От Ustinoff
К Никита Каменский
Дата 11.04.2016 18:06:46
Рубрики Современность; Армия; Локальные конфликты;

Re: "Хакнуть" -...

>Чтобы найти дыру надо иметь соответствующие квалификацию\организацию. На данный же момент факт состоит в том, что все последние супердыры в Linux и сопутствующих компонентах успешно наличествовали и в МСВС, и в "Эльбрус". Так что это скорее американцы найдут дыры в наших потугах.

А можно ссылку на эти супердыры? А то как-то странно смешались в кучу кони, люди. Что это за дыры которые и в софте и в железе?
От Никита Каменский
К Ustinoff (11.04.2016 18:06:46)
Дата 11.04.2016 18:14:29

Re: "Хакнуть" -...


>Что это за дыры которые и в софте и в железе?

:facepalm:

"Эльбрус" это не только процессор, но и ОС на базе Linux.
От Ustinoff
К Никита Каменский (11.04.2016 18:14:29)
Дата 11.04.2016 19:55:00

Re: "Хакнуть" -...

>"Эльбрус" это не только процессор, но и ОС на базе Linux.

А МСВС тоже имеется в виду операционка на базе Linux'a? Ах вот оно что. Ваш пойнт становится понятен хотя бы.
От Никита Каменский
К Ustinoff (11.04.2016 19:55:00)
Дата 11.04.2016 20:19:25

Re: "Хакнуть" -...


>А МСВС тоже имеется в виду операционка на базе Linux'a?

Написано русским языком "супердыры в Linux и сопутствующих компонентах". Что ещё может иметься в виду ???

>Ах вот оно что. Ваш пойнт становится понятен хотя бы.

Вы совершенно зря пытаетесь сделать хорошую мину...

*Для справки: я профессионально занимаюсь разработкой ПО уже почти 25 лет как. Включая enterprise решения на миллионы пользователей...
От doctor64
К Никита Каменский (11.04.2016 20:19:25)
Дата 11.04.2016 21:31:24

Мы все еще ждем списка супердыр, уважаемый ентерпрайз разработчик (-)
От Никита Каменский
К doctor64 (11.04.2016 21:31:24)
Дата 12.04.2016 02:33:16

А вот и Astra...


http://www.astralinux.com/home/novosti/187-bush.html

"Иинспекционный контроль"... :facepalm:
От Грозный
К Никита Каменский (12.04.2016 02:33:16)
Дата 12.04.2016 02:42:16

А что не так? патчи проверять не надо? Сразу пихать во внутрь?

Некоторые патчи фиксят одни дыры и открывают другие. Или не фиксят. А вдруг враг закладочку положил? И через 10 несвязанных на вид патчей вдруг откроется дыра только для особо интересующегося агентства.

Здоровая паранойя должна быть.

===> dic duc fac <===
От Никита Каменский
К Грозный (12.04.2016 02:42:16)
Дата 12.04.2016 02:54:47

То что вся эта "инспекция" есть фикция...


>И через 10 несвязанных на вид патчей вдруг откроется дыра только для особо интересующегося агентства.

Не надо усложнять - там совершенно обычные баги. А NSA знает десятки 0-day уязвимостей неизвестных сообществу. О том же Heartbleed'е они были в курсе практически с момента коммита. Бо в NSA работают очень умные люди, и тематические репозитории тщательно мониторят. Тогда как отечественная "инспекция" организации такого тривиального процесса не осилила.
От Грозный
К Никита Каменский (12.04.2016 02:54:47)
Дата 12.04.2016 04:04:01

ааа - в этом смысле... Тогда печально, что для галочки

Про закладочки в железе тоже не надо забывать -

http://mail.fsfeurope.org/pipermail/discussion/2016-April/010912.html

It has recently come to my attention that many in the free software
movement are unaware of a relatively new development on x86 platforms
that permanently removes the ability to use these platforms without also
continually executing signed, proprietary code at the highest possible
privilege level. All post-2013 (AMD) and virtually all post-2009
(Intel) systems contain this mandatory technology, and therefore, by
design, can never be converted to run using pure FOSS. Prior to these
changes projects such as coreboot could be used to replace the boot
firmware with a FOSS alternative.

Надо отметить, что потроха современных процессоров - очень даже мягкие и перепрограммируемые, не то, что раньше. Микрокод можно на лету перегружать. И дыра в ОС не нужна. Как минимум, можно превратить проц в кирпич. Как макимум - шпиёнить.

===> dic duc fac <===
От Никита Каменский
К Грозный (12.04.2016 04:04:01)
Дата 12.04.2016 04:34:11

Re: ааа -...


>Про закладочки в железе тоже не надо забывать -

Ну это-то вообще Terra incognita для всех этих "инспекций"... Они даже про встроенный модуль мониторинга в Getac'овских ноутах, который никто не скрывает и коий в мануале описан, не знают :facepalm:

>All post-2013 (AMD) and virtually all post-2009
>(Intel) systems contain this mandatory technology,

Да основные процессоры это последняя проблема. Софт\firmware сейчас везде. В каждой системе пачки микроконтроллеров. Чуть ли не каждый модуль памяти имеет, а скоро и каждая микросхема будет.

Storage-устройства - вообще Ад и Израиль. Вон недавно нашли спецтроян сохраняющийся на винчестерах через уязвимость в их firmware - почти все производители\модели подвержены. Кто его сделал - вот кто настоящие инспекторы...
От Никита Каменский
К doctor64 (11.04.2016 21:31:24)
Дата 12.04.2016 02:26:04

Re: Мы все...


Берёте все CVE от соответствующих версий ядра\библиотек служивших основой сборок BolgenOS МСВС\"Эльбрус" и наслаждаетесь. Начать можете прямо с Heartbleed и Shellshock...
От nonr
К doctor64 (11.04.2016 21:31:24)
Дата 12.04.2016 00:42:27

они схлорнулись

и резко стали секретными.
Ща нам огласят про LD_LIBRARY_PATH и LD_PRELOAD и сделают из этого глобальные выводы об устойчивости безопасности linux ....
Кочмар.....
От Грозный
К nonr (12.04.2016 00:42:27)
Дата 12.04.2016 02:20:13

Из свеженького - ядро 3.8+ (а это не только Линукс, но и Андроид),

дыра в управлении "связки ключей"

https://threatpost.com/serious-linux-kernel-vulnerability-patched/115923/

The vulnerability, CVE-2016-0728, lives in the keyring facility built into the various flavors of Linux. The keyring encrypts and stores login information, encryption keys and certificates, and makes them available to applications. In a report published by Perception Point, researchers said the vulnerability is a reference leak that can be abused to ultimately execute code in the Linux kernel.

===> dic duc fac <===
От Грозный
К nonr (12.04.2016 00:42:27)
Дата 12.04.2016 01:44:42

и таки да - LD_* , это ужоссс. Но вы можете продолжать верить

в супернеуязвимость Линукса ибо он произошёл от самого святого Ричи при содействии самого Кернигана из лона vi.

Дыры в Линуксе есть, и их не может не быть.

===> dic duc fac <===
От Ustinoff
К Никита Каменский (11.04.2016 20:19:25)
Дата 11.04.2016 21:06:48

Да я понял, понял... (-)
От doctor64
К Никита Каменский (11.04.2016 18:14:29)
Дата 11.04.2016 18:29:28

Ну, огласите список супердыр Линукса (-)
От Грозный
К doctor64 (11.04.2016 18:29:28)
Дата 12.04.2016 01:06:46

загрузка модульных драйверов в ядре

При навыке можно из браузера чё хош впихнуть как загружаемый драйвер и будет бежать в нулевом кольце.


Совсем недавно дырищу затыкали в ДНС - с 2008-го существует, один умник "поправил"стандартную библиотеку.

http://arstechnica.com/security/2016/02/extremely-severe-bug-leaves-dizzying-number-of-apps-and-devices-vulnerable/

И прочая, прочая...

===> dic duc fac <===