Comments 72
Вроде синий экран на MSG Sphere в Лас-Вегасе - это мем из 2023 года.
Да, похоже прошлогодний мем, на котором крупнейший дисплей MSG Sphere в Лас-Вегасе показывает «синий экран смерти» оказался пророческим.
Вы стали жертвой обмана и продолжаете его защищать? Ваша "фотография" - хреновый фотошоп. Вам указали на ее источник. Ну и кроме того сфера явно не будет показывать полноэкранный бсод ни в каких условиях, пока его специально на ней не нарисуют, потому что управляется она не одним сервером на windows. Очевидно, в случае проблем сфера будет просто выключена.
Я правильно понял, что какое то левое ПО которое по криворукости админов еще и само обновляется без контроля, завалило инфру с виндовс, а виноват опять микрософт?
в глазах большинства людей это так и есть. не работает не кривое ПО, не работает вся ОС вместе с остальными ПО.
если ты проколол колесо в машине, то не едет не колесо, не едет вся машина вместе с багажом и пассажирами в ней. и опаздывают в аэропорт все, а не проколотое колесо.
в глазах большинства людей это так и есть. не работает не кривое ПО, не работает вся ОС вместе с остальными ПО.
В глазах неайтишника, с айтишным образованием 30-летней давности, ОС - это супервайзер, выделяющий прикладному ПО свою камеру, распорядок дня и разрешения на взаимодействие с другим заключенным прикладным ПО. И одной из приорететных задач этого супервайзера является поддержание порядка, чтобы буйный заключенный мог выстрелить только в собственную ногу, максимум ногу ближайшего сокамерника или охранника, а не развалить тюрьму до основания неловким движением руки.
а виноват опять микрософт?
в том что виндовс это в основном про повторить{убрать кнопку пуск - вернуть кнопку пуск}N раз, и прочие UI-шные и малварные вы$еры, а не функциональность и надежность системного ПО.
чтобы буйный заключенный мог выстрелить только в собственную ногу, максимум ногу ближайшего сокамерника или охранника, а не развалить тюрьму до основания неловким движением руки.
Ничто не мешает кривому драйверу развалить linux. Вот вообще ничего. У меня на одном ноутбуке включение Ubuntu начиналось с переустановки драйвера nvidia через режим восстановления.
Увы, вашим требованиям не удовлетворяет ни одна ОС. От злонамеренного (или просто баганутого) драйвера могут защитить только микроядерные ОС (которых на десктопах попросту нет), а от баганутого антивирусного ПО защиты нет даже у них.
Тут всё пояснено.
Да, к сожалению много где в новостях так и пишут: "сбой у Microsoft"
Так, вы вот сейчас говорите, что если в ОС, предпологающей установку в критически важные секторы бизнеса "какое то левое ПО" способно вызвать панику ядра в этом совсем нет никакой вины разработчиков этого ядра?
А давайте поотвечаем на вопросы?
1) Почему вообще для windows нужен сторонний софт, разработанный для повышения безопасности?
2) Почему сторонний софт может вызвать BSOD?
3) Почему для его починки требуются ручные операции?
Я не снимаю вины с разрабов Crowdstrike, но вина разрабов MS тут явно тоже есть.
Для любой другой ОС любой компонент ядра, будь он родной или привнесенный другим софтом вызовет все то же самое. Насчет починки руками не уверен, но вероятность этого тоже высока.
Не на любой ОС вообще возможно внедрить сторонний компонент ядра. В VxWorks вообще нет модулей (насколько я знаком).
Но главный вопрос - зачем вообще возникла необходимость такого софта - вы проигнорировали.
Если там нет модулей - значит, все модули вкорячены слинкованы статически. Это никак не мешает вкорячить туда при желании модуль антивируса.
Но тогда вы потеряете сертификацию. И не сможете применять такое поделие в местах, где сертификация обязательна.
Но вы можете ставить "пользовательский" софт без потери сертификации. Да, такой софт не позволит вам работать с железом, но его обновление и не введёт ядро в панику.
Тут как в программировании - есть практики безопасные, а есть небезопасные. И плох тот фреймворк, который для построения рабочей системы требует небезопасных практик.
Ничто не мешает гипотетической антивирусной компании сертифицировать модифицированное ядро, раз уж они нацелились на VxWorks и те области, где сертификация обязательна.
И зря вы так сильно надеетесь на сертификацию, ведь обсуждаемая проблема частично ей и вызвана. Наверняка была куча систем, где антивирус нафиг не сдался, но ради какой-нибудь сертификации был поставлен.
Если посмотреть на сообщение компании виновника, то проблема в обновлении для Windows, хосты на Mac и Linux не задеты, уже подразумевает наличие того же самого софта на соседних платформах. Этого достаточно в качестве ответа или пойдем дальше и начнем думать о других ОС?
Вы всё время видите в моём ответе выгораживание linux, про который я не написал ни буквы. Уверен, что подобного масштаба решения на Linux точно также подвержены подобным ошибкам, ибо человек не идеален, и даже самый эффективный механизм тестирования не является 100% гарантией безопасности.
Но я повторю свой тезис: если ОС, которая продаётся как энерпрайз решение и имеет механизмы разделения рингов, требует для своей эксплуатации сторонние системы, повышающие её безопасность, значит что либо сторонние системы не нужны, либо исходная ОС недостаточно безопасна. Особенно, если требуются системы уровня модулей ядра. Вот тут я и вижу вину MS: за 30+ лет существования серверных ОС для их безопасного функционирования регуляторы до сих пор требуют ставить что-то вроде антивирусов. Да ещё и с модулем уровня ядра.
Антивирусы на серверах чаще ставятся не для защиты серверов, а для проверки трафика через эти сервера (такое ПО есть и для Linux). Да и вообще, я не совсем понял, почему вы привязались к тому, что это был сбойный АВ. Если бы накосячили разработчики драйвера для какого-нибудь оборудования (например, RAID-контроллера, драйвера "нестандартной" ФС, видеоадаптера - конечно, не на сервере), что-то бы изменилось?
Нет я не вижу, я просто хочу сказать, что подобные решения есть и требуются всем остальным системам не меньше, чем тому же МС. Просто в данном случае не повезло именно МС.
Мы можем много рассуждать о том, почему оно надо, если ОС супер безопасна. Но по факту у нас есть 3 основных системы: Окна, Пингвин и Яблоко, все три не идеальны и для их большей защиты нужны дополнительные средства. И так уж вышло, что для эффективной работы тех самых средств, обычно нужен уровень доступа нулевого кольца.
И сбой в нем ведет именно к тому, к чему привел окна пару дней назад.
Почему сторонний софт может вызвать BSOD?
Почему сторонний софт может вызвать Kernel Panic?
Почему для его починки требуются ручные операции?
Эээээм... Вы с ОС на основе ядра Linux когда-нибудь работали?
Я регулярно вызываю kernel panic, даже не разрабатывая модули. Но я сознательно делаю вещи, которые считаюстя небезопасными.
Установка софта, способного вызвать панику ядра (синюю, зелёную или черную - не важно) это не безопасно. И задача разработчиков ОС сделать так, чтобы для критически важных серверов такой софт был не нужен. Если такой софт не просто существует, а ещё и входит в список требований для работы с финансовыми или личными данными это явно проблема ОС, так быть не должно.
Установка софта, способного вызвать панику ядра (синюю, зелёную или черную - не важно) это не безопасно
Откажемся от установки любых драйверов оборудования или модулей ядра? Чисто статистически в один далеко не прекрасный день...
Если такой софт не просто существует, а ещё и входит в список требований для работы с финансовыми или личными данными это явно проблема ОС, так быть не должно.
Я знаю контору, где по решению руководства до февраля 22 было обязательно использование ClamAV на пользовательских машинах с Ubuntu и на серверах (потом, когда ClamAV закрыл обновления, они перешли на Astra и Kaspersky EndPoint Security). Должен ли я сделать какие-то выводы о проблемах с ОС?
Откажемся от установки любых драйверов оборудования или модулей ядра? Чисто статистически в один далеко не прекрасный день...
Уже давно в критически важных местах люди отказались. Иметь зоопарк из разного оборудования и накатывать винду инсталлятором, а не через PXE в парке из унифицированых машин это путь в ад. Для серверной части вообще пользуются виртуалками, где ни то что модулей, даже программ не устанавливают, всё разворачивают из образов. Следующий шаг - контейнеры и полная независимость от ОС. Попробуй поставить в контейнер другой модуль ядра!
Должен ли я сделать какие-то выводы о проблемах с ОС?
Либо о проблемах в ОС, либо о проблемах в руководстве конторы. Но какие-то выводы сделать следовало, да. Я, конечно, могу и в данном случае предположить, что необходимость в Crowdstrike продиктована не проблемами ОС, а лоббированием его руководства, обязавшего поставить этот софт во все аэропорты, но это звучит очень уж конспирологично, и мне не хочется так думать.
необходимость в Crowdstrike продиктована не проблемами ОС, а лоббированием его руководства, обязавшего поставить этот софт во все аэропорты, но это звучит очень уж конспирологично, и мне не хочется так думать.
Она обусловлена наверняка тем, что есть решение на уровне руководства - необходима защита, у нас же тут критическая инфраструктура, вокруг хакеры, крекеры, спамы, куки, ну и корпоративные стандарты (читай: а вот у конкурентов...), best practices и мнение экспертов. Объявлен тендер, его выиграл CrowdStrike, например, предложив минимальную стоимость. Заключен контракт, уплОчено - извольте использовать. И никакой конспирологии тут нет, обычные корпоративные дела.
Я все-таки не понял, на какие проблемы с ОС вы напираете - можно конкретно (не общие слова, а прям конкретно - такая-то и такая-то).
Проблемы:
0) необходимость повышения безопасности за счёт установки стлороннего софта.
1) Возможность ставить модули ядра для чего-то, кроме драйверов железа.
2) Недостаточная система изоляции пользователей
3) Недостаточность системы обновлений. Её создали для того, чтобы закрывать уязвимости. Если она их закрывает - антивирус уровня ядра не нужен.
0) необходимость повышения безопасности за счёт установки стлороннего софта.
В общем случае при грамотном администрировании системы такой необходимости нет. У меня на старом ноутбуке не стояло антивируса значимое время (около двух лет), последующая проверка показала, что он чист, потмоу что я грамотно все настроил. Неграмотно же настроить можно и Linux. Кстати, если на Linux все так хорошо, непонятно, зачем существует значимое количество АВ для него (ClamAV, Kaspersky, NOD, Bitdefender, да тот же CrowdStrike) - что вы об этом думаете? Каково умозаключение по вашей логике?
1) Возможность ставить модули ядра для чего-то, кроме драйверов железа.
Стесняюсь спросить, когда на Линуксе ставятся, например, "драйверы" ФС (типа NTFS от Paragon), которые тоже на уровне ядра - это ДРУГОЕ?
2) Недостаточная система изоляции пользователей
Откуда вы это взяли?
3) Недостаточность системы обновлений. Её создали для того, чтобы закрывать уязвимости. Если она их закрывает - антивирус уровня ядра не нужен.
Вы знаете, что такое 0-day и для чего современным АВ нужен модуль эвристики? К тому же, не все вирусы используют уязвимости, например локер может зашифровать только директорию с документами пользователя, урон будет колоссальным, но никакая уязвимость при этом не эксплуатируется и необходимости у malware лезть вглубь ядра и его окружения нет. А вот АВ должен тут работать в ядре, чтобы перехватить соответствующие вызовы и чтобы прибить локер (потому что одна программа в юзерспейсе не может ничего сделать с другой).
В общем случае при грамотном администрировании системы такой необходимости нет.
Выходит, те, кто решил поставить сабж на системы в аэропортах дураки? Хотелось бы думать, что нет.
Стесняюсь спросить, когда на Линуксе ставятся, например, "драйверы" ФС (типа NTFS от Paragon), которые тоже на уровне ядра - это ДРУГОЕ?
Это огромная проблема Linux, и, нет, это не другое, это тоже очень хреново. Не стоит совать такое в прод.
Откуда вы это взяли?
Необходимость работы антивируса из-под ядра обосновывают тем, что прав администратора недостаточно, и вирусы легко выходят из прав пользователя.
А вот АВ должен тут работать в ядре, чтобы перехватить соответствующие вызовы и чтобы прибить локер (потому что одна программа в юзерспейсе не может ничего сделать с другой).
АВ для этого должен работать из-под суперпользователя, и дёргать интерфейсы ядра. Находиться в пространстве ядра для конкретно этого кейса совершенно не обязательно. А вот если у тебя локер работает в суперпользователе, то тут уже вопрос: как он туда попал? И система уже скомпрометирована.
Необходимость работы антивируса из-под ядра обосновывают тем, что прав администратора недостаточно, и вирусы легко выходят из прав пользователя.
Да нет же. При чем тут выход вирусов из-под прав пользователя? Я же вам уже сказал, что для того, чтобы хомяк зашифровать, локеру не нужны никакие сверхправа. А антивирусу нужны, потому что он должен перехватывать вызовы из юзерспейса и иметь возможность выгружать программы из памяти, на что программы юзерспейса прав не имеют (и это правильно, иначе мы вернемся к состоянию Win95, когда одна завалившаяся или сглючившая программа обваливала другие и систему как домино).
Про остальное я вам уже объяснял.
антивирусу нужны, потому что он должен перехватывать вызовы из юзерспейса и иметь возможность выгружать программы из памяти, на что программы юзерспейса прав не имеют
При наличии разных средств контейнеризации - не очевидно. Саму пользовательскую программу - в контейнер, за контейнером управляем и следим снаружи, но не суперпользователем.
Мы про контейнеры и не говорим. Мы говорим исключительно о том, почему антивирусам нужны привилегии Ring 0.
Контейнер - штука полезная, но никак не помогает перехватывать системные вызовы, да ещё и делая это быстро.
Можно и суперпользователем, главное не из пространства ядра.
Программы из-под суперпользователя ядро рушить не должны.
необходимость повышения безопасности за счёт установки стлороннего софта.
Наличие у этого самого CrowdStrike версии для Linux и MacOS прозрачно намекает, что необходимость повышения безопасности за счет установки стороннего софта у кого-то да есть на любой системе.
Ну так и на винде для критически важных серверов антивирь не нужен. При условии что этот сервер администрируется исключительно с PS/2 клавиатуры и мыши.
А теперь найдите такие серверы в современном мире...
Для «критически важных серверов» может и не нужен, а для рабочих мест пользователей может понадобиться. А условному пассажиру авиакомпании в целом всё равно: не работает сервер или компьютер сотрудника — он всё равно не может оформить посадочный талон.
Рабочее место оператора аэропорта это очень критически важный сервер. И если бы изоляция пользователя этого оператора от систем ядра ОС была бы идеальной, то такой софт был бы не нужен.
Во-первых, это не сервер. Во-вторых. идеального ПО не бывает, а если в системе может быть найдена уязвимость, то она может быть проэксплуатирована. Потому-то антивирусы и ставят.
Как вы пишите сами, идеального ПО не бывает. Это же верно и для антивирусов. Ошибка в антивирусе, который имеет модуль в ядре, это так же страшно, как и ошибка в системе. Ставя антивирус, ты уменьшаешь шанс эксплуатации ошибок в ОС, но увеличиваешь шанс сбоев, связанных с антивирусам. Мне кажется, что ошибки уровня ОС должен решать механизм обновлений ОС. А для решений проблем в юзерспейсе должна быть программа, работающая в юзерспейсе.
Я не против антивирусов как таковых. Я пишу про то, что возможность и необходимость ставить модуль уровня ядра для антивирусов - это дыра в дизайне ОС, и эта дыра создаёт проблем больше, чем решает. Как антивирус так и потенциальный шифровалщик/ботнет может поместить себя в уровень ядра и делать с системой всё, что хочет. Так быть не должно. И подписи драйверов помогают только частично (хотя введение этой границы было огромным шагом вперёд для безопасности!).
Тем временем, двумя неделями раньше: https://access.redhat.com/solutions/7068083
а виноват опять микрософт?
Технически да, ведь разрешает ставить всякое левое по с высокими привилегиями. Вот на андроид или ios такое невозможно в принципе (а линукс в этом плане еще более дырявый).
Индийские санкции. /s
а у тех, у кого пиратское, тоже синий экран?
А ведь говорили деды: антивирус — это разновидность ботнета.
Знатоки Линукса, объясните мне пожалуйста, почему крупнейший дисплей MSG Sphere в Лас-Вегасе работает под управлением Windows? Это потому что его хозяева нищие, или потому что Линукс на такое в принципе не способен? Нищие - потому что у них не хватает денег нанять специалистов такого уровня, чтобы они смогли запустить это на Линуксе.
У NVidia под линукс дрова так себе, да еще и графические подсистемы (обе) в linux так себе. То есть, сделать можно. Но путь будет усеян граблями, а на Windows все более или менее отработано уже.
Но вообще-то, нигде в открытых источниках я не нашел информации о том, на какой ОС это работает. Фото — фейк. А так как там не один комп, а достаточно высокотехнологичный кластер со всякими bluefield, то это аргумент в пользу того, что там может быть не Windows.
Фотошоп? Насколько я понимаю технологию, там на сфере синий экран может быть только на каком-то кусочке сферы. Так как это не один большой экран подключенный к одному компьютеру.
импортозамещение: не ешь уже этих мягких французских булочек, а выпей чаю! :-)
И все это на фоне запрета Касперского в США. Вышло вот такое кривое обновление. Совпадение?))
Цифровой апокалипсис сегодня