Da li je sigurniji Windows ili Linux Server?

nkrgovicu samo sam tukao repliku na neciji prijasnji post.

Sigurniji je, radi vece izolacije daemona. Ali, kod Windowsa su 90% tih servisa u koristenju Microsoftovi (uz naravno Oracle bazu ili slicno...), tako da je njihova interoperabilnost bolja. Nisam uopce pametan oko exploita za linzdin kernel, nisam ih vidjao do sad. Ali mi je s druge strane genijalan onaj RPC expl. sta ti fino ugasi Windowse bez ikakvog problema. I jos te obavjesti o tome :)

Potpis

<sub>Q: HSP56 Micromodem nece da radi kompjuter ga prepozna a kad treba da se konektujem nece ne daje ni znaka zivota. u cemu je problem.

A: Crko mozda od grmljavine mozda od spanaca. Uglavnom baci ga u WC solju jako povuci vodu. Skupi 5e i uzmi drugi i ne postuj temu na pogresno mesto.</sub>

Vrlo moguce - nisam odavno detaljno analizirao neki Windows server. Opet, problem je sto su prednosti tipa "bolje integrisan", "ima vecu interoperabilnost" i "laksi za koriscenje", iako bitni u generalnoj analizi OS-a, sa stanovista upotrebe, lakoce koriscenja, cak i TCO-a jako bitni, u analizi pitanja "koji se sigurniji" ne igraju nikakvu ulogu.

Predlazem zatvranje diskusije zakljuckom "Sigurniji je Linux". Sve ostale cinjenice vezane za lakocu koriscenja, realnu upotrebu, probleme u radu... mozemo preglabati do preksutra, ovde se radi o osnovnoj funkcionalnosti jedne kategorije OS-ova (Unix-a i *nix clonova), koju druga kategorija nema.

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

Slazem se...visok nivo integracije je bonus za operativni sistem, lakoca administracije. Isto tako je i minus, radi "lancane reakcije", sigurnosni minus. Posto gledamo ovdje samo sigurnost, Linux i po meni odnosi pobjedu.

Potpis

<sub>Q: HSP56 Micromodem nece da radi kompjuter ga prepozna a kad treba da se konektujem nece ne daje ni znaka zivota. u cemu je problem.

A: Crko mozda od grmljavine mozda od spanaca. Uglavnom baci ga u WC solju jako povuci vodu. Skupi 5e i uzmi drugi i ne postuj temu na pogresno mesto.</sub>

Pa? OK, teoretski je moguce napraviti cross platform virus. Prakticno, udar tog virusa treba izbeci i onemoguciti, ili bar minimizovati. Tu i jeste prednost virtuelizacije o kojoj smo pricali : *nix sistemi imaju mnogo bolje razradjene mehanizme virtuelizacije koji omogucavaju da i ako pretrpis napad steta bude minimalna. To vazi i za viruse, i za pojedinacne napadace, i za bilo sta drugo.

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

@zeleni obad

Au, cekajte malo, sve je ok kada imas dobrog admina koji prati razne security advisoryje os vendora i update-uje sistem, inace... Vidite, mozda unix trojan horse napad ne moze proci na serveru koji se odrzava dobro, ali je Joe Consumer itekako ugrozen (remote code execution napad na browser pod linuxom npr. moze da rezultuje brisanjem ~ direktorijuma sto nije daleko od katastrofe )
Dalje, Joe Consumer ni izbliza o bezbednosti racunara ne zna dovoljno, kada moze da instalira malware sa free sex sajtova, moze da instalira i trojan paket na linuxu sa skriptom koja ce da mu obrise sistem.
Ako ti nije palo na pamet, zeleni obad, da rpm koji skidas sa tucows ili nekog drugog sajta moze da sadrzi neku desktruktivnu skripticu, i ti spadas u grupu o kojoj je govorio Mitnick, no hard feelings Instaliraju se samo paketi sa ftp vendora sistema. Slicno i za make fajlove Opasnost postoji svakako, recimo da je mozilla.org bezbedna, ali neki repackaging na tucows.com ne mora biti
Vrlo suptilan pristup, koristiti tucows za distribuciju firefox-stogod.rpm sa izmenjenim binarnim fajlom

Ajde da sad pricu prosirimo na desktop, recimo Windows:

1. ako nemas legalan windows i windows update, pojma ne mozes imati kako se dobro update-ovan windows ponasa
2. da skidas crack_stogod.tgz sa warez sajtova i sl. sa free sex sajtova za sopstveni FreeBSD isto bi prosao


Dakle, onaj sto skida razne crackove i nakon toga mu je Windows kriv sto je sistem pun spyware-a je luser.

Onda izigrava geeka i pise po slashdotu w1nd0ze sux b4llz d00dz!omfg!111!onehundredandeleven i sl.

Hint: windows stvarno nije dobar ali iz drugih razloga spyware i malware nikako nisu razlog.

Teorija je u praksu prešla još '01 u vidu sadmind/ISS crva koji je iskorištavao propust u Solarisu i sa tih strojeva napadao IIS. Iste godine se pojavio Winux koji je inficirao Windows PE i Linux ELF datoteke. Nedavno je Kaspersky javio za još jednog hibrida - Virus.Linux.Bi.a/Virus.Win32.Bi.a koji radi sličnu stvar kao Winux.




Točno tako.

Potpis

Knowledge is power.

http://www.cert.org/advisories/CA-2002-28.html

eto o cemu sam govorio...

Propusta za Linux ima oh-oh-o. Ali, moras uzet u obzir da Linux cini ogroman dio www-a, a to je nesto sta se najvise napada...od credit card theftova, kradje emailova sa mailing lista, difejsanja...svaki j'beni script kiddie zeli unistit stranicu koju mrzi, a od toga to sve pociva. Ne kazem ja da bi Solaris bio u istoj situaciji da je u poziciji Linuxa kao web servera, usporedjivat Solaris i Linux po pitanju sigurnosti je krajnji apsurd. Medjutim, sigurno bi bilo malo vise od tog "jednog i po" propusta.

Jos imaj na umu da je usporedjivanje po pitanju sigurnosti Linux-a, Windowsa, i hardcore UNIX sistema (Solaris, AIX, HP-UX...) zapravo usporedjivanje baba i zaba, barem po meni. Zato sta su i jedni i drugi i treci neokrunjeni kraljevi svoga trzista. Linux je najjaci na web-u, Microsoft unutar tvrtki, a UNIXi na polju superracunaljki i velikih struktura tipa banke i istrazivacki centri. Hoce li se trziste mjenjat...mislim, uvijek se mjenja. Nitko ne zna sta ce bit za par godina.

Potpis

<sub>Q: HSP56 Micromodem nece da radi kompjuter ga prepozna a kad treba da se konektujem nece ne daje ni znaka zivota. u cemu je problem.

A: Crko mozda od grmljavine mozda od spanaca. Uglavnom baci ga u WC solju jako povuci vodu. Skupi 5e i uzmi drugi i ne postuj temu na pogresno mesto.</sub>

Ne znam kakva je situacija sada, mada mislim da je dosta povoljnija i ide u korist windows-a, ali znam da kad sam se ja baš ložio na taj hacking i te priče, kada bih naleteo na windows server odma bi se smorio, verovatno probao onaj IIS exploit što je masovno kod nas iskorištavan na PTT provajderu, ako to ne uspe, evenutalno par drugih stvarčica isto vezano za IIS i bindovanje shella, ako i to ne uspe odustajem...

Na drugu stranu, kad bih naišao na linux ili solaris, eto veselja, smatrao sam posao završen... Dovoljno je bilo da iskeniram servise i verzije, i odaberem samo sa kojim exploitom hoću da upadnem i to je redovno bilo sve remote sa root privilegijama....

A to je bila 1997 - 2000 godina, sada je windows daleko sigurniji nego što je bila tadašnja situacija, a koliko vidim linux i solaris su ostali na istom nivou, samo što sada nema sajtova koji tako direktno objavljuju exploite, ili možda zbog toga što ja ne tražim takve sajtove, pa ni ne znam da postoje...

Opet kažem, moje lično iskustvo je bilo i ostalo da je windows (NT, 2000, pogotovo 2003) mnogo sigurnij od bilo kog linuxa i solarisa....

1997? OMFG, nista tada nije bilo otporno ni na ping-of-death (solaris 2.x, linux 2.0, NT4)... i solaris i NT4 su dobili apdejtove, a linux novije kernele. NT4 bio otporan 1997? Jeste, ali ne i na ping of death. Bezbednost sistema zavisi samo od toga koliko admin update-uje sistem prateci security advisory-je vendora sistema. Da vidim server koji ne tera najnoviji apache 1.3x ili 2.0.x i tera distro iz 1999 pa uporedi to sa win2000 serverima koji su maltene do juce bili dominantni win serveri. Da, dobro je ako isti win2000 ima sve service packove, ali su win admini vrlo tromi kad treba da se update-uje sistem (IIS je legendaran u tome, kupis hosting i nemas pojma koji je patch level i sa kojim bagovima moras da se nosis jer admin ne update-uje sistem)

Kaže, tada...

Tada je windows važio za mnogo nesigurnij sistem nego sada, setite se samo Win95, Win98, tada nije postojao XP, Win2000 se tek bio pojavio itd itd... Linux i Solaris su tada važili za najsigurnije sisteme bla bla.. .A opet moje iskustvo je da je windows i tada, a i sada bio i ostao višestruko sigurnij...



A šta tebe, kao korisnika hosting usluga zabole uvo koje service packove i koji je pach level na serverima gde ti hostuješ sajt... To je problem administratora i problem firme... Ako je administrator s***** pa ga mrzi da stavi autoupdate ili redovno pregledava windows update i klikće na next -> next, takva ti hosting kompanija ne treba, idi kod profesionalaca...

@ventura

Pa o tome se i radi, bilo koji da je sistem, ako se radi o profesionalcu neces moci da ga hakujes, jer taj apdejtuje sistem cim se pojavi fix za neki exploit. IIS je do 2003. tj 6 imao bag u PNG podrsci - http://www.libpng.org/pub/png/pngstatus.html



Bilo je apdejta, ali su sigurno neki morali da mole admine da patchuju sistem. Ima toga i na drugoj strani svakako.

Dalje, windows nema chroot funkcionalnost - zero day exploit ti je exploit za celu masinu, dok na unixu preko jailova moze to da se lokalizuje na jedan servis. Pogledaj prethodne stranice.

Ja sam u svojim porukama pričao uopšteno i generalno... Kad sam ja jurio exploitove, nisam gledao koji sajt održava koji administrator već sam gledao operativne sisteme... Moje iskustvo je da je lakse upasti na server koji vrti Linux ili Solaris nego na Windows server.

Ti nisi čuo da je kod za Windows 2000 prilično lako naći na internetu?

Potpis

IOCC

@Tata, al to nije samo dio koda?

Potpis

<sub>Q: HSP56 Micromodem nece da radi kompjuter ga prepozna a kad treba da se konektujem nece ne daje ni znaka zivota. u cemu je problem.

A: Crko mozda od grmljavine mozda od spanaca. Uglavnom baci ga u WC solju jako povuci vodu. Skupi 5e i uzmi drugi i ne postuj temu na pogresno mesto.</sub>

Pa, barem koliko sam ja gledao onaj source od win2k sta ga imam, sad jel to samo dio ili sve, mogu ti kazat da je vrlo cist, iskomentiran, i onako izkodiran by-the-book. Neces uhvatit sifilis ako malo bacis oko na to ;)

Potpis

<sub>Q: HSP56 Micromodem nece da radi kompjuter ga prepozna a kad treba da se konektujem nece ne daje ni znaka zivota. u cemu je problem.

A: Crko mozda od grmljavine mozda od spanaca. Uglavnom baci ga u WC solju jako povuci vodu. Skupi 5e i uzmi drugi i ne postuj temu na pogresno mesto.</sub>

Eh, isto tako ja razmišljam o Linux-u koji je valjda školski primer krpačine i nekompetentnosti, ali plaćaju me da radim na njemu, a para vrti gde burgija neće :)

Potpis

IOCC

wuhm... aj i ja malo da kuckam sa vama :)

Ono sto ja drzim kao najjaci adut linuxa nad Windowsom jeste sledece.

Windows je out-of-box proizvod. Jedino sto mozes da menjas jeste pozadina i velicina slova. I to mu je to (malo ironicno, al shvatate).

E, sada, imam priliku da radim na jednom projektu na poslu (IP TV), u cije svrhe se koriste 16 windows i 16 UNIX-look-a-like masine. Na windowsima se radi encoding + streaming, dok UNIX sprema medijske zapise + storage.

Sta sam zakljucio iz projekta jeste to da su momci koji isporucuju masine za UNIX, u tolikoj meri prepravili UNIX da kada isporuce masinu, na njoj postoji svega 25-30 funkcija koje rade. Znaci ogulili su ga do gole koze i ostavili samo ono sto je zaista potrebno! Takav sistem zauzima svega par desetina MB, istestiran i tweakovan do bola da sluzi toj jednoj i jedinoj svrsi!

Dok windows, out-of-box, ima 90% funkcija instaliranih koje samo smetaju, zauzimaju mesto i 'tempirane su bombe' da nesto podje naopako. Samo banalan primer: masina se iz bilo kog razloga neplanirano resetuje, skanta se tamo neki .dll koji sluzli za upravljanje stampacima i windows ne moze da se podigne vise sam, prijavljuje missing dll... :) Kod UNIX-a, ne postoji ni teoretska mogucnost toga...

Prema tome, i dalje smatram da IIS ima neke sanse, mada i takav kakav je, ne moze da pridje dobro podesenom Linuxu...

edit: ne zaboravite da je windows ko stvoren za game streaming i verujem da ce tu u buducnosti uzeti veliki % na trzistu... Ali to se tesko moze svrstati u webservere...

Poz,
Sale

Potpis

=========
Uporedi cene i karakteristike za vise od 10.000 proizvoda, izmedju ostalog:
Digitalni foto-aparati
Mobilni telefoni
Skolski pribor
=========

Sale, ne mozes usporedjivat Windowse koji nisu "server" verzija, sa nekim Linuxom koji sluzi ko server. Gledaj - mozes ti pretumbat Windowse naopako. Windowsi su mnogo mnogo "zatvoreniji" sustav, jer ipak je UNIX down on bottom mnogo jednostavniji od njih. Sto bi ti rucno radio oko nekih kernel objekata u Windowsima? Sve je to puno apstraktnije nego kod UNIXa. Samo, ti mozes izmjenit Windowse skoro do mjere u kojoj mozes neki komercijalni UNIX. Izuzev grafickog podsustava, koji je direktno integriran u sistem, nije filozofija kao X11.

Da se vratim na temu - jesi ikad instalirao Windowse 2003. Jesi vidio koliko se brzo podignu odma pri startu i kako brzo rade? Upravo zato sta ne postoje bespotrebne pizdarije po defaultu. Sve se opcionalno instalira, server po server, komponenta po komponenta. Instaliras jednu, konfiguriras, pustis u testing rad, prije nego sta odes na drugu. Ista politika ko i na UNIX-u.

Ova tema je oko Linux servera, a ja bih rekao nesto oko UNIX servera. Mislim da se W2K3 jos ne moze natjecat s, recimo Solarisom. Upitan je odnos izmedju IIS/Apache, ali ja govorim cisto o sistemima. Pravi UNIX sistemi posjeduju samo takve sigurnosne mehanizme. Pogledajte kontejnere pod Solarisom. Jednostavno se moze neki servis za kojeg se zna da je rupicav i bagav skroz izolirat, dodjelit mu odredjen resource pool, smjestit ga unutar zone za koju je tocno definirano kakve privilegije ima za raw devices, koliko CPU vremena moze potrosit itd...onda mozemo i pogledat odlicne alate za forenziku sistema i bockanje kernela, itd...ima jos mnogo toga. Cim Linux odluci pobjec od svojih religioznih i politickih motiva, i odluci se malo vise ugledat na svoj uzor, a ne pravit svoj standard, mozda i postane dobar operativni sistem.

Potpis

<sub>Q: HSP56 Micromodem nece da radi kompjuter ga prepozna a kad treba da se konektujem nece ne daje ni znaka zivota. u cemu je problem.

A: Crko mozda od grmljavine mozda od spanaca. Uglavnom baci ga u WC solju jako povuci vodu. Skupi 5e i uzmi drugi i ne postuj temu na pogresno mesto.</sub>

Zero-day napada je oko 5%, sto je mali procenat.

i ako ti nije dovoljno da jailujes servis, stavis selinux.

Ali mislim da ne treba brinuti ni za zero-day, u stvari zavisi o
kakvom se serveru/poslu radi.