Link alla notizia: https://www.hwupgrade.it/news/sicurezza-software/linux-falle-critiche-del-kernel-pubblicate-senza-patch-i-manutentori-protestano_161042.html

Trend Micro ha inviato per errore alla mailing list pubblica del kernel Linux cinque segnalazioni di vulnerabilità: due riguardano KSMBD, con CVSS 9.0 e rischio di esecuzione di codice da remoto, ancora senza patch in mainline né un CVE assegnato

Click sul link per visualizzare la notizia.

L'ho scritto stamattina :
in quest'era oscura governata dall'IA l'opensource non è sicuro.

Confermo quanto detto.

L'ho scritto stamattina :
in quest'era oscura governata dall'IA l'opensource non è sicuro.

Confermo quanto detto.

Niente è "sicuro".

Detta in parole povere, come l'utilizzano per rivoltare stile pedalino le PS5, l'utilizzano allo stesso modo per scoprire le vulnerabilità di un kernel.

Ora comincia il divertimento ! :asd:

https://media1.tenor.com/m/y0pu4r01MXkAAAAC/fun-this-is-where-the-fun-begins.gif

L'ho scritto stamattina :
in quest'era oscura governata dall'IA l'opensource non è sicuro.

Confermo quanto detto.

E per certi versi il closed source non esiste più, visto che a quanto dicono l'AI fa un ottimo lavoro nel decompilare, ricostruendo un codice sorgente di buona leggibilità

Niente è "sicuro".

Detta in parole povere, come l'utilizzano per rivoltare stile pedalino le PS5, l'utilizzano allo stesso modo per scoprire le vulnerabilità di un kernel.

Ora comincia il divertimento ! :asd:

https://media1.tenor.com/m/y0pu4r01MXkAAAAC/fun-this-is-where-the-fun-begins.gif

Devo darti contro,qualcosa di sicuro c'è:
se mangi una piana/insalatiera di fagioli alla veneta o con la cotica,i gas che sprigioni ti bastano per fare il pieno alla panda a metano per una settimana!

E per certi versi il closed source non esiste più, visto che a quanto dicono l'AI fa un ottimo lavoro nel decompilare, ricostruendo un codice sorgente di buona leggibilità

Tanto riescono a bucare il closed quanto l'open.
L'unica cosa è che con l'open,accorgersi di falle è più veloce

Tanto riescono a bucare il closed quanto l'open.
L'unica cosa è che con l'open,accorgersi di falle è più veloce

Tecnicamente, esiste ancora un potente metodo per far sì che i software "closed source" restino al sicuro da decompilazioni, ma mettere mano al codice una volta che ne esistono già versioni non protette è pressoché inutile.

Tanto riescono a bucare il closed quanto l'open.
L'unica cosa è che con l'open,accorgersi di falle è più veloce
Teoricamente il vantaggio del closed è quello di nascondere alla concorrenza come ho fatto a raggiungere quel risultato e cerco così di proteggerlo, succede un po' per tutto.
Con l'IA, riesco a risalire molto più velocemente al tuo ragionamento e di perdere tutto il vantaggio costruito.

Con l'open è tutto sotto gli occhi di tutti, sia buoni che cattivi, quindi come puoi trovare le falle, possono anche essere corrette allo stesso modo.
In questo caso il tuo lavoro non si basa sul vantaggio, ma sui servizi e assistenza che offri

L'ho scritto stamattina :
in quest'era oscura governata dall'IA l'opensource non è sicuro.

Confermo quanto detto.

Hai detto una cavolata stamattina e qui l'hai ripetuta.

L'ho scritto stamattina :
in quest'era oscura governata dall'IA l'opensource non è sicuro.

Confermo quanto detto.

Affermare più volte qualcosa di fasullo e strampalato non lo fa diventare vero... anche se in effetti qualche allocco (a partire da chi lo dice) potrebbe convincersene. :rolleyes:

Tutti queste falle invece provano che non è vero quello che tutti professano da anni, ovvero che l'open-source è intrisecamente più sicuro.
La falla di PHP era lì da più di 10 anni e fino all'avvento dell'IA non se n'è accorto nessuno perché, a differenza di quello che vogliono farci credere, nessuno controlla il codice tranne chi lo scrive, nonostante sia open.
E se qualcuno lo verifica non è detto che lo faccia con le migliori intenzioni.

non è vero quello che tutti professano da anni, ovvero che l'open-source è intrisecamente più sicuro.
...
non se ne accorto nessuno perché, a differenza di quello che vogliono farci credere, nessuno controlla il codice tranne chi lo scrive, nonostante sia open.

Esattamente :cool:

Ora sono arrivate le IA a controllare il codice open... e c'è da divertirsi...

Tutti queste falle invece provano che non è vero quello che tutti professano da anni, ovvero che l'open-source è intrisecamente più sicuro.
La falla di PHP era lì da più di 10 anni e fino all'avvento dell'IA non se n'è accorto nessuno perché, a differenza di quello che vogliono farci credere, nessuno controlla il codice tranne chi lo scrive, nonostante sia open.
E se qualcuno lo verifica non è detto che lo faccia con le migliori intenzioni.
Falso.
L'opensource non è "intrinsecamente" più sicuro.
L'opensource ti dà tutti gli strumenti per far sì che sia più sicuro, e conseguentemente è più probabile che sia più sicuro.
E' probabile che più gente terza, o sistemi automatici, abbiano controllato il codice, e se c'è una falla evidente venga resa pubblica (a volte direttamente dai denigratori stessi...)

Il closed source, invece, non ti dà nessuna possibilità di controllarlo, lo hanno controllato solo i pochi sviluppatori che lo hanno scritto.
E gli stessi sviluppatori hanno la possibilità di inserire codice a loro favore, che gli altri non sono in grado di vedere.
Altri soggetti terzi non hanno la possibilità di controllarlo.
Fatta eccezione per i malintenzionati, che per vie traverse o con lavoro intenso, hanno scoperto le falle che usano a proprio vantaggio...

Open non è automaticamente più sicuro di closed.
Ma è più probabile che lo sia.

Tutti queste falle invece provano che non è vero quello che tutti professano da anni, ovvero che l'open-source è intrisecamente più sicuro.
La falla di PHP era lì da più di 10 anni e fino all'avvento dell'IA non se n'è accorto nessuno perché, a differenza di quello che vogliono farci credere, nessuno controlla il codice tranne chi lo scrive, nonostante sia open.
E se qualcuno lo verifica non è detto che lo faccia con le migliori intenzioni.


Come non è stata trovata questa, tante altre però sono state trovate, dare un giudizio prendendo il caso negativo è cherry picking. Tra l'altro stiamo parlando comunque di una falla che è stata scoperta da un ricercatore prima che dagli hacker. Certo, ora c'è l'AI che rende questo processo più semplice, ben venga, soprattutto se i modelli più forti in cybersecurity sono a disposizione di ricercatori e fondazioni riconosciute e non degli hacker che devono arrangiarsi con modelli open abliterated (pratica che penalizza sempre un po' il modello)

È gia arrivato il sarcastico con la faccina sorridente a dire che sarà l'anno di Linux?
Falle o meno, ma quando prendete un aereo i monitor che vedete sopra la vostra testa hanno tutti dentro Linux.
Vai in posta e all'INPS, e i totem informativi lavorano sotto linux.
Dove conta davvero qualcosa, c'è sempre Linux in mezzo.

L'opensource ti dà tutti gli strumenti per far sì che sia più sicuro, e conseguentemente è più probabile che sia più sicuro

Variante: l'opensource ti da' tutti gli strumenti per far sì che sia più bucato,
e conseguentemente è più probabile che sia più bucato

Esattamente :cool:

Ora sono arrivate le IA a controllare il codice open... e c'è da divertirsi...

Invece con il closed dici che ci si annoia?:D

Invece con il closed dici che ci si annoia?:D

Che noia gli opensource-boys che ti dicono che tra analizzare codice aperto e fare reverse engineering non cambi nulla...
Ne ho gia' incontrati diversi :cool:

Che noia gli opensource-boys che ti dicono che tra analizzare codice aperto e fare reverse engineering non cambi nulla...
Ne ho gia' incontrati diversi :cool:

ma le leggi le notizie ultimamente? Stanno aprendo di tutto e di più, Denuvo aperto come una cozza non ti dice niente?:D

Mi state dicendo che il "linux intrisecamente più sicuro perché trasparente" (concetto quindi allargabile a tutti gli open-source) è una mia allucinazione e se cerco sull'internèt non trovo sedicenti esperti di sicurezza che affermano ciò?

Non è cherry picking perché non è la prima volta e ci sono diversi esempi nella storia di sfondoni nel codice rimasti lì per anni; ma è normale, nel mondo reale non esiste che uno si metta a verificare il codice scritto da qualcun altro, per quello ci sono i SAST ed ora i controlli con l'IA.

Tutti queste falle invece provano che non è vero quello che tutti professano da anni, ovvero che l'open-source è intrisecamente più sicuro.
La falla di PHP era lì da più di 10 anni e fino all'avvento dell'IA non se n'è accorto nessuno perché, a differenza di quello che vogliono farci credere, nessuno controlla il codice tranne chi lo scrive, nonostante sia open.
E se qualcuno lo verifica non è detto che lo faccia con le migliori intenzioni.

in verita quello che tutti dicono è l'opposto ovvero che il closed source non è intrisicamente più sicuro, il famoso principio del no security through obscurity

Tutti queste falle invece provano che non è vero quello che tutti professano da anni, ovvero che l'open-source è intrisecamente più sicuro.
La falla di PHP era lì da più di 10 anni e fino all'avvento dell'IA non se n'è accorto nessuno perché, a differenza di quello che vogliono farci credere, nessuno controlla il codice tranne chi lo scrive, nonostante sia open.
E se qualcuno lo verifica non è detto che lo faccia con le migliori intenzioni.

Nsomma. A me, che manco sono neanche cosi' fissato, per curiosita' mi capita ogni tanto di leggere codice scritto da altri e talvolta ho pure inviato bugfix/segnalazioni.

Sono sicuro che la fuori ci sono parecchie decine di migliaia di sviluppatori/ricercatori/appassionati/studenti che fanno continuamente review di codice.

Poi vabbe' nessun codice e' perfetto. Ci sta che qualche bug anche grosso scappi. Soprattutto se si parla di progetti non molto "cool" come PHP (anche se continua ad essere molto usato).

Non è cherry picking perché non è la prima volta e ci sono diversi esempi nella storia di sfondoni nel codice rimasti lì per anni

E' cherry picking perché stai prendendo quei casi e non quelli in cui invece proprio grazie al codice open sono stati corretti. E' anche un esempio di bias del sopravvissuto.

Il codice closed ha le stesse cose, bug usati come exploit e bug corretti in tempo, ma presenti da un secolo, come anche bug noti e segnalati da tempo che mancano di una correzione, che solo il proprietario può fare.

Se il closed avesse solo sporadicamente problemi di sicurezza potrei anche capire il discorso, ma non è così.

E poi, di nuovo, tutto va rivisto in ottica AI. Il fatto che fare reverse engineering non sia la stessa cosa di un audit sui sorgenti se prima poteva essere un grosso limite ora è un vantaggio, dato che l'audit sui sorgenti è diventato alla portata di tutti, mentre il reverse engineering per trovare exploit prima veniva fatto solo dai malintenzionati, perché economicamente motivati.

Mi state dicendo che il "linux intrisecamente più sicuro perché trasparente" (concetto quindi allargabile a tutti gli open-source) è una mia allucinazione e se cerco sull'internèt non trovo sedicenti esperti di sicurezza che affermano ciò?

Puoi anche trovarlo scritto, ma non significa che sia vero.
Ci sono tanti "esperti di sicurezza" che non sanno di quello che parlano.
Anche se sarei più propenso a pensare che, la maggior parte delle volte, sia un problema di comunicazione tra le parti...

Non è cherry picking perché non è la prima volta e ci sono diversi esempi nella storia di sfondoni nel codice rimasti lì per anni; ma è normale, nel mondo reale non esiste che uno si metta a verificare il codice scritto da qualcun altro, per quello ci sono i SAST ed ora i controlli con l'IA.
La differenza è che nell'open, gli sfondoni sono sotto gli occhi di tutti, mentre nel closed molto spesso vengono tenuti nascosti.
Risultato? "I software open sono pieni di falle, invece nei closed non ne sento parlare..."

Io ho una teoria, ma teoria rimane, quindi prendetela come tale.
Secondo me un software open source ha un solo vantaggio rispetto al closed, e non si parla di sicurezza, ma di velocità di sistemazione in caso di problemi. A livello di sicurezza, ormai, non c'è più differenza. La sicurezza, al massimo, si dovrebbe iniziare a tradurre in tempistiche di compromissione. Un software sicuro è semplicemente un software che verrà bucato più lentamente, ma inesorabilmente e inevitabilmente verrà bucato. E questo può spesso coincidere con una natura closed source semplicemente perché, anche tramite IA, le procedure di hacking (o meglio, cracking) sono più articolate in confronto a quando la sorgente risulta essere già disponibile. E questo ci porta alla mia teoria/visione del problema, ovvero che se le sorgenti sono open, in caso di problemi, sarà solo molto più veloce riparare il problema.

Bene allora mi sa che "tengo le allucinazioni"

Con una breve ricerca
https://linuxsecurity.com/features/must-read-articles/is-linux-a-more-secure-option-than-windows-for-businesses
Il vantaggio dell’open source: perché è importante?

Vediamo perché la natura open source di Linux fa davvero la differenza. Con Linux, il codice sorgente è a disposizione di tutti, il che significa che un esercito — letteralmente migliaia — di sviluppatori lo esamina attentamente ogni giorno. Queste persone non lo fanno solo per divertimento (anche se, sì, alcuni di loro probabilmente pensano che leggere il codice del kernel sia divertente); ci mettono davvero impegno. È uno sforzo collettivo della comunità per individuare le vulnerabilità prima ancora che gli hacker sappiano della loro esistenza, in modo che le correzioni vengano distribuite con una rapidità incredibile.

Bene allora mi sa che "tengo le allucinazioni"

Secondo me si è perso per strada un pezzo del discorso. Tu hai esordito dicendo

"Tutti queste falle invece provano che non è vero quello che tutti professano da anni, ovvero che l'open-source è intrisecamente più sicuro."

A quel punto ti sei messo a dimostrare che è vero che tutti professano da anni che l'open-source è intrinsecamente più sicuro.

Ma la parte che si contesta è che non sia vero, non che tutti lo dicano. E' vero che tutti lo dicono. Non è vero che "tutte queste falle dimostrano il contrario", perché come ti stavo già scrivendo non si può prendere una falla per dire che l'open non chiude le falle

Io dico raviolo e tu capisci tortellino.

Non sto cercando di dimostrare che l'open source sia meno sicuro del software proprietario. Sto contestando l'affermazione più forte, cioè che sia intrinsecamente più sicuro per il solo fatto di essere open source. Se vulnerabilità critiche possono rimanere nel codice per dieci anni senza che nessuno le noti, allora l'apertura del codice non è di per sé una garanzia di revisione e sicurezza. Questo non dimostra che l'open source sia peggiore, ma dimostra che la sua superiorità non deriva automaticamente dal fatto che il codice sia pubblico.

Mettiti d'accordo anche con gli altri.

Questo non dimostra che l'open source sia peggiore, ma dimostra che la sua superiorità non deriva automaticamente dal fatto che il codice sia pubblico.

Ma non lo dimostra affatto, perché per farlo si dovrebbe partire dall'assunto che il sorgente aperto consente di trovare TUTTE le falle e in tempi brevissimi, il ché ovviamente è impossibile. E' sufficiente che permetta di trovarne di più.

Sarebbe come se volessi dimostrare l'inefficacia di un farmaco prendendo un caso in cui non ha funzionato.

Quando si usano frasi come "questo dimostra che" bisognerebbe prima di tutto analizzare il concetto dal punto di vista logico per vedere se si tratta realmente di una dimostrazione o di una congettura.

E' sufficiente che permetta di trovarne di più.

Davvero, mettetevi d'accordo.

E' quello che dico pure io, ma quando dico che con l'opensorcio è piu' facile per le IA trovare le falle mi dite che col closed è uguale.

Davvero, mettetevi d'accordo.

E' quello che dico pure io, ma quando dico che con l'opensorcio è piu' facile per le IA trovare le falle mi dite che col closed è uguale.

La verità è che la maggior parte delle falle non si trovano a priori. Se non s'incappa casualmente in un problema, difficilmente lo si può correggere prima di essere consapevoli della sua presenza. Scandagliare un codice funzionante (open o meno) alla ricerca di "buchi potenziali" è un'attività molto più ridotta rispetto al bugfixing dedicato. Infatti, gli unici esempi dove questo paradigma viene ribaltato è quando vi sono accluse promesse di ricompense, unico vero sprone all'attività umana. Per l'IA, invece, non c'è bisogno di alcun sprone, ed è perfetta per lo "scandaglio ricorsivo." E di questo ne stiamo vedendo gli amari risultati. :rolleyes:

Con una breve ricerca
https://linuxsecurity.com/features/must-read-articles/is-linux-a-more-secure-option-than-windows-for-businesses
E cosa ci sarebbe scritto di sbagliato?
Perché non c'entra niente con le tue premesse...

E' quello che dico pure io, ma quando dico che con l'opensorcio è piu' facile per le IA trovare le falle mi dite che col closed è uguale.

Non è uguale, ma per come la vedo io pure qui c'è un vantaggio per l'open.

Se decompilo un software closed l'AI riuscirà comunque a fare un'analisi molto profonda del suo funzionamento interno, alla fine si tratta quasi sempre di trovare dei memory overflow per andare a sovrascrivere zone che dovrebbero essere protette, e queste cose nell'assembly decompilato l'agente le vede bene come in un sorgente C

Però chi è che si mette a decompilare un binario per cercare una falla? Più chi vuole sfruttarla o più chi vuole vedere se il software che sta usando è sicuro? Io penso i primi. Mentre con un software open source potrei fargli puntare il mio agente AI e lanciare un audit solo per curiosità, con quello closed devo essere davvero motivato. Un hacker ovviamente è sempre motivato.

Questo comporta che:

- gli hacker cercheranno ovunque, open o closed basta che ci sia da guadagnare
- la community cercherà soprattutto nell'open
- l'unico che cercherà davvero nel closed è chi ha scritto il software, che lo farà in base alle sue priorità e alle risorse a disposizione.

Davvero, mettetevi d'accordo.

E' quello che dico pure io, ma quando dico che con l'opensorcio è piu' facile per le IA trovare le falle mi dite che col closed è uguale.

nu me piace opensorcio:D (https://www.youtube.com/watch?v=S6S0pChod7Q)

Non è uguale, ma per come la vedo io pure qui c'è un vantaggio per l'open.

Se decompilo un software closed l'AI riuscirà comunque a fare un'analisi molto profonda del suo funzionamento interno, alla fine si tratta quasi sempre di trovare dei memory overflow per andare a sovrascrivere zone che dovrebbero essere protette, e queste cose nell'assembly decompilato l'agente le vede bene come in un sorgente C

Però chi è che si mette a decompilare un binario per cercare una falla? Più chi vuole sfruttarla o più chi vuole vedere se il software che sta usando è sicuro? Io penso i primi. Mentre con un software open source potrei fargli puntare il mio agente AI e lanciare un audit solo per curiosità, con quello closed devo essere davvero motivato. Un hacker ovviamente è sempre motivato.

Questo comporta che:

- gli hacker cercheranno ovunque, open o closed basta che ci sia da guadagnare
- la community cercherà soprattutto nell'open
- l'unico che cercherà davvero nel closed è chi ha scritto il software, che lo farà in base alle sue priorità e alle risorse a disposizione.

Esattamente. Tra le altre cose non c'e' neanche la motivazione a contribuire a qualcosa che va a beneficio di tutti in modo gratuito. Perche' dovrei contribuire gratuitamente con il mio tempo e le mie conoscenze a migliorare un software che solo un'azienda puo' distribuire e trarne profitto e che anzi, con tutta probabilita' ho pagato di tasca mia? Con la rottura di scatole poi di non avere neanche accesso al codice originale.