Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 299
А ведь вполне реально и под KDE, и под GNOME добавить в авторан — тогда большинство Линукс юзеров тоже будут заражены…
ХЗ честно как под гномом, а под KDE — достаточно поместить в ~/.kde4/Autostart/
ХЗ честно как под гномом, а под KDE — достаточно поместить в ~/.kde4/Autostart/
тогда большинство Линукс юзеров тоже будут заражены…
Если разрешат плохо подписанный апплет с фейк-ютуба. Да ещё и на java. Хотя тенденция намечается.
Да какая разница? Мало что ли RCE уязвимостей в том же файрфоксе? свеженькая. Учитывая, что у файрфокса практически нет митигейшнов — с линуксом можно делать что угодно, потому что повышать привилегии там крайне просто.
>повышать привилегии там крайне просто.
Пруф? Хоть одну уязвимость, прожившую хотя бы неделю.
Про обновления не забываем.
Пруф? Хоть одну уязвимость, прожившую хотя бы неделю.
Про обновления не забываем.
ПРУФ?
EoP disclosed in 2004 — fixed in 2010
EoP disclosed in 2007 — fixed in 2010
Кроме того, как Вы собираетесь защищать пароль на X-десктопе? Если кто-то на хабре все еще не видел моей любимой картинки — я с удовольствием ее продублирую:
Это не EoP в полном смысле, но ее очень легко использовать для повышения привилегий, в системе, которая на каждый чих требует ввода пароля. Известна лет 20 (прописью: ДВАДЦАТЬ) — всем по фигу
EoP disclosed in 2004 — fixed in 2010
EoP disclosed in 2007 — fixed in 2010
Кроме того, как Вы собираетесь защищать пароль на X-десктопе? Если кто-то на хабре все еще не видел моей любимой картинки — я с удовольствием ее продублирую:
Это не EoP в полном смысле, но ее очень легко использовать для повышения привилегий, в системе, которая на каждый чих требует ввода пароля. Известна лет 20 (прописью: ДВАДЦАТЬ) — всем по фигу
EoP disclosed in 2004 — fixed in 2010
EoP disclosed in 2007 — fixed in 2010
И сколько они прожили после (пере)обнаружения?
в системе, которая на каждый чих требует ввода пароля
Странно: я на каждый чих пароли не ввожу. Может, мне просто повезло и я прочитал man sudoers (в плане nopasswd на то, что таки нужно непривилегированным пользователям и что явно не может использоваться для эскалации привилегий). А, может, я давно всё настроил и мелочи вроде обновления системы давно в cron.
Кстати, как вы собираетесь это исправлять? Разве что wayland'ом, но пользователи закрытых видеодрайверов взвоют. И правильно сделают.
И сколько они прожили после (пере)обнаружения?
Ох, как я это обожаю. Виндовые пользователи заражаются через месяцы (и даже годы) после выпуска обновления — виновата винда. Виндовые пользователи устанавливают «кодеки» и «кряки» — виновата винда. Линукс имеет несколько известных уязвимостей, открытых ГОДАМИ — «И сколько они прожили после переобнаружения?»
Странно: я на каждый чих пароли не ввожу.
MyAnecdotalEvidenceBeatsYourFacts™. Знаете, этот аргумент должен действовать в обе стороны. Так что СУДЯ ПО МНЕ, под виндой вообще нет вирусов.
>виновата винда
Где я это сказал? Я не считаю, что современная windows действительно уязвима. В конце концов, безопасность — вопрос настройки системы и отказа от удобств.
>Линукс имеет несколько известных уязвимостей, открытых ГОДАМИ
Будто в других ОС такого нет. Разница в том, что они оперативнее закрываются после обнаружения и в среднем больший процент пользователей практически сразу обновляется.
Где я это сказал? Я не считаю, что современная windows действительно уязвима. В конце концов, безопасность — вопрос настройки системы и отказа от удобств.
>Линукс имеет несколько известных уязвимостей, открытых ГОДАМИ
Будто в других ОС такого нет. Разница в том, что они оперативнее закрываются после обнаружения и в среднем больший процент пользователей практически сразу обновляется.
В других ОС такого нет. Особенно Sensitive information disclosure, открытых даже не годами, а ДЕСЯТИЛЕТИЯМИ. Иметь подобное — прерогатива InherentlySecure™ систем
>В других ОС такого нет
Угу. Или это менее страшно?
>Sensitive information disclosure, открытых даже не годами, а ДЕСЯТИЛЕТИЯМИ.
Да ну? Когда вообще появились графические версии sudo?
Ну и к сведению: линуксу как ядру 20 лет. Графика в нём была не сразу.
Угу. Или это менее страшно?
>Sensitive information disclosure, открытых даже не годами, а ДЕСЯТИЛЕТИЯМИ.
Да ну? Когда вообще появились графические версии sudo?
Ну и к сведению: линуксу как ядру 20 лет. Графика в нём была не сразу.
Да, это менее страшно. Потому что нужно хитрым способом написать приложение, чтоб это сработало. Было «открыто» самим MS и MS же выпустил гайдлайны о том, как не допустить такого в приложениях 2 года назад. Это не два десятка.
> Ну и к сведению: линуксу как ядру 20 лет.
Как только говорим об уязвимостях: LinuxIsJustKernel™, как только говорим о приложения: да у нас «искаропки» тонна программ.
А X Window System чуть больше, чем линуксу. Или Вы все еще надеетесь, что ее когда нибудь таки заменят?
> Ну и к сведению: линуксу как ядру 20 лет.
Как только говорим об уязвимостях: LinuxIsJustKernel™, как только говорим о приложения: да у нас «искаропки» тонна программ.
А X Window System чуть больше, чем линуксу. Или Вы все еще надеетесь, что ее когда нибудь таки заменят?
Wayland уже стучится в гости, а там проблемам безопасности серьезно подошли.
> Wayland уже стучится в гости
JustAroundTheCorner™, ага
> а там проблемам безопасности серьезно подошли.
Мне послышалось или Вы только что сказали, что до сих пор в самой безопасной ОС к проблемам безопасности подходили недостаточно серьезно?
JustAroundTheCorner™, ага
> а там проблемам безопасности серьезно подошли.
Мне послышалось или Вы только что сказали, что до сих пор в самой безопасной ОС к проблемам безопасности подходили недостаточно серьезно?
Мне кажется или кто-то слова передергивает? Главная проблема иксов в том, что они от рута пускаются. Сейчас от этого избавляются при помощи KMS, Wayland же изначально основан на нем и пускается от юзера без всяких шаманств в suid'ом.
И где передергивание, родной?
Главная проблема иксов (так же как и всего остального линукса) в том, что они криво спроектированы и криво реализованы. И само наличие suid-а — это один из ярчайших примеров кривого дизайна
Главная проблема иксов (так же как и всего остального линукса) в том, что они криво спроектированы и криво реализованы. И само наличие suid-а — это один из ярчайших примеров кривого дизайна
>Главная проблема иксов в том, что они от рута пускаются.
Нет. Посмотри xspy. Оно просто опрашивает клавиатуру/мышь с бешеной частотой (а иксы, кажется, буферизуют ввод, по крайней мере с XLib). Возможно, с xcb удастся дойти до race condition, но это не безопасность.
Wayland тут поможет разве что вводом пароля вне иксов (а иксы оставить обычным окном внутри wayland'а, в любом случае в обозримом будущем их никто в здравом уме не выкинет).
Нет. Посмотри xspy. Оно просто опрашивает клавиатуру/мышь с бешеной частотой (а иксы, кажется, буферизуют ввод, по крайней мере с XLib). Возможно, с xcb удастся дойти до race condition, но это не безопасность.
Wayland тут поможет разве что вводом пароля вне иксов (а иксы оставить обычным окном внутри wayland'а, в любом случае в обозримом будущем их никто в здравом уме не выкинет).
И да, suid (далеко не худшая концепция) тут ни при чём. Иксы теоретически можно довести до бесsuidного запуска с KMS (хотя пользователи закрытых драйверов не смогут их запустить). Проблемы в протоколе X11 либо Xlib, точнее копать лень. Если убрать фичу, то просто сломается куча софта.
Софт можно быстро починить, благо зависит он в основном от тулкитов, а они очень кроссплатформенны, соответственно иксовая часть там строго изолирована от всего остального. Qt вот уже вполне успешно поверх wayland'а пускают (видел вполне рабочий скрин с Arora). Говорят Intel его поддержал и планирует в будущем использовать в MeeGo.
Для всякого legacy проприетарного софта можно и на манер макоси запустить иксы в окошке.
Для всякого legacy проприетарного софта можно и на манер макоси запустить иксы в окошке.
>Софт можно быстро починить
Начинай. Хочу динамический тайловый WM с vim-подобными хоткеями под wayland. Настройку клавиатуры не хуже, чем в иксах (xmodmap, XIM, xbindkeys, да, оно с тонной костылей, нецентрализованное, но мощное и работает). Из тулкитов хватит Qt, GTK (1 и 2), Tk. Ну и хороший эмулятор терминала (urxvt/xterm, внезапно, без тулкитов, а то, что в wayland, с ними не сравнится). Продолжать?)
Даже на xcb тулкиты никто до сих пор не переведёт, не говоря о wayland. Есть патчи для cairo, но апстрим сейчас их особо не рассматривает.
>Qt вот уже вполне успешно поверх wayland'а пускают
На какой видеокарте? Судя по мейлинглисту и собственному опыту, с моей запуск wayland сломан на неопределённое время. И это при рабочем KMS с всеми примочками.
>Для всякого legacy проприетарного софта можно и на манер макоси запустить иксы в окошке.
Я вижу другой use-case: запускать в wayland GDM (или что-нибудь подобное) ради избавления от текущих костылей с переключением пользователей и n сессий иксов (по одной на каждого залогинившегося пользователя). И думаю, что он более вероятен.
И вообще.
>Софт можно быстро починить
Не надо чинить то, что не ломалось.
Начинай. Хочу динамический тайловый WM с vim-подобными хоткеями под wayland. Настройку клавиатуры не хуже, чем в иксах (xmodmap, XIM, xbindkeys, да, оно с тонной костылей, нецентрализованное, но мощное и работает). Из тулкитов хватит Qt, GTK (1 и 2), Tk. Ну и хороший эмулятор терминала (urxvt/xterm, внезапно, без тулкитов, а то, что в wayland, с ними не сравнится). Продолжать?)
Даже на xcb тулкиты никто до сих пор не переведёт, не говоря о wayland. Есть патчи для cairo, но апстрим сейчас их особо не рассматривает.
>Qt вот уже вполне успешно поверх wayland'а пускают
На какой видеокарте? Судя по мейлинглисту и собственному опыту, с моей запуск wayland сломан на неопределённое время. И это при рабочем KMS с всеми примочками.
>Для всякого legacy проприетарного софта можно и на манер макоси запустить иксы в окошке.
Я вижу другой use-case: запускать в wayland GDM (или что-нибудь подобное) ради избавления от текущих костылей с переключением пользователей и n сессий иксов (по одной на каждого залогинившегося пользователя). И думаю, что он более вероятен.
И вообще.
>Софт можно быстро починить
Не надо чинить то, что не ломалось.
>Начинай. Хочу динамический тайловый WM с vim-подобными
Так WM наверное даже посложнее будет написать, чем портировать Qt на очередную платформу. На Haiku Qt практически нулевыми силами портировали.
>Даже на xcb тулкиты никто до сих пор не переведёт, не говоря о wayland.
Видимо считают, что не нужно.
>Есть патчи для cairo, но апстрим сейчас их особо не рассматривает.
О чем и речь. Не знаю в чем причина, но почему-то разработчики не любят XCB.
>На какой видеокарте? Судя по мейлинглисту и собственному опыту, с моей запуск wayland сломан на неопределённое время. И это при рабочем KMS с всеми примочками.
Смотрю здесь.
wayland.freedesktop.org/screenshots.html
Мне самому все лень попробовать, но судя по коммитам, работа таки идет.
>Я вижу другой use-case: запускать в wayland GDM (или что-нибудь подобное) ради избавления от текущих костылей с переключением пользователей и n сессий иксов (по одной на каждого залогинившегося пользователя). И думаю, что он более вероятен.
Можно и с такого начать. Хотя чем тут directFB не угодил?
Так WM наверное даже посложнее будет написать, чем портировать Qt на очередную платформу. На Haiku Qt практически нулевыми силами портировали.
>Даже на xcb тулкиты никто до сих пор не переведёт, не говоря о wayland.
Видимо считают, что не нужно.
>Есть патчи для cairo, но апстрим сейчас их особо не рассматривает.
О чем и речь. Не знаю в чем причина, но почему-то разработчики не любят XCB.
>На какой видеокарте? Судя по мейлинглисту и собственному опыту, с моей запуск wayland сломан на неопределённое время. И это при рабочем KMS с всеми примочками.
Смотрю здесь.
wayland.freedesktop.org/screenshots.html
Мне самому все лень попробовать, но судя по коммитам, работа таки идет.
>Я вижу другой use-case: запускать в wayland GDM (или что-нибудь подобное) ради избавления от текущих костылей с переключением пользователей и n сессий иксов (по одной на каждого залогинившегося пользователя). И думаю, что он более вероятен.
Можно и с такого начать. Хотя чем тут directFB не угодил?
Вот мне интересно, тут евангелисты микрософта кричат о том, что мол их система безопасна, смакуют любой косяк opensource систем, но ведь по сети же немеряно клавиатурных шпионов гуляет.
Про кривость иксов в курсах, это вообще притча во язытцах, когда для решения проблем протокола стали лепить расширения, и в итоге сейчас все на них завязано, а на основной протокол положили болт. В курсе я и про неоправданные тормоза граф подсистемы, которые правда к иксам тоже параллельны ибо это проблема в драйверах, причем проприетарных. Ощущение, что 2D там от винды прикручивается через слой совместимости.
Да и вообще, когда зловреду удается получить права на запуск приложений, то уже боржоми поздно пить.
Про кривость иксов в курсах, это вообще притча во язытцах, когда для решения проблем протокола стали лепить расширения, и в итоге сейчас все на них завязано, а на основной протокол положили болт. В курсе я и про неоправданные тормоза граф подсистемы, которые правда к иксам тоже параллельны ибо это проблема в драйверах, причем проприетарных. Ощущение, что 2D там от винды прикручивается через слой совместимости.
Да и вообще, когда зловреду удается получить права на запуск приложений, то уже боржоми поздно пить.
для решения проблем протокола стали лепить расширения
Это — не кривость. Сколько версий протокола TCP ты видел за свою жизнь? А HTTP? Лучше, если бы они менялись каждый месяц?
неоправданные тормоза граф подсистемы
Не замечал. Хотя проприетарных драйверов не использую.
когда зловреду удается получить права на запуск приложений, то уже боржоми поздно пить.
Ну а apparmor для чего в последнем ванильном ядре?
И вообще евангелисты мелкософта такие евангелисты.
Вы меня так унизили, так унизили — даже не знаю, как дальше жить.
Линуксоиды такие линуксоиды. Даже в том, что линукс не могут ни нормально спроектировать с первого раза, ни нормально исправить проблемы со второго-третьего — все равно виноват Microsoft. И эти исчадия ада — ЕВАНГЕЛИСТЫ.
Линуксоиды такие линуксоиды. Даже в том, что линукс не могут ни нормально спроектировать с первого раза, ни нормально исправить проблемы со второго-третьего — все равно виноват Microsoft. И эти исчадия ада — ЕВАНГЕЛИСТЫ.
Толстота детектед. И как только такие зеленые столько кармы иметь могут?
Слова передергивают, аргументы игнорят, несут какую то чушь. Да уж, наглость второе счастье
Слова передергивают, аргументы игнорят, несут какую то чушь. Да уж, наглость второе счастье
Ололо, Троллефобия. Ну, уважаемый, давайте Вы мне покажете, где конкретно в предыдущем сообщении троллинг.
А вообще забавно. Когда нечего сказать в ход идет любимый аргумент
С нетерпением жду, чего Вы еще можете сказать ОБО МНЕ, а не по существу.
С нетерпением жду, чего Вы еще можете сказать ОБО МНЕ, а не по существу.
Впрочем, даже лучше: https://bugs.launchpad.net/ubuntu/+source/gksu/+bug/47048
Быстрый гугль намекает: When gksudo is launched, it tries to «grab» the keyboard and mouse, so that it has exclusive use of them.
Поэтому на картинке такая старая ubuntu? А давайте я наковыряю багов с безопасностью в Windows 95!
Быстрый гугль намекает: When gksudo is launched, it tries to «grab» the keyboard and mouse, so that it has exclusive use of them.
Поэтому на картинке такая старая ubuntu? А давайте я наковыряю багов с безопасностью в Windows 95!
Во-первых пароль рута — не единственный пароль, который может понадобиться украсть. Ещё есть пароли к электронным платёжным системам.
Во-вторых, полагаю, что эксклюзивность тут на уровне иксов.
Ну и в-третьих — keymap tool из пакета утилит udev наверняка перехватит ввод и в этом случае, останется перенаправить его после перехвата по адресу, что, с учётом открытости кодов всего и вся, полагаю, не станет большой проблемой.
Во-вторых, полагаю, что эксклюзивность тут на уровне иксов.
Ну и в-третьих — keymap tool из пакета утилит udev наверняка перехватит ввод и в этом случае, останется перенаправить его после перехвата по адресу, что, с учётом открытости кодов всего и вся, полагаю, не станет большой проблемой.
Прочие пароли не дают эскалацию привилегий. Отнять ввод у иксов не так просто. Про keymap tool не слышал, но работает ли он без рута?
>с учётом открытости кодов всего и вся, полагаю, не станет большой проблемой.
Закрытый код не лучше открытого в вопросах безопасности.
>с учётом открытости кодов всего и вся, полагаю, не станет большой проблемой.
Закрытый код не лучше открытого в вопросах безопасности.
>но работает ли он без рута?
Не работает.
Не работает.
> Про keymap tool не слышал, но работает ли он без рута?
Правда ваша — не работает.
Тем не менее, возможности тырить все пароли за пределами окна ввода рутового пароля с помощью вышеупомянутой утилитки, это не отменяет.
Правда ваша — не работает.
Тем не менее, возможности тырить все пароли за пределами окна ввода рутового пароля с помощью вышеупомянутой утилитки, это не отменяет.
Не думаю.
Именно оно умеет разблокировывать многие мои ключи.
$ pinentry --help|grep grab
-g, --no-global-grab Grab keyboard only while window is focusedИменно оно умеет разблокировывать многие мои ключи.
> Поэтому на картинке такая старая ubuntu?
Во первых, это, блин, последний LTS (UseLTS™, помните?)
Во вторых, как будто в этих ваших убунтах чего нибудь кроме волпейпера меняется i.imgur.com/VgNJK.png
Во первых, это, блин, последний LTS (UseLTS™, помните?)
Во вторых, как будто в этих ваших убунтах чего нибудь кроме волпейпера меняется i.imgur.com/VgNJK.png
По поводу LTS — погорячился, да. В остальном — все по старому
Хм. Проверил, посмотрел код. Таки работает. И единственное решение на данный момент — SELinux. Либо ждать пока допилят sudo через другую X-сессию (например, в wayland).
Других способов защиты от XQueryKeymap нет, да и X security (разделение приложений на доверенные и прочие) пару лет назад выкинули из многих дистрибутивов (ломало меню GTK через ssh). На grab оно просто не реагирует, как и предполагается протоколом X11.
Других способов защиты от XQueryKeymap нет, да и X security (разделение приложений на доверенные и прочие) пару лет назад выкинули из многих дистрибутивов (ломало меню GTK через ssh). На grab оно просто не реагирует, как и предполагается протоколом X11.
Вы правда не понимаете? Правда-правда? Или это такой ТРОЛЛИНГ?
Поставьте в виртуальную машину (я так понимаю, Вы работаете под Linux) Windows 7 и попробуйте использовать любой из этих (или любой другой) кейлоггеров БЕЗ повышенных привилегий.
Поставьте в виртуальную машину (я так понимаю, Вы работаете под Linux) Windows 7 и попробуйте использовать любой из этих (или любой другой) кейлоггеров БЕЗ повышенных привилегий.
Судя по тормозам там весьма эпичный костыль воткнут для обхода проблемы. Я такой же и в иксах могу воткнуть(ну например запускать для ввода пароля отдельную X сессию).
Только вот нужен мне этот админский пароль? Мне пароли от мыла, аськи, банковской карточки и т.д. куда интереснее.
Только вот нужен мне этот админский пароль? Мне пароли от мыла, аськи, банковской карточки и т.д. куда интереснее.
> Судя по тормозам там весьма эпичный костыль воткнут для обхода проблемы
Ога, тормоза. Костыль.
Линукс-илита высказала свое икспертное мнение.
«Школота. Ни хрена не знает и всюду лезет»
> Я такой же и в иксах могу воткнуть
Начинай.
> Только вот нужен мне этот админский пароль?
Именно поэтому Рутковская советует заводить отдельные аккаунты для работы с важными данными.
А вообще, очень забавляет ВНЕЗАПНЫЙ переход от «бизопастно, патамушта рут» к «а на фиг вообще этот рут нужен». Наконец то до Вас начинает что то доходить. С другой стороны, под линуксом придется перелогиниваться даже для установки апдейтов и программ, лол.
Ога, тормоза. Костыль.
Линукс-илита высказала свое икспертное мнение.
«Школота. Ни хрена не знает и всюду лезет»
> Я такой же и в иксах могу воткнуть
Начинай.
> Только вот нужен мне этот админский пароль?
Именно поэтому Рутковская советует заводить отдельные аккаунты для работы с важными данными.
А вообще, очень забавляет ВНЕЗАПНЫЙ переход от «бизопастно, патамушта рут» к «а на фиг вообще этот рут нужен». Наконец то до Вас начинает что то доходить. С другой стороны, под линуксом придется перелогиниваться даже для установки апдейтов и программ, лол.
>инукс-илита высказала свое икспертное мнение.
«Школота. Ни хрена не знает и всюду лезет»
Но хорошо, тогда жду описания технологии работы UAC'а. И что он делает такого, что экран мерцает при его появлении. Второе, почему-то все только и мечтают как вырубить его к чертовой бабушке, а sudo почему-то никто не выковыривает (хотя это даже проще сделать).
>Начинай.
startx mymegasudo — :1
>С другой стороны, под линуксом придется перелогиниваться даже для установки апдейтов и программ, лол.
И это говорит адепт системы, которая требует полного ребута, лол. Вот назови мне хоть один апдейт, который требует обязательного релогина.
Таки да, про необходимость релогина в случае изменения у юзера списка групп в курсе.
«Школота. Ни хрена не знает и всюду лезет»
Но хорошо, тогда жду описания технологии работы UAC'а. И что он делает такого, что экран мерцает при его появлении. Второе, почему-то все только и мечтают как вырубить его к чертовой бабушке, а sudo почему-то никто не выковыривает (хотя это даже проще сделать).
>Начинай.
startx mymegasudo — :1
>С другой стороны, под линуксом придется перелогиниваться даже для установки апдейтов и программ, лол.
И это говорит адепт системы, которая требует полного ребута, лол. Вот назови мне хоть один апдейт, который требует обязательного релогина.
Таки да, про необходимость релогина в случае изменения у юзера списка групп в курсе.
Но хорошо, тогда жду описания технологии работы UAC'а.
Это хорошо, что Вы решили поучиться. Просто в будущем попытайтесь сначала разобраться, а потом выносить суждения и рассказывать про костыли. Почитайте про Logon Sessions, Windows Stations и Desktops (UAC работает в нулевой сессии — вместе со всеми остальными сервисами и имеет собственный десктоп).
startx mymegasudo — :1
Ога, ПОЧТИ fast user switching из XP. Линукс стремительно догоняет винду десятилетней давности. С некоторыми натяжками можно считать догнавшим конкретно в этой области, когда вместо security through obscurity sudo в текущем виде сделают нормального отдельного пользователя root и заставят пользователя перелогиниваться для накатывания апдейтов и установки программ. А вот когда таки внедрят wayland и вынесут gksu в отдельную x-сессию в удобном для пользователя виде — уже можно будет сравнивать с вистой.
И это говорит адепт системы, которая требует полного ребута, лол
Ну вот опять. Может для начала ЧУТЬ-ЧУТЬ подучишься? А потом ЧУТЬ-ЧУТЬ подумаешь?
Вот назови мне хоть один апдейт, который требует обязательного релогина.
Ай, красота. Как говорим о плачевном положении с безопасностью — так отдельный x сервер, а как апдейты накатывать — так сразу забываем. Идеальный пример сферического линуксоида в вакууме.
*Использовать любой из этих кейлоггеров для подслушивания ввода в UAC диалог без повышенных привилегий.
Старая? Я помню в 9.04 проверял. Исправно пароль показывался.
Луноходы всё же упороты.
Луноходы всё же упороты.
а можно в gnome поменять permissions для каталога ~/.config/autosta (там автозагрузка находится в mint?)? Это поможет?
Погуглил по ключевым словам — довольно много, где публикуется ссылка на зловред. Но Голованов прав: сейчас серваки лежат, заражения не происходит.
а как тогда потестить? опять самим компилить?
Продолжаем гуглить — не думаю, что это был зловред на один день.
Включил компьютер — и был поражён хабраэффектом: в ящике 178 писем о комментариях. Всё-такие клёвый это ресурс.
Включил компьютер — и был поражён хабраэффектом: в ящике 178 писем о комментариях. Всё-такие клёвый это ресурс.
в случае с gmail это было бы одно «письмо», т.е. цепочка. Очень удобно для таких вот уведомлений и всяких списков рассылки.
Ну и за что минус? Ребята, вообще-то распространение зловредов — статья. Я не обещал, что буду выкладывать тут всем на показ дропы и делать их реверсинг — кто умеет, тот и сам сделает, а кто не умеет — тому и не надо.
А вот не уметь находить нужное в интернете, да ещё и по стольким признакам — простите, стыдно!
А вот не уметь находить нужное в интернете, да ещё и по стольким признакам — простите, стыдно!
Значит подходит к концу пора беззаботности пользователей *nix-ов в плане антивирусной защиты… Плата за все более широкое распространение.
Не ставьте Java и всё будет хорошо.
Не ставьте Java… не ставьте Flash… не ставьте Acrobat Reader… не ставьте Firefox… и вообще не подключайтесь к интернету, что вы там не видели… и вообще — OpenBSD с командной строкой — рулез.
Зачем передергивать.
Постоянные факапы у адоб с её флеш и акробат ридер. Новости о каких-то уязвимостях в акробат ридере постоянно всплывают и всплывают. Может лучше заменить акробат ридер на альтернативный ридер? У фаерфокса не было таких проблем, а если и были, то это единичные случаи, но я таких не припомню.
Зачем простому юзеру джава на десктопе? Не нужна она там ему.
Постоянные факапы у адоб с её флеш и акробат ридер. Новости о каких-то уязвимостях в акробат ридере постоянно всплывают и всплывают. Может лучше заменить акробат ридер на альтернативный ридер? У фаерфокса не было таких проблем, а если и были, то это единичные случаи, но я таких не припомню.
Зачем простому юзеру джава на десктопе? Не нужна она там ему.
Довольно много кроссплатформенного софта написано именно на Java и если пользователь хочет иметь идентичный набор основных приложений под разными платформами, то Java ему, скорее всего, понадобится. Собственно у разработчика кроссплатформенного десктопного приложения выбор небольшой, если он не готов писать UI для нескольких платформ: на слуху Java, Qt, с натяжкой .NET/Mono
Какие программы на java используете вы?
Firefox кроссплатформенен? Opera? Vlc? Evernote? Но явой и не пахнет.
Firefox кроссплатформенен? Opera? Vlc? Evernote? Но явой и не пахнет.
Я использую программы производства JetBrains. И, поверьте, полноценной замены им нет.
Я использую Deluge, muCommander, NetBeans, Eclipse на Windows и Linux. Пытался использовать довольно много «клиентов одного сайта», но не впечатлили, через браузер проще, но кто-то пользует же.
deluge же написан на питоне и GTK?
NetBeans, Eclipse всё профессиональные программы, которыми простой пользователь не пользуется.
NetBeans, Eclipse всё профессиональные программы, которыми простой пользователь не пользуется.
Хм, насчёт deluge действительно заблуждался много лет. Ну, если под «простым пользователем» иметь в виду «серфинг, аська, фильмы, музыка, книжки», то, наверное да, можно обойтись. Вот только OpenOffice тянет Java по зависимостям во многих дистрах Linux, да ещё и устанавливается по дефолту для «простого пользователя», а выковыривать его, нарушая зависимости, «простой пользователь» точно не будет.
в каких многих?
в Debian не тянет, а раз не тянет в Debian то не станет тянуть и в производных(*buntu, Mint и пр.), в Gentoo не тянет(если ты сам USE-флаг java не поставишь).
что из десктопных осталось-то? SuSE? ну может в SuSE и тянет.
что-то Ваши «многие» оказались одним-двумя дистрибами и не самыми популярными.
в Debian не тянет, а раз не тянет в Debian то не станет тянуть и в производных(*buntu, Mint и пр.), в Gentoo не тянет(если ты сам USE-флаг java не поставишь).
что из десктопных осталось-то? SuSE? ну может в SuSE и тянет.
что-то Ваши «многие» оказались одним-двумя дистрибами и не самыми популярными.
yEd, OpenOffice. программы для рядового пользователя.
yEd вообще писян на java, а OOo без Java не работает куча функционала.
yEd вообще писян на java, а OOo без Java не работает куча функционала.
Во, правильно, настоящий Linux-way. «Зачем пользователю %programname% на десктопе? Не нужна она там ему.»
:)
:)
Без богомерзкой жабы никак…
Отлично обхожусь без явы. Может быть, поэтому и не считаю ее богомерзкой, хорошая технология.
Опенофисом не пользуетесь?
Вы открыли мне глаза =)
Теперь я вообще не понимаю, как Яву можно считать богомерзкой.
Теперь я вообще не понимаю, как Яву можно считать богомерзкой.
Например оберон по всем фронтам лучше жабы, кроме одного — в оберон не вложили миллиарды и он не раскручен.
Всё это могло бы быть и на обероне.
Программные продукты пишутся не для платформы, а для выполнения поставленных задач.
Программные продукты пишутся не для платформы, а для выполнения поставленных задач.
Ограничения бывают разные.
Ну вы первые стали говорить очевидно-бессмысленные вещи про ограничения. :)
Что?
Ага, и при чём сдесь жаба или оберон? :)
Вы говорите слишком очевидные вещи. :)
Я не призываю переходить на оберон, я лишь сказал что если бы в своё время деньги бы вложили не в жабу, а в оберон, то ситуация была бы гораздо лучше. Оберон опережает своё время даже сейчас.
По поводу аннотаций, рефлексии и прочей конкретики, все задачи которые решаются на жабе можно решать и на обероне.
Я не призываю переходить на оберон, я лишь сказал что если бы в своё время деньги бы вложили не в жабу, а в оберон, то ситуация была бы гораздо лучше. Оберон опережает своё время даже сейчас.
По поводу аннотаций, рефлексии и прочей конкретики, все задачи которые решаются на жабе можно решать и на обероне.
> Оберон опережает своё время даже сейчас.
В нем внезапно появились функции высшего порядка, и паттерн-матчинг хотя бы?
про алгебраические и зависимые типы или хотя бы про вывод типов я вообще умолчу.
В нем внезапно появились функции высшего порядка, и паттерн-матчинг хотя бы?
про алгебраические и зависимые типы или хотя бы про вывод типов я вообще умолчу.
Функции высшего порядка (сюрприз!) это не мера крутости языка, про остальное я вообще умолчу.
Стоп-стоп-стоп. Никто не говорил о крутости.
Дано: «Оберон опережает своё время даже сейчас.»
В наше время станадртом являются ФВП да и паттерн матчинг, в принципе.
Причем ФВП — это, по сути, реализация лямбда-исчисления
Алгебраические типы — передовой край, что тоже является реализацией интересных математических моделей.
Что же есть в Обероне, что он «опережает своё время»?
Дано: «Оберон опережает своё время даже сейчас.»
В наше время станадртом являются ФВП да и паттерн матчинг, в принципе.
Причем ФВП — это, по сути, реализация лямбда-исчисления
Алгебраические типы — передовой край, что тоже является реализацией интересных математических моделей.
Что же есть в Обероне, что он «опережает своё время»?
Стоп-стоп-стоп, а кто вам сказал что ФВП это в наше время является стандартом? :)
Я люблю, когда тролли всеми силами пытаются уйти от ответа на четко поставленные вопросы.
Итак, что же есть в Обероне, что он «опережает своё время»?
Итак, что же есть в Обероне, что он «опережает своё время»?
Итак, что вы знаете об обероне?
Когда разберетесь, все вопросы у вас отпадут.
Когда разберетесь, все вопросы у вас отпадут.
— паскалеподобный язык
— статическая типизация
— модули с разными типами приватности членов
— ООП по сути в стиле Java
— IDE Blackbox
Никаких интересов с точки зрения фич не представляет вообще. Или, перефразирую, в языке нет ни одной фичи, «опережающей время».
весьма показателен тот факт, что на оф. сайте языка даже документацию не могут привести в порядок несмотря на то, что последняя ревизия языка была 3 года тому назад.
язык некоторые активные товарищи пытаются протолкнуть в российские школы
— статическая типизация
— модули с разными типами приватности членов
— ООП по сути в стиле Java
— IDE Blackbox
Никаких интересов с точки зрения фич не представляет вообще. Или, перефразирую, в языке нет ни одной фичи, «опережающей время».
весьма показателен тот факт, что на оф. сайте языка даже документацию не могут привести в порядок несмотря на то, что последняя ревизия языка была 3 года тому назад.
язык некоторые активные товарищи пытаются протолкнуть в российские школы
Садись — два. :)
Сегодня всё перечитай и завтра снова будешь рассказывать.
Сегодня всё перечитай и завтра снова будешь рассказывать.
Я люблю, когда тролли всеми силами пытаются уйти от ответа на четко поставленные вопросы.
Итак, что же есть в Обероне, что он «опережает своё время»?
Можно дополнить: и где же я неправ?
Но, понимаю, что ответа не дождусь.
Итак, что же есть в Обероне, что он «опережает своё время»?
Можно дополнить: и где же я неправ?
Но, понимаю, что ответа не дождусь.
Постановка вопроса неправильная. Нужно так: и где же ты прав? :)
Чтобы понять чем оберон опережает время, нужно хотя бы обладать здравым смыслом и вдумчивостью и не заявлять феерические глупости типа «ООП по сути в стиле жабы». После таких заявлений обсуждать с тобой оберон просто несерьёзно, читай мурзилку и кодь на жабе, а про оберон не думай, не твоё это. :)
Чтобы понять чем оберон опережает время, нужно хотя бы обладать здравым смыслом и вдумчивостью и не заявлять феерические глупости типа «ООП по сути в стиле жабы». После таких заявлений обсуждать с тобой оберон просто несерьёзно, читай мурзилку и кодь на жабе, а про оберон не думай, не твоё это. :)
Ну, если аполгоеты Оберона из всех доводов выбирают «иди читай Мурзилку», то язык недостоен даже того, чтобы его упоминали.
Насчет ООП в стиле Java я, возможно, и неправ, потому что Оберон видел последний раз 3 года тому назад, детали я мог подзабыть.
Но вопрос все же остается, и ты так и не удосужился на него ответить: «Итак, что же есть в Обероне, что он опережает своё время?»
Насчет ООП в стиле Java я, возможно, и неправ, потому что Оберон видел последний раз 3 года тому назад, детали я мог подзабыть.
Но вопрос все же остается, и ты так и не удосужился на него ответить: «Итак, что же есть в Обероне, что он опережает своё время?»
Хех, неужели ещё существуют люди, которые видели Оберон? =)
опенофис без жабы отлично работает
ОО.о на C++ писан. Java ему требуется для микроскопической прибавки к функциональности: wiki.services.openoffice.org/wiki/Java_and_OpenOffice.org
В настройках ОО.о есть галка, отключающая использование JRE.
В настройках ОО.о есть галка, отключающая использование JRE.
Обалдеть, а как же они тогда его таким тормозным сделали? :)
Вы просто не умеете его готовить.
А этого от пользователя и не должно ожидаться.
Если пользователь отключил устанавливаемый по умолчанию Quickstarter, то он ССЗБ.
Костыли вроде квикстартеров не отменяют тормоза, а просто немного прячут их. Да и на этих костылях он что-то не шибко резвый.
«Костыли вроде квикстартеров» некоторые компании делают одним из нововведений в очередной версии ОС собственного производства.
ОО.о — не тормозит. Не возбраняется доказать обратное, если эти слова хоть чего-то стоили.
ОО.о — не тормозит. Не возбраняется доказать обратное, если эти слова хоть чего-то стоили.
Хм, так это всё чтобы потроллить что ли? Если нет, то поучились бы общаться корректно, а то выглядите как непонятно кто и как будто я вам чем-то обязан.
По-моему довольно очевидно, что квикстартер-самоделка и «аналогичный» системный сервис, который может оптимизировать по множеству разных параметров и учитывается системой — вещи немного разного уровня. И ещё раз, это не отменяет тормозов приложения, а только прячет их.
«ОО.о — не тормозит». Виндоус — не нужен!
По-моему довольно очевидно, что квикстартер-самоделка и «аналогичный» системный сервис, который может оптимизировать по множеству разных параметров и учитывается системой — вещи немного разного уровня. И ещё раз, это не отменяет тормозов приложения, а только прячет их.
«ОО.о — не тормозит». Виндоус — не нужен!
А по теме вы отметить способны? Хоть одно объективное доказательство «тормозов» ОО.о прозвучит?
*ответить
Вам не кажется странным требовать объективных доказательств при ваших-то голословных утверждениях? Ссылок на тесты и замеров с таймерами, в ответ на «ОО.о — не тормозит»? Bazinga.
Что есть тормозит? Медленно запускается или медленно работает?
У меня были случаи когда при просмотре говнопрайса в экселе на 3мб МСО уходил в астрал на неопределенное врмя, а ООО его со скрипом и свопом, но открывал.
У меня были случаи когда при просмотре говнопрайса в экселе на 3мб МСО уходил в астрал на неопределенное врмя, а ООО его со скрипом и свопом, но открывал.
Квикстартеры? У меня в дебиване нет никаких квикстартеров. И в убунте нет.
Опенофис не требует жаббы (сюрприз, да?)
может хватит повторять идиотское утверждение с ЛОРа, что OO.org работает на Java?
он без Java чудесно работает и не жужжит.
он без Java чудесно работает и не жужжит.
Так они теперь в Ubuntu (начиная с 10.10) вместе с кодеками и Flash из коробки (если перед установкой была отмечена соответствующая галка).
Если яблочко на логотипе у Вас не просто так, то Вам должно быть интересно
Вкратце:
Август 2008 — Sun получает сообщение об уязвимости
Декабрь 2008 — Sun фиксит уязвимость, выпускает патч и раскрывает подробности
Май 2009 — Разозленный пользователь постит рабочий эксплоит
Июнь 2009 — Apple наконец то накатывает патч
Больше полугода с настежь раскрытой системой. Заходите — берите, что хотите. Если пройти по ссылке из статьи, можно увидеть, что для Apple такое не впервой
Вкратце:
Август 2008 — Sun получает сообщение об уязвимости
Декабрь 2008 — Sun фиксит уязвимость, выпускает патч и раскрывает подробности
Май 2009 — Разозленный пользователь постит рабочий эксплоит
Июнь 2009 — Apple наконец то накатывает патч
Больше полугода с настежь раскрытой системой. Заходите — берите, что хотите. Если пройти по ссылке из статьи, можно увидеть, что для Apple такое не впервой
Яблоко не просто так.
Я же не золотыми буквами макос и эппл выкладываю и качу бочку на виндоус. Я считаю что простому пользователю ява на десктопе не нужна. Не её эта среда.
Я же не золотыми буквами макос и эппл выкладываю и качу бочку на виндоус. Я считаю что простому пользователю ява на десктопе не нужна. Не её эта среда.
А .Net/Mono нужны простому пользователю на десктопе? Если да, то в чём отличие? (Про доминирование Java в enterprise-секторе всё ясно.)
Я виндоусом не пользуюсь с 2005 или 2006 года, когда пересел на мак. А в те года.нет был не распространен. А на маке моно, сами понимаете, практически не используется.
И, да, я считаю что нельзя делать абсолютно кроссплатформенных программ. Надо затачивать программу под каждую конкретную систему, чтобы она выглядела и вела себя нативно.
Тут уже экономика решает. Например, увеличивать количество кода в два раза (считаем, что 50% логика и данные, 50% UI, изначальная платформа Windows) ради того, чтобы продажи выросли на 6% (грубо — 5% мак и 1% линь) далеко не каждый производитель согласится.
Это разные проценты.
Вполне возможно, что этот самый 1% пользователей вполне окупит сумму разработки (эти самые 50% от стоимости всей разработки).
Вы сравниваете разные проценты.
Вполне возможно, что этот самый 1% пользователей вполне окупит сумму разработки (эти самые 50% от стоимости всей разработки).
Вы сравниваете разные проценты.
Я сравниваю количество пользователей, имея в виду, что количество желающих и могущих платить (про другие способы монетезации, типа контекста, даже не заикаюсь) за нужное (или желаемое) приложение от смены ОС не изменяется (ну, может, среди пользователей МакОС их побольше, т. к. априори более обеспеченные, но не на порядки, имхо). Если есть статистика, что различается на порядки желание платно получить легальный ключик — буду весьма благодарен. Если «всего лишь» в разы, то, опять-таки — имхо, может, вернее вряд ли, и не окупиться
Как бы там ни было, а запускать просто не нужно то что не знаете.
И в систему эта гадость не прописывается навсегда. Это чисто технически невозможно ввиду необходимости иметь привилегии.
И в систему эта гадость не прописывается навсегда. Это чисто технически невозможно ввиду необходимости иметь привилегии.
А что сложного в том, чтобы получить привилегии в линуксе?
И да, чтобы увести пользовательские данных, рассылать спам — административные привилегии не требуются
Чтобы увести дынные нужно либо получить привилегии, либо запустить вредоносный модуль/скрипт на целевой системе.
Потому и говорю, что не нужно запускать то, чему нет доверия.
Потому и говорю, что не нужно запускать то, чему нет доверия.
Когда речь об RCE — говорят про restricted user-а, когда речь об EoP — говорят о том, что код надо еще запустить. Можете исключить EoP — повысить привилегии на линуксе — исторически не намного сложнее, чем в Win9x. Но вот из-за очередной уязвимости в Firefox, Flash или Java вредоносный код таки запустился — пользовательские данные лежат в пользовательском каталоге, скомпрометированный код исполнялся с пользовательскими привилегиями. Что конкретно мешает вредоносному коду похитить пользовательские данные?
> Это чисто технически невозможно ввиду необходимости иметь привилегии.
habrahabr.ru/blogs/virus/107211/#comment_3378747
Просто разработчики вируса не добавили в него поддержку Gnome и KDE.
habrahabr.ru/blogs/virus/107211/#comment_3378747
Просто разработчики вируса не добавили в него поддержку Gnome и KDE.
Если единственный вирус требует самостоятельного скачивания и запуска, то система действительно защищена от вирусов.
Скажите пожалуйста, как называется программа для просмотра активности трафика на видео под Ubuntu?
Чем принципиально этот вирус-ботнет отличается от тех же официальных распространенных проектов Folding@HOME, Rosetta? Если пользователь тыкает RUN везде где только можно — Вы меня, конечно, извините — вирусом следует назвать этого пользователя. Если он введет в консоли «sudo rm -fr /*» вы тогда rm вирусом объявите?
Новость желтая как солнце. Юзер заходит на сайт, сам запускает JAVA приложение, которое повисит до ребута — вообще смех. А если у юзера gcj? что тогда? «Извините, наш вирус работает только под SUN-JAVA/ установите SUN-JAVA и перезагрузите страницу».
Если эта новость и показывает какую-то уязвимость, то максимум в проприетарных реализациях какого-то ПО, но, ИМХО, тут и до этого далеко, вирус сошл инжинеринговый, а дебилизм юзеров — отдельная статья.
Новость желтая как солнце. Юзер заходит на сайт, сам запускает JAVA приложение, которое повисит до ребута — вообще смех. А если у юзера gcj? что тогда? «Извините, наш вирус работает только под SUN-JAVA/ установите SUN-JAVA и перезагрузите страницу».
Если эта новость и показывает какую-то уязвимость, то максимум в проприетарных реализациях какого-то ПО, но, ИМХО, тут и до этого далеко, вирус сошл инжинеринговый, а дебилизм юзеров — отдельная статья.
en.wikipedia.org/wiki/Mydoom
Самый быстро распространяющийся червь в истории. Почитайте про методы распространения
Самый быстро распространяющийся червь в истории. Почитайте про методы распространения
Почитал, но кнопки «Пожалуйста, установи яву и запусти меня» не увидел.
Вы не согласны с чем-то из моего поста? Так может быть опубликуете это без лирических отступлений?
Вы не согласны с чем-то из моего поста? Так может быть опубликуете это без лирических отступлений?
Mydoom is primarily transmitted via e-mail, appearing as a transmission error, with subject lines including «Error», «Mail Delivery System», «Test» or «Mail Transaction Failed» in different languages, including English and French. The mail contains an attachment that, if executed, resends the worm to e-mail addresses found in local files such as a user's address book. It also copies itself to the “shared folder” of peer-to-peer file-sharing application KaZaA in an attempt to spread that way.
Приходит левое письмо с левым исполняемым файлом во вложении — пользователь запускает. Пользователь видит левый экзешник расшаренный кем либо — скачивает и запускает.
А суть в том, что не стоит недооценивать идиотизм людей. Особенно тех, кто по каким то неведомым мне причинам, чувствует себя в полной безопасности. Идиотизм пользователей влияет на экосистему — что то надо менять. Пользователей изменить нельзя, но можно изменить систему. ЭТО правильный подход: неважно, что проблема в пользователях, она есть и ее нужно решать. В том числе обучением пользователей, напоминаниями об отсутствующем антивирусе и пр., а не лихими: «да у нас вообще неуязвимая система».
С таким подходом вы из компьютера сделаете китайский калькулятор с 4 фиксированными функциями.
Эх, если б я знал как это сделать — стал бы миллиардером. Компьюетры уже давно не игрушка для элиты и даже не «мозговой велосипед» для научных работников. Это такой же предмет быта, как телевизор или там автомобиль. Пользователи не хотят и не умеют думать. Надо смириться и придумывать как оздоровить экосистему.
В первую очередь, идиотизм людей никто и не недооценивает, но Вы предлагаете забанить RM и все приложения меняющие файлы и пользующиеся сетью. Я в первом же предложении спросил: как вы собираетесь отличать этот «вирус» от других приложений? Как Вы предлагаете менять систему чтобы этого избежать? Я категорически против называть все подряд вирусом, в топике нету о них ничего! Это просто исполняемое приложение, генерящее трафик, требует скачать себя и запустить. Если бы это был какой-нибудь майдум в жпеге, который Outlook сам запустит сгенерировав превьюшку — это будет вирусное приложение, здесь же обычное резидентное прикладное приложение.
Кстати сказать, я полтора года жил себе спокойно и не видел этих JAVA окошек вообще (дефолтная инсталляция Debian, но это не принципиально), при этом полноценно пользовался всеми сервисами, которые могут понадобиться домашнему пользователю. И только D-Link'овская IPKVM когда сказала: «эй, парень, да у тебя ж нету явы браузерной!» пришлось ее поставить.
ИМХО пузырь раздули тупо.
Я предлагаю просто перекрасить диалог запуска JAVA апплетов в красный цвет и нарисовать сбоку череп, это остановит юзера от идиотизма? Так ведь после этого, привыкнув к своим IPKVM'ама, они будут и на ESET'е с похожим окном «ВНИМАНИЕ УГРОЗА» жать «пропустить»
Кстати сказать, я полтора года жил себе спокойно и не видел этих JAVA окошек вообще (дефолтная инсталляция Debian, но это не принципиально), при этом полноценно пользовался всеми сервисами, которые могут понадобиться домашнему пользователю. И только D-Link'овская IPKVM когда сказала: «эй, парень, да у тебя ж нету явы браузерной!» пришлось ее поставить.
ИМХО пузырь раздули тупо.
Я предлагаю просто перекрасить диалог запуска JAVA апплетов в красный цвет и нарисовать сбоку череп, это остановит юзера от идиотизма? Так ведь после этого, привыкнув к своим IPKVM'ама, они будут и на ESET'е с похожим окном «ВНИМАНИЕ УГРОЗА» жать «пропустить»
> как вы собираетесь отличать этот «вирус» от других приложений?
Антивирусы — как пример. Надоедать пользователю до тех пор, пока не поставит антивирус (нашего агента в системе), а дальше блокирование подобного майдума — достаточно быстрая процедура (хотя самые «продвинутые» вместо установки антивируса находят в интернете инструкции по отключению надоедливых сообщений). Обучение пользователей в духе: да, интернет — опасная штука, но стоит выполнить такие то шаги и вероятность заражения хотя и не исчезает, но падает на порядки (сравните с эппловым/линуксовым: «да вирусов под линукс нет, потому что их не может быть»)
Против конкретно джава-уязвимости — mitigations. Диалог — один из митегейшнов, и не самый надежный, потому что зависит от пользователя. Для кода, который уже прорвался и исполняется — песочницы. Наверное когда нибудь дойдет до подписывания джаваскрипт кода и дефолтной политике не исполнять неподписанный. И пр… Пользователи платят программистам деньги за то, чтоб программисты думали ВМЕСТО них. Кто лучше подумает вместо них — тому заплатят больше денег
Антивирусы — как пример. Надоедать пользователю до тех пор, пока не поставит антивирус (нашего агента в системе), а дальше блокирование подобного майдума — достаточно быстрая процедура (хотя самые «продвинутые» вместо установки антивируса находят в интернете инструкции по отключению надоедливых сообщений). Обучение пользователей в духе: да, интернет — опасная штука, но стоит выполнить такие то шаги и вероятность заражения хотя и не исчезает, но падает на порядки (сравните с эппловым/линуксовым: «да вирусов под линукс нет, потому что их не может быть»)
Против конкретно джава-уязвимости — mitigations. Диалог — один из митегейшнов, и не самый надежный, потому что зависит от пользователя. Для кода, который уже прорвался и исполняется — песочницы. Наверное когда нибудь дойдет до подписывания джаваскрипт кода и дефолтной политике не исполнять неподписанный. И пр… Пользователи платят программистам деньги за то, чтоб программисты думали ВМЕСТО них. Кто лучше подумает вместо них — тому заплатят больше денег
> Наверное когда нибудь дойдет до подписывания джаваскрипт кода и дефолтной политике не исполнять неподписанный
Это я не перепутал яваскрипт с явой — просто моя мысль убежала вперед сильно быстро. Я имел в виду, что большая часть атак на сам браузер идет через яваскрипт. Ну а конкретно яву наверное можно вычеркнуть из веба (с клиентской стороны) — даже не помню, когда последний раз видел ява-апплет
Это я не перепутал яваскрипт с явой — просто моя мысль убежала вперед сильно быстро. Я имел в виду, что большая часть атак на сам браузер идет через яваскрипт. Ну а конкретно яву наверное можно вычеркнуть из веба (с клиентской стороны) — даже не помню, когда последний раз видел ява-апплет
Не надо решать эту проблему. Я вас огорчу, эту проблему уже решили.
В качестве «предмета быта» стоит брать игровую консоль. Неважно, XBox, PS или Nintendo. Там и поиграть можно, и в интернете посидеть, да и проблемы безопасности стоят не так остро.
Приведу утрированный пример. Мне нужно нарезать бумаги. Я иду в магазин, мне предлагают канцелярский нож, и тут я думаю, вдруг мне придется резать что-то толще бумаги. И я покупаю тесак — и бумагу можно порезать, и косяк у двери снять, и ножки у кровати покороче сделать. В результате вместо хорошо нарезанной бумаги я имею безнадежно испорченный стол, ладно хоть сам цел и невредим.
Проблема в тесаке или все-таки во мне?
В качестве «предмета быта» стоит брать игровую консоль. Неважно, XBox, PS или Nintendo. Там и поиграть можно, и в интернете посидеть, да и проблемы безопасности стоят не так остро.
Приведу утрированный пример. Мне нужно нарезать бумаги. Я иду в магазин, мне предлагают канцелярский нож, и тут я думаю, вдруг мне придется резать что-то толще бумаги. И я покупаю тесак — и бумагу можно порезать, и косяк у двери снять, и ножки у кровати покороче сделать. В результате вместо хорошо нарезанной бумаги я имею безнадежно испорченный стол, ладно хоть сам цел и невредим.
Проблема в тесаке или все-таки во мне?
Нет, не решили. Консоль для игр — в принципе неплохо. Для фильмов — уже похуже (есть нетфликс, можно стримить с компьютера — это не то, что нужно среднему пользователю). Для телепередач — ждем hulu на xbox/ps. «В интернете посидеть» — вообще не приспособлены (разве что фейсбуки/твиттеры, но это не интернет).
Фактически даже в достаточно достаточно узкой нише коробки под телевизором пока нет полноценного решения.
А компьютер это еще и business productivity, например. Хочет студент-гуманитарий набивать текст сочинения на компьютере, или домохозяйка посмотреть и распечатать рецепт из интернета — они не хотят думать о безопасности этой коробки. Я точно так же не хочу думать о сервисе машины — даже масло не хочу сам проверять — на дешборд вывели индикатор и это правильно.
Фактически даже в достаточно достаточно узкой нише коробки под телевизором пока нет полноценного решения.
А компьютер это еще и business productivity, например. Хочет студент-гуманитарий набивать текст сочинения на компьютере, или домохозяйка посмотреть и распечатать рецепт из интернета — они не хотят думать о безопасности этой коробки. Я точно так же не хочу думать о сервисе машины — даже масло не хочу сам проверять — на дешборд вывели индикатор и это правильно.
Отличный пример с машиной. Это хорошо, что вы знаете, почему у вас горит лампочка и что нужно сделать, чтоб не горела.
А вот решение проблемы вы ищете для таких пользователей, которые не только не знают, почему лампочка горит, но и вообще внимания на нее не обращают. Опять же, это не проблема автомобиля, а проблема пользователя, что он не удосужился научиться обращению с этой штуковиной на уровне пользователя. Заметьте, я не призываю учить всех поголовно устройству двигателя и аэродинамике, но базовые вещи, вроде вспомогательный индикаторов и основам управления пользователь должен быть обучен. Если хочет водить, конечно, а вот если не хочет — пусть наймет профессионала, а вам сидит на пассажирском. Все правильно?
А вот решение проблемы вы ищете для таких пользователей, которые не только не знают, почему лампочка горит, но и вообще внимания на нее не обращают. Опять же, это не проблема автомобиля, а проблема пользователя, что он не удосужился научиться обращению с этой штуковиной на уровне пользователя. Заметьте, я не призываю учить всех поголовно устройству двигателя и аэродинамике, но базовые вещи, вроде вспомогательный индикаторов и основам управления пользователь должен быть обучен. Если хочет водить, конечно, а вот если не хочет — пусть наймет профессионала, а вам сидит на пассажирском. Все правильно?
Проверка орфографии спасает не всегда =)
Ну я в общем с Вами согласен. Перефразируя одного умного человека: компьютер должен быть настолько простым, насколько это возможно, но не проще. По крайней мере как массовый продукт. Если гикам нравится ковыряться — для них будет выпускаться спец железки.
Кстати, на дешборде помимо лампочки с маслом есть лампочка с надписью «Maintenance Required» при этом до того как зажечься полностью — она еще длительное время мигает. Ну то есть сделано все, чтоб пользователь автомобиля приволок его в сервис. Дальше упрощать — уже некуда. Если человек не справится с этим — он вряд ли разберется в двух педалях
Кстати, на дешборде помимо лампочки с маслом есть лампочка с надписью «Maintenance Required» при этом до того как зажечься полностью — она еще длительное время мигает. Ну то есть сделано все, чтоб пользователь автомобиля приволок его в сервис. Дальше упрощать — уже некуда. Если человек не справится с этим — он вряд ли разберется в двух педалях
>Червь использует апплет Java
понятно, реальные сценарии распространения отсутствуют.
понятно, реальные сценарии распространения отсутствуют.
Пользователи дистрибутивов, отличных от Ubuntu, могут спать спокойно?
с чего вдруг. Это ж ява.
Ну у автора указан один вполне конкретный дистрибутив, вот я и спрашиваю :-)
Угу. Я тоже это заметил и мне это не нравится. Думаю, вам тоже будет интересно, что же автор поста скажет :-)
Я ничего не скажу. А автор английской статьи может и скажет — но мне не обещал :)
В названии я написал то, что, по мнению специалиста, подвержено атаке. Безусловно, для меня лично Ubuntu не является синонимом Linux, более того — я им не пользуюсь, а пользую ASPLinux. На вкус и цвет — все фломастеры разные.
Скорее всего, что подвережены заражению все системы с установленной Java — безотносительно к дистрибутиву.
В названии я написал то, что, по мнению специалиста, подвержено атаке. Безусловно, для меня лично Ubuntu не является синонимом Linux, более того — я им не пользуюсь, а пользую ASPLinux. На вкус и цвет — все фломастеры разные.
Скорее всего, что подвережены заражению все системы с установленной Java — безотносительно к дистрибутиву.
А можно вообще сделать веб страничку, где попросить скачать маленький образ, записать его на диск, засунуть диск в комп и загрузится с него. И после этого уже сделать ботнет. Тоже вирус, дя?
Ахаха, я в свое время любил делать у файлов расширение .tsa. Это иницииалы мои :-)
Сколько сарказма по поводу способа запуска, но важно одно — годами вдалбливалось «на маке вирусов нет» «на линуксе вирусов нет». А это значит, что обычные пользователи будут уверены, что можно запускать все что угодно, и будут запускать подобное. А приспичит — и из под рута запустят, чё там раз все спокойно. Реальный сценарий продемонстрирован и работает. Вопрос в масштабах.
Тут говорилось об обновлениях, вот интересно — многие ли админы переводящие организации на linux серьезно уделяют этому внимание? Опять же, раз «вирусов» нет, то зачем парится с обновлениями — проще их отключить, чем следить.
Тут говорилось об обновлениях, вот интересно — многие ли админы переводящие организации на linux серьезно уделяют этому внимание? Опять же, раз «вирусов» нет, то зачем парится с обновлениями — проще их отключить, чем следить.
А меня не очень впечатлил данный инцидент. Чтобы запустить вредоносный код, я должен что-то нажать и что-то разрешить. Точно также я мог запустить virus.sh и убедиться, что вирусы под линукс еще как существуют.
По крайней мере, я уверен, что просто перейдя по ссылке, я не заражу систему. Вот если появится и такое — буду… огорчен.
По крайней мере, я уверен, что просто перейдя по ссылке, я не заражу систему. Вот если появится и такое — буду… огорчен.
Ох, ну а если б в качестве способа доставки вместо ява была очередная уязвимость в файрфоксе, что тогда?
Эдак Вы и MyDoom исключите из числа вирусов.
Эдак Вы и MyDoom исключите из числа вирусов.
Описание червя Worm.Win32.Mydoom.a на сайте ЛК.
www.securelist.com/ru/descriptions/218589/Email-Worm.Win32.Mydoom.a
Определение сетевого червя от Лаборатории Касперского:
Определение компьютерного вируса от Лаборатории Касперского:
www.securelist.com/ru/descriptions/218589/Email-Worm.Win32.Mydoom.a
Определение сетевого червя от Лаборатории Касперского:
К данной категории относятся программы, распространяющие свои копии по локальным и/или глобальным сетям...Очевидно, что вредоносная программа Mydoom.a относится к категории червей потому, что рассылает свои копии по сети, а именно посредством электронной почты.
Определение компьютерного вируса от Лаборатории Касперского:
К данной категории относятся программы, распространяющие свои копии по ресурсам локального компьютера.Очевидно, что вредоносная программа Mydoom.a относится к категории вирусов потому, что создает свою копию в системном каталоге Windows (чтобы прописать её в автозагрузку).
дак обновления — это правильно прописанные один раз репозитарии :)
Не так, репозитории сразу правильно прописаны. Обновления — это наличие интернета.
Сколько сарказма по поводу способа запуска, но важно одно — годами вдалбливалось «на маке вирусов нет» «на линуксе вирусов нет». А это значит, что обычные пользователи будут уверены, что можно запускать все что угодно, и будут запускать подобное.
Знаете, в этой мысли есть что-то… «цепляющее». А хотите контраргумент (контрпример)?
Вирусов нету, то, что представлено в топике это не вирус. Способности к саморепликации и самораспространению без ведома юзера не имеет.
Таки это вирус! В первый раз, при загрузке программы из Интернета, оно спрашивает разрешения пользователя, а что потом? А потом оно копирует себя (саморепликация) и прописывает эту копию на запуск при загрузке системы.
У меня только один вопрос, почему при автозапуске снова не появляется это окошко JVM с предупреждением?
У меня только один вопрос, почему при автозапуске снова не появляется это окошко JVM с предупреждением?
Нет, это червь. Вирус же никого ничего не спрашивает, он молча появляется в системе и распространяется дальше.
Перечитайте классические определения (на сайте securelist.com есть несокращенные, оригинальные тексты). Основное отличие между червем и вирусом в том, что первый распространяется по сети, а второй — по локальным ресурсам.
Разница в терминологии значения не имеет. Для обычных пользователей вирус синоним вредоносного ПО, и нет никакой разницы как оно распространяется и запускается. Если бы говорилось «вирусов нет, но есть вредоносное ПО которое может быть получено без вашего ведома и запущено при вашем участии и при определенных условиях нанести ущерб» то у обычных пользователей взорвался бы мозг.
Либо есть проблемы, либо нет. Как видим для не-Win — второе так же не верно.
Либо есть проблемы, либо нет. Как видим для не-Win — второе так же не верно.
Для меня разница есть. Я знаю, что просто так вирус не словлю и могу со включенным мозгом избежать подобных приколов
Вы — не словите, но разместив эту фигню на каком-нибудь вконтактнике с кучей хомячков действующих по принципу — «не работает — нажму на кнопочку» можно получить некислый профит не зависимо от системы подопытного. Теперь конкретно о Линуксах. Да, не прописывается в автозагрузку, просит кнопочку нажать, блин комом. Но таки блин, звонок! Доля таки растет, хомячки прибывают — обратили на них внимание, есть куча по имеющегося на обоих платформах — мозилла, ява, флэш — получите кроссплатформенную гадость.
Знаете, есть такие хостинги картинок, они любят показывать баннеры и даже незакрывающиеся модальные диалоги с помощью JS. Антивирус Касперского, начиная с определенной версии, начал «хрюкать» на таких сайтах, что в принципе хорошо для пользователя. Но теперь на различных школоло-форумах (и школоло-трекерах) вирусами начали называть обычные картинки. К чему я это…
Терминология всегда имеет значение. Мы же не хотим скатиться до уровня школоло-форума?
Терминология всегда имеет значение. Мы же не хотим скатиться до уровня школоло-форума?
Дело в том, что в линуксе уже всё готово для того, чтобы таких вещей не происходило. Просто производители популярных дистрибутивов кое-что поменяют в первоначальных настройках системы, и всё.
Типа, подтянут apparmor покруче (в частности, в плане доступа к пользовательской папке autorun), и будут всегда выделять отдельный раздел под /home и ставить на него флаг noexec при монтировании и то же самое при монтировании сменных дисков.
А на одних 0-day уязвимостях далеко не уедешь.
Типа, подтянут apparmor покруче (в частности, в плане доступа к пользовательской папке autorun), и будут всегда выделять отдельный раздел под /home и ставить на него флаг noexec при монтировании и то же самое при монтировании сменных дисков.
А на одних 0-day уязвимостях далеко не уедешь.
>Однако после перезагрузки автостарт зловреда не произойдёт, кроме случая заражения систем под управлением Windows, где зловред прописывается на запуск в реестре. Не имея такой возможности под Ubuntu, червь активен до перезагрузки системы
ололо, авторы очередного «албанского вируса» даже не смогли осилить автозапуск от пользователя.
ололо, авторы очередного «албанского вируса» даже не смогли осилить автозапуск от пользователя.
А что именно Убунту подвержена? Остальные Линуксы на это не способны?
Да просто аффтар жжот, уязвимость не ОС, а Java, вот и все.
в чем заключается уязвимость ОС?
Java недостаточно ограничивает запускаемое приложение, которое может сделать все что хочешь, даже прописаться в реестр.
Java недостаточно ограничивает запускаемое приложение, которое может сделать все что хочешь, даже прописаться в реестр.
Где-то выше чувак писал:
Август 2008 — Sun получает сообщение об уязвимости
Декабрь 2008 — Sun фиксит уязвимость, выпускает патч и раскрывает подробности
И только через полгода Apple патчит свою копию Java от уязвимости.
Так в чем же заключается уязвимость всех вышеперечисленных ОС?
Август 2008 — Sun получает сообщение об уязвимости
Декабрь 2008 — Sun фиксит уязвимость, выпускает патч и раскрывает подробности
И только через полгода Apple патчит свою копию Java от уязвимости.
Так в чем же заключается уязвимость всех вышеперечисленных ОС?
>Да просто аффтар жжот, уязвимость не ОС, а Java, вот и все.
ни то, ни другое. Уязвим пользователь, запускающий все подряд. Жава и ОС в данном случае просто выполняют свои прямые функции.
ни то, ни другое. Уязвим пользователь, запускающий все подряд. Жава и ОС в данном случае просто выполняют свои прямые функции.
Мне нравится с каким упорством линуксоиды доказывают, что это не вирус. Хотя он им является.
Вам и правда нужна та зелёненькая плашечка с чёртиком?)
Трололо такое прям трололо. Ничего что в теме не про вирус говорится а про троян? Троян поражает не оси, а мозги.
"- я не пукну, я не пукну
…
— это не я, это не я"
Все очень просто, если на линуксе появляется зловред, то все усилия сообщества бросаются не на исправление ситуации, а на то, чтобы доказать всем, что «это — не вирус, а значит на Линуксе вирусов нет!».
…
— это не я, это не я"
Все очень просто, если на линуксе появляется зловред, то все усилия сообщества бросаются не на исправление ситуации, а на то, чтобы доказать всем, что «это — не вирус, а значит на Линуксе вирусов нет!».
Реакция на ваш комментарий как нельзя лучше показывает насколько вы правы.
да вирус конечно. И `rm -rf ~`, завернутый в sh и выложенный на рапидшару, тоже вирус.
на секьюрлисте есть весёлый комментарий :)))
кстати, интересно, что и на винде и на линуксе вирус требует самой, не установленной по умолчанию, джавы, надо утвердительно ответить на запрос на запуск (http://www.securelist.com/ru/images/pictures/klblog/34393.png). при этом народ считает, что под линукс это не вирус, а тупой юзер, а под винду — да-да, очередной вирь :D
кстати, интересно, что и на винде и на линуксе вирус требует самой, не установленной по умолчанию, джавы, надо утвердительно ответить на запрос на запуск (http://www.securelist.com/ru/images/pictures/klblog/34393.png). при этом народ считает, что под линукс это не вирус, а тупой юзер, а под винду — да-да, очередной вирь :D
Народ! Какой это нафиг вирус, если он для того, чтобы запуститься спрашивает у вас разрешение?!
А сколько фейк-сайтов в сети, которые так и ждут, что вы сами дадите им разрешение на запуск вредоносного по.
Если вы скажете нет — ничего не будет.
А сколько фейк-сайтов в сети, которые так и ждут, что вы сами дадите им разрешение на запуск вредоносного по.
Если вы скажете нет — ничего не будет.
Считать юзера ДОМАШНЕЙ системы изначально «глыпым» — неэтично, но безопасно (меньше ботнетов будет).
Так почему бы не сделать в дистрибутиве запрет на запуск _неподписанных_ апплетов изначально (стал профессионалом — найди ключ глубоко в настройках — запускай что хошь — ответственность твоя.). Просто их даже не грузить в браузер. Если фирма длинк не пожелала подписать свой джаваКривоСофт — то это проблемы фирмы, почему пользователи должны страдать
Но остается вопрос: кто будет центром сертификации?
Так почему бы не сделать в дистрибутиве запрет на запуск _неподписанных_ апплетов изначально (стал профессионалом — найди ключ глубоко в настройках — запускай что хошь — ответственность твоя.). Просто их даже не грузить в браузер. Если фирма длинк не пожелала подписать свой джаваКривоСофт — то это проблемы фирмы, почему пользователи должны страдать
Но остается вопрос: кто будет центром сертификации?
стал профессионалом — найди ключ глубоко в настройках — запускай что хошь — ответственность твоя
Угу-угу. Вы видели сколько в сети пошаговых инструкций для блондинок «как отключить этот надоедливый UAC» и прочие? Такая же инструкция появится и в этом случае.
так не будет тут надоедливых UAC-ов: просто не будут запускаться неподписанные апплеты. И разработчикам НУЖНО будет подписывать свои творения. (Или писать в мануале как добавить исключения — примерно так как это делается для самоподписанных https-сертификатов). Не все разом, а КАЖДЫЙ апплет вносить в исключения.
Подскажите мне пожалуйста джава-приложение, которое нельзя заменить СОВРЕМЕННЫМИ js+html5?
Нет, ну серьёзно — кроме:
1. «так сложилось что в нашей фирме используют уж давно...»
нет, конечно софт мы не меняем десятилетиями (зачем деньги платить) — а джип директора каждый год новый…
2. «клиент-банк....» — не смешно уже в наше время доверять джава апплету (кто его сертифицровал? а? а мне что с того, что его кто-то сертифицировал?) Доверять в наше время можно только СМС подтверждениям (с контролем IMEI конечно)
Нет, ну серьёзно — кроме:
1. «так сложилось что в нашей фирме используют уж давно...»
нет, конечно софт мы не меняем десятилетиями (зачем деньги платить) — а джип директора каждый год новый…
2. «клиент-банк....» — не смешно уже в наше время доверять джава апплету (кто его сертифицровал? а? а мне что с того, что его кто-то сертифицировал?) Доверять в наше время можно только СМС подтверждениям (с контролем IMEI конечно)
сделайте на js + html5 VNC Server
VNC-сервер на java. Покажите мне обзор VNC-серверов, где java сервер имеет преимущества.
про html+js(ajax) zсделал сравнение к тому, что сейчас средний уровень каналов интернет стал таков, что клиент-серверное приложение(его клиентскую часть) УЖЕ можно сделать «в браузере» — будет и кросплатформенно, и не тормозно.
про html+js(ajax) zсделал сравнение к тому, что сейчас средний уровень каналов интернет стал таков, что клиент-серверное приложение(его клиентскую часть) УЖЕ можно сделать «в браузере» — будет и кросплатформенно, и не тормозно.
Ну VNC клиент же сделали, глядишь и сервер на серверном js наваяют :)
Что-то и из разряда:
«Привет, я злой вирус. Запусти меня и разошли всем своим друзьям. Спасибо»
«Привет, я злой вирус. Запусти меня и разошли всем своим друзьям. Спасибо»
вирус на Java. Даже смешно. Еще можно писать кроссплатформенные вирусы на Qt. И весит он будет > 5мб. А еще лучше, на python'е. Тоже кроссплатформенно, только интерпретатор требуется, но это ничего.
>Хм, и никто не порекомендовал монтировать /home с опцией noexec
На домашней системе бесполезно. Скриптовым языкам noexec не мешает.
На домашней системе бесполезно. Скриптовым языкам noexec не мешает.
у меня некоторый софт «на поиграться» стоит в ~/bin. Не катит :(
Увы, не только вирусы…
Я еще в комментариях к прошлой статье (той, которая по первой ссылке) говорил про это.
ну тогда еще либо пользовательский tmp в домашнюю директорию, как это у Альта сделано, либо на /tmp noexec,nosuid, а лучше и то, и другое.
Вообще отключена Java, ну а кто запустит апплет с подтверждением?
Забавно. Чем популярнее становиться операционка, тем более «юзабельной» её делают (читай упрощают) и тем больше лазеек для хакеров появляется
Но самое забавное, что основная опасность все равно заключается в прокладке между спинкой стула и клавиатурой.
Но самое забавное, что основная опасность все равно заключается в прокладке между спинкой стула и клавиатурой.
причем тут «вирус», автор в статье не назвал это вирусом, только тегом пометил и зря
просто есть класс людей которые хотят хоть как-то попинать линукс и мак
просто есть класс людей которые хотят хоть как-то попинать линукс и мак
Насчет java вирусов — нашел как-то на одном tomcat-сервере посторонний jsp-файл. Внутри java-код в открытом виде:
1. Загрузить с такого-то адреса файл.
2. Установить это в %SYSTEM32%
3. System.exec(«скаченное»)
Прорвался через слабый пароль в server.xml. А ведь могли бы и что-то кроссплатформенное написать в джспшке. Так что вохможно нехорошие люди уже пишут очередной Slammer
1. Загрузить с такого-то адреса файл.
2. Установить это в %SYSTEM32%
3. System.exec(«скаченное»)
Прорвался через слабый пароль в server.xml. А ведь могли бы и что-то кроссплатформенное написать в джспшке. Так что вохможно нехорошие люди уже пишут очередной Slammer
Для тех кто хочет знать, что за сайт везде замазан, сотрудник Лаборатории Касперского в своей статье выложил прекрасный скрин.
Я бы плюсанул, но за прошлый холивор Linux/Windows у меня репутация съедена. :)
Извиняюсь, что прерываю праведный холивар по разным темам и возвращаюсь к теме :)
Детект на описанного зловреда всё ещё неважный.
Детект на описанного зловреда всё ещё неважный.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Кроссплатформенный зловред: Linux, MacOS, Windows