ווטסאפ - לינוקס, BSD, קוד פתוח ותוכנה חופשית בעברית. Whatsup - Linux, BSD, open source and free software in Hebrew

 
 
  כניסת חברים · רישום · שכחתי סיסמה  
tux the penguin

quick_linkגם לגנוב צריך לדעת

published at 11/09/2003 - 18:39 · ‏פורסם aviram · ‏tags אבטחת מידע · שלח לחברידידותי למדפסת
אבטחת מידע בפעם הקודמת ווטסאפ התריע כמעט שבוע לפני שחרורה של התולעת המפורסמת על הפרצה שהיא הולכת לנצל. זאת חוכמה קטנה מאוד לעשות את זה שוב, הרי האינטרנט מפוצץ באזהרות לגבי הפרצות החדשות שנתגלו ב- RPC (למשל, Buffer Overrun In RPCSS Service). בכל זאת, הפעם יש מספר דברים מעניינים שקשורים בפרצות החדשות שנתגלו.

ראשית, הפרצות נתגלו על ידי שלוש קבוצות שונות, במקום בקוד שקרוב מאוד למקום בו התגלתה הפרצה הקודמת. כדאי לזכור שלמיקרוסופט יש את קוד המקור לחלונות והיא לא הצליחה למצוא את הפרצה, בעוד שלקבוצות הללו לא היה את קוד המקור, והן כן הצליחו (אבל על אבטחת קוד פתוח נגד קוד סגור בכתבה אחרת בקרוב).

שנית, הפעם התפרסם כי הקוד הבעייתי בשירות ה-RPC מבוסס על סטנדרט פתוח (הדיווחים טוענים שהוא מבוסס על "קוד פתוח", אבל סביר להניח שהכוונה היא לכך שהסטנדרט הוא שפתוח), וכך מיקרוסופט אשר אימצה את הסטנדרט ושינתה אותו (בטקטיקת ה- Embrace & Extend הידועה) מימשה אותו בצורה כזאת שחושפת מספר רב של פרצות בשירות מערכת קריטי המשמש את רכיבי מערכת ההפעלה הבסיסיים.

ההודעה של מיקרוסופט עצמה מנוסחת כך:

"The protocol itself is derived from the Open Software Foundation (OSF) RPC protocol, but with the addition of some Microsoft specific extensions. "

כנראה ש- "Specific Extensions" הם יכולת שליטה מרחוק על המערכת ללא צורך בשם או סיסמה. הפרוטוקול המקורי אכן לא מכיל את התכונה הזאת ... בכל מקרה, משתמשי חלונות יקרים: שלא תגידו שלא הזהרנו אתכם (שוב). מנהלי רשת הפעם קצת חסרי אונים, כיוון שהתולעת הבאה כנראה תעבוד בפורט 80 (ב- RPC over HTTP) המאופשר כברירת מחדל.

הערה: תודה לאבירם וכמובן גם לאחרים ששלחו עדכונים בנושא. כפי שאמרנו בעבר, אנחנו מנועים מלפרסם ידיעות מאתרים אחרים כלשונן.
 

קישורים רלוונטיים

גם לגנוב צריך לדעת | כניסה / יצירת מנוי חדש | 16 תגובות
סף חסימה
  
ההערות הינן מטעם כותביהן. אין צוות האתר לוקח אחריות על תוכנן
שאלת תם (ניקוד: 1)
ע"י bizna (mazor.dotan@idc.ac.il)
ב 11/09/2003 - 20:38
(מידע על משתמש | שלח הודעה) http://
אני כנראה מדבר מתוך בורות, אבל זה נראה לי מוזר שחברה כמו מיקרוסופט, שמחזיקה את כח המתכנתים הגדול ביותר בעולם, עושה טעויות כל כך בסיסיות כמו להשאיר את פורט 80 פתוח.
מה, הם מטומטמים?
האפשרות האחרת היא שהם עשו את זה בכוונה, אבל מה האינטרס בזה?

[ השב לזאת ]

תגובה: שאלת תם(ניקוד: 0)
ע"י פינגווין אנונימי ב 11/09/2003 - 20:50
הם לא מטומטמים, אבל כמו שנטען לא פעם, כוח האדם התיכנותי הנדרש כדי לייצר מערכות תוכנה מורכבות איננו בהישג יד של חברה אחד, מבוססת ככל שתהיה. מיקרוסופט היא חברה מסחרית שמתפרנסת ממכירת רישיונות לא מעיצוב איכותי של תוכנה בהכרח. למזלה עד היום ההצלחה שלה בעולם פחות מתוקשר ומקוון היא איכשהו הצליחה לחמוק, היום זה כבר בלתי אפשרי. הבסיס של חלונות בעייתי ומודל הפיתוח המסחרי לא עובד בקנה מידה מהסוג הזה.

מפתחי קוד פתוח מפתחים כי הם אוהבים לפתח תוכנה טובה והם חשופים לביקורת קטלנית של הקולגות שלהם.

מיקרוסופט לא יכולה בהכרח לרכוש את המפתחים הטובים ביותר, ולא משנה כמה היא מוכנה לשלם. המודל הפתוח מציג אפשרות לבחינות איכות ואיתור בעיות גמישים ומוצלחים יותר. בעיות מתגלות ונפתרות במהירות גדולה יותר.

[ השב לזאת ]

תגובה: שאלת תם(ניקוד: 1)
ע"י צחי ב 11/09/2003 - 22:41
(מידע על משתמש | שלח הודעה) http://WWW.My2Nis.Com
אני חייב לחלוק עליך בעניין שאין למיקרוסופט בסיס טוב לחלונות. בעיקר מכיוון שבמשך השנים הם מעתיקים את כל הקונספטים של UNIX כך שבסופו של דבר אני צופה שזה יהיה לינוקס מיקרוסופטי. בכל אופן אפילו אם זה יהיה לינוקס, סביר להניח שמיקרוסופט תצליח גם לפשל גם בזה כמו למשל LINDOWS שיש לך שימוש בROOT כDEFAULT.

[ השב לזאת ]

תגובה: שאלת תם(ניקוד: 1)
ע"י AP ב 12/09/2003 - 07:36
(מידע על משתמש | שלח הודעה)
LindowsOS אינה מיקרוסופטית...
או שלא הבנתי מה אתה מתכוון?

חוצמזה, אם אתה מסתכל על ווינדוס אקספי - זה כבר מעין לינוקס חלונותי, כי (כמה שנרצה להכפיש את זה, זה נכון) הוא הרבה יותר יציב מהקודמים שלו, ומספר אפקטים אדיר שמופיע במפליא בצורה כזו או אחרת ב KDE
ועכשיו, לונג הורן עוברים לשיטת מערכת הפעלה מודולרית

[ השב לזאת ]

תגובה: שאלת תם(ניקוד: 1)
ע"י דוביקס ב 12/09/2003 - 20:11
(מידע על משתמש | שלח הודעה) http://
ראה את "הבטחות, הבטחות". מעתיקים זה understatement.

[ השב לזאת ]

תגובה: שאלת תם(ניקוד: 0)
ע"י פינגווין אנונימי ב 11/09/2003 - 22:56
מומלץ כמובן לקרא שוב את "הקתדרלה והבזאר" למי שעדיין לא הספיק. כל התשובות למדוע קוד פתוח הוא מודל שמייצר תוכנה איכותית יותר, כבר נענו. תוכנה איכותית דרך אגב, היא לא בהכרח Eye-Candy ולכאורה ידידותיות, היא בסיס טוב שעליו אפשר לבנות משהו טוב עוד יותר בהמצא מספיק משאבים ועניין.

[ השב לזאת ]

תגובה: שאלת תם(ניקוד: 1)
ע"י ChooX ב 12/09/2003 - 04:07
(מידע על משתמש | שלח הודעה) http://yallara.cs.rmit.edu.au/~gabraham
אני לא כל-כך מסכים עם התפיסה שקוד פתוח טוב יותר ממיקרוסופט בגלל הביקורת ואיכות המפתחים.
המקרה של מיקרוסופט שונה מרוב המקרים של חברות קוד סגור. זו חברה ענקית, עם _המון_.כסף להעסיק אנשים ולבצע מחקר עצמאי (והם עושים את זה). לא חסרים להם אנשים מוכשרים וחכמים.

יכול להיות שאין להם תרבות ארגונית של איכות אמיתית ואבטחה - המטרה הכי חשובה היא להוציא לשוק מהר ולתקן אחר-כך. איכות היא מטרה משנית. כך, הדברים שחשובים להם הם קלות הפעלה, שימושיות, עיצוב וכו' - דברים שמשתמשים שמים לב אליהם (שימו לב שתמיד כאיזה אתר כותב על "הצצה" לגרסה של חלונות, הדברים העיקריים שמתמקדים בהם הם צורת שולחן העבודה, כמה כפתורים יש ואיפה שמו את My Documents).

בנוסף על כך, יכול להיות שיש עוד צד יותר אפל - הם לא רוצים לפתח תוכנה "טובה מדי" עכשיו, כדי שלמשתמשים תהיה סיבה לעבור אחר כך למערכת החדשה יותר. מה המערכת הבאה עלינו לטובה? - TCPA, "מחשוב אמין".

[ השב לזאת ]

נו, עכשיו אנחנו שמחים שעברנו ללינוקס, לא?(ניקוד: 1)
ע"י corwin ב 12/09/2003 - 06:45
(מידע על משתמש | שלח הודעה) http://
אמנם... שמחה לאיד אינה מקובלת אבל...

LOL

וזהו :P

קורווין

[ השב לזאת ]

תגובה: שאלת תם(ניקוד: 0)
ע"י פינגווין אנונימי ב 12/09/2003 - 14:05
| אני לא כל-כך מסכים עם התפיסה שקוד פתוח טוב יותר ממיקרוסופט
| בגלל הביקורת ואיכות המפתחים.
| המקרה של מיקרוסופט שונה מרוב המקרים של חברות קוד סגור. זו חברה ענקית, עם
| _המון_.כסף להעסיק אנשים ולבצע מחקר עצמאי (והם עושים את זה). לא חסרים להם
| אנשים מוכשרים וחכמים.

תתפלא, אבל מיקרוסופט אינה חברת התוכנה היחידה שהיא "ענקית עם המון כסף להעסיק אנשים ולבצע מחקר עצמאי, ושלא חסרים לה אנשים חכמים.

את אותו הדבר אתה יכול להגיד גם על CA, אורקל, HP, ‏IBM ועוד רבות וטובות(?).
| יכול להיות שאין להם תרבות ארגונית של איכות אמיתית ואבטחה -
| המטרה הכי חשובה היא להוציא לשוק מהר ולתקן אחר-כך. איכות
| היא מטרה משנית. כך, הדברים שחשובים להם הם קלות הפעלה,
| שימושיות, עיצוב וכו' - דברים שמשתמשים שמים לב אליהם (שימו לב
| שתמיד כאיזה אתר כותב על "הצצה" לגרסה של חלונות, הדברים
| העיקריים שמתמקדים בהם הם צורת שולחן העבודה, כמה כפתורים
| יש ואיפה שמו את My Documents).

| בנוסף על כך, יכול להיות שיש עוד צד יותר אפל - הם לא רוצים לפתח
| תוכנה "טובה מדי" עכשיו, כדי שלמשתמשים תהיה סיבה לעבור אחר
| כך למערכת החדשה יותר. מה המערכת הבאה עלינו לטובה? - TCPA,
| "מחשוב אמין".

האם רד-האט היתה יכולה להרשות לעצמה דבר כזה? לא, כי המשתמשים היו צועקים בקול רם: מה עם הבעיה בחבילה XYZ שתוקנה כבר אצל המתחרים? למה לוקח לכם כל-כך הרבה זמן?

ונלך עוד צעד אחד אחורה: האם מפתח תוכנה חופשית יכול להתעלם מתיקוני באגים ששולחים אליו? לא, כי אפשר תמיד לעקוף אותו. והוא לא רוצה לתת לאחרים סיבות לעקוף אותו.

[ השב לזאת ]

תגובה: שאלת תם(ניקוד: 1)
ע"י צחי ב 12/09/2003 - 18:22
(מידע על משתמש | שלח הודעה) http://WWW.My2Nis.Com
נא לא לשכוח מה IBM עשתה במלחמת העולם השנייה, ונא לא לשכוח שהחברה עברה בירושה מאב לבן ונא לא לשכוח שהם לא עשו שום דבר להביע חרטה.

[ השב לזאת ]

תגובה: שאלת תם (ניקוד: 1)
ע"י CooL_SPoT (linuxfun@email.com)
ב 12/09/2003 - 20:50
(מידע על משתמש | שלח הודעה) http://angelfire.com/d20/csmusic
מה IBM עשו במלחמת העולם השנייה?

[ השב לזאת ]

IBM ומלחמת העולם השנייה (ניקוד: 1)
ע"י bizna (mazor.dotan@idc.ac.il)
ב 19/09/2003 - 09:51
(מידע על משתמש | שלח הודעה) http://
לחברת IBM היה מפעל ענק בגרמניה, שהיה מרכז איזורי שלה. כשעלה היטלר לשלרטון, וחברות התחילו לעזוב את גרמניה, נשארה IBM, תוך כדי שהבעלים שלה יוזם פגישות עם היטלר, בהן היטלר הבטיח לו שהוא יעזור לו להשכין שלום עולמי.
גרמניה כבשה את פולין. IBM המשיכה להפעיל את המפעל שלה בגרמניה. הבעלים המשיך להיפגש עם היטלר ולשכנע אותו בצדקת דרכו, אבל בשלב מסויים היטלר הפסיק להעמיד פנים כי הוא כבר היה חזק מספיק, אז הוא פשוט הלאים את המפעל של IBM וסגר את דרכי התקשורת אל הבעלים.
המפעל של IBM עסק בייצור ופיתוח מכונות אשר היו ה"אבות והאמהות" של המחשב הראשון.
יש מי שאומר שמשם יצאה מכונת ההצפנה "אניגמה" שהפילה את חיתתה על עולם המודיעין של אותם ימים.
--
בנוגע להעברה מאב לבן, העסק עבר מהאב לבנו, אבל לא בלי מאבק.
--
אבל מה כל זה משנה? הרי הכחול הגדול הובס על ידי ג'ינג'י קטן. או כמו שאמר קלינט איסטווד: ג'ינג'ים מביאים מזל רע...

[ השב לזאת ]

תגובה: IBM ומלחמת העולם השנייה(ניקוד: 0)
ע"י פינגווין אנונימי ב 04/10/2003 - 18:27
חברת IBM עשתה הרבה יותר מזה !!! מסוכנת מאוד !!
יש ספר על IBM ומלחמת העולם השניה.......מצמרר

[ השב לזאת ]

תגובה: שאלת תם(ניקוד: 1)
ע"י ChooX ב 13/09/2003 - 06:17
(מידע על משתמש | שלח הודעה) http://yallara.cs.rmit.edu.au/~gabraham
אני לא מבין - אתה מתנגד למה שאני אומר או מסכים איתי ? :-)

למיקרוסופט יש את _היכולת_ להוציא תוכנה מאובטחת הרבה יותר, מפני שיש להם את המשאבים, גם מבחינת כסף וגם מבחינת אנשים. זה לא אומר שהם _רוצים_ להוציא תוכנה מאובטחת יותר, מסיבות שכבר פירטתי.
בנוגע לחברות כמו CA, HP, IBM - הן לא שולטות בשוק מערכות ההפעלה השולחניות, ומי אמר שהתוכנה שלהם כל-כך מאובטחת. אורקל פעם טענה שהתוכנה שלהם "בלתי שבירה". לא שמעתי אותם טוענים את זה בזמן האחרון....

רדהאט - נו, ברור שרד-האט לא יכולה להרשות לעצמה את זה, כי יכולים להחליף אותם במישהו אחר כמו סוזה או מנדרייק. זו בדיוק הנקודה - הם לא נמצאים על 90% מהדסקטופ בעולם!

מיקרוסופט יכולים כיום להרשות לעצמם לעשות מה שהם רוצים, בגלל שהם יודעים שהרבה עבדים נרצעים ימשיכו להשאר נאמנים אליהם וישלמו כל כופר שהם יבקשו.

[ השב לזאת ]

תוכנה "לא שבירה" זה לא מעשי(ניקוד: 0)
ע"י פינגווין אנונימי ב 13/09/2003 - 16:45
אם רוצים להוציא כמות גודלה של קוד בזמן סביר אז ם חברה גדולה כמו CA או כמו מיקרוסופט לא יכולה להרשות לעצמה את הסטנדרטים המחמירים ביותר.

כדי שיהיה לך מושג מהם סטנדרטים מחמירים, ומהו המחיר שלהם (עלות כספית ו-time-to-market) תחשוב על התוכנה והחומרה של מעבורת חלל, מכיוון שזהו מקרה שהתפרסם.

במקרה זה הסיבה לסטנדרטים המחמירים היא שאי-אפשר להחליף את הדברים באמצע. אולם עבור מחשבים אישיים חישובי העלות שונים לחלוטין: דואגים למערכת יעילה להפצת עדכונים, אם מתקלקלת חומרה אז מחליפים, וכו'.

ואגב: גם עם הסטנדרטים המחמירים היתה תקלה במעבורת.

[ השב לזאת ]

תגובה: תוכנה(ניקוד: 1)
ע"י aviram ב 14/09/2003 - 03:31
(מידע על משתמש | שלח הודעה) http://www.hamakor.org.il
"תוכנה שבירה זה לא מעשי"? איך זה ש- 3 חברות שונות מצאו את הפרצה ב- RPC בלי שהיה ברשותם את הקוד, ומיקרוסופט - שלה יש את הקוד - לא הצליחה למצוא אותם?
הרי הפרצות היו שם, ליד הפרצה הקודמת (שגרמה לבלאסטר). זה מוציא את העוקץ מהטיעון העיקרי שלך: השאלה היא לא תאורטית (האם ניתן לבנות תוכנה לא שבירה) אלא מעשית: איך זה שמיקרוסופט לא מצליחה לתקן בעיות אבטחת מידע שחברות אחרות, קטנות ממנה, ועם פחות ידע (ללא קוד המקור, למשל) מוצאות?

דבר זה אינו מוגבל רק למקרה האחרון של ה- RPC. מספר חברות לא גדול מוצא למיקרוסופט שוב ושוב בעיות במוצרים. מה יש להם שאין למיקרוסופט? תשובה: *מוטיבציה* למצוא את הבעיה. למיקרוסופט אין שום סיבה לחפש פרצות במוצרים שלהם, בעוד שלחברות האחרות יש (במטרה לקבל פרסום). כלומר, אם רוצים אפשר. השאלה אם רוצים.



[ השב לזאת ]