🚀 go-pugleaf

On 2010-01-08, Radosław Gancarz <N0Spam_radekg@hell.pl> wrote:
> 
>> Nadal to o rząd wielkości większy wysiłek niż po prostu postawienie
>> strony,
>
> Ale sprawdziłeś, czy strzelasz w ciemno? Bo założenie repo dla Debiana
> to jest kilka poleceń. Dla SuSE też.

Puste, tak.  Potrzebujesz jednak jakiegoś zbioru pakietów, żeby ludzi
namówić do użycia.  Potrzebujesz jakiejś strony, żeby było gdzie
zobaczyć co jest w środku itd. 

Owszem, da się.  Póki co nie warto, bo inne systemy są bardziej podatne
na atak.

>> a potencjalny target jest o rząd wielkości mniejszy.  (Pomijam
>> różnicę w udziale rynkowym,
>
> A to błąd. Zastanów się czy bardziej opłaca się robić malware/exploita
> na coś, co chodzi na 90% komputerów desktopowych czy na 2%.

Rynek stale rośnie, liczba użytkowników Linuksa rośnie minimum
proporcjonalnie do rynku (a pewnie ze dwa razy szybciej), a malware jak
nie było, tak nie ma.  

Nie wszystko można wyjaśnić większą popularnością Windowsa.

>> zakładam tylko że jednemu na dziesięciu
>> użytkowników będzie się chciało dodawać jakieś repozytoria, co przecież
>> i tak jest pewnie grubym przeszacowaniem.)
>
> Chyba, ze chce miec aktualne wersje softu, wtedy nie bardzo ma wybór.

Wtedy użyje jakiegoś _popularnego_ repo, nie?  

[...]
>> tyle że ja nie ten plik ściągnąłem, więc nic
>> dziwnego że podpis nie pasuje.
>
> Non sequitur. Sprawdzasz skrót a nie podpis. A podpis jest zazwyczaj 
> zaszyty w pliku .exe

Pojęcia nie miałem.  Mogę więc założyć, że znacząca większość
użytkowników Windows też nie ma, czyli mechanizm nie działa.

>> Ale to i tak bez sensu dyskusja, bo
>> wymaganie od końcowego użytkownika by osobiście sprawdzał podpisy jest
>> zupełnym absurdem.  Większość ludzi nie sprawdzi, więc system który tego
>> wymaga się dla ludzi nie nadaje.  
>
> OK, załóżmy że system sprawdza podpisy wszystkich binarek ściągniętych z
> sieci. Co Ci daje to, że plik "Zenek's Screensaver" jest podpisany przez
> "Zenek & Friends Code Signing Service"? To automatycznie wyklucza, że
> Zenek może mi zainstalować adware albo rootkita w stylu Sony (o czym np.
> pisze gdzieś na końcu licencji, których i tak nikt nie czyta)?

Rozwiązanie jest oczywiste.  Trzeba domyślnie blokować instalację z
niezaufanych źródeł, oraz oferować serwis, dzięki któremu instalacja z
zaufanych źródeł będzie wygodniejsza i przyjemniejsza niż ściąganie
czegoś z szemranego Internetu.  W tym wypadku, trzeba by pojechać ostro
po Windowsie i naprawdę utrudnić instalację oprogramowania nie
zatwierdzonego przez zaufane źródło.  Użytkownik musiałby sięgnąć prawą
ręką do lewej kieszeni, żeby taki program zainstalować, mniej więcej tak
jak na Linuksie.

Ale tak nie zrobią, bo Ballmer by na tym stracił jakieś dochody.  Za to
Google zrobił.  Ciekawe kto wygra w dłuższej skali czasowej...? ;-)

>> To takie proste.  Naprawdę.
>
> ... tym gorzej dla rzeczywistości.

Nic nie gorzej.  Na Linuksie to działa, a Chrome OS to jeszcze inna liga.

>> > Binarki dla Windows pobierane z internetu też mogą być podpisane
>> > i daje się to prosto sprawdzić. I masz to zintegrowane z PKI.
>> 
>> Grunt że mogą nie być, a działają równie dobrze jak te podpisane.  
>
> Zupełnie jak niepodpisane binarki dla Linuksa. YPB?

Binarki spoza repozytorium nie działają równie dobrze.  Po pierwsze, nie
wiadomo czy w ogóle zadziałają, bo mogą mieć nierozwiązane zależności.
Po drugie wymagają by coś gdzieś ręcznie dopisywać, podawać hasło itd.

Różnica jest kolosalna.  Widzę, że dla Ciebie nie wydaje się to
oczywiste, ale ludzie tak po prostu działają.  Ludzie - nie komputery. 

(Może tak spróbuję - gdzieś czytałem, że w przypadku malware każda
interakcja z użytkownikiem spowalnia propagację o rzędy wielkości.
Potrafisz sobie wyobrazić, że dwa kliknięcia OK są o rząd wielkości
gorsze niż jedno kliknięcie OK?) 

-- 
Andrzej Rosa 
Working Gentoo flavor:  http://www.funtoo.org
Maintained by Daniel Robbins.