|
2.6, anonymus (?), 20:10, 23/11/2010 [^] [^^] [^^^] [ответить]
| –2 +/– |
Ну какбэ намекают ребятам что заканчивали издеваться над трупом и всей компанией шли пилить Wayland
| |
|
1.3, Аноним (-), 19:34, 23/11/2010 [ответить] [﹢﹢﹢] [ · · · ]
| +6 +/– |
>В списке рассылки разработчиков X.Org разбирается странный инцидент
Смело меняйте "странный" на "страшный"! :)
| |
|
2.8, User294 (ok), 20:43, 23/11/2010 [^] [^^] [^^^] [ответить]
| –5 +/– |
> Смело меняйте "странный" на "страшный"! :)
Жить вообще страшно. Например, вы только представьте себе, никто не гарантирует вам что вас завтра не задавит камаз, что с крыши не свалится кирпич, что вы не провалитесь в колодец с кипятком и прочая. Так что не щелкайте клювами - жизнь полна сюрпризов! И даже за пределами GIT репов :)
| |
|
|
4.36, User294 (ok), 14:28, 24/11/2010 [^] [^^] [^^^] [ответить]
| +/– |
> Кирпич с крыши уже не модно,
Да, нынче в моде литрбол. Пустые бутылки ессно летят прямо из окна. И никого не волнует - идете вы там или нет. Сами свою черепушку берегите, фигли. А кирпичи в случае древних домов могут отвалиться в силу более естественных причин. В том числе и на вашу черепушку, опять же.
К чему это я? Да к тому что неплохо бы смотреть куда прешься и что получаешь. Если вы из гита что-то получаете и вдруг видите что поменялось эн файлов - хорошо бы чтобы вы еще и понимали "а нафига эти файлы поменяли?". Ну или нафига бы вы из гита что-то сливаете вообще?
| |
|
|
2.52, Andrey Mitrofanov (?), 10:53, 25/11/2010 [^] [^^] [^^^] [ответить]
| +/– |
>>В списке рассылки разработчиков X.Org разбирается странный инцидент
> Смело меняйте "странный" на "страшный"! :)
Не-а. Меняйте на "всем пофиг".
В git-е все файлы числятся по SHA1 _сжатого содержимого. Пусть енти "кульхацкеры" сначала позаботятся о том, чтобы _размер_ (хотя нет, он уже внутри объекта, вроде, хранится...) & SHA1 _сжатого_ файла (объекта git, если точнее) совпал с оригиналом, пото-о-ом уж можно пугаться. И да, все в курсе, что SHA1 был-типа взломан, но для данного случая его более чем достаточно.
| |
|
1.4, xxx (??), 19:47, 23/11/2010 [ответить] [﹢﹢﹢] [ · · · ]
| +9 +/– |
>Злоумышленники внесли изменение в Git-репозиторий проекта X.Org
Уууу, так давно уже, они там каждый день что-то вносят.
| |
|
2.11, анон (?), 21:06, 23/11/2010 [^] [^^] [^^^] [ответить]
| –3 +/– |
У америкосов совершенно нет вкуса. Цитаты из фантастического телемыла - уровень средней школы.
Так что пусть лучше будет Zed - он доставляет.
| |
|
1.10, гы (?), 20:45, 23/11/2010 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Ну, hooks/post-commit надо мониторить tripware .......
стандартная ошибка
| |
|
2.13, paxuser (ok), 21:12, 23/11/2010 [^] [^^] [^^^] [ответить]
| +/– |
> Ну, hooks/post-commit надо мониторить tripware .......
> стандартная ошибка
А полагаться на tripwire для защиты от взломщика с root-доступом - это...
| |
|
3.18, Петрович (?), 22:19, 23/11/2010 [^] [^^] [^^^] [ответить]
| +1 +/– |
Видимо вы не знаете, что такое tripwire... в общем-то, это одно из основных его применений. Без наличия ключа невозможно перегенерировать базу сигнатур.
| |
|
4.22, paxuser (ok), 01:56, 24/11/2010 [^] [^^] [^^^] [ответить]
| –1 +/– |
> Видимо вы не знаете, что такое tripwire... в общем-то, это одно из
Ну конечно, куда мне...
> основных его применений. Без наличия ключа невозможно перегенерировать базу сигнатур.
Tripwire и аналоги полезны для "холодного" анализа данных на заведомо чистой системе. В остальных случаях есть масса "но".
| |
|
5.32, ххх (?), 10:51, 24/11/2010 [^] [^^] [^^^] [ответить]
| +2 +/– |
может сразу и объясните тогда страждующим что за масса "но"?
| |
|
6.39, paxuser (ok), 18:15, 24/11/2010 [^] [^^] [^^^] [ответить]
| +1 +/– |
Если проверять целостность файлов прямо на сервере, то результат проверок может быть подтасован атакующим посредством руткита, подмены tripwire или его библиотек, с помощью ptrace или рантайм-врапперов вокруг прокси-функций системных вызовов в glibc, а также посредством запуска tripwire в изолированном окружении, имитирующем исходное (chroot в снэпшот ФС). Иными словами: да мало ли, как.
Если получать файлы с сервера (например, через git или сетевую ФС), взломщик может организовать условную передачу разных файлов по одним и тем же URI на своё усмотрение.
Традиционные возражения тут сводятся к сложности подобного контроля над системой. Но люди не понимают, что взломщики на месте не сидят и уже давно автоматизируют свой инструментарий (в том числе на базе коммерческих фреймворков).
Махинации с часто изменяемыми файлами, не подлежащими контролю целостности, тоже возможны на уровне хранилища того же git, и нет никаких гарантий, что такие изменения заметит кто-либо из разработчиков, поскольку они обновляют свои репо на основании истории последних изменений, и если взломщик изменил старые файлы, они уйдут только в новые клоны и релизные архивы, собранные из нового клона или из основного скомпрометированного репозитория - то есть, к конечным пользователям в том числе.
| |
|
7.44, ананим (?), 19:43, 24/11/2010 [^] [^^] [^^^] [ответить]
| –1 +/– |
в общем написать "был не прав" вам было бы гораздо короче.
а аргументы просты - ветка давно уже дохлая (привет часто изменяемым файлам), руткита не было (а от них есть и другие средства), взлома, подмены или воровства ключей тоже.
| |
|
8.47, paxuser (ok), 21:19, 24/11/2010 [^] [^^] [^^^] [ответить] | –1 +/– | Короче, но неправда Вы либо невнимательно читали, что я написал, либо не поняли... текст свёрнут, показать | |
|
9.53, ананим (?), 10:54, 25/11/2010 [^] [^^] [^^^] [ответить] | +/– | правда которые не имееют отношения к разговору, и которые не мешают использоват... текст свёрнут, показать | |
|
|
7.46, Полностью Анонимный Аноним (?), 21:05, 24/11/2010 [^] [^^] [^^^] [ответить]
| +/– |
> Традиционные возражения тут сводятся к сложности подобного контроля над системой. Но люди не понимают, что взломщики на месте не сидят и уже давно автоматизируют свой инструментарий (в том числе на базе коммерческих фреймворков).
и чем тогда проверять целостность системы???? если не tripwire или его аналогами
| |
|
8.48, paxuser (ok), 21:30, 24/11/2010 [^] [^^] [^^^] [ответить] | –1 +/– | Можно и tripwire проверять, в надежде, что взломщик упустит это из виду и обнару... текст свёрнут, показать | |
|
|
|
|
|
|
|
1.12, Аноним (-), 21:07, 23/11/2010 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
В том, что безопасности и контроля много не бывает, в который раз убедились и разработчики X.Org.
| |
|
2.14, paxuser (ok), 21:18, 23/11/2010 [^] [^^] [^^^] [ответить]
| +/– |
> В том, что безопасности и контроля много не бывает, в который раз
> убедились и разработчики X.Org.
Думаю, что не убедились. Кто-то заменил одни файлы на другие, безобидные. Вред нанесён минимальный, демонстрация слабости защиты неубедительна. Подобные и даже более серьёзные инциденты уже случались в истории других проектов, и никаких существенных предупредительных мер принято не было.
| |
|
3.23, Аноним (-), 02:23, 24/11/2010 [^] [^^] [^^^] [ответить]
| +/– |
Если принятые меры широко не анонсировались, то не факт, что они не были приняты.
Меня каждый раз обуревает паранойя на неделю, когда появляются малейшие подозрения на получение сколь-либо серьезных привилегий на рабочих серверах.
| |
|
4.24, paxuser (ok), 02:41, 24/11/2010 [^] [^^] [^^^] [ответить]
| +/– |
> Если принятые меры широко не анонсировались, то не факт, что они не
> были приняты.
Не факт, но прецеденты уверенности не вселяют. Например, после взлома сервера с репозиторием OpenBSD какие-то адекватные меры, возможно, были приняты без анонсов - тут сказать сложно. А вот когда в репозитории RHEL появились пакеты OpenSSH с трояном, и ключи для подписи обновлены не были, то и без анонсов всё ясно.
| |
|
5.37, User294 (ok), 14:30, 24/11/2010 [^] [^^] [^^^] [ответить]
| +/– |
Много слов а развязка оказалась проще. И, кстати, как вы себе представляете защиту от легитимного рута? oO
| |
|
6.40, paxuser (ok), 18:26, 24/11/2010 [^] [^^] [^^^] [ответить]
| +/– |
> Много слов а развязка оказалась проще. И, кстати, как вы себе представляете
Развязка чего? Инцидента на fd.o, о причинах и деталях которого я не спекулировал? Или упомянутых инцидентов с RHEL и OpenBSD?
> защиту от легитимного рута? oO
А вот кстати хорошо представляю. SELinux и RBAC в Grsecurity (а также другие системы, с которыми я не знаком) позволяют произвольно ограничивать рута в правах до вторичной авторизации в MAC-системе. В случае с Grsecurity и PaX, даже ядро может быть неплохо защищено от взломщика с частичным доступом к привилегированным code paths.
| |
|
|
|
3.28, vkni (?), 07:25, 24/11/2010 [^] [^^] [^^^] [ответить]
| –1 +/– |
> Думаю, что не убедились. Кто-то заменил одни файлы на другие, безобидные. Вред
> нанесён минимальный, демонстрация слабости защиты неубедительна.
Представьте, кто-нибудь сделал что-то подобное с Виндами. А ведь Хы всего лишь раз в 50 менее распространены, чем WinXP.
| |
|
4.33, Аноним (-), 11:03, 24/11/2010 [^] [^^] [^^^] [ответить]
| +/– |
> Представьте, кто-нибудь сделал что-то подобное с Виндами.
Фишка в том, что мы об этом вряд ли узнаем.
| |
|
5.42, Vkni (?), 18:49, 24/11/2010 [^] [^^] [^^^] [ответить]
| +/– |
> Фишка в том, что мы об этом вряд ли узнаем.
Зато когда подобное узнаём, все неделю на ушах стоят!
| |
5.43, Vkni (?), 18:50, 24/11/2010 [^] [^^] [^^^] [ответить]
| +/– |
> Фишка в том, что мы об этом вряд ли узнаем.
Если мне память неизменяет, уже подобное в СМИ просачивалось. Лет 5-10 назад.
| |
|
|
|
2.15, 568756784 (?), 21:20, 23/11/2010 [^] [^^] [^^^] [ответить]
| +/– |
бывает, и очень часто. другое дело, что ТОЛКУ от безопасности и контроля много не бывает, это да...
| |
|
1.20, Сергей (??), 23:37, 23/11/2010 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
А вот что именно сделал этот нехороший человек, почему то умалчивается...
| |
1.25, Вася (??), 03:50, 24/11/2010 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– |
Какой то детский лепет "неизвестный злоумышленник внес изменение". У них что там пароль root-а кроме admin-а знает еще кто-то ?
| |
|
2.26, анонимм (?), 04:38, 24/11/2010 [^] [^^] [^^^] [ответить]
| +7 +/– |
>У них что там пароль root-а кроме admin-а знает еще кто-то ?
Да, хакер.
Взламывает сервера, портит документы, ворует сигареты и мочится мимо унитаза.
| |
2.27, vkni (?), 07:23, 24/11/2010 [^] [^^] [^^^] [ответить]
| +/– |
> Какой то детский лепет "неизвестный злоумышленник внес изменение". У них что там
> пароль root-а кроме admin-а знает еще кто-то ?
Судя по тому, что этот кадр якобы заблокировал себе доступ - наверняка остался кто-то с паролем root'а. В общем, история феерическая, несколько объясняющая то, что творится с Хами.
| |
|
|
4.41, Vkni (?), 18:48, 24/11/2010 [^] [^^] [^^^] [ответить]
| +/– |
А какая разница? Всё равно несколько человек могут зайти под root. ;-)
| |
|
|
|
1.38, Wormik (ok), 16:19, 24/11/2010 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
Ну и кто там врал что иксы не развиваются? Все развивается, и регулярно появляются новые версии
| |
|
2.45, Анонимукс (?), 20:24, 24/11/2010 [^] [^^] [^^^] [ответить]
| +/– |
Да уж, развивается :)
Исходников в три раза больше чем в ядре линукса, по сути это уже стала этакая "операционная система" - девайсы вон детектит например. Параллельно с ядром. Ну мешают они друг другу иногда, что поделаешь, пустяки, не правда ли?
Закапывать пора, оно уже никуда не ползёт...
| |
|
|