Linux kernel - helyi DoS

Milyen meglepo és váratlan.

Ugyan mar. A FreeBSD-ben mennyi ilyen volt iden? 10-15?

De volt az OpenBSD-ben is (talan meg csunyabb is)...

Persze hogy volt ezt nem is tagadom le. Itt nem is ezzel van problema hiszen az emberi tenyezo mindig is ott van. Itt a mennyisegrol van szo.

Ha az OpenBSD is olyan jó célpont lenne mint a Linux, abban is lenne ennyi.

Ezt en nem irnam ala. Hasonlitsd mar ossze egy BSD rendszer kódjának a minőségét és a linux kernel kódjának a minőségét. Most nem csak OpenBSD rol van van szó Hanem Free, Net, DragonFly ról is.

Most olvasom ESR - A katedralis es a bazar c. konyvet. Bar nem ertek a benne levo dolgokkal minden tekintetben egyet, vannak benne erdekes es elgondolkodtato gondolatok.

pl:

``8. Ha a betatesztelok es a tarsfejlesztok szama eleg nagy, majdnem minden problemat gyorsan azonosithatunk, es a megoldas is nyilvanvalo lesz valaki szamara.

Egyszerubben: ``Ha eleg sokan keresik, minden hiba komolytalan.'' Ezt hivom en Linus torvenyenek.''

Itt is ezt tortenik. A kernel fejlesztokon kivul mas is belenez a kodba. Ezt a hibat egy olyan orosz arc talalta meg, aki fenn sincs a listan. Vagy pl. A HUP bugot es olyanok talatak meg, akik nem kernel fejlesztok. Minel nagyobb egy rendszer felhasznaloi tabora, annal tobb bugot lehet felfedezni es javitani. Ez a bazar stilusu fejlesztes, amit Linus hozott a kepbe, szemben a katedralissal, amikor egy ember vagy egy maroknyi csapat fejeszt valami (pl. zart rendszerek). Az zart rendszereknel meg plusz bejon az is, hogy a forraskod sem ismert.

De ugyis lesz a konyvrol egy hosszabb cikk...

Thug

Mindig fikazod a linuxot es a GNU-t.

Milyen shellt hasznalsz? Milyen forditot? Milyen ...?

Kik is csinaljak az openssh-t?

Milyen es mennyi bug van/volt benne?

Pocsekolod itt masok idejet az ilyen hozzaszolasaiddal...

En hulye meg reagalok

En a GNU -t nem fikazom. Ezt nem tudom honnan szedted.

Milyen shellt használok? csh (csh appeared in 3BSD.)

Milyen forditod? gcc

OpenSSH != Operacios Rendszer

AKkor ne reagaljal.

Ugye jól látom, hogy 2.4es kernelt nem érinti ?

A FreeBSD-ben mennyi ilyen volt iden? 10-15?

annyi biztos nem. legalabb utananezhetnel, mielott ilyen hulyesegeket irsz. arrol nem is beszelve, h a FreeBSD egy operacios rendszer, a Linux meg csak egy kernel, igy a fbsd SA-k szamat ne akarjuk mar a linux kernel bugok szamaval osszehasonlitani (IMHO meg igy is alacsonyabb az elozo).

masreszt ha ekkora bugware a fbsd, akkor miert van a HUP-nak lassan 700 napos uptime-ja? ennyire nem torodsz vele?:)

no offense ofkoz:)

Kedves vili tudnam miert veszed allandoan szemelyes sertesnek ha a kedvenc rendszered negativ dologban szoba kerul... :-)

En a FreeBSD kernel local DoS-okrol beszeltem.. volt egypar ebben az evben nezz csak utana,

>h a FreeBSD egy operacios rendszer, a Linux meg csak egy kernel, igy a fbsd SA-k szamat ne akarjuk mar a linux kernel bugok szamaval osszehasonlitani (IMHO meg igy is alacsonyabb az elozo).

kernelrol beszeltem, senki nem beszelt ports-rol vagy userlandrol. Persze hogy nem lehet osszehasonlitani... mint ahogy a ket rendszer felhasznalotaboranak nagysagat es fejlesztoinek szamat sem... Lasd. kesobbi hozzaszolasom..

>masreszt ha ekkora bugware a fbsd, akkor miert van a HUP-nak lassan 700 napos uptime-ja? ennyire nem torodsz vele?:)

Nem gondolod komolyan, hogy erdekel egy local DoS ha nincs a rendszeren lokalis user? Mint ahogy Linux kernelben sem erdekel a local DoS ha nincs helyi user

>> OpenSSH != Operacios Rendszer

itt mindig tanulok valami ujat

de erted ne hasonlitsunk mar ossze egy motort meg egy muszerfalt.

Oszinten szolva, vannak mindkettoben ilyeszto reszek. Neztem eleg sok Linux kodot (hi, lkml!), meg NetBSD-t is - es az lett a hatarozott erzesem, hogy NetBSD is (meg imho ugy altalaban a BSDk) ha ugyanolyan jo celpontok lennek, mint a Linux, legalabb annyi DoS-t talalnanak benne.

A Linux az meno, azt nyomja mindenki => nagyobb a buta userek szama is. Ahol sok a buta user, azt a rendszert erdemes tamadni. Mivel BSDt lenyegesen kevesbe nyomjak, kevesebb a buta user is (nagy szamok torvenye, ugye, hozza a buta usereket is), ergo, kevesbe erdemes tamadni.

De ez kozel sem jelenti azt, hogy attol olyan hudebiztonsagosak meg sokkal jobb minoseguek lennenek, mint a Linux. Ugyanugy ahogy "tobb szem tobbet lat", "tobb buta user tobb crackert/biztonsagi szakembert vonz".

(Kedvencem egy par eves eset, mikor Al Viro (Linux VFS uber-guru) kuldott egy ari kis levelet BugTraqra, melyben felhivta a figyelmet az OpenBSD UFS-ben (asszem ufs volt... de valami filesystem, es nem mashonnan atvett cucc, pl ext2fs) levo fasza kis race conditionre, amit szerinte egy egyszeru audittal eszre lehetett volna venni (az OpenBSDsek meg arra buszkek hogy ok mindent auditalnak), megsem tettek => az a resz sosem volt auditalva). Mindenhol vannak ilyenek. Csak ha kevesen nezik, nem mindig latjak meg.

Software sucks, ez van >;)

> OpenSSH != Operacios Rendszer

Tobbszor elolvastam a hozzaszolast, de tovabbra sem latom, ki allitotta ennek ellenkezojet.

Arrol beszelek hogy semmi ertelme osszehasonlitani a kettot.

kedves trey,

ott volt a vegen a no offense meg a szmajli is, szal nem vettem sertesnek (remelem te sem). az a 10-15 olyan minimum 2-3x-osa a valodi adatnak. nem mindegy h 4-5 vagy 10-15 (ami havi szinten kb 2-t jelentene iden).

masreszt olyan h ``nincs lokalis user'' nem letezik. a publikusan elerheto service-ek (ha mas nem az ssh + apacs) szted uid nelkul futkorasznak?:)

mindazonaltal bocsanatodat kerem, h tulzo es sztem nem megfeleloen alatamasztott kijelentesedet cafolni mereszeltem:) lehet h neked van igazad (bevallom en sem neztem utana, de azert eleg rendszeresen olvasom a freebsd-security@ listat, kethetente nem szokott local DoSrol advisory jonni, ebben szinte 100% biztos vagyok).

A linux es OBSD kernelt van ertelme osszehasonlitani?

Nekem semmi bajom az OBSD-vel.

Tul elfogult vagy. OBSD OBSD OBSD AHH AHH AHH

>ott volt a vegen a no offense meg a szmajli is, szal nem vettem sertesnek (remelem te sem). az a 10-15 olyan minimum 2-3x-osa a valodi adatnak. nem mindegy h 4-5 vagy 10-15 (ami havi szinten kb 2-t jelentene iden).

Nem vettem annak.

Egy miatt szoltam, az az, hogy unamas mar ez a BSD uber duma. En hasznalom mindegyiket, mindegyiknem megvan a maga keresztje...

>10-15 olyan minimum 2-3x

Ha a 4-5-ot ugy jelentenek be ahogy a Linux kernelnel (minden kernel verzional kulon) akkor meg lenne a szam. Ha ugy vesszunk hogy egy bejelentes az ``erintett verziok FreeBSD 2.x-tol a FreeBSD mai napi current-ig, akkor valoban kevesebb. Teljesen mas a ket rendszer release-lesenek modja (FreeBSD fel evente a fel evekben a -currentben levo hibakat kijavitjak aztan arrol SA se van mindig, csak ha erinti a release/stable agat is ha jol tom, cafolj meg ha nem igy van), a Linux kernel meg van ugy hogy naponta jon ki.

>masreszt olyan h ``nincs lokalis user'' nem letezik. a publikusan elerheto service-ek (ha mas nem az ssh + apacs) szted uid nelkul futkorasznak?:)

ssh nem elerheto, apache meg frissitve van. abban igazad van hogy van olyan szerviz ami helyi felhasznalo neveben fut, de ez nem jelenti azt, hogy tavolrol triggerelheto a hiba pl. apache-n keresztul. mert akkor mar nem helyinek hivjak hanem remote-nak AFAIK

>mindazonaltal bocsanatodat kerem, h tulzo es sztem nem megfeleloen alatamasztott kijelentesedet cafolni mereszeltem:)

En sem neztem utana, de ez kb. olyan szam volt, mint azt mondani kategorikusan, hogy a Linux *****. Mindegyiket meg lehet csinalni jora es szarra is. (Egyebkent ha annyiszor kernelt forditottam volna a 4.7-RC1 ota, ahany FreeBSD SA van, nem lenne meg 30 napos uptime se. - legutolso kernelforditassal jaro SA a linux compat jun 30-an kelt, de ha azt mondod, h ugyse hasznalom, akkor ott a jun 07-én kelt jailroute SA :-)

Nincs is ertelme osszehasonitani mivel a linux kernel egy nagy rakas kaka.

a BSD uber duma telleg unalmas, de ugyanilyen unalmas a Linux uber meg a ``le a M$-tal'' propagandagepezet aktualis megnyilvanulasa is IMHO. amugy meg en nem az ``iget'' probalom terjeszteni, csak arra igyekeztem ravilagitani h az altalad emlitett szam eleg legbol kapott volt (amiben biztos volt szerepe thuglife kommentjenek is, amit nem kell komolyan venni nala:)

Egyetértek. BSD über duma tényleg unalmas, de a Linux állandó favorizálása már inkább szánalmas. :)

Aki meg állandóan az MS-t pocskondiázza az nézzen utána annak, hogy a Windows kernelben mikor találtak utoljára hibát. (RPC, IE, stb. != kernel)

thuglife pedig egy beépített lázító! ;D