------------------------------------------
1 www-client/mozilla-firefox < 2.0.0.2 *>= 1.5.0.10
>= 2.0.0.2
2 www-client/mozilla-firefox-bin < 2.0.0.2 *>= 1.5.0.10
>= 2.0.0.2
-------------------------------------------------------------------
2 affected packages on all of their supported architectures.
-------------------------------------------------------------------
Description
===========
Tom Ferris reported a heap-based buffer overflow involving wide SVG
stroke widths that affects Mozilla Firefox 2 only. Various researchers
reported some errors in the JavaScript engine potentially leading to
memory corruption. Mozilla Firefox also contains minor vulnerabilities
involving cache collision and unsafe pop-up restrictions, filtering or
CSS rendering under certain conditions.
Impact
======
An attacker could entice a user to view a specially crafted web page
that will trigger one of the vulnerabilities, possibly leading to the
execution of arbitrary code. It is also possible for an attacker to
spoof the address bar, steal information through cache collision,
bypass the local files protection mechanism with pop-ups, or perform
cross-site scripting attacks, leading to the exposure of sensitive
information, like user credentials.
Workaround
==========
There is no known workaround at this time for all of these issues, but
most of them can be avoided by disabling JavaScript.
Resolution
==========
Users upgrading to the following releases of Mozilla Firefox should
note that this upgrade has been found to lose the saved passwords file
in some cases. The saved passwords are encrypted and stored in the
'signons.txt' file of ~/.mozilla/ and we advise our users to save that
file before performing the upgrade.
All Mozilla Firefox 1.5 users should upgrade to the latest version:
# emerge --sync
# emerge --ask --oneshot --verbose ">=www-client/mozilla-firefox-1.5.0.10"
All Mozilla Firefox 1.5 binary users should upgrade to the latest
version:
# emerge --sync
# emerge --ask --oneshot --verbose ">=www-client/mozilla-firefox-bin-1.5.0.10"
All Mozilla Firefox 2.0 users should upgrade to the latest version:
# emerge --sync
# emerge --ask --oneshot --verbose ">=www-client/mozilla-firefox-2.0.0.2"
All Mozilla Firefox 2.0 binary users should upgrade to the latest
version:
# emerge --sync
# emerge --ask --oneshot --verbose ">=www-client/mozilla-firefox-bin-2.0.0.2"
References
==========
[ 1 ] CVE-2006-6077
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-6077
[ 2 ] CVE-2007-0775
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0775
[ 3 ] CVE-2007-0776
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0776
[ 4 ] CVE-2007-0777
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0777
[ 5 ] CVE-2007-0778
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0778
[ 6 ] CVE-2007-0779
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0779
[ 7 ] CVE-2007-0780
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0780
[ 8 ] CVE-2007-0800
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0800
[ 9 ] CVE-2007-0801
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0801
[ 10 ] CVE-2007-0981
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0981
[ 11 ] CVE-2007-0995
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0995
[ 12 ] Mozilla password loss bug
https://bugzilla.mozilla.org/show_bug.cgi?id=360493#c366
Availability
============
This GLSA and any updates to it are available for viewing at
the Gentoo Security Website:
http://security.gentoo.org/glsa/glsa-200703-04.xml
Concerns?
=========
Security is a primary focus of Gentoo Linux and ensuring the
confidentiality and security of our users machines is of utmost
importance to us. Any security concerns should be addressed to
[email protected] or alternatively, you may file a bug at
http://bugs.gentoo.org.
License
=======
Copyright 2007 Gentoo Foundation, Inc; referenced text
belongs to its owner(s).
The contents of this document are licensed under the
Creative Commons - Attribution / Share Alike license.
http://creativecommons.org/licenses/by-sa/2.5
I ovako slicno se dobija za svaki fail koji ti je instaliran a nadjeno je neki deo loseg coda u njemu. Dakle sve usere malko boljih distribucija ovaj slucaj uopste nije pogodio. [ unleaded @ 03.03.2007. 19:00 ] @
Ma jok, Microsoft se uopste nije izvinjavao sto su musterije fasovale spyware, nema toga kod komercijalista :).
Citat: Microsoft have issued an official statement as follows:
"Microsoft was notified of malware that was being served through ads placed in Windows Live Messenger banners. As a result of this notification we immediately investigated the reports and removed the offending ads, as this is a violation of our ad serving policy. We can confirm that the ads are no longer being served by any Microsoft system. We apologize for the inconvenience and are reviewing our ad approval process to reduce the chance of an occurrence such as this happening again. To help customers protect their PCs from malware threats, Microsoft recommends customers follow our Protect your PC guidance at www.microsoft.com/protect." - Whitney Burk, Microsoft. [ vladared @ 04.03.2007. 06:04 ] @
Ma jok... MS je savršen. Zeza ga to što ima puno korisnika, inače da nema ne bio on imao virusa. Doduše, ne bi bio ni ovako siguran kako jeste. Verovatno bi bio bolji, jer bi morao da se trudi da dostigne neki status... Evo pogledajte šta je iznenada popularizacija linuxa donela. Na Visti su baš morali poraditi...
[ cynique @ 04.03.2007. 12:17 ] @
Citat: japan: ali, teško da bilo koja osoba sa bar dvocifrenim IQ, kojoj tramvaji ne lete i brodovi ne idu po šinama, progutati ovu tvrdnju.
S obzirom na koliko gluposti pingvini običavaju gutati, ništa me više začudilo ne bi. No prvi post teme govori sam za sebe, svakome tko ima "dvocifren IQ" :)
Citat: Stator:Ono sto 'ocu da ti kazem je to da kod boljih distribucija imas viseslojnu zastitu.
1. Mora taj neko da prevari devolepere i da oni objave njegov kod
Ne "vara" nitko developere, strojevi se "bušnu" ((c) by nkrgovic) i kod trojanizira :)
Citat: 2. To isto mora da se podkrade i developerima neke distribucije koja ima npr stabilnu i nestabilnu granu (Debian, Gentoo itd)
Maintaineri paketa distribucije ne analiziraju svaku liniju koda, već pokušavaju minimizirati konflikte između različitih verzija različitih biblioteka različitih programa različitih kernela različitih distribucija. Tu i tamo imaju svoje research timove koji pod njihovim okriljem traže sigurnosne propuste u sorsovima iz open-source komune, kao što si dolje prezentirao, i to je manje više to :)
Citat: Pa cak i kada se to desi ti odmah dobijes na mail poruku da je aplikacija koju koristis explojtovana i da je updejtujes
Nije "eksplojtovana" nego šuplja k'o švicarski sir:
Code:
Tom Ferris reported a heap-based buffer overflow..
Recimo heap overflowa imaš na desetine različitih suptilnih podvarijanti, a Vista ima super-hardened heap manager koji ih većinu otklanja... :)
Citat: I ovako slicno se dobija za svaki fail koji ti je instaliran a nadjeno je neki deo loseg coda u njemu. Dakle sve usere malko boljih distribucija ovaj slucaj uopste nije pogodio.
Nađeno...ako je nađeno....a kad nije? :)
E, sjećam se jednog intervjua u phracku gdje se jedan liq hvalio da mu je hobi backdooranje open-source softvera...imam neki razlog da mu itekako vjerujem :) [ Apatrid @ 05.03.2007. 21:38 ] @
Paaaa saaad... ako se vec o razvojnom modelu "muva bez glave" prica:
Vulnerability in Microsoft Malware Protection Engine Could Allow Remote Code Execution
Ne dese se takve stvari pravome muskarcu?
Citat: Affected Software:
...<moje makazice izrezale ostatak liste>...
Microsoft Windows Defender in Windows Vista 
[Ovu poruku je menjao Apatrid dana 05.03.2007. u 22:48 GMT+1][ bojan_bozovic @ 05.03.2007. 22:40 ] @
@svi sem cynique
Ovo nije win vs. lin vec prakticno Theo vs. Linus, jer se radi o kritici razvojnog modela sw, ne licence pod kojom je izdat (citaj, sutra Vista moze da postane GPL).
@cynique
kako smatras da se problem moze izbeci, manjim razvojnim timom i/ili obaveznim auditom svog novog koda?
[ cynique @ 06.03.2007. 08:15 ] @
Svaki AV današnjice ima bar nekolicinu remote vulnova, uglavnom vezanih za loše parsere headera datoteka, jerbo danas AV moraju skenirati sve od .jpg slika pa do .doc dokumenata, u sve se malware može sakriti.
Ovo nije da je netko backdoor-ao MS-ov softver :)
@bojan: Dokle god projekt može primati anonimne "donacije" koda (i pod anoniman smatram nekog Peru Perića iz Urugvaja kojeg nikad ne vidim svojim očima i čija plaća nije direktno proporcionalna kvaliteti submitted koda), uvijek će postojati dovoljno mjesta za muljažu. Pa ako ne direktno (modificiranjem baze koda haknutog servera), onda indirektno - kontribuiranjem koda koji po dizajnu ima neki jako suptilan sigurnosni propust kojeg samo autor može vidjeti (osim toga, kod funkcionira savršeno).
Ovaj drugi pristup se savršeno uklapa u moderne demokratske sheme, u kome naivnoj pastvi pružiš iluziju izbora pružanjem nekoliko jednakovrijednih varijanti, od kojih svaku ti kontroliraš. U praksi se ovo da svesti na pisanje suber-hardening linux kernel patcha kojeg će svi koristiti jer je prejeben (PaX), a na par pikantno odabranih pozicija ubaciš prostora za remote exploitovanje. Bez obzira na fascinatni feature set, anonimnost principijelnog autora PaX-a meni ne ulijeva puno povjerenja, bez obzira na sve te "oči" open-source komune koje su uperene u sam kod. Jer i kad se propust otkrije, nitko ne može sa sigurnošću radi li se o subverziji ili lošem dizajnu (khm VMA mirroring khm).
The truth is out there :)
[ japan @ 06.03.2007. 10:58 ] @
daj cynique, pa smejao si se i pokazivao prstom kad su ljudi ovde iznosili slične molderovske konstrukcije, tvrdeci da sw zatvorenog koda nosi tu mogućnost backdoora, samo zato što je closed i što nije svima dostupan na uvid, a sad ti iznosiš tvrdnje koje su čak i teže od ovih.
koliko suptilan treba da bude taj backdoor da ga ne primeti niko sem autora? propusti tipa
Code:
if(current->uid = 0)
ne da nisu suptilni, nego će bar 80% srednjoškolaca da primeti ovo. sticaj okolnosti je što ova greška dovodi do većih privilegija. e sad stupa na scenu bojanova tvrdnja - nije greška dati peri periću da piše kod, ali uvrstiti ga u stablo bez dooobre provere je već prilično glupo i nepromišljeno, bez obzira da li je pera na tvom platnom spisku ili ne. da li sad ja treba da linkujem tebi onaj thompsonov klasik koji si ti meni linkovao? [ Apatrid @ 06.03.2007. 13:44 ] @
Citat: cynique: Svaki AV današnjice ima bar nekolicinu remote vulnova, uglavnom vezanih za loše parsere headera datoteka, jerbo danas AV moraju skenirati sve od .jpg slika pa do .doc dokumenata, u sve se malware može sakriti.
Ovo nije da je netko backdoor-ao MS-ov softver :)
Cynique, ja nijesam spodoba koja ce se radovati tudjoj nesreci ili prizeljkivati da su neciji, BILO CIJI, racunari suplji i podlozni hakovanju. Moja poruka UOPSTE nije napisana da mjeri patke sa Microsoftom, nego da ukaze BAS na to sto si u ovom pasusu napisao.
Nijesam ja taj koji je ovdje ode i elegije (od N gusto kucanih strana) sigurnosti OS naisao. Ti si, za Vistu.
Sa Vistinom sigurnoscu jedan jedini problem ima i veoma je ocigledan. Vista je bloatware, ogroman softver. Bas zbog tog efekta, sto idealan kod NIKAD ne postoji (there is always another bug), sigurni sistemi se prave (uvijek su se pravili, uvijek ce se praviti) tako sto se MINIMALIZUJE kolicina softvera koju voze, pa se taj smanjeni skup linija koda onda drzi sto cistijim, sto sigurnije napisanim, sto robustnijim sto se moze. I trpa se zastita u hardver, jer je XBox 360 sada SIGURNO sigurniji od Viste i bilo cega sto postoji.
Nije to prica o Windowsima ili Linuxu, ili bilo kom Operativnom Sistemu ikad napisanom. To je koncept koji je koriscen i koristi se otkad se javila potreba da se podigne sigurnost kriticnih sistema.
Nikakvi super-duper NAKALEMLJENI mehanizmi, nikakvi borci protiv malware, nikakvi anti-virusi od tako velike kolicine koda ne prave "najsigurniji operativni sistem danas". To su sve zakrpe i "kupus", samo sto dolazi iz Redmonda, ne iz dubina cyber-svijeta.
Statistika je neumoljiva, tu propusta mora da ima, jer su taj softver takodje pisali LJUDI, ne supermeni.
Idealni sistemi ne postoje, jer ljudi nijesu savrseni. Ni Linus, ni druzina iz Redmonda. Svaku bravu koju ljudski um napravi, drugi ljudski um ce naci nacin da je otvori, samo je pitanje vremena, sredstava i motivacije da se to ucini. [ fearless @ 06.03.2007. 20:53 ] @
Citat: Idealni sistemi ne postoje, jer ljudi nijesu savrseni. Ni Linus, ni druzina iz Redmonda. Svaku bravu koju ljudski um napravi, drugi ljudski um ce naci nacin da je otvori, samo je pitanje vremena, sredstava i motivacije da se to ucini.
Cela poenta one teme o Visti kao najsigurnijem OS-u nije u tome da je ona neprobojna već da je superiornija
u odnosu na druge, što se sigurnosti tiče. Ako nas je istorija ičemu naučila, to je da se u svemu pre ili kasnije
nađe neki propust. To je činjenica. Ali nije činjenica da ćeš ga tek tako lako iskoristiti (exploitati), to je ono
protiv čega se Vista generalno bori.
[ Apatrid @ 07.03.2007. 02:00 ] @
"Generalno bori", fearless, is not good enough za titule tipa "najsigurniji operativni sistem".
Poodavno je na moju tezu izrecenu na ovom istom forumu, a da je OpenBSD alatka za pravljenje "sigurnih" sistema (nije Vista uopste bila u igri) ovdje utrcao neko od Advocacy ekipe i iskomentarisao "moze Theo da radi sto hoces, kad na to montiras nesigurni servis (cini mi se da sendmail spomenu), da vidis sto ce se desiti."
I ja nijesam imao sto tu vise da kazem, covjek je do koske u pravu. Sigurnost Operativnog Sistema se ne moze posmatrati odvojeno od simbioze aplikacije koja na tome trci, operativnog sistema i hardvera, od sistema kao cjeline. Cio sistem je siguran onoliko koliko je sigurna NAJRANJIVIJA karika u tom lancu. Jer uopste nije bitno kako je sistem "pao", da li je backdoor-ovan operativni sistem sam ili je neko skrkao podatke kljucne aplikacije. Steta se ne mjeri time koliko ce haker moci da se hvali, koliko je to "cool" ili "l33t", vec parama(vremenom, trudom) nesrecnika kome nesto propadne.
Problem sa tvrdnjom "Vista je najsigurniji operativni sistem" je sto se ocigledno o nekakvom poredjenju radi. Onda se ulazi u pitanje sto se poredi, sto je to definicija funkcionalnosti koja treba da je zadovoljena e da bi se sve svelo na nesto sto moze da se poredi.
I onda ni sa tobom, ni sa bilo kim iz Windows tabora je diskusija bespredmetna, e za sve vas koncept "operativnog sistema", uopste PC-a i racunara kao koncepta, definise i drzi Microsoft. Moja argumentacija "Vista je bloatware, ogroman softver od koga se po definiciji ne prave sigurni sistemi" tebi nista ne znaci, e je tebi Vista, sa pripadajucim hardverom, mjerilo "sto masina treba da radi". Ako alternativa koja se poredi nije BAS TO, e bas tebe briga sto je embedded linux na tvom ruteru generalno sigurnije okruzenje na koga se oslanjas da te stiti preko i povrh Vistinih zastita, e ruter ne definise racunar koji TEBI treba.
To je vrcenje u krug i jalova diskusija u kojoj argumenti druge strane ne igraju, ne na osnovu logicke ili tehnoloske snage tih argumenata, vec na osnovu nekompatibilnog seta aksioma koji definisu polazno stanoviste.
Nego, ovo je off topic i primjereno onoj drugoj temi, ovdje je tema razvojni model "muva bez glave" i univerzalnost tvrdnje da se doticni model trosi i nalazi samo u OOS svijetu.
[ cynique @ 07.03.2007. 10:46 ] @
Citat: japan: daj cynique, pa smejao si se i pokazivao prstom kad su ljudi ovde iznosili slične molderovske konstrukcije, tvrdeci da sw zatvorenog koda nosi tu mogućnost backdoora, samo zato što je closed i što nije svima dostupan na uvid, a sad ti iznosiš tvrdnje koje su čak i teže od ovih.
Poklikaj one linkove na prvom postu ove teme, ovo nisu teorije zavjere već real thing :)
Citat: propusti tipa
Code:
if(current->uid = 0)
ne da nisu suptilni, nego će bar 80% srednjoškolaca da primeti ovo.
Srednjoškolci ne uče C. Osim toga, ovo je primjer lošeg backdooranja (najbolji lopovi su oni koje se nikad ne uhvati :). Onaj VMA mirroring propust bi otkrilo možda dvoznamenkast broj ljudi na planetu :)
Poanta je sljedeća - open source projekti se backdooraju, i tu i tamo neki loš pokušaj ispliva na površinu. Koliko ih ne ispliva, je pravo pitanje :)
Citat: nije greška dati peri periću da piše kod, ali uvrstiti ga u stablo bez dooobre provere je već prilično glupo i nepromišljeno, bez obzira da li je pera na tvom platnom spisku ili ne.
Istina, no to neće funkcionirati ako je Perina mašina/SCM server haknut kao što je gore slučaj. Ali opet, nitko ne može sa sigurnošću tvrditi da integer overflow koji se u OpenSSH vukao godinama nije podmetnula neka "dobronamjerna" donacija koda američkih obavještanih službi :) Koliko god očiju open source komuna imade, nisu svi oni crpyto/security eksperti.
Citat: Apatrid: Moja poruka UOPSTE nije napisana da mjeri patke sa Microsoftom, nego da ukaze BAS na to sto si u ovom pasusu napisao.
Nijesam ja taj koji je ovdje ode i elegije (od N gusto kucanih strana) sigurnosti OS naisao. Ti si, za Vistu.
RTM Vista, za početak, nije backdoored :)
Citat: Sa Vistinom sigurnoscu jedan jedini problem ima i veoma je ocigledan. Vista je bloatware, ogroman softver. Bas zbog tog efekta, sto idealan kod NIKAD ne postoji (there is always another bug), sigurni sistemi se prave (uvijek su se pravili, uvijek ce se praviti) tako sto se MINIMALIZUJE kolicina softvera koju voze, pa se taj smanjeni skup linija koda onda drzi sto cistijim, sto sigurnije napisanim, sto robustnijim sto se moze. I trpa se zastita u hardver, jer je XBox 360 sada SIGURNO sigurniji od Viste i bilo cega sto postoji.
Metrika sigurnosti u stilu "manje koda -> manji attack surface -> sigurniji sw" je bila aktualna tamo negdje početkom 80-ih kad nije postojao Internet i kad su pisani oni velebni US DoD sigurnosni standardi na koje se nkrgovic tako zdužno poziva. Fundametnalno pogrešna premisa koju ona pretpostavlja jest, da će svi developeri statistički jednako producirati broj bugova per LoC, bez obzira na razvojni model. Bilo je to doba bez Slammera, buffer overflowa i mult-billion InfoSec industrije čiji je primarni spiritus movens korisnička/programerska nepažnja (da ne kažem glupost).
To je doba gotovo.
Sigurnost koda je prije svega proces, dio razvojnog ciklusa sw-a jer, kao što ti kažeš:
Citat: Statistika je neumoljiva, tu propusta mora da ima, jer su taj softver takodje pisali LJUDI, ne supermeni.
a te ljude treba educirati. Treba poboljšati security awareness kompilatora, krucijalnih gradivnih komponenti OS-a, treba developere naučiti da sigurnost nije magični štapić i da se dobrom inženjerskom praksom, slijedeći dobro utvrđenu metodologiju, većina klasa sigurnosnih ranjivosti može eliminirati u jako ranoj fazi.
Vista nema ni jedne jedine linije koda koja poziva dozlaboga nesigurne libc fje poput strcpy/strcat. Ili su automatski rutirane na sigurne ekvivalente, ili će se VS kompilator izrigati kad ih vidi.
Ne postoji silver bullet, ali pravilnom praksom koja funkcionira se može i reducirati manevarski prostor haxora jednom kad je sigurnosni propust identificiran (proaktivne zaštite), i reducirati numerički broj najćešćih klasa propusta. Uspoređujući broj advisorya RHEL vs WS2k3, IIS6 vs Apache, etc., svatko se može uvjeriti da to itekako funkcionira u praksi. [ japan @ 07.03.2007. 12:05 ] @
znači, svaki propust u FOS svetu je backdoor donated by agent smith, i na jedan otkriveni ide brdo i šesto neotkrivenih, dok su propusti u proprietary svetu samo posledica ljudske nesavršenosti (jer se ovakve stvari, i pored sve edukacije, dešavaju i najboljima), i svi su poznati?
pa dobro, moguć je i ovakav pogled na svet... ;o)
[ Apatrid @ 07.03.2007. 13:57 ] @
Citat: cynique: Metrika sigurnosti u stilu "manje koda -> manji attack surface -> sigurniji sw" je bila aktualna tamo negdje početkom 80-ih kad nije postojao Internet i kad su pisani oni velebni US DoD sigurnosni standardi na koje se nkrgovic tako zdužno poziva. Fundametnalno pogrešna premisa koju ona pretpostavlja jest, da će svi developeri statistički jednako producirati broj bugova per LoC, bez obzira na razvojni model. Bilo je to doba bez Slammera, buffer overflowa i mult-billion InfoSec industrije čiji je primarni spiritus movens korisnička/programerska nepažnja (da ne kažem glupost).
To je doba gotovo.
Ovdje mozemo da se slozimo da se sloziti necemo. Unixoidni svijet ima monolitni kernel kao manu, Windows monolitni bloatware koji svaka masina mora da vozi, htjeli-ne-htjeli, da "osisaju" cijelu pricu mogu samo probrani.
Ne znam na osnovu cega se moze tvrditi da je "smanjivanje povrsine" KAO JEDNA OD METODA za izgradnju sigurnog sistema, prestala da igra. Ja mislim da NIKAD nece prestati da igra. Nijesu svi u situaciji da rade sa monolitnim softverom kome je tesko ili nemoguce "smanjiti povrsinu" kontakta ELIMINACIJOM softverskih komponenti koje se ne koriste ili bez kojih se moze u kriticnoj aplikaciji. [ fearless @ 07.03.2007. 14:29 ] @
Citat: I onda ni sa tobom, ni sa bilo kim iz Windows tabora je diskusija bespredmetna
Molim ne ubacuj me u 'Windows tabor', jer ja samo gledam stvari realno. Nisam osoba koja misli da je
sve MS-ovo sveto, čak i nemam ništa protiv Linuxa jer sam mu dao dosta godina svog života, ali je
vreme za nešto drugačije. [ Apatrid @ 07.03.2007. 15:16 ] @
Izvinjavam se, fearless, ali stvarno.
Nijesam "pripadnost Windows taboru" nikad dozivljavao kao pezorativnu odrednicu, ne bih ovoliko vrijeme trosio da ispisem slajfne teksta da omalovazavam sagovornika.
Ne znam da li je Vista nesto novo, mislim da je to odluka svakog od nas. Meni (a i kojekome u industriji) licno je koncept virtuelizacije, tretiranje virtuelne masine kao svojevrsnog "jail"-a mnogo interesantnija alternativa za "smanjivanje povrsine" i podizanje genericke sigurnosti sistema, bilo da je sistem moja licna masina, ili nesto vece ili manje od toga.
Obratiti paznju na cinjenicu da je virtuelizacija kao koncept generalno razvjencana od tipa OS koji se koristi. Tu oko mene je dosta primjera gdje firme voze "Windows on Windows" u VmWare okruzenju, tezeci da odvoje aplikacije (e sa tim operativnim sistemom eliminacija njegovih komponenti nije bas zdrava, sve je to jedan veliki spageti ball) u posebne virtuelne masine i na taj nacin "smanje povrsinu". Procesorska snaga i disk prostor su veoma jeftini danas.
[ cynique @ 08.03.2007. 13:02 ] @
Citat: japan: znači, svaki propust u FOS svetu je backdoor donated by agent smith, i na jedan otkriveni ide brdo i šesto neotkrivenih, dok su propusti u proprietary svetu samo posledica ljudske nesavršenosti (jer se ovakve stvari, i pored sve edukacije, dešavaju i najboljima), i svi su poznati?
To nisam nigdje tvrdio. Vi pingvini zaista imate selektivan vid.
Citat: Apatrid: Ovdje mozemo da se slozimo da se sloziti necemo. Unixoidni svijet ima monolitni kernel kao manu, Windows monolitni bloatware koji svaka masina mora da vozi, htjeli-ne-htjeli, da "osisaju" cijelu pricu mogu samo probrani.
Monolitni kernel nije nikakva mana (ne znam kakve veze to ima sa sigurnosti uopće). I NT je monolitni kernel (strogo monolitni, ne hibridno-monolitni kako ga neki naivno nazivaju). Štoviše, čak i ako krucijalne OS komponente offloadaš u userland, sigurnosni propust u njima bi bio jednako opasan kao i kad bi se našao u kernel-modu.
Zamisli sigurnosni propust u memory manageru ili thread scheduleru koji se vrti u nezavisnom procesu u user-mode - na koji bi način on bio manje opasan od kernel-mode ekvivalenta? Sve što možeš jest, well, modificirati adresni prostor svih procesa preuzimanjem npr. page fault handlera, ili utjecati na redoslijed selektiranja threadova za izvršavanje, npr. sakrivajući svoj r00tkit proces. Bezopasno? Ma ne, uopće ;)
Windows nije "monolitni bloatware" već OS sa pomno organiziranim razinama apstrakcije (što se za *nixe ne bi moglo reći). Recimo POSIX layer dodan u Visti je potpuno transparentan u odnosu na win32 layer, jer jedan nema veze s drugim, pošto su oba rutirana preko native subsystema. Na *nixama se odvajkada koriste direktno sistemski pozivi zbog čega se npr. win32 može jedinu simulirati wrappanjem na sistemske pozive. Na windowsima nitko ne koristi syscalle, štoviše osim par njih nijedan nije ni dokumentiran u MSDN-u. Ti to zovi bloat, ja fino gradiranje apstrakcija zovem esencijom sw inženjerstva.
Isto slijedi i npr. za COM, win32->shlwapi etc. Za Vistu su čak dizajnirali specijalne programe (ekstenzije kompilatora) koji provjeravaju razinu apstrakcije na kojoj se nalaziš, i koje API-je pozivaš. Npr. da unutar konteksta koda sistemskog DLL-a ne koristiš high-level funkcije iz shella. Na taj način poboljšavaš modularnost koda i ne stvaraš nepotrebne ovisnosti, korištenjem API-ja na "need to know" bazi. Prava je šteta što se takvo stupnjevanje apstrakcije ne može danas ostvariti na razini programskih jezika (vjerojatno može u Lispu :)
Windowse dizajniraju iskusni profesionalci ne wannabe-hax0ri koji žele što prije iz bezbolnije trenutno riješiti problem. Richard Gabriel je loše strane idiotske *nix "more iz less" filozofije objasnio u nekolicini eseja, koga zanima evo dobra odskočna daska:
http://en.wikipedia.org/wiki/Worse_is_Better
http://en.wikipedia.org/wiki/Unix_philosophy
http://en.wikipedia.org/wiki/Unix_philosophy#Worse_is_better
http://www.elitesecurity.org/t29491-2#1441372
(zanemarite kontekst diskusije u gornjem odgovoru).
Recentna diskusija pthreads vs. win32 threads (bilo bi je fino revitalizirati ovdje na Advocacy :) na slashdotu je savršena potvrda toga: Ni jedan jedini pingvin koji je na /. komentirao ne shvaća na koji način unifikacija upravljanja resursima preko HANDLE-ova reducira broj API-ja, olakšava samo programiranje i proširenje funkcionalnosti. Sa SetKernelObjectSecurity() je prije 4-5 godina dodana podrška za postavljanje ACL-ova nad socketima (može jerbo taj API operira nad generičkim handleovima). UNIX pristup bi bio definiranje novog API-ja, odnosno nove podatkovne strukture acl_socket, te par novih apija za kreiranje/inicijalizaciju. I to bi obavezno prozvali "jednostavnijim načinom" :)
Citat: Ne znam na osnovu cega se moze tvrditi da je "smanjivanje povrsine" KAO JEDNA OD METODA za izgradnju sigurnog sistema, prestala da igra. Ja mislim da NIKAD nece prestati da igra. Nijesu svi u situaciji da rade sa monolitnim softverom kome je tesko ili nemoguce "smanjiti povrsinu" kontakta ELIMINACIJOM softverskih komponenti koje se ne koriste ili bez kojih se moze u kriticnoj aplikaciji.
Nije prestala da igra ulogu, ali u kombinaciji SDL + proaktivne zaštite igra sve manju ulogu. Ti se glupi bugovi mogu otkloniti na razini dizajna i dobro-definiranim inženjerskim principima. Samo attack surface reduction kao strategija sigurnosti je besmislena - najbolji ti je primjer Mac OS X koji se, jednom kad je security researcherima dozlogrdila bahatost Appleovih PR majmuna i odvjetnika koje je na njih huškao, dobio po prstima: http://applefun.blogspot.com/ Ne tako davno bio je "sveta krava" maloumnih Appleovih apostola koji su vjerovali u Appleove nadri-programere toliko da i eksplicitno gašenje ProPolice-a nisu uzimalo kao ozbiljnu prijetnju sigurnosti OS-a. Opskurnost kao gradivni čimbenik ukupne sigurnosti je besmislen, jer samo problem otklanja na drugu domenu. Ti nisi siguran, već samo POTENCIJALNO siguran :)
Citat: Apatrid: Ne znam da li je Vista nesto novo, mislim da je to odluka svakog od nas. Meni (a i kojekome u industriji) licno je koncept virtuelizacije, tretiranje virtuelne masine kao svojevrsnog "jail"-a mnogo interesantnija alternativa za "smanjivanje povrsine" i podizanje genericke sigurnosti sistema, bilo da je sistem moja licna masina, ili nesto vece ili manje od toga.
Virtualiziraj pokretanje browsera u zasebnoj instanci OS-a na VM i dobio si što točno?
Jesu li ostali remotely exploitable bugovi? Jesu.
Može li se preko njih remotely instalirati malware koji radi identity theft i DoS? Može.
Rješava li uopće virtualizacija problem loše napisanog koda? Ne, samo ga prebacuje u drugu sferu.
Citat: Tu oko mene je dosta primjera gdje firme voze "Windows on Windows" u VmWare okruzenju, tezeci da odvoje aplikacije
LOL. Možeš mi navesti neke primjere aplikacije koje ima smisla "razdvajati" instalirajući ih pod različitim VM, pošto dobiješ veću "sigurnost i nezavisnot izvršavanja" u odnosu na scenarij instaliranja pod istim matičnim OS-em, i separacijom preko različitih accountova u kojima bi se izvodili? [ Apatrid @ 08.03.2007. 14:13 ] @
Citat: Virtualiziraj pokretanje browsera u zasebnoj instanci OS-a na VM i dobio si što točno?
Jesu li ostali remotely exploitable bugovi? Jesu.
Može li se preko njih remotely instalirati malware koji radi identity theft i DoS? Može.
Rješava li uopće virtualizacija problem loše napisanog koda? Ne, samo ga prebacuje u drugu sferu. , cynque. Ali, zar se sigurnost svih racunarskih sistema organizacije ne organizuje BAS TAKO, da se kriticne masine (i podaci) odvoje u posebne zone, gdje se stite jos jednim slojem provjere, ovaj put prema ostatku okruzenja te organizacije? Pa layer-ing je vjeciti motiv, valjda?
U virtuelnoj masini u kojoj koristis lose napisan browser ;) se ne drze tvoje poreske prijave.
Citat: cynique: LOL. Možeš mi navesti neke primjere aplikacije koje ima smisla "razdvajati" instalirajući ih pod različitim VM, pošto dobiješ veću "sigurnost i nezavisnot izvršavanja" u odnosu na scenarij instaliranja pod istim matičnim OS-em, i separacijom preko različitih accountova u kojima bi se izvodili?
Eh???
Pa svaku aplikaciju koja je dizajnirana da sa ostatkom svijeta komunicira preko mreznih protokola, cynique, ima smisla odvojiti na posebnu masinu ili strpati u virtuelnu masinu (naravno, ovo drugo igra samo ako je gubitak performansi zbog virtuelizacije prihvatljiv, ali ima ko moze, a ima i aplikacija sa kojima to ima smisla).
Ako nista drugo, softverski firewall moze da se podesi da "zacepi" drugaciji set portova, ako neko uradi backdoor servera nece pasti obje aplikacije vec jedna... itd.
Ta tehnika nema smisla ako je okruzenje na obje masine (ili virtuelne masine) apsolutno ekvivalentno (isti patchevi, isto setovanje mreznog okruzenja, itd. itd. itd.). Poenta je da onaj koji odrzava vise masina ima mogucnost da te razlicite masine tretira razlicito.
Cak i na obicnoj (workstation) masini ima smisla odrzavati vise okruzenja, jer je vjerovatnoca da oba okruzenja padnu istovremeno smanjena. Ja na kucnoj masini drzim posebnu VmWare masinu kojom se kopcam na posao. Okruzenje je "spartansko", nema NISTA sto nije apsolutno neophodno da postoji, kad sam u tom okruzenju potpuno zavisim od infrastrukture mog poslodavca (kad se VPN digne, mrezu vidim kroz njihovu infrastrukturu).
[ mulaz @ 08.03.2007. 15:46 ] @
jedno pitanjce... kako opet ova tema dosla do vista vs. linux?
wordpress koliko ja znam moze da se pokrene i na visti i na linuxu.. tako da to nije linux-specific program
koliko sam ja razumeo je vista desktop 'distribucija' windowsa... znaci ako je usporedimo sa desktop linuxom, nema sendmail, openssh i sl. veze.
zasto bi uopste desktop pc trebao da ima otvorene bilokoje portove? i p2p radi sasvim ok sa svim zatvorenim portovima
[ Apatrid @ 08.03.2007. 16:56 ] @
Citat: mulaz: jedno pitanjce... kako opet ova tema dosla do vista vs. linux?
Ja sam bio ubijeđen da je raspravka "sigurnost jedne mašine" vs. "sigurnost skupa virtuelnih mašina" i da linux uopste spominjan nije.
Kako je odlutala? Valjda zato što nema diskutanata koji će ovo naše skretanje sa teme ignorisati i loptu vratiti na početne pozicije svojom interesantnom porukom koja se bavi originalnom temom.
Citat: mulaz: zasto bi uopste desktop pc trebao da ima otvorene bilokoje portove? i p2p radi sasvim ok sa svim zatvorenim portovima
Zato što postoje servisi (i za workstation) koji ne mogu da trče ako se ne otvori port. "Dijeljenjem", tojest virtuelizacijom, je često moguće izolovati te servise u posebne virtuelne (ili stvarne, ko to sebi može da priušti) mašine gdje je samo jedna od njih ranjiva zbog tog otvorenog porta. [ cynique @ 14.03.2007. 10:19 ] @
Citat: Apatrid:Pa svaku aplikaciju koja je dizajnirana da sa ostatkom svijeta komunicira preko mreznih protokola, cynique, ima smisla odvojiti na posebnu masinu ili strpati u virtuelnu masinu
Neinteraktivne server-side aplikacije da. Photoshop, Word i IE ne.[/quote]
Citat: Ako nista drugo, softverski firewall moze da se podesi da "zacepi" drugaciji set portova, ako neko uradi backdoor servera nece pasti obje aplikacije vec jedna... itd.
Točno to i govorim - virtualizacija je dobra kao potencijalno rješenje za smanjenje štete već haknutog servera, ne kao sredstvo zaštite protv haxora. Proaktivne zaštite i SDL su za takve stvari, a o njima cijelo vrijeme pričam. Možeš najšupljiviju moguću aplikaciju izolirati u virtualnoj mašini, ali to je neće učiniti ništa sigurnijom (baš kao i već-spomenuto offloadanje dijelova kernela u userland u slučaju mikrokernela).
Virtualizacija je samo jedan od načina ostvarenja Principa namanje privilegije, i dade se relativno bezbolno emulirati korištenjem odvojenih accountova sa fino podešenim ACL-ovima + runas (ili koristiti programčiće tipa WinJail koji točno to automatski rade).
Još bolje od toga je koristiti nešto tipa ShadowSurfer koji instalira kernel-mode filesystem filter driver koji bilježi sav I/O od trenutka pokretanja browsera, i revertira SVE izmjene na disku nakon gašenja browsera na početno stanje. Radi copy-on-write kloniranje u virtualno stanje računala, rekli bi Schemeovci poziva call-with-current-continuation...zovi kako hoćeš, efekt je isti kao pokretanjem pod virtualnom mašinom samo puno brže i učinkovitije :) [ Apatrid @ 14.03.2007. 12:57 ] @
Citat: cynique: Neinteraktivne server-side aplikacije da. Photoshop, Word i IE ne.
I Photoshop i Word (ne IE!!) mogu da se koriste u okruzenju koje je POTPUNO IZOLOVANO od mreze, cynique. Pravljenje virtuelne masine kojoj, jednim klikom misa, ukljucujes mrezu samo kad treba da uradis update (na primjer), a koja vecinu vremena radi otkopcana od mreze ima smisla.
I sigurniji je nacin izvrsavanja (sigurniji, ne 100% siguran).
Citat: cynique: Točno to i govorim - virtualizacija je dobra kao potencijalno rješenje za smanjenje štete već haknutog servera, ne kao sredstvo zaštite protv haxora. Proaktivne zaštite i SDL su za takve stvari, a o njima cijelo vrijeme pričam. Možeš najšupljiviju moguću aplikaciju izolirati u virtualnoj mašini, ali to je neće učiniti ništa sigurnijom (baš kao i već-spomenuto offloadanje dijelova kernela u userland u slučaju mikrokernela).
Grijesis, cynique. Hoce.
Virtuelizacijom ne postises samo replikaciju dva okruzenja (dvije masine sa recimo istim, mada ne mora, operativnim sistemom). Sigurnost je veca nego kod jedne masine, ne zato sto su interni (softverski, OS) mehanizmi sad odjednom drugaciji, vec sto se dodaje NOVI nivo izolacije i zastite. Taj novi nivo izolacije je mreza. Ruteri i ine spravice iz tog domena mogu da se postave da tretiraju dvije virtuelne masine kao dva odvojena entiteta, dvije odvojene MAC adrese cak na L2 nivou, da ostatak ne spominjemo.
Sem toga, u igri je i potpuno otkopcavanje mreze aplikacijama koje mozes da koristis na masini koja nije vezana za mrezu, kako je to vec receno u ovoj poruci. [ Apatrid @ 14.03.2007. 13:18 ] @
A evo veoma ogoljene logike oko virtuelizacije cak i kad se ne uzima u obzir efekat dodavanja mrezne izolacije:
Posmatras sistem A koji izvrsava dvije aplikacije, X i Y. Sistem A pada ako se hakne ili OS direktno, ili kroz aplikaciju X ili kroz aplikaciju Y. Skup ranjivosti koja dovodi do pada sistema je UNIJA skupova ranjivosti operativnog sistema samog, ranjivosti koje otkriva aplikacije X i ranjivosti koje otkriva aplikacija Y.
Sad to podijelis na dva sistema, B i C. Operativni sistem je isti, ali sistem B izvrsava samo aplikaciju X, sistem C samo aplikaciju Y. Skup ranjivosti koji obara OBA sistema je:
skup ranjivosti OS + PRESJEK skupova ranjivosti aplikacije X i aplikacije Y.
Nije isto. Vjerovatnoca da ce pasti i sistem B i sistem C je manja od vjerovatnoce da ce pasti sistem A.
[ cynique @ 15.03.2007. 22:05 ] @
Postaje frustrirajuće opetovano recitirati iste stvari.
Citat: Apatrid: Grijesis, cynique. Hoce.
Ne, neće. Ako imaš remotely exploitable vuln, on će ostati i remotely exploitable vuln čak i ako app pokreneš pod VM.
Virtualizacija može poslužiti kao mehanizam redukcije potencijalne količine štete koju nakon eksploatacije cracker može načiniti, ne kao proaktivna metoda zaštite. Kao takva, nije nikakva zamjena za proaktivne zaštite OS-a, SDL, enhancmente compilera i sl. već dokazane inženjerske prakse.
Stvari kao što su privilege separation (OpenSSH), token impersonation (NT ACL-ovi), te pokretanje pod odvojenim acc-ovima smanjenih privilegije su mehanizmi koji su se oduvijek koristili za redukciju prostora djelovanja potencijalno kompromitirane aplikacije, kao praktične implementacije Saltzerovog Principa najmanje privilegije iz 70-ih. Primarni raison d'etre pak virtualizacije jest bolja utilizacija računalnih resursa (multiprogramiranje, batch sustavi, timeshareing, multitasking...sljedeća jedinka koju treba u tom povijesnom nizu apstrahirati jest sam OS > virtualizacija).
Ti slobodno pokreći ICQ/IE/Skype/mIRC/P2P svaki pod zasebnim hypervisorom, nitko ti neće poreći da tvoj matični OS nije "sigurniji".
A to da su ti ICQ/Skype baza kontakata, IE cookies i IRC logovi individualno zaštićeniji, daleko je od istine. [ Apatrid @ 16.03.2007. 03:12 ] @
Ne ponavljas se, cynique. Poceo si ovu diskusiju od malo drugacijih teza.
Sa ovom zadnjom porukom skoro potpuno mogu da se slozim (violent agreement :) ), sem tvojeg ignorisanja mreznog filtriranja koje je razlicito za razlicite virtuelne masine.
Za kraj: ja se ne bih oslonio samo na "savrsenost" Vistinih zastitnih mehanizama (ili bilo kog drugog OS-a) i mislim da ovakvo kombinovanje tehnika (jer je pitanje virtuelizacije iste te Viste samo pitanje resursa) nije pametno odbaciti. Ovo jeste stari i prezvakani motiv, "podizanje sigurnosti 'smanjenjem izlozene povrsine' sistema".
[ cynique @ 16.03.2007. 12:10 ] @
Citat: Apatrid:Ovo jeste stari i prezvakani motiv, "podizanje sigurnosti 'smanjenjem izlozene povrsine' sistema".
Koje se obavlja odvajkada prisutnim mehanizmima separacije privilegija, ne kidanjem različitih komponenti OS-a i virtualizacijom svake potencijalno šuplje aplikacije. Tvoja svrstavanje Viste u kategoriju "bloatware" (valjda po broju linija koda u odnosu na ogoljeni vmlinuz) bazirano na besmislenoj premisi "manje linija koda -> veća sigurnost" potpuno previđa mehanizme podešavanja granularnosti sigurnosnog konteksta procesa a koji se i više nego koriste.
Virtualizacija ne čini šuplju aplikaciju ništa sigurnijom, proaktivne zaštite čine, to je veeeeelika razlika :)
Copyright (C) 2001-2025 by www.elitesecurity.org. All rights reserved.
|