bezpecnost

Sekcia: Ostatné 07.06.2010 | 19:59
Radovan   Návštevník
Plati to aj pre nas Linux ?

Chyba sa nachádza na všetkých podporovaných operačných systémoch...
http://www.dsl.skarticle.php?article=9271
    • Re: bezpecnost 07.06.2010 | 21:35
      WlaSaTy   Návštevník
      Vzhľadom na to, že flash a pdf sa interpretujú pomocou byte-kódu, tak je reálna šanca že tieto uzavreté produkty nakazia danou chybou nielen segment osobných počítačov, ale aj chytrých telefónov a počítačov do dlane. A je jedno či sa jedná o systém Windows 7, Vista, Linux, Android, Limo Maemo či Windows Mobile.

      Toto je daň za používanie uzavretých produktov. A otázkou je či sa dajú OSS programy schopné nahradiť tieto uzavreté programy alternatívami.

      • Re: bezpecnost 07.06.2010 | 21:39
        Avatar Stanislav Hoferek Greenie, Manjaro, Q4OS, Lubuntu  Používateľ
        len tak medzi recou, je nejaka alternativa ku PDF?
        • Re: bezpecnost 07.06.2010 | 21:47
          Avatar borg Arch, Debian jessie  Administrátor
          pdf nie je uzavrety format.
          • Re: bezpecnost 07.06.2010 | 22:44
            WlaSaTy   Návštevník
            Keby Adobe plne otvorilo ten formát, tak už majú zdarma zaplátanú túto chybu. Ale, je to ich marketingová politika a mňa je do toho s prepáčením prd. Teda do ich produktov ktoré sa u mňa nedajú ani nainštalovať.
            • Re: bezpecnost 07.06.2010 | 22:51
              Avatar borg Arch, Debian jessie  Administrátor
              nic ti nebrani zobrat specifikaciu a implementovat pdf svojim sposobom.
              • Re: bezpecnost 08.06.2010 | 00:00
                WlaSaTy   Návštevník
                No, ja som nevedel že tá špecifikácia bola __uvoľnená bez výnimiek. Medzi uvoľnením špecifikácie a reverse engineeringom sa obvykle vyskytuje jeden malý škriatok. Volajú ho zmena vo formáte a prejavuje sa aj tak, ako je písané v odkaze na ktorý sa pýtal zadávateľ pôvodnej otázky.

                Ale, to je už naozaj na dlhé povedačky, namiesto uspávanky.
                • Re: bezpecnost 08.06.2010 | 00:14
                  Avatar borg Arch, Debian jessie  Administrátor
                  trepes a zbytocne sa rozpisujes...
                • Re: bezpecnost 08.06.2010 | 00:17
                  Avatar m4jkl   Používateľ
                  popravde nechapem tuto diskusiu o formatoch. ten format s tym nema nic spolocne. chyba je v programoch, ktore s tym formatom pracuju. cize ak clovek otvara pdf cez evince, tak by sa nemalo nic stat (lebo pochybujem, ze evince vyuziva proprietarne kniznice od adobe. hned aj keby boli v systeme :)
                  • Re: bezpecnost 08.06.2010 | 00:30
                    WlaSaTy   Návštevník
                    Ano, chyba bola v implementacii, nie vo formate. Bez ohladu na to ako malo sa z toho formatu zverejnilo vyrobcom.

                    Inak, cakal som ze sa po zodpovedani otazky vyskytne nejaky troll, a nesklamal som sa. Ihned po zodpovedani.
                    • Re: bezpecnost 08.06.2010 | 00:34
                      Avatar borg Arch, Debian jessie  Administrátor
                      komplet specifikacia PDF sa vyskytuje na stranke vyrobcu, trolluj dalej.
                      • Re: bezpecnost 08.06.2010 | 00:47
                        WlaSaTy   Návštevník
                        Specifikacia ano, kompletna nie. Ty vedies a vediet budes. Az pokial sa do nej nepozres.
                        • Re: bezpecnost 08.06.2010 | 00:53
                          Avatar borg Arch, Debian jessie  Administrátor
                          mam ju takmer na 90 % precitanu a pracoval som na projekte, ktory implementoval novy produkt na pracu s pdf (dokaze na 95 % vsetko co Adobe Acrobat, nie Reader) na zelenej luke a vychadzal len z kompletnej specifikacie pdfka. ale co, vzdy sa musis vykecat z toho ze sa v niecom mylis ;)
                          • Re: bezpecnost 08.06.2010 | 01:10
                            WlaSaTy   Návštevník
                            Och, ano. A teraz tu o vlkovi a siedmich kozliatkach.
                            • Re: bezpecnost 08.06.2010 | 01:15
                              Avatar borg Arch, Debian jessie  Administrátor
                              mne je tak jedno, ze sa citis urazeny, ze tvoje kecanie okolo kasi ti nevyslo.
                              • Re: bezpecnost 08.06.2010 | 01:35
                                WlaSaTy   Návštevník
                                Nie, necitim. Ja osobne nepovazujem PDF za prenositelny format.

                                Inak spet k tvojmu dokazu. Vravis ze si implementoval 95% funkcionality PDF a pritom si precital len 90% definicie formatu. Sranda je v tom, ze tak vysoke pokrytie nie je pri verejne dostupnej verzii dokumentacie. Z toho mi jednoznacne vyplyva, ze si asi cerpal z ich intranetu. Otazkou co vsetko bolo sposobene nasledkami 5% diferencie medzi prisunom znalosti a ich zuzitkovanim.

                                Mozno to bol akurat ten skriatok, zmena vo formate ktorej nasledkom bola interakcia flashu s pdf.

                                Alebo sa mylim? Rad by som sa,.
                                • Re: bezpecnost 08.06.2010 | 01:44
                                  Avatar borg Arch, Debian jessie  Administrátor
                                  ked nemas co povedat, chytas sa za slovicka. na projekte pracovalo viac ludi, projekt porkryva 95 % funkcionality Adobe Acrobat. 90 % precitaneho znamena ze som mozno vynechal register, intro, obsah, zaverecne slovo.
                                  btw, skus nahodhodit nejaku funkcionalitu co ma pdf a nie je popisana v specifikacii, co poskytuje vyrobca. zbytocne sa z toho snazis vyhovorit. a litanie mi zbytocne nepis, uz viem ked si v uzkych pises omacky okolo temy.
                                  • Re: bezpecnost 08.06.2010 | 10:18
                                    WlaSaTy   Návštevník
                                    Okolo tej funkcionality ktora tam nie je korektne popisana sa toci povodna otazka. Ak si si to nevsimol, tak ja za to nemozem. Vyhovorit sa nemam z coho.

                                    Ale som rad ze si sa mal moznost pochvalit, len neviem co s tym ma Linux.
                                    • Re: bezpecnost 08.06.2010 | 10:35
                                      Avatar borg Arch, Debian jessie  Administrátor
                                      vypovedna hodnota niektorych tvojich prispevkov je nulova. ako aj teraz, snazis sa len zakryt, ze o tomto nevies nic. vobec si nenapisal, ktora funkcionalita nie je popisana v specifikacii, z toho plynie, ze jalove reci s tebou nema vyznam viest.
            • Re: bezpecnost 08.06.2010 | 00:56
              miso   Návštevník
              Skoda ze nepises co ma spolocne otvorenie toho (pdf) formatu so zaplatanim chyby vo flashi?
              • Re: bezpecnost 08.06.2010 | 01:36
                WlaSaTy   Návštevník
                A mal by som? Je to v tom clanku.
                • Re: bezpecnost 08.06.2010 | 01:58
                  miso   Návštevník
                  Radsej nie, lebo sa v tom este viac zamotas.
                  • Re: bezpecnost 11.06.2010 | 01:17
                    WlaSaTy   Návštevník
                    A v com by sum sa mal zamotat? Ak saTi ten clanok nepodarilo precitat, tak za .sk malo byt lomitko. Zvysok o tych dvoch prepojenych technollogiach a chybe prejavujucej sa pri ich kombinacii s pouzitim programoveho vybavenia od tej firmycje v nom.
        • Re: bezpecnost 07.06.2010 | 21:58
          Avatar m4jkl   Používateľ
          v tomto pripade nie je problem pdf, ale acrobat reader
        • Re: bezpecnost 05.07.2010 | 14:43
          Avatar Majo Debian, WindowsXPpro  Používateľ
          take ze djvu nepoznas ?
    • Linux/UNIX a zvyšok sveta 07.06.2010 | 23:19
      Avatar dodoedo Fedora Linux  Používateľ
      Keď sa táto informácia o zraniteľnosti produktov Adobe a info o exploit-e objavila minulý týždeň na serveroch, zvažoval som, či to dám do správičiek, ale nakoniec som to nedal, pretože zraniteľnosť vyvolá maximálne u Linux/Unix systémov iba crash OS ale Windovzy sú na tom, vďaka predmetnej .dll knižnici, oveľa horšie... podrobnosti si pozri. V Linuxe ešte jedna zaujímavosť: testované beta pre Firefox Firefox 3.6.4 beta 6 používa už opatchovanú verziu Adobe Flash player 10.1.x, preto sa tiež oplatí testovať pre Firefox.... :-)

      Wlasatý má ale pravdu, hlavne narúša to širokú škálu platforiem, čo je problém a keby bol mal Adobe otvorený kód, už je to dávno ošetrené ....
      :-(
      G. Orwell: "Čím více se společnost vzdaluje od pravdy, tím více bude nenávidět ty, kteří ji říkají."
      • Re: Linux/UNIX a zvyšok sveta 07.06.2010 | 23:37
        miso   Návštevník
        To ak user space aplikacia dokaze zhodit cely OS (kernel) ma podla teba sluzit linuxu ku cti?
        • Re: Linux/UNIX a zvyšok sveta 08.06.2010 | 00:07
          Avatar dodoedo Fedora Linux  Používateľ
          Ale ja som nepovedal, že mu to slúži ku cti, len som chcel nepriamo poukázať na stále existujúci rozdiel medzi bezpečnosťou Linux/unix v porovnaní s Windows a konkrétne, ja som ten spomínaný maximalistický "crash" nevidel možno mu stačí predchádzať sandboxingom pre Flash (Google Chrome) alebo lepšie opatchovaním Flash (FF 3.6.4. beta6). Naučil som sa všetky tieto info typu: všetky platformy včítane Mac Linux Unix brať s určitou rezervou, ktorá čiastočne pramení aj z toho faktu, že vírusov pre Windows je plná prdel. ale vírusi pre Linux/Unix/Mac prakticky neexistujú (malware samozrejme áno).
          G. Orwell: "Čím více se společnost vzdaluje od pravdy, tím více bude nenávidět ty, kteří ji říkají."
        • Re: Linux/UNIX a zvyšok sveta 08.06.2010 | 13:28
          Grawp   Návštevník
          To neni o zhadzovani kernelu. Ten to prezije. A aj tak dneska sa utocnici nesnazia znicit ti OS, naco? Skor sa dostat k obsahu daneho usera, pripadne k vsetkemu na co ma prava.
          • Re: Linux/UNIX a zvyšok sveta 08.06.2010 | 23:01
            Avatar dodoedo Fedora Linux  Používateľ
            Ach áno,

            V tom to je, tá spomínaná omnoho vyššia bezpečnosť Linuxu v porovnaní s MS Windows. Aj pri úspešnom exploite sa útočník prakticky nedostane k citlivým dátam na Linuxe. A pretože v dnešnom svete ide iba o peniaze, ide iba o to ako získať citlivé dáta od obete.
            G. Orwell: "Čím více se společnost vzdaluje od pravdy, tím více bude nenávidět ty, kteří ji říkají."
            • Re: Linux/UNIX a zvyšok sveta 10.06.2010 | 12:17
              tomas.pruzina   Návštevník
              Praveze toto je najvacsi omyl podla mna.
              Ak sa dostane malware na linux, tak hoci sa nedokaze sam dostat nejakym sposobom do startup listu, stale ma plny pristup k datam pouzivatela, kedze bol spusteny prave pod uzivatelom.
              Jednoducho povedane, malware ma plny pristup v pripade, ze user nepouziva chmod na foldre a nepristupuje k nim cez roota.
              Linux by potencionalny virus pravdepodobne nezhodil, ale vymazanie plochy / dokumentov / share foldrov by sposobit mohol...
              • Re: Linux/UNIX a zvyšok sveta 10.06.2010 | 12:25
                Avatar Michal Nánási Ubuntu 11.04  Používateľ
                Ja len dodam, ze by sa navyse vedel aj spustat ked sa user prihlasi, vie rozosielat spam a robit zle inym. Jedine co nemoze je ist tam, kde uzivatel nema pristup, ale naco by mu to bolo dobre?
                Hi! I'm a .signature virus! Copy me into your ~/.signature to help me spread!
                • Re: Linux/UNIX a zvyšok sveta 10.06.2010 | 13:25
                  Avatar dodoedo Fedora Linux  Používateľ
                  To sú iba konštrukcie, ktoré sú založené na tom, že sa malware (apriori) dostane do Linuxu. Slabina toho je ako sa dostane, čo je zač, akú formu zvolí na vykonanie a pod. Práva užívateľa sú práva užívateľa a nie rootovské. Opakujem, sú to iba vaše pomyselné konštrukcie prinesené z Windows sveta.
                  G. Orwell: "Čím více se společnost vzdaluje od pravdy, tím více bude nenávidět ty, kteří ji říkají."
                  • Re: Linux/UNIX a zvyšok sveta 10.06.2010 | 16:26
                    Anonymous Coward (mic)   Návštevník
                    Dostat sa tam moze rovnako ako vo windows svete, napriklad cez windows aplikaciu. Alebo ti staci len nejako presvedcit uzivatela, aby spustil dany program. Povedz, co v linuxe je ine oproti windowsu, ze to neumoznuje aby sa tam dostal? (a nezabudni, lepsia sprava uzivatelskych prav to v tomto pripade nie je).

                    A aku formu? Moze to byt binarka so staticky zlinkovanymi vecami, moze to byt hybridna binarka (aby sla na viacerych strojoch), moze to byt skript v bash, kedze ten je na vacsine strojov nainstalovany, v tomto problem nie je:-)

                    Ak teda naozaj je linux principialne bezpecnejsi, v com tkvie ta bezpecnost?
                    • Re: Linux/UNIX a zvyšok sveta 10.06.2010 | 18:32
                      Avatar m4jkl   Používateľ
                      "(a nezabudni, lepsia sprava uzivatelskych prav to v tomto pripade nie je)"

                      selinux?
                      • Re: Linux/UNIX a zvyšok sveta 10.06.2010 | 22:43
                        Avatar Michal Nánási Ubuntu 11.04  Používateľ
                        Bavim sa o malvare, ktory robi zlobu v uzivatelovom /home a podobne. Tam selinux nechces mat predsa restriktivne nastavene. Hovorime o linuxe na desktope, nie na serveri (Ak si to niekto nevsimol, zacalo sa o malware, ktore kradne/robi zle v uzivatelovych datach).

                        Nehovorim o serveroch. Tam ide linux dost dobre zabezpecit (ale aj windows).
                        Hi! I'm a .signature virus! Copy me into your ~/.signature to help me spread!
                        • Re: Linux/UNIX a SELinux 11.06.2010 | 11:35
                          Avatar dodoedo Fedora Linux  Používateľ
                          Ahoj.
                          Pomôžem si výbornou dokumentáciou z Fedora:

                          What is SELinux?

                          SELinux (Security-Enhanced Linux) in Fedora is an implementation of mandatory access control in the Linux kernel using the Linux Security Modules (LSM) framework. Standard Linux security is a discretionary access control model.

                          Discretionary access control (DAC)
                          DAC is standard Linux security, and it provides minimal protection from broken software or malware running as a normal user or root. Users can grant risky levels of access to files they own.

                          Mandatory access control (MAC)
                          MAC provides full control over all interactions of software. Administratively defined policy closely controls user and process interactions with the system, and can provide protection from broken software or malware running as any user.

                          http://docs.fedoraproject.org/en-US/Fedora/13/html/SELinux_FAQ/index.html http://docs.fedoraproject.org/en-US/Fedora/13/html/Security-Enhanced_Linux/index.html
                          G. Orwell: "Čím více se společnost vzdaluje od pravdy, tím více bude nenávidět ty, kteří ji říkají."
                          • Re: Linux/UNIX a SELinux 11.06.2010 | 16:43
                            Anonymous Coward (mic)   Návštevník
                            Pozriem si to podrobnejsie, ale zaujala ma veta: "it provides minimal protection from broken software or malware running as a normal user or root.". Neznie to velmi presvedcivo. Na prvy pohlad to vobec nevyzera tak ako tvrdis. Zober si bezneho uzivatela, ktory si nainstaluje fedoru. Ako su nastavene default policy? Su tak, ze chrania obsah /home/user adresara? Ak ano, nema potom user problem v tom, ze ked legalne pracuje vo svojom domovskom adresari, tak nema access, lebo SELinux?
                            • Re: Linux/UNIX a SELinux 11.06.2010 | 18:31
                              Avatar m4jkl   Používateľ
                              "it provides minimal protection from broken software or malware running as a normal user or root."
                              - to je pre DAC, cize klasicke riesenie pristupovych prav owner-gruop-world, nie selinux

                              s tym default policy mas asi pravdu, ze kvoli pohodliu sa to zatial bezne nepouziva. v kazdom pripade to v linuxe je a kazdy si to moze zapnut. nepochybujem, ze keby sa linux rozsiril medzi bfu, tak budu vychadzat distribucie s nejakym restriktivnejsim defaultny nastavenim.

                              priklad ako funguje selinux:
                              majme v linuxe nainstalovany adobe reader v ktorom je bezpecnostna chyba. selinux tejto binarke obmedzuje pristup vsade, jedine co moze je citat z adresara Downloads, kde sa stahuju pdfka (trosku zly priklad :) ) a citat/zapisovat svoje konfiguracne subory v ~/.adobe. akykolvek iny pristup, ci uz pridanie sa do "programov do spusteni", praca so sietou a pod selinux zakazuje, alebo to bezne ten program nepotrebuje. skodlivy kod tak moze precitat vsetky subory z Downloads a prepisat si svoj konfigurak. nemoze ani zmazat, alebo odslat niekam sukromne data.
                              • Re: Linux/UNIX a SELinux 11.06.2010 | 18:38
                                Avatar m4jkl   Používateľ
                                sakra, preklepov si nevsimajte:D
                              • Re: Linux/UNIX a SELinux 11.06.2010 | 18:55
                                Anonymous Coward (mic)   Návštevník
                                Viem ako funguje selinux. No, ja hlavne narazam na default nastavenia. Ano, linux sa da velmi dobre zabezpecit, ale v default nastaveniach to tak nebyva (az na paranoidne distribucie). Otazka je, ale ako to nastavit dostatocne restriktivne a zaroven aby to neobmedzovalo pouzivatela.
    • Re: bezpecnost 08.06.2010 | 11:41
      Avatar ninu Slackware, Android  Používateľ
      Radovan: paradnu diskusiu si rozprudil :-D

      ale najsamlepsi komentar je aj tak tento::::
      it´s not a bug, it´s a feature
      Slackware