🚀 go-pugleaf

On 2010-01-09, Piotr B. (pb2004) <p_borkowski@nospamgazeta.pl> wrote:
[...]
>>> Czyli 10% widzi i ma utrudnioną w porównaniu do Windowsa instalację 
>>> nowszej
>>> wersji
>>
>> Instalację nowszej wersji malware też mają utrudnioną.  I bardzo dobrze.
>>
>
> Niby w jaki sposób ma być utrudnione, skoro malware z definicji musi być 
> zrobione w ten sposób aby nie miało zależności.

W Linuksie nie ma zwyczaju instalowania oprogramowania za pomocą kliku w
binarkę, czyli nawet te programy które by się w ten sposób
bezproblemowo zainstalowały, nie są tak instalowane przez większość
użytkowników.

[...]
>>> W jaki sposób chcesz zablokować choćby takie polecenie?
>>> sudo sh ~/britney_nude_screensaver.bin
>>
>> Chrome OS np. robi mount -o noexec /dev/whatever /home.
>
> Pomijając Chrome OS to przecież opcja noexec w żaden sposób nie chroni przed 
> powyższym.

Fakt, nie wiedziałem.  Chroni jednak przed bezmyślnym klikaniem w
binarki, które się wtedy nie uruchomią, czyli załatwia pewnie 90%
problemów.  

>>> To jak wyobrażasz sobie implementację, która spełni twoje wymagania i
>>> jednocześnie nie spowoduje odpływu użytkowników na dystrybucje bez takich
>>> udziwnień?
>>
>> Na Linuksie "odpływy" nie mają decydującego znaczenia.  I bardzo dobrze.
>
> Jasne. Taki Canonical woli mieć mniejszą bazę użytkowników niż większą.

Producenci pistoletów też wolą sprzedać więcej niż mniej, a mimo to
instalują rozmaite zabezpieczenia.  Kiedyś nie instalowali, ale to było
dawno.

>>> Napieraj w czym to[1] repozytorium jest bardziej zaufane niż powyższy 
>>> link.
>>
>> [1] https://launchpad.net/~pgquiles/+archive/ppa
>>
>> Oj, choćby tym, że jest na https.
>
> Sprawdź lepiej jakie adresy trzeba dodać do listy repozytoriów. Jeśli zaś 
> będziesz bronił że trudniej się to robi to np. w OpenSuse istnieje mechanizm 
> OneClick Install.

http://en.opensuse.org/Standards/One_Click_Install
Tu piszą, że to draft.  IMO źle robią, nie tylko ze względu na
bezpieczeństwo.  Do emulacji Windows na Linuksie jest Wine, nie Suse.

[...]
>>>> Spoof repo jest teoretycznie wykonalny, ale na tyle trudny i mało
>>>> efektywny, że w praktyce można go póki co pominąć.  Normalnie nie ma
>>>> sensu się w to bawić, chyba że właśnie dla zabawy.
>
> Jest tak samo prosty jak spoof strony udostępniającej podpisane pliki.

Gdzieś na uniwersytecie zrobili proof of concept ataku polegającego na
wpięciu się w sieć mirrorów bodajże Fedory.  Wykonalne, choć kłopotliwe
i stosunkowo łatwo wykrywalne.   

[...]
>>> Nie moja wina że Linux jest tak ułomny że nie potrafi sprawdzić podpisów
>>> plików exe. Na Windowsie to działa.
>>
>> Co działa?  Serio.  Nie wiem o czym konkretnie piszesz (pomimo iż używam
>> Windowsów od czasów 3.11, nie mam pojęcia o co dokładnie Ci tu chodzi).
>>
>
> http://cid-19f26be92e6c01c3.skydrive.live.com/self.aspx/Podpisy%20plik%c3%b3w/bez%20podpisu.jpg
> i
> http://cid-19f26be92e6c01c3.skydrive.live.com/self.aspx/Podpisy%20plik%c3%b3w/z%20podpisem.jpg

Zdaje się, że wyłączam przy instalacji, bo praktycznie wszystkie
sterowniki są niepodpisane.  

BTW - dla jakich typów plików to działa?
BTW' - żeby to zobaczyć, muszę kliknąć w plik?  

>> Oj, różnie można, zależnie od potrzeb, ale powiedzmy że blokujesz zmiany
>> w /etc/apt/soruces.list.  Da się oczywiście obejść, jak wszystko, ale
>> nijak się to ma do tłumaczenia wszystkim w jakie strony mogą klikać, a w
>> jakie nie wolno!
>
> I co niby ma dać blokowanie tych zmian? W czym to ma pomóc na typ instalacji 
> jaki został zastosowany w Firefoksie?

Nie rozumiem.  Chodzi o wtyczki, czy coś innego?  O co by nie chodziło,
upgrade Firefoksa Ci przecież sieci nie rozwali.  Wtyczki mogą, ale to
inny problem.

-- 
Andrzej Rosa 
Working Gentoo flavor:  http://www.funtoo.org
Maintained by Daniel Robbins.