Londra (Regno Unito) – Un informatico britannico ha riportato su un blog una vicenda alla cui fine si potrebbe aggiungere la celebre dicitura e vissero felici e contenti . Tempo fa Alan Lord, questo il nome di uno dei protagonisti, aveva comprato su Amazon (il co-protagonista) un netbook Asus 1008 HA per 374 sterline.
Nulla di strano fin qui. Lord è però uno specialista di Linux ed in particolare della distribuzione Ubuntu: di Windows XP, installato di default nel PC nuovo di zecca, non ne voleva proprio sapere. Acceso il computer per la prima volta si è trovato davanti alla richiesta di accettare la EULA ( End User Licence Agreement ), ha quindi negato il suo consenso e spento il computer per accenderne un altro con cui ha scritto ad Amazon per ottenere il risarcimento.
In passato casi analoghi hanno dovuto attendere mesi prima di essere risolti , e non sempre l’utente finale ha visto soddisfatte le sue richieste. Questa volta invece sono bastati pochi minuti per mettersi in contatto con un operatore telefonico di Amazon ed illustrare la faccenda.
Lord ha scritto di essersi meravigliato quando si è sentito rispondere, dopo pochi secondi di conversazione, che Amazon gli avrebbe restituito il valore della licenza Windows che lui non desiderava utilizzare sul suo nuovo netbook.
L’accordo sancito dall’EULA prevede infatti che se l’utente sceglie di non accettare i termini della licenza è tenuto a non utilizzare o copiare il software, e deve quindi mettersi in contatto con il produttore per organizzare la restituzione e il successivo rimborso. Più semplice di così rimane solo vendere i PC come scatole vuote, in modo che l’utente finale possa riempirla con gli elementi che preferisce.
Come osservano in molti, casi analoghi hanno richiesto più volte l’intervento dell’autorità giudiziaria in numerosi paesi europei: in Gran Bretagna, con buona pace dei produttori, pare che fatti del genere siano meno frequenti.
Giorgio Pontico
leggi i 99 commenti
-
IL MALE DEL CLOSED SOURCE
ragazzi e' ora di darsi una svegliata, questi ci stanno prendendo in giro, con quale apatica calma gli sviluppatori adobe si apprestano a rilascare patch ad un bug che probabilmente gia' conoscevano da decenni?Nel mondo open source non sarebbe mai successa una cosa simile, linux infatti e' controllato da milioni di occhi che ogni giorno intervengono sul suo codice per migliorarlo e garantirci la liberta' di vivere sicuri con il proprio computer. Sicurezza e liberta' sono un binomio garantito daalla conoscenza, la possibilita' di conoscere il codice sorgente dei propri programmi e poterlo adattare alle proprie esigenze, anche di sicurezza e' un vantagio che sempre piu' gente ha capito. I padroni del closed source che per decenni si sono arricchiti alle spalle degli utenti, sottoponendoli ad eula umilianti e all'accattonaggio dei bugfixes, non si sono ancora resi conto che i loro imperi di argilla si stanno scigliendo come burro al sole.Il sole e' linux, la sua luce illumina e rischiara le coscenez dei programmatori, sempre di piu' hanno capito che il codice chiuso sia un male, sempre di piu' hanno capito che un modo diverso di concepire l'informatica puo' esistere, sempre di piu' hanno abbandonato windows.Le contraddizion del closed source lo stanno mettendo all'angolo, per fortuna sara' linux il nuovo protagonista della terza grande rivoluzione informatica. Ora sta agli utenti decidere se salire sul treno del futuro o rimanere appiedati con le catene e le zavorre del close source.-
Re: IL MALE DEL CLOSED SOURCE
Nel mondo open source non sarebbe mai successa
una cosa simile, linux infatti e' controllato da
milioni di occhi che ogni giorno intervengono sul
suo codice per migliorarlo e garantirci la
liberta' di vivere sicuri con il proprio
computer. Sicurezza e liberta' sono un binomio
garantito daalla conoscenza, la possibilita' di
conoscere il codice sorgente dei propri programmi
e poterlo adattare alle proprie esigenze, anche
di sicurezza e' un vantagio che sempre piu' gente
ha
capito.Come il famoso problema del generatore di numeri casuali su debian, rimasto sotto gli occhi di tutti "solo" per DUE anni? :D-
Re: IL MALE DEL CLOSED SOURCE
c'è da dire che lì era un problema di compilazione dovuto al mantainer del pacchetto e ascritto alle sole distribuzioni debian-basedinoltre il fatto che non sia stato visibile per molto tempo è dovuto all'impatto nullo che ha avuto sui sistemi...hai sentito forse di server compromessi a causa di quel problema?-
Re: IL MALE DEL CLOSED SOURCE
- Scritto da: pabloski
c'è da dire che lì era un problema di
compilazione dovuto al mantainer del pacchetto e
ascritto alle sole distribuzioni
debian-basedNo, forse ti confondi col recente problema del kernel. Uno sviluppatore Debian ha allegramente rimosso un pezzo di codice perché compilandolo con GCC generava un warning che riteneva esteticamente brutto.Gente così andrebbe fustigata :-)E francamente su questo pippO ha ragione.
inoltre il fatto che non sia stato visibile per
molto tempo è dovuto all'impatto nullo che ha
avuto sui sistemi...hai sentito forse di server
compromessi a causa di quel problema?Lo dici tu che ha un impatto nullo!Forse non ti contente di esploitare (perdonate il neologismo) un sistema - anche se non puoi saperlo, perché un problema simile può essersi esteso molto di più di quello che credi, noi per esempio generiamo certificati TSL non solo per web server, ma anche cellulari, VPN concentrators, desktop, e chi più ne ha più ne metta -, ma ilvero problema è che hai generato DUE ANNI DI CERTIFICATI BACATI.Se tu hai una infrastruttura di PKI basata su Debian, DEVI RICREARE TUTTI I VERTIFICATI FATTI NEGLI ULTIMI DUE ANNI, il che può significare che devi magari patchare 40.000 laptop aziendali, o riscambiare le chiavi delle connessioni VPN con tutti i tuoi partner - naturalmente a parte il fatto di sostituire le chiavi di tutti i tuoi server web.Ringrazio il Signore che ABBIAMO USATO REDHAT per la nostra infrastruttura di PKI e lo dico senza alcun intento polemico.L'ho sempre sostenuto, chi utilizza seriamente certe sistemi deve affidarsi a vendor che diano una certa garanzia. Evviva l'open source ma soltanto se è supportato.Comunque per la nuova PKI abbiamo usato Windows Server 2008 + un modulo HSM...Cordiali saluti-
Re: IL MALE DEL CLOSED SOURCE
- Scritto da: markoer
No, forse ti confondi col recente problema del
kernel. Uno sviluppatore Debian ha allegramente
rimosso un pezzo di codice perché compilandolo
con GCC generava un warning che riteneva
esteticamente
brutto.Ti confondi tu.Il discorso del warning c'è stato appunto con SSL, e non era "esteticamente brutto", ma era considerato un acXXXXX a memoria non inizializzata. Quello che normalmente viene identificato come grave bug di sicurezza che porta a buffer overflow o a DoS.L'unica colpa dello sviluppatore è stata di non controllare a cosa servisse effettivamente, ma quel codice era scritto MALE apposta per andare a pescare dati A CASO dalla RAM. In pratica è stato più zelante degli altri pacchettizzatori ma non abbastanza zelante.Il discorso del kernel, invece, è dovuto a una OTTIMIZZAZIONE del compilatore (gcc) che, accorgendosi che quel codice non faceva niente (secondo lui) in fase di compilazione lo rimuoveva.Un bug dell'ottimizzatore, insomma.Entrambi sono stati corretti entro 5 giorni dalla scoperta.
Se tu hai una infrastruttura di PKI basata su
Debian, DEVI RICREARE TUTTI I VERTIFICATI FATTI
NEGLI ULTIMI DUE ANNI,Solo quelli creati con Debian etch, visto che ne` sarge (la precedente) ne` lenny (la successiva) hanno il bug.A me è andata bene perché avevo creato tutto con sarge.
il che può significare che
devi magari patchare 40.000 laptop aziendali, o
riscambiare le chiavi delle connessioni VPN con
tutti i tuoi partner - naturalmente a parte il
fatto di sostituire le chiavi di tutti i tuoi
server
web.Già, non nego il danno.Ma tieni conto che la patch Debian (quindi un normale aggiornamento del sistema) rilasciata entro 10 giorni dalla scoperta del bug, oltre a correggere il problema ha anche provveduto a mettere in blacklist tutti i certificati sbagliati, e quindi a rigenerarli.Ti faccio anche notare che non era una falla rintracciabile in 2 minuti (sempre lo stesso certificato), ma era una cosa su cui fare brute force, visto che i certificati generati erano comunque 65000 diversi.
L'ho sempre sostenuto, chi utilizza seriamente
certe sistemi deve affidarsi a vendor che diano
una certa garanzia. Evviva l'open source ma
soltanto se è
supportato.Io invece sostengo sempre che chi implementa sistemi server DEVE tenersi aggiornato sulla sicurezza, e deve seguire i bollettini di sicurezza, e deve aggiornare i propri server.Evviva l'open source, ma con amministratori responsabili e non scriptkiddies o "utonti evoluti" messi ad amministrare server.
Comunque per la nuova PKI abbiamo usato Windows
Server 2008 + un modulo
HSM...Buona fortuna. Speriamo che non ci trovino un bug, altrimenti aspetti 6 mesi dalla segnalazione alla correzione. :PBye. -
Re: IL MALE DEL CLOSED SOURCE
- Scritto da: Shu
Buona fortuna. Speriamo che non ci trovino un
bug, altrimenti aspetti 6 mesi dalla segnalazione
alla correzione.
:P
Bye.Sempre se è un bug anche secondo loro e che non ti rispondano "passi alla versione successiva" come per qualche bug di office xp che uso per lavoro (bug di access, soluzione: passare alla versione successiva) -
Re: IL MALE DEL CLOSED SOURCE
- Scritto da: Shu
Ti confondi tu.Eh no :-)
Il discorso del warning c'è stato appunto con
SSL, e non era "esteticamente brutto", ma era
considerato un acXXXXX a memoria non
inizializzata. Quello che normalmente viene
identificato come grave bug di sicurezza che
porta a buffer overflow o a
DoS.
L'unica colpa dello sviluppatore è stata di non
controllare a cosa servisse effettivamente, ma
quel codice era scritto MALE apposta per andare a
pescare dati A CASO dalla RAM. In pratica è stato
più zelante degli altri pacchettizzatori ma non
abbastanza zelante.
Il discorso del kernel, invece, è dovuto a una
OTTIMIZZAZIONE del compilatore (gcc) che,
accorgendosi che quel codice non faceva niente
(secondo lui) in fase di compilazione lo
rimuoveva.
Un bug dell'ottimizzatore, insomma.Esattamente quello che ho detto io :-) rileggi meglio...
Entrambi sono stati corretti entro 5 giorni dalla
scoperta.Col kaiser, quello di OpenSSL è rimasto su Debian per 2 ANNI, generando certificati FALLATI per chiunque avesse utilizzato quella implementazione di OpenSSL.Abbiamo fatto il calcolo e se avessimo usato Debian, avremmo dovuto revocare e riemettere CENTINAIA di certificati. Thanks God :-)[...]
Ma tieni conto che la patch Debian (quindi un
normale aggiornamento del sistema) rilasciata
entro 10 giorni dalla scoperta del bug, oltre a
correggere il problema ha anche provveduto a
mettere in blacklist tutti i certificati
sbagliati, e quindi a
rigenerarli.Evidentemente non sei ferrato sull'argomento.1) il problema è stato presente PER MESI2) hanno corretto i certificati GENERATI PER DEBIAN, e chi se ne frega, scusate il francese... i MIEI certificati me li devo RIEMETTERE da solo, mica si reinstallano da soli per capacità divina :-)
Ti faccio anche notare che non era una falla
rintracciabile in 2 minuti (sempre lo stesso
certificato), ma era una cosa su cui fare brute
force, visto che i certificati generati erano
comunque 65000 diversi.Stai ancora parlando di Debian e basta.Se una azienda ha la SUA infrastruttura di PKI, e scopri per qualsiasi motivo - un banner di Apache qualsiasi per esempio - la versione di Debian utilizzata, puoi con buona approssimazione immaginare che ovunque utilizzino la stessa versione nella stessa azienda (ipotesi molto plausibile).Non ci vuole quindi nulla a immaginarsi che quasi tutti i miei certificati saranno emessi da quella versione di Debian, mi faccio una mappa di tutti i siti SSL nel netrange IP dell'azienda e mi diverto a fare brute force su uno di essi.In ogni caso, anche se non fosse facilmente esploitabile, sarebbe troppo rischioso tenere quei certificati sui sistemi, andrebbero sostituiti comunque.
L'ho sempre sostenuto, chi utilizza seriamente
certe sistemi deve affidarsi a vendor che diano
una certa garanzia. Evviva l'open source ma
soltanto se è
supportato.
Io invece sostengo sempre che chi implementa
sistemi server DEVE tenersi aggiornato sulla
sicurezza, e deve seguire i bollettini di
sicurezza, e deve aggiornare i propri
server.Purtroppo come in questo caso, non è servito a molto. Anche con il Dio in Terra di Debian, sarei nella XXXXX e dovrei sostituire due anni di certificati... server aggiornati o meno![...]
Buona fortuna. Speriamo che non ci trovino un
bug, altrimenti aspetti 6 mesi dalla segnalazione
alla correzione.
:PForse ti sbagli con Oracle... o con Debian ;-)Evidentemente non sai nemmeno cosa è un modulo HSM - i certificati non sono generati né conservati su Windows.Servirebbe conoscere l'argomento prima di esprimere le proprie opinioniCordiali saluti -
Re: IL MALE DEL CLOSED SOURCE
- Scritto da: markoer
Esattamente quello che ho detto io :-) rileggi
meglio...OK, vero. Pero` per come era scritto, senza andare a leggere il resto del thread, era ambiguo.
Entrambi sono stati corretti entro 5 giorni
dalla
scoperta.
Col kaiser, quello di OpenSSL è rimasto su Debian
per 2 ANNI, generando certificati FALLATI per
chiunque avesse utilizzato quella implementazione
di
OpenSSL.Dalla SCOPERTA. Per due anni non se n'è accorto nessuno. Quando è stato scoperto e segnalato, in 5 giorni c'era la patch.Certo che finché non scopri il bug non lo puoi correggere.E, ripeto, non era facile scoprirlo semplicemente perché generava comunque oltre 65000 combinazioni diverse di certificati.
2) hanno corretto i certificati GENERATI PER
DEBIAN, e chi se ne frega, scusate il francese...Hanno messo in blacklist i certificati generati dall'ssl di Debian, che erano quelli fallati.Perche` diavolo avrebbero dovuto correggere il problema per certificati non fallati?
i MIEI certificati me li devo RIEMETTERE da solo,
mica si reinstallano da soli per capacità divina
:-)Se tu (client) ti colleghi con un certificato generato da una macchina Debian (server) fallato, il tuo certificato di collegamento a quella macchina veniva messo in blacklist, e tu (client) ricevevi un messaggio di certificato scaduto, e dovevi fartelo rigenerare dal server e reinstallarlo.Se tu ti sei generato il certificato sul client (non Debian etch) e poi lo hai caricato sul server, non era fallato, quindi non dovevi rigenerarlo.In pratica andavano rigenerati SOLO i certificati creati con la libssl di Debian etch, e nessun altro.
Ti faccio anche notare che non era una falla
rintracciabile in 2 minuti (sempre lo
Stai ancora parlando di Debian e basta.Di quello stavamo parlando...
Se una azienda ha la SUA infrastruttura di PKI, e
scopri per qualsiasi motivo - un banner di Apache
qualsiasi per esempio - la versione di Debian
utilizzata, puoi con buona approssimazione
immaginare che ovunque utilizzino la stessa
versione nella stessa azienda (ipotesi molto
plausibile).E io ti ripeto che sui miei server ho generato i certificati con Debian sarge (quidni erano puliti), e ho poi aggiornato quei server a etch, ma i certificati sono rimasti puliti. Certo che ho 5 server tutti con Debian etch, ma tutti i certificati erano stati generati con versioni precedenti, e quindi puliti.Hai voglia a bucarmeli!
Non ci vuole quindi nulla a immaginarsi che quasi
tutti i miei certificati saranno emessi da quella
versione di Debian, mi faccio una mappa di tutti
i siti SSL nel netrange IP dell'azienda e mi
diverto a fare brute force su uno di
essi.E (tenuto conto di quello sopra detto), trovi UN certificato di QUELLA macchina. Visto che ce ne sono 65536 diversi, ci vuole una certa sfiga perche` su anche 200 certificati generati ce ne sia un altro esattamente identico.Devi comunque rifare il brute force per ogni certificato.
In ogni caso, anche se non fosse facilmente
esploitabile, sarebbe troppo rischioso tenere
quei certificati sui sistemi, andrebbero
sostituiti
comunque.E chi ha detto di no? Infatti sono stati messi in blacklist.
Purtroppo come in questo caso, non è servito a
molto. Anche con il Dio in Terra di Debian, sarei
nella XXXXX e dovrei sostituire due anni di
certificati... server aggiornati o
meno!Ma avrebbe potuto capitare con qualsiasi distro, anche con una certificata.
Evidentemente non sai nemmeno cosa è un modulo
HSM - i certificati non sono generati né
conservati su
Windows.Sono generati in hardware, ma per controllare un hardware serve un software.E i bug possono essere in tre punti diversi (hardware, firmware, software) invece che in uno. :P D'altronde anche il più avanzato algoritmo di generazione di numeri casuali ti dà sempre la stessa sequenza se gli dai sempre lo stesso seed.Bye. -
Re: IL MALE DEL CLOSED SOURCE
D'altronde anche il più avanzato algoritmo di
generazione di numeri casuali ti dà sempre la
stessa sequenza se gli dai sempre lo stesso
seed.ha detto bene quello di sopra, bisogna conoscere un argomento prima di parlarne....tu gli dai un seed proprio perché NON sono numero casuali, ma pseudo-casuali (sono generati con una funzione), un generatore di numeri casuali reali (decadimento di un elemento radioattivo), non necessita di nessun seed ovviamente -
Re: IL MALE DEL CLOSED SOURCE
- Scritto da: Shu[...]
Dalla SCOPERTA. Per due anni non se n'è accorto
nessuno. Quando è stato scoperto e segnalato, in
5 giorni c'era la patch.Quindi, confermi che grazie a Debian ho generato due anni di certificati fallati, come ha detto pippO?Questo era il topic. Anche Microsoft corregge ormai i bachi in 5 giorni. Anche meno - come hanno fatto con la fix-it per il killbit, rilasciata il giorno dopo. Certo che poi le loro fix non funzionino o siano aggirate (come mostrano in questi giorni al BlackHat...)
Certo che finché non scopri il bug non lo puoi
correggere.
E, ripeto, non era facile scoprirlo semplicemente
perché generava comunque oltre 65000 combinazioni
diverse di certificati.Era più facile NON introdurre per niente il baco, e lo si fa quando si evita di toccare codice quando non lo si capisce.E qualcun altro avrebbe dovuto riguardare questa correzione, dato che tocca parti sensibili del sistema e che hanno a che fare con la security e la PKI.Questo mostra quanta poca qualità ci sia in Debian. Mi dispiace gli GNUlebani possono sbraitare quanto vogliono...Non voglio tirare in ballo SixSigma o nessun altro proXXXXX di controllo qualità, ma come minima regola di base, quando sviluppi un software per lo meno hai quattro occhi che controllano ogni cambiamento, e se la parte è delicata sei od otto, e si suppone siano competenti.Questo mostra chiaramente che ci sono dei gap. Non voglio giudicare cose che non conosco, ma è evidente che c'è da migliorare molto.[...]
Hanno messo in blacklist i certificati generati
dall'ssl di Debian, che erano quelli
fallati.Si dice "revocare"
Perche` diavolo avrebbero dovuto correggere il
problema per certificati non fallati?[...]
Se tu (client) ti colleghi con un certificato
generato da una macchina Debian (server) fallato,
il tuo certificato di collegamento a quella
macchina veniva messo in blacklist, e tu (client)
ricevevi un messaggio di certificato scaduto, e
dovevi fartelo rigenerare dal server e
reinstallarlo.
Se tu ti sei generato il certificato sul client
(non Debian etch) e poi lo hai caricato sul
server, non era fallato, quindi non dovevi
rigenerarlo.
In pratica andavano rigenerati SOLO i certificati
creati con la libssl di Debian etch, e nessun
altro.[...]Ancora, non capisci l'argomento, questo è evidente. Ci riprovo a spiegarlo ma è l'ultima volta :-)TUTTI I CERTIFICATI GENERATI DA DEBIAN ERANO FALLATI.Se io ho la *MIA* infrastruttura di PKI e l'ho basata su Debian, SONO XXXXXXX.Mettiamo che io sono l'azienda pippo.com. Ho generato con Debian tutti i miei certificati, www.pippo.com, acXXXXXremoto.pippo.com, laptop1, laptop2, laptop3.pippo.com, le firme digitali dei miei dipendenti marco@pippo.com, i certificati dei miei VPN concentrators, ecc.Tutta questa roba È DA RIFARE, devo revocare tutti i certificati, e generare e reinstallare i nuovi.Spero che la cosa sia chiara adesso, più facile di così non mi riesce spiegarlo.[...]
Stai ancora parlando di Debian e basta.
Di quello stavamo parlando...No, e spero di avertelo chiarito sopra.[...]
E io ti ripeto che sui miei server ho generato i
certificati con Debian sarge (quidni erano
puliti), e ho poi aggiornato quei server a etch,
ma i certificati sono rimasti puliti. Certo che
ho 5 server tutti con Debian etch, ma tutti i
certificati erano stati generati con versioni
precedenti, e quindi puliti.Beh, XXXX :-)Noi abbiamo qualcosina di più di 5 server, sai. Con 5 server iniziamo forse a fare il deployment di un piccolo progettino (nessuno che conosca è così piccolo), ma facciamo 300 progetti l'anno...[...]
E (tenuto conto di quello sopra detto), trovi UN
certificato di QUELLA macchina. Visto che ce ne
sono 65536 diversi, ci vuole una certa sfiga
perche` su anche 200 certificati generati ce ne
sia un altro esattamente identico.Ancora, non è questo il punto.
Devi comunque rifare il brute force per ogni
certificato.Questo è il punto. Sai che ci vuole a fare brute force al giorno d'oggi, soprattutto da remoto.
In ogni caso, anche se non fosse facilmente
esploitabile, sarebbe troppo rischioso tenere
quei certificati sui sistemi, andrebbero
sostituiti
comunque.
E chi ha detto di no? Infatti sono stati messi in
blacklist."revocati". E ancora, chi se ne fotte di Debian :-)[...]
Ma avrebbe potuto capitare con qualsiasi distro,
anche con una certificata.Assolutamente no. Non è la sfiga che fa accadere queste cose! È la macanza di processi di revisione e di controllo, che le distro commerciali (non direi "certificate", di che certificazione parli?) hanno.
Evidentemente non sai nemmeno cosa è un modulo
HSM - i certificati non sono generati né
conservati su
Windows.
Sono generati in hardware, ma per controllare un
hardware serve un software.
E i bug possono essere in tre punti diversi
(hardware, firmware, software) invece che in uno.
:PNo, non sai di cosa parli.E il punto è che l'HSM serve soprattutto ad immagazzinare i certificati. Ma qua si va troppo nel dettaglio, e dovresti prima capire le basi prima di entrare nel dettaglio di argomenti avanzati
D'altronde anche il più avanzato algoritmo di
generazione di numeri casuali ti dà sempre la
stessa sequenza se gli dai sempre lo stesso
seed.Ancora, evita di scrivere sciocchezze, se non sai di cosa parli... qua mancano le basi della matematica.Cordiali saluti -
Re: IL MALE DEL CLOSED SOURCE
- Scritto da: Shu
- Scritto da: markoer
[...]
Il discorso del kernel, invece, è dovuto a una
OTTIMIZZAZIONE del compilatore (gcc) che,
accorgendosi che quel codice non faceva niente
(secondo lui) in fase di compilazione lo
rimuoveva.
Un bug dell'ottimizzatore, insomma.
Mi spiace contraddirti, ho seguito la vicenda proprio qui su PI , e posso affermare con quasi certezza che il famoso bug era un errore di programmazione.L' ottimizzatore ha solo fatto il suo dovere, cioe eliminare codice che riteneva,giustamente, inutile.
-
-
Re: IL MALE DEL CLOSED SOURCE
- Scritto da: pabloski
c'è da dire che lì era un problema di
compilazione dovuto al mantainer del pacchetto e
ascritto alle sole distribuzioni
debian-based
inoltre il fatto che non sia stato visibile per
molto tempo è dovuto all'impatto nullo che ha
avuto sui sistemi...hai sentito forse di server
compromessi a causa di quel
problema?Hai mai sentito di banca che ammettono di esser state bucate? :D-
Re: IL MALE DEL CLOSED SOURCE
si ma in quel caso il numero dei sistemi compromessi sarebbe stato alto, era impossibile tenerlo nascostopoi a quanto ne so le banche stanno denunciando le intrusioni e soprattutto i prelievi illecito da parte di casher in possesso delle password dei titolari dei conti truffati -
Re: IL MALE DEL CLOSED SOURCE
- Scritto da: pabloski
si ma in quel caso il numero dei sistemi
compromessi sarebbe stato alto, era impossibile
tenerlo nascostoMah... dici?
poi a quanto ne so le banche stanno denunciando
le intrusioni e soprattutto i prelievi illecito
da parte di casher in possesso delle password dei
titolari dei conti
truffatiA quanto ne so, denunciano soltanto se possono avere i soldi indietro dalle assicurazioni...Fidati, nessuno dice in giro i propri problemi di security, soltanto se è costretto dall'evidenza dei fatti o da inchieste giornalistiche (come è sucXXXXX in Germania con Der Spiegel e la Deutsche Telekom).Cordiali saluti
-
-
-
-
Re: IL MALE DEL CLOSED SOURCE
http://secunia.com/advisories/product/2719/?task=advisories-
Re: IL MALE DEL CLOSED SOURCE
- Scritto da: Steve Robinson Hakkabee
http://secunia.com/advisories/product/2719/?task=aCool. "The most severe unpatched Secunia advisory affecting Linux Kernel 2.6.x, with all vendor patches applied, is rated Less critical"E sono tutte patchate...Cordiali saluti-
Re: IL MALE DEL CLOSED SOURCE
Cool. "The most severe unpatched Secunia advisory
affecting Linux Kernel 2.6.x, with all vendor
patches applied, is rated Less
critical"
E sono tutte patchate...
Cordiali salutiSolo alcune less critical sono unpatachate...
-
-
-
Re: IL MALE DEL CLOSED SOURCE
- Scritto da: mes.id
ragazzi e' ora di darsi una svegliata, questi ci
stanno prendendo in giro, con quale apatica calma
gli sviluppatori adobe si apprestano a rilascare
patch ad un bug che probabilmente gia'
conoscevano da
decenni?
Nel mondo open source non sarebbe mai successa
una cosa simile, linux infatti e' controllato da
milioni di occhi che ogni giorno intervengono sul
suo codice per migliorarlo e garantirci la
liberta' di vivere sicuri con il proprio
computer. Sicurezza e liberta' sono un binomio
garantito daalla conoscenza, la possibilita' di
conoscere il codice sorgente dei propri programmi
e poterlo adattare alle proprie esigenze, anche
di sicurezza e' un vantagio che sempre piu' gente
ha
capito.
I padroni del closed source che per decenni si
sono arricchiti alle spalle degli utenti,
sottoponendoli ad eula umilianti e
all'accattonaggio dei bugfixes, non si sono
ancora resi conto che i loro imperi di argilla si
stanno scigliendo come burro al
sole.
Il sole e' linux, la sua luce illumina e
rischiara le coscenez dei programmatori, sempre
di piu' hanno capito che il codice chiuso sia un
male, sempre di piu' hanno capito che un modo
diverso di concepire l'informatica puo' esistere,
sempre di piu' hanno abbandonato
windows.
Le contraddizion del closed source lo stanno
mettendo all'angolo, per fortuna sara' linux il
nuovo protagonista della terza grande rivoluzione
informatica. Ora sta agli utenti decidere se
salire sul treno del futuro o rimanere appiedati
con le catene e le zavorre del close
source.PP - Pubblicita Progresso-
Re: IL MALE DEL CLOSED SOURCE
- Scritto da: vintage[...]
PP - Pubblicita ProgressoEsatto.Quanto invidio quelli che hanno delle CERTEZZE così fondate. Ma non vorrei mai che lavorassero nella security, là c'è bisogno soprattutto di dubbi - e non fidarsi di niente e nessunoCordiali saluti
-
-
Re: IL MALE DEL CLOSED SOURCE
Il software Open Source è peggio..
-
-
sono un ragazzo fortunato...
Mai avuto flash! :D -
Adobe è interessata solo ai $$$
In una grossissima multinazionale con migliaia di PC e centinaia di software licenziato, gli unici che ho visto venire a fare un audit interno con controllo a campione dei PC e verifica delle loro licenze sono quelli di Adobe.Microsoft, Mathworks, Sap, Symantec, Unigraphics, Catia, Autodesk, seppur installati a tappeto, non sono mai venuti a controllare nulla. -
vergogna
Adobe Flash è un cancro per l'informatica, un software vergognoso. La versione linux 64 bit ha gravi difetti di prestazioni, ma adobe non si interessa a correggerli. adobe fa una nuova versione solo quando oramai la gente scalpita o quando scoprono bug vergognosi. Fate caso a tutti i contest di hacking, indipendentemente dal OS usato, tutti vengono bucati tramite bug di flash. Con tutto il cuore mi auguro che html5 ne prenda il posto nello streaming, e che in altri ambiti siano usate alternative migliori. Se adobe volesse combattere davvero il rischio di vedere il tutto abbandonato, dovrebbe aprire tutto il software, solo in tal modo ci sarebbero correzioni dei numerosi errori che lo affliggono...-
Re: vergogna
Io temo che, se aprissero il codice, sarebbe un massacro.Adobe, secondo il mio modestissimo parere, fa software che, come idea è valida ma, come realizzazione, di pessima fattura, veramente molto scadente.Immagino che, se aprissero il codice, ne salterebbero fuori di ogni e in brevissimo tempo, sarebbe praticamente impossibile tappare tutto in breve tempo. Sono convinto che un codice closed source - soprattutto quando è già molto diffuso e ha ampiamente dimostrato di essere scadente - sia un suicidio proporlo "di botto" open-source.Che poi l'open-source sia un modello che, con il tempo, possa migliorarlo, posso concordarlo ma, inizialmente, farebbe la festa di tutti i produttori di anti-virus (qualcuno mi dovrebbe spiegare come mai a questi qua degli anti-virus capitano sempre in mano i "file infetti" praticamente in anteprima mondiale ...).Come hanno detto altri, la roba di Adobe è: pesante, scadente, con richiesta di aggiornamenti - pesanti - oltremodo frequenti (e poi per fare cosa ? guardare un PDF !!!).Sopra hanno consigliato alternative al loro reader, mi permetto di consigliarne una pure io:http://www.foxitsoftware.com/pdf/reader/E' solo per Windows ma, almeno per Linux, già ci sono ottime alternative che di norma sono pre-installate.Inoltre: ma quanto ci mettono a tappare una simile falla ? mah ...-
Re: vergogna
Infatti sono rimasto piuttosto perplesso quando mi sono trovato l'installer dell'ultima versione di Adobe Reader di oltre 120 MB... e quello di Foxit Reader che legge gli *stessi* file, di neanche TRE megabyte.Chissà quanta XXXXX c'è dentro Adobe.-
Re: vergogna
- Scritto da: Crononauta
Infatti sono rimasto piuttosto perplesso quando
mi sono trovato l'installer dell'ultima versione
di Adobe Reader di oltre 120 MB... e quello di
Foxit Reader che legge gli *stessi* file, di
neanche TRE
megabyte.
Chissà quanta XXXXX c'è dentro Adobe.Quello che dici è vero solo in parte, nel senso che Adobe reader ha delle funzioni inutili per un untente normale, però è anche vero che con alcuni tipi di PDF la qualità di visualizzazione del software di Adobe è impareggiabile.Io ti consiglio di Provare Pdf x-change reader: a mio giudizio più completo di Foxit, se vogliamo una via di mezzo tra la leggerezza di Foxit e la completezza di Adobe reader.
-
-
Re: vergogna
Se aprissero il codice la comunity ne riscriverebbe 3/4 entro la mezzanotte del giorno stesso
-
-
Re: vergogna
- Scritto da: franz1789
Adobe Flash è un cancro per l'informatica, un
software vergognoso. La versione linux 64 bit ha
gravi difetti di prestazioni, ma adobe non si
interessa a correggerli. adobe fa una nuova
versione solo quando oramai la gente scalpita o
quando scoprono bug vergognosi. Fate caso a tutti
i contest di hacking, indipendentemente dal OS
usato, tutti vengono bucati tramite bug di flash.
Con tutto il cuore mi auguro che html5 ne prenda
il posto nello streaming, e che in altri ambiti
siano usate alternative migliori. Se adobe
volesse combattere davvero il rischio di vedere
il tutto abbandonato, dovrebbe aprire tutto il
software, solo in tal modo ci sarebbero
correzioni dei numerosi errori che lo
affliggono...Meno male che c'è Silverlight che è a dir poco una meraviglia confronto a quell'orrore informatico di Flash.Macromedia non vedeva l'ora di liberarsene e ora Adobe non sa più che pesci pigliare per mantenere il peggior codice mai scritto da essere umano.-
Re: vergogna
eh, certo, silverlight, sicuramente la cosa migliore, come no. Ora, vabbene, sono linuxaro e cantinaro, ma questo interessa solo a me perchè non sono solito rompere i cog....i qui alla gente che apprezza windows. Però una cosa ogni persona sana di mente dovrebbe ammetterla e riconoscerla: quando uno standard è così diffuso DEVE ESSERE LIBERO, libero di venir corretto, libero di venir aggiornato, migliorato. Flash indubbiamente per fare alcuni siti è impareggiabile (anche se per la maggior a me fanno XXXXXX), se fosse aperto tempo qualche mese diverrebbe tanto avanzato da tappare il becco a tutti. Ma sai, la adobe è tanto esosa di guadagni che rischia di far perdere tutto pur di non aprire. Tanto alla fine i suoi guadagni non dipendono da quello, voglio dire la Adobe è nota più che altro per lo standard PDF (mai amato, per modificarlo bisogna fare salti mortali), per la suite Premier e Photoshop.-
Re: vergogna
- Scritto da: franz1789 voglio
dire la Adobe è nota più che altro per lo
standard PDF (mai amato, per modificarlo bisogna
fare salti mortali), per la suite Premier e
Photoshop.pensare che il PDF sia un formato di lavoro è uno dei luoghi comuni più... beh, comuni.Il PDF nasce come formato FINALE di distribuzione dei documenti, e tale rimane al giorno d'oggi.Personalmente, che col PDF ci lavoro, li genero solo alla fine per la distribuzione su web o, opportunatamente formattati, come formato per la stampa tipografica.Non mi passerebbe mai per la testa di usarli come formato di lavoro perché sono un formato finale e quindi scarsamente modificabile (tranne che con Illustrator, ma anche lì con una discreta fatica).
-
-
Re: vergogna
- Scritto da: UauAdobe non sa più che pesci pigliare per mantenere
il peggior codice mai scritto da essere
umano.è una dura concorrenza tra lei con il Flash ed i software scritti in Framework .NET ;)
-
-
-
Risolvi tutti i bug di Adobe Acrobat !!!
Disinstallalo e sostituiscilo con il gratuito Pdf Xchange Viewer!Io l'ho fatto due giorni fa (e tempo fa lo avevo fatto sul portatile che ha risorse ridotte).Adobe Acrobat Reader è pesantissimo, vuole continuamente aggiornamenti, ha bug che mettono in pericolo i tuoi dati e la tua riservatezza.Ma chi te lo fa fare?Io sono passato a Pdf Xchange Viewer e vivo sereno. Fa quello che serve, pesa poco ed è gratis. Devo dire altro?http://www.docu-track.com/http://www.docu-track.com/download/PDFXVwer.zip-
Re: Risolvi tutti i bug di Adobe Acrobat !!!
ottimo consiglio!penso proprio che non ci sia da dire null'altro, ma se hai SO tipo Linux e una adeguata conoscenze dei permessi da assegnare ad un'tente non corri rischi.-
Re: Risolvi tutti i bug di Adobe Acrobat !!!
Scusa la pignoleria, ma non occorre avere alcuna "adeguata conoscenze dei permessi da assegnare ad un'tente" in gnu/linux.Qualsiasi distribuzione, vecchia o nuova, che non sia di tipo particolare (vedi ad es. Puppy Linux) prevede l'uso come utente non privilegiato.Quello che dici è invece vero, IMHO, per Windows: per poterlo utilizzare come utente non privilegiato devi conoscere, almeno superficialmente, il significato delle vico della linguetta "Protezione" nelle proprietà di un file o di una cartella...-
Re: Risolvi tutti i bug di Adobe Acrobat !!!
per linix intendevo dire che c'è anche chi usa una sola partizione e fa tutto con i privilegi di root, sono pochi ma ci sono!!!-
Re: Risolvi tutti i bug di Adobe Acrobat !!!
Essere ignoranti ci sta, ma perché volerlo urlare al mondo intero?Quello che dici è sostanzialmente impossibile, *nessuna* distribuzione, a partire da quelle più user friendly, ti permettono di fare cose simili.Anzi, sulle varie *buntu non ti fanno neanche conoscere l'esistenza di root, si va di "sudo" massiccio che ovviamente è avviato solo alla bisogna.Inoltre usualmente i gestori di login grafico non permettono proprio il login diretto di root.Per avviare una sessione direttamente con root, bisogna deliberatamente passare in console pura con ctrl+alt+f1, e qui fare il login. Dopodiché devi fare tutto in console perché il server grafico è già attivo, per avviare X da quella sessione di root dovresti prima stoppare il login manager. Sono tutte attività fattibili, certamente, ma altrettanto certamente *non* alla portata di un utente medio.E se uno ha la capacità di gestire situazioni simili, puoi stare tranquillo che ha anche il capire di non usare root come unico utente. -
Re: Risolvi tutti i bug di Adobe Acrobat !!!
non preoccuparti, te lo lascio fare, puoi urlare la TUA di ignoranza.che usi xubuntu x gestire un server? BRAVO!-----------------------------------------------------------Modificato dall' autore il 27 luglio 2009 09.27----------------------------------------------------------- -
Re: Risolvi tutti i bug di Adobe Acrobat !!!
ROTFL e tu su un server installi flashplayer e Adobe Reader???MA LOL! -
Re: Risolvi tutti i bug di Adobe Acrobat !!!
no, io ho il C16! -
Re: Risolvi tutti i bug di Adobe Acrobat !!!
- Scritto da: Crononauta
Quello che dici è sostanzialmente impossibile,
*nessuna* distribuzione, a partire da quelle più
user friendly, ti permettono di fare cose
simili.
In Gentoo ad esempio è possibile farlo. -
Re: Risolvi tutti i bug di Adobe Acrobat !!!
- Scritto da: AtariLover
- Scritto da: Crononauta
Quello che dici è sostanzialmente impossibile,
*nessuna* distribuzione, a partire da quelle più
user friendly, ti permettono di fare cose
simili.
In Gentoo ad esempio è possibile farlo.Gentoo è per professionisti.Una persona che si compila dai sorgenti una intera distribuzione si spera che sappia cio che fa anche nella configurazione del sistema stesso. -
Re: Risolvi tutti i bug di Adobe Acrobat !!!
- Scritto da: vintage
Gentoo è per professionisti.smanettoni.Professionisti e' un'altra cosaciao -
Re: Risolvi tutti i bug di Adobe Acrobat !!!
- Scritto da: iptables master
- Scritto da: vintage
Gentoo è per professionisti.
smanettoni.
Professionisti e' un'altra cosa
ciaoChiamali come vuoiciao
-
-
-
-
Re: Risolvi tutti i bug di Adobe Acrobat !!!
Su Windows c'è anche Foxit Reader, leggerissimo. Su Linux c'è sempre il buon vecchio xpdf. Le alternative non mancano, né da una parte né dall'altra. -
Re: Risolvi tutti i bug di Adobe Acrobat !!!
Anche io l'ho sostituito sui computer dell'ufficio oltre che su quello di casa. Le funzioni che mi hanno colpito sono la possibilità di editare, sottolineare e annotare i pdf (in maniera reversibile), la possibilità di poter esportare le pagine in formato immagine (in modo da sottoporle a OCR) e il minore spreco di spazio su disco (80 MB circa contro i 200 MB circa di Adobe Reader). Anche l'interfaccia stile Office con i tab non è male. L'unica cosa che non mi piace è i fatto che il copia e incolla elimina le formattazioni del PDF originale (bisogna avere la versione PRO per fare queste cose).Tra tutti i PDF reader gratuiti che ho provato questo è a mio giudizio il migliore.-
Re: Risolvi tutti i bug di Adobe Acrobat !!!
- Scritto da: Viva Pdfxchange
Anche io l'ho sostituito sui computer
dell'ufficio oltre che su quello di casa. Le
funzioni che mi hanno colpito sono la possibilità
di editare, sottolineare e annotare i pdf (in
maniera reversibile), la possibilità di poter
esportare le pagine in formato immagine (in modo
da sottoporle a OCR) e il minore spreco di spazio
su disco (80 MB circa contro i 200 MB circa di
Adobe Reader).il mio foxit occupa 6.66mb...-
Re: Risolvi tutti i bug di Adobe Acrobat !!!
- Scritto da: lroby
- Scritto da: Viva Pdfxchange
Anche io l'ho sostituito sui computer
dell'ufficio oltre che su quello di casa. Le
funzioni che mi hanno colpito sono la
possibilità
di editare, sottolineare e annotare i pdf (in
maniera reversibile), la possibilità di poter
esportare le pagine in formato immagine (in modo
da sottoporle a OCR) e il minore spreco di
spazio
su disco (80 MB circa contro i 200 MB circa di
Adobe Reader).
il mio foxit occupa 6.66mb...c'è qualcosa che non quadra..il mio Pdfxchange ne occupa 9 di mega..è stand alone e considerando che ha determinate caratteristiche che foxit non ha..comunque molto buoni tutti e due.Saluti.-
Re: Risolvi tutti i bug di Adobe Acrobat !!!
- Scritto da: Lancetta
- Scritto da: lroby
- Scritto da: Viva Pdfxchange
Anche io l'ho sostituito sui computer
dell'ufficio oltre che su quello di casa. Le
funzioni che mi hanno colpito sono la
possibilità
di editare, sottolineare e annotare i pdf (in
maniera reversibile), la possibilità di poter
esportare le pagine in formato immagine (in
modo
da sottoporle a OCR) e il minore spreco di
spazio
su disco (80 MB circa contro i 200 MB circa di
Adobe Reader).
il mio foxit occupa 6.66mb...
c'è qualcosa che non quadra..il mio Pdfxchange ne
occupa 9 di mega..è stand alone e considerando
che ha determinate caratteristiche che foxit non
ha..comunque molto buoni tutti e
due.
Saluti.In effetti, rettifico: il mio Pdf xchange wiewer (inclusa la shell extension che si scarica a parte) occupa 12,7 mb di spazio su disco, non 80 mb come ho scritto! Ad ogni modo, il maggior spazio occupato da PDF xchange è giustificato anche da una maggiore (a mio giudizio) numero di funzioni. Ad esempio trovo comoda l'estensione per explorer e firefox che visualizza i pdf nel browser come avviene con adobe reader.
-
-
Re: Risolvi tutti i bug di Adobe Acrobat !!!
- Scritto da: lroby
- Scritto da: Viva Pdfxchange
Anche io l'ho sostituito sui computer
dell'ufficio oltre che su quello di casa. Le
funzioni che mi hanno colpito sono la
possibilità
di editare, sottolineare e annotare i pdf (in
maniera reversibile), la possibilità di poter
esportare le pagine in formato immagine (in modo
da sottoporle a OCR) e il minore spreco di
spazio
su disco (80 MB circa contro i 200 MB circa di
Adobe Reader).
il mio foxit occupa 6.66mb...scusate, è stato un mio errore: Pdf xchange wiewer occupa 12,7 mb di spazio su disco, non 80 mb come ho scritto!
-
-
Re: Risolvi tutti i bug di Adobe Acrobat !!!
- Scritto da: Viva Pdfxchange il minore spreco di spazio
su disco (80 MB circa contro i 200 MB circa di
Adobe Reader).
Rettifica: Pdf xchange wiewer + shell extension occupa 12,7 mb di spazio su disco, non 80 mb come ho scritto!
-
-
-
le aziende hanno pensato a windows
come è stato detto sia adobe che flash player, per ogni SO, hanno questa falla. Continuando la lettura, alla fine c'è scritto che: "Adobe ha promesso di rilasciare una correzione per la falla entro il 30 luglio per Flash Player ed entro il 31 luglio per Adobe Reader/Acrobat. Nel frattempo l'azienda suggerisce agli utenti di Windows di rinominare il file authplay.dll localizzato nella cartella d'installazione di Reader e Acrobat, e di attivare - nel caso la si fosse disattivata - la funzione UAC (User Access Control) di Windows Vista." ma per linux? nessuno ci pensa?... NOOO, LINUX CI PENSA DA SOLO!!! con questo io non voglio dire nulla, tanto l'hanno detto quellli di Adobe... HAHAHAHA-
Re: le aziende hanno pensato a windows
I virus sono (come tutti i programmi) eseguibili e, di base, solo il root può eseguire un file... Non è una cosa nuovissima, c'è da una ventina d'anni.-
Re: le aziende hanno pensato a windows
certo, e perchè non c'è sotto windows? no no c'è pure, ma perchè bisogne fare attenzione?dice l'aricolo:"Nel frattempo l'azienda suggerisce agli utenti di Windows di rinominare il file authplay.dll localizzato nella cartella d'installazione di Reader e Acrobat, e di attivare - nel caso la si fosse disattivata - la funzione UAC (User Access Control) di Windows Vista."... ah si... windows ha bisogno delle pezze... HIHIHIHI :D -
Re: le aziende hanno pensato a windows
- Scritto da: Nedanfor
I virus sono (come tutti i programmi) eseguibili
e, di base, solo il root può eseguire un file...prego ?
Non è una cosa nuovissima, c'è da una ventina
d'anni.Interessante, devo essermi perso qualcos. Me lo spieghi meglio ?-
Re: le aziende hanno pensato a windows
AhahahahSperiamo che il mio amministratore di rete torni presto, che mi deve lanciare firefox :D:D:D-
Re: le aziende hanno pensato a windows
- Scritto da: Linux Profession al
Ahahahah
Speriamo che il mio amministratore di rete torni
presto, che mi deve lanciare firefox
:D:D:DLOL!!! :D -
Re: le aziende hanno pensato a windows
Okay, il danno si limita alla home. Trovatemi uno che non fa il backup della home, se ha dati importanti, e fatemelo conoscere. -
Re: le aziende hanno pensato a windows
- Scritto da: Nedanfor
Okay, il danno si limita alla home. Trovatemi uno
che non fa il backup della home, se ha dati
importanti, e fatemelo conoscere.Il punto non è soltanto questo. Perché il danno deve essere soltanto "perdere" i dati? finchè sei un utonto e nella tua home ci metti soltanto gli mp3 e i film piratati da Bittorrent, capisco. Il problema è se hai dati importanti che non vuoi che altri leggano... l'information leak è più grave della perdita dei dati di per sé, come dici tu giustamente, chi non fa un backup?E comunque, ci sono - e sempre ci saranno - exploit che ti fanno escalare i privilegi.E inoltre, dall'acXXXXX utente su una macchina, chi ti impedisce di propagarti ad altre, per esempio?... altre che potrebbero essere meno sicure...Cordiali saluti
-
-
-
Re: le aziende hanno pensato a windows
- Scritto da: Nedanfor
I virus sono (come tutti i programmi) eseguibili
e, di base, ***solo il root può eseguire un file***FALSO.-
Re: le aziende hanno pensato a windows
A seconda dei permessi assegnati... Doveva essere specificato? Se ne sente così tanto il bisogno di ribadire pure le cose lapalissiane?
-
-
Re: le aziende hanno pensato a windows
Azz... Allora è da Ubuntu che BSD ha messo i permessi? Wow, non lo sapevo!
-
-
Re: le aziende hanno pensato a windows
- Scritto da: socket-raw
ma per linux? nessuno ci pensa?... NOOO, LINUX CI
PENSA DA SOLO!!! guarda che se anche su linux corri lo stesso pericolo, l'esecuzione di codice da remoto ce l'hai anche li su linux-
Re: le aziende hanno pensato a windows
Mi permetto una nota... non sono un espertone di linux ma mi pare che con i privilegi utente puoi fare... quello che può fare l'utente! e visto che nel tuo nome c'è pure scritto socket... se l'utente è connesso ad internet e non ha un firewall che impedisca al suo pc di connettersi come e dove vuole è fatta! Certo, il virus non può danneggiare il sistema ma questo tipo di virus o malware chi li scrive più?! Il punto è controllare la macchina per fare in internet senza essere responsabili diretti.Mi chiedo quando finirà la sterile diatriba tra utenti linux e utenti windows. Ha decisamente stufato-
Re: le aziende hanno pensato a windows
- Scritto da: Maurizio Contino
Mi permetto una nota... non sono un espertone di
linux ma mi pare che con i privilegi utente puoi
fare... quello che può fare l'utente! Ad esempio aprire porte non e' consentito all'utente.-
Re: le aziende hanno pensato a windows
- Scritto da: krane
Ad esempio aprire porte non e' consentito
all'utente.E invece sì, basta che siano sopra la 1024.Che poi basta avere un router (nemmeno un firewall) in mezzo per renderlo inutile, è un altro discorso.Bye. -
Re: le aziende hanno pensato a windows
- Scritto da: krane
- Scritto da: Maurizio Contino
Mi permetto una nota... non sono un espertone di
linux ma mi pare che con i privilegi utente puoi
fare... quello che può fare l'utente!
Ad esempio aprire porte non e' consentito
all'utente.Ecco un' altra bufula bella e buonaNei sistemi unix, in condizioni standard,gli utenti aventi uid != 0 (root) non possono aprire socket su porte aventi numero < 1024. Per tutte le altre è perfettamente possibile
-
-
-
Re: le aziende hanno pensato a windows
Non sono daccordo, la sicurezza non è solo evitare che qualcuno installi qualcosa sul tuo server (e quindi essere root) e che è qualcuno possa leggere i dati sul tuo server (e qui non serve essere root..), fare query sul db e magari trovare dati sensibili della pesona ... Per esperienza ne ho trovati di server linux un utente web con password web... di utenti usano la stessa password per iscriversi alla newsletter X e della propria posta .. Poi per creare un piccolo file php in una cartella di un sito non devi essere root e con quello accedere al db non è poi cosi difficile .. Devi installare questo ponte ma se si crede che siccome non sono root posso fare tutto e stare tranquillo ... primo o poi ci si casca ... -
Re: le aziende hanno pensato a windows
I miei maroni non fai un XXXXX.Fare un demone che si collega in tcp/ip all'esterno e trasmette tutto il contenuto della partizione utente è fattibilissimo, e se usi porte "alte" (
1024) puoi farlo tranquillamente da user. Solo quelle inferiori, dei "well known services", sono apribili solo da root.E non venirmi a parlare di firewall, perché essendo una sessione generata dall'*interno* verso l'esterno, se anche hai un firewall blindato ma con l'ovvio e necessario ESTABLISHED,RELATED (o chi per esso, se il firewall è hardware e separato dalla macchina), quella backdoor può trasmettere tutto quello che le pare.Giusto se sei in una LAN aziendale fatta decentemente, dove l'acXXXXX all'esterno non è proprio possibile, ma sei vincolato a un proxy in DMZ, allora puoi evitare la fuoriuscita di dati; d'altra parte però non puoi evitare che venga trasmesso tutto come e-mail, e fare uno script che trasmetta ogni singolo file della $HOME ad un indirizzo e-mail esterno, è la banalità più assoluta.-
Re: le aziende hanno pensato a windows
- Scritto da: Crononauta
I miei maroni non fai un XXXXX.
Fare un demone che si collega in tcp/ip
all'esterno e trasmette tutto il contenuto della
partizione utente è fattibilissimo, e se usi
porte "alte" (
1024) puoi farlo tranquillamente
da user. Solo quelle inferiori, dei "well known
services", sono apribili solo da
root.
E non venirmi a parlare di firewall, perché
essendo una sessione generata dall'*interno*
verso l'esterno, se anche hai un firewall
blindato ma con l'ovvio e necessario
ESTABLISHED,RELATED (o chi per esso, se il
firewall è hardware e separato dalla macchina),
quella backdoor può trasmettere tutto quello che
le
pare.
Giusto se sei in una LAN aziendale fatta
decentemente, dove l'acXXXXX all'esterno non è
proprio possibile, ma sei vincolato a un proxy in
DMZ, allora puoi evitare la fuoriuscita di dati;
d'altra parte però non puoi evitare che venga
trasmesso tutto come e-mail, e fare uno script
che trasmetta ogni singolo file della $HOME ad un
indirizzo e-mail esterno, è la banalità più
assoluta.ssshhhhh non glielo dire! Alle superiori non è ancora arrivato al capitolo "Sicurezza informatica". Su, tenta di comprenderlo...-
Re: le aziende hanno pensato a windows
ma che ridi? guarda che è lo stesso problema anche su vistapoi c'è da vedere con quali privilegi girano i moduli incriminati su linux e su windowssu linux da user puoi aprire le porte alte come dice l'amico ma non puoi minimamente creare uno spyware che si avvii al bootcome spyware varrebbe davvero pocodel resto anche su windows puoi creare un bel proXXXXX usermode che comunica tramite tcp, ma il problema è ovviamente lo stesso e cioè come fare a far sì che si avvii al boot?inoltre il keylogging non lo fai se root non sei così come molte altre attività che richiedono il patching degli eseguibili o dei processi online -
Re: le aziende hanno pensato a windows
No guarda, lo richiami da $HOME/.bashrc e mi racconti se non parte al login del tuo utente... -
Re: le aziende hanno pensato a windows
- Scritto da: Crononauta
No guarda, lo richiami da $HOME/.bashrc e mi
racconti se non parte al login del tuo
utente...Esatto. Così come in windows basta metterlo in C:Documents and Settings%username%Start MenuProgramsStartup -
Re: le aziende hanno pensato a windows
Mumble, è che io non uso il login grafico.Comunque in tal caso lo metti in $HOME/.xinitrc e il gioco è bello che fatto. -
Re: le aziende hanno pensato a windows
- Scritto da: Shiba
O inXXXXXto dio solo sa dove nel registro di
sistema...
A dire il vero è abbastanza semplice anche perchè è li da una vita:HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunmsconfig docet ;-) -
Re: le aziende hanno pensato a windows
cavolo ma perchè dite 'ste cose sui forum? :Dio cerco di fare disinformazione anti script kiddies e tu e uau spalate XXXXX sui due OS :Dse è per questo pure gnome ha una bellissima feature che permette l'avvio automatico dei programmi il problema è che uno spyware simile è alla mercè di qualunque utente un pò più competente e del primo antispyware che passa -
Re: le aziende hanno pensato a windows
- Scritto da: pabloski
ma che ridi? guarda che è lo stesso problema
anche su
vista
Non stavo ridendo. E non ho detto che non c'è lo stesso problema su vista.Quindi: cos'hai letto?
-
-
Re: le aziende hanno pensato a windows
- Scritto da: Crononauta
I miei maroni non fai un XXXXX.
3
E non venirmi a parlare di firewall, perché
essendo una sessione generata dall'*interno*
verso l'esterno, se anche hai un firewall
blindato ma con l'ovvio e necessario
ESTABLISHED,RELATED (o chi per esso, se il
firewall è hardware e separato dalla macchina),
quella backdoor può trasmettere tutto quello che
le
pare.A parte che se e' generata, iniziata, la connessione e' NEW.In ogni caso la puoi impedire, e non e' tanto difficile, pur avendo l'ESTABLISHED,RELATED accettati.
Giusto se sei in una LAN aziendale fatta
decentemente, dove l'acXXXXX all'esterno non è
proprio possibile, ma sei vincolato a un proxy in
DMZ, allora puoi evitare la fuoriuscita di dati;
d'altra parte però non puoi evitare che venga
trasmesso tutto come e-mail, e fare uno script
che trasmetta ogni singolo file della $HOME ad un
indirizzo e-mail esterno, è la banalità più
assoluta.in un'azienda seria e dove si investe in IT questo non sarebbe possibilesaluti-
Re: le aziende hanno pensato a windows
- Scritto da: iptables master
in un'azienda seria e dove si investe in IT
questo non sarebbe
possibile
Hai detto bene. Un'azienda seria che investe in IT.Le contiamo insieme? Credo che se dicessi 5 su 100 starei già esagerando. -
Re: le aziende hanno pensato a windows
Nel primo caso, la sessione sarebbe NEW ma è evidente che non puoi bloccare niente da dentro a fuori, puoi bloccare solo le risposte che non sono ESTABLISHED,RELATED cioè relative a richieste nate dall'interno. Non puoi filtrare sull'uscita, altrimenti non ti esce più niente (la porta locale per una sessione client è scelta dinamicamente nel range 1025-65535 nel 99.9% dei casi).Nel secondo caso, se hai una DMZ, la posta esce eccome, visto che la macchina - con le credenziali dell'utente che a questo punto vanno considerate compromesse - è autorizzata a inviare posta, per cui un servizio che spara via posta viene fatto passare. Solo se hai l'enorme fortuna che il formato di mail sia intercettato come spam hai qualche speranza che venga bloccata, viceversa se quell'utente è autorizzato a spedire posta, l'SMTP in DMZ la sua posta gliela inoltra all'esterno. -
Re: le aziende hanno pensato a windows
ho visto solo ora la risposta.Tutto quello che dici che non si puo' fare in realta' si puo' fare benissimo, e funziona anche bene.
-
-
-
Re: le aziende hanno pensato a windows
scusa genio! HAHAHAHA-
Re: le aziende hanno pensato a windows
- Scritto da: socket-raw
scusa genio! HAHAHAHAEsatto.Taci m'infastidisce la tua ignoranza.-
Re: le aziende hanno pensato a windows
a me infastidisce la tua convinzione di essere GENIO... convinto tu...
-
-
-
-
