Viestit

1

Yleistä keskustelua / Vs: Mitä onko tämä huijausta?

« : 22.08.09 - klo:16.42 »

Ja selkeä tosiasia: Kun Linuxista löytyy haavoittuvuus (joka myös korjataan sitten asap), niin sitä sitten hehkutetaan ja kyseenalaistetaan Linuxin turvallisuus. Windowsin haavoittuvuus on jo itsestäänselvyys.

Musta tuntuu että sä et nyt yhtään tiedä mistä sä puhut. Käytän nyt lähteenäni milw0rmia (muilta vastaavilta sivuilta löytyy pääpiirteittään samat exploitit) ja nyt kuluneena vuonna 2009 linuxin kernelistä on löytyny 7 local root tai local privilege escalation aukkoa. Windowsista vastaavia on löytyny 1 kpl (ja yhteensä 4 muuta jotka on local bsod/crash haavoittuvuuksia jotka on lähes yhtä tyhjän kanssa). Samoten tosta linuxista on juuri äskettäin löytyny tollanen remote denial of service exploit, jota ei voi jättää huomioimatta ku on toi jo nii rumaa. Linkkasinkin sen tossa aloituspostista

oletko siis sitä mieltä, että haavoittuvuuksia ei kannattaisi julkaista?

Kannattaa

2

Yleistä keskustelua / Vs: Mitä onko tämä huijausta?

« : 22.08.09 - klo:15.32 »

Viestin pointti? Trollaus. Kiitos ja hyvästi minun puolestani.

Viestin pointti? Epätoivoinen yritys kieltää ongelmat

3

Yleistä keskustelua / Mitä onko tämä huijausta?

« : 22.08.09 - klo:14.59 »

Minä tossa latailin ubuntun kun se on niin paljon tietoturvallisempi ja luotettavampi kuin Windows. Nyt olis pari kysymystä:

1. Mihin tää tietoturva väite perustuu? Mitä olen tutustunut tapaan miten linux lataa suoritettavat tiedostot muistiin niin ei kyllä siltä näytä. Esim linuxin käyttämät .dtors ja .ctors segmentit ja etenkin GOT (global offset table) mahdollistaa arbitrary dword overwrite haavoittuvuuksien hyväksikäytön niin että saadaan helposti aikaan koodin suorittamista. Joka on tietysti merkittävä vaara niin peruskäyttäjille että servuile. Windowsissahan tollanen on lähes mahdottomuus kun mittää funktiopointtereita ei säilytetä ennalta-arvattavissa osoitteissa. Tosin kyl toho linuxiinki joku (tosi) alkeellinen ASLR tuli kernelissä 2.6.12, joka ei ainakaan kata GOTia ja noita .dtorseja. No ei se mitää, mac os x tyypeillä menee linuxiakin huonommin.

Sitte on kans tääki pointti että linuxissa koodataan paljon C/C++:llä, jolloin noita kaikenlaisii haavoittuvuuksia pääsee softiin. Paitsi ehkä linux-tyypit koodaa niin hyvin ettei mitää aukkoja tuu... Tiedoksi että epäilempä vaan. Avoin lähdekoodikin sinällään helpottaa haavoittuvuuksien löytämistä kun verrataan softiin joissa ei oo lähdekoodia saatavilla, jolloin haavoittuvuuksia pitää ettiä disassemblerin ja debuggerin voimin. Joku vois sanoo että kun niitä aukkoja löydetään enemmän ja nopeemmin ja niitä paikataan nii se tekee järjestelmästä turvallisemman. Itse olen eri mieltä sillä alamaailman hakkerit pitää haavoittuvuudet visusti omana tietonaan . Samoin, kun joku yksi sopiva skriptikersa löytää sen yhdenkin sopivan haavoittuvuuden niin se voi saada paljon pahaa aikaan.

Ja edellee, mä oon tilaillu rss feedin milw0rmilta niin linuxin kernelistä löydetää vakavia haavoittuvuuksia joka viikko, mikä syö kyllä paljon uskottavuutta. Pistän pari tähän todisteeksi (valitsin vain niitä pahimman näköisiä joita ei pitäis alunperinkään olla yhtään):

2009-08-18    Linux Kernel < 2.6.30.5 cfg80211 Remote Denial of Service Exploit
2009-08-14    Linux Kernel 2.x sock_sendpage() Local Ring0 Root Exploit
2009-08-05    Linux Kernel < 2.6.14.6 procfs Kernel Memory Disclosure Exploit
2009-07-17    Linux 2.6.30+/SELinux/RHEL5 Test Kernel Local Root Exploit 0day
2009-05-13    Linux Kernel 2.6.x ptrace_attach Local Privilege Escalation Exploit

Sit tää ei oo kysymys: vähä perunatuttaa ku ubuntu rikkoo aina mun äänet ku tulee joku päivitys -.-

edit//gdm otsikkoa.