Первые последствия дырявого Bash
Не прошло и пары суток, а дыру в bash начали успешно использовать.
Проблема, конечно, гораздо больше, чем некое дырявое приложение. Она обладает корнями, глубоко уходящими в недра религии юниксвэя. Мы неоднократно говорили, что склеивать бинарнички с помощью пайпов, в которых передается неструктурированная текстовая информация, это дикость из археологических глубин ранних юниксов. Мы предлагали и модернизацию pipes, и постоянно рассказываем о необходимости переводить текст-ориентированные системы на бинарные (например, раз и два), и уж разумеется наши коллеги всегда отстаивали порочность юниксвэйного запуска приложений из других приложений, и последующего анализа текстового вывода (например, довольно радикальная презентация с Linux Plumber Conference 2012 нашего коллеги Andy Grover).
Мы продолжаем отстаивать точку зрения, что весь этот "цирк со злыми клоунами" (юниксвэй) необходимо заменить на сильно связанные, но работающие независимо (компоненты systemd, приложения D-Bus) и изолированно (SELinux, cgroups и т.п.) приложения, общающиеся с помощью стандартизированных бинарных сообщений (JSON, GVariant, BSON, Bencode, XML, да что угодно) по стандартной шине данных (D-Bus / kdbus), и события которых оперативно заносятся в базу данных событий системы (Journald). Это то, что называется платформа Linux, и то, к чему мы весь мир опенсорса потихоньку ведем.
Напоследок рекомендуем прочитать своевременный пост от Dan Walsh, в котором он объясняет, почему SELinux не блокирует проблему, и как он минимизирует ущерб. Вкратце, у кого SELinux включен, у того ошибка будет изолирована, и злоумышленник не сможет похитить ваши данные, хотя и сможет использовать ваш компьютер, а вот у кого выключен (у волосатых дикарей-троглодитов), у тех злоумышленник получит полноценный доступ к вашей машинке. Такие дела.
Оригинал
LinuxForum.Fans
Несколько камней в огород любителей unix-way и ненавистников Selinux
Автор: Vascom
66 сообщений
2121 просмотров
Мы что, стадо, а вы пастухи?и то, к чему мы весь мир опенсорса потихоньку ведем.
Конечно нет. Эта аналогия уже более 2000 лет занята другими структурами.
Вот и проповедуйте Библию. Святое дело, все спасёмся :).
Унылый вброс.
Унылый вброс.
это не опровержение правильности сказанного.
Это называется "куй железо, пока горячо", то есть, пиар. Все дружно кинулись ставить себе "платформу Linux™", которая, ЧСХ, неуязвима. Ага, так я и поверил.
это не опровержение правильности сказанного.
Это еще и опровергать надо?! Не, спасибо. Я воздержусь =)
Это называется "куй железо, пока горячо", то есть, пиар. Все дружно кинулись ставить себе "платформу Linux™", которая, ЧСХ, неуязвима. Ага, так я и поверил.
если вдруг systemd таким же образом обгадится, вы будете тихо сидеть, а не "ковать железо"? не смешите
dyasny, это неизбежно случится, никто от уязвимостей не застрахован. И вообще, причем здесь "платформа Linux™"? Она не менее, а может, и более уязвима по сравнению с классическим Linux-дистрибутивом. Не смешите и вы.
P.S. У всего есть сильные и слабые стороны, если не хотите, чтобы вас взломали - используйте "маргинальщину™". Правда, если вас таки взломают, чинить дыру придется вам, добрый дядя-майнтайнер тут уже не спасет. А вот разработчик помочь сможет, но он может быть недоступен.
yars, dyasny, Vascom, :) Друзья! Не надо ссор! Все программы одинаково уязвимы, как бы ни хвалились разработчики.
И чем больше патчей, тем больше дыр. Это я вам как программист говорю.
Давайте лучше вместо выяснения кто из вас веселее обгадится лучше нальём чай/кофе/пиво/сок/лимонад (кто что любит)
и приятно проведём вечер в тёплом общении *DRINK*
Wolfenberg, правильно. Все равно RH не переспоришь, как и M$ ;)
yars, :) В споре либо рождается истина, либо выясняется, что каждый сам дурак.
Второе происходит гораздо чаще первого. Да и сам спор тут ни о чём. Любую программу можно поломать в течении
суток под чай с пироженками. Было бы желание. Кроме этого, большинство взломов происходит из-за корявого кода,
когда множество программистов пишет одну и ту же лабутень на свой лад. Open Source весьма этим страдает.
И неважно, SUSe это, Slackware или Red Hat. Дупла практически везде одинаковые.
Это как в том приколе:
Известно 27 багов в программе;
известно 28 багов в программе;
выпустили заплатку с 2 исправлениями;
известно 37 багов в программе....
dyasny, это неизбежно случится, никто от уязвимостей не застрахован.
но ведь о том и разговор, чтоб искоренить причину потенциальных уязвимостей. универсальные API вместо неконтролируемого текста в пайпах - как раз то самое наследие юникс от которого systemd пытается избавиться.
И вообще, причем здесь "платформа Linux™"? Она не менее, а может, и более уязвима по сравнению с классическим Linux-дистрибутивом. Не смешите и вы.
"платформа линукс" это абстракция, обозначение линукса который отошел от юникс-вей. более или менее оно уязвимо - покажет время. Но плеваться при виде новшеств которые не патчат конкретные дырки, а работают над тем чтоб потенциальная дыра не навредила как минимум глупо.
P.S. У всего есть сильные и слабые стороны, если не хотите, чтобы вас взломали - используйте "маргинальщину™". Правда, если вас таки взломают, чинить дыру придется вам, добрый дядя-майнтайнер тут уже не спасет. А вот разработчик помочь сможет, но он может быть недоступен
зачем мне маргинальщина? у меня, при включенном selinux уже угроза локализирована, и дальше своей песочницы не выберется.
эмм...
yum remove bash
или
aptitude purge bash
нее??
p.s.
не зря в bsd сsh или sh/ksh, а bash для свистопирделок)
zsh форева :)
универсальные API вместо неконтролируемого текста в пайпах - как раз то самое наследие юникс от которого systemd пытается избавиться.
Еще раз: нет и не может быть гарантий, что это ваше универсальное API не дырявое.
работают над тем чтоб потенциальная дыра не навредила
Глупо пытаться заткнуть потенциальную дыру непонятно какого размера и непонятно где. Не зря же Патрик в свое время отказался от PulseAudio, PAM, SELinux, GNOME. На то у него были причины. А cgroups и без systemd в Slackware есть.
зачем мне маргинальщина? у меня, при включенном selinux уже угроза локализирована, и дальше своей песочницы не выберется.
Какая угроза? Именно эта? А, ну это хорошо.
*сижу и наблюдаю за происходящим... дайте еще попкорна и зрелищЪ*
Войдите или зарегистрируйтесь, чтобы ответить.
