- A hozzászóláshoz be kell jelentkezni
Hozzászólások
Errol beszeltem, mint az OpenBSD biztonsagi hianyossaga. Ugyanez a cvs hiba debian-ra tegnap jott ki. A vilag osszes cvs-t is futtato OpenBSD szervere 24 oran keresztul lyukas volt.
...
- A hozzászóláshoz be kell jelentkezni
A cvs szerver nem resze a Default Install-nak. Az OpenBSD-sek nem azt allitjak, hogy az egesz rendszeren nincs kihasznalhatatlan hiba, hanem azt, hogy tobb, mint 8 ev egy tavolrol kihasznalható hibaval _alapertelmezett_ telepites eseten. Ha te mar egy szervizt is felvettel az inetd-be, az mar nem alapertelmezett telepites.
Persze az orok kerdes, hogy ki hasznalja alapertelmezett telepitessel. De ezt mar tegnap valoban megbeszeltuk :-D
- A hozzászóláshoz be kell jelentkezni
Ha en arra "kenyszerulok", hogy az alapertelmezett installon felul feltegyek egy szervizt, akkor mar nem is biztonsagos a rendszerem?
*****ul hangzik.
- A hozzászóláshoz be kell jelentkezni
Es amikor pl. a 2.4.25-os kernel volt lyukas? Es jopar nap volt mire kijott a 2.4.26.... Errol beszeltem az egyik forumban, hogy az open source egyik nagy hatranya, hogy gyakran a root exploit gyakran publikus lesz azelott, hogy lenne patch. /ebben az ertelemben a zart kod elonyben van - persze annak meg masok a hatranyai.../
Az osszes rendszer ***** :)
- A hozzászóláshoz be kell jelentkezni
Csak az a baj, hogy a hozzaszolasid arra utalnak, hogy az openbsd nem elegge biztonsagos. Pedig helyesen: egyik rendszer sem biztonsagos :)
- A hozzászóláshoz be kell jelentkezni
Nem arrol van szo, hogy akkor nem biztonsagos, hanem arrol, hogy akkor mar olyan programokat is hasznalsz, amelyeknek a kodjat az OpenBSD csapat nem auditalja. Igy nyilvan ok nem felelhetnek minden kodert. Arra meg nincs eroforrasuk, hogy az egesz ports fa osszes programjanak a kodjat auditaljak.
- A hozzászóláshoz be kell jelentkezni
ne mondd ezt, mert akkor a securitybol elo szakemberek tokon bokik magikat :-D
- A hozzászóláshoz be kell jelentkezni
En arrol beszelek, hogy _fontosabb_ a gyors javitas, mint az elozetes auditalas. rendkivul keves (tipp: kevesebb mint 1%) tortenik elozetesen nem publikalt hiba alapjan. A publikalt hibak alapjan, viszont jonnek a script kiddy-k.
Gyorsan hatekonyan, konnyen telepithetoen kellenek a javitasok. Mindenki kovet el hibakat az elozetes auditalas elvileg sem szuri ki az osszes hibat.
Szemlelet beli kulonbseg van koztem, es az OpenBSD csapat kozott.
Ennyi.
Egyebkent:
"Tokeletesen biztonsagos rendszer nem letezik, de minden rendszer biztonsaga novelheto a teljes hasznalhatatlansagig."
- A hozzászóláshoz be kell jelentkezni
zárt kódú rendszerre ugyanúgy jöhet ki exploit azelőtt, mint frissítés...
- A hozzászóláshoz be kell jelentkezni
Azért azt tegyük hozzá, hogy a hibát kihasználni nem éppen egyszerű többek közt a W^X és a Propolice miatt... Vagy neked van rá működő exploitod? Nem hinném... ;)
- A hozzászóláshoz be kell jelentkezni