All streams
Search
Write a publication
Pull to refresh
61
0
Сергей Пугачёв @WizardBox

Пользователь

Send message
Вы читали, мой другой комментарий?

secunia.com/advisories/product/32688/?task=statistics_2011

PLEASE NOTE: The statistics provided should NOT be used to compare the overall security of products against one another.

Это не статистика для сравнивания продуктов.

A direct and fair comparison of unpatched issues for e.g. Microsoft Windows and Linux distributions is therefore NOT possible using the aggregated Secunia statistics.

С помощью данной статистики не следует сравнивать незакрытые уязвимости в Windows и Linux листрибутивах. Это невозможно.
А тот аргумент, что это не все уязвимости вообще, а только от Secunia?

Вы почитайте что они пишут про статистику:

Понимаете, за каждой установкой Solaris стоит высокооплачиваемый системный администратор. Solaris редко торчит наружу вне корпоративной сети. Уязвимости в Solaris ищут в сотни раз меньше народу и.т.д.

Тем более на графике не колличество уязвимостей, а время из устранения.

Как Вы правильно заметили, десктоп и серверный рынок — очень разные. Если поставить Solaris на десктоп и им бы вдруг стало пользоваться 90% пользователей, то да, это был бы друшлак.
Что не так:
1. По ссылкам только те уязвимости, которые нашла/посоветовала компания Secunia(Secunia advisories), а не все уязвимости вообше.

2. Вы берёте только Ubuntu, а вот в самом по себе ядере (Linux Kernel 2.6.x) 12 непатченных уязвимостей. Притом, что Windows 7 это не только ядро и там 7, а Linux Kernel только ядро и там 12.
Вы говорили:
>>Взять те же тесты css3 в последнем IE9. Или поддержку SVG. Ну там же откровенная подтасовка.

Я утверждаю, что со слов Alex Limi (Mozilla UX lead), некая компания реализует в своём браузере никому не нужную фигню, чтобы прости тесты, входящие в ACID 3, но не имеющие отношение к реальной жизни. По сути искуственно завышая свои результаты.

Limi argues that some of the tests, particularly those for SVG fonts, have no relation to real usage, and implementations in some browsers are created solely for the point of raising scores.
en.wikipedia.org/wiki/Acid3

И это компания не Microsoft, это в том числе Google. Теперь Вы как честный человек, должны перестать верить Google. Так как в противном случае это будут двойные стандарты.

Также Вы пишете:
>>Берутся не все свойства, а в основном те, которые поддерживаются ИЕ и проводится сравнение. Ну это же просто >>непорядочно.

ACID тесты составлены похожим образом. Берутся не все свойства, а те, где IE показывает себя хуже и проводится тест.
Разработчиков ACID теста, Вы теперь тоже, как честный человек, считаете непорядочными?
Про SVG в ACID, кстати, позиция Mozilla.

en.wikipedia.org/wiki/Acid3

Limi argues that some of the tests, particularly those for SVG fonts, have no relation to real usage, and implementations in some browsers are created solely for the point of raising scores

Вы позволили убедить себя, что это подтасовка. А то, что в ACID тестах всегда брали те тесты, которые хуже проходит IE, значение не имеет? А то, что в ACID тестах, некоторые тесты не соответствуют стандарту вообще, это ничего?

Знаете, Вы почти правы. Только я бы не приплетал бы сюда экологию. В ядре много можно чего исправить, не ломая совместимость, как и в компиляторе.

Знаю, что это unix-way, но я бы добавил новую функцию, для быстрого копирования. Не элегантно, лучшее решение быть должно. Но текущее решение явно не лучшее.
>>Я без понятия

Спасибо за честный ответ. Я всё понял. Может быть со временем что-то поймёте и Вы.
>>Задайтесь вопросом, а почему я так ответил на то сообщение :)

Потому, что Вы хотите всех запутать, вместо того, чтобы обосновать свой мнение, в итоге оказавшись правым там, где правым не являетесь.
А что, нет? Не напрямую же. Скажем, пишите Вы на Python. Python вызывает glibc.

Вот от изменения в glibc постадала Flash программа, написанная на ActionScript. Разработчик, писавший данную программу про glibc мог даже не знать.
>>habrahabr.ru/blogs/infosecurity/112801/#comment_3615049

Вы ответили:
«Вы внимательно читали мои сообщения?»

Вместо этого было бы проще написать «да» или «нет».

Так есть ли открытые уязвимости или нет?
Нет, лучше Вы гуглите.

Ответьте на конкретный вопрос: «В Linux сейчас нет ни одной не закрытой ошиби безопасности», так? Да или нет?
И кстати, три ссылки, говорите:

http://www.oszone.net/13317/Linux
Как оказалось, уязвимость появилась в ядре еще в 2008 году. Крупные корпорации уже направили просьбу разработчикам дистрибутива RHEL устранить проблему, но они пока этого не сделали. Разнообразные модифицированные версии эксплоита до сих пор являются работоспособными.

Анонимы 4chan обнаружили 0day уязвимость в ядре Linux
Рассказали журналистам, что в ходе последних атак они использовали 0day уязвимость в ядре Linux. По словам хакеров подробности уязвимости будут отправлены Линусу Торвальдсу, но до публикации патча группа будет использовать свой эксплоит для взлома сайтов своих противников. Так же до официального исправления никакого разглашения информации о 0day уязвимости всем остальным заинтересованным не будет.

И да, самое быстрое:
http://www.anti-malware.ru/news/2010-10-22/3161
Она была обнаружена еще 13 октября; 19 числа того же месяца было выпущено обновление, исправляющее выявленную ошибку.
>>Вот вам ну никак было открыть новую вкладку с Гуглом, да?

Ok. Все подтверждения моих слов ищите в Google. Открывайте вкладку сами и ищите. Это просто.

>>У Microsoft нет и быть не может статистики
У Microsoft нет и быть не может статистики, что в других ОС уязвимости закрываются за день.

Чувствуете разницу? Не вообще статистики, а статистики подтверждаующей Ваши слова. Потому, что такой статистики в нашей вселенной быть в принципе не может.

>>Первые три ссылки по соответствующему запросу
Я прошу статистику, а Вы мне 3 ссылки на конкретные случаи.

Вы хотите сказать, что в Linux в данный момент нет ни одной обнаруженной, но не закрытой ошибки безопасности?

Итак, я хочу запустить один и тот-же C++ код на Android и RedHat. Нужен 1 исполняемый файл на все платформы. Возможно?
Начнём с того, что в Android у нас Bionic — библиотека стандартных функций, несовместимая с libc и не являющаяся на 100% POSIX совместимой
>>Когда вы пишите «С времён XP всё с безопасностью стало лучше», мне тоже верить вам на слово? :)

Нет. Первая попавшаяся ссылка в Google:

www.windowsitpro.com/article/interoperability/microsoft-issues-one-year-vulnerability-report-for-windows-vista.aspx

Сравниваем XP и более поздние версии: Vista had 36 fixed vulnerabilities. This compared to 65 for Windows XP.

А вот у Вас ни одно заявление АБСОЛЮТНО ничем не подкрепляется.

>>Ни у меня, ни у вас, нет актуальной статистики по данному вопросу. Она наверняка есть у Microsoft, но только вот почему-то они молчат ;)

У Microsoft нет и быть не может статистики, что в других ОС уязвимости закрываются за день. Вы это заявляете — Вы и доказывайте. А так Ваши заявления ни на чём не основываются.

Тоесть у Вас вообще нет ничего, подтверждаюшего Ваши слова. Ok. Спорить дальше бесполезно.
А на Windows по-другому? Всё то же самое. И если Вы теперь скажете, что на Windows 95% вирусов — не вина пользователя, то это будут двойные стандарты в чистом виде.

Information

Rating
Does not participate
Location
Москва, Москва и Московская обл., Россия
Registered
Activity