The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы
правила/FAQ
поиск
регистрация
вход
слежка
RSS


Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..., opennews (?), 05-Дек-19, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


1. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +7 +/–
Сообщение от лютый жжж.... (?), 05-Дек-19, 09:18 
Only two remote holes in the default install, in a heck of a long time!

сказочка так и будет висеть на главной?

Ответить | Правка | Наверх | Cообщить модератору

2. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +11 +/–
Сообщение от ssh (ok), 05-Дек-19, 09:23 
> сказочка так и будет висеть на главной?

Напиши Тео, задай вопрос.

Ответить | Правка | Наверх | Cообщить модератору

3. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +13 +/–
Сообщение от xl (?), 05-Дек-19, 09:25 
> сказочка так и будет висеть на главной?

Печально. Среагировали конечно быстро и исправили, но такие ошибки стимулируют. Всё-таки ОпенБСД бежит вперёд паровоза и создаёт вокруг себя слишком сильный хайп о секурити, хотя это не совсем соотвествует действительности. Если на неё будут обращать внимание - будет больше багов. Просто ОпенБСД не пользуется особой популярностью. Стоит только какой-нибудь группе ресёрчеров присмотреться внимательнее, так в ОпенБСД находят фэйл на фэйле. Так что да - сказочка так и будет висеть на главной.

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

54. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  –9 +/–
Сообщение от bOOster (ok), 05-Дек-19, 12:23 
Я тебе по секрету скажу Security/Безопасность это не обьем выявленных или нет ошибок - это скорость их исправления.
а у OpenBSD конкурентов в этом нет.

Не пойти ли тебе в школу, мальчик? Вместе с хайпом.

Ответить | Правка | Наверх | Cообщить модератору

67. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +9 +/–
Сообщение от Гендальф (?), 05-Дек-19, 12:59 
+1 сектант. К вечеру подбежит ещё с десяток.

> это скорость их исправления

Так и запишем - в OpenBSD своё рёшeто штопают очень-очень быстро.

> конкуренты

Количество разработанных эксплойтов для нетки в два раза меньше, чем для опенки. ХардндБСД из коробки даёт больше фич, чем в опенке. Опёнок и секурити - это миф. Был даже сайт когда-то вайдопенбсд.ком, там чел лулзов ради рассматривал примитивнейшие баги в нутрях опёнка. Потом ему просто надоело платить за доменное имя.

> Не пойти ли тебе в школу, мальчик? Вместе с хайпом.

Могу тебя сводить в школу, если хочешь. У меня сегодня работы много. Нужно на многих форумах отлупить по попе сектантов. Не только тут на опеннете. Так что извиняй.

Ответить | Правка | Наверх | Cообщить модератору

77. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от Michael Shigorinemail (ok), 05-Дек-19, 13:34 
>> Я тебе по секрету скажу Security/Безопасность это не обьем
>> выявленных или нет ошибок - это скорость их исправления.

Это "динамическая" безопасность -- новомодный подход, приводящий к необходимости постоянной траты ресурсов на "безопасность".

В опёнке всегда занимались и хвалились как раз обратным -- proactive security, когда не кастрюлю завариваем прямо при варке супа (сколь угодно быстро), а обеспечиваем подходящий материал и достаточную толщину днища и стенок _заранее_.

> Так и запишем - в OpenBSD своё рёшeто штопают очень-очень быстро.

Если что, мне лично NetBSD попадается на местности ещё реже, чем опёнок -- хотя знаком с разработчиками этого всего.  В сумме, впрочем, всё равно примерно никогда.

Ответить | Правка | Наверх | Cообщить модератору

83. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от bOOster (ok), 05-Дек-19, 14:05 
>[оверквотинг удален]
>>> выявленных или нет ошибок - это скорость их исправления.
> Это "динамическая" безопасность -- новомодный подход, приводящий к необходимости постоянной
> траты ресурсов на "безопасность".
> В опёнке всегда занимались и хвалились как раз обратным -- proactive security,
> когда не кастрюлю завариваем прямо при варке супа (сколь угодно быстро),
> а обеспечиваем подходящий материал и достаточную толщину днища и стенок _заранее_.
>> Так и запишем - в OpenBSD своё рёшeто штопают очень-очень быстро.
> Если что, мне лично NetBSD попадается на местности ещё реже, чем опёнок
> -- хотя знаком с разработчиками этого всего.  В сумме, впрочем,
> всё равно примерно никогда.

Каких ресурсов, че за бред?! ЧИТАЕМ ВНИМАТЕЛЬНО - разговор идет о скорости пропатчивания дырок производителем системы. О каких затратах ресурсов речь!? И кем затратах ресурсов? Самим производителем системы чтоли?!??

Хотя ты видимо оговорился, так сказать ПО ФРЕЙДУ, видимо такая бизнес модель в Альте? так называемой "Динамической безопасности"??? Так сказать подождать пока заплатят - а иначе в ядре Линя ошибки живут годами!?? Ну да, на Линь очень похоже.

Ответить | Правка | Наверх | Cообщить модератору

93. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от Michael Shigorinemail (ok), 05-Дек-19, 14:21 
> Каких ресурсов, че за бред?! ЧИТАЕМ ВНИМАТЕЛЬНО - разговор идет
> о скорости пропатчивания дырок производителем системы. О каких
> затратах ресурсов речь!? И кем затратах ресурсов?
> Самим производителем системы чтоли?!??

Предлагаю Вам выключить эмоции, включить назад голову и думать.

На ПРОПАТЧИВАНИЕ ПРОИЗВОДИТЕЛЕМ время, состояние головы, силы -- нужны?
Нужны.
Значит, это и запишем в необходимые ресурсы.

На ВЫКАТЫВАНИЕ ПАТЧЕЙ по боевым системам это всё тоже нужно.

Теперь перечитайте написанное мной, вдохните, выдохните, если остаётся что сказать по существу -- скажите.

PS: альт из линуксов изначально один из самых близких к опёнку в части подходов, особенно той самой proactive security.  Ближе -- пожалуй что Openwall из того, что встречалось мне.  Можете спросить что Чеусова, что Грабина или Нечаева.

Ответить | Правка | Наверх | Cообщить модератору

97. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от bOOster (ok), 05-Дек-19, 14:27 
> На ПРОПАТЧИВАНИЕ ПРОИЗВОДИТЕЛЕМ время, состояние головы, силы -- нужны?
> Нужны.
> Значит, это и запишем в необходимые ресурсы.
> На ВЫКАТЫВАНИЕ ПАТЧЕЙ по боевым системам это всё тоже нужно.

ЭЭЭЭммм.. А че, с момента написания первой программы на калькуляторе все это работало как то по другому?!?

Ответить | Правка | Наверх | Cообщить модератору

99. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от Michael Shigorinemail (ok), 05-Дек-19, 14:32 
> А че, с момента написания первой программы на калькуляторе все это
> работало как то по другому?!?

Вообще-то да, если Вы и калькуляторы пропустили. (если нет -- вспомните да подумайте ещё; например, над _характером_ расхода времени при создании и "выкатывании" программы)

Ответить | Правка | Наверх | Cообщить модератору

101. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от bOOster (ok), 05-Дек-19, 14:38 
>> А че, с момента написания первой программы на калькуляторе все это
>> работало как то по другому?!?
> Вообще-то да, если Вы и калькуляторы пропустили. (если нет -- вспомните да
> подумайте ещё; например, над _характером_ расхода времени при создании и "выкатывании"
> программы)

Над каким характером расхода времени??
У тебя разговор идет о безопасности решения. Как пример - тебе написали  что при проведении транзакции твое решение теряет один цент. А ты сидишь и думаешь "над характером расхода времени" ну и само собой "а исправить ли мне это сейчас или через год", а тут конкуренты с таким же решением только без этой проблемы - и что? Чье решение будет безопаснее??

Ответить | Правка | Наверх | Cообщить модератору

103. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от bOOster (ok), 05-Дек-19, 14:42 
>> А че, с момента написания первой программы на калькуляторе все это
>> работало как то по другому?!?
> подумайте ещё; например, над _характером_ расхода времени при создании и "выкатывании"

Бизнесмены пля, с "характером расхода времени",  всю отрасль в вонючее болото превратили.
ПыСы я не сторонник отрыва IT от бизнеса, я сам руководитель IT подразделения, но оголтелое Бизнес вмешательство в IT ведет к тому что даже стоящие программисты/админы/системщики вырождаются - а приходят какое-то отребье.


Ответить | Правка | К родителю #99 | Наверх | Cообщить модератору

104. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от Michael Shigorinemail (ok), 05-Дек-19, 14:48 
> Бизнесмены пля, с "характером расхода времени",  всю отрасль
> в вонючее болото превратили.

Ровно наоборот -- _без_ характера.  И без плана.  Сиюминутная эфемерная прибыль, а дальше хоть трава не расти.

> ПыСы я не сторонник отрыва IT от бизнеса, я сам руководитель IT
> подразделения

Уж не знаю, какой Вы руководитель, если неспособны заметить в прозрачном намёке тот факт, что на куркуляторе программу, как правило, приходилось руками вдалбливать после (повторного) включения (да, у меня не было тех модулёчков ППЗУ к МК-52 или -54, кто из них был горизонтальным) -- а СТРУКТУРА расхода времени на выкатывание тех же исправлений сейчас всё-таки не подразумевает ковыряния каждого бинарника на каждой машине hexedit'ом.

И уж тем более не оперирующий словом "ресурсы" СХОДУ.

Может, просто задолбанный или не с той ноги вставший...

В любом разе -- доброго дня Вам, идёмте полезное делать.

Ответить | Правка | Наверх | Cообщить модератору

106. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от bOOster (ok), 05-Дек-19, 15:05 
> тот факт, что на куркуляторе программу, как правило, приходилось руками вдалбливать
> после (повторного) включения (да, у меня не было тех модулёчков ППЗУ
> к МК-52 или -54, кто из них был горизонтальным) -- а

Именно об этом я и говорю и абсолютной необходимости это делать невзирая на "характер расхода времени" если нужно что-то исправить и программка нужна.
Честно говоря, от тебя как человека с "характером расхода времени" я ожидал большего - хотя-бы умения расставлять приоритеты и делить "расход времени" на требующие абсолютного внимания и исправления - как то как раз безопасность, и баги которые можно отложить в долгий ящик. Читал читал пост за постом и никак этого не увидел. Говоришь об одном в ключе будто все "баги" равны. Хотя я по моему тексту намекал на приоритезацию.

Ответить | Правка | Наверх | Cообщить модератору

111. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +4 +/–
Сообщение от Дон Ягон (ok), 05-Дек-19, 15:59 
> В опёнке всегда занимались и хвалились как раз обратным -- proactive security

Справедливости ради, этим всегда больше всех хвалились Pax Team. Они и лидеры по количеству "секурити фич" и наиболее распиаренные товарищи в целом.

OpenBSD свои проактивные защиты внедряло очень постепенно и осторожно. Тот же W^X был внедрён только после длительного аудита ядра и базовой системы. И в итоге, в самой системе он ничего не ломает. И отличается от pax'овского W^X.

Pax Team всегда топили за то, что качество кода не имеет значения, главное - проактивные защиты.
(и огребли по меньшей мере раз local root в своих патчах, ага)
OpenBSD всегда топили за то, что без поиска и устранения багов и улучшения кода никакие проактивные защиты не помогут.

Как-то так.

Ответить | Правка | К родителю #77 | Наверх | Cообщить модератору

165. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +1 +/–
Сообщение от bircoph (ok), 10-Дек-19, 12:04 
> Это "динамическая" безопасность -- новомодный подход, приводящий к необходимости постоянной траты ресурсов на "безопасность".

И какой же он новомодный? Шнайер ещё в 1999 году писал: The mantra of any good security engineer is: "Security is a not a product, but a process." Вот подтверждение: https://www.schneier.com/essays/archives/1999/10/risks_of_re...

Хорошо, что ребята и опёнка это понимают и не ограничиваются проактивной защитой. Она тоже полезна, но не отменяет того, что безопасность — это процесс, а не результат.

А вот дубы из сертифицирующих органов это не очень понимают. Есть бумажка — значит безопасно указанный в ней срок, а это обычно несколько лет. Ну хоть CVE стали требовать закрывать, а то совсем смешно было. Хотя вот интересная информация для размышления: чем выше степень защиты и сертификации или аттестации, тем дольше она проходит, тем старее там софт, тем больше в нём дыр, тем слабее защита. А по бумажкам всё наоборот.

Ответить | Правка | К родителю #77 | Наверх | Cообщить модератору

166. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от Аноним (166), 10-Дек-19, 13:37 
OpenBSD появилась в 1995, ищите цитату получше.
Ответить | Правка | Наверх | Cообщить модератору

88. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  –2 +/–
Сообщение от bOOster (ok), 05-Дек-19, 14:14 
>[оверквотинг удален]
>> конкуренты
> Количество разработанных эксплойтов для нетки в два раза меньше, чем для опенки.
> ХардндБСД из коробки даёт больше фич, чем в опенке. Опёнок и
> секурити - это миф. Был даже сайт когда-то вайдопенбсд.ком, там чел
> лулзов ради рассматривал примитивнейшие баги в нутрях опёнка. Потом ему просто
> надоело платить за доменное имя.
>> Не пойти ли тебе в школу, мальчик? Вместе с хайпом.
> Могу тебя сводить в школу, если хочешь. У меня сегодня работы много.
> Нужно на многих форумах отлупить по попе сектантов. Не только тут
> на опеннете. Так что извиняй.

Никогда OpenBSD не касался и не планирую. И вопрос не в том

Я в афиге, давно доказано что "Плановая экономика" худшее что может быть в принципе, особенно когда по такому принципу живут и отчитываются менты и иже с ними, и все равно находяться индивидуумы недалекого ума которые уровень безопасности количеством эксплойтов, а то еще лучше - количеством патчей считают. (facepalm) Ну а че, самый дубовый способ как и "плановая экономика" - преступлений должно быть столько-то а раскрытий столько-то. А дальше хоть трава не расти.

Ответить | Правка | К родителю #67 | Наверх | Cообщить модератору

90. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +1 +/–
Сообщение от Michael Shigorinemail (ok), 05-Дек-19, 14:16 
> Я в афиге, давно доказано что "Плановая экономика"
> худшее что может быть в принципе

А кем доказано, как именно и почему тот же интел живёт де-факто по плану?

Ответить | Правка | Наверх | Cообщить модератору

94. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +1 +/–
Сообщение от bOOster (ok), 05-Дек-19, 14:22 
>> Я в афиге, давно доказано что "Плановая экономика"
>> худшее что может быть в принципе
> А кем доказано, как именно и почему тот же интел живёт де-факто
> по плану?

Ты че, пьяный сегодня чтоле?
Причем тут интел и его экономика? Еще раз мозговые извилины напряжем - "плановая экономика" плохо так как оторвана от реальности почти всегда! "Проектная хорошо" в 99%

Ответить | Правка | Наверх | Cообщить модератору

100. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  –1 +/–
Сообщение от Michael Shigorinemail (ok), 05-Дек-19, 14:33 
> Ты че, пьяный сегодня чтоле?

NO U.

> Причем тут интел и его экономика? Еще раз мозговые извилины напряжем -
> "плановая экономика" плохо так как оторвана от реальности почти
> всегда! "Проектная хорошо" в 99%

На такие заявления остаётся пожать плечами в духе "если брак по расчёту оказался счастливым, значит, расчёт был правильным".

PS: что с Вами?..

Ответить | Правка | Наверх | Cообщить модератору

169. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от www2 (??), 12-Дек-19, 12:13 
На рынке качественных товаров не найти, т.к. предложений может быть много, но покупают обычно у тех, кто предложит подешевле. В результате производители качественной продукции для повышения конкурентоспособности часто вынуждены снижать цены и вместе с ними - качество продукции.

По означенной выше причине на рынке нельзя достать детали для устаревшей техники, или ремонтопригодную технику, т.к. старая техника часто оказывается в состоянии конкурировать с новой, более дешёвой и менее качественной. Но доступность деталей снижает продажи новой техники.

Рынок не работает, если нужно изготовить технически очень сложную продукцию, в производстве которой должны участвовать тысячи промышленных предприятий. Выбор в таком случае либо отсутствует вовсе, либо приходится подстраиваться под предложения. Например, при необходимости совершить запуск одной тяжёлой космической станции, под неё невозможно найти ракету-носитель: рынок просто не будет производить то, что стоит колоссальных денег, но на что нет гарантированного регулярного спроса. Такие вещи неизбежно будут производиться на заказ и по плану.

Рынок не способен решать проблемы эффективно, с использованием синергетического эффекта. При рынке на электростанциях ставятся градирни, а частные дома отапливаются индивидуальными печками. При плане ТЭЦ охлаждает отработанный пар, отопляя коллективные жилища.

При рынке сложно строить инфраструктуру - то, чем будут пользоваться все. Люди хотят пользоваться, но не хотят складываться на её строительство. Когда же люди готовы вкладываться в инфраструктуру, формируется несколько параллельно действующих инфраструктур, имеющих меньшую надёжность и стоящих дороже. Примеры - базовые станции сотовых операторов, находящиеся поблизости друг от друга, коммутаторы разных провайдеров в одних и тех же домах.

На самом деле рынок хорош только для простой и востребованной продукции. Условно говоря, каждый способен вязать простые веники, а сложный автомобиль может быть любого цвета, при условии что он чёрный. Когда нужна сложная качественная дорогая и мало востребованная продукция, план неизбежен.

Ответить | Правка | К родителю #94 | Наверх | Cообщить модератору

127. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +1 +/–
Сообщение от Какаянахренразница (ok), 05-Дек-19, 18:35 
> почему тот же интел живёт де-факто по плану?

По госплану??? Если по своему собственному, то это не плановая экономика.

Ответить | Правка | К родителю #90 | Наверх | Cообщить модератору

118. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +2 +/–
Сообщение от Anonymoustus (ok), 05-Дек-19, 17:56 
> Никогда OpenBSD не касался и не планирую. И вопрос не в том

Бездарь этот ваш Карузо! Я точно знаю, мне Рабинович напел.

Ответить | Правка | К родителю #88 | Наверх | Cообщить модератору

150. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от ssh (ok), 06-Дек-19, 03:45 
> давно доказано что "Плановая экономика" худшее что может быть в принципе, особенно когда по такому принципу живут и отчитываются менты

Давай поговорим об этом! Как-то только встречается где-то фраза вида: "Давно доказано...", "Как всем хорошо известно..." -- это маркер флудера и болтуна. Потрешь/капнешь и выяснится, что и не доказано, а если попытки были, то они говорливому персонажу не известны. ;)

А "менты" отчитываются, потому что с них требуют, не требовали бы показатели, они бы и не отчитывались. Я скорее согласен, что показатели нужны и важны для криминальной милиции, но зачем они для общественной безопасности для меня тайна.

Ответить | Правка | К родителю #88 | Наверх | Cообщить модератору

92. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от bOOster (ok), 05-Дек-19, 14:19 
>[оверквотинг удален]
>> конкуренты
> Количество разработанных эксплойтов для нетки в два раза меньше, чем для опенки.
> ХардндБСД из коробки даёт больше фич, чем в опенке. Опёнок и
> секурити - это миф. Был даже сайт когда-то вайдопенбсд.ком, там чел
> лулзов ради рассматривал примитивнейшие баги в нутрях опёнка. Потом ему просто
> надоело платить за доменное имя.
>> Не пойти ли тебе в школу, мальчик? Вместе с хайпом.
> Могу тебя сводить в школу, если хочешь. У меня сегодня работы много.
> Нужно на многих форумах отлупить по попе сектантов. Не только тут
> на опеннете. Так что извиняй.

И да, насчет сектантства, тебе в голову то и не пришло что по данному принципу живут и другие системы не только OpenBSD, только патчи различаются скоростью реакции, что дает потенциальному атакующему большую свободу действий? НЕ?!
Отшлепать он сектантов решил. Хотябы бардак в голове упорядочил, домыслы и мысли должны хотя-бы на основополагающих принципах базироваться. А то так - треп получается.

Ответить | Правка | К родителю #67 | Наверх | Cообщить модератору

102. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +2 +/–
Сообщение от Дон Ягон (ok), 05-Дек-19, 14:41 
> +1 сектант. К вечеру подбежит ещё с десяток.

Меня ещё запиши.

> Так и запишем - в OpenBSD своё рёшeто штопают очень-очень быстро.

И это правда важно. Правда, они-то как раз, обычно, не сильно быстрее всех прочих - размер коллектива сказывается. Тот же meltdown (по понятным причинам) они сильно позже прочих починили.

> Количество разработанных эксплойтов для нетки в два раза меньше, чем для опенки.

Я статистику не собирал, но даже если и так - то что?
Мерять число эксплоитов в отрыве от популярности - абсурд.
Не, я ничего не хочу сказать, NetBSD - хорошая ОС, но выставлять её такой безопасной альтернативой OpenBSD - тупость. В ней тоже есть дыры. Как и везде.

> ХардндБСД из коробки даёт больше фич, чем в опенке.

Фичи - это к линуксоидам, пожалуйста, они ими меряться любят. HardenedBSD - бездумное глюкалово, в котором тупо перенесены grsec патчи на фряшное ядро, ну и своего немного накручено по-минимуму.
Как следствие, оно наследует все уродства решений из grsec. Типа pax w^x, который будучи включенным полностью ломает часть приложений и принуждает выключать для них защиту через paxctl.
Да-да, я про "Restrictions on mprotect to prevent switching pages between writable and executable". То ли дело OpenBSD, в которой не запрещают переключать исполняемость страниц всем и сразу, но позволяет отозвать эту возможность через pledge!
Пока любители pax отключают свои защиты для chrome и наслаждются "фичами" и "безопасностью", опенбсдшники усиляют его другими способами (pledge, unveil) и пытаются делать такие инструменты проактивной защиты, которые можно использовать на практике, а не только выключать, чтобы хоть что-то работало.
Но вы продолжайте меряться фичами, ага.

> Был даже сайт когда-то вайдопенбсд.ком, там чел лулзов ради рассматривал примитивнейшие баги в нутрях опёнка.

Почитал. Примитивные набросы pax-истерички, пытающейся делать вид, что тот факт, что OpenBSD не меняет слоган из-за, например, local root - это проблема.
Но проблема в том, что автор не умеет читать. В слогане прямым текстом написано про remote holes и default install.
А все остальные дыры (наличие которых НИКТО не отрицает) фиксятся также как и те две, которые привели к смене слогана.

Если кто-то считает, что OpenBSD неуязвима, или считает, что разработчики OpenBSD считают, что она неуязвима и в ней дыр нет - те, кто так считают не разобравшиеся ни в чём неадекваты.
В OpenBSD лишь стремятся к подобному (очевидно, недостижимому) раскладу и ставят вопросы безопасности во главу угла.

Ответить | Правка | К родителю #67 | Наверх | Cообщить модератору

117. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +1 +/–
Сообщение от Аноним111 (?), 05-Дек-19, 17:39 
> выставлять её такой безопасной альтернативой OpenBSD - тупость

Тупость - говорить вышеприведённую фразу, так как вполне может быть и так, что NetBSD более защищённая ОС. Не так ли? Можно ведь такое допустить?

> В ней тоже есть дыры

Безусловно. Дыры есть везде. В OpenBSD, и в NetBSD. И дыр в NetBSD (может статься так) например, может быть и меньше. Скоро выйдет NetBSD 9.0 вот и посмотришь какие security-технологии там будут.

Ответить | Правка | Наверх | Cообщить модератору

123. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от Дон Ягон (ok), 05-Дек-19, 18:17 
>> выставлять её такой безопасной альтернативой OpenBSD - тупость
> Тупость - говорить вышеприведённую фразу, так как вполне может быть и так, что NetBSD более защищённая ОС. Не так ли? Можно ведь такое допустить?

Допустить можно абсолютно всё что угодно. Но если мы хотим заниматься не пустым теоретизированием, то не обязательно, что стОит этим заниматься.

Безопасность, если уж на то дело пошло, никто измерять не умеет. Можно лишь оценивать, какие меры принимаются для её обеспечения и осторожно делать выводы.

И OpenBSD и NetBSD уделяют значительное внимание качеству кода и корректности. И стремятся избавить код от уязвимостей.

Также обе ОС внедряют в базу разнообразные проактивные средства защиты. В OpenBSD оно, в основном, своё, в NetBSD - куски портированного PAX + некоторые свои разработки, типа veriexec, которые в теории забавны, а на практике не используются и отключены по-умолчанию.

OpenBSD практикует "безопасность по-умолчанию", т.е. всяческие "защиты" обычно неотключаемы и не препятствуют обычной работе ОС и приложений.
В NetBSD проактивные средства защиты включены по дефолту не все (потому что включение всех будет что-то ломать или сложно в сопровождении, как тот же veriexec).

Пожалуй, принципиальная разница в подходах к безопасности у этих ОС только в этом.

Какие выводы нужно из этого сделать - я точно не знаю.
Подход OpenBSD выглядит как более направленный на обеспечение безопасности, но это не значит, что NetBSD дырява и там положен болт на секурити.

> И дыр в NetBSD (может статься так) например, может быть и меньше.

Как ты это меряешь?

> Скоро выйдет NetBSD 9.0 вот и посмотришь какие security-технологии там будут.

Я примерно знаю, что там будет. KASLR, да? Если есть что сказать по-существу - не стесняйся, излагай.

Ответить | Правка | Наверх | Cообщить модератору

126. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  –3 +/–
Сообщение от Аноним (-), 05-Дек-19, 18:34 
> Как ты это меряешь?

Абсолютно так же, как и ты. Ты решил (не обладая при этом никакими основаниями), что NetBSD не может быть безопасной альтернативой OpenBSD. Как ты это меряешь? Вот я тебе говорю об обратном. Что это вполне может быть. Такая же логика, как и у тебя.

> Если есть что сказать по-существу - не стесняйся

Странный ты паренёк. То есть, не обладая данными о NetBSD, ты, тем не менее, безапеляционно утверждаешь "выставлять её такой безопасной альтернативой OpenBSD - тупость". Ты сам понимаешь, что ты творишь?

> там будет. KASLR, да?

Там будет KASLR, KLEAK, KASAN, KUBSAN, KCOV, userland sanitizers, audited network stack и многое другое. Ну ты типо мог зайти да почитать формальные данные на релиз-кандидат 1. Я ведь не ленюсь читать доки, майл-листы и новости openbsd, потому что в отличии от тебя я не фанатик каких-то ОС, мне важна суть вещей.

Ответить | Правка | Наверх | Cообщить модератору

130. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +2 +/–
Сообщение от Дон Ягон (ok), 05-Дек-19, 18:51 
> Ты решил (не обладая при этом никакими основаниями), что NetBSD не может быть безопасной альтернативой OpenBSD.

Нет, я решил не так. Я вообще ничего не решил. Я утверждаю, что на основании того, что, ВОЗМОЖНО, к NetBSD существует меньше публичных эксплоитов, чем к OpenBSD нельзя делать вывод о том, что она безопаснее.
Обратного утверждать тоже нельзя.

> То есть, не обладая данными о NetBSD, ты, тем не менее, безапеляционно утверждаешь "выставлять её такой безопасной альтернативой OpenBSD - тупость". Ты сам понимаешь, что ты творишь?

Вполне. А вот ты - нет.
Данными о NetBSD я в какой-то мере обладаю, и ничего из того, что я знаю не заставляет меня считать, что NetBSD потенциально безопаснее OpenBSD. Что OpenBSD потенциально безопаснее NetBSD я, кстати, тоже не считаю, потому что повторюсь, непонятно, как это всё измерять.
Проактивные средства защиты в OpenBSD более продвинутые и интегрированные в систему, это да, но это не единственный важный критерий и гарантией не является.
Текущая новость - лишь один из примеров тому.

> Там будет KASLR, KLEAK, KASAN, KUBSAN, KCOV, userland sanitizers, audited network stack и многое другое. Ну ты типо мог зайти да почитать формальные данные на релиз-кандидат 1.

Ну так я и почитал. Только на всё кроме KASLR по-сути, можно приположить в контексте секурити. Найдут и пофиксят какие-то дыры с помощью санитайзеров - хорошо. Это будет успехом.
А в отрыве от подобных успехов это просто полезное улучшение, а не "секурити-фича" (дико бесит это словосочетание).
Т.е. все секурити-внедрения по-факту - это KASLR. Это, конечно, хорошо, только это как бы года два назад примерно надо было делать.

>  Я ведь не ленюсь читать доки, майл-листы и новости openbsd, потому что в отличии от тебя я не фанатик каких-то ОС, мне важна суть вещей.

Ты молодец. И кругом прав. А я фанатик и пишу левой рукой. Потому что в правой писюн, который я надрачиваю на опенбсд.
Если тебе важна суть вещей, давай их и обсуждать, а не разбавлять не очень-то тонкие набросы на опенбсд унылыми переходами на личности.

Ответить | Правка | Наверх | Cообщить модератору

145. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +3 +/–
Сообщение от Аноним (166), 06-Дек-19, 01:29 
> ОпенБСД бежит вперёд паровоза и создаёт вокруг себя слишком сильный хайп о секурити

Хайп создают не особо внимательные и сообразительные, зато зело скорые на выводы личности. Которые знают лишь любовь и ненависть.

Проект OpenBSD не кричит на каждом углу, что данная ОС — самая лучшая и самая безопасная, но лишь утверждает своей целью создание безопасной и удобной — в понимании разработчиков! — операционной системы. Кричат же восторженные фанатики, которых, увы, найдётся предостаточно в любом сообществе. И которые подставляют это сообщество порой куда сильнее, чем целенаправленные атаки на оное.

Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

4. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +8 +/–
Сообщение от sstj3n (?), 05-Дек-19, 09:26 
Чем сильнее сущность подвержена проблеме reputation overestimated by masses, тем сложнее отказаться от сказок, ибо электор... сорян, пользователи не поймут. Людям нужна была супербезопасная ос, они ее вообразили.
Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

95. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от Michael Shigorinemail (ok), 05-Дек-19, 14:23 
Да, это проблема любого сияющего града на холме.
Ответить | Правка | Наверх | Cообщить модератору

137. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от sstj3n (?), 05-Дек-19, 21:59 
На самом деле, такого рода сияние превращается в проблему, когда его нужно продавать, либо оно работает как свет для мотылька. Вот Вы же, Михаил ( не совсем честно, конечно, но попробуйте ответить за всю Alt Team ), если бы гипотетически речь шла о вашем продукте, убрали бы со своего сайта такую надпись и опубликовали бы вместо этого краткий отчетец: как нашли, почему так вышло, что сделали, чтобы поправить? Или все же нет ? :)
Ответить | Правка | Наверх | Cообщить модератору

146. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от Michael Shigorinemail (ok), 06-Дек-19, 01:38 
> Вот Вы же, Михаил (не совсем честно, конечно, но попробуйте ответить
> за всю Alt Team)

Не совсем понял.  У team продуктов нет (хотя есть сборки), обходить всех и каждого с просьбой меня на какие-либо заявления от _всей_ команды -- в голову никогда не приходило.

> если бы гипотетически речь шла о вашем продукте, убрали бы со своего
> сайта такую надпись и опубликовали бы вместо этого краткий отчетец:
> как нашли, почему так вышло, что сделали, чтобы поправить?
> Или все же нет ? :)

А у нас проще: нет такой надписи.  И других подобных, которые в общем-то могли бы быть технически уместны.

Сперва придумывать, _что_ убрать, а потом ещё и _как_ убрать -- выше моих полуношных сил, простите :-)

Ответить | Правка | Наверх | Cообщить модератору

149. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от Дон Ягон (ok), 06-Дек-19, 02:52 
> убрали бы со своего сайта такую надпись и опубликовали бы вместо этого краткий отчетец: как нашли, почему так вышло, что сделали, чтобы поправить?

А вот расскажи, почему по-твоему Тео должен так сделать? Вот смотри.
Слоган на сайте OpenBSD - "Only two remote holes in the default install, in a heck of a long time!".

Всего две удалённо-эксплуатируемые дыры (подразумевается remote root) в установке по-умолчанию.

Теперь посмотрим на текущие дыры.
CVE-2019-19521 - удалённо получить доступ с правами _smtpd, _ldapd или _radiusd. При условии, что все эти сервисы включены и используются (по умолчанию включен только smtpd, но слушает только локалхост). При условии, что в smtpd используется PLAIN авторизация.

CVE-2019-19520 - локальный атакующий может поднять свои права до auth через дыру в xlock.

CVE-2019-19522 - в случае, если используется S/Key или YubiKey локальный атакующий может поднять свои права с auth до root.
(https://www.openwall.com/lists/oss-security/2019/12/04/5)

Не пойми неправильно - я не хочу сказать, что проблемы фигня и ничего не значат. Нет. Ничего хорошего, абсолютно, неприятные и обидные дыры.
Но формулировке из слогана они не соответствуют, не так ли?
Его смысл, кстати, не в "в OpenBSD всего две дыры", а в том, что стандартная установка OpenBSD (т.е. сразу после установки ОС) была удалённо дырява всего 2 раза.
Отсутствие удалённых дыр в стандартной поставке - это минимальный признак безопасности, а не максимальный, как почему-то все думают.
Если сразу после установки ОС сразу можно портутать, то она шерето. OpenBSD доказанно была оным всего два раза за долгое время.
Смысл слогана в этом, а не в том, что "в опенбсд никаких дыр, вот только всего 2 было и больше не".
Но не суть. Так почему Тео должен менять слоган?

А то, что в OpenBSD, как и в любой другой ОС есть дыры никогда и не скрывалось. На той же странице, где написано про эту уязвимость написаное ещё и про другие. Короткое описание проблемы и ссылка на патч. Сойдёт за описание и "что сделали, чтобы поправить"? А что касается как нашли - это к тем, кто нашёл. Они довольно подробно описали.

Ответить | Правка | К родителю #137 | Наверх | Cообщить модератору

6. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +7 +/–
Сообщение от Аноним (6), 05-Дек-19, 09:27 
Это диверсия и антиреклама, учитывая, что они умудрились получить "two remote holes", когда в "default install" у них все сетевые сервисы отключены :-)
Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

8. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от ssh (ok), 05-Дек-19, 09:32 
> Это диверсия и антиреклама, учитывая, что они умудрились получить "two remote holes",
> когда в "default install" у них все сетевые сервисы отключены :-)

По факту ничего не поменялось, они ведь и сейчас наверное только лупбэк слушают, поправил конфу, то это уже и не "default install". ;)

Ответить | Правка | Наверх | Cообщить модератору

167. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от Аноним (166), 10-Дек-19, 16:14 
Не все. Включены sshd, slaacd и ntpd.
Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

13. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +3 +/–
Сообщение от Аноним (13), 05-Дек-19, 09:53 
А что не так? Почему «сказочка»?
Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

30. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +2 +/–
Сообщение от йййй (ok), 05-Дек-19, 10:45 
Быстро исправленное уязвимостью не считается
Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

32. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  –1 +/–
Сообщение от ананим.orig (?), 05-Дек-19, 11:00 
> поддерживается лишь формально, а фактически игнорируется с выводом признака успешной аутентификации

а вот такой стиль написания кода (или стратегии в разработке?) - считается.

всё хорошо, прекрасная маркиза.

Ответить | Правка | Наверх | Cообщить модератору

58. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +1 +/–
Сообщение от Аноним (13), 05-Дек-19, 12:35 
Какой? Постепенное написание программы это норма.
Ответить | Правка | Наверх | Cообщить модератору

52. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от Аноним (52), 05-Дек-19, 12:14 
Да, знаменитое правило 3 секунд(3 недель)
Ответить | Правка | К родителю #30 | Наверх | Cообщить модератору

65. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +1 +/–
Сообщение от Аноним84701 (ok), 05-Дек-19, 12:51 
> Only two remote holes in the default install, in a heck of a long time!
> сказочка так и будет висеть на главной?

Почему сказочка? Просто у них немного "альтернативно" трактовали/трактуют значение слова уязвимость:

https://pwnies.com/archive/2007/nominations/
> OpenBSD IPv6 mbuf kernel buffer overflow (CVE-2007-1365)
> The OpenBSD team refused to acknowledge the bug as a security vulnerability and issued a "reliability fix" for it. A week later Core Security had developed proof of concept code that demonstrated remote code execution.

https://web.archive.org/web/20070317193433/http://www.corese...
> > 2007-02-20: First notification sent by Core.
> 2007-02-20: Acknowledgement of first notification received from the OpenBSD team.
> [...]
> 2007-02-26: OpenBSD team communicates that the issue is specific to OpenBSD. OpenBSD no longer uses the term "vulnerability" when referring to bugs that lead to a remote denial of service attack, as opposed to bugs that lead to remote control of vulnerable systems to avoid oversimplifying ("pablumfication") the use of the term.

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

105. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +2 +/–
Сообщение от Дон Ягон (ok), 05-Дек-19, 14:55 
А в чём проблема-то?

"2007-03-09: OpenBSD team changes notice on the project's website to "security fix" and indicates that Core's advisory should reflect the requirement of IPv6 connectivity for a successful attack from outside of the local network."

Им принесли remote kernel panic - они не отнесли это к уязвимостям. Им доказали, что возможность удалённого исполнения кода есть - они отнесли это к уязвимостям.
Ну да, было бы круто, если бы они осознали масштаб проблемы сразу, но имхо, тут разведён шум, по большому счёту, на пустом месте. Мысль понятна: "в опенбсд неадекваты, которые стремятся сделать вид, что дыры нет, когда она есть". Но из таймлайна (вторая ссылка) этого, увы, не следует.

Ответить | Правка | Наверх | Cообщить модератору

108. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +/–
Сообщение от Аноним84701 (ok), 05-Дек-19, 15:40 
> А в чём проблема-то?
> "2007-03-09: OpenBSD team changes notice on the project's website to "security fix"
> and indicates that Core's advisory should reflect the requirement of IPv6
> connectivity for a successful attack from outside of the local network."
> Им принесли remote kernel panic - они не отнесли это к уязвимостям.
> Им доказали, что возможность удалённого исполнения кода есть - они отнесли
> это к уязвимостям. Ну да, было бы круто, если бы они осознали масштаб проблемы сразу, но имхо, тут разведён шум

Проблема - в альтернативной трактовке. "remote DoS не считается уязвимостью, покажите нам рабочий сплойт!" - это весьма ... специфичное понимание уязвимости в 2007.

Ну и
> 2007-03-05: Core develops proof of concept code that demonstrates remote code execution in the kernel context by exploiting the mbuf overflow.
>2007-03-05: OpenBSD team notified of PoC availability.
> 2007-03-07: OpenBSD team commits fix to OpenBSD 4.0 and 3.9 source tree branches and releases a "reliability fix" notice on the project's website.

оставили определенный такой осадочек.

Ответить | Правка | Наверх | Cообщить модератору

109. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +1 +/–
Сообщение от Дон Ягон (ok), 05-Дек-19, 15:47 
> "remote DoS не считается уязвимостью, покажите нам рабочий сплойт!" - это весьма ... специфичное понимание уязвимости в 2007.

Ну, remote DoS действительно != remote hole, в этом их вполне можно понять.

> releases a "reliability fix"

Да, твой осадочек вполне понятен. Но в свете того, что происходило дальше, это выглядит скорее как бардак и несогласованность, чем как попытка скрыть что-то.

Ответить | Правка | Наверх | Cообщить модератору

120. "Уязвимости в OpenBSD, позволяющие повысить привилегии и обой..."  +1 +/–
Сообщение от Anonymoustus (ok), 05-Дек-19, 18:11 
> Ну, remote DoS действительно != remote hole, в этом их вполне можно понять.

Плюсую.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей 		Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру