От bedal
К All
Дата 11.04.2016 14:24:00
Рубрики Современность; Армия; Локальные конфликты;

"Хакнуть" - очень популярно в газетах и кино.

А в реале минимум 90% хакеров и программировать-то не умеют, и в протоколах не разбираются. Всё работает на уровне password: parol
При наличии дисциплины этот канал легко перекрывается и вероятность взлома даже технически слабозащищённой сети весьма мала.
Чтобы не болеть - прежде всего помогают не дорогие сложные лекарства, а мытьё рук и гигиена.
От doctor64
К bedal (11.04.2016 14:24:00)
Дата 11.04.2016 17:14:36

Security through obscurity

>А в реале минимум 90% хакеров и программировать-то не умеют, и в протоколах не разбираются. Всё работает на уровне пассворд: парол
>При наличии дисциплины этот канал легко перекрывается и вероятность взлома даже технически слабозащищённой сети весьма мала.
>Чтобы не болеть - прежде всего помогают не дорогие сложные лекарства, а мытьё рук и гигиена.

О том что принцип "безопасность через неясность" не дает никакой безопасности люди догадались еше в 19 веке.
https://en.wikipedia.org/wiki/Security_through_obscurity
От Darkbird
К bedal (11.04.2016 14:24:00)
Дата 11.04.2016 15:45:28

Re: "Хакнуть" -...

>А в реале минимум 90% хакеров и программировать-то не умеют, и в протоколах не разбираются. Всё работает на уровне password: parol
>При наличии дисциплины этот канал легко перекрывается и вероятность взлома даже технически слабозащищённой сети весьма мала.

>Чтобы не болеть - прежде всего помогают не дорогие сложные лекарства, а мытьё рук и гигиена.

Это все верно, но как раз человеческий фактор (тот самый логин/пароль) и есть самое слабое звено
во всех этих схемах (скорость перебора паролей прямо пропорциональна температуре паяльника в сисадмине).
А уж как пишутся программы - то найти дыру тоже не кажется чем-то сверхестественным.
От Никита Каменский
К Darkbird (11.04.2016 15:45:28)
Дата 11.04.2016 16:10:23

Re: "Хакнуть" -...


>А уж как пишутся программы - то найти дыру тоже не кажется чем-то сверхестественным.

Чтобы найти дыру надо иметь соответствующие квалификацию\организацию. На данный же момент факт состоит в том, что все последние супердыры в Linux и сопутствующих компонентах успешно наличествовали и в МСВС, и в "Эльбрус". Так что это скорее американцы найдут дыры в наших потугах.
От Ustinoff
К Никита Каменский (11.04.2016 16:10:23)
Дата 11.04.2016 22:35:24

А вот возникает вполне топичный вопрос

А насколько вообще реально правительству/государству иметь свою закрытую, но при этом актуальную, ОС(операционную систему)?
Такая ОС выйдет скорее всего дороже АУГ. Если это вообще возможно.
От Никита Каменский
К Ustinoff (11.04.2016 22:35:24)
Дата 12.04.2016 02:42:41

Re: А вот...


>А насколько вообще реально правительству/государству иметь свою закрытую, но при этом актуальную, ОС(операционную систему)?

В своё время даже СССР не осилил свою нормальную ОС общего назначения.
От NV
К Никита Каменский (12.04.2016 02:42:41)
Дата 12.04.2016 11:54:39

Ну это как сказать.


>>А насколько вообще реально правительству/государству иметь свою закрытую, но при этом актуальную, ОС(операционную систему)?
>
>В своё время даже СССР не осилил свою нормальную ОС общего назначения.

VM/SP тырили в вполне актуальном состоянии (СВМ отставала от IBM-овского оригинала года на 2). Но там в стандартный дистрибутив входили исходные коды системы. Впрочем, IBM их и сейчас покупателям z/VM раздаёт, но уже через интернеты. OC EC отставала несколько больше, но MVS/SP клонировать тоже успели.

Дырок в тех системах не было особых, а сейчас их и вовсе нет.

Виталий
От Грозный
К Ustinoff (11.04.2016 22:35:24)
Дата 12.04.2016 01:55:58

Иметь-то реально, но вопрос в её функционале

Простую ОС в классическом смысле (диспетчер задач, управление памятью, ввод/вывод, загрузчик приложений, стд. библиотека) для фиксированного набора железа написать не так уж и сложно.

Закрытых ОС для спецзадач хоть пруд пруди. Например - на Марс летают и потом ползают по нему годами аппараты с закрытой WxWorks. Которая имеет очень скромные запросы к ресурсам и очень высокую надёжность, но на персональном компьютере вы от неё устанете.

А вот поддерживать новое железо и вставлять приниципиально новые типы взаимодействия с пользователем (в 70-е - видеотерминалы, в 80 - мыши, графика, окна, в 90-е 3Д графика в 00-е тачскрины и т.п.) - это сложно и дорого.


>Такая ОС выйдет скорее всего дороже АУГ. Если это вообще возможно.

Нет ничего невозможного, если не требовать несовместимого.

===> dic duc fac <===
От Никита Каменский
К Грозный (12.04.2016 01:55:58)
Дата 12.04.2016 02:43:36

...и количестве дыр\багов в ней (-)
От Грозный
К Никита Каменский (12.04.2016 02:43:36)
Дата 12.04.2016 04:09:12

если ОС - "маленькая", то её безопасностью намного проще следить

Но функциональности пользователям может не хватать.

А в "толстой ОС", понимающей все от архаичной мыши и флоппи до 4К дисплеи, ССД и мульти-тач потенциальных дыр намного больше.
===> dic duc fac <===
От Никита Каменский
К Грозный (12.04.2016 04:09:12)
Дата 12.04.2016 04:43:41

"Маленькая" сейчас это вовсе не то что 40 лет назад...


Одна только нормальная реализация полного сетевого стека - сложнейшая комплексная задача. А если к ней ещё и беспроводные интерфейсы добавить - вообще капец...
От Грозный
К Никита Каменский (12.04.2016 04:43:41)
Дата 12.04.2016 10:24:58

В сетевом стеке есть чего обрезать

Например, маршрутизация и вообще поддержка более чем одного сетевого адаптера 95% пользователей нафиг не упала.

Для серверов имеет некоторый смысл (хотя в пром. условиях маршрутизаторы и концентраторы - давно на выделенных коробочках). Для терминалов - нафиг не надо, только дыры и потеря ресурсов. Но как чемодан без ручки, тащится по всем дистрибуциям, даже ориентированным на терминалы.

===> dic duc fac <===
От doctor64
К Грозный (12.04.2016 10:24:58)
Дата 12.04.2016 12:01:28

Про VPN не слышали? (-)
От Mikl
К Ustinoff (11.04.2016 22:35:24)
Дата 11.04.2016 23:18:50

OpenSource вовремя придумали...

>А насколько вообще реально правительству/государству иметь свою закрытую, но при этом актуальную, ОС(операционную систему)?
>Такая ОС выйдет скорее всего дороже АУГ. Если это вообще возможно.

На практике берут ядро линуха и перепахивают, добавляя штуки типа мандатного доступа. Плюс переписывают криптографию и куски сетевого стека.В общем гуглите астра линукс.
От KGI
К Mikl (11.04.2016 23:18:50)
Дата 11.04.2016 23:57:03

Еще есть КПДА на базе QNX 6.5(+)

>>А насколько вообще реально правительству/государству иметь свою закрытую, но при этом актуальную, ОС(операционную систему)?
>>Такая ОС выйдет скорее всего дороже АУГ. Если это вообще возможно.
>
>На практике берут ядро линуха и перепахивают, добавляя штуки типа мандатного доступа. Плюс переписывают криптографию и куски сетевого стека.В общем гуглите астра линукс.

Небольшая конторка SWD все перепахала и сертифицировала для применений МО. А уж 4.5 QNX перепахан и сертифицирован бог знает когда. Но сейчас да везде активно толкают астру, примерно так же активно как пару-тройку лет толкали МСВС. А потом вдруг все затихло.
От Никита Каменский
К KGI (11.04.2016 23:57:03)
Дата 12.04.2016 02:40:31

Re: Еще есть...


>Небольшая конторка SWD все перепахала и сертифицировала для применений МО.

МСВС и прочие тоже сертифицированы. И ??? Все баги на месте.
От Никита Каменский
К KGI (11.04.2016 23:57:03)
Дата 12.04.2016 02:33:45

Re: Еще есть...


>Но сейчас да везде активно толкают астру,

На видео с "Арматой" видно как внутри Astra загружается...
От Elliot
К Ustinoff (11.04.2016 22:35:24)
Дата 11.04.2016 23:04:04

Re: А вот...

>А насколько вообще реально правительству/государству иметь свою закрытую, но при этом актуальную, ОС(операционную систему)?
>Такая ОС выйдет скорее всего дороже АУГ. Если это вообще возможно.

Это вообще не вопрос: никак не реально. Эффект масштаба делает такую попытку заведомо обречённой на провал: десятки-сотни миллионов пользователей коммерческих ОС (включая сюда дистрибутивы, основанные на открытом коде) обеспечат разработку ресурсами несопоставимо большими, чем способно выделить любое правительство. Свои закрытые ОСи хоть как-то осмысленны только для узких нишевых задач/устройств.
К сожалению, этот простой факт очень трудно доходит не то что до представителей госструктур, но даже и до представителей вполне себе коммерческих фирм, возле них крутящихся.

Я Вам больше скажу, построение надёжной и безопасной по критериям соответствующих структур (в первую голову ФСТЭК и ФСБ) ОС на базе линукса -- задача тоже ни разу не простая и недешёвая. "Роса" тому свидетель, в 2014-м году они активно пиарились и пытались оседлать волну импортозамещения, рассказывая, как у них вот-вот всё хорошо будет. В прошлом году, насколько я понял, активности по пропихиванию своих продуктов в сегмент работы с гостайной они по тихому свернули.
От Mikl
К Elliot (11.04.2016 23:04:04)
Дата 11.04.2016 23:23:21

Re: А вот...

>Я Вам больше скажу, построение надёжной и безопасной по критериям соответствующих структур (в первую голову ФСТЭК и ФСБ) ОС на базе линукса -- задача тоже ни разу не простая и недешёвая. "Роса" тому свидетель, в 2014-м году они активно пиарились и пытались оседлать волну импортозамещения, рассказывая, как у них вот-вот всё хорошо будет. В прошлом году, насколько я понял, активности по пропихиванию своих продуктов в сегмент работы с гостайной они по тихому свернули.

С гостайной та же астра вполне себе работает.
От Ustinoff
К Никита Каменский (11.04.2016 16:10:23)
Дата 11.04.2016 18:06:46

Re: "Хакнуть" -...

>Чтобы найти дыру надо иметь соответствующие квалификацию\организацию. На данный же момент факт состоит в том, что все последние супердыры в Linux и сопутствующих компонентах успешно наличествовали и в МСВС, и в "Эльбрус". Так что это скорее американцы найдут дыры в наших потугах.

А можно ссылку на эти супердыры? А то как-то странно смешались в кучу кони, люди. Что это за дыры которые и в софте и в железе?
От Никита Каменский
К Ustinoff (11.04.2016 18:06:46)
Дата 11.04.2016 18:14:29

Re: "Хакнуть" -...


>Что это за дыры которые и в софте и в железе?

:facepalm:

"Эльбрус" это не только процессор, но и ОС на базе Linux.
От Ustinoff
К Никита Каменский (11.04.2016 18:14:29)
Дата 11.04.2016 19:55:00

Re: "Хакнуть" -...

>"Эльбрус" это не только процессор, но и ОС на базе Linux.

А МСВС тоже имеется в виду операционка на базе Linux'a? Ах вот оно что. Ваш пойнт становится понятен хотя бы.
От Никита Каменский
К Ustinoff (11.04.2016 19:55:00)
Дата 11.04.2016 20:19:25

Re: "Хакнуть" -...


>А МСВС тоже имеется в виду операционка на базе Linux'a?

Написано русским языком "супердыры в Linux и сопутствующих компонентах". Что ещё может иметься в виду ???

>Ах вот оно что. Ваш пойнт становится понятен хотя бы.

Вы совершенно зря пытаетесь сделать хорошую мину...

*Для справки: я профессионально занимаюсь разработкой ПО уже почти 25 лет как. Включая enterprise решения на миллионы пользователей...
От doctor64
К Никита Каменский (11.04.2016 20:19:25)
Дата 11.04.2016 21:31:24

Мы все еще ждем списка супердыр, уважаемый ентерпрайз разработчик (-)
От Никита Каменский
К doctor64 (11.04.2016 21:31:24)
Дата 12.04.2016 02:33:16

А вот и Astra...


http://www.astralinux.com/home/novosti/187-bush.html

"Иинспекционный контроль"... :facepalm:
От Грозный
К Никита Каменский (12.04.2016 02:33:16)
Дата 12.04.2016 02:42:16

А что не так? патчи проверять не надо? Сразу пихать во внутрь?

Некоторые патчи фиксят одни дыры и открывают другие. Или не фиксят. А вдруг враг закладочку положил? И через 10 несвязанных на вид патчей вдруг откроется дыра только для особо интересующегося агентства.

Здоровая паранойя должна быть.

===> dic duc fac <===
От Никита Каменский
К Грозный (12.04.2016 02:42:16)
Дата 12.04.2016 02:54:47

То что вся эта "инспекция" есть фикция...


>И через 10 несвязанных на вид патчей вдруг откроется дыра только для особо интересующегося агентства.

Не надо усложнять - там совершенно обычные баги. А NSA знает десятки 0-day уязвимостей неизвестных сообществу. О том же Heartbleed'е они были в курсе практически с момента коммита. Бо в NSA работают очень умные люди, и тематические репозитории тщательно мониторят. Тогда как отечественная "инспекция" организации такого тривиального процесса не осилила.
От Грозный
К Никита Каменский (12.04.2016 02:54:47)
Дата 12.04.2016 04:04:01

ааа - в этом смысле... Тогда печально, что для галочки

Про закладочки в железе тоже не надо забывать -

http://mail.fsfeurope.org/pipermail/discussion/2016-April/010912.html

It has recently come to my attention that many in the free software
movement are unaware of a relatively new development on x86 platforms
that permanently removes the ability to use these platforms without also
continually executing signed, proprietary code at the highest possible
privilege level. All post-2013 (AMD) and virtually all post-2009
(Intel) systems contain this mandatory technology, and therefore, by
design, can never be converted to run using pure FOSS. Prior to these
changes projects such as coreboot could be used to replace the boot
firmware with a FOSS alternative.

Надо отметить, что потроха современных процессоров - очень даже мягкие и перепрограммируемые, не то, что раньше. Микрокод можно на лету перегружать. И дыра в ОС не нужна. Как минимум, можно превратить проц в кирпич. Как макимум - шпиёнить.

===> dic duc fac <===
От Никита Каменский
К Грозный (12.04.2016 04:04:01)
Дата 12.04.2016 04:34:11

Re: ааа -...


>Про закладочки в железе тоже не надо забывать -

Ну это-то вообще Terra incognita для всех этих "инспекций"... Они даже про встроенный модуль мониторинга в Getac'овских ноутах, который никто не скрывает и коий в мануале описан, не знают :facepalm:

>All post-2013 (AMD) and virtually all post-2009
>(Intel) systems contain this mandatory technology,

Да основные процессоры это последняя проблема. Софт\firmware сейчас везде. В каждой системе пачки микроконтроллеров. Чуть ли не каждый модуль памяти имеет, а скоро и каждая микросхема будет.

Storage-устройства - вообще Ад и Израиль. Вон недавно нашли спецтроян сохраняющийся на винчестерах через уязвимость в их firmware - почти все производители\модели подвержены. Кто его сделал - вот кто настоящие инспекторы...
От Никита Каменский
К doctor64 (11.04.2016 21:31:24)
Дата 12.04.2016 02:26:04

Re: Мы все...


Берёте все CVE от соответствующих версий ядра\библиотек служивших основой сборок BolgenOS МСВС\"Эльбрус" и наслаждаетесь. Начать можете прямо с Heartbleed и Shellshock...
От nonr
К doctor64 (11.04.2016 21:31:24)
Дата 12.04.2016 00:42:27

они схлорнулись

и резко стали секретными.
Ща нам огласят про LD_LIBRARY_PATH и LD_PRELOAD и сделают из этого глобальные выводы об устойчивости безопасности linux ....
Кочмар.....
От Грозный
К nonr (12.04.2016 00:42:27)
Дата 12.04.2016 02:20:13

Из свеженького - ядро 3.8+ (а это не только Линукс, но и Андроид),

дыра в управлении "связки ключей"

https://threatpost.com/serious-linux-kernel-vulnerability-patched/115923/

The vulnerability, CVE-2016-0728, lives in the keyring facility built into the various flavors of Linux. The keyring encrypts and stores login information, encryption keys and certificates, and makes them available to applications. In a report published by Perception Point, researchers said the vulnerability is a reference leak that can be abused to ultimately execute code in the Linux kernel.

===> dic duc fac <===
От Грозный
К nonr (12.04.2016 00:42:27)
Дата 12.04.2016 01:44:42

и таки да - LD_* , это ужоссс. Но вы можете продолжать верить

в супернеуязвимость Линукса ибо он произошёл от самого святого Ричи при содействии самого Кернигана из лона vi.

Дыры в Линуксе есть, и их не может не быть.

===> dic duc fac <===
От Ustinoff
К Никита Каменский (11.04.2016 20:19:25)
Дата 11.04.2016 21:06:48

Да я понял, понял... (-)
От doctor64
К Никита Каменский (11.04.2016 18:14:29)
Дата 11.04.2016 18:29:28

Ну, огласите список супердыр Линукса (-)
От Грозный
К doctor64 (11.04.2016 18:29:28)
Дата 12.04.2016 01:06:46

загрузка модульных драйверов в ядре

При навыке можно из браузера чё хош впихнуть как загружаемый драйвер и будет бежать в нулевом кольце.


Совсем недавно дырищу затыкали в ДНС - с 2008-го существует, один умник "поправил"стандартную библиотеку.

http://arstechnica.com/security/2016/02/extremely-severe-bug-leaves-dizzying-number-of-apps-and-devices-vulnerable/

И прочая, прочая...

===> dic duc fac <===