Al Pwn2Own cadono tutti i browser, ma è Internet Explorer ad avere la peggio

[Nui_Mg]

Originariamente inviato da Bivvoz

Si ma vuole dire fino ad un certo punto, il punto è che c'è almeno un modo per bucarlo, se poi c'è 1 modo solo o 4 cambia ben poco.

Beh, vuol già dire un'enormita vedere al primo posto la piattaforma Windows (sai che sorpresa) e il suo IE.
il risultato è che IE11 è sempre stato ben più attaccabile di Chrome e, generalmente e obiettivamente parlando, Google, rispetto a Microsoft e tanti altri, si è sempre dimostrata la più attenta alla questione bug e protezione in generale (ne va del suo core business visto che tale ha come front-end proprio la piattaforma chromium browser), vedi anche il fatto che è da più di un anno che spinge nel mollare i plugin meno sicuri con api npapi non sandboxati (in chrome anche il lettore pdf integrato è più sicuro).

[Nui_Mg]

Originariamente inviato da Bivvoz

Resta il fatto che ogni volta che leggo uno studio serio, numeri alla mano chrome è più soggetto a malware di IE.

Non è vero in alcun modo perché tu stai parlando di dipendenze dell'os stesso, non dal browser. Le fondamenta tecniche del browser e la sua reale bontà si testano proprio in contesto come il Pwn2Own.
Non esiste alcun studio SERIO che possa dire il contrario, visto che malware, ecc., fanno parte dell'ambiente OS e non del browser, e solitamente si rivolgono ai niubbi di windows che ancora usano antimalware residenti per quanto riguarda la battaglia contro le minacce, quando invece i win moderni, se opportunamente configurati con i loro strumenti inclusi, possono farne totalmente a meno (io a suo tempo l'ho dimostrato perfino con un winxp usando solo account limitato e permessi del filesystem, senza nemmeno ricorrere ad implementazioni di su/sudo).

Originariamente inviato da Bivvoz

Senza contare agli spyware integrati in chrome da google.

Questo dimostra senza alcun dubbio la tua ignoranza (nel senso che ignori) in materia e se hai ancora qualcosa da dire nel prox post, ti illuminerò su qualcosa di banalissimo che anche un utente niubbo dovrebbe sapere.

[Benjamin Reilly]

Originariamente inviato da Nui_Mg

Direi proprio di no e te lo dice uno dei primissimi ad averlo usato (il tipo è un imbroglione non da poco; ti conviene ben di più usare i Chromium non nightly).

e quali sarebbero i siti a cui alludi? sii + preciso. Srware iron elimina alcune features come l'upgrade automatico ed altre impostazioni che rendono questo browser ottenuto da chromium più leggero e rapido. Se l'autore l'ha fatto per ottenerci un introito che nesso c'è con la valenza del browser? Avrebbe imbrogliato chi?

[Nui_Mg]

Originariamente inviato da Bivvoz

Però leggo che per ben 2 anni fila (sinceramente non so prima) NSS labs ha testato i principali browser e ha trovato "IE meno attaccabile da parte dei malware".

Io non ho letto l'articolo, ma di solito quando si dicono queste cose, si capisce che sono a livello di utente molto niubbo, nel senso di quegli utenti che installano e clickano senza pensare.

Mi spiego: l'oggettiva superiorità di chrome rispetto ad IE11 (non solo in sicurezza ma anche in prestazioni e il divario è destinato ad aumentare con lo script streaming e il code caching) di cui ho parlato e che si testa in contest come quello del subject, è un qualcosa che è quasi del tutto INDIPENDENTE (visto che riguarda le fondamenta del browser, la sua costituzione basilare) dalla variabile utente, la quale invece conta in quello che hai detto tu. Infatti, io per abbreviare parlavo di chrome ma facevo riferimento a Chromium, il quale è open-source e non nasconde niente di niente di ambiguo (e da molte versioni è così anche per Chrome, non ha quegli aspetti/feature ambigue che aveva nelle sue versioni più vecchie).

Io per esempio non ho mai usato Chrome, ho solo usato prima alcuni cloni di chromium ed infine il chromium vero e proprio (ma non del ramo nightly, che è meno stabile). Tutti questi li ho usati sempre e solo in versione non installabile perché così so cosa fa e cosa non fa (veramente sono abituato a farlo anche con le installazioni visto che le monitoro sempre e ciò mi ha portato a farmi una certa esperienza di dove dovrebbero essere collocate in un sistema Win e dove non, tante componenti presenti in tanti installer).

Questo vuol dire che, a seconda dell'utente, i Chromium ti danno tutta la limpidezza possibile e pure tutta la potenza (quante volte ho postato sul forum una chiarificazione sui processi di tale browser e come modificarlo per fargli consumare ben meno ram).

Chrome installato aggiunge all'avvio di windows dei processi prevalentemente per fare l'upgrade automatico ma, se non si vogliono 'sti processi, si possono tranquillamente disabilitare (con services, msconfig, ecc.), niente di che.

Ora, quando tu parli di malware, virus, ecc., questi non c'entrano assolutamente niente con l'essenza costitutiva di base di questo o quell'altro browser (a meno di bug veramente ECLATANTI presenti in una determinata versione).

[Nui_Mg]

Originariamente inviato da Benjamin Reilly

e quali sarebbero i siti a cui alludi? sii + preciso.

Alcuni erano stati pubblicati pure sul suo forum da qualcuno (poi post prontamente cancellati) e riguardavano quasi esclusivamente la versione installabile (chiariamo, erano siti sempre tecnici ma con molta pubblicità senza malware; una cosa innocua ma che ha chiarito di più le parole dell'autore su una chat in IRC, che riassumendo riguardava un piano esclusivamente di lucro, anche se innocuo). Il fatto poi della non presenza dei sorgenti mi evidenzia ancora di più il tutto.
Diciamo inoltre che non fa niente di nuovo visto che l'upgrade automatico e altre cose le eviti tranquillamente anche con gli altri cloni di chromium, perfino anche con chrome portabile stesso.

Per carità, liberissimo di continuare ad usarlo, ma il fatto di dire che i sorgenti sono a disposizione e all'atto pratico poi non ci sono, chiarisce molto.

[mihos]

Originariamente inviato da Bivvoz

Non capisco perchè se sono riusciti a bucare tutti i browser allora chrome è più sicuro degli altri.

Secondo me perchè ormai è prassi che Google è il princope azzurro, MS è la matrigna cattiva e Firefox poverina è la cenerentola del gruppo, brava ma povera e con le pezze.

Infatti, qualcuno della redazione può chiarire?

Aggiornamento: Pare sia dovuto al fatto che hanno trovato molteplici bug negli altri browser

[Nui_Mg]

Originariamente inviato da mihos

Infatti, qualcuno della redazione può chiarire? Sembra ESTREMAMENTE di parte questo articolo.

Perché probabilmente si è basato sulla semplificazione di questo:

The final numbers for Pwn2Own 2015 are quite impressive:
5 bugs in the Windows operating system
4 bugs in Internet Explorer 11
3 bugs in Mozilla Firefox
3 bugs in Adobe Reader
3 bugs in Adobe Flash
2 bugs in Apple Safari
1 bug in Google Chrome


A volerla dire tutta, il bug di chrome è riconducibile al solo buffer overflow, il resto per colpa di due driver di win in kernel mode:

"His hack started with a buffer overflow race condition in Chrome. To allow that attack to break past anti-exploit mechanisms such as the sandbox and address space layout randomization, it also targeted an information leak and a race condition in two Windows kernel drivers, an impressive feat that allowed the exploit to achieve full System access."

[Benjamin Reilly]

Originariamente inviato da Nui_Mg

Alcuni erano stati pubblicati pure sul suo forum da qualcuno (poi post prontamente cancellati) e riguardavano quasi esclusivamente la versione installabile (chiariamo, erano siti sempre tecnici ma con molta pubblicità senza malware; una cosa innocua ma che ha chiarito di più le parole dell'autore su una chat in IRC, che riassumendo riguardava un piano esclusivamente di lucro, anche se innocuo). Il fatto poi della non presenza dei sorgenti mi evidenzia ancora di più il tutto.
Diciamo inoltre che non fa niente di nuovo visto che l'upgrade automatico e altre cose le eviti tranquillamente anche con gli altri cloni di chromium, perfino anche con chrome portabile stesso.

Per carità, liberissimo di continuare ad usarlo, ma il fatto di dire che i sorgenti sono a disposizione e all'atto pratico poi non ci sono, chiarisce molto.

Questo è il blog in cui sono mosse le accuse ad Iron ed al suo artefice.... leggi le risposte dei vari utenti all'autore del blog.

http://www.insanitybit.com/2012/06/2...-to-chrome-21/

[Nui_Mg]

Originariamente inviato da Benjamin Reilly

Questo è il blog in cui sono mosse le accuse ad Iron ed al suo artefice.... leggi le risposte dei vari utenti all'autore del blog.

Avevo letto a suo tempo quella pagina (postata anche nel thread HWUpgrade di Iron), anche se non tutta, risultato: embè?

I sorgenti ci sono?

Inoltre, che senso ha usare un browser, Iron, che a volte ci mette pure di suo alcuni bug (così come altri cloni, ovviamente) non inerenti Chromium, invece di usare un vero chromium che ha medesima, se non più, stabilità (cosa che sto provando da due-tre mesi)?

Per me puro non-sense.

[Benjamin Reilly]

A me piacerebbe utilizzare chromium che in talune circostanze risulta valido, solo che non riesco a reperire le versioni pregresse. non esiste portale. Con il tempo i browser non sono più compatibili con i sistemi operativi utilizzati divenendo lenti o incomaptibili. Ad esempio ANGLE attualmente sfrutta le dirctX11, e dicersi utenti hanno lamentato rallentamenti dalle versioni 36 ed oltre dovendo disabilitare il wrapper; un utente in particolare ha ottenuto miglioramenti utilizzando una scheda video che non supporta dirctX11 sempre in chorme.

fonte: https://code.google.com/p/chromium/i...tail?id=365078

[TheQ.]

Boh, magari i bug corretti esistevano da 2-3 anni, e quelli nuovi se li tengono per hackerare. Poi quando vi saranno nuove versioni con nuovi bug, pubblicheranno i bug vecchi ed hackereranno coi nuovi.

La classifica bug indica poco, si dovrebbe indicare il pezzo di codice del bug individuato quand'è stato modificato.
Esempio inventato
1 bug chrome - esiste sin dalla versione 10
3 bug firefox - esistono dalla versione 35 (oggi siamo alla 36)... quindi possono esser stati sfruttati solo da qualche mese.
ecc...

Adobe con 6 bug risulta ancora il migliore

[Nui_Mg]

Originariamente inviato da Bivvoz

Quando dici che sono cosa a livello di utente molto niubbo concordo, però c'è anche l'utente niubbo.

Sì e in tal caso sono d'accordo con il fatto che IE11 sia più adatto appena "tirato fuori dalla scatola".
La sfera Chromium è più per power-user o smanettoni che vogliano tirare fuori il max.

Originariamente inviato da Bivvoz

Sull'oggettiva superiorità di chrome continuo a dire che fino a quando non ci sarà qualcosa che lo dimostra resta soggettiva.

No, è stata più che oggettiva nel corso degli anni e certi contest ne sono la stra-dimostrazione perché mettono in profondo test le FONDAMENTA sulle quali poggia il browser stesso, piaccia o meno ma è così.

Originariamente inviato da Bivvoz

e uno per "crash and statistics report" lo capisce anche un ignorante che quel "statistics" per google può voler dire molto.

E allora se uno vuole a tutti i costi usare Chrome può usare una delle varie versioni portable che non hanno tale service.

Originariamente inviato da Bivvoz

quello che volevo evidenziare è che come il solito IE viene descritto come un colabrodo sgangherato

Nessuno ha detto questo ma ci sono dati oggettivi che mettono in luce debolezze, più che di IE, di windows e anche questo è stato più che dimostrato, piaccia o meno. IE11 è certamente anni luce più avanti di certi suoi illustri precedessori, credo che nessuno possa negarlo.

[mihos]

Originariamente inviato da Nui_Mg

Perché probabilmente si è basato sulla semplificazione di questo:

The final numbers for Pwn2Own 2015 are quite impressive:
5 bugs in the Windows operating system
4 bugs in Internet Explorer 11
3 bugs in Mozilla Firefox
3 bugs in Adobe Reader
3 bugs in Adobe Flash
2 bugs in Apple Safari
1 bug in Google Chrome


A volerla dire tutta, il bug di chrome è riconducibile al solo buffer overflow, il resto per colpa di due driver di win in kernel mode:

"His hack started with a buffer overflow race condition in Chrome. To allow that attack to break past anti-exploit mechanisms such as the sandbox and address space layout randomization, it also targeted an information leak and a race condition in two Windows kernel drivers, an impressive feat that allowed the exploit to achieve full System access."

Grazie, ho in effetti finito di leggere il thread e aggiornato la risposta un istante prima che tu inviassi la tua

[Nui_Mg]

Originariamente inviato da Benjamin Reilly

A me piacerebbe utilizzare chromium che in talune circostanze risulta valido, solo che non riesco a reperire le versioni pregresse. non esiste portale.

Io uso le builds LKGR (Last Known Good Revision) a 64bit (ora sto usando la 43.0.2342.0 64bit che va una scheggia sul mio notebook), ci ficco dentro il flash 64bit ppapi e la libreria ffmpegsumo 64bit dei chrome 64, poi dirotto il profilo dove tengo la mia partizione/cartella totalmente portabile (così subito pronta, con tutti i programmi già personalizzati, per un veloce backup). In tal modo chromium lascia nel registro qualcosa di veramente più che trascurabile ma se lo vuoi TOTALMENTE portabile, ci sono in giro vari launcher esterni (più completi di quello per esempio fornito dagli autori di Iron per il loro browser), come quello di winpenpack.

Per quanto riguarda le schede video, librerie, accelerazione hw, ecc., ogni configurazione dell'universo chromium, soprattutto di scheda video, è storia a sè stante e quindi bisogna fare prove ravanando in flags nel caso non tutto fili subito liscio.

[Benjamin Reilly]

Originariamente inviato da Nui_Mg

Io uso le builds LKGR (Last Known Good Revision) a 64bit (ora sto usando la 43.0.2342.0 64bit che va una scheggia sul mio notebook), ci ficco dentro il flash 64bit ppapi e la libreria ffmpegsumo 64bit dei chrome 64, poi dirotto il profilo dove tengo la mia partizione/cartella totalmente portabile (così subito pronta, con tutti i programmi già personalizzati, per un veloce backup). In tal modo chromium lascia nel registro qualcosa di veramente più che trascurabile ma se lo vuoi TOTALMENTE portabile, ci sono in giro vari launcher esterni (più completi di quello per esempio fornito dagli autori di Iron per il loro browser), come quello di winpenpack.

Per quanto riguarda le schede video, librerie, accelerazione hw, ecc., ogni configurazione dell'universo chromium, soprattutto di scheda video, è storia a sè stante e quindi bisogna fare prove ravanando in flags nel caso non tutto fili subito liscio.

Hai parlato di niubbi ma dovresti capire che il sistema operativo e la versione dello stesso ottimizzati per il tuo sistema potrebbero risultare peggiorativi in altro sistema. Io moddando qualsiasi derivato di chromium riesco a conseguire accelerazione hardware persino dei canvas, ma dalla 39 in poi perdo completamente l'accelerazione hardware. Con Iron ho i limiti nei filmati 60FPS (non vengono riprodotti) temo per assenza delle codifiche MSE & H.264 presenti in chromium e chrome.

Cmq a fine aprile mi installo un sistema Linux in una flash USB o su HD sata 3 ottenendo accelerazione hardware completa usando linux/Lubuntu o Xubuntu per navigare (in cui hanno anche abiitato l'UVD+ come accelerazine video dei filmatinelle schede R600 amd anzichè la sola uvd2 delle gpu successive) oltre che attività ufficio ed XP per i giochi.

[Nui_Mg]

Originariamente inviato da Benjamin Reilly

Hai parlato di niubbi ma dovresti capire che il sistema operativo e la versione dello stesso ottimizzati per il tuo sistema potrebbero risultare peggiorativi in altro sistema.

Questa frase io non l'ho proprio capita e poi parlavo di niubbi solo in merito a certe cose (ecco perché in tal caso IE è meglio nella situazione "appena tirato fuori dalla scatola").
Io con il mio chromium riesco ad avere la seguente situazione sul sandy bridge (intel hd 3000 integrata) del mio notebook:

Graphics Feature Status:
Canvas: Hardware accelerated
Flash: Hardware accelerated
Flash Stage3D: Hardware accelerated
Flash Stage3D Baseline profile: Hardware accelerated
Compositing: Hardware accelerated
Multiple Raster Threads: Enabled
Rasterization: Hardware accelerated
Threaded Rasterization: Enabled
Video Decode: Hardware accelerated
Video Encode: Hardware accelerated
WebGL: Hardware accelerated

ma ho dovuto fare certi e specifici interventi in flags.

Certo, ho letto poi di alcuni con problemi per quanto riguarda le video discrete nvidia e amd (anche se alcuni di quei problemi erano risolvibili tramite flags), ma questo è normale e capita con tutti i browser.

Ricordo poi che il supporto multimediale tramite html5 non è ancora maturo del tutto (la ffmpegsumo non è stata introdotta da molto, inoltre io uso quella di chrome 64 perché più completa vista la non obbligatorietà di rilasciare i sorgenti).

[TheQ.]

Originariamente inviato da ad.p

Un Browser per domarli, un Browser per trovarli,
Un Browser per ghermirli e nel buio incatenarli.

+1

tutti alla ricerca del tesssssoro nelle pianure internet di mordor

[TheQ.]

intanto alle organizzazioni serie frega niente dei browser

[Emin001]

Originariamente inviato da Benjamin Reilly

A me piacerebbe utilizzare chromium che in talune circostanze risulta valido, solo che non riesco a reperire le versioni pregresse. non esiste portale. Con il tempo i browser non sono più compatibili con i sistemi operativi utilizzati divenendo lenti o incomaptibili. Ad esempio ANGLE attualmente sfrutta le dirctX11, e dicersi utenti hanno lamentato rallentamenti dalle versioni 36 ed oltre dovendo disabilitare il wrapper; un utente in particolare ha ottenuto miglioramenti utilizzando una scheda video che non supporta dirctX11 sempre in chorme.

fonte: https://code.google.com/p/chromium/i...tail?id=365078

Ecco: https://storage.googleapis.com/chrom...ous/index.html http://chromium.woolyss.com/

[the fear90]

Originariamente inviato da Nui_Mg

Io non ho letto l'articolo, ma di solito quando si dicono queste cose, si capisce che sono a livello di utente molto niubbo, nel senso di quegli utenti che installano e clickano senza pensare.

Mi spiego: l'oggettiva superiorità di chrome rispetto ad IE11 (non solo in sicurezza ma anche in prestazioni e il divario è destinato ad aumentare con lo script streaming e il code caching) di cui ho parlato e che si testa in contest come quello del subject, è un qualcosa che è quasi del tutto INDIPENDENTE (visto che riguarda le fondamenta del browser, la sua costituzione basilare) dalla variabile utente, la quale invece conta in quello che hai detto tu. Infatti, io per abbreviare parlavo di chrome ma facevo riferimento a Chromium, il quale è open-source e non nasconde niente di niente di ambiguo (e da molte versioni è così anche per Chrome, non ha quegli aspetti/feature ambigue che aveva nelle sue versioni più vecchie).

Io per esempio non ho mai usato Chrome, ho solo usato prima alcuni cloni di chromium ed infine il chromium vero e proprio (ma non del ramo nightly, che è meno stabile). Tutti questi li ho usati sempre e solo in versione non installabile perché così so cosa fa e cosa non fa (veramente sono abituato a farlo anche con le installazioni visto che le monitoro sempre e ciò mi ha portato a farmi una certa esperienza di dove dovrebbero essere collocate in un sistema Win e dove non, tante componenti presenti in tanti installer).

Questo vuol dire che, a seconda dell'utente, i Chromium ti danno tutta la limpidezza possibile e pure tutta la potenza (quante volte ho postato sul forum una chiarificazione sui processi di tale browser e come modificarlo per fargli consumare ben meno ram).

Chrome installato aggiunge all'avvio di windows dei processi prevalentemente per fare l'upgrade automatico ma, se non si vogliono 'sti processi, si possono tranquillamente disabilitare (con services, msconfig, ecc.), niente di che.

Ora, quando tu parli di malware, virus, ecc., questi non c'entrano assolutamente niente con l'essenza costitutiva di base di questo o quell'altro browser (a meno di bug veramente ECLATANTI presenti in una determinata versione).

Io credo invece che ci sia una tendenza a dare contro a google per fare il bastian contrario. Nel senso, tutti osannano google denigrando microsoft, a volte anche ingiustamente, allora molti fanno la cosa opposta perchè si.

In questo forum ho letto anche di commenti che dicevano che bing maps fosse meglio di google maps. Incuriosito da questi commenti ho dato un occhio a quest'applicazione (i navigatori li uso per lavoro) e ho constatato come tra i due ci fosse effettivamente un abisso, ma di certo non a favore dell'applicazione di microsoft . Su BM molte vie non ci sono (inclusa quella di casa mia, ma vabè), di luoghi ce ne sono pochissimi, e quei pochi che ci sono ho dovuto scriverli 5-6 volte per farli riconoscere dal motore di ricerca, e per di più sono riportati sulla mappa con un errore variabile tra 50 metri e oltre un chilometro.

Magari quegli utenti testano questi programmi cercando "duomo di milano" oppure "colosseo, roma". Non si spiega altrimenti la loro incapacità di vedere la differenza tra il giorno e la notte.