Secunia właśnie opublikowała raport za ostatnie pół dekady dotyczący bezpieczeństwa oprogramowania. Zdecydowanym „liderem” zestawienia jest firma Oracle, ale być może wkrótce pałeczkę przejmie Apple.
Apple otworzył stawkę w 2005 roku i otwiera ją także w 2010. Niemniej jednak to Oracle utrzymywał niezbyt honorowe miejsce lidera przez większość czasu na przestrzeni 5 lat.
Zachęcam rzecz jasna do przeczytania raportu samemu, ale jako programista zwróciłem uwagę na podane już we wstępie liczby. W ciągu tylko dwóch lat (2007 do 2009) liczba luk dotykająca końcowego odbiorcę podwoiła się do 420. Prognozuje się, że do roku 2010 ta liczba zwiększy się do 760. I dzieje się tak, pomimo znaczenia bezpieczeństwa w dzisiejszym oprogramowaniu.
I drugi fakt — przeciętny użytkownik ma zainstalowane 50 programów. Na 24 programy nie Microsoftu przypada 3.5 raza więcej luk niż na 26 programów Microsoftu. Ten stosunek zwiększy się w przyszłości, przynajmniej takie są zapowiedzi.
Gdzieś chyba powinno być Apple, huh?
Nie ma jechania po Apple, nie ma zabawy:)
Czemu powinno?
Błędów więcej, ale możliwości zabezpieczeń też. Kto by kiedyś pomyślał, żeby każda usługa chodziła we własnym chroocie z np. SELinuksem, na własnej maszynie wirtualnej?
Gdzies slyszlaem wlasnie o polskiej dystrybucji pracujacej na tej zasadzie – tylko trzeba pogooglac.
wirtualne maszyny NIE zwiekszaja bezpieczenstwa!
Dziwne – jakoś mi zwiększają. 😉
Zastanawia mnie jeden szczegół – Mozilla Corporation to przedsięwzięcie relatywnie niewielkie w porównaniu do HP, Google, Apple, czy Oracle. W takim razie co robi z TOP10? Czyżby ta garstka (w porównaniu do chociażby IBM) projektów Mozilli miała aż tak dużo luk?
Interesuje mnie również, że Secunia wymieniając marki wskazuje między innymi na oprogramowanie raczej niezbyt "enterprajsowe" – iTunes, QuickTime, Flash, Acrobat Reader. Te programy mają bezpośrednio niewielki wpływ na bezpieczeństwo sieci jako takiej, bardziej są groźne dla użytkowników komputera, na którym są zainstalowane. Jedna luka w SSH potrafiłaby z łatwością zaciemnić 50 podatności Flasha. Mimo to report wskazuje właśnie na tego typu małe i fajne programiki jako bardziej realne źródło zagrożenia nie tylko dla domowych użytkowników.
W podsumowaniu piszą więc o zagrożeniach związanych z oprogramowaniem 3rd party, które nie wiadomo jak i kiedy łatać, bo poprawki wychodzą bez żadnego porządku i każdy wydaje je inaczej. I wychodzi tu piękno dystrybucji z dużym repozytorium – można się w końcu popastwić nad Windowsem mając obiektywnie zebrane dane. 🙂
Tylko błagam – nie wyjeżdżajcie tu z wojną na przeglądarki. 🙂
A co powiesz na taki scenariusz:
sekretarka/manager/dyrektor ma zainstalowany na kompie iTunes, bo ma super-hiper iTelefon. Przez lukę dostaje się do korporacyjnej sieci ransomware szyfrujące n stacji roboczych (1 <= n < N) dokładnie w dniu/przeddzień jakiejś prezentacji/podpisania kontraktu. Oczywiście nie udaje się na czas zapłacić okupu ani przywrócić danych. Straty dla firmy są znaczące. Tylko błagam – nie wyjeżdżaj mi z "bezpiecznymi" sieciami firmowymi i standardowymi stacjami roboczymi. Nie każdą firmę na to stać.
To przykład drugi – pracownik/pracownica księgowości dostaje wiadomość na friend-face-buku do "gorącej laski"/"słodkiego bawiącego się kotka". Nowo zainstalowany keylogger dobiera się do firmowego konta.
Przykład trzeci – konkurencja podsyła spreparowany pdf z jakąś prezentacją na temat współpracy czy innego mydlenia oczu. Do sieci wchodzi robaczek wykradający kawałeczek po kawałeczku istotne dane na temat aktualnie tworzonego produktu. Konkurencja opóźnia dostarczenie produktu/sama wypuszcza swój produkt szybciej.
"Małe" luki w "małych i fajnych" programikach są często lekceważone przez "specjalistów" od siedmiu boleści i od zabezpieczeń, bo oni skupiają całą uwagę na SSH. To właśnie małe luki są najkosztowniejsze, bo ze względu na częstość występowania i ich rozproszony charakter są najtrudniejsze w detekcji i załataniu. Przykład niebezpiecznika – ktoś ich DDoS'ował. Łatwo to zauważyć. Ale XSSa w youtube załatano dopiero wtedy, kiedy 4chan zaczął na masową skalę atakować teledyski jakiegoś szczyla. Jesteś w stanie spekulować na temat tego jak długo luka była znana i wykorzystywana przez profesjonalistów, zanim 4chan wystawił ją na światło dzienne?
Takie myślenie to mydlenie oczu. Bo luki są i będą niezależnie od metod budowy softu. Wiec biadolenie nad sposobami przeniknięcia jest żałosne. Jak ktoś ma ważne dane to niech o nie należycie dba, a nie wymyśla.
"Bo luki są i będą niezależnie od metod budowy softu."
Niby tak, ale pewne sposoby programowania są bardziej lukogenne niż inne.
zwłaszcza jak sie koduje na "gdzie kucharek sześć.."
"Tam wiecej druszlaków" …
A co to takiego ten "druszlak"? 😉
Piszesz chaotycznie, nielogicznie. Popełniasz tyle błędów jak Oracle i Apple razem wzięci. Jeśli już piszecie jakiegoś "niusa" to się odrobinę do tego przyłóżcie.
A co powiesz, o dających mu +? Dla mnie umiejętność pisania to taki wyćwiczony skill, ale umiejętność czytania ze zrozumieniem więcej niż tytuł i zajawkę- to raczej obowiązek człowieka myślącego.
Jest negatywny tytuł o Apple – jest plus. Reszty czytać nie trzeba;)
nie przesadzajcie tylko siedmiu fobów wyplusowało, a co to robi na newsie dnia nie wiem
Przyklad?
No tak wbrew niektórym – robi się coraz bardziej popularny -> pojawia się coraz więcej dziur.
Devil
Dziury np w OSX sa przez Secunie zakumulowane ze wszystkich wersji OSX (aktualnie mamy 10.6). Dla Windows Secunia liczy dziury oddzielnie dla kazdej wersji, XP, Vista, 7. No to OSX faktycznie wyglada zle.
Takich "mykow" w tym raporcie jest mnostwo.
Apple jest naprawde wolne w lataniu, ale ilosc niezalatanych dziur ma najczesciej nizsza niz MS.
Tak na marginesie MacOSX ma jakiś odpowiednik sandboxa lub jaila ?
MacOS ma dostępne jaile, ma też domyślnie wkompilowany w jądro MAC Framework (Mandatory Access Control, coś podobnego jest w Linuksie pod nazwą SELinux).
@Matełósz
Czemu na wiki nic o tym nie ma?
http://en.wikipedia.org/wiki/Jail_%28computer_sec…
@mgol: jest chroot
No ale chroot to AFAIK średni mechanizm bezpieczeństwa.
a jest domyślnie używane? Dlaczego o to pytam, ano jak wiadomo z powszechnie krążących opinii maka się nie konfiguruje tylko wyciąga z pudełka i ma być wszystko cacy.
@marcinsud: Tak, MAC (nb. ten sam framework jest we FreeBSD) jest domyslnie wlaczony i uzywany na przyklad do pytania, czy na pewno uruchomic program z niepewnego zrodla (na przyklad z internetu). Warto zauwazyc, ze w przeciwienstwie do innych systemow jest to zrobione poprawnie, to znaczy jesli sciagniem z internetu archiwum, a nastepnie je rozpakujemy, to dostaniemy pytanie przed uruchomieniem rozpakowanego pliku.
w windows jeśli rozpakujesz zipa przy pomocy wbudowanego narzędzia tez wyskoczy taki monit. W większości innych systemów rozpakowany plik się nie uruchomi po prostu, bo nie będzie wykonywalny.
@marcinsud: bo plik ściągany z internetu ma dodawane ZoneId=3 (lub coś w ten deseń) w streamach ntfs i po tym windows poznaje, co to za plik. Skopiuj go na FAT (nie obsługuje streamów) i porównaj. Co więcej w streamach ntfs można przechowywać niemal wszystko, a to już jest trochę straszne.
@Matełósz: OSX nie ma jaili. Ma natomiast MAC framework. Cos takiego, tylko bez frameworka (bo LSM to przepraszam, ale jakis zart jest) jest w Linuksie jako SELinux – tyle, ze MAC jest proste, modulowe i przejrzyste, a SELinux nie.
Kiedys juz patrzylem na statsy z podobnego badania, sugerujacego ze produkty MS sa mniej zabagowane niz np Apple'a. Slupki i wykresy byly piekne, ale jak wszedlem zobaczyc co to za krytyczne niezalatane bledy w tym MacOSX to wyszlo:
– dziura we flashu od adobe
– dziury w command lineowych programach, typu (tu z glowy) perl, bash
To byly totalnie third parties, tudziez programy opensource ktore apple dodaje do swojego systemu. Spokojnie, nie pije do opensource – mowie tylko, ze jakby MS zrobil porzadnego shella, gdzie out of the box dodaje perle, bashe… to by wyszlo cos zupelnie innego. A tak, konsole w Windows jest lysa, ale za to nie ma dziur i ogolne statystyki sa dobre.
A PowerShella z gromada skryptów to niema w MS Windows? OS X to nic innego jak third party, jajko niedokonca ich, base system też, jedynie ichniejsze jest GUI i aplikacje graficzne (choć ich liby nie koniecznie). Tak myśląc to w Apple nie ma błędów, a błędy są wszędzie i zawsze będą.
@Ps
Zobacz sobie na dowolny OS – źródłem największej ilości błędów jest zawsze 3rd party.
Devil
@Ps
… i jeszcze jedno – konsola w Windows nie jest łysa – problem polega na tym, że mało kto używa konsoli w Windows i tak ok 80% adminów Windows nie wie, ile można zrobić z gołej konsoli (nie mówię o PS).
Devil
@Devil: bo tej konsoli bez PS się używać nie da. Sorki- taka jest prawda. Banalna rzecz jak wyświetlenie daty w formacie iso po brak grepa i taila (trzeba doinstalowywać). O durnie działającym more i braku less nie wspominam.
PS to potęga i pierwszy raz czuję się w konsoli Windowsa nie jak niepełnosprawny.
Po co tail i grep jak masz całe VS? nawet W2003 administruje się przez konsole własnie wywołaniami VS oraz skryptami.
Visual Studio?
VBS jest przydatne i potezne, ale to co mozna zrobic w jednej linijce w Linuxie to moze by potrzebowalo i 20 lini w VBS.
PS? Tak, to jest naprawde dobre.
@konski_pytong: VS- mówisz o Visual Studio? Jak tak, to chyba sobie jaja robisz.
@Tomasz Woźniak
Co do grep to można od biedy zastąpić findstr.
Co do daty to mnie wystarcza echo %date%.
Nie wiem co jest z more ale ja nie czuję różnicy.
Poza tym odwołujesz się do funkcji, które mają sens jeżeli pliki konfiguracyjne są human readable – w Windows nie są. Więc spora część z tego co ma sens w Linux nie ma sensu w Windows.
Devil
@Wozniak jaja to sobie robisz wypowiadajac sie poraz kolejny, o czym o czym nie masz pojecia. Od kiedy konsola Windowsowa nie obsluguje VBScript, JScript? A dodatkowych polecen (twojego grepa i taila) nie ma w bezpłatnym MS Resource Kit Tools? Pomijając zupełnie całą grupę standardowych skryptów administracyjnych dostarczonych przez MS. Ale skąd ty to możesz wiedzieć jak klikasz tylko w tym swoim łubuntu?
@konski_pytong: po pierwsze, proszę o odrobinę stonowania poziomu dyskusu. OK? Odpisuje warunkowo, bo nie lubię tego typu pyskówek.
Po pierwsze- wiem co to R-kit i jasno napisałem, że część rzeczy można doinstalować. Mam pojęcie, wyobraź sobie co to jest R-kit i bawiłem się i vbs i PS. Klikam w Ubudubu, ale czasami coś tam na produkcyjnych W2003 dłubać muszę- i mam porównanie.
Póki co nie wyjaśniłeś mi o co chodzi z VS- czy chodzi o VisualStudio?
Na zakończenie- nie zawsze masz możliwość doinstalowania czegokolwiek na podległych ci maszynach. To wynika z umów wzajemnych między podmiotami- hostującymi, administrującymi i wykładającymi kasę. Zakładam, że jesteś tego świadomy- ale piszę to dla pewności. Ideałem jest jak operujesz tylko na jednym języku skryptowym i najlepiej jak w czystym środowisku- bez instalowania dodatków. Oczywiście tego się nie da zawsze zrobić- podałem przykład banalny, czyli daty- do tego trzeba użyć już VBS, albo cmd z udziwnieniami i modlić się by nikt nie zmienił ustawień lokalizacyjnych. Takie skryptowanie z przeplatanym vb i cmd wygląda tragicznie. Tak to jest, ale to, że da się napisać w VBS, JS czy innym wspieranym skryptowym języku nie zmienia faktu, że sama konsola bez scripting hosta to dno totalne.
PowerShell powstał właśnie nie dlatego, że było bardzo dobrze, ale dlatego że było strasznie daleko od dobrze. Bardzo dobrze, że powstał i że jest DOMYŚLNIE w wszystkim ponad 2003.
Na przyszłość- nie życzę sobie wynurzeń osobistych i durnowatych sztuczek w stylu 'co ty możesz wiedzieć, skoro nic ponad swoje biedne BSD na oczy nie widziałeś'. Pasi ci taka forma dyskusji- to ją prowadź, ale nie ze mną.
Pozdrawiam i życzę miłego dnia.
poważny komentarz, napisany przez poważnie ksywko-brzmiącego człowieka
a piję do ataków ad personam "Końskiego_czegośtam"
Chyba nie do konca sie zrozumielismy.
Ja mowie ze Apple wraz z MacOSX daje normalnego unixa w trzewiach, ze spora iloscia programow CLI. MS daje Windows bez powershella, bez cygwin'ow i innych takich. Sila rzeczy, out of the box, w MacOSX jest wiecej miejsc gdzie moga byc dziury – w dodatku miejsc, nie do konca kontrolowanych przez Apple – nie wiem jak oni robia, ale raczej nie tworza swoich branczy dla kazdego projekciku OS.
MS natomiast, jak juz cos dodaje do Windy, to soft od firm, ktore wczesniej kupil to raz, a dwa – nie mowcie mi prosze ze konsola jest super – zeby zrobic proste operacje, to juz trzeba umiec programowac w jakims VBS.
O zgroza a w linuksie/uniksie trzeba umiec programowac w bash/csh/ksh/sh/zsh. Wiec czym, ze jest kilka komend basica, który też służy do pisania skryptów w Wordzie, Excelu czy w pakiecie OO.o?
Umiesz obsługiwać worda/openoffica, umiesz posługiwać się konsola windows do 2003.
Mnie interesuje dlaczego na linukse tak mało (żeby nie powiedzieć brak) softu z wsparciem dla NX-bit? To ma poprawić bezpieczeństwo tak?
@konski_pytong: news jest o Apple, nikt nie wspomina o Linuksie. Możesz odpuścić swoje chore urojenia i frustracje?
To news o rankingu bezpieczeństwa i rozwiązaniach (zwyczajach) programistycznych związanych z bezpieczeństwem
no, o ile sie nie myle, NXa wlaczonego standardowo masz w np opensusie; rowniez latka grsecurity daje mozliwosci jego uzycia- i, poza nielicznym oprogramowaniem, wiekszosc aplikacji dziala z tym bezproblemowo.
moglbys dac jakiegos linka do informacji o owej 'niewielkiej ilosci aplikacji wspierajacej NX bit'?
1. W wiekszosci distr linuksowych NX/XD-bit jest wyłaczony ew. wyłacznie emulowany, właśnie z powodu braku aplikacji obsługujących tą technologie. Do poczytania https://wiki.ubuntu.com/Security/Features (tylko deamony i firefox z ASLR.. a w 2008r tylko SSH, W Windowsie XP SP2 i niemal wszystkie dostarczane programy z DEP i spora czesc z ASLR)
2. Secunia niedawno sprawdzała zewnetrzne aplikacje do windows wiekszosc nie obslugiwała DEP (w windows niemal wszystkie alikacje obsluguja zarowno DEP jak i ASLR) – do poczytanie bodajże w Secunia DEP ASLR 2010 paper.
3. Kwesti *BSD i innych systemów nie poruszam, bo tam są inne mechanizmy zstępujące DEP, choć oczywiscie jadro obsługuje natywnie NX/XD-bit od 2003/2004 roku
Mialem sie dopisac zaraz po do dodaniu newsa, ale news mi uciekl — tak czy inaczej, czy ktos zna podobny raport dotyczacy bledow jako takich?
Dla mnie jest ten raport o tyle ciekawy, ze pokazuje, ze inzyniera oprogramowania (biorac jej wytwory) tak naprawde lezy, umiemy budowac juz duzo i szybko, ale brak jest metodologii (z prawdziwego zdarzenia) weryfikacyjnej.
Metodologia jest – pytanie czy opłaca się ją stosować.
Hmm, pacjent lezacy na stole wolalby pewnie, zeby systemy monitorujace jego funkcje zyciowe, jak i sonda, i co tam jeszcze medycyna wymyslila, dzialaly bez bugow. I operatorzy systemow okretow podwodnych, elektrowni jadrowych itd itd. takze mieliby to samo zdanie.
We wlasnych programach chcialbym ja takze zastosowac. Dla zasady.
Ale przede wszystkim — wszystkie te osoby chcialyby wiedziec co to za metodologia? Piszesz bowiem, ze jest.
Może Cię to zdziwi, ale oprogramowanie do myśliwców i aparatury medycznej pisze się trochę inaczej niż, powiedzmy, komunikatory internetowe.
To stosuj.
Najprościej jest wybrać się na studia informatyczne – ten temat jest zwykle poruszany, jednak podstawowe informacje można znaleźć już na Wikipedii:
http://en.wikipedia.org/wiki/Software_testing http://en.wikipedia.org/wiki/Software_quality
@macias: w krytycznych systemach stosuje się bardzo sztywne procedury nie tylko na etapie weryfikacji, tylko całego procesu tworzenia systemu. Od początkowej bardzo szczegółowej analizy (nie na zasadzie "zrób fajny moduł robiący to i to", tylko "zrób funkcję o nazwie X biorącą parametry Y i Z i zwracającą wartość wg takiego a takiego algorytmu"), przez stosowanie "bezpiecznych" języków (Ada, mocno okrojony podzbiór C itp), odpowiednie praktyki programistyczne (np. zakaz operowania na pointerach), obowiązkowe bardzo szczegółowe crosschecki kodu itp, po wymagane unit testy i dokładne testy końcowe.
A, i developer nie może sobie ot tak wpaść na pomysł, że jakąś funkcję sobie zoptymalizuje albo zrefaktoruje. Musi mieć akceptację szefostwa + analizę proponowanych zmian.
Z tego, co gdzieś czytałem, testuje się też dział QC, przez celowe wprowadzenie N błędów i sprawdzenie, ile procent z nich zostanie wykrytych.
Wrzuć sobie w google hasła typu "nasa software development", "military software development" i "aerospace software development".
To chyba takiego działu GG ani Linux nie mają, no chyba, ze rootkity w paczkach etc to wlasnie testy były 🙂
@koński: pewno tak 🙂 Niestety biorąc pod uwagę szybkość wykrycia problemu przez te "miliony oczu patrzące w kod" linuksowy dział QC poległ na całej linii.
@el.pescado WOW! Testy to jest ta procedura weryfikacyjna? A matematyka doswiadczalna co na ten temat?
@ufolodek, zdaje sobie swietnie sprawe, ze przykrecenie sruby w testach pozwoli na lepsze testowanie. Ale to nie jest powazna metodologia weryfikacyjna. Chodzilo mi o to, ze jest rozziew pomiedzy metodologia "wiecej testow, jeszcze wiecej testow" a (niespelnialnym) dowodem poprawnosci dzialania.
Nie wiem, czy jest mozliwy w ogole do zrobienia kolejny krok w tym kierunku (dowodliwosci), ale zwrocilem tylko uwage na to, ze o ile tworzy sie soft coraz latwiej, to jesli chodzi o testy niczego tak naprawde sie nie dopracowalismy.