kernel.org pwn3d

A vicc az, hogy egy script kiddie volt (vagy mégrosszabb, egy bot), úgyhogy jól mutatja milyen remekül van védve a kernel.org infrastruktúra és mennyire van biztonságban a Linux kernel forráskódja és a kapcsolódó projektek...

Szerk.: buherator részletesebben ír róla a blogjában.

( saxus | 2011. 08. 31., sze – 23:40 )

Lemaradtam valamiről?

----------------
Lvl86 Troll

( Zaneck | 2011. 08. 31., sze – 23:44 )

Nem tudjuk, hogy egy script kiddie volt-e (vagy egy bot) és biztonságban vannak a repositoryk, mivel azokat nem érinti ez az eset.

Ettől persze még meglehetősen kellemetlen a helyzet.

ilyenkor azert jo, hogy nem svn-t hasznalnak a kernel fejlesztesehez.
ott siman meg tudnad hamisitani a repot historyval egyutt ugy, hogy eleg nehez lenne eszrevenni.
ezzel szemben a git-nel eloszor kellene nemi sha1 utkozeseket generalni, majd az osszes clone-t megpatkolni, anelkul hogy valaki eszrevenne.
http://simone-bruno.blogspot.com/2010/02/git-security-model.html

igy viszont maximum csak a tamadas idopontja utani commitokat kell atnezni.
szerintem az nagyobb szopas lehet, hogy barki aki az erintett gepeken tarolt privat kulcsot, vagy besshzott a tamadas ota, annak a privat kulcsat, jelszavat fel lehet hasznalni tovabbi tamadasokhoz(pl. a letoltheto tarballok manipulalasahoz, vagy mar csak git-en keresztul erheto el a kernel forras?).

Tyrael