🚀 go-pugleaf

Użytkownik "Andrzej Rosa" <bakters@yahoo.com> napisał w wiadomości grup 
dyskusyjnych:rsbo17-34a.ln1@bakters.bandit.home...
> On 2010-01-09, Piotr B. (pb2004) <p_borkowski@nospamgazeta.pl> wrote:
> [...]
>>>> Czyli 10% widzi i ma utrudnioną w porównaniu do Windowsa instalację
>>>> nowszej
>>>> wersji
>>>
>>> Instalację nowszej wersji malware też mają utrudnioną.  I bardzo dobrze.
>>>
>>
>> Niby w jaki sposób ma być utrudnione, skoro malware z definicji musi być
>> zrobione w ten sposób aby nie miało zależności.
>
> W Linuksie nie ma zwyczaju instalowania oprogramowania za pomocą kliku w
> binarkę, czyli nawet te programy które by się w ten sposób
> bezproblemowo zainstalowały, nie są tak instalowane przez większość
> użytkowników.
>

Malware nigdy nie jest instalowane przez większość.

> [...]
>>>> W jaki sposób chcesz zablokować choćby takie polecenie?
>>>> sudo sh ~/britney_nude_screensaver.bin
>>>
>>> Chrome OS np. robi mount -o noexec /dev/whatever /home.
>>
>> Pomijając Chrome OS to przecież opcja noexec w żaden sposób nie chroni 
>> przed
>> powyższym.
>
> Fakt, nie wiedziałem.  Chroni jednak przed bezmyślnym klikaniem w
> binarki, które się wtedy nie uruchomią, czyli załatwia pewnie 90%
> problemów.
>

Po pierwsze na Linuksie nie ma czegoś takiego jak instalowanie przez 
klikanie. Aby cokolwiek zainstalować trzeba i tak korzystać z konsoli i 
zawsze jest instrukcja jakie polecenia wydawać. Więc ta ochrona o której 
piszesz jest tylko iluzoryczna.

>>>> To jak wyobrażasz sobie implementację, która spełni twoje wymagania i
>>>> jednocześnie nie spowoduje odpływu użytkowników na dystrybucje bez 
>>>> takich
>>>> udziwnień?
>>>
>>> Na Linuksie "odpływy" nie mają decydującego znaczenia.  I bardzo dobrze.
>>
>> Jasne. Taki Canonical woli mieć mniejszą bazę użytkowników niż większą.
>
> Producenci pistoletów też wolą sprzedać więcej niż mniej, a mimo to
> instalują rozmaite zabezpieczenia.  Kiedyś nie instalowali, ale to było
> dawno.
>

Producent pistoletu, który przed użyciem wymagałby zrobienia szpagatu na 
pewno nie sprzedałby ich wiele.

>>>> Napieraj w czym to[1] repozytorium jest bardziej zaufane niż powyższy
>>>> link.
>>>
>>> [1] https://launchpad.net/~pgquiles/+archive/ppa
>>>
>>> Oj, choćby tym, że jest na https.
>>
>> Sprawdź lepiej jakie adresy trzeba dodać do listy repozytoriów. Jeśli zaś
>> będziesz bronił że trudniej się to robi to np. w OpenSuse istnieje 
>> mechanizm
>> OneClick Install.
>
> http://en.opensuse.org/Standards/One_Click_Install
> Tu piszą, że to draft.  IMO źle robią, nie tylko ze względu na
> bezpieczeństwo.  Do emulacji Windows na Linuksie jest Wine, nie Suse.
>

Pod OpenSuse już od dawna działa.

> [...]
>>>>> Spoof repo jest teoretycznie wykonalny, ale na tyle trudny i mało
>>>>> efektywny, że w praktyce można go póki co pominąć.  Normalnie nie ma
>>>>> sensu się w to bawić, chyba że właśnie dla zabawy.
>>
>> Jest tak samo prosty jak spoof strony udostępniającej podpisane pliki.
>
> Gdzieś na uniwersytecie zrobili proof of concept ataku polegającego na
> wpięciu się w sieć mirrorów bodajże Fedory.  Wykonalne, choć kłopotliwe
> i stosunkowo łatwo wykrywalne.
>

Czy łatwo wykrywalne to zależy od wykonania.

> [...]
>>>> Nie moja wina że Linux jest tak ułomny że nie potrafi sprawdzić 
>>>> podpisów
>>>> plików exe. Na Windowsie to działa.
>>>
>>> Co działa?  Serio.  Nie wiem o czym konkretnie piszesz (pomimo iż używam
>>> Windowsów od czasów 3.11, nie mam pojęcia o co dokładnie Ci tu chodzi).
>>>
>>
>> http://cid-19f26be92e6c01c3.skydrive.live.com/self.aspx/Podpisy%20plik%c3%b3w/bez%20podpisu.jpg
>> i
>> http://cid-19f26be92e6c01c3.skydrive.live.com/self.aspx/Podpisy%20plik%c3%b3w/z%20podpisem.jpg
>
> Zdaje się, że wyłączam przy instalacji, bo praktycznie wszystkie
> sterowniki są niepodpisane.
>

Inny mechanizm, poza tym ze sterownikami jest dokładnie na odwrót. Trudno 
znaleźć niepodpisany sterownik chyba że się używa crapu.

> BTW - dla jakich typów plików to działa?

Dla wykonywalnych ściągniętych z internetu.

> BTW' - żeby to zobaczyć, muszę kliknąć w plik?
>

Przy uruchamianiu następuje sprawdzenie podpisu pliku.

>>> Oj, różnie można, zależnie od potrzeb, ale powiedzmy że blokujesz zmiany
>>> w /etc/apt/soruces.list.  Da się oczywiście obejść, jak wszystko, ale
>>> nijak się to ma do tłumaczenia wszystkim w jakie strony mogą klikać, a w
>>> jakie nie wolno!
>>
>> I co niby ma dać blokowanie tych zmian? W czym to ma pomóc na typ 
>> instalacji
>> jaki został zastosowany w Firefoksie?
>
> Nie rozumiem.  Chodzi o wtyczki, czy coś innego?  O co by nie chodziło,
> upgrade Firefoksa Ci przecież sieci nie rozwali.  Wtyczki mogą, ale to
> inny problem.

Sprawdź na czym polega instalacja Firefoksa ze strony Mozilli w Linuksie. 
Podobnie może być z instalacją dowolnego softu w tym malware.

-- 
Piotr Borkowski