Linux Linux Linux....

[ZEN]

Ну-ну. Для линукса нет троянов и вирусов не из-за того что он такой хороший, а из-за того что стоимость разработки вредоносного ПО для него окупить сложно из-за крайне низкой аудитории. Что-то я сильно сомневаюсь что маинтейнеры прям уж так могут и хотят весь код и проверить. Вот у меня есть пару знакомых, они являются мейнтейнерами нескольких пакетов. Добавить в эти пакеты трояна не проблема.

Ты знаешь, в случае с виндой даже мейнтейнером не нужно быть. А в большинстве случаев хватает удаленных уязвимостей. Если интересно, почитай рассылки разработчиков и подумай что лучше уязвимости которыми любой скрипт-кидди может овладеть твоим компом (до сих пор служба RPC шindoшs остается дырой) или уязвимости требующие локального доступа к компу (впрочем с локальным доступом и молотком можно взломать любой компьютер). Про знакомых своих мейнтейнеров - попробуй внедрить. Я хочу посмотреть что из этого получится).

Большинство пакетов для утановки требует админских прав.
Сделать подмену или вставку нужных библиотек - без проблем!

В шindoшs установка вредоностного ПО часто даже админских прав не требует. Вспомни всеми любимый Stuxnet, который использовал 4-ре уязвимости нулевого дня. А еще первые "патчи" майкрософта - временно отключить автозапуск флешек.... В линуксе уже давно бы пользователи с прямыми руками не только баг-репорт написали, но и патчи исправляющие проблему прислали. Вот тебе для сравнения Firefox, который владеет внушительным списком уязвимостей и патчами, которые их исправляют вышедшие в кротчайший срок. А теперь смотрим на Internet Explorer - дырявое проприетарное подделие уязвимости которого остаются открытыми на протяжении долгого времени. Не знаю как ты, но мне не хочется "сидеть на бочке с порохом".

Да, еще можно отметить программное обеспечение со стороны сообщества, которым тестит код на уязвимые места (типа переполнение буфера и т.д. что может послужить внедрением вредоностного ПО). В случае с проприетарным ПО... В общем молиться ты умеешь?

UPD
vlad11 ты забыл одну вещь. Репозиторий - это не расшаренный каталог с доступом rwx. Тебя будут посылать до тех пор, пока ты не пришлешь исходный код, потому как мейнтейнеры лучше тебя знают как собирать пакеты под их ОС и как проверять исходный код на наличие дыр. А сторонние самодельные репозитории - я не доверяю им и выше уже напоминал maxx™ пример с варез сайтами и виндой. Ты не думай как просто поднять репозиторий, ты подумай как внедрить пользователю ссылку в менеджер пакетов и GPG ключ удостоверяющий достоверность ПО в твоем репозитории. А лишь потом можешь подумать про тех, кто решился биться с менеджером пакетов, что бы тот игнорировал не подписанные пакеты и устанавливал их в систему.

[Lexxa]

ПыСы чтоб для лина троян либо что-нибудь этакое написать надо быть либо гением либо идиотом с кучей свободного времени.

Обилие вирусни под Андроид говорит об обратном. Есть некий порог популярности, на котором количество умельцев с одой стороны и идиотов с другой становится критическим. И тогда начинает расползаться вирьё.

[ZEN]

Обилие вирусни под Андроид говорит об обратном. Есть некий порог популярности, на котором количество умельцев с одой стороны и идиотов с другой становится критическим. И тогда начинает расползаться вирьё.

Там дело не только в количестве ламеров. Но для сравнения посмотри на WP7, где SMS-кой можно заблокировать Hab-сообщений на устройстве. Но беда таких устройств в первую очередь ограниченное кол-во ресурс, разработчикам приходится от многих алгоритмов защиты отказываться в пользу производительности и отзывчивости устройства. В качестве примера можешь посмотреть на MeeGo и Maemo. Я не помню новости о многочисленных уязвимостей в этих ОС.

А еще про порог популярности - посмотри на веб-сервер Apache и IIS от майкрософта. Не смотря на то, что первый популярнее, второй остается решетом.

[Lexxa]

Конечно не только. Но основная причина все-таки именно в обезьяне за пультом управления. В тех же линуксах домашний каталог уязвим как нечего делать.

Так за Апачем и ламеров меньше, не?

[ZEN]

Конечно не только. Но основная причина все-таки именно в обезьяне за пультом управления. В тех же линуксах домашний каталог уязвим как нечего делать.

Слово уязвим тут совершенно не к месту. Ты владелец каталога, а пишешь тут так, как будто он должен быть не твоим, а системы (или это у тебя привычка после зонда майкрософта?).

Так за Апачем и ламеров меньше, не?

Ты не внимательно читаешь тред. Ну сломаешь ты у себя апач и это будут только твои проблемы. В винде ты получишь заразу, так она еще по сети и другие компы заразит. Вот уж действительно вершина прогресса цивилизации.

Мысль про "все ошибки - вина человеческого фактора" и без того очевидна. Только разговор тут о том можешь ты повлиять в лучшую сторону или нет. В линуксе есть сообщество, есть код, есть ПО которое дает тебе все что нужно, были бы знания. В винде ты должен уметь применять реверс-инжиниринг для понятия как работает софт, что бы самому написать патч. Отсюда и выводы тебе почему в открытых проектах уязвимости быстро устраняются и почему у проприетарных продуктов так плохо бывает. Да, ты так и не ответил про MeeGo и Maemo. Собственно платформы основаны на Debian и используется там apt. То есть тут есть и репозиторий и проверки GPG ключей и реализована защита подмены DNS и многое другое, что осложняет возможность подсунуть гадость в систему. И смотри теперь на App Store гугла с его вирусами прочими проблемами.

[Lexxa]

Слово уязвим тут совершенно не к месту. Ты владелец каталога, а пишешь тут так, как будто он должен быть не твоим, а системы (или это у тебя привычка после зонда майкрософта?).

Хорошо, а какое правильное слово? Если пользовательская информация открыта всем ветрам?

Мысль про "все ошибки - вина человеческого фактора" и без того очевидна. Только разговор тут о том можешь ты повлиять в лучшую сторону или нет. В линуксе есть сообщество, есть код, есть ПО которое дает тебе все что нужно, были бы знания. В винде ты должен уметь применять реверс-инжиниринг для понятия как работает софт, что бы самому написать патч. Отсюда и выводы тебе почему в открытых проектах уязвимости быстро устраняются и почему у проприетарных продуктов так плохо бывает.

С другой стороны, и дырки искать проще.

Да, ты так и не ответил про MeeGo и Maemo. Собственно платформы основаны на Debian и используется там apt. То есть тут есть и репозиторий и проверки GPG ключей и реализована защита подмены DNS и многое другое, что осложняет возможность подсунуть гадость в систему. И смотри теперь на App Store гугла с его вирусами прочими проблемами.

Потому что я про них ничего не знаю.
Поэтому молча верю на слово.

[ZEN]

Хорошо, а какое правильное слово? Если пользовательская информация открыта всем ветрам?

Потому что я про них ничего не знаю.
Поэтому молча верю на слово.

ты не обижайся, но мне кажется ты в линуксе либо очень поверхностно, либо вообще ничего не знаешь. Линукс POSIX совместимая ОС и в отличии от винды изначально многопользовательская была и будет. По-этому почитай хотя бы вот это:
http://www.opennet.ru/base/sys/file_access.txt.html

С другой стороны, и дырки искать проще.

Ииииии?) Следуя этой логике отчеты о возможных проблемах с безопасностью я получу гораздо быстрей, чем в случае с закрытым кодом. И выпущу соответствующие исправления гораздо быстрее, если мне его сами не предложат пользователи ввиде патча. Вспомни мои слова выше про Stuxnet. Майкрософт пока не могли найти решение предложили пользователям автозапуск отключить. Как-то я сомневаюсь, что они самые умные и никто другой не написал бы решение быстрее будь код открытым. Еще к вопросу об открытости - майкрософт в своей сети MSN использует открытый движок Wordpress. Вот так вот взяли отказались от своего закрытого и перешли на открытый.

Я не хочу никого обидеть, просто слово открытое как-то люди не правильно воспринимают. Как говорится: "Свободный дом - не значит бесплатное пиво".

[Lexxa]

ты не обижайся, но мне кажется ты в линуксе либо очень поверхностно, либо вообще ничего не знаешь. Линукс POSIX совместимая ОС и в отличии от винды изначально многопользовательская была и будет. По-этому почитай хотя бы вот это:
http://www.opennet.ru/base/sys/file_access.txt.html

Вот я смотрю и в упор не могу понять, причем одно к другому. Объясни болезному пожалуйста.

Ииииии?) Следуя этой логике отчеты о возможных проблемах с безопасностью я получу гораздо быстрей, чем в случае с закрытым кодом. И выпущу соответствующие исправления гораздо быстрее, если мне его сами не предложат пользователи ввиде патча. Вспомни мои слова выше про Stuxnet. Майкрософт пока не могли найти решение предложили пользователям автозапуск отключить. Как-то я сомневаюсь, что они самые умные и никто другой не написал бы решение быстрее будь код открытым. Еще к вопросу об открытости - майкрософт в своей сети MSN использует открытый движок Wordpress. Вот так вот взяли отказались от своего закрытого и перешли на открытый.

Следуя этой логике, получается, что как хорошим парням проще находить и латать дыры, так и плохим парням проще их находить и использовать.
Просто эти процессы происходят в разы быстрее, что как бы исключает эпидемии масштабов как на окнах.

Кстати, с этим никто не спорит. А что ты мне пытаешься сейчас доказать, я не очень понимаю.

[ZEN]

Вот я смотрю и в упор не могу понять, причем одно к другому. Объясни болезному пожалуйста.

Ты написал глупость. Цитирую: "Если пользовательская информация открыта всем ветрам?"

Следуя этой логике, получается, что как хорошим парням проще находить и латать дыры, так и плохим парням проще их находить и использовать.
Просто эти процессы происходят в разы быстрее, что как бы исключает эпидемии масштабов как на окнах.

Ну да. Кроме того имея исходный код ты можешь еще и переделать её так как хочешь ты, а не её авторы. Так что на одной безопасности мир клином не сошелся.

Кстати, с этим никто не спорит. А что ты мне пытаешься сейчас доказать, я не очень понимаю.

Был разговор про Android как "представителя" linux-систем с не самым лучшим примером безопасности. От части виноваты и пользователи, но это не главная причина. Потому я привел в пример Maemo, Meego и даже как популярного ПО "со стажем" - Apache. Суть в том, что гугла политика была написать что-то своё, не проверенное временем пока конкуренты не заняли нишу на рынке. Теперь гугл занял место, но получает проблемы за спешку. В проектах OpenMoko, MeeGo, Maemo таких проблем нет. Почему они отказались их использовать опять же - проблемы гугла.

[Lexxa]

Ты написал глупость. Цитирую: "Если пользовательская информация открыта всем ветрам?"

Почему? Любая гипотетическая вредоносина может творить что угодно в ~ запустившего ее пользователя. Не так?

Ну да. Кроме того имея исходный код ты можешь еще и переделать её так как хочешь ты, а не её авторы. Так что на одной безопасности мир клином не сошелся.

Верно. Никто и не говорил, что открытые исходники — это плохо. Это чаще всего замечательно. Хотя мне Опера все равно больше Файрфокса нравится.

Был разговор про Android как "представителя" linux-систем с не самым лучшим примером безопасности. От части виноваты и пользователи, но это не главная причина. Потому я привел в пример Maemo, Meego и даже как популярного ПО "со стажем" - Apache. Суть в том, что гугла политика была написать что-то своё, не проверенное временем пока конкуренты не заняли нишу на рынке. Теперь гугл занял место, но получает проблемы за спешку. В проектах OpenMoko, MeeGo, Maemo таких проблем нет. Почему они отказались их использовать опять же - проблемы гугла.

Гугл оставил свой аппстор полностью пользователям, чего приличные дистрибутивы обычно не делают, да. С другой стороны, пользовательские репы все равно везде есть. Покажите мне убунту без парочки подключенных PPA.
Но в убунтах эпидемий нет, а в андроидах есть. Разницу вижу только в популярности и количестве ламеров на единицу площади.
Так же и с приведенными тобой системами. Вот я, как ламер, только приблизительно знаю об их назначении. Убунты тоже как-то мало встречаются. А ведроиды — вот они. Зайди в любую маршрутку и отожмешь пару штук.

[ZEN]

Почему? Любая гипотетическая вредоносина может творить что угодно в ~ запустившего ее пользователя. Не так?

Давай ближе начнем - ты скачал файл, у него нету прав на исполнение. В организациях администраторы вообще могут указать пользовательские каталоги монтировать с параметром noexec. В винде же практика показывает как хорошо файлы через браузер попадают в кеш и запускаются оттуда со следующим стартом системы.
Вот пример с локального компа в линуксе

zen@debian:~$ find .mozilla/firefox/*/Cache/ -type f | xargs ls -la | head -n 10
-rw------- 1 zen zen 9913 Дек 16 18:23 .mozilla/firefox/8u.default/Cache/6/00/C8B34d01
-rw------- 1 zen zen 6290 Дек 16 23:37 .mozilla/firefox/8u.default/Cache/6/00/CE12Ed01
-rw------- 1 zen zen 15742 Дек 16 18:21 .mozilla/firefox/8u.default/Cache/6/01/20F2Cd01
-rw------- 1 zen zen 11910 Дек 16 18:21 .mozilla/firefox/8u.default/Cache/6/01/4C1A9d01
-rw------- 1 zen zen 4529 Дек 16 17:48 .mozilla/firefox/8u.default/Cache/6/01/8CECAd01
-rw------- 1 zen zen 4919 Дек 16 17:38 .mozilla/firefox/8u.default/Cache/6/02/3BA18d01
-rw------- 1 zen zen 5073 Дек 16 18:22 .mozilla/firefox/8u.default/Cache/6/02/4094Fd01
-rw------- 1 zen zen 5105 Дек 16 19:54 .mozilla/firefox/8u.default/Cache/6/02/908D8d01
-rw------- 1 zen zen 28998 Дек 14 17:49 .mozilla/firefox/8u.default/Cache/6/02/CFCF4d01
-rw------- 1 zen zen 7006 Дек 16 23:51 .mozilla/firefox/8u.default/Cache/6/03/72DBEd01

Как видишь из прав только чтение/запись

Верно. Никто и не говорил, что открытые исходники — это плохо. Это чаще всего замечательно. Хотя мне Опера все равно больше Файрфокса нравится.

ну лично мне фаерфокс нравится по наличию расширений.

Гугл оставил свой аппстор полностью пользователям, чего приличные дистрибутивы обычно не делают, да. С другой стороны, пользовательские репы все равно везде есть. Покажите мне убунту без парочки подключенных PPA.
Но в убунтах эпидемий нет, а в андроидах есть. Разницу вижу только в популярности и количестве ламеров на единицу площади.
Так же и с приведенными тобой системами. Вот я, как ламер, только приблизительно знаю об их назначении. Убунты тоже как-то мало встречаются. А ведроиды — вот они. Зайди в любую маршрутку и отожмешь пару штук.

Мне в Андроиде больше всего не нравится возможность удалять с телефона пользователя ПО. Ровно как это в iPhone и WP7. Да собственно и обещания в Windows 8 сделать такое не нравится. Как-то корпорации уж слишком зажрались.

Кстати, пользователи хабра почти год назад окрестили Андроид не линуксом. Доводы интересные:
http://habrahabr.ru/blogs/android/113491/

[Lexxa]

Давай ближе начнем - ты скачал файл, у него нету прав на исполнение.

Абсолютно всегда?

ну лично мне фаерфокс нравится по наличию расширений.

Я пытался с ним подружиться, но понял, что допиливаю его так, как в сделано в Опере.

Кстати, пользователи хабра почти год назад окрестили Андроид не линуксом. Доводы интересные:
http://habrahabr.ru/blogs/android/113491/

Я в курсе. Просто в данном контексте посчитал несущественным.

[maxx™]

Как видишь из прав только чтение/запись

Ну и что? Если есть потенциальная возможность запустить файл, то в чем проблема перед запуском файла запустить chmod +x ? Если скрипт, то вроде ж просто перед именем файла дописать нужный интерпретатор.
Андроид - яркий пример вот что превратится линукс в случае его популярности, будут и вирусы и трояны и тырилки паролей. Пока он просто никакому не нужен.

[ZEN]

Абсолютно всегда?

Ну, давай посмотрим дефолтные права создания файла:
zen@debian:~$ umask
0022
Путем не хитрых вычислений получаем права 644. То есть атрибута на выполнение нету, только чтение/запись владельцу файла и только чтение группе/остальным. Аналогичным образом поступают sftp, netcat, samba (правда в samba можно указать umask по которому подключать шару. И как ни странно - права суперпользователя). Если твой браузер выставляет браузерам атрибут на выполнение, то выкинь его.

Я в курсе. Просто в данном контексте посчитал несущественным.

Ну, лично я сам еще не определился. Выглядит так, как будто на мотоцикл поставить педали. Вроде мотоцикл есть, но крутить приходится педали как на велосипеде ). А сам как считаешь?

[ZEN]

Ну и что? Если есть потенциальная возможность запустить файл, то в чем проблема перед запуском файла запустить chmod +x ?

Для того что бы программа делала chmod, надо исправить код. Кто тебе доступ к репозиторию даст, что бы ты добавил это изменение в фаерфоксе?

Если скрипт, то вроде ж просто перед именем файла дописать нужный интерпретатор.

zen@debian:~$ ls -la 1.sh
-rw-r--r-- 1 zen zen 1 Дек 17 19:14 1.sh
zen@debian:~$ ./1.sh
bash: ./1.sh: Отказано в доступе
zen@debian:~$ cat 1.sh
#!/bin/bash
echo test
zen@debian:~$

Еще вопросы?

Андроид - яркий пример вот что превратится линукс в случае его популярности, будут и вирусы и трояны и тырилки паролей. Пока он просто никакому не нужен.

Давай поставим вопрос по другому - ты не опроверг ни одного моего аргумента. А я твои опроверг. Почему люди читающие этот тред должны тебе верить?


UPD И вот как только ты все это решишь с chmod, я спрошу тебя что ты собираешься делать с selinux

[maxx™]

zen@debian:~$ ls -la 1.sh
-rw-r--r-- 1 zen zen 1 Дек 17 19:14 1.sh
zen@debian:~$ ./1.sh
bash: ./1.sh: Отказано в доступе
zen@debian:~$ cat 1.sh
#!/bin/bash
echo test
zen@debian:~$

Еще вопросы?

"/bin/sh ./1.sh"?
ну или баш, если тебе так привычней.

[ZEN]

"/bin/sh ./1.sh"?
ну или баш, если тебе так привычней.

все равно не понял как это у тебя заработает. Вот закину я скрипт без прав исполнения в автозапуск и фиг он запустится. Если вручную запущу оболочку и укажу файл на исполнение - другое дело, но я же не буду каждый раз при загрузке системы вручную запускать вредоностное ПО? Вспоминается древний анекдот про вирусы под линукс. Скачал -> присвой права и запусти.

[Lexxa]

Если твой браузер выставляет браузерам атрибут на выполнение, то выкинь его.

Возвращаемся к вопросу дырок в браузере.
Но я мысль понял, дальше можно не продолжать.

Ну, лично я сам еще не определился. Выглядит так, как будто на мотоцикл поставить педали. Вроде мотоцикл есть, но крутить приходится педали как на велосипеде ). А сам как считаешь?

Если правильно помню, правильный ответ — Android основан на ядре Linux, но не является GNU/Linux.
А как по мне, то это — линукс-мутант, который мутировал настолько, что ушлые люди (не безосновательно) пытаются его обозвать новым видом. Смысла заниматься строгой классификацией откровенно не вижу.

[ZEN]

Ну, кое-что я поправлю. Проблема не в браузерах может быть. Взять например под виндой победитель этого года по уязвимостям - Adobe PDF. Кто занимается разработкой в курсе что такое переполнение буфера. Простыми словами некорректно обработанный файл программой приводит к тому, что можно запустить некий код с правами администратора. Коду этому достаточно создать файл с вредоностным ПО и прописать автозапуск. Права на исполнение у него есть, осталось дождаться перезагрузки компа. Обычный путь создания файла и изменения прав давно палится антивирусами, а тут антивирус не может отследить по каким причинам идет сохранение файла. К слову потому и родилась идея использовать песочницу в таком приложении.

Теоретически в линуксе такое тоже возможно, только есть слишком много но и практическая часть отсутствует.

[coder_ak]

Не буду на 100% утверждать, но вирусы под Андроид это скорее не вирусы в традиционном понимании, а спайваре, спамварез и т.д. Т.е. ты сам должен скачать файл, сам должен установить его, сам должен плюнуть на предупреждения, что, к примеру, просмотрщик картинок имеет права на чтение и отправку СМС и телефонные разговоры, а потом ещё и запустить софтину сам же должен (хотя может быть дальше оно уже само). А ещё в нормальных Андроидах есть подобие фаервола, который умеет выборочно запрещать софту разные допуски. Тут тоже владелец должен забить на все предупреждения и продолжать жрать кактус.

И в Линусе ситуация подобная. Пока сам "вирус" не скомпилишь и не запустишь он и не заработает.