🚀 go-pugleaf

Andrzej Rosa <bakters@yahoo.com> wrote:
[... własne repo ...]
> >> a potencjalny target jest o rząd wielkości mniejszy.  (Pomijam
> >> różnicę w udziale rynkowym,
> >
> > A to błąd. Zastanów się czy bardziej opłaca się robić malware/exploita
> > na coś, co chodzi na 90% komputerów desktopowych czy na 2%.
> 
> Rynek stale rośnie, liczba użytkowników Linuksa rośnie minimum
> proporcjonalnie do rynku (a pewnie ze dwa razy szybciej), a malware jak
> nie było, tak nie ma.  

Ale masz jakieś statystyki, które to pokazują? Bo jakoś nigdzie nie
widziałem tego wzrostu liczby użytkowników Linuksa (np. na ranking.pl
widać  spadek z 0.51% w 2007 do ok. 0.38% i mozolny wzrost udziału do 
0.41% teraz, na w3counter.com pokazują 2.14% i też nie bardzo widać
żeby to rosło - cały czas oscyluje wokół tej wartości).

> Nie wszystko można wyjaśnić większą popularnością Windowsa.

No sorry Winnetou ale 2 procent to się nie opłaca atakować, w
szczególności biorąc pod uwagę nadreprezentację mało atrakcyjnych
(dla potencjalnych autorów malware) grup użytkowników.

> >> zakładam tylko że jednemu na dziesięciu
> >> użytkowników będzie się chciało dodawać jakieś repozytoria, co przecież
> >> i tak jest pewnie grubym przeszacowaniem.)
> > Chyba, ze chce miec aktualne wersje softu, wtedy nie bardzo ma wybór.
> Wtedy użyje jakiegoś _popularnego_ repo, nie?  

Albo Popularnej Dystrybucji, albo popularnego OS-a? :>
Hmmm... Tekst "Miliony much nie moga się mylić" zwykle pada z linuksowej
strony barykady...

> > Non sequitur. Sprawdzasz skrót a nie podpis. A podpis jest zazwyczaj 
> > zaszyty w pliku .exe
> 
> Pojęcia nie miałem.  Mogę więc założyć, że znacząca większość
> użytkowników Windows też nie ma, czyli mechanizm nie działa.

Podobnie znacząca zapewne część użytkowników Linuksa po prostu
akceptuje klucz repo.

[...]
> > OK, załóżmy że system sprawdza podpisy wszystkich binarek ściągniętych z
> > sieci. Co Ci daje to, że plik "Zenek's Screensaver" jest podpisany przez
> > "Zenek & Friends Code Signing Service"? To automatycznie wyklucza, że
> > Zenek może mi zainstalować adware albo rootkita w stylu Sony (o czym np.
> > pisze gdzieś na końcu licencji, których i tak nikt nie czyta)?
> 
> Rozwiązanie jest oczywiste.  Trzeba domyślnie blokować instalację z
> niezaufanych źródeł, oraz oferować serwis, dzięki któremu instalacja z
> zaufanych źródeł będzie wygodniejsza i przyjemniejsza niż ściąganie
> czegoś z szemranego Internetu.

Znaczy Trusted Computing, appstore i cała reszta? Bo wiesz, reszta to
półśrodki...

Cały czas mnożysz sobie gadżety, które Ci przesłaniają podstawowy aspekt
sprawy - administrator danego komputera ZAUFAŁ na tyle danemu ŹRÓDŁU, że
zainstalował z niego oprogramowanie. Jeśli Twoje domyslne blokowanie
bedzie mu przeszkadzało to je sobie wyłączy, podobnie jak ludzie robią z
UAC w Viście.

> W tym wypadku, trzeba by pojechać ostro
> po Windowsie i naprawdę utrudnić instalację oprogramowania nie
> zatwierdzonego przez zaufane źródło.  Użytkownik musiałby sięgnąć prawą
> ręką do lewej kieszeni, żeby taki program zainstalować, mniej więcej tak
> jak na Linuksie.

Tak, tak. Dodanie "szemranego" repo jest jakoś trudniejsze od dodania
"zaufanego"? 

> Ale tak nie zrobią, bo Ballmer by na tym stracił jakieś dochody.  Za to
> Google zrobił.  Ciekawe kto wygra w dłuższej skali czasowej...? ;-)

Przed Google było Apple. I co? Podoba Ci się zatwierdzanie aplikacji
w Appstore? :>

> >> To takie proste.  Naprawdę.
> > ... tym gorzej dla rzeczywistości.
> Nic nie gorzej.  Na Linuksie to działa,

... tylko softu jakoś tak mało. I każda popierdółka musi byc kompilowana
pod konkretną dystrybucję bo wersje bibliotek różne etc. Kupa pracy,
za którą ktoś musi zapłacić (albo zrobić ją za friko)...

> a Chrome OS to jeszcze inna liga.

Finalnej wersji Chrome OS jak na razie jeszcze nie ma, więc
nie ekscytuj się.

> >> > Binarki dla Windows pobierane z internetu też mogą być podpisane
> >> > i daje się to prosto sprawdzić. I masz to zintegrowane z PKI.
> >> 
> >> Grunt że mogą nie być, a działają równie dobrze jak te podpisane.  
> >
> > Zupełnie jak niepodpisane binarki dla Linuksa. YPB?
> 
> Binarki spoza repozytorium nie działają równie dobrze.  Po pierwsze, nie
> wiadomo czy w ogóle zadziałają, bo mogą mieć nierozwiązane zależności.

Binarki z repo niestety też. Naprawdę bycie podpisanym nie gwarantuje Ci,
że pakowacz zrobił swoją pracę dobrze.

> Po drugie wymagają by coś gdzieś ręcznie dopisywać, podawać hasło itd.

Wystarczy kliknąć na niepodpisanym .rpm czy .deb. Nie patrz na
instalację softu przez pryzmat pochodnych Gentoo.

> (Może tak spróbuję - gdzieś czytałem, że w przypadku malware każda
> interakcja z użytkownikiem spowalnia propagację o rzędy wielkości.
> Potrafisz sobie wyobrazić, że dwa kliknięcia OK są o rząd wielkości
> gorsze niż jedno kliknięcie OK?) 

Może poczytaj o trojanach, które przychodziły jako zaszyfrowany ZIP
z hasłem na obrazku. I co? Ludzie tez instalowali bo ufali nadawcy
albo byli ciekawi treści. Beat this.

Pozdrawiam

-- 
Radosław Gancarz                             r a d e k g @ h e l l . p l
http://bugs.from.hell.pl/