🚀 go-pugleaf

On 2010-01-09, Radosław Gancarz <N0Spam_radekg@hell.pl> wrote:
> Andrzej Rosa <bakters@yahoo.com> wrote:
[...]
>> Rynek stale rośnie, liczba użytkowników Linuksa rośnie minimum
>> proporcjonalnie do rynku (a pewnie ze dwa razy szybciej), a malware jak
>> nie było, tak nie ma.  
>
> Ale masz jakieś statystyki, które to pokazują? Bo jakoś nigdzie nie
> widziałem tego wzrostu liczby użytkowników Linuksa (np. na ranking.pl
> widać  spadek z 0.51% w 2007 do ok. 0.38% i mozolny wzrost udziału do 
> 0.41% teraz, na w3counter.com pokazują 2.14% i też nie bardzo widać
> żeby to rosło - cały czas oscyluje wokół tej wartości).

Niechby było, że rośnie proporcjonalnie do rynku (co pokazują cytowane
przez Ciebie numerki).  Nadal to znaczący wzrost.  W 2009 sprzedano 300
mln komputerów, czyli powiedzmy 6 mln Linuksów.  Nie warto atakować
sześciu milionów boksów rocznie? 

>> Nie wszystko można wyjaśnić większą popularnością Windowsa.
>
> No sorry Winnetou ale 2 procent to się nie opłaca atakować,

Dlaczego nie?  Lepiej być big fish in a small pond niż small fish in a
big pond.  Znajdziesz skuteczny wektor ataku, to przejmiesz Linuksy na
własność...

> w
> szczególności biorąc pod uwagę nadreprezentację mało atrakcyjnych
> (dla potencjalnych autorów malware) grup użytkowników.

Cały Internet stoi na Linuksach, a tu się nagle okazuje, że spamu się z
nich nie da wysyłać...

>> > Chyba, ze chce miec aktualne wersje softu, wtedy nie bardzo ma wybór.
>> Wtedy użyje jakiegoś _popularnego_ repo, nie?  
>
> Albo Popularnej Dystrybucji, albo popularnego OS-a? :>
> Hmmm... Tekst "Miliony much nie moga się mylić" zwykle pada z linuksowej
> strony barykady...

Non sequitur.  Wracając do tematu, jeśli jakiś użytkownik Linuksa zechce
zainstalować dodatkowy pakiet i/lub podbić wersję za pomocą backporta, w
pierwszym odruchu sięgnie po popularne repozytorium, a nie nieznanego
nikomu malicious repo, na które musiałby trafić jakiś zupełnym przypadkiem.  
Nic dziwnego, że póki co ten wektor ataku nie cieszy się popularnością...

>> Pojęcia nie miałem.  Mogę więc założyć, że znacząca większość
>> użytkowników Windows też nie ma, czyli mechanizm nie działa.
>
> Podobnie znacząca zapewne część użytkowników Linuksa po prostu
> akceptuje klucz repo.

Znacząca większość niczego nie akceptuje, bo używa domyślnej
konfiguracji.

>> Rozwiązanie jest oczywiste.  Trzeba domyślnie blokować instalację z
>> niezaufanych źródeł, oraz oferować serwis, dzięki któremu instalacja z
>> zaufanych źródeł będzie wygodniejsza i przyjemniejsza niż ściąganie
>> czegoś z szemranego Internetu.
>
> Znaczy Trusted Computing, appstore i cała reszta? Bo wiesz, reszta to
> półśrodki...

App Store może być.  Trusted Computing też, o ile użytkownik dostanie
klucz do ręki.

> Cały czas mnożysz sobie gadżety, które Ci przesłaniają podstawowy aspekt
> sprawy - administrator danego komputera ZAUFAŁ na tyle danemu ŹRÓDŁU, że
> zainstalował z niego oprogramowanie. Jeśli Twoje domyslne blokowanie
> bedzie mu przeszkadzało to je sobie wyłączy, podobnie jak ludzie robią z
> UAC w Viście.

A, to dlatego wszyscy Linuksiarze pracują z roota, bo na koncie z
uprawnieniami użytkownika wielu rzeczy nie da się wygodnie zrobić?  

>> W tym wypadku, trzeba by pojechać ostro
>> po Windowsie i naprawdę utrudnić instalację oprogramowania nie
>> zatwierdzonego przez zaufane źródło.  Użytkownik musiałby sięgnąć prawą
>> ręką do lewej kieszeni, żeby taki program zainstalować, mniej więcej tak
>> jak na Linuksie.
>
> Tak, tak. Dodanie "szemranego" repo jest jakoś trudniejsze od dodania
> "zaufanego"? 

A po co jakiekolwiek dodawać?  Nie wystarczy skorzystać z domyślnego? 

>> Ale tak nie zrobią, bo Ballmer by na tym stracił jakieś dochody.  Za to
>> Google zrobił.  Ciekawe kto wygra w dłuższej skali czasowej...? ;-)
>
> Przed Google było Apple. I co? Podoba Ci się zatwierdzanie aplikacji
> w Appstore? :>

Tak.

[...]
>> > Zupełnie jak niepodpisane binarki dla Linuksa. YPB?
>> 
>> Binarki spoza repozytorium nie działają równie dobrze.  Po pierwsze, nie
>> wiadomo czy w ogóle zadziałają, bo mogą mieć nierozwiązane zależności.
>
> Binarki z repo niestety też. Naprawdę bycie podpisanym nie gwarantuje Ci,
> że pakowacz zrobił swoją pracę dobrze.

O, kolejna zaleta używania popularnych repozytoriów.  Spora szansa, że
ktoś przede mną na ten problem natrafił i przesłał jeśli nie łatę, to
chociaż bugreporta.

>> Po drugie wymagają by coś gdzieś ręcznie dopisywać, podawać hasło itd.
>
> Wystarczy kliknąć na niepodpisanym .rpm czy .deb. Nie patrz na
> instalację softu przez pryzmat pochodnych Gentoo.

A to powinni wręcz wyłączyć.  Jak ktoś wie w co klika na tyle dobrze, że
nie boi się iż mu się system wysypie, może sobie użyć terminala albo
skojarzyć pliki samodzielnie.

>> (Może tak spróbuję - gdzieś czytałem, że w przypadku malware każda
>> interakcja z użytkownikiem spowalnia propagację o rzędy wielkości.
>> Potrafisz sobie wyobrazić, że dwa kliknięcia OK są o rząd wielkości
>> gorsze niż jedno kliknięcie OK?) 
>
> Może poczytaj o trojanach, które przychodziły jako zaszyfrowany ZIP
> z hasłem na obrazku. I co? 

I pewnie się propagowały o parę rzędów wielkości wolniej od malware nie
wymagającego tak złożonej interakcji z użytkownikiem.

> Ludzie tez instalowali bo ufali nadawcy
> albo byli ciekawi treści. Beat this.

Skąd wiesz, że ten wektor ataku okazał się sukcesem?  Bo zaistniał? 

-- 
Andrzej Rosa 
Working Gentoo flavor:  http://www.funtoo.org
Maintained by Daniel Robbins.