Palma vs. Linux - utisci jednog M$ Windblowsera

Nadam se da neće, jer je i njegov omiljeni FreeBSD konačno dobio ACL sa verzijama 5+. Ne brini, i Linux će da ih dobije za par godina, pa će indijanci da tvrde da je M$ ovo ukrao od njih.

Potpis

IOCC

G.. Gh.. Ghahahahahhahhh ;PPP

E Tatice, Tatice, u GNU/Linuxu ACL (i još par "sitnica" uz to) postoji više od 4 godine...

http://www.rsbac.org

Vidi i ostalu bagru:

http://www.grsecurity.net
http://www.nsa.gov/selinux

A da nije možda MS izmislio ACL? LOL. ;))

Potpis

krono :: bookmarks :: AOL prisluškuje vaše AIM i ICQ razgovore?

Linux nema ACL, makar ti vikao "LOL" do sutra. Ovo što si ti naveo nisu delovi oficijelnog kernela, nego dodaci "špijunskih" organizacija kao što je NSA.

Potpis

IOCC

I da ne zaboravim, čak ni Stalman ne naziva kernel GNU/Linuxom. Bolji si i od njega...

Potpis

IOCC

...koje svaki iole iskusniji programer može da pogleda i da kaže "aha, ovde nema špijunskog koda, super, patchovaću vanilla kernel"... Pritom je dovoljan samo jedan programer da pronađe neki backdoor ili "špijunski" kod pa da pukne bruka. Nemoj kao argument koristiti to što Torvalds ne želi sve te (sigurnosne) patcheve da odobri u mainstream kernelu (nisu ni prvi ni poslednji patchevi što ne ulaze u vanilla kernel) zato što većini ljudi ne trebaju i samo bi dodatno povećali kernel sourceve. Vanilla je vanilla i takva treba i da ostane. Ako ti se isti ne dopada, dodaš čokoladu, jagodu, pospeš bombonama i uživaš... ;)

Pritom se ovi treća-žurka patchevi koriste u production okruženjima preko 4-5 godina i samim tim su poprilično istestirani. Uostalom, ti kao programer možeš da pogledaš source i zaključiš koliko je patch dobar ili ne. To što se u closed-sourced OSevima mora striktno držati kernela koji dolazi od developera OSa, to je druga priča. E to je tek LOL do prekosutra...

PS: popeye mi je ukazao preko IM-a i na http://www.lids.org

[Ovu poruku je menjao impaque dana 11.07.2004. u 19:09 GMT]

Potpis

krono :: bookmarks :: AOL prisluškuje vaše AIM i ICQ razgovore?

Reci. ;PP

Potpis

krono :: bookmarks :: AOL prisluškuje vaše AIM i ICQ razgovore?

Izvini, ali si u žešćoj zabludi. Pogledaj npr:

http://web.mit.edu/6.033/2002/...andouts/h25-review2slides2.pdf

Ili Ken Thompson nije baš "iole iskusan programer" ?

Potpis

IOCC

Sve to stoji. Samo ne vidim tu "žešću" zabludu igde?

Ispravi me ako grešim (pošto nisam programer): Ken tvrdi da je moguće napraviti trojanca koji će praviti backdoor (i ubacivati ga u binarni oblik) prilikom kompajliranja 1) trenutne verzije koda (npr. kompajlera), ili 2) i svih budućih verzija nekog koda? Isto važi i za login (i za sve ostalo u suštini): za trenutnu (postojeću) ili i za buduće (nepoznate) verzije nekog koda?

Sve je to u sferi hipotetičkog i, ne moram ni da napomenem, ekstremno paranoičnog, gde je na primer GNU, po toj pretpostavci, od samog početka planirao da zavlada svetom, tako što su napravili gcc v0.01 koji je svaki source budućih verzija backdoorovao prilikom kompajliranja?

Programersko pitanje: da li je tako nešto uopšte moguće - da se trojanizuje kod za koji se ne zna kako izgleda, tj. kako će izgledati?

Zanimljiva teorija zavere, sve u svemu. ;))

Potpis

krono :: bookmarks :: AOL prisluškuje vaše AIM i ICQ razgovore?

Suština Kenove teorije je u tome da se za netrivijalan kod ne može pregledom sorsa 100% garantovati da nema backodorova. Ono tvoje "svaki iole iskusan programer može da utvrdi..." je najobičniji mit. U praksi je lakše napisati OS od nule nego pregledom koda utvrditi da je bezbedan.

Potpis

IOCC

U čemu ga napisati? U nulama i jedinicama direktno, pod parolom "šta je sigurno, sigurno je"? Ili ga ipak iskompajlirati nekim "sumnjivim" kompajlerom? ;))

Elem, da se vratimo na moje pitanje: da li je uopšte moguće napraviti takav kompajler koji će u (svoj) budući, nepoznati kod ubacivati backdoorove i pritom će to raditi ekstremno precizno kako binarni oblik prilikom izvršavanja ne bi nijednom "podbacio" i skrenuo pažnju na sebe? Recimo pukne program i neko se dohvati ćorava posla da disassembluje binarni oblik nekog takvog backdoorovanjem osakaćenog programa i ima šta da vidi - backdoor. Onda krene redom da traži odakle bi mogao da dolazi taj backdoor i pronađe ga u kompajleru. Pukne bruka na sve strane... Sem ako ne postoje negde nevidljivi firewallovi koji filtriraju pakete koji sadrže informacije o tom kompajleru. Ekstrem? Po Kenu, nije. Sumnjati u sve: hardver, softver... SVE. Osamdeset četvrta na delu, Kina, svetska dominacija.

Da skratim; jedna stvar je očigledna: bolje ikakav uvid u kod, nego nikakav, što se sigurnosti tiče, ne?

Potpis

krono :: bookmarks :: AOL prisluškuje vaše AIM i ICQ razgovore?

Diskutabilno - i to vrlo. Najbolji odgovor je srpski "moz' da bidne, a i ne mora da znaci" - u velikom broju komercijalnih okruzenja - ne mora da znaci ;)

Razlog zbog kojih velike firme daju source njihovim klijentima nije taj da klijenti uzmu 1000 eksperata koji ce da analiziraju kod - vec komercijalna sigurnost da odredjeni kriticni sistemi nece biti zavisni od propasti / promene politike maticne firme.



[Ovu poruku je menjao Ivan Dimkovic dana 11.07.2004. u 20:34 GMT]

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

Kao što rekoh, sasvim svejedno, osim za trivijalan kod. I opet da ponovim: lakše je napisati OS od nule nego pregledom izvornog koda ustanoviti da je bezbedan. Ako mi ne veruješ, nauči C i sistemsko programiranje pa kreni da "češljaš" bilo koji OSS.

Potpis

IOCC

devojko bre alo,
koji je vama k****? sta ste istripovali oko trojanizovanja koda? pa mislite stvarno da je to moguce da prodje pored danasnjih blagodeti sniffinga i traffic anaylsinga?

ili mozda se to distributivno shiri? i na rutere i kroz vazduh? l;)))))

zajebite rbac tematiku ( btw, fyi originalna ideja se nalazi ovde. kao i uvek! ;)


sta je ono bila tema?
win modemi ( aka adapteri za telefonsku liniju )? i kako emulirati modem device uz pomoc istog na linuxu? ;)

Potpis

"It's okay, I'm just admiring to the shape of your skull!" -- Dr. Gonzo

Važi... Ali na plaži.

Vi kao da imate za polaznu tačku "opravdati zatvoren proprietary kod po svaku cenu" i onda nadalje pričate pričice i zaobilazite konkretna pitanja u širokom luku, k'o crknutu mačku.

Ivane, kritični sistemi!? To što si ti naveo jeste bitno, ali šta, security nije kritična stavka kod npr. banaka? U svakom slučaju, kad ruski haker ;P pogleda bilo kakav kod sigurno će imati više pojma o njemu nego da ga ne pogleda uopšte! ...ili se i to kosi sa vašom logikom?

E.. Čekaj.. Nešto se čudno dešava.. Moja ploča ubacuje trojanca u moj BIOS?!? Program iskompajliran novim gcc-om mi je izbacio poruku da resetuje mašinu za 30 sekundi! O, ne!

Suddenly the dungeon collapses. You die.

Potpis

krono :: bookmarks :: AOL prisluškuje vaše AIM i ICQ razgovore?

I onda ljudi napravise linux... :-p

Potpis

Aj prevedi!

Impaque,




Ne, nego mozda imamo malo vise iskustva u ovim stvarima - NHF :)

Gigabajt tudjeg koda ti ne znaci ama bas nista sto se "provere sigurnosti tice" bar ne u komercijalnom roku - jedan advanced traffic analyzer na Cisco PIX-u ti resava stvar ako su ti aplikacioni protokoli deterministicki - sve si uzeo u obzir i testiras "black box" - moze to da bude Linux/Windows/HP-UX ili bilo sta. Ako nisu... nece te nista spasti osim ako ti licno nisi pisao taj kod :) A i tad... mozda si podsvesno napisao neki backdoor (salim se) :)

Kako ti mozes da utvrdis sta je normalno ponasanje a sta potencijalni backdoor ako nemas specifikacije i tacnu projektnu dokumentaciju za nesto?



Security jeste kljucna tacka kod banaka, ali ja ti evo garantujem da ni jedna banka taj security ne resava "gledanjem koda" . Gomila banaka trci na savrseno closed-source Solarisima i slicnim unixoidima, pa ni u jednom momentu ne traze source od kompajlera. Vecina ATM masina ovde (DE) radi na NT4 sistemu, stavise :)

Ruski haker ne bi ni stigao da pogleda kod od desetina miliona linija u nekom doglednom roku, prema tome - kakva korist od toga u nekom komercijalnom okruzenju sa rokovima i planovima? Ono sto firme traze su komercijalne garancije - ruski haker ne pruza nikakvu garanciju sve i da mu je u rodu Albert fickin Ajnstajn.

Linux je dobar zbog drugih stvari - source ti daje apsolutnu kontrolu i nemogucnost "zayeba" ako se promeni hw, a ni strateski ne zavisis od USA patenata i intelektualne svojine - sto je prilicno handy za EU/Asia vlade.

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

Ja stvarno ne znam šta je nejasno u mojoj priči. Da ponovim još jednom? Jako je teško (po K.T.-u nemoguće, ali i da ostavimo njegovu priču po strani, opet jako teško i nepraktično) "češljanjem" izvornog koda ustanoviti da li je unutra sakriven neki trojanac osim kad je u pitanju neki trivijalno mali program. Postoje mnogo praktičnije metode za otkrivanje trojanaca koje podjednako dobro rade i na otvorenim i na zatvorenim sistemima.

Potpis

IOCC

I onda kad nešto ne paše, upravnik banke zovne IT department i kaže ajd sad vi fino promenite taj kod pa ćemo onda da krenemo u deployment te verzije OS-a/aplikacije po našim filijalama.. hehe, kako da ne :)

Potpis

Commercial-Free !!!

Ivane, to se zove odgovor.

;)

Potpis

krono :: bookmarks :: AOL prisluškuje vaše AIM i ICQ razgovore?

degojse, upravnik sigurno ne skače po kancelariji mantrajući "Microsoft, Microsoft, Microsoft, Microsoft"... ;))

Elem, seća li se neko blama sa Cisco backdoorovima? Po vašem mišljenju, to hiljade i hiljade ljudi širom sveta ne bi mogli da otkriju (pa makar i slučajno) gledanjem koda (koji naravno u ovom slučaju nije otvoren)? Hipotetički, neko bi verovatno nabasao na to, da je kod otvoren, pre nego što se taj proizvod proda u hiljade i hiljade primeraka. Jedan ruski haker ne može sam ništa da uradi... Ali ako ih ima na hiljade koji aktivno učestvuju u developmentu ili deploymentu nečeg otvorenog poput kernela nekog opensource OSa? Okej, postoje i bolji načini za otkrivanje backdoorova, ali zar ovaj treba zanemariti? Ne verujem.

Potpis

krono :: bookmarks :: AOL prisluškuje vaše AIM i ICQ razgovore?