OpenBSD 4.6

OpenBSD

Theo de Raadt bejelentette az OpenBSD 4.6-os verzióját:

"Örömmel jelentjük be az OpenBSD 4.6 hivatalos kiadását. Ez a 26. kiadásunk CD-ROM-on (és a 27. FTP-n keresztül). Továbbra is büszkék vagyunk az OpenBSD azon rekordjára, hogy több mint 10 év alatt csak két távolról kihasználható hibát tartalmazott alapértelmezett telepítés esetén."

A bejelentés elolvasható itt.

( bambano | 2009. 10. 19., h – 09:59 )

Mi kerül fel az alapértelmezett telepítésben?

csak csendben jelezni szerettem volna, hogy a default install igen kevés mindenre jó. ha meg felrakod a szükséges cuccokat, akkor pont ugyanannyi hiba marad benne, mint bármi másban.

az én szememben (nyugodtan kövezzetek meg érte), az openbsd biztonságossága csak egy marketing szöveg.

Ez szépen hangzik. Tudok is ilyenről, hogy volt már. Ellenben nem hiszem, hogy ez mostanság is komolyabb méretekben előfordul. De ha rosszul gondolom, akkor most valaki hozzáértő adna linket mondjuk az utolsó 3 ilyen validálásra, hogy lássam is, hogy ez nem elmélet, hanem gyakorlat?

Erre van valami hivatkozas?

"The ports & packages collection does NOT go through the thorough security audit that the OpenBSD base system does. Although we strive to keep the quality of the packages collection high, we just do not have enough human resources to ensure the same level of robustness and security."

http://www.openbsd.org/ports.html

Ha jól emlékszem, volt remote root exploit az lpd-jükben, miközben kint volt a weben, hogy 6-8 éve már nem volt ilyen a default installban.

Szó szerinti értelmezésben ez igaz. Csak a szó szerinti értelmezés használhatatlan a való életben. Ez számomra olyan, mint ha a marketingesek véres verejtékkel kerestek volna egy kategóriát, amiről nagy reklámdumákat lehet nyomatni.

Nem fogok linket keresni, de meg vagyok győződve róla, hogy ugyanezzel a témával kapcsolatban korábban neked már sikerült ugyanerre a véleményre jutni (átverés, nem igaz, stb), de akkor még nem okozott problémát fentebbi fogalmak definíciója :-)

(Én konkrétan még hittem az OBSD-ben akkor, amikor valamikor a 2.x környékén volt egy viszonylag hosszabb ideig tartó auditjuk, de ezt azóta rendesen hanyagolták. Speciel ha jól rémlik, a hosszútávú audit után nem sokkal találták meg a NetBSD-sek azt a kernel? bugot, ami speciel mindegyik BSD-t érintette, oszt az OBSD-sek a nagy kódellenőrzésben mégis elsiklottak felette. No mindegy, ez csak amolyan hangosan gondolkodás volt.)

Arra próbáltam célozni, hogy az IT Security azért ilyen szinten messze nem egzakt "tudomány" (és persze soha nem is lesz az). Nem lehet egyszerűen és egyértelműen kijelenteni komplett (és komplex :) rendszerekre, hogy egyik biztonságosabb, mint a másik, csak részleteiben lehet következtetéseket levonni.

Ha például az a kérdés, hogy egy puffer túlcsordulásos hibát melyik rendszeren egyszerűbb kihasználni, FreeBSD-n vagy OpenBSD-n, akkor szinte biztos, hogy FreeBSD-n egyszerűbb exploitálni, mert nem tartalmaz olyan prevenciós megoldásokat, mint az OpenBSD W^X és az ASLR (az, hogy mindkét feature a PaX-ból származik most mellékes :). Ez alapján máris azt lehetne mondani, hogy az OpenBSD biztonságosabb, tehát ha az említett "többi" rendszer között szerepel a FreeBSD, akkor máris nem igaz az állítás.

Ezért is írtam fentebb, hogy a kérdés nem csak az, hogy a feltelepített plusz programokban ugyanannyi hiba van-e, hanem az is, hogy ugyanolyan egyszerű-e kihasználni... (egyébként néha látni az OpenBSD ports-ban potenciális biztonsági hibákra való patcheket, szóval még azt se lehet biztosra kijelenteni, hogy a third-party applikációkban azonos a hibák száma más rendszerekkel összevetve, főleg hogy ezt még számos más körülmény is befolyásolja, pl. a függvénykönyvtárakban lévő potenciális hibák, vagy a fordító kódoptimalizációja)

Szóval ennél jóval árnyaltabb a valóság és nem csak ez alapján lehet (és kell) egy rendszert értékelni. Az meg persze nyilván ettől függetlenül igaz, hogy az OpenBSD állítása/szlogenje megtévesztő és laikusok megvezetésére alkalmas, de a reklámszövegek már csak ilyenek... Intelligens mosóporok világában élünk. :)

( akkos v | 2009. 10. 19., h – 15:34 )

vehetné Theo kicsit változatosabbra is a bejelentések elején...

( blackberry | 2009. 10. 20., k – 00:37 )

Egyre júzerbarátabb a telepítő :) Automatikusan particiókra osztja a hdd-t (ha kéred).

( bervi | 2009. 10. 22., cs – 01:48 )

i386-stable frissítve, amd64 majd holnap... vagy max azután :)

... illetve amikor nem döglik be a kernelfordítás vboxban :)

szerintem.