URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 74651
[ Назад ]

Исходное сообщение
"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."

Отправлено opennews , 11-Фев-11 14:01 
Alan Shimel привел (http://www.networkworld.com/community/blog/blaming-nasdaq-ha...) в своем блоге интересный анализ беспочвенных спекуляций, возникший после взлома нью-йоркской биржи NASDAQ, использующей Linux в своей торговой платформе. Несмотря на то, что взлом был вызван атакой, позволившей осуществить подстановку SQL-запроса в прикладное web-приложение, консалтинговая компания Aite Group опубликовала отчет, в котором в качестве причины возможности подобного инцидента указала на использование свободного ПО и cloud-технологий.

URL: http://www.networkworld.com/community/blog/blaming-nasdaq-ha...
Новость: http://www.opennet.me/opennews/art.shtml?num=29568


Содержание

Сообщения в этом обсуждении
"Причины взлома IT-инфраструктуры NASDAQ попытались свалить н..."
Отправлено none_first , 11-Фев-11 14:01 
ну да - главное прикрыть жопу МСа, Аксенчура, и платформы , которой НЕТ-и-точка
ведь ОСС в суд не подаст ;)

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено User294 , 11-Фев-11 14:02 
> консалтинговая компания Aite Group опубликовала отчет,
> в котором в качестве причины возможности подобного инцидента указала

А они являются экспертами в безопасности, чтобы публиковать отчеты? Или им как обычно просто заплатили за отчет? :)


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено ананим , 11-Фев-11 14:33 
а независимые эксперты существуют?
а я думал что это утка для поднятия демократии в 3-м мире... :D

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 11-Фев-11 15:00 
>а независимые эксперты существуют?

конечно. анонимные аналитики. разбираются во всём и ни в чём одновременно. этакий дуализм разума О_о


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено ананим , 11-Фев-11 15:59 
а не анонимние - ни во всём и ни в чём одновременно. эдакий 0 разума. :D

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 11-Фев-11 16:27 
ну юмор - это хорошо.
а некоторые умники, минусующие пост выше Вашего - по ходу с ним не дружат, воспринимая всё буквально :-D

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено User294 , 11-Фев-11 18:42 
> а независимые эксперты существуют?

Как ни странно бывает и такое...


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено анонимус , 11-Фев-11 15:01 
Вопщето NASDAQ на MS SQL Server крутится. Где там открытое ПО?

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено kolya , 11-Фев-11 15:13 
MS SQL уже под линуксом пускают? круть

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено dalco , 12-Фев-11 09:44 
А как же wine?!

:D


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено ананим , 12-Фев-11 23:00 
а никак. пасьяес косынка для себя - это одно.
насдак - несколько другое.

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 11-Фев-11 15:03 
Они собирались от МС отказаться ...

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Трухин_Владимир_Соломонович , 11-Фев-11 17:14 
Теперь к счастью этого не произойдёт.
Хотя по большому счёту повезло им, только случай помог отказаться от принятия пагубного решения.

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено none_first , 11-Фев-11 18:35 
откуда такая уверенность - что не произойдёт? ;)
а меня ощущения, что, несмотря на подобных аналистов, спокойно произойдёт ;)
и МС очередной раз утрётся своим глупым пиаром...

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Трухин_Владимир_Соломонович , 11-Фев-11 18:54 
> откуда такая уверенность - что не произойдёт? ;)

Теперь надо быть просто клиническим идиотом, чтобы переходить на скомпрометированную платформу.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено ананим , 11-Фев-11 19:56 
это точно - дрвеб выдает 3'700'000 с гаком вирусов для винды. при этом еще и запускал я его с линуксячьего ливсд, тк цеевую винду они сожрали с потрахами на котором он же и стоял.

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено non anon , 11-Фев-11 20:07 
>Теперь надо быть просто клиническим идиотом, чтобы переходить на скомпрометированную платформу.

Простите, а каким образом платформонезависимая уязвимость может скомпрометировать платформу?


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено User294 , 12-Фев-11 16:30 
> Простите, а каким образом платформонезависимая уязвимость может скомпрометировать платформу?

Ну, если вы из майкрософта и вам надо впарить, как трухину - тогда и значение синуса запросто достигнет двух, если это как-то поможет срубить еще бабла :)



"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено User294 , 11-Фев-11 18:44 
> Теперь к счастью этого не произойдёт.
> Хотя по большому счёту повезло им, только случай помог отказаться от принятия
> пагубного решения.

О, нас посетил сам Генерал Фэйлор. Интересно, а как вы объясните падение акций нокии в полную жо... после анонса о партнерстве с MS? Акционеры срут кирпичами, да? Вас я так смотрю любят, в вас верят... :)


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Трухин_Владимир_Соломонович , 11-Фев-11 18:52 
А зачем Майкрософту переплачивать за обанкротившуюся Нокию? Тут первичен факт краха Нокии, а не то, кому она продалась.

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено ананим , 11-Фев-11 19:50 
да нет. тут важно все.

зы:
ведете себя как адвокат дьявола - ну они же сами души продают?


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено User294 , 12-Фев-11 16:33 
> А зачем Майкрософту переплачивать за обанкротившуюся Нокию? Тут первичен факт краха Нокии,
> а не то, кому она продалась.

А майкрософт с свом Kin и WP7 типа всех зарулили? Вот у эппла и гугля - рыночные доли убедительны. А у мс только трухин вещает да мутные схемы толкают по принципу "а посадим ка мы своим проплаченным капитаном их титаник на мель, чтобы страховку получить".


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 13-Фев-11 11:26 
> А зачем Майкрософту переплачивать за обанкротившуюся Нокию? Тут первичен факт краха Нокии,
> а не то, кому она продалась.

Да нет...Это говорит только о том, что рынок считает сотрудничество Нокии с Майкрософт ухудшит положение инвесторов.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено User294 , 14-Фев-11 04:46 
> Да нет...Это говорит только о том, что рынок считает сотрудничество Нокии с
> Майкрософт ухудшит положение инвесторов.

MS докатился: за их систему не то что платить не хотят, им вообще приходится приплачивать нокии чтобы та их поделие изволила поюзать. Лолз. И на что только не пойдешь когда полимеры просираются со страшной силой. Даже на столь неординарный для MS шаг. Интересно, как теперь будут вещать чудики которые все-время чмырили линух его бесплатностью? :)))


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено анонимХ , 11-Фев-11 20:05 
Наверное я кормлю троля, но может я и сам троль?
Разве их торговая платформа  уже не перешла на linux? Разве их хакнули не через виндовую  asp-ю вэб-морду? (http://www.zdnet.com/blog/security/nasdaq-confirms-servers-h...)

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 12-Фев-11 15:02 
> только случай помог отказаться от принятия пагубного решения.

Трухины работают уже всей семьёй! Владимир, сбросьте контакты вашего работодателя, я тоже хочу заливать на форумах и чтобы мне за это платили! это же так легко и так полезно для общества. а главное - это по мужски.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 13-Фев-11 00:02 
> Трухины работают уже всей семьёй! Владимир, сбросьте контакты вашего работодателя, я тоже хочу заливать на форумах и чтобы мне за это платили! это же так легко и так полезно для общества. а главное - это по мужски.

http://habrahabr.ru/blogs/advertising/78536/

Microsoft открыла регистрацию студентов-блоггеров, которым предлагают стать евангелистами Microsoft и пропагандировать программное обеспечение и технологии этой корпорации на форумах, блогах и онлайновых СМИ. В обмен на это студенты будут получать бесплатный софт, приглашения на различные выставки и прочие бонусы. Программа называется Student Insiders.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено User294 , 14-Фев-11 04:49 
> бесплатный софт, приглашения на различные выставки и прочие бонусы.

Пусть им табличку выдадут в стиле "I will code .NET for food". А то столько попу рвать ради какого-то вшивого права аренды софта и приглашений на выставки - это ж какими дебилами надо быть, интересно? Настоящие профессионалы, вашумать. Сразу видно за версту :)


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено non anon , 11-Фев-11 16:15 
Дык все win-иксперты по безопасности делают свои икспертные оценки свободного ПО в стиле "не читал, но осуждаю".

Им даже доплачивать за это не надо - ведь если СПО победит, их кормушка вылетит в трубу.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено pavlinux , 11-Фев-11 17:10 
На этом форуме говорят тоже самое, но про СПО :)  

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено non anon , 11-Фев-11 19:44 
> На этом форуме говорят тоже самое, но про СПО :)

И это, в отличие от воплей win-искпертов, вполне разумно. Если бизнесмену Васе критична безопасность GPLной софтины X, он наймёт кодеров-аудиторов, которые прочешут сорцы вдоль и поперёк, как вручную, так и анализаторами кода. После чего можно будет говорить, что с вероятностью ~50-70-90% (смотря какое качество аудита) бэкдоров там нет.

В случае с проприетарным ПО, код недоступен по определению, а значит, нужно исходит из худшего варианта - вся софтина представляет собой сплошной бэкдор, инфа 100%.

(Для дыр, вызванных случайными ошибками, работает та же логика, но всё же не так показательно, как с бэкдорами).


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено pavlinux , 12-Фев-11 02:15 
> В случае с проприетарным ПО, код недоступен по определению, а значит, нужно
> исходит из худшего варианта - вся софтина представляет собой сплошной бэкдор,
> инфа 100%.

Ну про AIX или OpenVMS я бы так не сказал.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено oktoman , 12-Фев-11 13:30 
>> В случае с проприетарным ПО, код недоступен по определению, ...
> Ну про AIX или OpenVMS я бы так не сказал.

  Исходники OVMS в своё время вполне были доступны за (ЕМНИП) ~120 килобаксов всего на 2-х CD-болванках. Не говоря уж о RT-11/RSX, которые поставлялись примерно как сейчас Linux.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено User294 , 12-Фев-11 16:34 
> которые поставлялись примерно как сейчас Linux.

Подождите, но тогда же не было торрентов?! :)


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено ананим , 12-Фев-11 23:06 
поэтому о вмс знают только некоторые павлинукыЭ

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 12-Фев-11 10:59 
в случае с открытым софтом - каждый может посмотреть и увидеть где допущена ошибка, и как ее эксплуатировать.
И не надо быть идеалистом - что эту ошибку будут репортить. Ее будут в тихую использовать, попутно находя стопку запасных. Примечателен тут linux kernel - в котором случайно находят дыры которые были внесены несколько лет, и никто не добирался их исправить.

Даже Microsoft / Oracle которых тут любят поливать грязью - такого себе не позволяют.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 12-Фев-11 12:33 
>Даже Microsoft / Oracle которых тут любят поливать грязью - такого себе не позволяют.

У вас наверное просто нет доступа на Oracle Metalink и вы пребываете в счастливом неведении ;-))


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Dimez , 12-Фев-11 14:19 
>>Даже Microsoft / Oracle которых тут любят поливать грязью - такого себе не позволяют.
> У вас наверное просто нет доступа на Oracle Metalink и вы пребываете
> в счастливом неведении ;-))

Не "наверное", а гарантированно нет. Откуда у форумных троллей туда доступ? :)


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено User294 , 12-Фев-11 16:50 
> И не надо быть идеалистом - что эту ошибку будут репортить.

Достаточно багтрекеры посмотреть чтобы убедиться что вы неправы. Или там Coverity какойнить - тоже тестит открытые проекты порой. Да, конечно для самопиара, но ведь репортят же. Опять неправда, стало быть.  

> Ее будут в тихую использовать, попутно находя стопку запасных.

Найдите у D.J. Berstein в его софте чтонить? Он даже за это платит, или как минимум раньше платил. Исходники открыты, да :)

> Примечателен тут linux  kernel - в котором случайно находят дыры
> которые были внесены несколько лет, и никто не добирался их исправить.
> Даже Microsoft / Oracle которых тут любят поливать грязью - такого себе
> не позволяют.

Ну да, конечно. А авторан в винде запускающий без лишних вопросов вирье с флешек и живший в таком виде не менее СЕМИ ЛЕТ - это было наверное фичой, да? Поэтому на всех фотоаппаратах, плеерах и флехах развелось самоходное ПО. Даже хакать не надо ничего: только юзер фоты хочет слить с фотика - дыщ - сработал авторан - система затроянена, и все флехи, фотоаппараты, телефоны, плееры и что там еще которые юзерь вставит - тоже будут с этой дрянью. В итоге это самоходное ПО засрало собой у виндузятников почти все что втыкается в юсб. Понятно что паскудную фичу можно и отключить, только она зарыта так что ее половина админов то не найдет за полчаса, а уж юзеры и вовсе без шансов.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 12-Фев-11 17:59 
> И не надо быть идеалистом - что эту ошибку будут репортить.
> Достаточно багтрекеры посмотреть чтобы убедиться что вы неправы. Или там Coverity какойнить - тоже тестит открытые проекты порой. Да, конечно для самопиара, но ведь репортят же. Опять неправда, стало быть.

Не будем съезжать с темы.
покажите мне ссылку на репорт который 2 года назад описывал багу в linux kernel - которую исправили дай бог памяти в 2.6.32, а занесли в 2.6.10? А ведь такой клевый метод получения root shell был.
Где эта ссылка?
  

> Примечателен тут linux  kernel - в котором случайно находят дыры
> которые были внесены несколько лет, и никто не добирался их исправить.
> Даже Microsoft / Oracle которых тут любят поливать грязью - такого себе
> не позволяют.
>Ну да, конечно.

Да да.. не помните о этой баге ? так можно найти даже тут обзор.

> А авторан в винде запускающий без лишних вопросов вирье с флешек и живший в таком виде не менее СЕМИ ЛЕТ - это было наверное фичой, да? Поэтому на всех фотоаппаратах, плеерах и флехах развелось самоходное ПО.

Ой. буквально недавно была статья что Linux оказывается тоже не застрахован от этого.
И втыкая флэшку со специальной FS можно получить рута. Врут значит?
Или кто-то другой тут врет?

Ну да. о перепайке процесора ты уже облажался и предпочел не отвечать на неудобный вопрос.
Теперь и тут облажался :)


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено strange , 12-Фев-11 20:29 
Изыдь, сатана!
:) Я аж на пот изошел, на каком дырявом ведре живу оказывается. Чуть что, сразу удаленно рут. Даже отключил показ всех картинок в браузере и автостарт с CD нафиг, а вдруг в парсере GIF и тут ошибка? Как страшно жить.. :)

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 13-Фев-11 05:29 
вот видишь - в открытом ПО оказывается куча ошибок.. инфа 100%.
И даже подтверждено это :)
И проблемы за которые любят поливать грязью MS/Oracle оказывается есть в Linux.
ведь так ?:)

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Анон , 13-Фев-11 10:21 
Но по-крайней мере тут мы о них знаем.

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 13-Фев-11 13:22 
Наивный.
Почему тогда настоятельно рекомендуют обновлять ядро - но при этом стараюстся скрыть какие из ошибок критичные?
Уже не раз был когда за внешне непримечательным комментарием скрывалась серьезная проблема в безопасности.

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 13-Фев-11 14:02 
Рекомендуют обновлять ядро как раз-таки с целью исключить возможность многолетнего эксплуатирования известных уязвимостей, злоумышленнику гораздо легче вскрыть и распотрошить систему зная, что там наверняка стоит. А насчет критичности ошибок и их сокрытия: виндоделы вообще редко когда сообщают о найденных ошибках, чаще всего молчком втыкая очередной апдейт, из описания которого впринципе понять невозможно, что там было и нафиг он вообще нужен, так что не передергивайте.

И вообще до ядра еще добраться надо, а это уже в большей степени зависит от админа системы, если извините у винды изначально после установки несколько открытых портов торчат во все стороны, то за линуксом я такого никогда не замечал.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 14-Фев-11 15:11 
> Рекомендуют обновлять ядро как раз-таки с целью исключить возможность многолетнего эксплуатирования известных уязвимостей, злоумышленнику гораздо легче вскрыть и распотрошить систему зная, что там наверняка стоит.

То есть вы признали что открытый код помогает злоумышленику находить и эксплуатировать уязвимости?

И пожалуста без детского съезда - "а вот у них еще хуже".


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Анон , 15-Фев-11 14:02 
Не передергивайте мои слова. А если вам так надо могу расшифровать: открытая модель разработки вынуждает куда более тщательно его создателей следить не только за красотой "фейса", но и за безопасностью, не говоря уже про возможность получить информацию энтузиастов по улучшению.

Могу даже личный пример привести: работаю с неким оборудованием с неким ПО, разработчикам с предложениями по улучшению работы и обработке некоторых ошибок, которые они не учли, писал десятки раз и хоть бы хрен. А была бы это открытая разработка - давно сам все что нужно поправил и таки да теперь вынужден сам писать все тоже самое, лишь стать независимым от долбаной тех.поддержки.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 17-Фев-11 08:28 
Я не передергиваю. Я лишь предлагаю снять розовые очки.
Я лишь подчеркнул что у открытости 2 стороны.
Одна из них якобы быстрое исправление ошибок - хотя я сомневаюсь что если ошибка будет затрагивать серьезные подсистемы у крупного проекта - вы будете в состоянии это исправить без побочных эфектов (статистика lkml показывает что многие патчи оклоняются ибо вместе с исправлением бага добавляется стопка регрессий).
Вторая стороны это легкость исследования кода злоумышленниками - и далеко не факт что эти баги будут куда-то отрепорчены. И могут легко эксплуатироваться  пока кто-то случайно не наткнется на них.

А ваш пример с явными ошибками - не удачен. Ошибки безопастности это далеко не падения программ - и очень часто это просто поведение при некоректных данных. Какая вероятность у вас заметить это?


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 13-Фев-11 11:33 
> Не будем съезжать с темы.
> покажите мне ссылку на репорт который 2 года назад описывал багу в
> linux kernel - которую исправили дай бог памяти в 2.6.32, а
> занесли в 2.6.10? А ведь такой клевый метод получения root shell
> был.
> Где эта ссылка?

Вот именно. Где ссылка ? Ваш тезис - Ваше доказательство. Ждём-с...



"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 13-Фев-11 13:25 
>> Не будем съезжать с темы.
>> покажите мне ссылку на репорт который 2 года назад описывал багу в
>> linux kernel - которую исправили дай бог памяти в 2.6.32, а
>> занесли в 2.6.10? А ведь такой клевый метод получения root shell
>> был.
>> Где эта ссылка?
> Вот именно. Где ссылка ? Ваш тезис - Ваше доказательство. Ждём-с...

ссылка на баг который 2 года не исправлялся? ну лана.. не 2 а 4 года :)
http://www.linux.org.ru/news/kernel/5174456

>>>

Цитата
К данному заявлению Теодора побудило недавнее обсуждение проблем качества Linux-ядра, возникшее после того, как был исправлен 4-летний баг в драйвере к видеокарте на базе популярного чипсета Intel 945GM. О проблеме многие знали, но исправление появилось только после того, как об этом очень настойчиво попросил один из клиентов Red Hat.
>>>

ведь правда оперативно фиксят баги? а прямо через 4 года только исправили :)


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 13-Фев-11 13:42 
>> Не будем съезжать с темы.
>> покажите мне ссылку на репорт который 2 года назад описывал багу в
>> linux kernel - которую исправили дай бог памяти в 2.6.32, а
>> занесли в 2.6.10? А ведь такой клевый метод получения root shell
>> был.
>> Где эта ссылка?
> Вот именно. Где ссылка ? Ваш тезис - Ваше доказательство. Ждём-с...

http://www.insidepro.com/kk/102r.shtml

куча описаний эксплойтов которые эксплуатировали дыры годами.
>>>

. Ядро превратилось в настоящее скопище багов. Вот только один из них, обнаруженный в начале января 2005 года и поражающий все ядра версии 2.2, а ядра с версиями от 2.4 до 2.4.29-pre3 и от 2.6 до 2.6.10 включительно.
>>>
>>>

В апреле 2005 года появилось сообщение о дыре, а следом за этим был написан Kernel Bluetooth Local Root Exploit, работающий на ядрах 2.6.4-52, 2.6.11 и некоторых других.
>>>

и тп..
мало ?:)


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 13-Фев-11 14:10 
>[оверквотинг удален]
> 2.2, а ядра с версиями от 2.4 до 2.4.29-pre3 и от
> 2.6 до 2.6.10 включительно.
>>>>
>>>>
>  В апреле 2005 года появилось сообщение о дыре, а следом за
> этим был написан Kernel Bluetooth Local Root Exploit, работающий на ядрах
> 2.6.4-52, 2.6.11 и некоторых других.
>>>>
> и тп..
> мало ?:)

А повсеместного винлокера вам недостаточно? Слава Туксу, я об этой проблеме знаю лишь по разлетевшимся бравадам в интернетах от эникейщиков, считающих себя сейчас чуть ли не богами в этом деле, потому как плотно сижу на линуксе и дома, и на работе. А червяк что жрал все экзешники? Тоже мало? Да этих двух зараз хватает чтоб парализовать работу в корне, а всякие там ПОТЕНЦИАЛЬНО возможные уязвимости они в том то все и дело, что еще только потенциальные. Мне вот до сих пор интересно почему в том же fat ntfs не реализован механизм аргументов монтирования навроде ro или noexec, что отсекает основные пути распространения заразы? И не надо передо мной сейчас размахивать недавней новостью о специально измененной ФС, это еще уметь надо делать.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 13-Фев-11 14:41 
>[оверквотинг удален]
>>  В апреле 2005 года появилось сообщение о дыре, а следом за
>> этим был написан Kernel Bluetooth Local Root Exploit, работающий на ядрах
>> 2.6.4-52, 2.6.11 и некоторых других.
>>>>>
>> и тп..
>> мало ?:)
> А повсеместного винлокера вам недостаточно? Слава Туксу, я об этой проблеме знаю
> лишь по разлетевшимся бравадам в интернетах от эникейщиков, считающих себя сейчас
> чуть ли не богами в этом деле, потому как плотно сижу
> на линуксе и дома, и на работе.

А причем тут это ?:) Тут лишь оспаривается тезис что опенсоурс быстро находит все дыры и фиксит - вы же как ребенок съехали "а у васи хуже" - да мне пофик что там хуже.
А вот то что опенсорс не идеал - вы видимо признавать не хотите.

Если уж сравнивать с этим червяком.. Давайте вспомним 2001 год - когда дырка в apache позволила распространяться червяку который в итоге положил на 2-3 дня интернет в европе.
Мало ?:)


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено askh , 13-Фев-11 20:30 
А ничего, что сейчас 2011 год? :-) И, пожалуйста, давайте ссылки, потому что без пруфлинкам анонимам часто не верят, а искать их за вас - ну как-то то неправильно это. Сейчас, например, я сомневаюсь, что в 2001 году был описанный вами эпизод. Может и был, не исключаю, но пруфлинка нет, сам я этого не помню, а верить анониму на слово - не самый лучший выбор.

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 13-Фев-11 21:13 
Таки да, гораздо быстрее находится и фиксится. Портянки changelog'ов прямое тому подтверждение.

А уж то, что к текущем моменту wine может запустить практически любое приложение виндоус поверх линукса, если только оно не завязано некоторые недокументированные возможности драйверов устройств и тому подобного, включая потребность в прямом доступе к железу (что в линуксе моветон), то это явно говорит о том, что виндоус не более чем поделие индусских студентов на уровне курсовой работы педагогического факультета по бэйсику.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 14-Фев-11 06:26 
Я приводил ссылки из 2005 года, о багах которые давали рута и не фиксились годами.
Или это теперь называется быстрым исправлением ?:)

"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Анон , 15-Фев-11 14:09 
> Я приводил ссылки из 2005 года, о багах которые давали рута и
> не фиксились годами.
> Или это теперь называется быстрым исправлением ?:)

Не фиксились годами... сколько слышу про это, но за последние три года, что читаю опеннет, такого рода новости мне попадались всего пару раз и то эти уязвимости были следствием использования цепочки уязвимостей, тогда как каждая из них ровным счетом из себя ничего не представляла.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 13-Фев-11 21:18 
> А причем тут это ?:) Тут лишь оспаривается тезис что опенсоурс быстро
> находит все дыры и фиксит - вы же как ребенок съехали
> "а у васи хуже" - да мне пофик что там хуже.
> А вот то что опенсорс не идеал - вы видимо признавать не
> хотите.
> Если уж сравнивать с этим червяком.. Давайте вспомним 2001 год - когда
> дырка в apache позволила распространяться червяку который в итоге положил на
> 2-3 дня интернет в европе.
> Мало ?:)

Вы про это? Ну и что вы голову морочите если речь шла про FreeBSD каким боком тут linux-kernel вообще?
http://www.opennet.me/opennews/art.shtml?num=1322


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 14-Фев-11 06:47 
>[оверквотинг удален]
>> "а у васи хуже" - да мне пофик что там хуже.
>> А вот то что опенсорс не идеал - вы видимо признавать не
>> хотите.
>> Если уж сравнивать с этим червяком.. Давайте вспомним 2001 год - когда
>> дырка в apache позволила распространяться червяку который в итоге положил на
>> 2-3 дня интернет в европе.
>> Мало ?:)
> Вы про это? Ну и что вы голову морочите если речь шла
> про FreeBSD каким боком тут linux-kernel вообще?
> http://www.opennet.me/opennews/art.shtml?num=1322

Я лично наблюдал эту уязвимость на Linux серверах. Каким боком она к FreeBSD не знаю.
Эта дура мелким UDP ложила наш VSAT канал.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Анон , 15-Фев-11 14:06 
>[оверквотинг удален]
>>> Если уж сравнивать с этим червяком.. Давайте вспомним 2001 год - когда
>>> дырка в apache позволила распространяться червяку который в итоге положил на
>>> 2-3 дня интернет в европе.
>>> Мало ?:)
>> Вы про это? Ну и что вы голову морочите если речь шла
>> про FreeBSD каким боком тут linux-kernel вообще?
>> http://www.opennet.me/opennews/art.shtml?num=1322
> Я лично наблюдал эту уязвимость на Linux серверах. Каким боком она к
> FreeBSD не знаю.
> Эта дура мелким UDP ложила наш VSAT канал.

Ну а что ж тогда ответную статью не написали в духе "а вот хрен вам товарищи и линукс падает то же" и кстати вы саму то новость читали? Речь шла про Апач 1.3 без него эта уязвимость, если я правильно понял, просто возникнуть не может. Да-да, это была уязвимость Апача, кернел там вообще не причем :).


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 17-Фев-11 08:30 
>[оверквотинг удален]
>>>> Мало ?:)
>>> Вы про это? Ну и что вы голову морочите если речь шла
>>> про FreeBSD каким боком тут linux-kernel вообще?
>>> http://www.opennet.me/opennews/art.shtml?num=1322
>> Я лично наблюдал эту уязвимость на Linux серверах. Каким боком она к
>> FreeBSD не знаю.
>> Эта дура мелким UDP ложила наш VSAT канал.
> Ну а что ж тогда ответную статью не написали в духе "а
> вот хрен вам товарищи и линукс падает то же" и кстати
> вы саму то новость читали?

Если я эту уязвимость почувстововал на себе - то наверно же читал?

> Речь шла про Апач 1.3 без
> него эта уязвимость, если я правильно понял, просто возникнуть не может.
> Да-да, это была уязвимость Апача, кернел там вообще не причем :).

Включайте мозги. Уязвимость она у системы - и по большому счету сильно пофик в каком из компонентов возникла проблема - если результатом будет взлом и получение прав администратора.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено askh , 13-Фев-11 17:26 
> Не будем съезжать с темы.
> покажите мне ссылку на репорт который 2 года назад описывал багу в linux kernel - которую исправили дай бог памяти в 2.6.32, а занесли в 2.6.10? А ведь такой клевый метод получения root shell был.
> Где эта ссылка?

Это что-то из разряда "я за вас свою работу делать не буду"?.. Вроде с одной стороны критикуете Linux, с другой - требуете, чтобы вам нашли ссылку на информацию про уязвимость в системе... Вообще опыт общения с троллями в Интернете подсказывает, что если нет пруфлинка, то с большой вероятностью просто пытаются выдать желаемое за действительное...

> Ой. буквально недавно была статья что Linux оказывается тоже не застрахован от этого.
> И втыкая флэшку со специальной FS можно получить рута. Врут значит?

Вы действительно не видите разницы между небезопасной штатной функцией (автоматическим запуском программы через autorun.inf) и возможностью использования уязвимости в системе? Уязвимости есть во всех системах, в этом смысле запуск через флешку принципиально не отличается например от запуска через картинку в браузере. То есть это не что-то выдающееся, это один из возможных способов использования уязвимостей, которые возможно ещё обнаружат, а значит нужно оперативно обновлять систему и не пренебрегать методами защиты против эксплуатации уязвимостей. И это касается и Linux, и Windows, и других систем. Но вот запуск через autorun.inf, с учётом нетривиальности его отключения - это что-то выдающееся, если делать дырку в системе специально, сложно придумать что-то лучшее.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 14-Фев-11 15:13 
>> Не будем съезжать с темы.
>> покажите мне ссылку на репорт который 2 года назад описывал багу в linux kernel - которую исправили дай бог памяти в 2.6.32, а занесли в 2.6.10? А ведь такой клевый метод получения root shell был.
>> Где эта ссылка?
> Это что-то из разряда "я за вас свою работу делать не буду"?..
> Вроде с одной стороны критикуете Linux, с другой - требуете, чтобы
> вам нашли ссылку на информацию про уязвимость в системе...

Ссылка на уязвимость была тут меньше года назад. Но тут отверждали что эти баги быстро находят и фиксят.
Вот я и хочу увидеть подтверждение этого тезиса - что баг нашли еще 2 года назад и пофиксили.
А том что баги не фиксятся годами (в случае видеодрайвера Intel - целых 4 года) я приводил.


>> Ой. буквально недавно была статья что Linux оказывается тоже не застрахован от этого.
>> И втыкая флэшку со специальной FS можно получить рута. Врут значит?
> Вы действительно не видите разницы между небезопасной штатной функцией (автоматическим
> запуском программы через autorun.inf) и возможностью использования уязвимости в системе?

эта штатная функция есть в GNOME, KDE и отключается далеко не так тривиально как это сделать в Windows.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено User294 , 16-Фев-11 13:48 
> Не будем съезжать с темы.

А в чем состоит ваша тема? Конкретизируйте.

> покажите мне ссылку на репорт который 2 года назад описывал багу в
> linux kernel - которую исправили дай бог памяти в 2.6.32, а
> занесли в 2.6.10? А ведь такой клевый метод получения root shell был.

Круто, круто. Повышение прав юзера у которого уже есть аккаунт. В винде такое пачками чинят и еще полно непочиненого, особенно с 3rd party приложениями и дровами, где к этому вообще наплевательски относятся - получить там админа будучи юзером вообще не считается чем-то таким из ряда вон. Это в *никсах всегда серьезно относились к дележу прав юзеров и многопользовательскости, т.к. оно там реально используется. А в винде ... там чинят, извините, возможность ремотного поимения системы. У пингвинов ремотное поимение системы что-то весьма давно не попадалось. В отличие от. В винде вообще разделение прав и пользователей какое-то доморощенное и с уймой ляпов/недоделок/странностей.

> Где эта ссылка?

Да фиг знает, в новостях может есть.

> Да да.. не помните о этой баге ? так можно найти даже тут обзор.

У MS извиняюсь была бага в ядре, куда эпичнее: ремотный сайт мог впарить браузеру всего лишь анимированный курсор. А вот этот курсор мог сорвать башню ядру. И выполнить код в ядре, ни много ни мало. Итого? Вы просто зашли на сайт, а у вас уже в ядре запустился эксплойт. И при этом вообще не важно какие у вас там были права. Ядру можно все.Ну и ессно работало на всем выводке виндов - от винтукея до висты. Что-то столь жестких фэйлов пингвинов, позволяющих получить ремотно kernel mode доступ я не припоминаю.

> Ой. буквально недавно была статья что Linux оказывается тоже не застрахован от этого.

Только там это почему-то считается багом и чинится. А у MS эта фича раздающая заразу не менее 7 лет считалась именно фичой. А то что у виндузятников все фотоаппараты и плееры засраны - ну... такая вот фича...

> И втыкая флэшку со специальной FS можно получить рута. Врут значит?
> Или кто-то другой тут врет?

Да почему же. Баги бывают у всех. Только вам ли после stuxnet'а заниматься членомерством? :)

> Ну да. о перепайке процесора ты уже облажался и предпочел не отвечать
> на неудобный вопрос.

Где именно я облажался? И на какой вопрос я предпочел не отвечать?

> Теперь и тут облажался :)

Как у вас все просто. Осталось еще добавить что все пи...сы, а вы в шляпе и со шпагой.


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Аноним , 17-Фев-11 08:42 
>> Не будем съезжать с темы.
> А в чем состоит ваша тема? Конкретизируйте.
>> покажите мне ссылку на репорт который 2 года назад описывал багу в
>> linux kernel - которую исправили дай бог памяти в 2.6.32, а
>> занесли в 2.6.10? А ведь такой клевый метод получения root shell был.
> Круто, круто. Повышение прав юзера у которого уже есть аккаунт.

ой. через любую дырявую веб прикладуху - и вот тебе акаунт.


> там чинят, извините, возможность ремотного поимения системы. У пингвинов ремотное поимение
> системы что-то весьма давно не попадалось. В отличие от. В винде
> вообще разделение прав и пользователей какое-то доморощенное и с уймой ляпов/недоделок/странностей.

да да. ping of death в linux где-то пол года назад.
И постоянные анонсы о дырка в софте который выполняется на linux сервере - чем не ремотная дыра?
Или в вашем понятии linux это только ядро - с может быть запущеным ssh?
нет батенька - это еще и софт который крутится на нем.

А разделение прав на основе ролей - в Windows появилось еще во времена NT 3.5. А когда ролевая модель безопастности появилась в *nix ? вобщем-то не так что бы давно - лет 5-7 назад. с появлением MAC в OS X/FreeBSD и RSBAC/Selinux в Linux.
Так кто из них простите прогрессивнее ?


> У MS извиняюсь была бага в ядре, куда эпичнее: ремотный сайт мог
> впарить браузеру всего лишь анимированный курсор. А вот этот курсор мог
> сорвать башню ядру. И выполнить код в ядре, ни много ни
> мало. Итого? Вы просто зашли на сайт, а у вас уже
> в ядре запустился эксплойт. И при этом вообще не важно какие
> у вас там были права.

Вы мыслете оооочень примолинейно :) Заходим на сайт дырявым FF в нем запускается код - который через дырку в ядре (да да - ту любимую от 2.6.10 до 2.6.22/.26 уж не помню или любую другую) - получает доступ в ядро. мало?
Тоже самое через эксплуатацию дырки в XOrg - он то от рута выполняется ?
Или после чего там стали заменять suid bit на capabilites?
и тп..


>> Ой. буквально недавно была статья что Linux оказывается тоже не застрахован от этого.
> Только там это почему-то считается багом и чинится. А у MS эта
> фича раздающая заразу не менее 7 лет считалась именно фичой. А
> то что у виндузятников все фотоаппараты и плееры засраны - ну...
> такая вот фича...

Бага? вы точно помните? А вот Freedesktop.org считает это частью спецификации на freedesktop.
так кто врет? freedestop который считает это фичей или вы который считает это багой?
Сдается мне что вы.


>> И втыкая флэшку со специальной FS можно получить рута. Врут значит?
>> Или кто-то другой тут врет?
> Да почему же. Баги бывают у всех. Только вам ли после stuxnet'а
> заниматься членомерством? :)

То есть автоматическое монтироване флэшки по втыканию уже объявлено багом?
И почему вы так снисходительно относитесь к этому - а вот если бы такое было в Windows или других OS.
уже исходили бы слюной что ламеры пишут и таких простых ошибок не заметили?
Так что стоит посмотреть в зеркало и перестать лицемерить, господин Юзер.


>> Теперь и тут облажался :)
> Как у вас все просто. Осталось еще добавить что все пи...сы, а
> вы в шляпе и со шпагой.

Не не пу..сы, просто ламер ты. Который видит свое "Я" и не видит ничего другого мнения.
Ну и лицемерия тебе не занимать - ошибки в linux это "ну бывает.. ну у всех ошибки", ошибки в других системах "ах они криворукие не могли без ошибок сделать".


"В причинах взлома IT-инфраструктуры NASDAQ попытались обвини..."
Отправлено Frank , 11-Фев-11 18:57 
Кто такой Alan Shimel? В статье совершенно не сказано, будто его знают все в лицо или хотя бы по имени. Ну и в его заметке никакого анализа я не увидел. Он всего лишь сказал "не смешите мои тапочки".