Falle di IE, Symantec rivede i conti

Re: Riflessione.
- Scritto da: Linaro
- Scritto da: GrayLord

- Scritto da: Linaro


Ok, non ho letto tutti i post.


A mia discolpa dico però, che farlo è


umanamente impossibile. Troppi


messaggi di troppi troll.


Quindi può darsi che stia per dire


qualcosa di già detto. Se così fosse,


scusatemi.


Di cosa vado cianciando?


Del fatto che un file di log abbia al suo


interno, in chiaro la password di root (ma


anche fosse in forma criptata, non


cambierebbe molto, dato che algoritmo


e chiavi di criptazione sarebbero


facilmente recuperabili).

"facilmente" e' una parola grossa. Hai mai

usato killercrack o simili ?
Intendevo facilmente, nel senso che
dovendo usare un algoritmo di criptazione
che permetta la decriptazione, avendo i
sorgenti del "coso" che memorizza la
password di root criptata, è possibile
decriptarla.Non sempre basta l'algoritmo di criptazione, anzi non basta quasi mai, avendolo l'unica strada che si puo' tentare e' il bruteforce, ma in questo caso la difficolta' di trovare la password dipende da 2 cose :1) Quanto e' complessa la pass usata.2) Quanto e' complesso l'algoritmo di criptazione usato (e qui, non per sparare sulla croce rossa, ma tipicamente la criptazione usata da win non e' il massimo).


Mi si dirà: "Ma basta cancellare quel


file e tutto è apposto".


È apposto un piffero, perché se uno è


maleintenzionato, e vuole forzare un


sistema, affidandosi a quel bug, trova


il sistema di recuperare quel file, anche


se è stato cancellato (entro un certo


tempo dalla cancellazione).

Se sei root si, ma devi gia' essere root

per usare (eventualmente installare)

delle utility di recupero file sul disco...

Ma se sei root a che ti serve recuperare

il file con la pass di root ???
Oooopps... errore mio.
Effettivamente per accedere così a basso
livello è necessario essere root.


E il fatto che la cosa sia possibile solo


da locale, è solo una blanda attenuante,


perché un sistema del genere potrebbe


essere usato per una


privilege-escalation (buco il sistema


da remoto con privilegi di utente


comune, sfruttando qualche falla nella


testa dell'utente


:D e poi recupero la password di root,


per guadagnare privilegi di


amministratore).

Bhe, abbiamo gia' detto tutti che e' una

grossa Kaz.volata, aver loggato la pass

di root.
Si è appunto su questo che volevo porre
l'accento. Ok è stato corretto il problema, e
il file adesso viene rimosso, ma non
andrebbe creato del tutto.Siamo daccordo : anche peggio di quando windows lasciava i file temporanei in TMP quando creava / scriveva / leggeva da una partizione criptata !!


È vero, la maggior parte dei filesystem


che vengono utilizzati da Linux, non


hanno un meccanismo facile per il


recupero dei file cancellati, come su


windows, ma recuperare questi file


resta comunque possibile.

Certo, basta essere root.


Io stesso, tempo fa avendo avuto


problemi hardware con un disco, non


riuscendolo più a leggere, ne ho


scaricato il contenuto leggibile


con dd in un file su un altro disco per


poi recuperare il recuperabile


manualmente. Non è stato facile, ma


tutto ciò che mi serviva (molti script e


pagine web) è stato recuperato


totalmente.

Interessante... Compresi files cancellati ?
Beh, si c'era un po' di tutto. Compreso il
journaling. Del resto quando si cancella
un file, questo non viene fisicamente
eliminato, ma semplicemente il suo spazio
viene dichiarato libero.Ma quando si legge un file, anche con dd, i file dichiarati liberi vengono letti come degli 0 !


Dunque, il problema non è tanto se


rimane un file con dentro la password


di root, dopo l'installazione, ma perché


è necessario quel file? È il meccanismo


di installazione che ha un problema, se


è necessario conservare quella


password di root.

No, non e' necessario, e' errato salvarla nei

log, tutto qui.


Sarà, che l'essere Linaro mi ha fatto


diventare paranoico per quanto riguarda


la sicurezza, ma a me un sistema del


genere non piace proprio.

Bhe non usare Ubuntu :D Io con Slack

vado tranquillo.
Intendevo sistema, non nel senso di
"ubuntu" ma nel senso del "sistema"
utilizzato durante l'installazione, che per
funzionare ha bisogno di salvare la
password di root.Non ne ha bisogno... E' stato un errore umano.
Non ho idea di come funzioni (ho provato
tempo fa la versione 5.01 ma l'ho solo
provata), ma sicuramente una cosa del
genere può essere evitata.Questa frase e' in contrasto con : "Sarà, che l'essere Linaro mi ha fatto diventare paranoico".Ma sei linaro o winaro o un linaro winaro o un winaro linaro ??

Re: Dopo questo bug, chi si fida linux?
- Scritto da: Anonimo
- Scritto da: Anonimo

IO!
Effettivamente anche ioIo.