Как стало известно (http://blogs.computerworlduk.com/open-enterprise/2013/06/how...), компания Microsoft тайно сообщала спецслужбам данные об ещё не исправленных 0-day уязвимостях в Windows и Skype для их устранения до появления официальных обновлений и возможного проведения атак на компьютеры и организации слежки за другими государствами и различными компаниями.
Долгое время циркулировали слухи о наличии специальных точек входа позволяющим удалённо проникать в продукты Microsoft. Теперь поступили подтверждения, что спецслужбы США имеют доступ ко всем 0-day уязвимостям в редмондской компании задолго до их устранения, таким образом позволяя себе без особых усилий проникать на интересующий их компьютер.URL: http://blogs.computerworlduk.com/open-enterprise/2013/06/how...
Новость: http://www.opennet.me/opennews/art.shtml?num=37217
Опять политические войны будут...
эээ... а они когда-либо прекращались?
Поддерживаю!)
это правда. они шли еще тогда, когда интернета и майкрософта в помине не было.
Даже не знаю что сказать.
Упыри.
Вся эта "безопасность" фуфло оказывается.
Люди, вся безопасность может быть обеспечена только вами самими.
Да-да!
Закрывайте форточки!
Из окна дуло. Штирлиц закрыл окно. Дуло пропало.
Ай-да, молодца! Как ты ловко вспомнил всем известный анекдот!
Вот она! Школа Петросяна и Задорнова!
Ай-да, молодца! Как ты ловко поде**ул человека!
Вот она! Школа Пашки Воли и сортирного юмора!
Я вот думаю, что с закладками не всё так просто и что есть второе дно - какой-нибудь микрогипервизор военного назначения, упрятанный в чипсетах или ЦПУ. Его уж точно никак не копнуть... Даже от снятой послойно топологии толку, скорее всего, особого не будет.
Уже писали об этом, такое таки есть
Intel SMM...
> есть второе дно - какой-нибудь микрогипервизорМикрогипервизор не может проявлять продвинутую логику. Поэтому неопасен - сложный нетворкинг не потянет. А при физическом доступе серьезно настроенный индивид доступ все-таки получит. Просто потому что это сложно как-либо предотвратить.
Другое дело что есть всякие интересные вещи типа AMT/vPro в виде фирмвары BMC на мамке. И даже когда этому чуду в BIOS ставится disable, насколько реально он выключается - остается только поверить на честное слово. Совсем оно выключиться не может: BMC рулит скоростью вращения вентиляторов и прочая и поэтому не может совсем ничего не делать.
> Микрогипервизор не может проявлять продвинутую логику.
> Поэтому неопасен - сложный нетворкинг не потянет.Да ты чо!!!
Неопасен — это он погорячился.
А вот трудоёмкий, это да.Зыж
Хотя... где там больше всего из топ500 располагаются? :D
> Неопасен — это он погорячился.
> А вот трудоёмкий, это да.Ну вы что, PXE никогда не юзали. Тоже самое, только окошко открывается по спец. пакету.
Более того, в такие трояны никто логику Искусственного Интеллекта не закладывает,
обычно это tapped-сниффера, может с лёгким парсером для отлупа мусора.
Ну и по вкусу - стирание или блокирование биоса, efi, nvram.
При слишком активной логике он легко ловится по избыточной потребляемой мощности.
>Ну вы что, PXE никогда не юзали.Ха! Из 200 знакомых(программистов) найдётся 2 кто знает что это.
И 1, кто знает зачем там первые 256 байт.
Зыж
Ау! Из террабайтов слитой инфы нужно выцепить мегабайт данных (а НЕ данные и не нужны. Блобы винды у них и семих есть).
> Микрогипервизор не может проявлять продвинутую логику.Если он вшит прямо в процессор, он может располагать всей рядомлежащей логикой, предоставляемой процессором, не?
сложная логика делается с помощью программ, так как аппаратно реализовать ее очень проблематично. Поэтому процессоры предоставляют довольно низкоуровневый интерфейс (x86-совместимые монстры не в счет) к своим возможностям в виде инструкций. А программисты используя их уже и создают сложную логику.
А какие проблемы сразу литографически разметить на одном кристалле c CPU заодно и "служебный" DSP-сопроцессор, уже запрограммированный "как надо", имеющий к тому же неограниченные права? Объясните, если конечно сами не из спецслужб и не прикрываете тут своих.
Можно подумать, права основного процессора кто-то ограничивает.Знаете ли вы, что... у каждой микросхемы, произведенной в Китае, внутре неонка, которая всех широкоглазых понемногу облучает до самой страшной смерти!!!
> Можно подумать, права основного процессора кто-то ограничивает.Да вроде как нельзя было подумать, если, конечно, ты не читаешь тексты по ключевым словам. Но эта ошибка уже по стеку выше, где-то на уровне ДНК. Поправлять поздно.
Пойду повешусь...
Вы можете спасти мою погрязшую в ничтожестве личность, написав хотя бы в самых общих чертах - что такого можно запрограммировать в этом совершенно независимом и ничем не ограниченном сопроцессоре, чтобы это реально кому-то пригодилось? Желательно - так пригодилось, чтобы хоть как-то оправдывало всю эту работу.
Охотно напишу. Теоретически, запрограммировать, спрятав юнит среди миллиардов транзисторов, можно решительно всё - всё, что необходимо для шпионажа и невидимого контроля. В распоряжении подобного модуля потенциально вся мощь кристалла и обслуживающей центральный процессор периферии. Странно, что сами столь очевидных вещей не понимаете.
Так напишите, раз вам так этого хочется, не сдерживайтесь.
Потенциально и теоретически компьютер может всё - это мы все и так знаем.
> это мы все и так знаемТогда не ясно, что вас смущает.
Очевидное отсутствие хоть какой-нибудь конкретики в ваших словах.
А я обещал конкретику? Ну-ка ткните, где? И вообще, какая здесь может быть конкретика, когда в поле хардверных закладок ещё в принципе конь не валялся? Я вам честно пишу: это - как сделал бы я, если б хотел владеть миром. Точка.
Нет, вы нигде не обещали конкретики. Вы просто напыщенно балаболите о вещах, настолько же далеких от вашего понимания, насколько и от реального воплощения.
> Если он вшит прямо в процессор, он может располагать всей рядомлежащей логикой,
> предоставляемой процессором, не?Сетевой адаптер в общем случае довольно далеко. Хотя интелоский AMT как раз именно об этом. Кстати можете посмотреть протитип руткита для BMC от рутковской, он есть, даже с сорсами. Вполне эпичесекая штука :)
>> Если он вшит прямо в процессор, он может располагать всей рядомлежащей логикой,
>> предоставляемой процессором, не?
> Сетевой адаптер в общем случае довольно далеко. Хотя интелоский AMT как раз
> именно об этом. Кстати можете посмотреть протитип руткита для BMC от
> рутковской, он есть, даже с сорсами. Вполне эпичесекая штука :)интересно российские госконторы покупают матери с vPro,может должен быть мораторий от ФСБ на покупку intel или там все в доле?
Почему "только поверить на честное слово". Можно еще мониторить и фильтровать сетевые соединения снаружи.
> Почему "только поверить на честное слово". Можно еще мониторить и фильтровать сетевые
> соединения снаружи.Ботнетам, например, сто лет как не требуются входящие соединения - они успешно лазят за командами на серверы своих хозяев. И да, Вы знаете, как распарсить всё, что Windows отсылает в Редмонд?
>Ботнетам, например, сто лет как не требуются входящие соединения - они успешно лазят за командами на серверы своих хозяев.Исходящие тоже можно мониторить и фильтровать.
>И да, Вы знаете, как распарсить всё, что Windows отсылает в Редмонд?
Как парсить, не знаю. Знаю, как дропать.
> Как парсить, не знаю. Знаю, как дропать.А может тогда знаете и как обновляться, дропая?
> Исходящие тоже можно мониторить и фильтровать.
Фильтровать - это, надо понимать, просматривать и, в случае совпадения, отбрасывать. И что же с чем должно совпасть? Проблема распарсить и понять, какие данные гоняют туды-сюды. А дропнуть ума-то много не надо...
>> Как парсить, не знаю. Знаю, как дропать.
> А может тогда знаете и как обновляться, дропая?а зачем? (с ужасом) ты что, под виндой РАБОТАЕШЬ?!
Только под виндой надо обновляться?
> Только под виндой надо обновляться?я не знаю больше никакой другой системы, которая ходит за обновлениями на сервера m$.
> я не знаю больше никакой другой системы, которая ходит за обновлениями на сервера m$.А я не знаю больше никакой другой системы, окромя Винды, которая изготавливается M$.
>> Как парсить, не знаю. Знаю, как дропать.
> А может тогда знаете и как обновляться, дропая?Да, знаю.
>> Исходящие тоже можно мониторить и фильтровать.
> Фильтровать - это, надо понимать, просматривать и, в случае совпадения, отбрасывать. И
> что же с чем должно совпасть? Проблема распарсить и понять, какие
> данные гоняют туды-сюды. А дропнуть ума-то много не надо...Да можно все дропать, пускать только через прокси, лог прокси сравнивать с локальным логом.
> Да, знаю.Я все таки уточню: дропая исходящие?
> пускать только через прокси, лог прокси сравнивать с локальным логом.
И какую разницу между этими логами рассчитываете так узреть, если шпиёнский гипервизор шлёт трафф на свои же родные, редмондовские сервера?
Никаких исходящих изнутри локальной сети наружу не бывает, если сеть нормально построена.Если шпион шлет хозяину трафик святым духом мимо моих экранов, я ничего с ним поделать не смогу.
> Никаких исходящих изнутри локальной сети наружу не бывает, если сеть нормально построена.А как она с внешними подсетями тогда сообщается, если ни исходящего трафа тебе, ни ДНС запросов? Это уже не просто локальная выходит, а наглухо отрезанная сеть.
> Если шпион шлет хозяину трафик святым духом мимо моих экранов, я ничего с ним поделать не смогу.
Судя по постановке вопроса, сервисы снаружи сами догадываются, какой контент кому в вашей локалке отгружать. Не иначе как посредством святаго Духа, это втемно подмечено.
> Судя по постановке вопроса, сервисы снаружи сами догадываются, какой контент кому в
> вашей локалке отгружать. Не иначе как посредством святаго Духа, это втемно
> подмечено.причём для этого входящие соединения должны быть разрешены. и внешние сервисы вдобавок должны точно знать структуру локалки. вау. *такой* извращённой security я ещё ни разу не видел.
Слова "прокси" дон не знает? Или не понимает, что соединения от прокси - не изнутри, а с бордера сети?Хотя, откровенно говоря, такое построение сетки - хороший признак того, что в данной конторе работать не надо - скорее всего, там и все остальное так же злобно регулируется от и до.
> Слова «прокси» дон не знает? Или не понимает, что соединения от прокси
> — не изнутри, а с бордера сети?не вижу разницы. прокси тоже в локалке? да. ergo, исходящие соединения из локалки есть. а через какую точку — это уже пофигу.
Ну так на проксе можно поставить любую сколь угодно хитрую железку, которая никаким ANB стучать не будет, и фильтровать либо рубить на ней. Хоть на мипсе китайском.
а ещё до луны допрыгнуть можно. если очень постараться.
> Почему "только поверить на честное слово". Можно еще мониторитьА можно и устать ждать магические пакеты с командами, которые возможно никогда не прилетят.
> и фильтровать сетевые соединения снаружи.
А для этого надо быть как минимум в курсе такой подляны.
>А для этого надо быть как минимум в курсе такой подляны.Необязательно, достаточно что б градус паранойи победил лень.
> Необязательно, достаточно что б градус паранойи победил лень.А для этого надо мышление продвинутого админа/безопасника. И то не полная гарантия от напастей.
> какой-нибудь микрогипервизорhttp://www.rom.by/blog/Birusy_3G_--_prodolzhenie_versiya_ot_...
Ну вот, я так и знал.
Такое было, вот пруф: http://www.xakep.ru/58104
> Такое было, вот пруф: http://www.xakep.ru/58104ой, опять эта херня вылезла. когда ж она сдохнет уже?
> ой, опять эта херня вылезла. когда ж она сдохнет уже?Ну окей, если тебе не нравится этот пример, рутковска продемонстрировала нормальный такой руткит под BMC. Я тебе на него даже линку помнится давал. Нормальная такая штука, сидящая в сервисном процессоре чипсета и меняющая содержимое памяти. А из х86 это вообще не видно. Так что дыма без огня не бывает. Просто гипервизор - это глупо. А вот немного кастомная фирмвара BMC - самое оно. При том эта фирмвара проприентарная и что там запихнули - а кто его знает, а?
Открою тебе маааленький секрет: BMC - это небольшая SoC на arm/ppc/mips, зачастую с линуксом на борту. Дергает IO-выводами туда-сюда, управляя питанием, снимая показания с датчиков, работая с RS232-контроллером и в продвинутых версиях крутящая VNC-сервер, прицепленный к фреймбуферу видеопамяти.А теперь контрольный вопрос: можно ли на SoC на основе одной из популярных архитектур с линуксом на борту запустить руткит?
Подсказка: кончно, черт возьми, можно! Это очевидно любому, хоть раз в глаза BMC видевшему.
так и вижу, как сражаются друг с другом Злобный Американский Гипервизор десктопа и Весёлый Китайский Гипервизор роутера.
Аха-ха, арисыч повеселил. Пасип.
чужой против хищника, эка невидаль...
сейчас китай штампует процессоры и чипсеты - так что штаты туда ничего не могут спрятать - это специально засылаемые утки ( чтоб все очковали)
> Вся эта "безопасность" фуфло оказывается.Проснулся! Не "вся эта", а "всю дорогу у них вся эта".
Непонятно почему они просто не сделали в ПО закладки для спецслужб. Зачем эти сложности с уязвимостями?!
Ну тут объяснимо.
1. Если бы эту закладку нашли был бы скандал пипец.
2. Эта закладка была бы с неопределенным сроком действия, а 0-day работает пока патч не выпустять.
3. Очень трудно доказать что 0-day воспользовались те кому о ней рассказали, а не просто нашёл кто-то и использовал. Т.е. проникновение всегда можно свалить на хакеров и потом выпустить закладку.
4. Не надо забывать что например код винды проходит аудит в ФСБ и если бы фейсы нашли эту закладку то не дали бы сертификат. А тут вроде как и закладки нет (ошибка така #pokerface), но и кому надо получил доступ.
>2. Эта закладка была бы с неопределенным сроком действия, а 0-day работает пока патч не выпустять.0-day не работает, а существует.
Передача информации об 0-day и передача рабочих эксплойтов разные вещи.
В статье вроде как про первое.
Не нужно буквоедства, всем понятно, о чём речь.
> Не нужно буквоедства, всем понятно, о чём речь.Конечно понятно. Микрософт плохой, а линукс хороший тэчэка
Так и есть вообще-то
*nix
Раздаёшь ворам информацию, как сделать ключи к сейфам. Сами ключи не даешь. А значит, ты ни при чём.
> Передача информации об 0-day и передача рабочих эксплойтов разные вещи.И, конечно же, нанять парочку хаксоров которые быстренько накатают рабочий сплойт - совершенно невыполнимая задача для структуры с приличным объемом госбаблосов :) </sarcasm>
> 4. Не надо забывать что например код винды проходит аудит в ФСБ
> и если бы фейсы нашли эту закладку то не дали бы
> сертификат.Вот блин наивные. Вся суть в сертификации в том, чтобы убедиться что закладки таки есть, а не то что вам думается. Без закладок сертификацию не пройдет.
>> 4. Не надо забывать что например код винды проходит аудит в ФСБ
>> и если бы фейсы нашли эту закладку то не дали бы
>> сертификат.
> Вот блин наивные. Вся суть в сертификации в том, чтобы убедиться что
> закладки таки есть, а не то что вам думается. Без закладок
> сертификацию не пройдет.Не думаю что ФСБ жаждет работать на компьютерах к которым могут получить доступа спецслужбы Никарагуа.
Как ни странно, им по*уй.
Сертификацией занимаются придворные конторки, которыми владеют к ФСБшные же начальники. Есть дырявый комп, но на него есть предписание - будешь работать на дуршлаке. Патч поставил - предписание теряет силу, все нужно переаттестовывать. Там менталитет чиновника-военного в худшем его проявлении. Такая система порождает коллективную безответственность руководств при любых факапах, но создает запас стрелочников под посадку в тюрьму.
Такая система открывает обширную площадку для взаимных откатов.
> Такая система открывает обширную площадку для взаимных откатов.и это тоже, но основная цель всё-таки прикрытие жопы. никому не надо, чтобы было безопасно, надо, чтобы жопа была прикрыта.
> код винды проходит аудит в ФСБза такой аудит надо гнать ссаными тряпками всех, кто его проводит - и в фсб, и в фстэк, и всех прочих, кто жиреет на выдаче липовых сертификатов об "отсутствии недокументированных возможностей".
>> код винды проходит аудит в ФСБ
> за такой аудит надо гнать ссаными тряпками всех, кто его проводит -
> и в фсб, и в фстэк, и всех прочих, кто жиреет
> на выдаче липовых сертификатов об "отсутствии недокументированных возможностей".Опять же, они не будут реально искать 0-day, а если и найдут то не смогут предъявить ничего.
А им не надо предъявлять ничего, она просто не должна была пройти сертификацию.
> за такой аудит надо гнать ссаными тряпками всех, кто его проводит - и в фсб, и в фстэк, и всех прочихвы требуете он нашего ФСБ заниматься тестированием чужих систем ?
> вы требуете он нашего ФСБ заниматься тестированием чужих систем ?Кто мы такие, чтобы от Них -- требовать? Набери в $поисковике: фсб сертификация windows
>вы требуете он нашего ФСБ заниматься тестированием чужих систем ?Не! Как вы вообще подумали?!!
Всего лишь НЕ утечки наших данных.
Зыж
А на "их системы" нас рать.
>> код винды проходит аудит в ФСБ
> за такой аудит надо гнать ссаными тряпкамисразу видно, аудитом никогда не занимались, зато собственного мнения - вагон
Аудит кода выньды но не шкайп.
На шкайп сертификат никто не выдает, да и не выдал бы в здравом уме. Его пользователи сами ставят - ничьей сертификации не требуется.
> Аудит кода выньды но не шкайп.
> На шкайп сертификат никто не выдает, да и не выдал бы в
> здравом уме. Его пользователи сами ставят - ничьей сертификации не требуется.Вы просто не в курсе.
Skype сейчас интегрируют с коорпоративной телефонией Lync.
ну пипец!
> 4. Не надо забывать что например код винды проходит аудит в ФСБИ что, ты хочешь сказать, что в ФСБ сидят крутые профи-хакеры, которые вычитывают дикие миллионы строк кода самой винды от ядра до пасьянса и еще десятки миллионов строк всяких сбокупиложений типа офиса-мысыкуеля и подобного? Да еще на каждый патч? Тут даже тапочкам становится грустно.
> 1. Если бы эту закладку нашли был бы скандал пипец.Не скандал, а очередной скандал, т.к. уже было.
А баги в безопасности это и есть закладки. Их закрывают после обнаружения. Но тут же делают новые. Такие дела.
>Непонятно почему они просто не сделали в ПО закладки для спецслужб. Зачем эти сложности с уязвимостями?!Очевидно.
Пока о них известно только мс и цру — это закладки.
Как только известно ещё кому-нибудь — это уже уязвимости. Бывает, не доглядели.
>>Непонятно почему они просто не сделали в ПО закладки для спецслужб. Зачем эти сложности с уязвимостями?!
> Очевидно.
> Пока о них известно только мс и цру — это закладки.
> Как только известно ещё кому-нибудь — это уже уязвимости. Бывает, не доглядели.Сомневаюсь что грамотную закладку можно обнаружить без исходного кода.
Ну например на порту работает служба. И вдруг если на этот порт кинуть "дожфловджафлоджываофдылвоадфыова" откроется доступ. Догадаться о таком коде сложнее чем взломать пароль той же.
Вы не имеете ни малейшего понятия о том, как находятся уязвимости.
человек говорил об обычной закладке, а не об уязвимости. Равенство (шуточное) между закладками и уязвимостями озвучил человек постом до него
Почему же шуточное?
Есть такой вид закладок — уязвимость бай дезигн.
Плюсы — не надо перед абчественностью оправдываться.
Тем более что и патчи на эти "найденные" уязвимости телает тотже сапожник.
> Непонятно почему они просто не сделали в ПО закладки для спецслужб. Зачем эти сложности с уязвимостями?!Потому что закладку могут обнаружить. Тут вопрос ещё в чём — не были ли некоторые уязвимости созданы специально, в качестве закладок? То есть, если делать явную закладку, то есть риск её обнаружения, и в результате скандал и возможные санкции в ряде стран. А если закладка сделана под видом ошибки в программе, то её можно использовать, но к ней не придраться — просто исправят как случайно допущенную ошибку...
И ситуация показывает абсурдность сертификации ПО — операционная система от Microsoft содержала случайно или намеренно созданные уязвимости, которые могли использовать американские спецслужбы, при этом она прошла сертификацию в России... Сертификация — процедура дорогостоящая, она ограничивает использование ряда дистрибутивов Linux, в первую очередь некоммерческих, которые просто некому сертифицировать. Фактически сертификация в этой области способствует сохранению положения Windows, находящейся под контролем спецслужб США. То есть это дорогая, и при этом вредная процедура... Ну а с другой стороны, чего ждать от нынешней системы? В смысле не от операционной, а от политической. Последнюю тоже давным давно пора пофиксить...
Хе-хе-хе. Прям наглядная иллюстрация того, что M$ - мировое зло!
> Хе-хе-хе. Прям наглядная иллюстрация того, что M$ - мировое зло!Мировое зло - это капиталисты. А MS - это просто самая удачная их шутка. Кто верит в конкуренцию между кап.корпорациями, поднимите свои наивные детские ручонки.
А ты что в жаббере не появляешься?
могу и появиться
> могу и появитьсяУ тебя сервер на домене .rs или я тебя с кем-то путаю?
Ну я верю, давай, докажи свою теорию заговора, балабол.
>> Хе-хе-хе. Прям наглядная иллюстрация того, что M$ - мировое зло!
> Мировое зло - это капиталисты. А MS - это просто самая удачная
> их шутка. Кто верит в конкуренцию между кап.корпорациями, поднимите свои наивные
> детские ручонки.Это ты про тех капиталистов, что написали 95% Linux ?
> Это ты про тех капиталистов, что написали 95% Linux ?Менее половины.
>> Это ты про тех капиталистов, что написали 95% Linux ?
> Менее половины.
>>> Это ты про тех капиталистов, что написали 95% Linux ?А анархистов, коммунистов и чучхеистов, работающих на "корпорации", вычел?? Из 43.1%?
:1
>> Менее половины.
> www.pcweek.ru/foss/article/detail.php?ID=109200abm@novy:~$ egrep -o '[0-9]+,[0-9]+'|awk '{sub(",",".");s+=$0}END{print s}'
1) Red Hat -- 11,2%;
2) Novell -- 8,9%;
3) IBM -- 8,3%;
4) Intel -- 4,1%;
5) LF -- 3,5%;
6) SGI -- 2,0%;
7) MIPS Technology -- 1,6%;
8) Oracle -- 1,3%;
9) MontaVista -- 1,2%;
10) Lintronix -- 1,0%.
43.1GOTO 1
>>>> Это ты про тех капиталистов, что написали 95% Linux ?
> А анархистов, коммунистов и чучхеистов, работающих на "корпорации", вычел?? Из 43.1%?
> :1
>>> Менее половины.
>> www.pcweek.ru/foss/article/detail.php?ID=109200
> abm@novy:~$ egrep -o '[0-9]+,[0-9]+'|awk '{sub(",",".");s+=$0}END{print s}'Ссылку читать некогда ? Чукча не читатель, чукча писатель ?
Может все-таки не капиталисты виноваты, а монополисты? Как стать монополистом? - ограничить конкуренцию. Что ограничивает конкуренцию? - законы(копирайт, патенты, лицензии и др). Кто издает законы и следит за их исполнением?
Да кому они надо - есть же линукс
> Да кому они надо - есть же линуксДумаешь в RedHat такого нет ? Американская компания если что.
Ставь центос, исходники открыты - ищи закладки на-здоровье
достаточно посмотреть как в ядре linux находят дыры которым по 3-4 года... Думаете это была не закладка?
Просьба отложить устранение уязвимости за $$$к долларов от АНБ
> Думаете это была не закладка?А, погоди, так это спецслужбы до фряхи дорвались? http://www.opennet.me/opennews/art.shtml?num=37206
Может и закладка. может и не заметили.
А вот вы откуда знаете что дыре 4 года?
В линуксе можно при небольшом желании отследить кто и когда закомитил код вносящий уязвимость. Тут тебе и исходники, и системы контроля версий, и системы учета ошибок.У мс же - такое можно провести лишь теоретически. И сколько реально там дыры не закрываются - остается догадываться. Вероятнее всего закрывать начинют когда инфа о дыре попадает в паблик. Ну или чуть раньше)
Кстати изредка проскакивают уязвимости где винНТ - вин7 подвержены атаке.
И да. Не стоит искать злой умысел там, где все объясняется простой глупостью
Соглашении об первоочередном уведомлении какого либо агентства уровня ЦРУ/АНБ об обнаружении 0day уязвимостей заключается не в исходниках.Но вы ищите да.
> Да кому они надо..Ты не поверишь!!
> Ты не поверишь!!надо и привыкло разные слова
> надо и привыкло разные словаРасскажите об этом фотографам, дизайнерам, музыкантам, архитекторам.. этот список воистину может быть бесконечен. А кому покодить, посидеть фконтактике, музычка-киношечки - Линукс вполне для этого подходит.
> Расскажите об этом фотографам,А что рассказывать? Софта для работы с RAW, HDR, панорамами - навалом. Под линукс, ага. Не скажу насчет профессиональной печати транспарантов 3х4 метра, но на уровне хорошего любителя/полупрофи в линуксе с фото работать можно.
> дизайнерам, музыкантам, архитекторам..
Между прочим, под линукс есть и CADы и музыкальный софт. Внезапно, правда? Бедный клозетт никак не может взять в толк что на винде мир не заканчивается.
Вон только недавно Ardour релизнулся. Весьма мощная штука, кстати. Я этим микроскопом вообще гвоздь забил, прилепив к видео аудиотрек. Хоть это и странно делать из DAW, но раз оно так умеет - замечательно :)
> на уровне хорошего любителя/полупрофи в линуксе с фото работать можно.Так как насчёт работы? Профессиональной. Линукс-демагог вы мой обыкновенный.
Ardour - для звукосведения, а не для сочинения музыки.
Спорить со свиньями в апельсинах бессмысленно, поэтому у меня всё.
> Так как насчёт работы? Профессиональной. Линукс-дeмагог вы мой обыкновенный.Ну вот так. Я там мелкую эмбедовку всякую програмлю, например. А почему нет? GCC генерит довольно неплохой код для ARM, AVR и MSP430, редакторов как грязи, даже CAD тематический есть, вполне юзабельный - KiCad. Это вы тут какашками на форуме истекаете о том как все плохо, блаблабла.
Как по мне - сами жpите все эти ваши восьмерочки. А мне совершенно не уперся 27-дюймовый "типа, планшет" из моего писюка. Пусть упoрыши из майкрософта сами такие "планшеты" юзают. Дepьмовый планшет и дepьмовый десктоп - два в одном.
Как планшет оно не катит т.к. десктопные программы юзать на планшете крайне неудобно и основной плюс винды превращается в лeбeдиную песню. Как десктоп это неудобно юзать потому что yeбaнизировано под планшеты. Вываливающийся на весь десктоп метрокрап? Бессмысленно и беспощадно. На планшете это может и сошло за main menu, пальцами тыкать. На десктопе от него только гeмор один.
Я конечно понимаю что глядя на эппл денег хочется. Но это не значит что из писюка получится планшет, а те кто пользуется писюками - станут послушными сeктaнтами "как у джоббса, только у баллмера". Майкрософт пoртaчит по максимуму - для меня их системы стали вообще неюзабельны :)
> Ardour - для звукосведения, а не для сочинения музыки.
Ну спасибо, Капитан. Только хорошая тулза для сведения тоже нужна тем кто со звуком работает. Не, я не спорю, каким-нибудь 0.5% особо невезучих автокадчиков придется жрaть все oтpыжки майкрософта, раз уж вляпались. Но это, к счастью, не мои проблемы.
> Спорить со cвиньями в апельсинах бессмысленно, поэтому у меня всё.
Вот и прoвaливайте. Win8 я видел, спасибо. Такое сами жpите.
Вылезай уже из клозета-то.
Да пнх просто.
> Да пнх просто.тоже вариант. иди-иди.
Чмошники, ля! Жрите заусенцы своего перекормленного куриного бога. Всё, ушёл. Бесите, тупезни!
> Всё, ушёл.не верю. ты же лох, поэтому ты и дальше будешь сюда приходить и пытаться делать вид, что ты на самом деле не лох, а Реально Крутой Пацан.
> Бесите, тупезни!
это хорошо.
> это хорошо.Действительно :). Пусть НеЛох(тм) побесится. Заодно НеЛох может почитать EULA у своей любимой проприетарщины и потом бурно слать смс о том какой он там не лох по этим условиям :). А как по мне - на фоне типовой EULA от MS - даже GPLv3/AGPL/... покажется очень мягкой, белой и пушистой лицензией :P.
Как минимум мне их условия выполнить явно проще чем требования микрософтовских EULA которые по сути прямым тесктом сообщают что "удобной работы в нашей системе тебе не видать, гражданин! Не имеешь права!"
> Чмoшники, ля! Жрите заусенцы своего перекормленного куриного бога. Всё, ушёл. Бесите, тупезни!Вот и вaли жрать свои проприетарные блобы на зверских условиях. Если тебе нравится это садо-мазо - флаг в руки и барабан на шею. И электричку навстречу, разумеется.
> Расскажите об этом фотографам, дизайнерам, музыкантам, архитекторам.. этот список воистину может быть бесконечен.Которые платят миллионы за приложения windows, а хотят, чтобы нужное появилось под linux/*nix? Скажу, что они дурачки. Кому реально нужно - те берут и создают, помогая либо разработками, либо деньгами. Те, кто до конца жизни хотят мучаться с проблемами и полностью зависеть от хозяина, просто имеют врождённую любовь к мазохизму, и с этим - к доктору.
>> Расскажите об этом фотографам, дизайнерам, музыкантам, архитекторам.. этот список воистину может быть бесконечен.
> Которые платят миллионы за приложения windows, а хотят, чтобы нужное появилось под
> linux/*nix? Скажу, что они дурачки. Кому реально нужно - те берут
> и создают, помогая либо разработками, либо деньгами. Те, кто до конца
> жизни хотят мучаться с проблемами и полностью зависеть от хозяина, просто
> имеют врождённую любовь к мазохизму, и с этим - к доктору.Да будет тебе известно, толстый. Садизм и мазохизм года три как признали нормой и ВОЗ исключила их из списка заболеваний. :)))))))))))
Не зря я загородил Skype AppArmor-ом (ну нет у собеседников SIP, постепенно перетягиваю, но до победы ещё далеко, особенно при такой фрагментированности). Хотя теперь уже даже с AppArmor-ом страшновато.
А нахрена скайпу аппармор? Он все равно не защитит от чтения твоих разговоров. Их читают службы и так прекрасно. Речь идет о Редмонде и всей ее продукции.По сабжу: не удивлен ибо всегда был уверен, что у них не может не быть спецом написанных бэкдоров.
> А нахрена скайпу аппармор?Как это зачем? Чтобы он не смог читать то, что вводится в соседнем окне Либры, например.
Есть даже мануал, как это сделать половчее. В Гулге на счёт раз.
> А нахрена скайпу аппармор? Он все равно не защитит от чтения твоих
> разговоров.На лоре топик где-то был в Security, спалили, что скайп зачем-то проводил чтение файлов, которые ему, в общем-то, не нужны.
Была ещё новость на /.
Вот ещё с реддита: http://www.reddit.com/r/privacy/comments/1fxgf0/skypeware_ns.../
См. скриншоты.
> Не зря я загородил Skype AppArmor-омЕсли ты заткнешь доступ к вебкаму и микрофону - то как ты им будешь пользоваться? А если не заткнешь - то смысл то? Шпионить оно и так сможет :)
Хм, кстати, хорошая мысль - заткнуть ему доступ к устройствам и выдавать только если надо. Я, правда, не знаток арморов - но полагаю, что сложность этого действа будет не слишком большая.
> что сложность этого действа будет не слишком большая.Нет, спору нет - можно ему это зарубить, только вот как им потом пользоваться? Проще, извиняюсь, снести untrusted троянец нафиг.
ну как - хочешь позвонить или ответить на звонок - врубаешь доступ. Поговорил - отключил. Потому что лично я от скайпа не избавлюсь в ближайшем будущем - корп. стандарт плюс клиенты на нем.
> ну как - хочешь позвонить или ответить на звонок - врубаешь доступ.
> Поговорил - отключил.Проснулся-вздрогнул среди ночи -- включил доступ, послушал. Никто не звонит, уф, показалось. И дальше спать -- счастливый, главное-то Безопасность. </и забыл сделать что?></риторический таг>
Я правда не понял проблемы. Ну ткнул лишнюю команду перед подъемом трубки или вызовом. Секундное дело, в принципе.То есть в дефолте у юзера нет прав на доступ к камере (тупо в dev для соответствующего устройства права убирать), а для микрофона - либо альза-плагин, либо пульсом рубить.
на ноутах надо шторку для камеры делать и драйвер одноприложенный.)) и микрофон так же.
> на ноутах надо шторку для камеры делатьТак раньше делали, потом резко перестали.
Как бы после войны в Югаславии и эпичного восьмичасового простоя Лондонской фондовой биржи всё стало и так понятно... :)
А Open Source здесь притом что...
...в нём всё не так. есть hardened. есть исходники. можно заказать аудит. можно патчить самому.
Кому выгодно делать такие капитанские откровения?
> Кому выгодно делать такие капитанские откровения?Тебе и Ораклу! Отвлекаете внимание общественности от еженедельных 40 дыр я джавве. </заговор раскрыт>
Давно пора уходит от винды в госучреждениях, в первую очередь силовых. Очень удивлюсь если в винде не окажется закладок.
> Давно пора уходит от винды в госучреждениях, в первую очередь силовых. Очень
> удивлюсь если в винде не окажется закладок.Так в статье прямо написано что есть. Не закладки, но дыры. С т.з. АНБ - это один хер: что одно дает доступ, что другое.
> т.з. АНБ - это один хер: что одно дает доступ, что
> другое.С т.з. АНБ дыряв-бай-дизигн намного проще, дешевле и технологичнее -- доступы сами сыпятся с куста, никаких телом движений не надо. Технологии Майкрософт!
MS потратила много миллиардов долларов, чтобы купить скайп и уничтожить все его конкурентные преимущества. Lolwut
Просто крик души! И какие такие "конкурентные преимущества" они в нём уничтожили?
> Просто крик души! И какие такие "конкурентные преимущества" они в нём уничтожили?P2P
Хабражелтизна на Opennet?! Надеюсь хоть на ЛОРе дальше толксов не уйдёт...
и что из этого является открытым? какого дьявола новость о том, что проприетарщики в очередной раз обосрались, делает на опеннете? в новости ни одной открытой технологии не фигурирует.
Предупреждён значит вооружён. Или как-то так.
> Предупреждён значит вооружён. Или как-то так.слушайте, а почему тогда про развод крабэ новости не было?
опеннет всё-таки новостной портал об *открытых технологиях*. каким боком именно эта новость касается открытых технологий? ей если и место где, то на каком-нибудь security-портале.
> каким боком именно эта новость касается открытых технологий?Ну как каким? Если проприетарщики обоср@лись - логично же потанцевать на их могилке.
Это новость про двух Больших Друзей опен-сорса: Microsoft и NSA. Очевидно же!
открытые дыры форточек и selinux с собратьями
> и что из этого является открытым?Это пост в поддержку использования открытого ПО - прозрачно намекают что с проприерастами лучше не связываться :)
опеннет это центр баттхерта по микрософту, поэтому новость здесь на своем месте
опеннет это (в том числе) центр лулзов над микрософтом и наивными хомячками, которые юзают его "продукцию", поэтому новость здесь на своем месте//fixed, не благодари
> опеннет это центр баттхерта по микрософтуты забыл добавить: «для m$-ботов». они же сюда как на работу ходят. хотя постой… почему «как»? на работу и ходят.
> опеннет это центр баттхерта по микрософту, поэтому новость здесь на своем местеЗдорóво, лох^Wпартнёр! Сессию сдал?
А можить и в дебьяне тоже есть такие штучки?
Или в гугле.
> Или в гугле.В геноме! </не гневи>
> А можить и в дебьяне тоже есть такие штучки?Ага. Публичный багтрекер называется ;-) Доступ имеет и NSA в том числе.
Везде есть. Китай тоже не отстаёт. А чего ждали? Чтоб заклятые друзья честно и бескорыстно не доили там где доится?
вот эти бэкдоры, там есть на солярку, опенбсд, фряху, мак
Установка скрытых протоколы передачи при наличие на сервере запускаемого бэкдора
http://www.nullsecurity.net/tools/backdoor.html
Все это говорит, что идея закрытого ПО исчерпала себя. Свободные люди должны использовать открытое ПО все остальное тотальный контроль и путь рабства.
> должны использовать открытое ПОМайкрософт и NSA уже там. Теперь и ФСБ почешется.
> все остальное тотальный контроль и путь рабства.
Омские линуксоиды не удивлены.
печально все это :(
> печально все это :(Пойдем, спрыгнем с крыши по этому поводу? Пичалька, мировая скорбь!
>> печально все это :(
> Пойдем, спрыгнем с крыши по этому поводу? Пичалька, мировая скорбь!давай. ты первый, чтобы можно было рассмотреть правильный способ и не ошибиться.
На opennet неделя желтой прессы? memtest86+ 5.0 и это. 0-day поиск по пруфу не дал результата.
В настоящий момент мы наблюдаем в России как спецслужбы будут использовать информационную ситуацию вокруг АНБ и американских компаний в своих интересах: охота на ведьм началась...
> ситуацию вокруг АНБ и американских компаний в своих интересах: охота на
> ведьм началась...Ну да, вчера на первом канале был праздник. Неделю вряд протянут -- _трупов мало.
+++Loose lips sikl ships.
В этом году был отчет Касперского под названием Операция Красный октябрь.
Да, не пойман не вор, ага. Человек никогда ничего не делает просто так. Постарайтесь тогда объяснить зачем сливается инфа о закладках спецслужбам? Просто чтоб было? Были бы все такие близорукие - был бы ужас.У меня, в стене дома есть технологическое отверстие. Я никогда не видел, что через это отверстие кто то проникал и вообще не знаю зачем оно, так что пойду ка я спать, ведь фактов проникновения нет.
можно подумать они лезут к каждому... у 90% сидящих тут они смогут замониторить только как те играют в танки или дотан/лолец.
> можно подумать они лезут к каждому...Какая разница, куда и к кому, главное, что лезут.
> Какая разница, куда и к кому, главное, что лезут.при желании залезут куда угодно, а если надо, то применят терморектальный краптоанализ.
> у 90% сидящих тут они смогут
> замониторить только как те играют в танки или дотан/лолец.А, и это, ты сайтом ошибся.
да лаааадно, ошибся ))))))
> да лаааадно, ошибся ))))))да точно
Провокационный вопрос: откуда мы знаем, что такая же инфа не сливается, например в Debian, BSD и так далее?
Оттуда, что открытые исходники имеет возможность просматривать куда большее количество народу, оттуда, что разработка свободного софта очень часто международная и многие разработчики это самое АНБ с его хотелками на компиляторе вертели, оттуда, что информация об уязвимостях появляется без многодневного, а то и многомесячного лага, как и фиксы к этим уязвимостям. Т.е. какой-то отдельный плохиш за банку варенья и корзину печенья может слить информацию о только что им обнаруженной, а то и лично закоденной уязвимости, но если её обнаружит кто-то ещё — какова вероятность, что этот кто-то будет молчать? А наткнуться может кто угодно — исходники открыты, разработка активно ведётся. Да и плохишу после такого никто руки не подаст и ни строчки его кода в апстрим не возьмёт, MS же в аналогичной ситуации ещё и премию плохишу выпишет за своевременное исполнение распоряжений начальства.
Схема такая.
1. Собираем инфу на всех кто комитил в интересные части GNU/Linux(нах ядро, небольшая популярная софтина хорошо подойдет, лишь бы извне можно было достучаться)
2. Накопали - взяли за жп. Не накопали - денег предложили.
3. Идут комиты, пишется полезный функционал, но с багами. Ну пропустил переполнение буфера при таких-то входных данных. Можно ведь и очень тонко делать. Находят же уязвимости - эксплоит - та еще многоходовка.Никто не застрахован)
Получается, выход - тотальное огораживание всего от вся, наподобие ОС Qubes.
В Андроиде тоже ничего так песочница сделана. Кто мешал MS предусмотреть подобное в W8 -- лично для меня загадка.
я правда так и не понял - почему в прошедшем времени: "Microsoft тайно сообщала спецслужбам о неисправленных уязвимостях в Windows и Skype"...
>blogs.computerworlduk.com
>blogsКакая желтизна.