Comments 505
В интренете уже начали появляться попытки написания дешифровщиков: github.com/leo-stone/hack-petya
Так дешифровщику этому уже год.
и «ПриватБанк»
Перебоев с ПриватБанк-ом не было и они опровергают то, что были попытки каких либо атак на их инфраструктуру.
Да и собственно в привате, по большей части линух, так что особых проблем поиметь в принципе проблематично (в первый раз в жизни защищаю этот банк :) )
А так, врятли эта атака есть действие одного дня, по любому подготовка уже длится не один месяц (внешние уязвимости, соц.инжинеринг, инсайд), просто «Петя» ждал команды, сегодня её получил.
Отличное, показательное, выступление вирусни — он отлично показал уровень соблюдения АйТи безопасности в гос. учреждениях и не хило так ударил по самолюбию всяких АйТи «Директоров» из разряда «Сыночек, главбуха».
Ничего не имею против автора, но если он на это нарвался то где-то что-то было сделано не так — наверное первое, это, компания, пользующаяся аутсорсом, с таким количеством компов.
P.S. Скорее всего такую массовость, это заражение могло получить за счёт блокировки Российских соц. сетей — в попытках обойти блокировки, юзеры не мало натягали на свои компы.
P.S. Скорее всего такую массовость, это заражение могло получить за счёт блокировки Российских соц. сетей — в попытках обойти блокировки, юзеры не мало натягали на свои компы.
ну ересь же. Есть примеры ПК на разных ОС (7-10) с последними апдейтами которые молча взяли ребутнулись и попросили 300уе.
Да и вообще, что такое «с последними апдейтами»? В принципе нет такого понятия как «последний апдейт», ну разве что у вас Win98.
Да и апдейты для того-же ванкрая прикрывают внешние пути проникновении но никак не «изнутри».
В общем смотрите на проблему шире, эта проблема комплексная а не о том стоят апдейты и варез или нет.
Да и вообще, что такое «с последними апдейтами»?
Это когда заходишь в обновления и там ничего не пишут.
То что там ничего не написанно то это не значит что все обновы стоят.
Этот вопрос можно решить только посмотрев лог обнов и сравнить номера с билютенями.
О, спасибо за коммит в копилку агрументов о том, почему Windows — это зло.
Вообще ничего не имею против винды, нормальная ось но нужно за ней ухаживать и проблем не будет вообще.
Linux то-же можно настроить так что будет дырявый как друшлак, особенно если обновлять софт раз в надцать лет.
Ну, основной аргумент, который я слышу относиться к "юзерфрендли" винде и тому, что она вроде как куда проще linux.
А получается, что я даже не могу убедится, что у меня последние обновления стоят)
Как я понял, тут порочность еще в основном механизме обновлений.
Скажем, в Ubuntu есть версия пакета. В один момент можно точно сказать, какая версия пакета стоит и последняя ли она.
В случае с Windows различные апдейты могут пропадать, собиратся в коммулятивные обновления и прочее. В итоге, выяснить если ли у вас конкретный апдейт или нет становится проблематично. Тут дело даже не в глюках, а в самом методе работы.
В Winddows с этим проще — микрософт одновременно выпускает обновления для всех версий. В Linux частая ситуация, что в какие-то дистрибутивы обновление попало, а для каких-то нужно качать из PPA.
А как только вы используете PPA — у вас получается несколько «последних» версий. И приходится выяснять, какая из них более последняя. Иногда лучшей версий является вовсе не PPA автора.
Для какого софта? Вроде почти весь повсеместно используемые софт или имеет свои ppa, которые всегда актуальные, или последняя актуальная версия довольно быстро появляется в ubuntu ppa.
Если же вы говорите про приложение, которое использует довольно маленькое число людей, то на windows у вас даже не будет автоматических обновлений.
Если вспомните про какие-то питоновские пакеты, например, jupyter — то их можно ставить и обновлять через pip, например, так же как для nodejs — npm, для ruby — gem и так далее. Такие проблемы и на винде тоже будут.
Как пример — OpenOCD. Версия из Debian stable — не работает с нашими STM32, от автора — тоже. А то, что работает — какое-то сильное левое и последних обновлений не содержит.
А если вы переходите на buildroot — все ещё веселее.
1) Есть ядро от производителя чипа. С патчами для данного чипа и багами.
2) Есть ванильное ядро, но патчи от производителя туда без бубна не ставятся.
3) Есть нечто смешанное — и не ванильное и не от производителя, но работает.
И тут прилетает необходимость срочно закрыть дыру. И начинаются пляски с бубном и подпиливание патча напильником.
Ну в общем это все примерно одинаково в любой ОС.
А причем тут PPA, если софт, наличие обновлений которого важно для безопасности, лежит на security.ubuntu.com и обновляется лично Canonical при первой же возможности?
Мягко говоря — сказки. То есть это верно только для хомячков. как только вам нужен софт посвежеее — приходится ставиться из PPA. Или вообще из левого источника.
Уже приводил пример — OpenOCD для наших плат берется не с Debian/Stable, и не с сайта авторов, а из левого источника, где оно к нашим STM32 адаптировано.
И обновляется оно там — редко. А основная ветка про наши платы не знает. И так — постоянно. Как только на linux начинаешь серьезно работать — вот такая вот петрушка.
А для безопасности важно то, что заражается. Придет кому-то в голову светлая мысль заразить OpenOCD — будет глобальный жирный песец.
Никто не запрещает вам собрать новый пакет самостоятельно (из слитых лично вами сорцев)
Между прочим, linux — это не только ubunta для хомячков. Можете посмотреть у себя дома — у вас 5-10 машин с линуксом (мобильник, телевизор, роутер, медиаконвертор и так далее) и на всех кроме десктопа — линукс, но далеко не ubunta. Если уж говорить о маcсовом дистрибутиве — это прежде всего buildroot (если можно этот зоопарк назвать дистрибутивом).
А там вообще горе горькое. Ибо ванильное ядро не встает на плату. Нужны патчи от производителя кристалла и от производителя платы. И если в ядре свежая дыра — значит самому, ручками накатывать нужный патч. ну и напильником его подтачивать.
Ну в общем попробуйте ради прикола понять, какое у вас ядро в мобильнике работает. Какие патчи там наложены, какие нет. И из сорцов попытайтесь его обновить. Вот когда вы это сделаете — тогда и поймете, что в линуксе — не легче, чем в винде.
Увы, аналогичного софта — много. Начиная с того же скайпа, который мне пришлось пару лет отнюдь не из репозитариев ставить (на ubuntu между прочим). Или вам и атака на скайп кажется фантастикой?
Я не понимаю, это ирония такая, или вы это правда серьёзно?
Руки у вирусописателей не дошли, вот и вся проблема.
запускается под рутомПочему бы сразу сразу SSH с паролем qwerty наружу не выставить? А вообще, речь вроде шла о безопасности самой системы. Атаковать ваше внешнее устройство, как вы описали ниже — да, скорее всего выйдет. Но не думаю, что за озвученную вами цифру $10k кто-то реально будет этим заморачиваться.
В порядке паранойи мы и стоимость распиливания кристалла и считывания из ПЗУ электронным микроскопом рассматривали. Тому же SAMSUNG вполне по плечу такое. Дорого, да и Корея не Китай, но при некой цене — будет выгодно.
Придет кому-то в голову светлая мысль заразить OpenOCD — будет глобальный жирный песец.При правильных конфигах не будет.
Собственно суть атаки такая.
1) Через инет подключаемся к OpenOCD (имитируем GDB).
2) Считываем прошивку из устройства.
3) Извлекаем из неё ключи.
4a) Имеем возможность атаковать любое устройство из серии
4б) Имеем возможность спиратить прошивку.
Устройство — это то, что через OpenOCD отлаживается или прошивается.
Ну и чем ваши правила тут помогут?
Вполне реальная атака, при бюджете в 10 тысяч долларов — ничего нереального не вижу. Китайцам вполне доступно.
ну как пример командировки в Москву: в 5-30 выехали из Питера, в 19-30 вернулись. В Москве всего 7 часов, из них 2 на дорогу.
И если что случится, то нужно, чтобы коллега (он у себя дома в Питере) исправил срочно. В этой ситуации — в инет выставляется все.
Ну а если время есть — то, да, через vpn-туннели. Но это только если есть время.
P.S. Увы, генеральский эффект никто не отменял. на испытаниях иногда ломается и то, что не должно было никогда сломаться.
А заранее vpn-туннель настроить религия не позволяет?
Это ваши проблемы, а не проблемы с обновлениями в Linux. И, действительно, почему не подготавливаете оборудование заранее?
Но давайте вернемся к обновлениям. Вы что, считаете, что в linux с ними все отлично? И что ветки, сделанные вендорами для конкретного оборудования, оперативно обновляются?
Увы. В linux или мэйнстрим — и на конкретном железе не работает. Или патчи для конкретного железа — и никаких обновлений.
Самый общеизвестный пример — мобильнике на андроиде. Давно себе обновления ставили? Heartbleed на вашем мобильнике закрыт? А на мобильнике вашей жены. родителей и друзей?
А что на домашнем руотере? Когда последний раз обновления ставили? И есть ли на него обновления вообще? Heartbleed на роутере закрыт?
Вчера новую прошивку накатил.
> Heartbleed на вашем мобильнике закрыт?
Закрыт.
> А на мобильнике вашей жены. родителей и друзей?
Тоже закрыт.
> А что на домашнем руотере?
Тоже.
> Когда последний раз обновления ставили?
Когда обновлял клиент OpenVPN.
> И есть ли на него обновления вообще?
Есть, на все роутеры, и у меня, и у родственников (одна плата от Broadcom, два от Qualcomm Atheros, в остальном платы от Ralink/MediaTek).
> Heartbleed на роутере закрыт?
Закрыт.
> Но давайте вернемся к обновлениям. Вы что, считаете, что в linux с ними все отлично? И что ветки, сделанные вендорами для конкретного оборудования, оперативно обновляются?
Ну а вы не используйте платы, которые не поддерживаются в апстриме. Есть и x86-платы на AMD APU, на BayTrail/CherryTrail, есть и ARM-платы, например на Allwinner, на Broadcom (RPi) плюс nVidia делают какие-то телодвижения в верном направлении (но по ценам даже x86 дешевле, чем ARM от nVidia). На все это можно накатить хоть LTS-ветку, хоть свежайший stable, хоть релиз-кандидат 4.12, который например стоит на планшете, с которого я вам сейчас пишу это сообщение.
Если вы, или ваше руководство, выбираете экономить, и фирма приобретает платы для которых нет обновлений, если лично вы экономите и приобретаете смартфоны и роутеры поддержки которых прямо сейчас нет в апстриме — это ваши проблемы, а не проблемы Linux.
> Генеральский эффект. Все работает, все нормально, а потом случаются неожиданности.
Опять же, это ваши проблемы с планированием, а не проблемы с обновлениями в Linux.
Есть, на все роутеры, и у меня, и у родственников (одна плата от Broadcom, два от Qualcomm Atheros, в остальном платы от Ralink/MediaTek).
И насколько часто у вас обновления на роутеры приходят? Вы туда что, OpenWRT залили?
Про андроид и не говорю, только на самые дорогие модели обновления бывают. Ну или Cyagentmod ставить.
Ну а вы не используйте платы, которые не поддерживаются в апстриме.
Вы собираетесь запретить нам разработку? Или просто не понимаете разницы между кристаллом SoC и платой?
например на Allwinner,
И сколько лет поставки они гарантируют? Мы используем Renesas с гарантиями поставки 10-20 лет.
Посмотрел линейки AllWinner . Ни одного подходящего проца нету. Нам нужно 5-10 UART, double FPU и cortex-M (лучше M7). то есть даже если отвлечься от того, что они не дают гарантий поставок, то технически — все равно эти машинки нам не подходят.
Если вы, или ваше руководство, выбираете экономить,
Наоборот. Renesas — самый крупный в мире производитель мирококонтролеров. Это и есть upstream, а не allwinder с долями процентов.
Проблема в том, что на апстреме SoС — у линукса очень плохо с поддержкой. Хорошо лишь на пользовательских побрякушках. И то — лишь 2-3 года, пока они работают (а на большее эти ваши allwinder не рассчитаны). А нам нужно, чтобы поддержка была на 10-20 лет. И запчасти 10-20 лет производились.
Ну в общем это как в автомобильной микроэлектронике.
Посмотрите, сколько вас есть устройств старше 10 лет, для которых приходят обновления? Ваши Allwinder — тоже больше 2-3 лет поддержки не дадут.
С потребительской электроникой все замечательно, когда она вам для игрушек нужна. И меняете вы её раз в 1-2 года. А если вам нужно жорогое устройство для работы, а не для игры, и вы не планируете его менять 10-20 лет — с поддержкой все ужасно.
Так что экономить — это брать как раз ваш дешевый Allwinder, который 20 лет просто не протянет.
Собственно аналогичные проблемы с обновлениями не только у нас. но и скажем у Моха (это мировой лидер в своем сегменте — преобразователей интерфейсов). Обновления есть только на самые популярные машинки и выходят они пару раз в год.
Так что на linux все хорошо лишь для хомячков. А как профессиональные машинки — так с поддержкой все тяжко.
В trunk-ветке — каждый день.
> Вы туда что, OpenWRT залили?
Да.
> Про андроид и не говорю, только на самые дорогие модели обновления бывают. Ну или Cyagentmod ставить.
Не CyanogenMod, а LineageOS.
> Вы собираетесь запретить нам разработку? Или просто не понимаете разницы между кристаллом SoC и платой?
> Так что на linux все хорошо лишь для хомячков. А как профессиональные машинки — так с поддержкой все тяжко.
Будет у вас на руках плата с поддержкой в upstream и какие-то проблемы с накатыванием ядра с security-фиксом на эту плату — тогда нам будет о чем предметно поговорить…
> Мы используем Renesas с гарантиями поставки 10-20 лет.
> Renesas — самый крупный в мире производитель мирококонтролеров.
> Собственно аналогичные проблемы с обновлениями не только у нас. но и скажем у Моха
… а пока ваши претензии — это претензии к Renesas и Moxa, а не Linux. Значит пишите, что недовольны Renesas и Moxa.
> Это и есть upstream, а не allwinder с долями процентов.
Это шутка или вы действительно использовали этот термин неправильно?
> Ваши Allwinder — тоже больше 2-3 лет поддержки не дадут.
Давайте разбираться, понимаете ли вы, про что речь, а то я не первый раз беседую с сеньорами embedded-девелоперами, и уже заметил что с пониманием поддержкой в апстриме у вашей братии большие сложности.
Про запчасти мы сейчас не говорим, так как контекст беседы это security-фиксы. Итак, что означает словосочетание «поддержка в апстриме»?
А вы в принципе проверяли, есть ли поддержка SoC и периферии используемых вами плат в апстриме? Ведь Renesas коммитят поддержку своего железа в апстрим, правда я не знаю, насколько оперативно они это делают. В принципе не исключено, что уровень поддержки плат Renesas тот же, что например у AMD и Intel, я этому не удивлюсь. Но вопрос в том, а проверяли ли вы это?
> Посмотрите, сколько вас есть устройств старше 10 лет, для которых приходят обновления?
Старше десяти лет есть Acer 5920G, обновления есть.
> Это и есть upstream, а не allwinder с долями процентов.
> Ваши Allwinder
Многоуважаемый, а чего вы так настойчиво обходите вниманием решения на базе разработок AMD и Intel? (помимо того, что вы упомянули, что вам нужен Cortex-M, но не упомянули, почему именно Cortex-M). И, пожалуйста, не нужно делать поспешных выводов, лишь бы поскорее выдать ответное сообщение. Внимательно изучите какие вендоры производят индустриальные платы есть на основе их решений, что у них есть в ассортименте, и т.д.
Вот только сомнения у меня. В OpenWRT (Chaos Calmer 15.05.1) используется ядро 3.18.23, в другой ветке сообщают о переходе на 3.18.17. А последняя версия ванильного ядра — 3.18.59
В trunk-ветке — каждый день.
Совравши, господин хороший. Это не обновления ядра, это патчи самой OpenWrt. А по обновлениям ядра — отставание на полтора года. 3.18.23 вышла 28 октября 2015 года
Не CyanogenMod, а LineageOS.
Ну что же, скажите, на какой версии ядра базируется последняя прошивка? И когда эта версия вышла? Мне просто лень самому копать. По тому, что успел увидеть — на 4.8, которая в upstream просто не поддерживается, Но могуи ошибиться, так что жду честного ответа от вас.
Ну вот для проверки — CVE-2017-7482 в 3.10 было исправлено 29 июня 2017 года. Когда это исправление попадет в OpenWRT и когда — в LineageOS? Через месяц? Через полгода? Через год? А я взял первое попавшее CVE, исправленное в ванильном ядре.
Будет у вас на руках плата с поддержкой в upstream и какие-то проблемы с накатыванием ядра с security-фиксом на эту плату — тогда нам будет о чем предметно поговорить…
Пока что я вижу, что у вас — не лучше, чем у всех. То есть весьма плохо. Или вы себе купили роутер и мобильник без поддержки в upstream?
Ну что ж, для начале назовите, какие роутеры и мобильники вообще поддерживаются в upstream «из коробки».
Итак, что означает словосочетание «поддержка в апстриме»?
Вся беда в том, что в ядре периодически бывают мелкие революции и интерфейсы, которыми драйверы общаются с ядром, немного меняются. Если для платы есть девелопер на ставке у компании — драйвера обновляются нормально, с тестированием. Если нету — правка идет довольно формально.
Давайте проверим. Раз уж вы такой любитель AllWinner, то давайте на нем. Ну вот хоть как-то подходящая плата F1C600. Дайте ссылочку на рекомендуемое ядро и работает ли на нем последнее ванильное ядро 4.12? На 99% уверен, что 4.12 на нём лишь формально работает. Наверняка куча багов с портами и так далее. А нормальная поддержка — где-то в 3.10 или 3.18.
Думаю, что я за месяц десяток багов и проблем в 4.12 отрою.
Про запчасти мы сейчас не говорим,
Говорим-говорим. Если железо перестает производится и становится раритетным — его поддержка в ядре потихоньку прекращается. Энтузиастов мало, основная поддержка драйверов идет за счет девелоперов состоящих в штате производителя. сняли плату с производства — перестали оплачивать девелоперу её поддержку.
Ведь Renesas коммитят поддержку своего железа в апстрим, правда я не знаю, насколько оперативно они это делают.
А оперативно ни у кого не получается. Всегда есть десяток проблем, которые устранены в версии вендора, но ещё не исправлены в upstream. Или новые баги, внесенные в upstream, но отсутствующие в версии вендора. Atmel тоже в upstram комитит, но намного лучше пользоваться их собственной версией.
> Посмотрите, сколько вас есть устройств старше 10 лет, для которых приходят обновления?
Старше десяти лет есть Acer 5920G, обновления есть.
Разве Acer 5920G это устройство? Вы опять подменяете понятия. Устройство — это роутер, мобильник, фоторамка, стиральная машина… А это не устройство — это компьютер. У него интерфейсов довольно мало, причем большинство — стандартные.
Впрочем интересно, какое у вас там ядро сейчас работает? 3.18 небось?
Многоуважаемый, а чего вы так настойчиво обходите вниманием решения на базе разработок AMD и Intel?
- Очень плохая производительность на ватт энергопотребления.
- Куцые возможности по вводу-выводу, особенно по USART.
- Нет российских аналогов, то есть двойного применения не сделаешь.
В идеале нам бы 1 ватт потребляемой мощности, 10 мегов ОЗУ на кристалле, 8 UART, FPU двойной точности, 400 МГц. Идеала нет, но 4 из 5 — бывают. Ну вот, например — STM32H753BI или R7S721000VLFP
не упомянули, почему именно Cortex-M
Так с энергопотреблением получше, периферии на кристалле обычно побольше.
Внимательно изучите какие вендоры производят индустриальные платы есть на основе их решений, что у них есть в ассортименте, и т.д.
Вы опять пытаетесь запретить нам разрабатывать платы? Что за дурное желание запретить чужой бизнес? Ну не годятся нам готовые платы. Нету на них того, что нам нужно. А вендоров процессоров — да, просмотрели. и выбрали, что нам больше всего подходит.
В целом у линукса с обновлениями так себе. То есть или ванильное ядро и много чего работает криво или ядро от вендора, но с патчами безопасности — большое опоздание. Причем так себе — у всех вендоров. Ваш собственный пример с openWRT это отлично демонстрирует. Симптоматично, что та же ubuntu живет далеко не на ванильном ядре.
Не согласны — ну что же, приведите пример вендора с ванильным ядром 4.12. А у вас на компе какое ядро? Смотрю на debian 9 -ядро 3.4.113. Актуальное, но — не последнее и не ванильное.
… а пока ваши претензии — это претензии к Renesas и Moxa, а не Linux. Значит пишите, что недовольны Renesas и Moxa.
Ну что же, придется дать ликбез, чем именно плохи обновления в linux.
В windows драйверы компилируются отдельно от ядра. И драйвер, созданный 20 лет, во времена Windows XP — вполне работает на современной десятке. Да-да, бинарник драйвера 20летней давности — вполне работает. Это не 100%, есть исключения вроде видеоподсистемы, но для простой перифериии — именно так.
Соответственно в windows вендорам нужно только написать и откомпилировать драйвера. С чем они и справляются.
В linux иная модель. Драйвер, даже загружаемый, должен быть откомпилирован с текущим ядром. Поэтому вендору нужно поддерживать исходный код драйвера в актуальном состоянии. А это намного сложнее, нужно реагировать на достаточное количество изменений в коде ядра.
Так что вина тут не вендоров, а архитектуры системы.
Появится в linux возможность загрузки бинарных драйверов для основной периферии — с обновлениями все сильно улучшится.
См. выше: https://habrahabr.ru/post/331762/#comment_10294382
> релиз-кандидат 4.12, который например стоит на планшете, с которого я вам сейчас пишу это сообщение
> Ну вот для проверки — CVE-2017-7482 в 3.10 было исправлено 29 июня 2017 года.
Так-так-так, что же там, интересно-интересно… а, вот что: «When a kerberos 5 ticket is being decoded so that it can be loaded into an rxrpc-type key...» Я конечно дико извиняюсь, но с каких пор ядра для смартфонов и роутеров собирают с CONFIG_AF_RXRPC?
> Да есть маргинальные гиковые проекты, которые пытаются предоставить оперативные обновления.
> Вот только сомнения у меня. В OpenWRT (Chaos Calmer 15.05.1) используется ядро 3.18.23, в другой ветке сообщают о переходе на 3.18.17. А последняя версия ванильного ядра — 3.18.59
> Совравши, господин хороший. Это не обновления ядра, это патчи самой OpenWrt. А по обновлениям ядра — отставание на полтора года. 3.18.23 вышла 28 октября 2015 года
> В целом у линукса с обновлениями так себе. То есть или ванильное ядро и много чего работает криво или ядро от вендора, но с патчами безопасности — большое опоздание. Причем так себе — у всех вендоров. Ваш собственный пример с openWRT это отлично демонстрирует.
Раз вы не в теме, то придётся поверить:
https://www.opennet.ru/opennews/art.shtml?num=44368
https://www.opennet.ru/opennews/art.shtml?num=46513
> Мне пока лень лазить к ним в GIT, так что просто поверю, что в паре проектов нашлись энтузиасты для обновления ядра.
Аж любопытно, полезете проверять, или таки правда лень.
> Мне просто лень самому копать. По тому, что успел увидеть — на 4.8
Видимо не там смотрели: https://android.googlesource.com/kernel/common/+/android-4.9
> Ну что ж, для начале назовите, какие роутеры и мобильники вообще поддерживаются в upstream «из коробки».
По памяти — Nexus 4 и Nexus 7, и точно было что-то ещё, но сходу не вспомню. По роутерам достаточно брать то, что на 100% заводится в OpenWRT, с объёмом ОЗУ желательно не менее 8 МБ (но и 4 МБ, если уже есть на руках — тоже ок).
> Раз уж вы такой любитель AllWinner
Мимо, я любитель x86-железок, не в последнюю очередь в связи с тем, что на них с обсуждаемым нами вопросом всё обычно гораздо проще (но не всегда, например не с Intel Clover Trail) а в первую потому что на всём не-x86 мрак с 3D-драйверами (разве что кроме Tegra, и то только до EOL).
> Думаю, что я за месяц десяток багов и проблем в 4.12 отрою.
И на платах Renesas с их родными ядрами тонна багов — можно прямо брать полный changelog между 3.18 и 4.12 и в каждую строчку пальцем тыкать :)
Да и вам чего время тратить — чтобы узнать какие проблемы есть в 4.12 сразу смотрите, что исправлено в linux-next.
> Если железо перестает производится и становится раритетным — его поддержка в ядре потихоньку прекращается.
Вы правы, но что конкретно дропнуто из того, что я озвучил? (Помимо Intel Clover Trail и nVidia Tegra до X1, которые изначально не поддерживались.)
> А оперативно ни у кого не получается.
Да, но пока изменения идут в апстрим можно собирать из обновляющихся бранчей, вот например бранч для Intel Edison уже обновили до 4.12: https://github.com/andy-shev/linux/tree/eds (не смотря на сворачивание проекта Intel Edison).
Вендор не предоставил вам такой бранч? Ну или пинайте, чтобы предоставили, или накатывайте избранные патчи.
> Разве Acer 5920G это устройство? Вы опять подменяете понятия. Устройство — это роутер, мобильник, фоторамка, стиральная машина… А это не устройство — это компьютер.
О, а давайте к словам поцепляемся. А планшет это устройство? А планшет с клавиатурой? А тот же самый планшет с неотцепляемой клавиатурой, типа Irbis NB11/14/41/44, Prestigio Smartbook 116/141, 4Good Light AM500?
Или наоборот, а планшет с ноутбучной начинкой, типа Dell 9250 или Chuwi Hi13 — это устройство, или не устройство?
А LTE-модем это устройство? А если внутри него Android в полный рост, как в Yota Swift / Yota Many / Yota Ruby?
А как быть со смарт-часами? Кажется, что устройство, но с 512 МБ ОЗУ и 4 ГБ флеша — хоть Debian ставь.
И так далее. ИМХО, границы размыты до такой степени, что на них можно с чистой совестью забить, что я давно и сделал.
> У него интерфейсов довольно мало, причем большинство — стандартные.
А I2S или UART на свежем ядре типа отвалились бы — ага, конечно… с чего вдруг?
> Acer 5920G
> Впрочем интересно, какое у вас там ядро сейчас работает? 3.18 небось?
https://launchpad.net/ubuntu/xenial/+source/linux/+changelog
Но нет ни одной причины, по которой 4.12 не заработало бы.
> Симптоматично, что та же ubuntu живет далеко не на ванильном ядре.
Ну-ка, что там в diff-ах: http://kernel.ubuntu.com/~kernel-ppa/mainline/v4.12/
А в diff-ах там только конфиг да сборка пакетов.
> Очень плохая производительность на ватт энергопотребления.
> Куцые возможности по вводу-выводу, особенно по USART.
> Нет российских аналогов, то есть двойного применения не сделаешь.
Отлично, вот это по делу. Какие показатели производительности на ватт вам требуются, по какой причине именно такие?
По UART — смотрели датащиты SoC или спеки плат? В частности, у BayTrail/CherryTrail в спеках два HSUART и один UART, в то время как на платах фактически встречается 4 UART (и возможно больше, не углублялся). Почему бы не использовать переходники c mPCIe? Есть платы с парой mPCIe, есть переходники с mPCIe на четыре UART.
> Так с энергопотреблением получше, периферии на кристалле обычно побольше.
Ну где-то получше с энергопотреблением, а где-то получше с дровишками, это смотря что вам важнее. Да и с потреблением у BayTrail/CherryTrail на практике значительно лучше, чем принято думать о x86-решениях. Посмотрим, чем порадует AMD в APU G-серии на базе Ryzen.
> > Внимательно изучите
> Вы опять пытаетесь запретить нам
Привет
> Нету на них того, что нам нужно. А вендоров процессоров — да, просмотрели. и выбрали, что нам больше всего подходит.
Выбрали, и теперь кричите, что не подходит, а виноват в вашем выборе по-видимому лично Линус.
> Ну что же, придется дать ликбез, чем именно плохи обновления в linux.
> Появится в linux возможность загрузки бинарных драйверов для основной периферии — с обновлениями все сильно улучшится.
А дома-то ещё на Семёрке сидите, или уже обновились?
> А это намного сложнее, нужно реагировать на достаточное количество изменений в коде ядра.
Ну как-то все вокруг справляются, и только у господ из embedded какие-то великие, принципиально-непреодолимые трудности. Я вот не пойму, у Renesas деньжат не хватает, или в чем там беда? И, опять же, «А вы в принципе проверяли, есть ли поддержка SoC и периферии используемых вами плат в апстриме?» — так что там с этими платами?
Поправка: имел ввиду объем флеша.
релиз-кандидат 4.12, который например стоит на планшете
Ну или вы на планшете только развлекаетесь, или ваша работа состоит в том, чтобы собрать на себе все глюки непроверенных ядер. У нас или Debian-stable или ubunta 14.04 LTS. А вообще есть старое правило — если не хочешь мучаться с глюками — не ставь систему до 3его сервиспака. Это примерно 3-5 лет с момента выпуска.
Раз вы не в теме, то придётся поверить
Совсем маргинальный проект с 8 разработчиками? Чуть невезухи и через пару лет LEDE не будет (один попал под машину, двое женились, ещё пятеро — нашли хорошую работу). В такие игры — пусть хомячки играют.
на всём не-x86 мрак с 3D-драйверами
А кому они нужны для работы на ARM??? Игрушки разве что писать.
> Если железо перестает производится и становится раритетным — его поддержка в ядре потихоньку прекращается.
Вы правы, но что конкретно дропнуто из того, что я озвучи
Детский сад. Прекращение поддержки — это не удаление кода. Это прекращение тестирования изменений.
О, а давайте к словам поцепляемся. А планшет это устройство?
Компьютер — это универсальное устройство. Устройство — специализированный комп. Неужели в школе это уже не проходят? 40 лет назад, когда я учился в школе мы это проходили.
А I2S или UART на свежем ядре типа отвалились бы — ага, конечно… с чего вдруг?
С кучи переделок в подсистеме UART. Их надо поддерживать во всех драйверах. И не просто переделать по шаблону, а с пониманием логики работы конкретного UART. Вся беда в том, что подсистема UART — часть подсистемы терминалов. Да ещё каждый драйвер — на десяток (иногда сотню) микросхем с похожим протоколом. Так что проблемы с конкретной реализацией UART — бывают часто. Ну скажем не 1 сбойный байт в сутки на RS485, а на порядок больше. Это при передаче примерно гигабайта в сутки. Ну так принято — RS485 настраивает до 1 ошибки в сутки при передаче на 115200.
Кстати, I2S — что за зверь? Может I2C?
Какие показатели производительности на ватт вам требуются, по какой причине именно такие?
Вес платы для квадрокоптера — порядка 95 грамм. Как думаете, хорошо туда будет ставить ещё и радиатор грамм на 200? Так что нам нужен безрадиаторный процессор с энергопотреблением в полватта. Общее энергопотребление всей платы, включая 3 GPS-приемника — до 2х ватт. Но мы бы не отказались ещё уменьшить энергопотребление. При этих полватта на процессор — это 856 DMIPS (чуть быстрее Intel Pentium Pro).
Ну где-то получше с энергопотреблением, а где-то получше с дровишками, это смотря что вам важнее.
Поэтому мы постепенно отказываемся от linux.
Выбрали, и теперь кричите, что не подходит, а виноват в вашем выборе по-видимому лично Линус.
Ну в общем да. Неудачная архитектура драйверов — это заслуга в том числе и лично Линуса. Собственно проблема в том, что драйверы в linux являются частью ядра.
С одной стороны это дает возможность постоянно менять интерфейсы драйвера с ядром, оперативно добавлять возможности сразу во всю подсистему и так далее. С другой стороны — фиксированный интерфейс и бинарные версии драйверов — стабильнее. Тот драйвер, что я компилил для windows NT — работает до сих пор, в любой новой винде.
Ну как-то все вокруг справляются, и только у господ из embedded какие-то великие, принципиально-непреодолимые трудности.
Так а все просто. Если у вас популярное дешевое китайское дерьмо — будет вам поддержка в мейнстриме. А если у вас профессиональное, то есть редкое и дорогое железо, то поддержка его в линуксе очень плоха.
Так что увы, чем дальше — тем больше линукс становится системой для китайского барахла. :-(((
Интересно, откуда тогда в инете кучи воплей, как на висте/семерке/восьмерке/десятке не работает мой старенький принтер/сканер/любимый девайс?
Откуда тогда кучи проблем о том, как старые 32битные программы не запускаются в 64битной системе, и их «просто перекомпилировать» не выходит.
Вина тут именно архитектуры и MS, которые отказываются от поддержки старых версий ОС (по вполне разумным причинам), и вендоры вслед за MS перестают выпускать драйвера под более старые версии OS, а для старых устройств не выпускают драйвера под новые версии OS, заставляя покупать новые устройства.
И виной тому — использование системо-зависимых API и недокументированных функций, а также систем защиты кода, активно использующих грязные хаки.
Нормально написанный под WinXP 32-битный драйвер USB-устройств должен работать и в 64-битной десятке.
Десяток раз в год!
На windows тот драйвер. где я правил сорцы — работает со времен windows NT 4. И бинарник тот же.
Интересно, откуда тогда в инете кучи воплей, как на висте/семерке/восьмерке/десятке не работает
Не вижу кучи воплей сейчас. Они были во времена, когда существовали 3 варианта драйверов — win 3.1, winт 95, win NT. В linux вопить бесполезно — на кучу оборудования драйверов просто нет.
мой старенький принтер/сканер/любимый девайс?
на принтер и сканер очень любят вместо драйвера сделайть комбайн на сотню мегабайт — драйвер + сервис + приложение + сайт для заказха расходников… Ну в общем нажал на кнопку на сканере — получил документ в ворд, уже переведенный в текст. И вот такие комбайны — да, плохо переносят смену версии.
НО! У вас на виндоус переставал работать драйвер из-за обновления ядра? Ну хоть раз было такое?
Откуда тогда кучи проблем о том, как старые 32битные программы не запускаются в 64битной системе, и их «просто перекомпилировать» не выходит.
Рекомендую ознакомится с блогом PSV-Studio, например с этой статьей.
Эта проблема одинакова для всех систем. Единственное — в linux принято писать программы сразу переносимыми на разные архитектуры, включая 64 битные и архитектуры с другим порядком байтов в слове. Если писать сразу переносимо — расходы на перенос меньше, да и размазаны на всю стадию написания кода.
для старых устройств не выпускают драйвера под новые версии OS, заставляя покупать новые устройства.
Если речь про устройство с драйвером для windows 3.1 или windows 95 — вы правы. Если есть драйвер для windows XP и ваша система 32битная — то шансы, что удастся заставить его заработать в Vista, win 7/8/10 — достаточно большие. А на 64битную систему — да, 32битный драйвер не встанет. И из комбайна — придется выдирать именно драйвер.
Ядро-то зачем пересобирать? Достаточно же собирать только драйвер
Если это такой важный драйвер, что включен в ядро — почему не написать про эти порты разработчикам драйвера?
Более того, это не просто драйвер COM-порта, это драйвер 8250/16450/16550/16650/16750/16850. Иными словами, это драйвер с древней историей, используемый на сотне разновидностях микросхем. И любая правка — должна проверяться на всем этом зоопарке.
А писать разработчикам — бесполезно. И не только потому, что ради профессиональной (то есть редкой) платы они не рискнут испортить поведение на китайской (то есть популярной) комплектухе.
Гораздо важнее, что у меня Ubuntu 14.04 LTS. Ядро там вроде 3.13. И ставить туда новое, не тестированное разработчиками ubuntu, ядро — я не буду.
И так, смотрите этапы процесса
1) Сделать патч и оттестировать его на своей плате.
2) Оттестировать патч на сотне плат, построенных на разных микросхемах.
3) Отправить патч разработчику, добиться включения в upstream
или 4a) Добиться бэкпортирования правки в старую версию ядра
или 4б) Дождаться выхода LTS-версии ubuntu на новом ядре
Сколько это займет? Думаю от 3 до 5 лет, не меньше.
А причиной — неудачный дизайн linux. Если бы драйверы не были бы частью ядра (как в windows), достаточно было один раз исправить ошибку и скомпилировать драйвер.
А необходимость бэкпортировать любое исправление ошибок в драйверах в старые версии приводит к тому, что в linux хорошо поддерживаются лишь дешевая китайская комплектуха. Чем профессиональней плата — тем меньше шансов, что она будет работать под linux.
Вот вы сами пишите:
Считается, что любой COM-порт можно использовать как главную консоль при загрузке ядра (так и делают на компах без видеокарты). Поэтому все COM-порты скомпилированы прямо в ядро,
Причем тут неудачный дизайн linux?
Может, подскажите как можно использовать в качестве главной консоли при загрузке устройство, драйвер которого лежит где-то далеко?
Может, подскажите как можно использовать в качестве главной консоли при загрузке устройство, драйвер которого лежит где-то далеко?
1) Давно видели комп с встроенным ком-портом? "In the book PC 97 Hardware Design Guide, Microsoft deprecated support for the RS-232 compatible serial port of the original IBM PC design"
2) На тех персоналках, где есть комп-порт, вы хоть раз его использовали как главную консоль?
3) А для промышленных машинок — все равно свое ядро компилится. Ибо хватает редкой периферии.
Это был ответ на вопрос, почему зашитый в ядро драйвер сом-порта — атавизм.
Причем тут неудачный дизайн linux?
При хорошем дизайне все драйвера выгружаемые/отключаемые. Включая скомпиленные в ядро. Посмотрите, как стартует виндоус. Вначале видеоподсистема встроенyая и простейшая, потом встроенный видеодрайвер отключается и загружается уже драйвер конкретной видеоплаты.
Ещё раз. Основная проблема дизайна linux — отсутствие бинарной совместимости драйверов. Все остальное — уже печальные следствия.
С другой стороны, в windows не менее 18 типов драйверов, что тоже сложно назвать хорошим дизайном.
Ну или вы на планшете только развлекаетесь, или ваша работа состоит в том, чтобы собрать на себе все глюки непроверенных ядер. У нас или Debian-stable или ubunta 14.04 LTS. А вообще есть старое правило — если не хочешь мучаться с глюками — не ставь систему до 3его сервиспака. Это примерно 3-5 лет с момента выпуска.
А вы попробуйте подумать, много ли планшетов поддерживают Ubuntu 14.04 и Debian Jessie (вы видимо не слышали о том, что Stretch уже в stable, что в некотором роде равноценно 16.04). Может даже надумаете чего.
Совсем маргинальный проект с 8 разработчиками? Чуть невезухи и через пару лет LEDE не будет (один попал под машину, двое женились, ещё пятеро — нашли хорошую работу). В такие игры — пусть хомячки играют.
Бида-бида, у кучи драйверов в ядре вообще по одному мейнетру, а многие уже годами не обновлялись (ну, необходимости не было) — как вы будете теперь жить с этим знанием?
А кому они нужны для работы на ARM??? Игрушки разве что писать.
Нихрена себе, IVI в автомобиле это стало быть игрушки, причём я даже знаю какой жанр — гоночки. О других примерах сами догадаетесь?
Детский сад. Прекращение поддержки — это не удаление кода. Это прекращение тестирования изменений.
Это с каких пор мейнтеры подсистем ядра начали принимать патчи без их тестирования, позвольте поинтересоваться?
Компьютер — это универсальное устройство. Устройство — специализированный комп. Неужели в школе это уже не проходят? 40 лет назад, когда я учился в школе мы это проходили.
Хорошо, что всё просто и понятно, но что там насчет планшета с клавиатурой? Без клавиатуры специализированный компьютер, а с чехлом-клавиатурой — внезапно универсальное устройство?
С кучи переделок в подсистеме UART. Их надо поддерживать во всех драйверах. И не просто переделать по шаблону, а с пониманием логики работы конкретного UART.
То есть UART у вас на платах Renesas отвалился на апстримном ядре?
Кстати, I2S — что за зверь? Может I2C?
Может набрать I2S в Гугле и кликнуть по первой строчке? Например.
Вес платы для квадрокоптера — порядка 95 грамм. Как думаете, хорошо туда будет ставить ещё и радиатор грамм на 200?
Думаю, что либо ваши проекты это только квадракоптеры, либо вы в зависимости от моего вопроса, будете приводить любой пример, лишь бы не соглашаться :)
Ну серьёзно, у вас что, на всех проектах требования по производительности на ватт как при проектировании квадрокоптеров? Что за цирк, а?
Так а все просто. Если у вас популярное дешевое китайское дерьмо — будет вам поддержка в мейнстриме. А если у вас профессиональное, то есть редкое и дорогое железо, то поддержка его в линуксе очень плоха.
Поддержка железа Renesas в Linux — очень плоха, так?
Ну в общем да. Неудачная архитектура драйверов — это заслуга в том числе и лично Линуса.
Так и осталась неизвестной версия ОС у вас дома — седьмая или десятая.
Не вижу кучи воплей сейчас.
Железо, тем не менее, никуда не делось, и драйвера к нему так и не обновили. Частично вопрос постепенно решается тем что люди избавляются от старого железа (продают на eBay/Avito/etc. тем, кто согласен пользоваться им на Win7, то есть тем, кто не будет вопить; я сам так делал) и обзаводятся новым, и частично тем, что в Win10 подставляют костыли под старые драйвера, например спустя два года после выхода Win10 были добавлены костыли для видеодрайверов Intel Clover Trail 2013 года.
И так, смотрите этапы процесса
1) Сделать патч и оттестировать его на своей плате.
2) Оттестировать патч на сотне плат, построенных на разных микросхемах.
3) Отправить патч разработчику, добиться включения в upstream
или 4a) Добиться бэкпортирования правки в старую версию ядра
или 4б) Дождаться выхода LTS-версии ubuntu на новом ядре
По второму пункту — достаточно написать патч так, чтобы код отрабатывал только на конкретном устройстве.
Пункт 3 явно занял бы меньше времени, чем вы уже потратили на пересборку вышедших ядер.
Вместо 4а и 4б можно договориться с разработчиками из Canonical о бэкпортировании патча, делал это неоднократно.
А вы попробуйте подумать, много ли планшетов поддерживают Ubuntu 14.04 и Debian Jessie
Отлично! Вы наконец начинаете понимать… Куча планшетов работает на Android_Jelly_Bean с ядром 3.0-3.4. А в ядре 3.13 в Ubuntu 14.04 — эти же планшеты не поддерживаются. И кто в \том виноват? Google? Вендоры? Или все дело в том, что драйверы встроены в ядро и не могут распространяться отдельно?
Ну вот и в еmbeded — ровно так же. На старых ядрах от вендоров — поддержка есть, новых ядер от вендоров нет, на новых ядрах из менйстрима — поддержки нет (или она плохая).
Очень рад, что вы наконец-то поняли, о чем речь.
у кучи драйверов в ядре вообще по одному мейнетру, а многие уже годами не обновлялись (ну, необходимости не было)
Вам уже говорилось об этом:
Прекращение поддержки — это не удаление кода. Это прекращение тестирования изменений.
Это с каких пор мейнтеры подсистем ядра начали принимать патчи без их тестирования, позвольте поинтересоваться?
Вот так и представляю себе мейнтейнера ком-порта 8250/16450/16550/16650/16750/16850 в окружении тысячи плат, собранных на сотне разных микросхем. :-)
Не смешите, мейнтейнер тестирует лишь на нескольких устройствах из тысячи поддерживаемых. Остальное — дело тестеров (если они есть). Ну или девелоперов конкретного устройства.
Так что постепенно, по мере изменений в драйвере, поддержка старых устройств начинает глючить. В итоге формально — поддерживает, а фактически — ужас.
Хорошо, что всё просто и понятно, но что там насчет планшета с клавиатурой?
Хоть с ней, хоть без неё — это универсальный компьютер. Потому что какую программу запускать — определяете вы, а не разработчик. А устройство — это когда у вас защита одна программа. Например — автомобильный навигатор, bookreader и так далее. Прошьете туда linux — станет компом, А пока не прошили — это устройство.
То есть UART у вас на платах Renesas отвалился на апстримном ядре?
Да в общем-то на любом апстримном ядре поддержка UART оставляет делать лучшего. Ну кроме совсем уж обычного 16550A. UART-подсистема тесно связано с TTY и DMA, изменения там часты. Не протестировали — значит хороший шанс (порядка процентов), что поломали. Изменений много, так что за 5-10 версий ядра ломается наверняка.
Ну серьёзно, у вас что, на всех проектах требования по производительности на ватт как при проектировании квадрокоптеров? Что за цирк, а?
Думаете в морской технике лучше? Там стальной корпус со стенками 5 миллиметров. Пару тонн воды или льда на корпус — может принять запросто при шторме. И в общем-то ничего не с прибором будет. «Диапазон рабочих температур:-15º…+60 ºС»
Понятно, что вентиляторы не годятся. Ну вот и представьте себе — +60 снаружи корпуса, а в корпусе — печка на 20 ватт. Какая рабочая температура у процессора будет? И сколько он протянет при этой температуре?
Примерно то же самое и на РЖД, и в автомобильной технике (не забываем про пустыни, так что тоже IP68). У нас всюду — допустимо -15 — +60 во включенном состоянии и -60 — +80 — в выключенном.
Горячие процессоры нам не годятся. Теплые — тоже. Используем холодные.
Зато требования по производительности — небольшие. В переводе на x86 — pentium II на 300 Мгц хватит.
Железо, тем не менее, никуда не делось, и драйвера к нему так и не обновили.
А приведите пример железа, к которому не подходят старые драйверы? Видеоадаптеры небось? И ещё всякие комбайны на 100 мегов из драйвера сервиса и черта в ступе?
Почему-то у нас на восьмерку и десятку старые драйвера встают. И что мы делаем не так?
По второму пункту — достаточно написать патч так, чтобы код отрабатывал только на конкретном устройстве.
На конкретной плате или на конкретной микросхеме? Если на плате — так слишком узко, если на микросхеме — так как оттестировать кучу плат на её основе?
Пункт 3 явно занял бы меньше времени, чем вы уже потратили на пересборку вышедших ядер.
Включение патча в апстрим даже у компаний занимает годы. Мы сделали проще — запускаем Debian в виртуалке под Windows.
Вместо 4а и 4б можно договориться с разработчиками из Canonical о бэкпортировании патча, делал это неоднократно.
Ну значит у вас некий особый статус.
Ещё раз повторю. Причина проблем с драйверами в linux — это включение драйверов в ядро. На Windows в тяжелом случае можно перебрать десяток бинарных драйверов и найти работающий. В linux в том же случае нужно перебирать ядра. А потом — точно так же перебирать ядра для другого устройства. и делать свой костыль из драйверов, выдранных из разных ядер.
P.S. если уж вам так интересно — у меня XP на работе, Win 7 дома и Win 10 на ноуте.
IVI в автомобиле это стало быть игрушки,
Все, что не игрушки — перечислено в приложении к ПДД. Называется "Перечень неисправностей и условий, при которых запрещается эксплуатация транспортных средств". Пока вашей IVI там нету — она относится к игрушкам.
Когда беспилотные автомобили войдут в ПДД — наша система в этом списке видимо будет.
у меня XP на работе, Win 7 дома и Win 10 на ноуте.
Это многое объясняет, да.
Пока вашей IVI там нету — она относится к игрушкам.
Такая точка зрения — ваша личная проблема, не имеющая отношения к индустрии в целом и экосистеме ARM в частности.
А вы перестаёте понимать, так как речь, очевидно, идёт про планшет на базе x86 SoC (другие в Ubuntu и Debian просто не поддерживаются на данный момент, насколько мне известно) а вы далее приводите пример с ARM SoC:Отлично! Вы наконец начинаете понимать…Ну или вы на планшете только развлекаетесь, или ваша работа состоит в том, чтобы собрать на себе все глюки непроверенных ядер. У нас или Debian-stable или ubunta 14.04 LTS. А вообще есть старое правило — если не хочешь мучаться с глюками — не ставь систему до 3его сервиспака. Это примерно 3-5 лет с момента выпуска.А вы попробуйте подумать, много ли планшетов поддерживают Ubuntu 14.04 и Debian Jessie (вы видимо не слышали о том, что Stretch уже в stable, что в некотором роде равноценно 16.04). Может даже надумаете чего.
Куча планшетов работает на Android_Jelly_Bean с ядром 3.0-3.4. А в ядре 3.13 в Ubuntu 14.04 — эти же планшеты не поддерживаются.
Сравнение теплого с мягким (специальных сборок под платы, включающих патчи, не отправленные в апстрим, с универсальной сборкой) плюс упускаете из виду блобы.
ваши претензии — это претензии к Renesas и Moxa, а не Linux. Значит пишите, что недовольны Renesas и Moxa.На старых ядрах от вендоров — поддержка есть, новых ядер от вендоров нет, на новых ядрах из менйстрима — поддержки нет (или она плохая). Очень рад, что вы наконец-то поняли, о чем речь.
Привет
И кто в \том виноват? Google? Вендоры? Или все дело в том, что драйверы встроены в ядро и не могут распространяться отдельно?
Вендоры.
Вам уже говорилось об этом
Вы видимо забыли, что речь шла о количестве разработчиков LEDE.
Вот так и представляю себе мейнтейнера ком-порта 8250/16450/16550/16650/16750/16850 в окружении тысячи плат, собранных на сотне разных микросхем. :-)
Не утрируйте, вы отлично знаете, что речь не об этом.
Так что постепенно, по мере изменений в драйвере, поддержка старых устройств начинает глючить. В итоге формально — поддерживает, а фактически — ужас.
Такое действительно иногда случается, но вы представляете это проблему в иных масштабах, как нечто неизбежное и нерешаемое, хотя на практике это случается не так часто, и как это решается — вам известно, я надеюсь.
Посмотрите, сколько вас есть устройств старше 10 лет, для которых приходят обновления? Ваши Allwinder — тоже больше 2-3 лет поддержки не дадут.
Прошьете туда linux — станет компом, А пока не прошили — это устройство.
Исходно речь шла об обновлениях Linux на устройствах, сейчас пишите что прошивка Linux уже делает устройство компом. Вы уж определитесь.
То есть UART у вас на платах Renesas отвалился на апстримном ядре?Изменений много, так что за 5-10 версий ядра ломается наверняка.
Ближе к делу, на платах Renesas, поддержку которых они добавили в апстрим (если у вас такие есть) отвалился UART, так? На каких?
На каких платах Renesas, которые поддерживаются в апстриме, конкретно У ВАС отвалился UART в Linux 4.12?
Какая рабочая температура у процессора будет? И сколько он протянет при этой температуре?
У AMD APU G-Series максимальные показатели порядка -40 +120 (могут варьироваться в зависимости от платы) у Intel смотрите thermal design guide для той серии процессоров, которая установлена на плату, там найдёте нужные вам формулы.
В общем, пока я не вижу убедительных аргументов за то, чтобы кушать кактус сборок под конкретные платы с ARM SoC, вместо того, чтобы пользоваться x86 SoC. Конечно, если речь идёт о платах c ARM SoC, поддержки которых нет в апстриме, а у Renesas очень может быть, что она таки есть.
А приведите пример железа, к которому не подходят старые драйверы? Видеоадаптеры небось? И ещё всякие комбайны на 100 мегов из драйвера сервиса и черта в ступе?
К принтерам HP например кажется год драйвера никак не могли обновить, насколько я помню, ко многим так и не обновили. Плюс там всякое веселье, типа на Семёрке печать по сети на этот принтер работает, ставим на Десятке — не работает или глючит, и т.д. У менее массовых производителях принтеров (чем, скажем, HP, Samsung, и несколько других крупнейших) с драйверами, которые на родных-то, официально поддерживаемых системах глючат, на Десятке стало ещё веселее.
Само собой такие железки есть во всех категориях, не только среди принтеров, но в целом веселее всего с ноутбуками (а так же планшетами, нетбуками, неттопами и т.д.) — вот где самый смак. Особенно с гибридной графикой, и драйверами, обновление которых прекращено. На Десятке драйвер может быть доступен и устанавливаться с Windows Update, но без поддержки OpenGL, и без панели настроек (и к примеру RGB Range с Limited 16-235 на Full 0-255 у HDMI-выхода становится не переключить).
Почему-то у нас на восьмерку и десятку старые драйвера встают. И что мы делаем не так?
Ну так и у меня на планшете 4.12 работает, а не 3.0-3.4, видимо тоже что-то не так делаю.
На конкретной плате или на конкретной микросхеме? Если на плате — так слишком узко, если на микросхеме — так как оттестировать кучу плат на её основе?
Этот вопрос вы уже с мейнтером подсистемы решайте. В целом quirk-и под кривое железо — обычное дело, с этим ничего не поделать, они иногда нужны, их следует добавлять по мере обнаружения такого железа.
Включение патча в апстрим даже у компаний занимает годы. Мы сделали проще — запускаем Debian в виртуалке под Windows.
Вот это Enterprise, вот это я понимаю — стабильность и надёжность. Хотя Debian и oldstable, Windows хоть не XP (я надеюсь) и на том спасибо.
Ну значит у вас некий особый статус.
У меня нет особого статуса в связи с компанией Canonical, даже поддержка не куплена.
А вы перестаёте понимать, так как речь, очевидно, идёт про планшет на базе x86 SoC (другие в Ubuntu и Debian просто не поддерживаются на данный момент, насколько мне известно) а вы далее приводите пример с ARM SoC:
Наоборот, Ubuntu_Touch насколько я знаю, поддерживала только ARM. Debian 9 вполне работает на OrangePie на ARM, разве там есть проблемы с поддержкой сенсорного экрана? Но экран нам просто не нужен. Вот вам список девелоперских машин, поищите там «правильную» модель планшета
Сравнение теплого с мягким (специальных сборок под платы, включающих патчи, не отправленные в апстрим, с универсальной сборкой) плюс упускаете из виду блобы.
Вот-вот-вот. Ровно тоже самое и в embebed. Ну разве что платы мы делаем сами и сборки ядер — тоже. А вот работающие сорцы — да, только от вендоров. Все остальное — или глючит или отстает на пару лет.
И кто в \том виноват? Google? Вендоры? Или все дело в том, что драйверы встроены в ядро и не могут распространяться отдельно?
Вендоры.
Все вендоры шагают не в ногу? Может в консерватории что подправить?
Собственно на этом спор стоит закончить. Вы считаете, что виноваты все вендоры. а я считаю, что включение драйверов в ядро — это неудачный дизайн linux. При хорошем дизайне драйвера должны поддерживаться вендорами и распространяться отдельно. Лучше в сорцах, но можно допустить и бинарное распространение. Уверяю. вас, линукс к этому придет. FUSE — шаг в верном направлении.
Такое действительно иногда случается, но вы представляете это проблему в иных масштабах, как нечто неизбежное и нерешаемое, хотя на практике это случается не так часто, и как это решается — вам известно, я надеюсь.
В моей практике это случается постоянно. Более того, как ни удивительно, встречается и с менйстримовыми подсистемами. Вы просто не понимаете уровень требований к аппаратуре, принятой в embeded. Ну например, на одной машинке на ядре 2.6.9 после сотен тысяч обменов по USB обмен прекращался. Пришлось разбираться, искать патч и собирать своё ядро. Но это USB, то есть подсистема даже без патчей вендора. И готовая машинка от вендора, а не наша собственная плата.
Беда в том, что для нас эта сотня тысяч — это 3 часа работы. А система должна работать в запертом контейнере, причем выдача ключей от этого контейнера — идет с записью в специальный журнал (радиопередающее оборудование морской связи МЧС).
И так — постоянно. И любой embeded разработчик много такого расскажет. Так что ситуация «собираем ядро и все работает» — редкость. Вначале устраняем собственные ошибки при конфигурировании, потом — ищем патчи на то, что работает со сбоями. И постоянный выбор — в этом ядре работают хорошо такие-то устройства, а вот в этом — другие. :-))
И как видите, выбор готовой машинки — не спасает. :-) Да и не годится нам обычно готовая. Своя хороша тем, что за очень короткое время делаем интерфейсы под заказчика.
Исходно речь шла об обновлениях Linux на устройствах, сейчас пишите что прошивка Linux уже делает устройство компом. Вы уж определитесь.
Вот у вас читалка. И вас все равно, что внутри — linux, freeBSD, QNX или windows. Потому что доступа к ОС у вас нет. Есть только доступ к одной программе (оболочке). Это — устройство. Как только у вас на штатном экране будет доступ к ОС — это уже компьютер.
Если пользователь может на вашем IVI запустить свои программы — это компьютер. Если не может — устройство. Так что всякие мобильники на андроиде — вполне себе компьютеры. а вот простые телефоны без JAVA — устройства.
Мне странно, что разработчик IVI (и, видимо, LEDE) не понимает этой разницы.
К принтерам HP например кажется год драйвера никак не могли обновить,
Особенно с гибридной графикой, и драйверами, обновление которых прекращено
Да, под видом драйвера для принтера часто втюхивается дикий монстр из драйвера, сервисов, прикладных программ… Но если вы вынете из этого зоопарка сам драйвер — он заработает. Более того, на принтерах HP — PCL, а это значит, что заработает любой драйвер на PCL5 или PCL6. Да, чуть меньше управления лотками. Но печатать — можно.
Видеокарты — это отдельная песня. Видеоподсистема в Windows является частью ядра. И там дйествительно нету совместимости между версиями.
Windows хоть не XP (я надеюсь)
УВЫ, Нам надо чтобы то, что мы делаем на windows — запускалось на любом компе. Самый простой способ этого достигнуть — разрабатывать на XP. А в остальных системах — оно и так работает, без всяких правок.
У меня нет особого статуса в связи с компанией Canonical, даже поддержка не куплена.
Ну-ну, я правильно понимаю, что вы разработчик LEDE? А мы — не системщики, мы прикладники.
У меня нет особого статуса в связи с компанией Canonical, даже поддержка не куплена.
У меня тоже нету особого статуса и даже мной ни один GPS-приемник не куплен, но во всех приемниках, с которыми я работал, были внесены попрошенные мной изменения в прошивке. :-)
Вот только я не утверждаю, что любому программисту это удастся. :-) То, что мы делаем — авторам приемников интересно. А вот мейнтейнерам linux -нет. У вас, я так понимаю, ситуация обратная.
Кстати, ради смеха, можете поискать хоть один GPS-приемник на x86. делают на ARM, на ПЛИС, на своих собственных процессорах — на чем угодно, только не на х86. В нашей сфере никому не нужна эта печка.
Ближе к делу, на платах Renesas, поддержку которых они добавили в апстрим (если у вас такие есть) отвалился UART, так? На каких? На каких платах Renesas, которые поддерживаются в апстриме, конкретно У ВАС отвалился UART в Linux 4.12?
У AMD APU G-Series максимальные показатели порядка -40 +120 (могут варьироваться в зависимости от платы) у Intel смотрите thermal design guide для той серии процессоров, которая установлена на плату, там найдёте нужные вам формулы. В общем, пока я не вижу убедительных аргументов за то, чтобы кушать кактус сборок под конкретные платы с ARM SoC, вместо того, чтобы пользоваться x86 SoC. Конечно, если речь идёт о платах c ARM SoC, поддержки которых нет в апстриме, а у Renesas очень может быть, что она таки есть.В связи с отсутствием ответа на заданные выше вопросы пока что отстаётся сделать вывод, что пользоваться ими не позволяют какие-то религиозные убеждения, типа «в нашей сфере никому не нужна эта печка». У вас то Debian в виртуальной машине на XP, то квадрокоптер/морская техника/GPS-трекеры — причем из этой колоды всегда выбирается что-то, что позволит вам обосновать отрицательный ответ.
Если же обосновать отрицательный ответ нечем (как с вопросами про Renesas выше) то ответа нет вообще.
Все остальное — или глючит или отстает на пару лет.
Все вендоры шагают не в ногу? Может в консерватории что подправить? Собственно на этом спор стоит закончить.Привет: https://habrahabr.ru/post/331762/#comment_10294382 (большой абзац в конце).
Наоборот, Ubuntu_Touch насколько я знаю, поддерживала только ARM. Debian 9 вполне работает на OrangePie на ARM, разве там есть проблемы с поддержкой сенсорного экрана? Но экран нам просто не нужен.Я ответил, что пишу с планшета на котором крутится релиз-кандидат 4.12. Куда вас дальше понесло, а? Вы начали разглогольствовать, что у вас там Ubuntu 14.04 и Debian stable (фактически оказался oldstable; причем следует полагать, что 14.04 и oldstable менее глючные, чем 16.04, и stable, хотя на деле конечно же наоборот, но откуда вам, пользователю Windows, об этом знать) хотя к современным планшетам (которые с S0i3 вместо S3) это не имеет отношения никакого — в упомянутых релизах просто нет драйверов для них. Вы вообще сравнили use case «индустраильные платы» и «планшет» по версиям используемых ядер чтобы высказать какую мысль?
Вот вам список девелоперских машин, поищите там «правильную» модель планшетаС какой целью?
Вендоры как были в начале, так и остались виноваты в конце. И что «Вот-вот-вот»?Вот-вот-вот. Ровно тоже самое и в embebed. Ну разве что платы мы делаем сами и сборки ядер — тоже. А вот работающие сорцы — да, только от вендоров.Куча планшетов работает на Android_Jelly_Bean с ядром 3.0-3.4. А в ядре 3.13 в Ubuntu 14.04 — эти же планшеты не поддерживаются.Сравнение теплого с мягким (специальных сборок под платы, включающих патчи, не отправленные в апстрим, с универсальной сборкой) плюс упускаете из виду блобы.
Никто не спорит с тем, что случается. Я утверждаю, что не в таких масштабах, и что все эти проблемы — решаемы. Потому что я сам сталкиваюсь с этим и на практике знаю процесс решения.Такое действительно иногда случается, но вы представляете это проблему в иных масштабах, как нечто неизбежное и нерешаемое, хотя на практике это случается не так часто, и как это решается — вам известно, я надеюсь.В моей практике это случается постоянно. Более того, как ни удивительно, встречается и с менйстримовыми подсистемами.
Ну например, на одной машинке на ядре 2.6.9 после сотен тысяч обменов по USB обмен прекращался. Пришлось разбираться, искать патч и собирать своё ядро.Это потому что 2.6.9 новое слишком, нужно было 2.4.37 юзать, тогда бы проблем не было.
Вы просто не понимаете уровень требований к аппаратуре, принятой в embeded.
Так что ситуация «собираем ядро и все работает» — редкость. Вначале устраняем собственные ошибки при конфигурировании, потом — ищем патчи на то, что работает со сбоями.Я в курсе ситуации, не переживайте: https://patchwork.kernel.org/patch/9820801/
Ради чего только сидеть на железе без поддержки в апстриме и кушать кактус?
Посмотрите, сколько вас есть устройств старше 10 лет, для которых приходят обновления? Ваши Allwinder — тоже больше 2-3 лет поддержки не дадут.
Вот у вас читалка. И вас все равно, что внутри — linux, freeBSD, QNX или windows… Если пользователь может на вашем IVI запустить свои программы — это компьютер. Если не может — устройство. Так что всякие мобильники на андроиде — вполне себе компьютеры. а вот простые телефоны без JAVA — устройства.А шо, на читалки (не на Android) или телефоны без Java приходят обновления? Какой смысл вы в ваш исходный вопрос тогда вкладывали, доказывая наличие проблем с обновлениями у AllWinner? (Хотя до сих пор остаётся неясным, что там с должно случиться, чтобы поддержка плат AllWinner начала отваливаться в новых релизах.)
Да, под видом драйвера для принтера часто втюхивается дикий монстр из драйвера, сервисов, прикладных программ…Ответили про принтеры HP (не все из которых поддерживают PCL, ну да ладно) закрыв глаза на принтеры других производителей, другие категории железок, переферию ноутов помимо видео, и т.д.
Ну-ну, я правильно понимаю, что вы разработчик LEDE?Нет.
То, что мы делаем — авторам приемников интересно. А вот мейнтейнерам linux -нет. У вас, я так понимаю, ситуация обратная.Тоже нет. В общем, не выдумывайте, всё делалось в рядовом порядке.
Собственно на этом спор стоит закончить. Вы считаете, что виноваты все вендоры. а я считаю, что включение драйверов в ядро — это неудачный дизайн linux.
Раз вы не понимаете — придется отвечать вам в вашем же духе.
У вас то Debian в виртуальной машине на XP, то квадрокоптер/морская техника/GPS-трекеры — причем из этой колоды всегда выбирается что-то, что позволит вам обосновать отрицательный ответ.
Молодой человек, когда вы закончите школу и будете учиться в институте вам объяснят разницу между GPS-приемниками и GPS-трекерами. А пока просто запомните, что приемник — это не трекер.
Мы занимаемся высокоточной спутниковой навигацией. То есть измерением расстояния между фазовыми центрами GNSS-антенн с СКО 5 миллиметров.
- условно неподвижные, например контроль сползания МГУ в Москва-реку — он на несколько миллиметров в год ползет. Или контроль колебаний мостов (один мост, например, просел на 9 см из-за того, что на него положили больше асфальта, чем по проекту). Или контроль колебаний стенок шлюза (по мере наполнения водой стенки на пару см ходят).
- подвижные. Автономные газонокосилки, точное земледелие (если картошку сажать в грядки, а не равномерно — урожай чуть ли не в полтора раза больше, а для этого нужна точность 5 см), определение положения маневрового локомотива в сортировочной горке (то есть реальное определение пути, по которому он едет — нужно для контроля автовождения).
- угломерные, то есть курс, крен, дифферент. Это спутниковые компасы — и для морских судов (на всех атомных ледоколах стоят наши спутниковые компасы) и для квадрокоптеров и для гонок по пустыне.
Если бы вы были инженером, то догадались бы, что никто не будет делать уникальные платы для каждого применения. Используется всего несколько версий плат, основное отличие — в питании, корпусах, разъемах. Одного факта проблем с теплоотводом в морском решении — хватает, чтобы все наши платы были энергоэффективными. а ограничения по весу в квадрокоптерном решении — хватает, чтобы они были ещё и легкими.
А вот когда «если вы, или ваше руководство, выбираете экономить», то вместо разработки платы — берется готовый x86, к нему - конвертор RS422-ETH на 8 или 16 портов, и монтируется это все в запираемый ящик или стойку. Для макетных вариантов и х86 хватит, а по цене — копейки, примерно дня 3 работы инженеров по разработке своей платы.
Но я понимаю, что школьнику вполне может показаться, что свою плату разработать дешевле, чем купить готовый X86. Ничего страшного, когда выучитесь в институте — все поймете сами.
А зачем вам для IVI linux? " вы, или ваше руководство, выбираете экономить» на лицензии? Неужели 5-10 тысяч на лицензию для вас такие огромные деньги? Если нужен *nix — свет на linux не сошелся, вполне хватает нормальных платных решений.
А зачем вам для IVI планшеты? Опять или ваше руководство, выбираете экономить»? А потребителям — ругаться из-за того, кто на какое место сядет ибо все планшеты — с разными игрушками? Возьмите нормальный брендовый сервер с хорошим SLA на обслуживание. И по HDMI подключите к нему экраны.
А если уж брать планшет — берите ipad. Он, кстати, достаточно *nix внутри.
Сарказм OFF
На самом деле я примерно понимаю соображения, почему вы взяли дешевые планшеты на x86. Вам действительно хочется навариться на перепродаже неиспользуемого китайского хлама на падающем рынке.
Собственно вот вам обзор рынка
![image](https://habrastorage.org/getpro/habr/comment_images/6b5/fe5/677/6b5fe567739aa9d2b1b8743ed388f8f8.jpg)
Если вам удастся переломить эту тенденцию — получите «много денег». Не удастся — ну так перепродажа планшетов — это не разработка плат, много не потеряете.
фактически оказался oldstable;
Молодой человек, если вам часто что-то кажется — сходите к врачу. Психические болезни (как и любые другие) лучше лечить в самом начале. Если написано stable — значит stable. Или вы настолько юны, что мне вам вывод uname -a предъявить?
Вендоры как были в начале, так и остались виноваты в конце.
Вот-вот. Все вендоры идут не в ногу, все вендоры плохие? Ну да, в ранней юности часто так кажется. Вырастите, повзрослеете, поймете, что если «все не в ногу», то проблема не в вендорах, а в архитектуре linux. А сейчас объяснять вам — бесполезно. Подростки все равно не слушают взрослых, надо ждать пока вы подрастете. Тогда и поймете. А пока просто рано.
В общем, не выдумывайте, всё делалось в рядовом порядке.
А теперь посмотрите, что в реальности. Вот вам история, как долго и безуспешно вносились патчи в ядро. Это AXFS, драйвер, позволяющий выполнять программы прямо из flash-памяти. Если у вас с английским туго — вот русское описание.
Покопайтесь в истории патчей, посмотрите как шла война за включение патчей в ядро. А потом просто поверьте, что часто бывает именно так.
Можете ещё и Android Mainlining поинтересоваться. Сколько лет гугл проталкивал свои патчи в ядро и удалось ли протолкнуть все.
В юности часто кажется, что вы сможете«обогнать гугл». А в старости приходит понимание, что лучше не тратить на этот силы.
Ещё раз повторяю, что не вижу смысла тратить время на спор с вами. Вырастите — все сами поймете.
Молодой человек, мне кажется
Молодой человек, когда вы закончите школу и будете учиться в институте
я понимаю, что школьнику вполне может показаться
Молодой человек, если вам часто что-то кажется — сходите к врачу. Психические болезни (как и любые другие) лучше лечить в самом начале.
В юности часто кажется
не вижу смысла тратить время на спор с вами
Это какая-то слишком эмоциональная реакция на просьбу проверить наличие поддержки ваших плат Renesas в апстриме.
Меж тем меня недавно спросили о BCM7230 (вопрос касался применения в ТВ-приставке, и если более конкретно — сетевого драйвера). По ходу разбирательств выяснилось, что в аккаунте Broadcom на GitHub https://github.com/Broadcom выложены различные ядра под их STB-решений, в том числе 4.13, первый релиз-кандидат которого выйдет через несколько дней. И они целенаправленно вносят изменения в апстрим, вопреки вашим заявлениям.
Все вендоры идут не в ногу, все вендоры плохие?
Повторюсь, большой абзац в конце: https://habrahabr.ru/post/331762/#comment_10294382
Broadcom, как оказалось, апстримят драйвера не только для RPi, и наверняка там не упомянуто ещё несколько вендоров, в частности очень вероятно, что Renesas тоже самое место в этом списке.
Сколько вы знаете роутеров, которые бы регулярно обновлялись производителем?
Сколько вы знаете мобильников на Андроиде, которые бы регулярно обновлялись производителем?
Производителем — это не гиковской прошивкой от «8 разработчиков», а именно производителем. Регулярно — раз в месяц или чаще.
Вам верится, что все вендоры шагают не в ногу? Когда подрастете — поймете, что дело не в вендорах, а в проблемах в архитектуре linux. Пока вам просто не хватает опыта, чтобы это понять.
Далее. Сколько лет гугл проталкивал свои патчи в ядро и удалось ли протолкнуть все? Разу ж вы считаете, что протолкнуть свой пат в апстрим пара пустяков, расскажите, за сколько лет это удалось гугл?
И вот на эти патчи ядра посмотрите. Как думаете, через сколько лет они войдут в ядро?
Рад, что вы утверждаете, что ваш патчик вошел в ядро сразу. Вот только в реальной жизни — как в axfs и у гугл. На них — есть пруфы, есть история, можно переписку нарыть. А ваш патчик — для меня зверь мифический. Может он и был. А может, как с обновляемыми прошивками у роутеров — какое-нибудь вранье с вашей стороны.
Ну кто же, кроме вас, виноват, что вам не платят (или платят копейки)? При нормальной зарплате сделать свою плату в 10-100 раз дороже, чем взять готовую железу. Только малолетки думают, что разработка платы ничего не стоит.
На линуксе чуть хуже, потому что обновления ещё разные на разных дистрибутивах. То есть на винде, перестроивши обновления на сервера микрософта вместо собственного корпоративного зеркала — вы получите все обновления. А линуксе — только те, что успели войти в ваш дистрибутив.
Причина проблем в том, что на обоих системах обновления бывают не совсем корректными. Помните историю, как обновление яндекс-диска удаляло файлы? Ну и аналогичный rm -rf /usr в линуксовском обновлении?
Так что в крупных организациях вроде банков обновления ставятся не сразу, а лишь после проверки. И не из инета, а из корпоративного хранилища. Отсюда и проблемы с актуальностью.
del
В линуксе, не важно что и откуда я ставил, из каких PPA или сам собирал. Т.к. у каждой библиотки есть версия и всегда можно очень легко узнать какая версия актуальная и какая стоит в системе. Сравнить и в результате понять что происходит.
Как мне в винде понять, актуальная у меня версия в системе стоит или на машине win update сломался? только анализ логов установки глазками?
Об этом и речь собственно…
Особенная веселуха — с версиями ядра, особенно со старыми с long поддержкой. А уж если ядро на специфичную плату, которым вендор занимается раз в полгода…
В винде нету такого зоосада версий. А логи можно посмотреть и скриптом и тем же grepом.
В винде проблема в ином — централизованное обновление — оно только на саму винду. А у каждого приложения — свой механизм обновлений. Или вообще — без механизма — следите за сайтом и скачивайте ручками.
Какие нафиг специфичные платы?
Ну и в целом, у линуха эти версии хотя бы есть и при желании можно разобраться.
У винды же сейчас вообще никакой инфы нет, что поставилось и для чего. Майки официально отказались публиковать подробную информацию об обновленниях. Про версии я уже молчу…
Роутер дома есть? Умный телевизор? Мобильник? Медиаконвертор? Умные часы? Фоторамка? Мобильник на андроиде? У каждого дома — десяток устройств на линуксе. Причем большинство — на очень старых ядрах, вроде 2.6.39.58.
Ну и в целом, у линуха эти версии хотя бы есть и при желании можно разобраться.
Можно. Теоретически. Можно теоретически и свежий патч самому на ядро 2.6.39.58 накатить. Вот только шансы, что заработает — минимальны.
У винды же сейчас вообще никакой инфы нет, что поставилось и для чего.
Извините, но это сказки! Ну вот вам то самое обновление KB4012212
Идете в раздел «File information», там в подраздел «Windows 7 and Windows Server 2008 R2 file information» и там видите список файлов с версиями.
На винде просто зоопарк версий на два порядка меньше.
Это вы там еще прошивку не видели… Я до сих пор по ночам вздрагиваю, хотя уже больше года прошло с тех пор, как с линейкой Atom я больше не работаю.
В случае проблем с разработчиком можно выйти на связь: https://github.com/jwrdegoede/linux-sunxi/commit/250d55e3d35d0baba97e6087d7e7629868745f8a
У некоторых планшетов степень работоспособности близка к 100%: http://4pda.ru/forum/index.php?showtopic=650808&view=findpost&p=60617335
А причём тут версия оси до обхода блокировок?
вот и я не понял ...
Приват на убунте сидит и в ус не дует.
Кстати да, терминалы и банкоматы у них тоже на убунте?
Не испытывал проблем сегодня не с терминалом, нес банкоматом не с онлайн банкингом.
Может просто повезло :)
Что бы была безопасность нужны затраты. Затраты на бекапы, ПО… Защититься от прохождения вирусни через медок вообще проблемно, а помнится гоструктуры у нас работают в режиме экономии и не получают денег на безопасность, а многие так и вообще домашние компы иной раз приносят на работу т.к. там нет своих (хлам 10-20 летней давности не в счет).
Перебоев с ПриватБанк-ом не было и они опровергают то, что были попытки каких либо атак на их инфраструктуру.
Да и собственно в привате, по большей части линух, так что особых проблем поиметь в принципе проблематично (в первый раз в жизни защищаю этот банк :) )
Но банкоматы Привата вчера вечером не работали)))
Такое ощущение что статья написана домохозяйкой для домохозяек. Про это было написано больше года назад
Мало того, как было замечено выше "попытки написать дешифровщик" закончились год назад.
Даже если предположить, что это результат скрещивания какого-нибудь WannaCry со "старым петей", так называемые "критические объекты" уже давно должны были сделать выводы.
Это всего лишь перепись псевдоадминов, которые смотрят Youtube вместо того чтобы делать то, за что им платят зря плату.
Внутрь с письмом, допустим, попало — а дальше как? Самба?
У Microsoft заявили, що через MEDoc сталася масована кібератака. Українська кіберполіція також підозрює MEDoc у поширенні віруса-здирника.Они открещиваются и говорят что их обновление было без вируса. Помню когда был вирус заражающий Delphi и все скомпилированные программы шли уже зараженными. Там масштабность тоже не знала границ, благо вирус был не злобный. Но это был звоночек.
Но при этом он попадает к этому серверу в локалку, из которой к нему по уязвимой самбе может прилететь неПетя.
Вообще, со стороны MEDoc было бы хорошо написать свой официальный ответ с разбором полетов. Только чтобы техник ответил, а не менеджер по рекламе.
Тут просматривается явная подготовка и скорее всего заражение происходило далеко не один месяц но без активации.
Если-бы это было всё также как и с ванкраем то все эти системы отгребли бы ещё при самом ванкрае — когда он пришёлся по 445 порту всея интернета.
В общем как вы понимаете, я не могу поверить что данные события из разряда «ну так вот получилось», чувствуется подготовка. А если и действительно спонтанная атака с такими масштабами разрушений, то я очень боюсь за будущее ОйТи нашего государства.
Справедливости ради, оказалось, что это дефолтное поведение виндового фаервола на режиме «публичные сети». Чего от этого режима никак не ожидаешь. И чтобы его изменить, нужно залезать в настройки правил фаервола, которые позапутаннее iptables.
http://1337.verylegit.link/gat.dUZ3772mobiads.gif.exe
(Прошу не минусовать тех кто боятся этой ссылки, выкладывая ее я преследовал скрытую цель, но не заражения)
ОАО «Бобруйский машиностроительный завод».
Из оффициальных новостных новостных источников
Если первое, то зачем такие сложности, почему сразу не перезаписывает? А если второе, то поясните, пожалуйста, при просыпании из гибернации MBR вообще не при делах?
В S4 после запуска выполняется обычная загрузка POST -> MBR -> Windows и уже Windows сам восстанавливает с диска свое состояние. С случае переписи MBR не восстановит, естественно.
Если включен Hybrid Sleep — то комп уходит в S3, с подстраховкой в виде S4 на случай если уборщица выдернет вилку из розетки.
Включение компьютера из состояния гибернации ничем не отличается от холодного включения, MBR используется. Загрузчик Windows сам определяет, нужно ли делать холодный старт или восстанавливать образ ОП.
"Так, похоже, что компьютеры европейских компаний поразил вирус типа Win32/Diskcoder.Petya.C, а вернее, его модификация. Он повреждает запись MBR, но, похоже, не трогает сами данные. Распространяется через уязвимость в SMB, но это не единственный способ распространения.
Можно попробовать fixmbr в консоли восстановления, или восстановить MBR запись Testdisk'ом."
t.me/alexlitreev_channel
"Мне написал технический директор ESET Israel и подтвердил, что это новая модификация Petya."
t.me/alexlitreev_channel
1. Уязвимы ВСЕ OS Windows, включая 10-ку с последними обновлениями
2. Распространяется молниеносно по сети, явно эксплуатируя SMB уязвимость.
3. Антивирусные компании решений пока не предоставили (NOD, Symantec, Fortinet), есть подтвержденные (лично) заражения ПК с решениями от данных компаний. Некоторые публичные ресурсы этих компаний — вообще лежат, например fortiguard.com.
4. Действительно шифрует MBR, GPT вроде бы не трогает. Оставляет на локальных дисках файл readme с текстом, аналогичном выводимому при загрузке. Несистемные диски (в т.ч. сетевые) — НЕ шифрует.
5. При перезагрузке выводит имитацию checkdisk.
Другие жесткие в системнике не шифруются?
Для идентификации шифровальщика файлов необходимо завершить все локальные задачи и проверить наличие следующего файла:
C: \ Windows \ perfc.dat
Именно по такому адресу должен быть файлы?
Нашел у себя
C:\Windows\INF\PERFLIB\0000\perfc.dat
C:\Windows\INF\PERFLIB\0409\perfc.dat
C:\Windows\INF\PERFLIB\0419\perfc.dat
Это то же или это не опасно?
Вот цитата о файлах perfXxxxx.dat в System32:
«Perfc009.dat and Perfh009.dat: These file system files reflect the current state of the performance registry.
Perfd009.dat and Perfi009.dat: These file system files reflect the initial state of the performance registry.»
А perfX.dat без цифр в INF IMHO исходные версии этих файлов.
там чуть больше инфо по IoC
«Для идентификации шифровальщика файлов необходимо завершить все локальные задачи и проверить наличие следующего файла:
C: \ Windows \ perfc.dat».
Как данный файл связан с шифровальщиком?
Он должен быть именно по этому пути (не в поддиректориях)?
Я что-то не понял или WannaCry людей ничему не научил или вирус использует новую уязвимость?
Вот поясните, предлагают ставить обновления (см. список выше) — еще в марте они были. Так что, их MS не предлагали к автоматическому обновлению?
Пересмотрел все свои обновления — там KB4012212 ни в каких списках нет…
P.S. Кстати, ставить? не ставить? а то с этим пожаром просто стремно что ни попадя на машину тянуть :)
проверьте у себя KB4012215. это Monthly Rollup включающий также исправления ошибок
По смыслу в системе или обновляется Monthly Rollup, или накапливаются Security-only Update-ы.
есть любопытные совпадения, в моем окружении все заразились после обновления программы Medoc
есть штук 6 сообщений с утра, компании от мелких до среднекрупных, в 3 случаях зараза появилась ровно после обновления медка. Самому лично возможности посмотреть нет, несколько лет уже отошёл от администрирования, если будут какие-то ещё интересные факты отпишу. Одесса
+1 после обновления МеДок. Но по сетке не расползлось, возможно сработали патчи Майкрософт.
Пробовали штатными средствами bootrec
да и вообще не понимаю, по какой логике заражались машины…
А известно в какой момент шифруются файлы? В фоне вместе с mbr или после перезагрузки?
Комп с десяткой, десятка установлена 21 числа, апдейты накатили. Данные зашифрованы.
Похоже несколько модификаций, случай о котором знаю только шифрование mbr, но не факт, что так во всех случаях.
https://exchange.xforce.ibmcloud.com/collection/Petya-Ransomware-Campaign-9c4316058c7a4c50931d135e62d55d89
Пострадали и довольно хорошо защищенные компании.
Уа-ха-ха! Это Вы про те, что MS17-010 не могут закрыть? Думаю, если копнуть чуть-чуть, то в таких «хорошо защищенных» ms08-067 есть.
Ведь если в организациях (к примеру) 50% машин было бы на винде, а другие 50% на юникс-лайк системах, упала бы только половина машин, а не все.
Я думаю вы согласитесь, что убытки компаний, подвергшись атаке, будут огромны (и через простой, и через потерю данных). А вот если бы была возможность держать в организации парк машин с разными системами, тогда потери были бы в разы меньше. Конечно, тогда нужно, чтобы каждая система могла на одном уровне покрывать все потребности в работе, чего сейчас на десктопе трудно добиться, к сожалению. В этом и проблема.
Стоимость разработки обычно побольше стоимости восстановления из бекапов и накатки образов на отформатированные диски. Простой, конечно, но он не идёт ни в какой сравнение с повторением той же системы на другой платформе (тем более хранилище всё равно одно), а проектировать изначально 2 системы — от одного предложения руководство посчитает идиотом (за просто так потратить вдвое больше ресурсов). Простой даже в несколько дней будет гарантированно дешевле.
Простой даже в несколько дней будет гарантированно дешевле.
Вы уверены? Убытки уже оценивают в миллиарды гривен. Я сильно сомневаюсь, что при возможности нормальной взаимозаменяемости Windows другой ОС’ью в рабочей среде, поддержка стоила бы дороже всех этих убытков (и да, Приватбанк — хороший пример). Но нормальной взаимозаменяемости на десктопе нет, потому что тут монополия Windows.
Такая ситуация была бы невозможна в сфере мобильных ОС, ведь тут Android вполне себе конкурентная система для iOS и наоборот. То же самое в сфере браузеров — хром, фаерфокс и т. д.
И хоть меня продолжают минусовать, я все равно уверен, что любая монополия — зло. А если кто-то считает иначе, вспомните, что было с вэбом в эпоху монополии Internet Explorer.
Убытки одной компании? Значит создание полной копии системы для такой компании будет явно не дешевле. И не только создания — удваивается сопровождение, развивать и дорабатывать нужно тоже параллельно, учитывая что вторая система в роли догоняющей и ей за месяцы надо пройти путь в годы предыдущей, а потом ещё и наверстать эти месяцы (что увеличивает цену разработки), то ситуация ещё ухудшается. А добивают пользователи, которых нужно обучать работать с двумя системами и тонкий клиент — это не всегда выход. Более того — иногда просто невозможно перейти на другую систему (потому как написать свою часть должны производитель железа. смежники, госструктуры), тут не всегда как с рашн консул — пасибл, бат вери экспенсив, тут зачастую импасибл.
Приведу пример с браузерами. Вспомните эпоху монополии Internet Explorer — тогда тоже все сидели на нем. Ну и сайты верстались исключительно под IE, ибо 90% рынка. В итоге любая критическая уязвимость либо баг в IE (потенциально) мог запросто сломать весь вэб.
Но потом на сцену вышли фаерфокс, хром, другие браузеры, монополия была сломана и сайты уже перестали делаться под один браузер. И сейчас, если в одном из браузеров найдется критическая уязвимость либо баг, упадет только часть вэб-клиентов, но не сломается все.
P.S. Если вы понимаете, почему это нереально, то легко поймете почему и в остальных местах засилье одной системы.
причем в 99% — это linux
Уверены? Я могу ошибаться, но (насколько я осведомлен) в сетевом оборудовании огромный процент прошивок на bsd и прочих юниксах. Я надеюсь, вы понимаете, что linux != bsd/unix, хоть это и одно семейство ОС.
Так что тут как раз-таки монополии нет, есть много продуктов от разных производителей. И если уязвимость будет в одном, упадет только часть сети, а не вся сеть.
Что-то отличное от Linux встречается очень редко.
Могу вспомнить разве что VxWorks и ZyNOS. Всё-таки ядро Linux — это весьма хороший framework для написания драйверов, плюс там очень много поддерживаемых «плюшек» (сетевых протоколов, алгоритмов шифрования и прочего). А тут важен параметр Time To Market, поэтому в большинстве случаев берут именно его, ибо цена доработки под свою железку минимальна.
А с WinCE и Platform Builder мне пришлось немного пострадать, не могу сказать что мне понравилось.
FreeBSD — это прежде всего сервера, магистральное оборудование и так далее. А вот в домашних роутерах считается каждая копейка, потраченная на железо. Поэтому там засилье linux.
И если уязвимость будет в одном, упадет только часть сети, а не вся сеть.
А если это что-то типа Heartbleed, то оно затронет не только все linux-машины, а и вообще все *nix. Любуйтесь на описание OpenSSL:
Доступна для большинства UNIX-подобных операционных систем (включая Solaris/OpenSolaris, Linux, Mac OS X, QNX4[3], QNX6 и четырёх операционных систем BSD с открытым исходным кодом), а также для OpenVMS и Microsoft Windows.
http://portsmon.freebsd.org/portoverview.py?category=sysutils&portname=busybox
PS насколько я знаю, у Cisco своя ОС, у Juniper — форк FreeBSD, у Microtik — linux, у D-Link — тоже Linux. Проект OpenWRT делается на основе Linux, проект FreeNAS — на основе FreeBSD.
Браузер намного проще подобных систем, взять хотя бы документированный стандарт. Тут уже была история о реверсе процессов нефтеперерабатывающего завода, могу сказать что это ещё хороший вариант.
Нет варианта, это бесполезно как WiFi-чайник — он в себя воду не нальёт, так и тут — оборудование должно быть рядом, у него должны быть драйвера (а работа из браузера — ещё то извращение, пробовали), переделка оборудования — это нужен месяц простоя. Банки могут, многие другие — нет.
Например, давайте вспомним, на какой ОС появился первый интернет червь, использующий уязвимость, и какая ОС в то время была самая популярная в сети.
Хотя варианта с *никс нет, специфика((
В этом, собственно, и проблема — трудно заменить винду, потому она всюду стоит. А раз всюду стоит, то и случилось что случилось. Была бы возможность нормальной взаимозаменяемости систем для работы — было бы тогда несколько систем и организация бы не была заблокирована.
На маках уже давно есть ботнеты. Если компов на маках станет много и они проникнут широко в компании, ими тоже заинтересуются. Всё упирается в выгоду.
![image](https://habrastorage.org/getpro/habr/comment_images/bdc/84f/bdc/bdc84fbdcdaff624e1fac390f3d7c4c0.jpg)
В списке обновлений (смотрел через «Панель управления / Программы и компоненты / Просмотр установленных обновлений») KB4013429 отсутствует. ((
Если компьютер автоматически обновляется, почему этого обновления в системе нет?
И почему скаченное не устанавливается?
Для идентификации шифровальщика файлов необходимо завершить все локальные задачи и проверить наличие следующего файла:
C: \ Windows \ perfc.dat
есть такой файл. файл на windows server 2008 r2. сервер не перегружали. пока работает. в сети были зараженные компьютеры, отправил на переустановку системы. что можно предпринять?
https://twitter.com/ptsecurity/status/879779327579086848
И на эту тему, там более подробно описывают техническую сторону вируса:
https://gist.github.com/vulnersCom/65fe44d27d29d7a5de4c176baba45759
есть родные виндовые файлы perfc.dat лежащие в других каталогах.
для страховки можете скопировать родной файл perfc.dat в каталог c:\windows и после этого удалить всех пользователей из его прав, добавить пользователя «Все» и сделать ему запрет на все права.
В mbr баннер, но то ерунда. MFT частично шифрована на всех дисках, по остаткам MFT собираю файловую — файлы тоже часть зашифрована (почти все doc, xls, pdf), часть нет (чудом одна база 1С 7.7 DBF), jpg.
Если есть подтвержденная информация о других кошельках — дополняйте.
у пользователей создался файл «rundll32.exe»
в каком каталоге?
создавался файл perfc.bat
опять же — в каком каталоге?
спрашиваю потому, что можно заранее скопировать родной файл винды и сделать запрет на полный доступ для «Все»
![](https://habrastorage.org/web/326/ea8/bf2/326ea8bf27dc4ab981c9eb6d3a6f344e.jpg)
Потеряль сегодня весь домен(ws2008r2+w7+xp), выжыли только тонкие клиенты на линуксе и сервера на линуксе.
Стоял каспер, стояли все обновления от микрософта по 20тое мая, развернуты политики APPLocker и Software restriction policy. печаль…
П.С.
делайте резервные копии, и периодически их проверяйте.
П.П.С.
Зашифровало только диски С.
К сожалению, к установке через wsus июльских обновлений я еще не приступал.
У меня выжыло две vm (ws2008r2 и xp) и один ноутбук(w7), ноутбук просто отключили от сети, когда стало понятно что происходит.
Также умерли несколько тестовых vm которые были вне домена ws2008r2, а несколько тестовых ws2012R2 не доменных и без обновлений — выжили =\
2.AppLocker работал по белым или чёрным спискам?
3. SRP работал по всем учеткам или для адмиских было сделано исключение в настройках?
2 — AppLocker был только на терминальніх серверах, разрешался запуск по и скриптов из стандартных каталогов и несколько не стандартных.
3 — адмны были в исключениях, SRP актуален только для win7 и xp,
большая часть пользователей работает на терминальных серверах, а правами администратора на vm с ролью домен контролеров обладает только 3 человека… и тем не менее все зашифровало )))
1. Если только классические сигнатуры, то не спасло бы. Нужно чтобы был непрерывный онлайн доступ к KSN. Это настраивается в политиках.
делайте резервные копии, и периодически их проверяйте.
А вы делали? Вы прям данные все потеряли, или только работоспособность машин? SRP как настроен был?
Понимаю, прям сейчас вам, наверное, не до того, но отпишитесь, пожалуйста, как появится время.
какимто чудом не задело почтовые базы — для почтового сервера я востановил только системный диск.
Акронис диск директор способен заставить работать пораженные пк, восстанавливает разметку диска, и диском от винды нужно востановить mbr. но данные пользователей зашиврованы на дисках с и д… =\.
на терминальных серверах работали политики APPLocker, тоже разрешали запуск из «стандартных каталогов».
Киберполиция… Шиндошс… Ну, я не удивлюсь новости, что управление по борьбе с наркотиками перестало функционировать, т.к. скололось героином.
… Подобные выводы – однозначно ошибочные, ведь разработчик «M.E.Doc», как ответственный поставщик программного продукта, следит за безопасностью и чистотой собственного кода. Для этого нами были заключены договоры с крупными антивирусными компаниями...
27.06.2017
Внимание!
На наши сервера осуществляется вирусная атака.
Хех.
Что-то цитаты не гуглятся...
Ну да. Если раньше большая внутренняя локальная сеть была в порядке вещей, то сейчас такого больше нет.
Из прочитанного я сделал следующий вывод.
Вирус работает в 2 этапа:
— на первом этапе заменяется MBR
— на втором шифруются данные в разделах.
Если я все правильно понял, то вопрос в следующем — на свежих ПК и ОС в основном, если не ошибаюсь используется GPT разметка — подвержены ли риску такие ПК?
- Новость как бальзам на душу.
- Решето.
- О, мелкомягкие выпустили даже обнову на мою любимую XP, спасибо им. :)
- Шифрует только диск Ц? Млин, а в чем проблем? Переустанавливайте систему, делов-то.
Народ а подскажите, что делать в такой ситуации — сервер на Windows Server 2003. Там 1С работает через терминалку + Me.doc + файлопомойка. После информации об атаке, сервер был выключен вручную сегодня вечером, также как и интернет в офисе. Все локальные компьютеры на 7-ке до конца рабочего дня работали.
Теперь боимся включать все обратно. Как лучше поступить?
Отключить от локалки все машинки.
Просканировать машинки на предмет признаков зловреда.
Создать C:\Windows\perfc
Навернуть самые свежие нужные апдейты.
Повесить мониторинг входящих файлов извне на какой-нить линуксовый сервер на предмет опасных сигнатур.
Перекрыть ненужные порты извне на роутере
Подключить машинки к локалке
Думаю можно загрузиться с live CD какого нибудь антивируса. Windows Defender Offline не поддерживает 2003 сервер кажется, но может стоит попробовать решения от Avira или Bit Defender?
Сам планирую завтра запустить live CD и проверить что осталось на диске.
1) Развернул резервные копии на утро 27 июня, в них нет трояна, подозрение на заранее установленный зловред и часовую бомбу снимается.
2) На одном из серверов не зашифровался диск D (при этом везде C зашифрован и у него «неизвестная ФС»), однако большинство самих файлов зашифрованы без смены имён. Это видно по дате и при сравнении с файлами в бекапе.
3) На одном из серверов Медка не было вообще, при этом стояли последние обновления и были урезаны права пользователям. Так что оно распространяется не только Медком, предположение о 0-day остаётся в силе, хотя публичного подтверждения ещё нет.
4) На другой организации из всей локальной сети пострадал один рядовой компьютер и там был Медок.
Или они с учетками доменных админов на них попадают?
Только что тестировал на WIndows 10 1703 Enterprise — легко и непринужденно достала пароль доменного админа на простой машине.
Но включение этого админа в группу Protected Users в AD уровня 2012R2 решает проблему вроде бы и пароль в открытом виде Mmikatz уже не смогла достать.
Или продолжать и дальше сидеть на пороховой бочке, когда в любой момент может повториться та же ситуация с похожим вирусом.
Что для конторы ценеее — один новый сервак или информация? Если не было бэкапов — то это почти смерть конторе будет, когда ляжет ВСЯ проделанная работа.
Это была крупная компания 1000+ машин, с последними обновлениями лицензионного Windows, настроенным файрволом, порезанными правами для юзеров
Чего ж такие крупные компании не позаботились о настройке роутеров на изоляцию машин внутри локальной сети?
Им бы только доступ в интернет и порт для принтера видеть достаточно.
О блокировке почты и меседжеров я не говорил, интернет можно вообще не ограничивать, так как фаерволы и политики ограничения пользователя защищают от случайных запусков подозрительных программ.
Ограничить надо только видимость локальных машин между собой, ну и проброс портов на внешние ІР адреса под запретом.
фаерволы и политики ограничения пользователя защищают от случайных запусков подозрительных программ.
А в этот раз не защитили. УВЫ.
А от фишинговой атаки подозрительными файлами проще.
Почему вы считаете что блокировать зловреду прямой доступ к портам всех 1000+ локальных машин бесполезно?
Дело в том, что после WannaCry все у себя SMB V1 в локалке отключили. А вот с loachost он скорее всего остался открыт.
Если зловред не использует этот канал — то бесполезно
Не сегодня так завтра…
Безопасный софт (какой бы ни был, ось или сервер протокола) не тот, в котором нет дыр, а тот в котором их никогда не найдут ©.
При наличии дыр, а вероятность, что их можно найти всегда есть, в будущем блокировка портов может снизить диапазон заражения.
К примеру терминалы, банкоматы, бигборды, все в одной сети своей компании могли избежать атаки WannaCry только лишь правильной настройкой роутеров.
К примеру терминалы, банкоматы, бигборды, все в одной сети своей компании могли избежать атаки WannaCry только лишь правильной настройкой роутеров.
А если атака с сервера?
И третий раз вам скажу что имел ввиду ограничение доступа к портам между локальными компьютерами в корпоративной сети.
И отвечу на ваш вопрос. Между сервером и клиентской машиной не должно быть ни больше ни меньше открытых портов чем используются в поставленных задачах.
Между софтом терминала и сервером не должно быть никаких коммуникаций кроме запросов через внутреннее API, будь то обновление софта, либо запрос данных.
Согласитесь, вероятность найти эксплойт в неизвестном API меньше чем в протоколах ОС.
Зачем упрощать жизнь малвари позволяя, неиспользуемый в задачах, трафик между машинами?
Это как раз пример, опровергающий ваши теории.
Что касается уровня грамотности, то рекомендую глянуть на табличку. Боюсь, что вы не в курсе, что банкоматы до сих пор работают на Windows XP Embeded, соответственно у них лишь один вариант самбы — тот самый уязвимый SMB 1.0.
Так что вариантов два. Или закрываете самбу и ножками в сопровождении охранников с автоматами обходите банкоматы и проверяете у них логи. Или — скачиваете логи по этой самой уязвимой самбе. Третий вариант (свой самописный протокол) не прокатывает ровно потому. что ПО банкоматов сертифицировано.
Зачем упрощать жизнь малвари позволяя, неиспользуемый в задачах, трафик между машинами?
Ну это ваш уровень понимания, как что работает в корпоративной сети. :-)
Ответ простой — не надо усложнять жизнь пользователям. Ни своим, ни внешним. Банкомат должен чиниться быстро, а не ждать две недели, пока вы дотопаете до него ножками.
А задача борьбы с вирусами — она вторичная. В большинстве случаев ущерб от вирусов — меньше ущерба от таково вот любителя закрывать все и вся, как вы.
Те терминалы которые мне удалось изучить, обновляются безопасно, с проверкой сертификатов. Даже обычные пополнялки.
По умолчанию используют сеть VPN по 3G, при том порты по VPN все доступны.
Никто к ним не подключает ноутбуки обслуживающего персонала.
И банальным блоком портов могли избежать заражения WannaCry например.
Так что в итоге примерно треть машин в сетке — в той или иной степени серверы. И доступ к ним идет по самбе.
С точки зрения ущерба для инфраструктуры — не так важно, заражено 100% машин, или заражено 30%, но самых важных. И то и другое — критическая ситуация.
То есть ваш способ — просто не подходит для большинства конторских сетей.
Я вашу точку зрения услышал, спасибо за общение.
Думаю не стоит больше продолжать плодить ветки комментариев.
Сроки жизни принтеров? HP 5L только недавно убрали. Как там, без хост компьютера заработает?
1.Поднимается сервер печати и все принтеры заводятся на него.
2.Клиентские пк печатают через сервер печати, а не напрямую через соседа.
3. Сеть отстраиваем на разрешение серверных ресурсов ( печать и прочее) и изоляцию клиентов друг от друга.
Получаем и учёт принтеров и безопасность.
Перечитайте внимательно, что я написал. Там прямо подразумевалось, что принтеры — не входят сами в сеть, а подключены к локальным серверам печати.
А для сетевых принтеров — все хорошо, кроме единой точки отказа. Пропала сеть от комнаты к центральному офису — и всё, печатать нельзя. Хотя принтер и в той же комнате стоит.
Преимущества — внутри домена ничего не мешает работать, а максимальный урон от вируса — отдельные домены. При этом критичные машины, то есть управляющие производством, находятся в отдельных доменах и очень слабо связаны со всеми остальными. Вплоть до полной изоляции отдельных критичных доменов.
А у вас зараженный сервер печати заражает всю огромную сетку.
Централизация создает единые точки отказа. И заставляет поддерживать избыточную надежность. Один критичный процесс заставляет поддерживает всю централизованную инфраструктуру в высоконадежном состоянии. То есть с дублированием и троированием.
Кроме того, централизация — это единая точка распространения зловредов по всей системе.
Если вам высокая надежность не нужна — централизируйте. А если у вас от падения сервера может зависнуть работа тысячи магазинов по всей стране или крупного завода — децентрализация позволяет спать спокойно. Потому что падение сервера — это максимум один участок одного стана в одном цеху. А не простой всего завода длиной 10 километров.
А распространение дальше — тем же путем, через почту на адреса из адресной книги.
Ну и никаких внешних проявлений до часа «Ч», это тоже большую роль сыграло. То есть заражение было сильно раньше деструктивных действий.
В случае если все порты открыты, то заражение 1000+ машин будет осуществлено за 10 минут.
Вполне достаточно системы, которая автоматически (outpost) или вручную контролирует автозапуск. Ну и пользователя, который не жмет просто так на кнопку «разрешить».
Как минимум я эти двумя отлавливал вирусы, не известные ни вебу, ни касперу.
Насколько помню у Outpost постоянно появлялись кучи уведомлений типа «приложение хочет это и то, разрешить?» и откуда даже относительно опытному пользователю догадаться можно ли это разрешить или нет?
Outpost действительно загнулся, но есть Comodo Internet Security.
Насчет кучи уведомлений — вы правы. И для AVZ и для Outpost и для Comodo недостаточно быть «относительно опытным пользователем». Или понимать устройство windows — или действовать по принципам для домохозяйки:
— Если я устанавливаю софт — разрешить все.
— Если в первый раз запускаю — разрешить все.
— В противном случае — не разрешать ничего. Или звать специалиста.
Ну и на первом запуске — потоптаться по всем функциям.
Не знаю, у меня как-то не было вопросов, почему приложение хочет то или это. На мой взгляд — все логично. Да и сами вопросы — лишь при установке нового софта. Но это у меня больше 30 лет стажа и из них больше 20 лет с виндой.
Пусть заразится один через PDF файл, с изоляцией портов не сможет использовать никакие эксплойты, чтобы заражать других по локальной сети.
1) Один из 1000+ компьютеров компании запустил PDF файл
2) Он разослал всем из адресной книги свою копию, может кто запустит, кто нет, почитают новости и не заразятся.
3) Он прозвонил 1000+ машин и заразил все через эксплойты сетевых протоколов в течении 10 минут
Сценарий если внутри сети все порты заблокированы:
1) Один из 1000+ компьютеров компании запустил PDF файл
2) Он разослал всем из адресной книги свою копию, может кто запустит, кто нет, почитают новости и не заразятся.
3) Он прозвонил 1000+ машин, а порты то закрыты, и заразились на 1000+ машин меньше
Атака, основной целью которой было распространение шифровальщика файлов Petya.A, использовала сетевую уязвимость MS17-010, в результате эксплуатации которой на инфицированную машину устанавливался набор скриптов, которые использовали злоумышленники для запуска упомянутого шифровальщика файлов.
Вирус атакует компьютеры под управлением ОС Microsoft Windows путем шифрования файлов пользователя, после чего выводит сообщение о преобразовании файлов с предложением произвести оплату ключа дешифрования в биткоинах в эквиваленте суммы $ 300 для разблокировки данных. На сегодня зашифрованные данные, к сожалению, расшифровке не подлежат. Продолжается работа над возможностью дешифровки зашифрованных данных.
Главная сила этой атаки — в скрытности. Поэтому вряд ли вирус распространялся по локальной сети иначе, чем через почту. Атака через локалку -может быть отслежена софтом, как аномалия в сетевом трафике. Атака через почту — может быть достаточно скрытной, чтобы никакие средства анализа не зафиксировали резкого увеличения обмена.
Если у вас есть пруф, что атака шла через локалку — давайте. Если нет — то и ваше и мое мнение пока что одинаково бездоказательно.
Еще ходят слухи что все это работает похожим образом как WannaCry, и работает на последних обновлениях Windows 10. Так что у меня только слухи и подсчет вероятностей возможного сценария.
Блокировка портов внутри локальной сети обосновано безопаснее, так как в будущем могут найти похожие эксплойты.
Возможно все эти компьютеры уже были заражены до WannaCry, потом обновлены, но у хакеров остался доступ, а только теперь запустили сеть.
Вероятность того, что админы сети следят за аномальным локальным трафиком, близится к нулю.
УВЫ, крупное предприятие — это не домовая сеть для хомячков. :-)
Вероятность того, что админы сети следят за аномальным локальным трафиком, близится к нулю.
Думаете цифры продаж таких решений липовые? :-))) Начиная с некого размера сети автоматизированное слежение за аномалиями трафика становится выгодным.
Задача хорошего админа создать нестандартное окружение сети и установка на офисные машины нестандартного софта, в котором будет сложно составить сценарий заражения вирусом.
Все порты включая порт SQL сервера должны быть нестандартными, зачем делать жизнь зловредов легче?
Нестандартные порты затрудняют жизнь прежде всего стандартному софту. И не сильно мешают навороченным троянам, умеющим сканировать порты.
Если вы не понимаете в чем суть моих комментариев, то прошу задавать прямые вопросы без сарказма.
К сожалению, я суть как раз понимаю. Потому и возмущаюсь.
Вы хотите максимально затруднить жизнь пользователям, чтобы максимально облегчить её себе, любимому. А страдает прежде всего бизнес. Тот самый бизнес, который вы обслуживаете.
И вместо множества вопросов лучше бы изложили свою точку зрения сразу.
Думаю вы переоцениваете профессиональность вирусов.
В свое время 95% вирусов, что инфицировались через флешки, можно было нейтрализовать банальным созданием папки autorun.inf
Это само собой не тот уровень, но если вирус должен занимать в два раза больше кода, чтобы сканировать порты, идентифицировать протоколы и тд., а даст он только +5% больше заражений, то скорее всего этот код писать не будут.
Суть всего что я написал в том, что любая защита — это борьба с вероятностью взлома, которую можно и нужно понижать любыми способами.
Это само собой не облегчает жизнь админам, но бизнес многих компаний мог бы сейчас не страдать, если б малварь запнулась на любом нарушении сценария.
бизнес многих компаний мог бы сейчас не страдать, если б малварь запнулась на любом нарушении сценария.
Ошибаетесь. При обоих сценариях — вы не правы.
Сценарий 1. Государственная атака на Украину. Ну скажем со стороны ДНР. В этом случае перед атакой была проведена разведка и написан софт, преодолевающий существующий уровень защиты. Был бы уровень защиты другим — значит и софт был умнее.
Сценарий 2. Атака частного лица ради денег. Тут страдают слабейшие. Если их не оказывается — вирус модернизируется пока пострадавшие не станет так много, что они обеспечат нужный поток денег.
Так что в обоих сценариях — никакие принятые повсеместно меры защиты не помогут. Поможет быть в числе 5-10% наиболее защищенных из списка потенциальных жертв. Тогда есть шансы, что затронут лишь 90% менее защищенных.
Но стоит ли это понижения производительности бизнеса в полтора-два раза — это большой вопрос. На мой взгляд — не стоит.
Лучше уж IDS поставить. И доступ к интернету через proxy сделать.
- Поражены оказались и безголовые сервера, на которых не было никогда никаких вложений.
- Выше люди сообщают что восстановились из вчерашних бэкапов и там никаких следов нет.
- Также сообщают что были поражены компьютеры с только недавно установленной системой.
- Самое главное: физическое выдергивание сетевого провода спасает от заражения.
Внутри сети Петя распространяется при помощи PsExec и WMI. Учётки добывает себе Mimikatz'ем
Запретить можно все, вопрос в том, не будут ли лекарство хуже болезни.
Разницу не чувствуете? Вы описали правильно схему заражения юзер--->сервер--->>юзеры.
Когда речь идет о машине админа, начальная стадия юзер--->админ невозможна. Админская машина по определению в выделенном сегменте. Из него — можно, в него — ни-ни, только обратный трафик в рамках установленных админом тсп соединений, ицмп-ответы, юдп.
Ну, а безопасность админской машины… Если админ с головой, проблем не будет.
Прописные истины корпоративных сетей.
Политики — это файлы, которые грузятся с сервера в результате подключения к этому серверу клиента, если речь об АД. Логон и логофф скрипты для юзеров и компов — это тоже ВХОДЯЩИЕ для сервера соединения. Перемещаемые профили… и с ними проблем нет. Бывают случаи, когда исходящие соединения в сторону юзеров от сервера нужны, например всякие воип и медиа заморочки. Ну и разрешите соотв. порты и протоколы (не сталкивался с червями, работающими через SIP, например), а самбу, RPC и прочее закройте. Это все не проблема, проблема, когда в головах предрассудки.
Ну в общем услужливый дурак опаснее врага. Админ, считающий, что безопасность сети важнее работы предприятия — очень много может наворотить.
Собственно к этому и сводится наш с вами спор. Вы предлагаете меры, а у меня от них волосы дыбом лезут. Потому что в таких условиях — проще наплевать на безопасность и вынести весь нужный софт в интернет. Благо хотя бы на интернет вы не покушаетесь. В смысле проще, чем писать так, чтобы софт мог работать несмотря на ваши ограничения.
Но если у вас
В качестве кардинального решения — можно сделать все компы на ARM, SPARC, MIPS, соответственно вирусы, рассчитанные на x86 просто не пройдут. Ей богу, это (+перевод на linux) проще, чем пытаться написать систему с теми ограничениями, что вы предлагаете.
Если речь у вас об АСУТП сегменте, где бегает МЭК, живут разные скады и инженерные станции — так это отдельный разговор. Все то, что вам кажется таким страшным зверством в моих предложениях там будет преимущественно на границе этой сети (и даже большее зверство), а внутри будет достаточно высокий уровень доверия, вяжитесь там хоть по NETBEUI в кач-ве транспорта. А вот закрытый, еще раз, медленно, в направлении ОТ СЕРВЕРА к клиентам RPC, от контроллера домена в частности — ни к чему плохому не приводит, уж поверьте мне.
Или вы считаете, что на энергетическом предприятии вот так все и живет с моими «зверствами»? Все не работает и лежит примерно 365 дней в году?
И кстати, юзеры разные бывают. Те, кто не в косынку играет, а режимы технологические ведет… эээ, о каком там домене вы говорите? Какие контроллеры? Хотя, если взять сименс, например, они в своих сетевых дизайнах таки да, рисуют. Свой лес для офиса, соверешенно отдельное АД для одного сегмента технологии (допустим, чисто информационные системы), отдельное — для другого. Но это уже черезчур.
На счет что легче, а что нет, надо просто понимать работу сетевых протоколов, немного потратить времени на изучение профиля трафика в ваших сетях, как офисных, так и технологических, а дальше все будет легко и просто. И спотыкаться никто не будет.
OPC используется в двух испостасях
1) Для связи нижнего уровня (датчики, контроллеры) со средним (сервера).
2) Для связи верхнего уровня (SCADA) с тем же средним.
На среднем уровне у нас пара серверов (дублирование) и несколько десятков датчиков НУ. С точки зрения сети — эти датчики — клиентские машины. А с точки зрения технологиии OPC — наоборот, OPC-серверами являются датчики, а серверные машин СУ — клиентами.
Что касается деления на подсети — так это вы, похоже, только сейчас, после моих слов, додумались. Да, делится на подсети с разными правами в разных сетях. Но это противоречит вашей идее о запрете всего и вся, включая нужное.
Иногда выгодней на подсети не делить, а в рамках больших сетей задавать правила взаимодействия, отсекая ЗАВЕДОМО ненужное, решая попутно массу потенциальных проблем ИБ. Но видно у вас мысленный эксперимент не вытанцовывается никак. Ну да ладно, я вроде уже попрощался. Еще раз всех благ.
Где-то это хорошо и правильно. Где-то можно обойтись меньшей кровью и физику заменить логикой и фильтрами. Результат тоже в итоге бывает приятным.
А ваша идея была — сеть огромного размера, в которой никто ничего сделать не может. Ибо все закрыто. Рай для безопасника и ад для разработчика.
Вы, возразив против межпользовательской сегментации, не утверждали ведь сперва, что это неудобно, что это мешает. Вы сказали — это не решает проблемы, это бесполезно. Я показываю — это во многом решает проблему, это так же полезно, как контуры в АСУТП.
Тогда вы заявили, что это неудобно, что это сплошное запинание, а не работа. Могу предположить, что вы просто не пробовали. Ведь контуры АСУТП — не запинание? А почему? Потому что они продуманны. И не возникает задач залезать через телеком разрыв из одного контура в другой, ну не нужно это, т.к. все задачи без этого решаются.
Так же и с тем, что я описал, например с контроллером АД и запретом от него исходящих тсп к клиентам. Вы это оцениваете «в уме», на вскидку и ужасаетесь. А я юзаю и доволен как слон. Ни кидо, ни ванна, ни петя меня не задели вот ничуть, хотя вокруг — да, бушевали. И кстати, серверные админы не то что не замечают этих, по вашему диких костылей и преград, даже не догадываются о них. Вот такие жуткие неудобства. И кстати, это в других регионах нашей организации был типичный сценарий. Админ с правами лезет на контроллер по WAN копр. каналам, этакий старший брат. Заражает, далее с контроллера зараза ломится в сети регионального предприятия. У всех площадок — кроме меня. Контроллер заразили, в ЛВС — ноль вирусного трафика, этакая ДМЗ в «сердце» ЛВС, а не на периметре, как обычно. С т.з. дизайна сети это отнюдь не влан на юзера, как у провайдеров. Все средней «крупности». Но описанные фичи — сильно выручают. Уже не один год. Так что не спешите оценивать на вскидку, не распробовав. И да, инфраструктурники, кто серверами рулят, даже не замечают этого. Один или два раза пытались для теста сделать «телнет на порт» с консоли сервера к клиентам, для теста, удивились, что не прошло. Вот и все жуткие потери от подхода. Надо их еще раз оценить, может действительно так жить нельзя?
Вы, возразив против межпользовательской сегментации,
Очень прошу, не приписывать мне ваши собственные домыслы. Ещё раз повторю свой тезис,
А прописная истина — если можно обойтись без общей сети — лучше обойтись. И делать много мелких сетей. Хотя бы логически, а лучше — физически. Тогда и завод целиком не встанет и можно будет работать (а не спотыкаться на ограничениях).
А возражал я против тезиса IGHOR поддержанного вами:
Чего ж такие крупные компании не позаботились о настройке роутеров на изоляцию машин внутри локальной сети?
Им бы только доступ в интернет и порт для принтера видеть достаточно.
Изоляция машин в одной сети и разбиение на подсети с разными правами — это очень разные технологии.
На этом предлагаю обсуждение прекратить. Мне неприятно, когда мне приписывают то, что я не говорил.
Малварь или нарушитель часто сидят и ждут, когда же придёт админ и угоняют учетку.
К сожалению есть сервера которым нужны прямые доступы к клиентам. Те же сервера саппорта или централизованного распространения ПО.
Когда червь «работает» на основе 0-дай и ему вообще плевать на любые права и прочие формальности, сетевые меры становятся одними из главных и весьма эффективны. Не раз наблюдал, как их вынужденны были временно вводить на лету, разрушая процессы и работу, выбора не было. Уж лучше сеть сразу так построить, что бы большая часть этих мер сразу была заложена, а стиль работы — на эти меры рассчитан. И да, я еще раз скажу — это свойство промсетей, это свойство «корпоратов». Это не домовые сети начала нулевых и пионернеты. Это нормально и это практикуется. И вовсе не синдром вахтера. А как раз «колхозы» и лажатся по поводам, описанным в топике.
Да какая разница какое там направление соединения! Доменные политики и логон-скрипты сами по себе являются возможными каналами заражения.
P.S. Увы, прописи у нас разные. Я вам про заводы, а вы мне про офисы. Вот и получается, что истины разные.
Э… скажите, а чем принципиально отличаются две независимые сети от одной из двух сегментов, между которыми запрещено любое прохождение пакетов кроме белого списка?
Почему первое считается рабочим решением, а второе — слишком ограниченным?
Возможно, тут момент психологический. Первое решение как-то не представляется, не укладывается в голове в виде слишком мелкого дробления. Ну, две там сетки, офис и технология. А второе как бы намекает на дурную множественность, наделим, надробим. Хотя автор пишет «много мелких сетей» и тогда я уже теряюсь.
А на сегменте в 1 машину — только бумажки строчить.
Увы, беда всех безопасников — они считают, что их задачи важнее работы. Синдром вахтера это называется.
Жуткая «сегментация» получается. Прям до уровня порта. На счет докладных и мучительного ожидания. Я не знаю, что вы там в сетях у себя технологических крутите, для этого есть стенды и выделенное под это оборудование. А в нормальном продакшне все работает без особых сбоев годами, а некоторое оборудование — и без перезагрузок годами. Откуда там взяться этим докладным постоянным на какое-то нездокументированное сетевое взаимодейтсвие — не понятно. Вы тут намекали, что мол у некоторых галимый офис, а у нас тут завод, у нас тут все серьезно. Но не вяжется эта серьезность с остальными утверждениями. Где действительно все серьезно — не жалеют потратить время на то, что бы все продумать, задокументировать, нормально реализовать с этапом тестирования и юзать уже потом до следующей модернизации или замены решения. А вообще, советую вернуться к исходному тезису, что изоляция пользователей друг от друга — вещь бесполезная и еще раз прочитать аргументацию. Ответами на которую были рассуждения в духе «а вот если табуретку подставить и на шкаф еще залезть». Если не убеждает… ну, даже уж и не знаю. Наверное, тогда лучше дискуссию прекратить.
Все претензии — к вашей теоретической модели с единым сегментом на 1000 машин и запретом всего и вся. Неудобно это. Как минимум — при разработке.
А в реальности — как видно, у вас тоже в все иначе.
Мы как на разных языках разговариваем. Да, я постоянно получаю заявки на отркытие чего либо. Где? На ван каналах. К сосденим площадкам. В инет. Это нормально. В ЛВС заявок нет. Почти нет. Потому что все более-менее продумано и подходы к работе не подразумевают таких вещей, например, как шара на пользовательских машинах, пер-ту-пир между юзерами и т.д.
И ничему это не мешает. Файлы люьтся через файлообменники, пир-ту-пир бегает между воип телефонами в спец. сегментах и т.д. ЭТО ПРОЗРАЧНО. А то, что с файлового сервера невозможен коннект в пользовательские сегменты? Вот знаете, кроме меня и нескольких тех. спецов об этом никто и не знает. Это никому не мешает, кроме вирусов, конечно. Это я про описанную вами схему заражения не за секунду, а за две. Не работает она, так-то.
Ещё раз. После того как вы стали приписывать мне, то что я не говорил, мне с вами общаться стало неприятно.
Давайте наконец прекратим эту дискуссию. У меня нету цели вас перевоспитывать.
подходы к работе не подразумевают таких вещей, например, как шара на пользовательских машинах, пер-ту-пир между юзерами и т.д.
А при разработке — все это запросто бывает нужно. На пару часов, на день. Но нужно.
«Вы разработчик? Вы не сидите с этими 1000+ пользователями в одном сегменте и не испытываете проблем в своих тестах, вам обеспечена нужная свобода для маневра. Вот что тут можно не понять?»
Перевоспитывать меня не надо. Я для этого староват да и на самовоспитание потратил много времени. Мой результат мне дорого.
Всех благ.
1) Локальные шары запрещены. Думаете пользователи подорвутся писать вам докладные, что они нужны? Не дождетесь. Пользователи в лучшем случае поставят TeamViewer. В худшем — устроят шару из странички в контактике.
Понятно, что это ещё менее безопасно. Зато — не надо мучаться, писать докладные и ждать неделями ответ админа.
Так устроены любые пользователи. Узнав про запрет — они не будут жаловаться, а обойдут запрет самым быстрым для них путем. А то, что этот путь хуже отмена запрета — это не проблемы пользователей.
2) Северсталь. В нашей системе 4-5 компов. Нужна сеть. Выясняется, что время простановки всех подписей на заявке админу — две недели. Время рассмотрения заявки — два месяца. Время монтажа — полгода.
Соответственно админы идут лесом, за неделю кидается 700 метров оптики и делается своя сетка, неучтенная у админов. Работает это 15 лет без обновлений, вирусов и сбоев.
Передача данных из АСУТП в АСУ — на бумажке. Списали с экрана, напечатали на машинке, подписали и отдали. Если отделу АСУ захочется автоматизировать — пусть сам с админами мучается.
Причем у них там все так. На несколько десятков компов в отделе — только один был в официальной сети. Использовался исключительно для почты и контактиков. Ибо куча админских ограничений. Программы не поставишь, плату связи — не воткнешь.
А все рабочие компы — для админов официально не существуют. Как и сети, их соединяющие.
Боюсь, что и у вас ровно так же. Потому что людская природа — везде одинакова.
Я начинал с эникея давно, когда инет у нас был по >=4 р. за мб (а мобильного не было вовсе да и мобильники были далеко не у всех). Все, что только можно увидеть — я видел и все, что можно знать про ухищрения пользователей — я знаю. Ну или почти все, а чего не знаю — догадываюсь. Подо мной сейчас команда эникеев, которые тоже неплохо осведомлены как в результате «прямого контакта» так и благодаря всяким автоматизированным средствам. Вышестоящая над нами условная «пирамида» власти постоянно трясет нас на предмет отчетов в самых разных разрезах как по серверам, так и по раб. станциям. Они нам снятся уже. Смешно читать конец вашего поста, про админов, для которых львиная доля сети не существует.
1. Локальные шары не нужны. По факту. Большинству пользователей. Для большинства пользователей раб. станция — это тонкий клиент для доступа к удаленным сервисам, провод до ЦОДа и только. Многие тети за 50, поверьте, даже не знают и не поймут вас, что это такое — шара. Зато они виртуозно барабанят в SAPе или 1С. Для снятия стресса можно и в инет. Поискать тур для отпуска. Но есть и действительно нужные задачи. Закупки. Торги. Конкурсы всякие. Отчетность. Соц. сети не приветствуются, но люди пользуются. В итоге все нарушают и все под колпаком, любого можно притянуть. Все это понимают и никто не борзеет в целом. Компромисс и разумное сосуществование. Эксцессы редки.
Про разработчиков я уже писал. Будут у вас в вашей песочнице и шары и RPC и проч. Все, что вы заявите для вашей работы.
ТеамВьювера у офисного планктона не будет. Зарезано как по сетке так и мерами уровня хоста. Разными способоами. Обойти можно все теоретически, но это не тот случай. Слишком накладно становится, нет смысла. Можно получить вполне лигитимный удаленный доступ, если это обоснованно и нужно для работы. Никому руки целовать за это не надо будет.
Устроить шару на внешке можно. И даже некоторые сервисы будут работать. Но мало кто в здравом уме это будет делать. А попадется — лишиться работы, а может и получит юр. преследование. Это никому не надо, поверьте. За работу сейчас держатся. К тому же, если кто-то имеет доступ к чему-то действительно важному, всегда есть способ «унести». Ну, сфоткать в конце-концов экран. Особо важная инфа обычно не весит гигабайты, она компактна. Так что это совсем другой вопрос, он не решается исключительно техническими мерами никогда.
Неделями ответ от админа ждать не надо. Есть сервис деск. Админу и любому другому ит-специалисту там считается время реакции, время выполнения, есть крайние сроки, уставки временные с предупреждениями, начальники получают по почте варнинги и имеют этих самых ит-спецов за проволынивание работ. Просроченная заявка — это вообще ЧП. Собирать много подписей на заявку, включая подписи СБ нужно только на базовые, основополагающие вещи, типа завести учетку в АД при приеме на работу, обеспечить физически раб. место и т.п.
Описанные вами вопросы (типа порт открыть, что-то подкрутить) решаются посредством хелпдеска без волокиты, в рабочем порядке, по результатам экспертной оценки ит-специалиста. Как правило в течении дня, максимум двух, если это действительно надо.
ИТ службе периодически ставится оценка, независимый аудит опрашивает юзеров, анонимно. За плохую оценку итшников имеют. Ну… журят хотя бы :)
2. Ну плохо, что сказать? Только не надо экстраполировать этот опыт на всех. Хотя, если это элементы критичной инфраструктуры (ваши 5 хостов), пусть даже строго юридически это никак не оформлено, но все понимают, что по факту это оно, возможно, что будет задержка. Как минимум на то, что даже 5 компов надо нанести на схему, продумать подключение со всеми политиками так, что бы потом раз и навсегда и минимально вмешиваться. Если же речь о стенде, временном размещения «на показать» — нет проблем, мешать вам там ничего не будет.
На счет 700 метров оптики… Блин. Я фигею, дорогая редакция. Да вас там винтить надо было за самоуправство. Видно, тот еще бардак на предприятии. По пром. объекту ходить надо строго по разрешенным маршрутам-дорожкам, посторонним, которые в силу каких-то обстоятельств на объекте оказались — в сопровождении. Как можно что-то кидать куда-то вот просто так… нет слов. Наверняка и ТБ нарушали, на стремянку поди лазали, может работа на высоте была. В общем — полный сюр. Случись какая травма во время этих работ — подсудное дело для ответсвенных лиц.
Или вы плохо объяснили ваш статус на этом объекте, как вариант.
Итого, вывод — нормальных сетей корпоративных вы не видели или видели, но не рассмотрели толком. Ну, знакомьтесь, мотайте на ус, т.с. Хотя, например, все что я описал — это норма, в целом постоянно муссируется, что вот незрелые мы, не все в порядке в королевстве. Но читая вас, я начинаю т.с. другими глазами смотреть на свою работу. Прямо аж себе завидовать.
Я начинал с эникея давно, когда инет у нас был по >=4 р. за мбНу я так и думал, что вы ещё молодой и зеленый. Когда я начинал — ПЗУ прошивали. Буквально, иголкой с проводом вместо нитки. Впрочем тоже не считаю себя аксакалом рядом с теми, кто работал на БЭСМ-4 и БЭСМ-6.
То, что вы эникей — лишь усугубляет ситуацию с вашей молодостью.
Локальные шары не нужны. По факту. Большинству пользователей
Угу. Они нужны начальнику этих пользователей, когда выясняется, что Вася сломал руку и 2 недели на работу не придет. Тогда в течение 5 минут начальник дает доступ к этой шаре Пете. И ждать " Как правило в течении дня, максимум двух" никто не будет. Ибо результаты, как обычно, нужны вчера.
Если уж админ идиот и зажал все возможности сделать локальную шару — значит Вася СМСкой шлет свой пароль Пете.
А глобальные шары не нужны. При маски-шоу компы с глобальными шарами уносятся первыми. Или сгорают, если такая установка у начальства. Или связь с ними рвется в самый неподходящий момент. Или конкурирующий отдел читает документы в процессе разработки…
Хотя, если это элементы критичной инфраструктуры (ваши 5 хостов), пусть даже строго юридически это никак не оформлено,
Юридически это вообще не компы, а «система диагностики стана непрерывной горячей оцинковки и аллюминирования». Кому нужно их компами записывать? Чтобы раз в год горе-эникеи роняли всю систему? А так больше 15 лет проработало, 365 на 24.
Как настроил в 2001 году — так и работает. Без антивирусов, обновлений, на Win2K при 256 мегах ОЗУ. И главное — без эникеев, любящих своими шаловливыми ручками все поломать :-). На named pipe оно сделано, то есть на самбе. Включая дублирование архивов между серверами.
По пром. объекту ходить надо строго по разрешенным маршрутам-дорожкам, посторонним, которые в силу каких-то обстоятельств на объекте оказались — в сопровождении
Эникеев лучше вообще туда не пускать. Максимум — в бытовку. И смотреть пристально, чтобы чего не заломали.
А у нас — все инструктажи по ТБ пройдены, допуски подписаны. Да, работа с напряжением до киловольта, если что на 15 киловольт — это мы уже электриков зовем.
На счет 700 метров оптики… Блин. Я фигею, дорогая редакция. Да вас там винтить надо было за самоуправство.
Каждый судит по себе.
700 метров оптики, разумеется, кидали не мы, а субподрядчики — хозрасчетная организация с той же Северстали. Наше дело — решить откуда и куда кидать. И сделать проект по ГОСТ (точнее по ГОСТ — это тоже не мы, а родственная организация). У нас — полный официоз всего, что мы делаем. Просто админы при малейших попытках вставить палку в колеса — идут лесом.
Хотя, например, все что я описал — это норма,
Можете тешить себя иллюзиями дальше. Но пока у вас синдром вахтера — все будут ваши глупости просто обходить.
Угу, могу продолжить.
Есть госпредприятие, связанное с секретностью. Для доступа в интернет существуют специальные компьютеры, не связанные с внутренней сетью, причём флешки в них вставлять нельзя. В остальные комьютеры можно вставлять только разрешённые флешки. Стоит ли говорить о том, что все используют свои флешки, свистки и мобильные телефоны, раздающие интернет?
Аналогично помещение военной части, куда проносить даже мобильные телефоны нельзя. Думаете, это правило соблюдается? Надо работать — люди будут работать с своими ноутбуками и телефонами, а не ждать месяцами разрешений.
В университете мелкие закупки техники делаются за счёт зарплат, а не через систему закупок — получается и быстрее, и дешевле (*). И меньше геморроя с тем, что надо что-то ставить на баланс.
А ещё паутина сетей на ГЗ МГУ и многое-многое-многое. Если нельзя, но очень хочется, то можно.
(*) Особенность грантового финансирования. Плюс низкие налоги на зарплатный фонд и зачастую отсутствие НДФЛ.
Надо работать — люди будут работать с своими ноутбуками и телефонами, а не ждать месяцами разрешений.
Да, именно так. А админов, которые не понимают — посылают куда подальше.
Погранчасть ФСБ РФ. Ноут для отладки вносим под курткой, выносим — через дыру в заборе. Все это с полного одобрения капитана судна, где стоит наш прибор.
Потому что ноут, который внесли официально — солился у безопасников уже 3 недели. А у меня вся командировка на 3 дня.
Зато замечательно было второй экземпляр провозить в самолете обратно. Там стенки из 5 миллиметровой стали. Обычно надо развинчивать и объяснять, что не бомба. А тут показываю бумагу за подписью начальника части, там штамп «ФСБ РФ». пропустили сразу — кому хочется в ФСБшные секреты влезать.
Выясняется, что сделать TCP/IP соединение между модемами одного оператора с корпоративными M2M- симками — оперативно невозможно. Ни с белыми ни с серыми адресами — никак. Можно подать заявку и через месяц-два получить ответ — сделают или не сделают.
В итоге соединение от базы из Москвы идет в Питер на сервер, а оттуда = обратно в Москву, на ровер, находящийся в одной соте с базой.
Следующей испытание в Набережных Челнах, соединяться, видимо будем через Англию. Тоже при нахождении в одной соте. Ну чуть выше надежность интернета у сервера в Англии, чем у нашего конторского.
Нравится? Зато не понадобилось писать письмо за подписью гендиректора и ждать месяц разрешит ли админ или нет.
Интересно, что лет 5-6 назад на GPRS ещё было возможно соединяться напрямую (у нас так работало в Сочи). Но с тех пор админы зажали гайки, приходится извращаться.
Так что сказочки, что вы лучше всех знаете, что пользователям нужно — всего лишь проявление вашего синдрома вахтера. А реально ваши ограничения обходят. Причем обход — уменьшает безопасность ваших сетей больше, чем разрешение.
Я не вполне понимаю вашу специфику, поэтому категоричен не буду, в отличие от ваших арбузов, выкатываемых на мое поле. Но даже не вполне понимая, интуитивно догадываюсь и в целом, мне так кажется, ситуацию оценить могу. Подобного много, приходится сталкиваться. Ваш подход мне представляется непрофессиональным, мальчишество какое-то. Что значит надо? Когда это надо стало понятно и известно? Выясняли ли вы заранее эту возможность, давали ли запрос? Ну хотя бы искали выходов на спецов и устно обсуждали это? На лицо наскок, порыв, полет мысли, как, например, в вашей единственной публикации на хабре. Интересной, замечу, но вот этот подход быстро сделать, на коленке, зато ловко придумано — за версту виден. Мой жизненный опыт подсказывает, что все эти ловкачества, даже если работают какое-то время, как временное решение, дорого потом обходятся. Я вас могу понять только в том случае, если вы руководитель, гешефт которого напрямую зависит от того — сдадим, не сдадим, успеем — нет. Тогда понятно. Если вы просто спец по найму — я бы на вашем месте доложил по вертикали власти что препятствует реализации проекта, на кого надо выходить и как правильно формулировать вопрос. А дальше… Дальше пусть искомую находчивость и ловкость проявляют те, кто должен в данном случае. И это правильно. Если они поднапрягутся, найдут прямые контакты и все решат и более того, застолбят это решение, есть хотя бы какая-то надежда, что ваш костыль завтра не сломается от того, что политика оператора в очередной раз изменилась. Вы ткнете в него пальцем и скажете — он все сломал. А он скажет — друзья, а кто вам мешал сделать ПРАВИЛЬНО? Поднимет «архивы» и заявки от вас не найдет. Скажет — да они и заявку не давали. А вы ответите — а нам надо было сразу, а не через… Поверьте, из этих двух сторон вы будете выглядеть бледней. Думаете у меня подобного не возникает, только в других сферах? Опыт показывает, все решаемо или почти все. А иногда надо, ради будущего нормального и правильного функционирования систем где-то чем-то и пожертвовать, а не гнаться за победой любой ценой, типа — не даете прямо, сделаем операцию на глазу через задний проход. Хотя, на вкус и цвет. Если вы жить не можете без того, что бы не устроить везде, где работаете пионернет — это ваше право и ваш выбор. Может от того и карма у вас такая в итоге — работать с заказчиками, где вам приходится оптику подпольно кидать?
Выясняли ли вы заранее эту возможность, давали ли запрос? Ну хотя бы искали выходов на спецов и устно обсуждали это?
Если они поднапрягутся, найдут прямые контакты и все решат
Вот это и есть синдром вахтера во всей красе. Найти админа чужой компании (мегафона), выставить ему ящик водки, поваляться в ногах, и слезно попросить, чтобы он сделал то, что его менедежмент обещает:.
M2M (Machine-to-machine) — технология обмена информацией между устройствами через мобильную сеть
На практике — нету у них М2М. Потому что какой-то эникей решил, что это не нужно.
есть хотя бы какая-то надежда, что ваш костыль завтра не сломается от того, что политика оператора в очередной раз изменилась.
Нету надежды. Ибо эникей с синдромом вахтера может и интернет на М2М симке отрубить. Дескать пускай устройство голосом данные передает. Или ввести белые списки серверов, с которыми коннект возможен.
Увы, фантазии у эникеев хватит на все. А наше дело — чтобы все работало не взирая на горе-админов.
Что значит надо? Когда это надо стало понятно и известно?
Да как обычно. Позвонили потенциальные заказчики, попросили демонстрацию. Захотели, чтобы связь между устройствами была не через УКВ-модемы, а через 3G. Ну взяли и сделали. Пару дней на покупку модемов, симок и настройку — и поехали. В 5-30 выехали из Питера, в 9 утра в Москве, в 13-30 закончили, в 19-30 вернулись в Питер. Рутина.
Поднимет «архивы» и заявки от вас не найдет. Скажет — да они и заявку не давали.
А это не наша проблема, а горе-админов мегафона. У них там все звонки клиентов записываются. Тем более — корпоративных клиентов выделенному менеджеру. Федеральных операторов вообще-то четыре. Так что нет проблемы сменить оператора, если он что-то «потеряет». А уж тем более — клиентский договор.
Если вы просто спец по найму — я бы на вашем месте доложил по вертикали власти что препятствует реализации проекта, на кого надо выходить и как правильно формулировать вопрос
Предпочитаю таких увольнять. Любой спец в рамках своей компетенции — последняя инстанция. на то он и спец. А если человек любит перекладывать ответственность на другого — пускай идет работать в госконторы, там каких любят.
Может от того и карма у вас такая в итоге — работать с заказчиками, где вам приходится оптику подпольно кидать?
Да, у нас карма такая — делать то, что никто другой в стране не может. И в мире — 5-6 фирм.
Подпольно мы не работаем. Всегда и везде — полный официоз и оформление всех разрешений. Просто эникеии и прочие самодуры — идут лесом. Не так уж сложно оптику записать как «систему технологической связи» а не «локальную сеть».
В энергетике, говорите, работаете? Ну вот можете полюбоваться, что мы делали на Норильскэнерго, когда все остальные фирмы в стране отказались (это моя предыдущая работа, как и проект на Северстали).
Могу уточнить (я в норильск сам не ездил, там только мой софт пашет), но 99%, что эникеев там тоже лесом послали. Записали компы как «технологическое оборудование управлением котельной» — и все, эникеи с их самоуправством идут лесом.
Правильно, что вас на производство только под надзором пускают. А то у вас сразу руки зачешутся все переделать. А в итоге — как обычно, сломаете.
Согласно данным СБУ по вирусу Petya.A (состоянием на 21.00 по Киеву), вирус эксплуатирует уязвимость MS17-010
Там есть рекомендации и ссылки на апдейты для всех версий Windows (на украинском)
Максимальный репост
Публикуем код для разблокировки. Кто там с Win32/Diskcoder.Petya.C воюет — попробуйте.
Код: 027cc450ef5f8c5f653329641ec1fed91f694e0d229928963b30f6b0d7d3a745
(Специальное спасибо https://vk.com/popyachsa)
Я конечно понимаю, что Хабр это не ВК. Но вдруг это поможет проблеме.
Включаю Станиславского и не верю.
Итого, спустя сутки нет достоверной информации о том, как заражались машинки, нет сигнатур у крупнейших антивирусных решений, да и все статьи только на уровне предположений. Есть, скажем очень вероятная гипотеза про медок, но полностью не объясняет. Есть гипотеза про долгую скрытую атаку, но восстановленные из бекапов машины чисты. Противоречивая информация о том, помогают ли апдейты от ванна край, но похоже, что нет. Гипотеза о 0-дей уязвимости объяснит что угодно, можно валить на неё все шишки. А меж тем, вирус уже мутировал в новую версию… Риторический вопрос — что происходит? Где пресс-релизы антивирусных компаний, которые сигнатуры обновляют каждый час? (Вот только одна публикация на Хабре, да и то лишь список пострадавших собирают.) Мне кажется, это весьма серьезный удар по их же имиджу. Печально все в общем.
вирус создает задачу на ребут ОС от имени SYSTEM
Этот топик только собрал внимание на Хабре, привлек внимание к проблеме. Технически более качественный пост тут https://m.habrahabr.ru/post/331788/comments/ предлагаю туда и идти, а туи читаь обновления уже утомительно и не так конструктивно. Жду ещё топиков с техническими подробностями!
Сегодня выходной в Украине и никто не работает. Я все свои компьютеры повыключал и жду решения, которое пока неизвестно.
Цитата оттуда: «Продукты ESET детектируют Win32/Diskcoder.C Trojan, начиная с 14:30 по московскому времени, а также защищают от эксплойт-атак на сетевом уровне.»
Каким образом зловред проник в сеть с установленным файерволлом и обновлениями?
Как я понимаю, доступ по SMB извне был закрыт. Уязвимость пропатчена… Т.е. механизм внедрения WannaCry не прокатывал.
Так как тогда?
И еще: есть где детектор уязвимости? Для WannaCry ребята сваяли такой. В комментариях к https://habrahabr.ru/company/cisco/blog/328598/#first_unread есть ссылки.
А для Пети/Миши есть что-то наподобие?
https://blogs.technet.microsoft.com/mmpc/2017/06/27/new-ransomware-old-techniques-petya-adds-worm-capabilities/
У ПозитиваТ в том же ключе: по распространению использует уязвимости WannaCry + вытаскивает учетные данные локальных и доменных пользователей и пытается двигаться по сети под официальными логинами админов, укладывая даже отпаченную Windows.
Если антивирус не сдержит, то предохраниться реально сложно.
https://www.microsoft.com/en-us/download/details.aspx?id=36036 читаем много букв в PDF.
От себя: разделите админов ПК, серверов, домена. Используйте FireWall для ограничений сетевых взаимодействий, я бы ограничил взаимодействие между клиентскими ПК, соответственно скомпрометированным админом ПК нельзя воспользоваться по назначению.
Банальный рецепт, сменить пароль админам ПК, никто не дает, но временно должно помочь.
… пытается двигаться по сети под официальными логинами админов, укладывая даже отпаченную Windows.
А пароли он откуда для них берет? Каким-то образом подбирает?
Я ссылку на pdf дал, в первой версии в начале описывается проблема.
Не могу понять. По описаниям, — шифрование начинается после перезагрузки во время работы бутафорского «чекдиска». Но, вместе с тем, пишут что файлы еще до перезагрузки оказываются повреждены.
1) Версия поврежденная, но не зашифрованная
2) Версия изначальная
Открываю: примерно 50% файла изменены так, что последовательность
25 50 44 46 2D 31 2E 36 0D (%PDF-1.6)
превратилась в
6B 43 C3 11 7F B4 CE 6B C5 (kC?????k?)
остальные 50% файла в изначальном состоянии
Сам пока думаю. Если кому нужно — файлы пришлю для анализа.
Пока только один файл такой нашел. Поищу другие, потом отпишусь.
Только один такой файл нашел.
Остальные файлы изменены полностью при чем у измененных полностью еще и размер отличается на 5-17 байт. (У измененного на 50% размеры идентичны)
Основной парк — на Win10, WSUS настроен на автоматический апрув для обновлений безопасности. Похоже, что это помогает, и вирус действительно эксплуатирует MS17-010.
У шифрованных файлов меняется расширение или нет?
В сети возможно ARP-spoofing, в сети есть выход нат на вайбер.
Пострадали даже хранилище от кластера (закрытая отдельная сеть), куда уж точно никто не мог отправить что то.
В офисе остались живы в основном те компы которые не в АД, (серваки были в АД).
Правда 445 порт был закрыт.
Что я делаю не так? Или еще подождать?
Нет, я действительно удивлен.
https://bitaps.com/1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX
уже 3,5 Биткоина. Последняя транзакция 15 минут назад.
Данные можно восстановить через R-Data если только увидели сообщение и не началась зашифровка.
На клиентской машине пришлось переустановить винду, на сервер восстановили с бэкапа, предварительно исправив Mbr.
Самое подробное описание, что я видел на сегодня от МакАфи
https://securingtomorrow.mcafee.com/mcafee-labs/new-variant-petya-ransomware-spreading-like-wildfire/
Менее подробное от ПозитифТекналаджи
https://www.ptsecurity.com/ru-ru/about/news/283092/
Чуть более подробно про UPD10.
Может поможет в рвзяснениях или подтвержениях: Вчера при атаке нод32 присек за сетевую атаку дллку точное название к сожалению не записал. Но юзал он cve_2017 — 0144 eternalblue. Компьютор в єтоге все равно зашифрован. Я думая атака была на комплексе эксплоитов.
П.с я не итишник я юзер-жертва
Представьте себе ситуацию, что на рынке легковых автомобилей есть монополист А с 90% долей рынка. Более того, почти все водители учились управлять автомобилями компании А, и плохо себе представляют как управлять автомобилями марок Б и В. Но и это не самое главное — авторегистраторы, gps-трекеры, автомагнитолы и прочие автомобильные принадлежности других фирм тоже делаются исключительно под марку А, и очень редко — под А, Б и В.
И вот вас назначили менеджером по транспортному обеспечению в какой-то организации. Естественно, даже если вы симпатизируете машинам Б и В, вы будете покупать исключительно автомобили А, або при прочих равных затрат будет менше, персонал знает как их водить, а ваши gps-трекеры работают только с ними.
В один прекрасный день группа вымогателей узнает, что в автомобилях марки А есть критическая уязвимость, с помощью которой автомобиль можно заблокировать. И начинают массово блокировать автомобили, паралельно требуя выкупа от собственников за «разблокировку». У вашей организации за час заблокировали 10% автомобилей, и естественно, вы даете распоряжение вернуть все машини назад в парк и перестать использовать. Транспортное обеспечение вашей организации полностью встало до того момента, пока критическая уязвимость не будет устранена.
Если бы у вас использовались не только автомобили А, но еще и Б и В, работа вашей организации не встала бы полностью, потому что автомобили А бы вы вернули в парк, но Б и В продолжали бы работать. Но у вас автомобили только А, ибо А — монополист и вам пришлось покупать их.
Такое с автомобилями сейчас невозможно потому, что нет монополии одного автопроизводителя. Но такая ситуация возможна на ПК потому, что здесь монополия есть.
Даже если на рынке есть автомобили А, Б и В, то как менеджер по транспортному обеспечению, вы, скорее всего будете покупать какую-то одну марку(в основной массе). Потому, что так проще организовывать обслуживание и запасы запчастей. Проще и, что важнее, дешевле.
Тем более, что утверждение о монополии МС вообще спорно. В большей части компаний Windows/Linux/Unix сервера встречаются в некоторой пропорции и выполняют те роли, для которых они больше подходят. Проблема в том, что если из нескольких ваших бизнес процессов часть остановлена, то далеко не факт, что остальные могут продолжить работу. А строить систему так, чтобы ИТ обеспечение каждого бизнес процесса дублировалось несколькими гетерогенными ИТ системами очень сложно, дорого и не всегда возможно.
Вы не пробовали посчитать во сколько обойдется двойной набор ВСЕХ приложений на разные ОС, которые должны отлично уживаться друг с другом, а не на одной ос почтовый клиент работать как надо, а на другой почтовый клиент не выпущен вообще, поэтому пользователи сидят в неудобной веб-морде.
Содержание двойного набор администраторов для обслуживания разных типов ОС.
В каком проценте делить пользователей и функциональность компании на разные ОС? И насколько компании будет хорошо, если у нее отвалится не 100% машин а 50%? Или каждый внутренний сервис должен быть отказоустойчивым кластером, ноды которого работают на разных ОС.
То есть в любом случае решения для крупных компаний будут единые, и переключиться с одного решения на другое может быть дороже дня простоя.
А в итоге, остается нормальный, адекватный и дешевый способ — резервное копирование и проверка целостности.
Какой бы плохой не был Петя — через месяц мы про них уже и вспоминать особо не будем, как перестали на время вспоминать про Ваннакрай. Дырки заделываются, данные восстановятся или напишутся заново. Понятно что множество людей пострадает. Но вот ваш вариант — ну нереален.
Вы не пробовали посчитать во сколько обойдется двойной набор ВСЕХ приложений на разные ОС
Ну вэб-приложения же как-то делают и чтобы на хроме, и чтобы на фаерфоксе, и даже на ие работали (хотя в 90-е никто и представить не мог, что ие когда-то сметут с трона). И мобильные приложения сразу пишут под Андроид и iOS. Уберите монополию на десктопе — будет то же самое.
В каком проценте делить пользователей и функциональность компании на разные ОС
Это уже от стратегии и менеджмента зависит. Посмотрите на Приватбанк — у них в отделениях работают на линуксе и iOS (да, вы не ослышались, iOS). И ничего — отделения функционируют прекрасно, во время Пети упали терминалы на Windows, но все остальное работало. И как показала практика, стратегия Приватбанка здесь — правильная, а тех, кто завязал всю свою инфраструктуру на одну систему — нет.
«Уберите монополию» звучит как «давайте заблокируем», а не давайте напишем конкурентноспособный продукт.
В отделениях приватбанка работают и на андроид планшетах.
Что же касается «практика показала», так Приватбанк изначально разворачивал структуру на Линукс, потому что
а) это было дешевле в правовом поле.
б) банк развивался быстро, но он достаточно молод, у него нет множества Legacy хвостов, тянущихся из тех времен, где лицензионные системы никто не считал, Линукс администраторов в стране было меньше 100.
в) Приватбанк ориентировался на цифровой рынок, где Линукс сейчас дефакто более стабилен
Есть банки, которые сидят на Windows и не пострадали.
А вот недавние heartbleed были найдены вообще ОС-независимо.
Но вот вам неймется, вы уверены что только монополия во всем виновата.
Увы, преступники всегда найдут способ обмануть ваши законы. Максимум, что вы получите — это идентификацию жертв.
Что же тогда помешает преступникам убить владельца компа и под его именем выйти в сеть и запустить вирус?
Так что начинайте с надежной идентификации преступников в реальной жизни. Без этого все бесполезно.
Если бы не рейтинг, то подумал бы что сарказм.
1. Как средствами GP или другими удалить по сетке учетки доменного админа со всех компов?
Команда NET USER работает только с локальными учетками?
2. Как средствами GP или другими сменить по сетке пароли локальных админов?
Команда NET USER может удалять/добавлять/(де)активировать учетки, но не менять пароли.
У меня не 1000+ машинок, но все равно ноги топтать неохота. Да и пропустить могу кого-то.
Включение админов домена в группу Protected users.
https://technet.microsoft.com/en-us/library/dn466518.aspx
Включение через GPO Credential Guard
https://docs.microsoft.com/en-us/windows/access-protection/credential-guard/credential-guard
1. Как средствами GP или другими удалить по сетке учетки доменного админа со всех компов?
Для чего? У вас уже вирус в сети ходит? Смените пароль и выполните первые 2 пункта.
Когда вирус будет бродить по сети — будет поздно метаться :D Но пароль доменного админа сменил сразу.
А что насчет смены пароля локального админа по сети?
Для Win2012R2 сервера AD достаточно персоналки c 4GB оперативы за 300 долларов.
Что мешает проапдейтить Win2003 до 2012R2?
Что у вас за сервера вообще?
У нас 250 пользователей, 500 девайсов, и всего 2 виртуалки DC c 4GB оперативы спокойно справляются.
Владелец бизнеса рискует потерять ВСЕ в один день — спасут только бэкапы, которые после выполнения задания будут вынесены из здания.
Спасибо нашему правительству!!!
Да даже банально на Win10Ent Hyper-V есть, где можно поднять сервак DC.
Смысл покупать железо или поднимать виртуалки без лицензионных ОСей?
Даже не прорабатывал этот вопрос, честно говоря :) Пока что прекрасно обходились двумя железными контроллерами. Железо еще не совсем старое — лет 7 всего. ОСь с прежних серваков перенеслась без проблем.
Так что даже не знаю, как виртуалки ставятся. Не интересно было…
Единственный опыт был — поднимали XP на VMWare в другой XP, т.к. OPC-сервера разных производителей на одной машине начинали конфликтовать. Намучались с пробросом сетевых интерфейсов. Что-то больше не хочется.
Original Install Date: 4/19/2016, 3:23:43 PM
System Boot Time: 5/28/2017, 7:02:47 PM
![image](https://habrastorage.org/getpro/habr/comment_images/082/6ed/8ef/0826ed8ef674082fb842b844e3bb17c8.jpg)
Но все равно без лицензий не хорошо :)
Живите и дальше на пороховой бочке, раз за столько лет не смогли обновить свое железо — значит Вам так надо — точнее никак не надо.
А это не «без лицензии», а не активированная.
Кстати, а как она обновы получает в таком случае? Это раз.
А два — если при установке не ввести ключ, то устанавливается триальный срок.
А если ввести дублирующий, то или не прокатит или можно нарваться на неприятности.
Почему не обновляем? Регулярно обновляем. Но под конкретные объяснимые цели: 1С, геоинформационная система, сервера диспетчеризации… Т.е. всё то, с чем руководство поиграться может :). А КД — это трудно объяснимо и совсем непонятно :D
А если честно, то приходится прижиматься. Хотеть можно закупить хоть что, а план составляется в пределах выделенных лимитов :)
И пока КД не посыпятся окончательно, вряд ли под них средства выделят. Раньше в конце года перепадало немного дополнительно. А теперь и этого не будет…
А если скриптом задать новый с солью, зависящей, например, от сетевого имени компа или даты установки ОСи, то они будут разные на каждом компе.
На них тусуются десятки пользователей. От системных ресурсов эти клиенты не отделены как следует. Обычно и доменные администраторы заходят на эти сервера под своей учеткой…
Вопрос времени — когда какой-нибудь терминальный клиент получит соответствующее письмо или перейдет по ссылке :(
Украина подверглась самой крупной в истории кибератаке вирусом Petya