Jasno. Adobi očigledno zna šta radi, a oni kojima se njihov čitač ne sviđa, imaju druge čitače.
Potpis
Nije bitno koji su zaključci izvučeni, već kako se do njih došlo.
Adobe dostigao Microsoft: It's official: Adobe Reader is world's most-exploited app
Zaključano
Zakačeno
Meni uopste nije ocigledno da znaju sta rade. Vise mi izgleda da vise ne znaju sta da rade pa rade sta god mogu.
Citat:
Nedeljko: Jasno. Adobi očigledno zna šta radi, a oni kojima se njihov čitač ne sviđa, imaju druge čitače.
Nije samo do "drugih citaca".
Adobe ulaze ogromne marketinske napore kako bi bundlovao svoje djubre sa drugim aplikacijama + "obucio" gomilu "konsultanata" da guraju to djubre i tamo gde nema nikakve potrebe za njim.
Sto je, naravno, sasvim legalna i validna stvar, oni su for-profit entitet i to je njihov posao. Niko ih ne moze kriviti zbog toga. Koliko oni dobro rade taj posao je stvar za njihove investitore i korisnike.
Medjutim, svi mi ostali koji sebe smatramo ostecenim na ovaj ili onaj nacin tim guranjem Adobe djubreta tamo gde mu nije mesto imamo pravo da to javno komentarisemo, pored koriscenja alternativa.
Sta znas, mozda to za mikrometar utice da neko ne poslusa "adobe konsultante" i generise ISO, a ne "aktivni" PDF tamo gde nema nikakve potrebe za "aktivnim".
Potpis
DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey
Da se pridruzim i ja pljuckanju po Adobe malware-u. Ne koriste ga ljudi koji nesto znaju, vec oni koji se slabo razumeju, a ako nemaju gde da procitaju "pozitivne" komentare o Adobe-u normalno je da ce, sto neko rece, "upucati u koleno" svoj racunar.
Zato i djubre od software-a treba nazvati pravim imenom - djubre. Zvrckaju ga da bi maznuli kintu, a ne da pametno koristite racunar. Kojim tempom idu, Photoshop ce da edituje zvuk i sliku u sledecoj verziji... UNISEX software - sex kako se okrenes.
Ja korisitm foxit reader, videh ovde jos neke pa cu ih isprobati. Adobe acrobat sam zadnje priznao 7-icu, ovo ostalo... (ove zadnje se nisam ni trudio da pogledam - u 1GB instalacije ne moze nista pametno da bude).
Sve u svemu - Adobe je presisao i Corel sto se djubrenja tice (oni su bili krs jos u proslom veku). U pravu je cika Steva sto nead flash na mac. Pa nece covek da ima lose performanse, kada su se vec ptrudili da sve lepo sljaka...
Zato i djubre od software-a treba nazvati pravim imenom - djubre. Zvrckaju ga da bi maznuli kintu, a ne da pametno koristite racunar. Kojim tempom idu, Photoshop ce da edituje zvuk i sliku u sledecoj verziji... UNISEX software - sex kako se okrenes.
Ja korisitm foxit reader, videh ovde jos neke pa cu ih isprobati. Adobe acrobat sam zadnje priznao 7-icu, ovo ostalo... (ove zadnje se nisam ni trudio da pogledam - u 1GB instalacije ne moze nista pametno da bude).
Sve u svemu - Adobe je presisao i Corel sto se djubrenja tice (oni su bili krs jos u proslom veku). U pravu je cika Steva sto nead flash na mac. Pa nece covek da ima lose performanse, kada su se vec ptrudili da sve lepo sljaka...
izmenjeno 1 put, poslednji put Impaler 09.09.2010. u 15:46
Izmene poruke
- Impaler09.09.2010. u 15:46zapis iz teksta poruke
još jedan cavao u ljes : http://www.theregister.co.uk/2010/09/08/adobe_reader_0day/
Potpis
NO FATE
Citat:
Ivan Dimkovic: Iskreno - zalim ljude kojima je sudbina da moraju da koriste sve te gluposti + nemaju izbora jer im je IT dept. dodelio masinu kojoj je pucano u kolena (citaj: instaliran enterprise AV, Java, Adobe ovo ono...)
Živa istina… tačno tako, za žaljenje. Odem ti ja tako u našu IT službu nešto da oposlim i onako usput ih pitam zašto sve nove mašine dolaze sa preinstaliranim Acrobloat Readerom u kojem je uključen javascript. Računam ako sam ja čitao o tome onda oni znaju 100% o čemu govorim. A oni se samo pogledaju između sebe i počnu da se klibere kao deca u drugom osnovne, u fazonu: „vidi ovoga što pokušava nama da soli pamet”. Jbg, velika firma, troma, inertna, svašta se nataloži…
Potpis
Nakon velike svetske katastrofe, Srbija će biti u prilici da povrati Kosovo i Metohiju
Citat:
The malicious PDF, which also exploits Adobe Acrobat, uses some highly sophisticated techniques to ensure success. It contains three separate font packages so it works on multiple versions of the Adobe programs, and it also has been designed to bypass protections such as ASLR, or address space layout randomization and DEP, and data execution prevention, which are built in to more recent versions of Microsoft Windows.
Haha... znaci kako se Adobe popisa na ASLR, DEP... sta god treba
Potpis
Citat:
Srđan Pavlović: Haha... znaci kako se Adobe popisa na ASLR, DEP... sta god treba
O da super je kad je "legit" software busi sistem da bi se izvrsavao kako on hoce, to je ekvivalent kao da imas recimo tetris koji pokusava da pokrece neke local root expolite kako bi mogao da upisuje u highscore tabelu a da korisnici regularno ne mogu. Zaista divno nema sta
Neciji software se uzima zdravo za gotovo
Potpis
Ah, pa to je samo Adobe, oni su dobri, neće oni da povrede nikog Ipak je u pitanju proverena firma
Christ on a stick, šta sve neće da smisle...
Ipak je u pitanju proverena firma Christ on a stick, šta sve neće da smisle...
Potpis
- SKRati link - JaZaKraljevo.rs -
"I have never let my schooling interfere with my education." - Mark Twain
"I have never let my schooling interfere with my education." - Mark Twain
Adobe vec ima dugu istoriju totalnog zaobilazenja sigurnosnih mehanizama i dobre sigurnosne prakse. Zbog takve prakse su sve te rupetine u Readeru opasne po sistem, sto je tragedija da jedan glorifikovani pregledac teksta moze toliko da naskodi sistemu.
Mada, to je vise Microsoftov problem zato sto su se povinovali apsolutnom market-shareu i gledaju kroz prste prekrsiocima.
Imali su sansu da sa Vistom totalno preokrenu to, ali se menadzeraj u MSFT-u verovatno us*ao da jos vece zatezanje sigurnosnih pravila moze da nanese veliku stetu u pogledu prihvatanja novog OS-a - a to se pokazalo u praksi i sa onim sto je Vista vec donela.
Sa druge strane, mogli su komotno jos vise da zategnu zahteve u 64-bitnim verzijama Windowsa - zato sto tu nema bojazni zbog kompatibilnosti, jer je i ovako i onako moralo da se dosta toga pegla i menja da bi radilo pod 64-bitnim Win-om.
--
To bi komotno moglo da se resi obaveznim Microsoftovim digitalnim potpisom u EXE/DLL fajloviima (kao obavezni Authenticode sa MSFT-ovim kernel-mode kljucem za 64-bitne drajvere) - da bi aplikacije dobile taj digitalni potpis moraju da prate sve zahteve u pogledu sigurnosti.
Za ostale lepo moze da se napravi opcija da mogu da se izvrsavaju, ali samo ako korisnik to dopusti i uz veliko obavestenje da mogu da kompromituju sistem.
Mada... sa poslovne tacke gledista ovo jos i dalje nije preko potrebno... vecina ljudi trpe... moraju da plate porez (antivirus) i to je cena Microsoftovog ne preteranog angazovanja u SPROVODJENJU sigurnosne prakse van njihovog sopstvenog sofvera (mada i kod njih to nije kompletno - ako se izadje van kernela, pitanje je da li je ostatak MSFT-ovog softvera striktno pisan po novoj SDL praksi... one rupetine u SMB protokolu ne ulivaju puno poverenja...)
Lepo je sto postoje DEP, ASLR, sto postoje nizi nivoi privilegija za servise, itd... ali sta to vredi kada niko ne OBAVEZUJE 3rd party ISV-ove da to koriste... Dodjavola, pa i dalje ima aplikacija koje >zahtevaju< administratorske privilegije iako im ne bi trebale da su pisane kako treba :) Kada se to i danas tolerise (mada, 'fala bogu pa sve manje) sta tek reci o drugim dubljim stvarima.
Mada, to je vise Microsoftov problem zato sto su se povinovali apsolutnom market-shareu i gledaju kroz prste prekrsiocima.
Imali su sansu da sa Vistom totalno preokrenu to, ali se menadzeraj u MSFT-u verovatno us*ao da jos vece zatezanje sigurnosnih pravila moze da nanese veliku stetu u pogledu prihvatanja novog OS-a - a to se pokazalo u praksi i sa onim sto je Vista vec donela.
Sa druge strane, mogli su komotno jos vise da zategnu zahteve u 64-bitnim verzijama Windowsa - zato sto tu nema bojazni zbog kompatibilnosti, jer je i ovako i onako moralo da se dosta toga pegla i menja da bi radilo pod 64-bitnim Win-om.
--
To bi komotno moglo da se resi obaveznim Microsoftovim digitalnim potpisom u EXE/DLL fajloviima (kao obavezni Authenticode sa MSFT-ovim kernel-mode kljucem za 64-bitne drajvere) - da bi aplikacije dobile taj digitalni potpis moraju da prate sve zahteve u pogledu sigurnosti.
Za ostale lepo moze da se napravi opcija da mogu da se izvrsavaju, ali samo ako korisnik to dopusti i uz veliko obavestenje da mogu da kompromituju sistem.
Mada... sa poslovne tacke gledista ovo jos i dalje nije preko potrebno... vecina ljudi trpe... moraju da plate porez (antivirus) i to je cena Microsoftovog ne preteranog angazovanja u SPROVODJENJU sigurnosne prakse van njihovog sopstvenog sofvera (mada i kod njih to nije kompletno - ako se izadje van kernela, pitanje je da li je ostatak MSFT-ovog softvera striktno pisan po novoj SDL praksi... one rupetine u SMB protokolu ne ulivaju puno poverenja...)
Lepo je sto postoje DEP, ASLR, sto postoje nizi nivoi privilegija za servise, itd... ali sta to vredi kada niko ne OBAVEZUJE 3rd party ISV-ove da to koriste... Dodjavola, pa i dalje ima aplikacija koje >zahtevaju< administratorske privilegije iako im ne bi trebale da su pisane kako treba :) Kada se to i danas tolerise (mada, 'fala bogu pa sve manje) sta tek reci o drugim dubljim stvarima.
Potpis
DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey
http://www.theregister.co.uk/2010/09/10/adobe_security_analysis/
The criminals behind the Adobe exploit worked around this feature by piggybacking their attack on a Reader file known as icucnv36.dll, which because of an oversight at Adobe, doesn't make use of ASLR. With a single mistake, a protection Microsoft spent years developing was undone. An Adobe spokeswoman said the company will “perform a thorough review of each vulnerability and our response” – including the lack of ASLR protection for the DLL file – so that changes can be made to the development process.
^ Prilicno lep opis ovog EPIC FAIL-a.
Microsoftova strategija zvana "fair play" sa ISV-ovima je jednostavno pogresna kada je sigurnost u pitanju.
Kao sto rekoh, pri tranziciji na 64-bita su lepo mogli sve to da proglase za obavezno... znaci, bas kao sto je DEP obavezan u 64-bitnoj verziji, tako je mogao i ASLR da bude obavezan... nema enable/disable, mora. Kraj price.
Ista stvar i za potpisivanje programa - po defaultu su trebali da zabrane teranje nepotpisanih programa u administratorskom kontekstu - sa jasnim upozorenjem korisniku ako to zeli da uradi da ce kompromitovati sigurnost. Ne sa "OK / Cancel" vec da mora da se ide negde u control panel da se to ukljuci. Pa samo to bi otezalo propagaciju gomile wormova... Tacno, bice budala koji ce za "free porn" otici i u taj hipoteticki control panel i us*ati bezbednost - ali broj takvih dileja je verovatno znacajno manji.
A evo kako to danas izgleda... Mojoj majci sam lepo pripremio stari Vaio VGN-Z, instalirao sve lepo, i naravno njoj ostavio samo user nalog.
Zove me danas da mi kaze da "ne radi internet"... kako bre "ne radi internet"? Firefox nece da se startuje kaze...
Sta se desava? Ne moze da se apdejtuje pacov... treba mu admin nalog iz nekog razloga za update... ma genijalno #(@*&@#
Citat:
The criminals behind the Adobe exploit worked around this feature by piggybacking their attack on a Reader file known as icucnv36.dll, which because of an oversight at Adobe, doesn't make use of ASLR. With a single mistake, a protection Microsoft spent years developing was undone. An Adobe spokeswoman said the company will “perform a thorough review of each vulnerability and our response” – including the lack of ASLR protection for the DLL file – so that changes can be made to the development process.
^ Prilicno lep opis ovog EPIC FAIL-a.
Microsoftova strategija zvana "fair play" sa ISV-ovima je jednostavno pogresna kada je sigurnost u pitanju.
Kao sto rekoh, pri tranziciji na 64-bita su lepo mogli sve to da proglase za obavezno... znaci, bas kao sto je DEP obavezan u 64-bitnoj verziji, tako je mogao i ASLR da bude obavezan... nema enable/disable, mora. Kraj price.
Ista stvar i za potpisivanje programa - po defaultu su trebali da zabrane teranje nepotpisanih programa u administratorskom kontekstu - sa jasnim upozorenjem korisniku ako to zeli da uradi da ce kompromitovati sigurnost. Ne sa "OK / Cancel" vec da mora da se ide negde u control panel da se to ukljuci. Pa samo to bi otezalo propagaciju gomile wormova... Tacno, bice budala koji ce za "free porn" otici i u taj hipoteticki control panel i us*ati bezbednost - ali broj takvih dileja je verovatno znacajno manji.
A evo kako to danas izgleda... Mojoj majci sam lepo pripremio stari Vaio VGN-Z, instalirao sve lepo, i naravno njoj ostavio samo user nalog.
Zove me danas da mi kaze da "ne radi internet"... kako bre "ne radi internet"? Firefox nece da se startuje kaze...
Sta se desava? Ne moze da se apdejtuje pacov... treba mu admin nalog iz nekog razloga za update... ma genijalno #(@*&@#
Potpis
DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey
Pa ne moze da se updatuje bez admina jer je instaliran u program files i nema write privilegije...
To što Miki Maus neće da se apdejtuje bez admin privilegija je sasvim normalna stvar. Zabrinjavajuće je ako ne može da nastavi da radi sa starim drajverom.
Potpis
Nije bitno koji su zaključci izvučeni, već kako se do njih došlo.