Linux, scoperto bug critico in attività da 9 anni

[cdimauro]

Come quelli di Lindows.

[Nui_Mg]

Originariamente inviato da cdimauro

(che peraltro testimonia come Microsoft sia costantemente impegnata nel sistemare le falle, visto che ne sono rimaste poche).

Non sono d'accordo visto che quelle che ritieni siano poche sono lì da mesi e mesi.

[cdimauro]

L'elenco è abbastanza lungo, e mi pare che ne siano rimaste poche ormai.

[Nui_Mg]

Originariamente inviato da cdimauro

L'elenco è abbastanza lungo, e mi pare che ne siano rimaste poche ormai.

Solo perchè tu quel link lo conosci da poco, mentre io lo osservo da taaanto tempo (dal 2007 circa, partendo dal link del ricercatore iniziale) e infatti devo sempre intervenire personalmente nel setup di tantissimi utenti windows, spiegando loro che UAC è a tutti gli effetti un tentativo riuscito male di reimplementare una ruota da tradizionale e funzionale letteratura informatica.

Oltre a quelli poi, come si sarà notato, ce ne sono altri inerenti win7 e win8.x che non sono mai stati sistemati.

[cdimauro]

E di nuovo: non è l'UAC il problema, ma la creazione di account di amministratore!

[Nui_Mg]

Originariamente inviato da cdimauro

E di nuovo: non è l'UAC il problema, ma la creazione di account di amministratore!

No, è proprio tutto il sistema degli account/privilegi/UAC, nell'intero insieme hanno creato un bel casino e, come già detto infinite volte, con sistemi sudo per windows non c'è verso che tutti quegli "hack" funzionino.
Ti informo poi che, a parte quel link inerente la backdoor, i sistemi nix non hanno mai avuto tutte quelle patch inerenti account/token/privilegi che si sono succeduti negli anni nei windows, tante delle quali responsabili dei fallimenti di IE8/9/10/ecc. nel security contest dei browser.

[cdimauro]

Rispondi a questo: cosa succede se usi UAC con un account normale?

[Nui_Mg]

Originariamente inviato da cdimauro

Rispondi a questo: cosa succede se usi UAC con un account normale?

Che non hai problemi con quella backdoor ma hai problemi con altre vulnerabilità che spesso ti trovi quando vai ad analizzare i singoli bollettini di tantissimi update MS.

Cmq, pure quest'anno MS con Edge le ha prese più di tutti gli altri, è così ogni anno, è un sistema intrinsecamente meno sicuro, c'è poco da fare.

[robertogl]

Originariamente inviato da Nui_Mg

Certo e guarda caso è la situazione di default, a cui quindi vanno incontro la maggior parte di utenti (cosa che non si verifica con implementazioni di sudo per windows).

Vero, infatti reputo sia stato un errore il cambiamento da Vista a 7 (su Vista di default UAC partiva da un livello più alto).

[cdimauro]

Originariamente inviato da Nui_Mg

Che non hai problemi con quella backdoor ma hai problemi con altre vulnerabilità che spesso ti trovi quando vai ad analizzare i singoli bollettini di tantissimi update MS.

Lascia perdere eventuali ALTRE vulnerabilità. Ho chiesto cosa succede in condizioni normali. Grazie.

Cmq, pure quest'anno MS con Edge le ha prese più di tutti gli altri, è così ogni anno, è un sistema intrinsecamente meno sicuro, c'è poco da fare.

Edge è un'applicazione, che uso molto raramente. Io uso Opera.

E questo è un altro discorso.

[Nui_Mg]

Originariamente inviato da robertogl

Vero, infatti reputo sia stato un errore il cambiamento da Vista a 7 (su Vista di default UAC partiva da un livello più alto).

Il problema più grosso è che si potrebbe risolvere facilmente (parlo della backdoor specifica, non dei frequenti altri buchi del sistema UAC/integrity come si vede da continue e frequenti patch) non rendendo DI DEFAULT una ben precisa impostazione.

[Nui_Mg]

Originariamente inviato da cdimauro

Lascia perdere eventuali ALTRE vulnerabilità.

Le altre vulnerabilità sono pure ben peggio di una backdoor lasciata lì ottusamente da MS quando sa che si potrebbe sistemare con la modifica di una semplice impostazione. Io parlo della stragrande maggior parte di utenti di windows che si ritrovano di DEFAULT una cazzata monumentale by design from MS

Originariamente inviato da cdimauro

Edge è un'applicazione,

Che, come tutti i browser "integrati" MS si basa su UAC e integrity levels

Originariamente inviato da cdimauro

Io uso Opera.

Non me ne potrebbe fregar de meno, io parlo della mediocre MS e delle sue mosse "intelligenti" e di mediocre competenza.

[cdimauro]

Who cares. O parli del s.o. o delle applicazioni. E io ho fatto una precisa domanda a cui continui a girare attorno.

Ripeto: account normale + UAC - backdoor et similia. Cosa succede?

[Nui_Mg]

Originariamente inviato da cdimauro

Who cares.

Cazzi tuoi se non ti importa, rimane il fatto che una si basa su un'altra.

Originariamente inviato da cdimauro

E io ho fatto una precisa domanda a cui continui a girare attorno.

Non ci ho girato attorno, da quanto ho scritto si è capito che è necessario un account standard, ma guarda che il ritardatario sei sempre tu, il vicentino c'era già arrivato

Ma, detto questo, il fatto che per sfangarla serva un'impostazione NON DI DEFAULT rende una backdoor più che pericolosa di DEFAULT (anzi, più di un'impostazione visto che per aver la miglior sicurezza un niubbo è costretto a compiere passe non soliti per lui e la stragrande maggioranza di utenti windows abituati ancora all'era pre-kernel nt).

[cdimauro]

Non ho parlato di account standard, ma normale. Dunque NON di amministratore.

Non serve particolare intelligenza per capire la differenza fra le due cose.

[Nui_Mg]

Originariamente inviato da cdimauro

Non ho parlato di account standard, ma normale. Dunque NON di amministratore.

Ho usato la nomenclatura che era solita usare MS (post XP, prima l'account standard, cioè non admin, era chiamato limited; cmq è così che l'ho sempre chiamato anche perché abituato ai nix), cioè account standard=account normale/non admin.

[cdimauro]

E io avevo già specificato prima che parlavo di account non di amministratore, visto che i problemi con UAC sorgono con quelli di amministratore, come peraltro avevamo già discusso.

[Nui_Mg]

Originariamente inviato da cdimauro

E io avevo già specificato prima che parlavo di account non di amministratore,

Sì ma l'avevo capito già secoli fa ma non cambia la sostanza oggettiva della cagata di MS che di default, per la maggior parte di utenza Win, lascia praticamente una backdoor aperta (e, a dirla tutta, ne ho parlato inizialmente io perfino su questo stesso forum anni fa)

[aald213]

Se si parla di concetti tecnici, è importante avere una certa conoscenza ed esperienza prima di esprimersi.

Il fatto che uno lavi i pavimenti delle stanze server di un'azienda, non lo rende un'esperto di server e sistemi operativi

Adesso di spiego qualche fondamento di sistemi operativi. Nota che parlo di ambito server, dato che il bug ha senso su sistemi interfacciati con l'esterno, e che quando si discute di kernel lo si fa in ambiti piú ristretti (sui desktop, entrano in gioco molte piú componenti, e le falle del kernel sono solo una parte).

Originariamente inviato da fano

Stiamo parlando di un kernel che basta uno sbordamento ben cucinato e ti fa passare da utente normale a utente root con potere assoluto sulla macchina a me pare una cosa molto, molto seria ed anche abbastanza indifendibile

Ci sono vulnerabilità di ogni livello su tutti i sistemi operativi; se prendi in esame qualsiasi O/S, vedrai ogni anno qualche dozzina (esatto, mediamente una al mese) di vulnerabilità corrette.

La gran parte delle vulnerabilità sono solo potenziali. La particolarità di questa falla è che in certe condizioni (non in qualsiasi condizione; purtroppo le molte scimmie urlanti di questo post non sono in grado di leggere...) è possible sfruttarla.

È importante capire che bucare un sistema operativo - *ogni* sistema operativo - è puramente una questione di risorse (tempo e denaro). È di fatto impossibile che qualsiasi software di milioni di righe di codice non abbia vulnerabità o bug in genere.

Detto ciò, su basi puramente numeriche, il kernel Linux non è piú vulnerabile di altri.

Ma del resto Linus Torvalds una volta se lo fece scappare che lui delle vulnerabilità di sicurezza se ne sbatte la fava quindi...
http://article.gmane.org/gmane.linux.kernel/706950

Come spiegato sopra, le S.U. non leggono o non comprendono quello che leggono. Torvalds scrive, da manager, che la sicurezza è una parte importante, esattamente come le tante altre. È anche importante non identificare Torvalds con Linux, dato che alcune aziende che lavorano con Linux, eg. Redhat, architettano il loro O/S in maniera molto conservativa (vedi RedHat 6, con il kernel 2.6), che è l'unico modo di sviluppare un sistema operativo orientato alla sicurezza e stabilità (a scapito del supporto HW e delle feature dei kernel moderni).

Se poi contiamo che su sistemi mission critical te lo scordi di aggiornare il kernel

I sistemi mission critical hanno team di professionisti che se ne occupano, che sono professionisti appunto perché si devono fare questi lavori con precisione.
È chiaro che se metti i server in mano a chi lava i pavimenti, diventa un circo, ma non ha nulla a che vedere con gli O/S.

Indipendentemente dall'O/S, qualsiasi server va riavviato varie volte l'anno.

che fai le aggiorni e ricompili tutti gli applicativi? E sì perché se speri che il nuovo kernel col bug fixato di 9 anni faccia girare gli applicativi senza ricompilare

News flash per le S.U.: i software nei sistemi Linux sono in genere sono distribuiti in forma di package (certo, ci sono le eccezioni, ma sono sistemi non comunemente usati nei server), non di codice sorgente, incluso il kernel. L'unica parte che si ricompila sono i moduli, operazione tra l'altro automatica.

E sì perché se speri che il nuovo kernel col bug fixato di 9 anni faccia girare gli applicativi senza ricompilare o crash random vivi nel mondo delle fiabe

Il kernel di per sè ha poco a che vedere, da questo punto di vista, con i crash applicativi. Ci sono un paio di cose importanti da capire:

- i kernel moderni, indipendentemente dall'O/S, messi su server in genere sono molto solidi; vanno avanti per mesi e mesi;
- crash del kernel, e crash applicativi sono cose separate; se un'applicazione va in crash, il sistema va avanti;
- i bug che tipicamente possono causare incompatibilità con applicativi sono nelle librerie piuttosto che nel kernel.

Per sistemi tremendamente importanti ci si riduce al "back porting" che tristezza

Altra news flash per le S.U.: il backporting è una pratica molto ben accetta, perché è prassi implicita nella strategia di un produttore che porta avanti varie versioni allo stesso tempo. Se non esistesse il backporting, la tua azienda dovrebbe spendere un botto di risorse per aggiornare tutti i sistemi.

Non credere che backporting su Windows o Mac o quel che è non esista. La ragione per cui le S.U. credono che non esista è che i bollettini degli aggiornamenti sono piuttosto opachi (per varie ragioni).

[aald213]

Originariamente inviato da Nurabsa

quanti ricordi sto linux,

na volta per cofigurare l ethernet su gnome certi bestemmioni molti molti anni fa
Mi ha sempre dato l impressione di un so incompleto poco molto poco user friedly

magari mi sbaglio oggi è migliorato

Mah, in realtà al giorno d'oggi non fai nulla su nessun O/S - il DHCP ti dà l'indirizzo, e lo stack lo accetta beato :-)

Trovo l'"User friendliness", in senso moderno, un concetto sopravvalutato. Alla fine fine, quello che fa il 1500% degli utenti è... (rullo di tamburi)... navigare sul web, scrivere documenti, e magari connettere una stampante.

Detto ciò, è importante notare che, per forza di eventi, GNU/Linux è generalmente indietro in ambito drivers. Quindi è possibile (o probabile) che l'ultimo modello di stampante non funzioni :-|.