[bitbucket]

Не надо разводить "рукожопие". Кстати, это общее правило для любых систем - 90% успеха гарантирует наличие мозга и правильных мер по защите.

Собственно, с этого надо начать и этим же надо закончить. После чего сделать следующий шаг: понять, что руконежопие встречается сравнительно редко на фоне миллиардов компьютеров. Вот такая загогулина...

Видимо процент рукожопых и в среде писателей софта такой же, как и в общей массе населения. Но уменьшить его в сресе разработчиков ПО вполне реально, только никому это не надо. Тема про ответственность разработчиков ПО в свете борьбы с пиратством тут на форуме обсуждалась уже. А вот когда за каждый пропущенный вирус и последствия, связанные с этим, производитель антивирусного ПО и операционной системы будет отвечать материально, тогда ситуация поменяется. А пока "всем пофиг" - оно будет как есть.

 

Господа Инженеры, у Вас такие интересные, но сложные мысли! Страшно далеки Вы от народа и его чаяний :)))))))

Нет, это просто закон такой "умственный потенциал планеты - число постоянное, а население растет".

 

[Прохожий]

А вот когда за каждый пропущенный вирус и последствия, связанные с этим, производитель антивирусного ПО и операционной системы будет отвечать материально, тогда ситуация поменяется.

Конечно, изменится. Навернутся антивирусные компании. Или будет выбор: защита с ответственностью по цене самолета или без оной за бесплатно или смешные деньги. Угадай, что выберет основная масса?

 

Погоди, в юзерский интерфейс обернём, - конфетка будет.

Ага, а бэкдоры будут встроены прямо в интерфейс :))) Тут ведь вот какое дело: либо "свистелки и перделки" либо "функционал". Первое - просто, понятно и востребовано, второе - предельно неоднозначно.

[bitbucket]

Конечно, изменится. Навернутся антивирусные компании. Или будет выбор: защита с ответственностью по цене самолета или без оной за бесплатно или смешные деньги. Угадай, что выберет основная масса?

По цене соломета ? Возможно. Так как винду надо будет заново написать, и без дыр. А это балбесы из мелкософт неосилят никогда, ибо как в ролике "адвертайзинг, адвертайзинг, фикс виста, адвертайзинг, адвертайзинг" основные ресурсы идут на то, что бы впарить, а не сделать качественно.

 

Пингвина вполне реально сделать с хорошей защитой (не 100%, разумеется), причем из коробки и ничего не настраивая. Почему современные дистрибутивы не парятся по поводу фаервола и подобных вещей при установке "из коробки" - я не знаю.

[vIv]

OpenBSD - только две дырки в дистрибутивах. Но какова популярность?

[bitbucket]

OpenBSD - только две дырки в дистрибутивах. Но какова популярность?

Ну у OpenBSD тоже есть свои приколы, связанные с лицензией. Из-за чего многого софта под нее нет. А так - хорошая система, годная. Много полезных open*d довольно популярно.

 

[st_re]

Почему современные дистрибутивы не парятся по поводу фаервола и подобных вещей при установке "из коробки" - я не знаю.

 

Вы это себе как представляете ? Как только они не смогут расшарить, скажем, принтер (ну чиста для примера, вариантов, что не плохо бы закрыть, но иногда оно надо, масса), так через 5 минут найдут как выключить фаервол, который мешает, и все. "фаервол" и "не настраивать" слова из разных миров. Это только в корпорате пользователь не настраивает фаерволы, но просто там все настраивает IT отдел.

 

Да и не панацея фаервол. Куча народу сидит за натами (что почти исключает активную атаку снаружи), но им это нисколько не мешает заражаться вирусами. А локально запущенный вирус всегда найдет возможность обойти любую локальную штатную защиту. Она же у всех одинаковая. И проблема с пачкой вирусов на винде это только проблема ее распространенности. Будет линукс хоть сколько то ближе, по %% проникновения на домашних компьютерах, будет и под него счастье. 90% тех хомяков, которые сейчас сидят на линуксе, сидят под рутом. любой загруженный и запущенный локально файл сможет сделать все что угодно. А загрузить локально файл.. даже не надо ломать защиту, вона на сиськи Анны Курниковой сколько народу купилось. они САМИ все загрузят. Сами скажут "да, я хочу запустить non trusted файлик".

 

Кстати, первый червь был написан под несколько платформ, за много лет до появления винды, он сам себя компилил, и пролезал через дыру в, как бы, сторонней программе "sendmail". Ничто не мешает распространяться, правда в уже скомпилированном виде, и сейчас. на разные платформы. Благо стороних программ несоизмеримо больше. А уж браузеров то. Вон, что не месяц, то пара дыр в адобовых поделиях. А найти сайт без флеша, это постараться надо. У меня только на этой странице сейчас зарезано 4 флешовых банера.

[bitbucket]

Вы это себе как представляете ? Как только они не смогут расшарить, скажем, принтер (ну чиста для примера, вариантов, что не плохо бы закрыть, но иногда оно надо, масса),

Расшарить принтер для всего инета ? Скоре для локалки. Что мешает в этом случае сделать iptables -A INPUT -j ACCEPT -p tcp -s локалка/битс --dport 631 при запуске cups ? ИМХО, только лень писателей дистрибутивов. Для "понимающих" можно ввести поле "на принтер пускать отсюда".

 

А локально запущенный вирус всегда найдет возможность обойти любую локальную штатную защиту.

Мы говорим про нормальные системы, которые не дырявые "от рождения" ? Так вот что мешает ограничить возможности юзера на запись в системные файлы ? Так же как и обраничить возможности, например браузера, на выполнение действий, которые ему не свойственны. Конечно, поведенческий анализ в online осуществлять будет накладно, но не дать браузеру делать то, что он не должен - вполне возможно.

 

90% тех хомяков, которые сейчас сидят на линуксе, сидят под рутом. любой загруженный и запущенный локально файл сможет сделать все что угодно.

В убунте, например, это сложно сделать, и не нужно.

 

и пролезал через дыру в, как бы, сторонней программе "sendmail".

количество дыр в sendmail не поддается исчислению :) там даже бекдор был, который shell запускал.

 

Вон, что не месяц, то пара дыр в адобовых поделиях.

Пока писателей софта не будут наказывать рублем за дыры ничего не поменяется.

 

А найти сайт без флеша, это постараться надо. У меня только на этой странице сейчас зарезано 4 флешовых банера.

Я их даже не считаю... adblock рулит. (Павел ! А зачем тут баннеры, ведь основное население форума знает про adblock и все равно выпилит все баннеры ?)

ИМХО, Флеш должен уйти. Стив нам поможет в этом деле.

 

[Прохожий]

то мешает в этом случае сделать iptables -A INPUT -j ACCEPT -p tcp -s локалка/битс --dport 631 при запуске cups ? ИМХО, только лень писателей дистрибутивов. Для "понимающих" можно ввести поле "на принтер пускать отсюда".

Коллега, Вы никак не поймете, что множество возможных конфирураций софта конечно, но очень, очень велико. Это раз.

 

Второе. То, что на КАЖДУЮ дырку, нюанс или уязвимость Вы лично найдете ответ - это не значит, что это же сделает любой юзверь. А у сборщика дистрибутива могут быть иные соображения, например.

 

Вы мне навеяли старую шутку: "Теоретически, между теорией и практикой нет большой разницы. На практике же разница огромная!" (с) Теоретически можно закрыть все дыры, образовать всех пользователей, излечить всех больных и накормить всех голодных. А вот практически как-то это не очень выходит... Увы!

[bitbucket]

то мешает в этом случае сделать iptables -A INPUT -j ACCEPT -p tcp -s локалка/битс --dport 631 при запуске cups ? ИМХО, только лень писателей дистрибутивов. Для "понимающих" можно ввести поле "на принтер пускать отсюда".

Коллега, Вы никак не поймете, что множество возможных конфирураций софта конечно, но очень, очень велико. Это раз.

Количество софта, который лежит "в коробке" так же конечно. Ничего не мешает в пакете к каждой софтине дописать "софтина делает то и се, и ей нужно открыть/закрыть те-то порты". Ведь там уже лежит список файлов пакета, инсталяционный и деинсталяционные скрипты и т.д. Добавить "профиль поведения" не так сложно. И делать это будет вполне грамотный человек, отвечающий в дистрибутиве за этот пакет. От юзера дейстий никаких не требуется.

 

Вы мне навеяли старую шутку: "Теоретически, между теорией и практикой нет большой разницы. На практике же разница огромная!" (с) Теоретически можно закрыть все дыры, образовать всех пользователей, излечить всех больных и накормить всех голодных. А вот практически как-то это не очень выходит... Увы!

Не должен юзер думать про фаерволы и подобное - за него об этом должны позаботиться разработчики системы. Юзер ожидает от браузера "серфинг по инету". Все, браузер должен иметь возможность обеспечивать эту функцию. И должен быть поставлен в жесткие рамки, которые не дадут ему сделать больше, чем от него требуется. Юзер настроил какую-то фичу, например, pptp подключение - система должна сама знать, какой трафик появится при включении этой фичи, и пропускать только его. А когда в винде висит дыра на 0.0.0.0:445 - это ахтунг, за это надо наказывать.

 

[st_re]

Вы это себе как представляете ? Как только они не смогут расшарить, скажем, принтер (ну чиста для примера, вариантов, что не плохо бы закрыть, но иногда оно надо, масса),

Расшарить принтер для всего инета ? Скоре для локалки. Что мешает в этом случае сделать iptables -A INPUT -j ACCEPT -p tcp -s локалка/битс --dport 631 при запуске cups ? ИМХО, только лень писателей дистрибутивов. Для "понимающих" можно ввести поле "на принтер пускать отсюда".

 

Это тут присутствующие поймут что от них хотят. А подавляющее большинство купивших принтер в лабазе и пихнувших CD не смогут ответить на такой сложный вопрос. половина из них найдет галочку "пускать отовсюду" и успокоится... вторая половина не найдет, но кто то им шепнет, что это фаервол. и они найдут как того выключить совсем, дабы не мешался под ногами.

 

Слишком перетянутая защита в руках обывателя вызовет или его гнев в сторону производителя, или будет выключена полностью. Недотянутая, скорее всего бессмысленна. Угадать заранее потребность обывателя невозможно. У одного 1 комп дома и ему нетбиос нафиг не упал, у другого пачка. У одного принтер локальный, у второго вай фай, у третьего воткнут в роутер, четверый IPSEC туннелем ходит на работу, пятый с работы ходит домой через RDP, шестой купил медиа центр, кривых разработчиков, пользующих всякие невнятные протоколы, у пятого через VLC мультикаст смотрится, у шестого этот мультикаст генерится, седьмой поставил себе апач на винду и у него там сайты. Если даже нужная ему программа умеет работать со штатным фаерволом, то ей 1 нужнен рут (админ или кто там в этой системе) 2 значит тоже самое сможет сделать вирус

 

А локально запущенный вирус всегда найдет возможность обойти любую локальную штатную защиту.

Мы говорим про нормальные системы, которые не дырявые "от рождения" ? Так вот что мешает ограничить возможности юзера на запись в системные файлы ? Так же как и обраничить возможности, например браузера, на выполнение действий, которые ему не свойственны.

 

 

ограничить РУТ ? но как ? Если сделать защиту 100%, чтобы рут не мог перезаписать /etc итд, то этим станет невозможно пользоваться (вы же не будете грузиться в сингл мод каждый раз для добавления задания в крон и на каждый подобный чих? это хорошо для сервера, но не для рабочей станции, это хорошо для человека который хорошо понимает принцип защиты, остальные будут искать наиболее простой способ, после первого же конфликта с защитой. Они ее выключат. Или сменят систему на более дружественную). А если останется возможность что то туда записать, то дело времени найти что туда надо дописать, чтобы при следующем буте оно сработало как надо и выключило, что надо. Не надо считать, что винда дырява как решето. Это давно не так. И подавляющее большинство сейчас затыкаемых дыр, они очень не тривиальны в использовании. Вариантов когда переполнением в 139 порт чтото там локально запускалось или ../../../cmd в IIS запускал CMD не было довольно давно. Основные вирусы сейчас лезут через браузеры. причем далеко не всегда используя дыры. Чаще используется халатность юзеров. Халатность юзера от переноса его с винды на любую другую платформу никуда не денется. Ну тоесть абсолютно. Будет популярен линукс, будет там вирусов. Вирусы от нечего делать пишутся редко. В основном им нужен массовый ботнет. Спам там разослать, или еще какую пакость, типа как в сабжекте, поделать. Винда много более популярна, чем все остальное вместе взятое. Смысл писать вирус подо что то еще ?

 

Конечно, поведенческий анализ в online осуществлять будет накладно, но не дать браузеру делать то, что он не должен - вполне возможно.

 

А что не должен делать браузер ? Скачать файл и выполнить ? Да вроде должен. В общем то достаточно для запуска вируса.

 

Когда прошла волна курниковых итд, которые тупо скриптом слали почту через локальный оутглюк, что сделал M$ ? праильно на каждую попытку воткнуться к ним через мапи стали вываливать запрос. И че ? Ну да, поотваливалась масса программ, которые работали с календарями и тасками. Вирусы со спамом куда то делись ? Помоему нет.

 

Картина маслом. на машине стоит антивирус, вываливает на попытку отправить письмо с вирусом окно. И пользователь сидит и жмет "продолжить". И так 1000 раз подряд. Хорошо позвонил спросить, на тему "че це тако". А так бы и отправил бы вирус всем, кому оно запланировано, а так пресекли на пол пути. Что тут поможет ? А на спам оно просто вываливает справа внизу окно "проверка" и все. проверилось - убралось. фокус окно не перехватывает. Оно работать не мешает. так и хлопает днями "проверка". Человек не дергается.

 

Кстати, тут недавно хомячка поймали на скане... Сканировались 3 порта: ssh, ftp и Remote Desctop... Первый явно не винда, последний явно винда. Это все сканировалось из ОДНОГО червя, с линукса. Ему проломили SSH. что то мне подсказывает, что проломив рдп, оно и там себя будет хорошо чувствовать и сканировать тот же набор. не хохмы же для они RDP сканят. Значит оно его тоже умеет.

 

[Прохожий]

От юзера дейстий никаких не требуется.

ОМГ! А в Деда Мороза верите?

 

Господа, вы забыли или никогда не знали как выглядит функция юзабилити=f(безопасность), особенно в ее крайних значениях. Как только вспомните, у Вас пропадет повод для спора. Эвон как-то обсуждали пресловутый МСВС. Так затянут по безопасности, что в нем не только вирусы - половина софта не работает :) Конечно, это разработчики-дебилы, ага...

[bitbucket]

А подавляющее большинство купивших принтер в лабазе и пихнувших CD не смогут ответить на такой сложный вопрос. половина из них найдет галочку "пускать отовсюду" и успокоится... вторая половина не найдет, но кто то им шепнет, что это фаервол. и они найдут как того выключить совсем, дабы не мешался под ногами.

Я как-то не вижу связи между принтером и сетью. Что требуется от системы - найти на диске драйвер принтера, проверить его подлинность и воткнуть в систему. Соответственно, подсистема печати не должна делать большего, чем печатать на принтере.

 

Угадать заранее потребность обывателя невозможно. У одного 1 комп дома и ему нетбиос нафиг не упал, у другого пачка. У одного принтер локальный, у второго вай фай, у третьего воткнут в роутер, четверый IPSEC туннелем ходит на работу, пятый с работы ходит домой через RDP, шестой купил медиа центр, кривых разработчиков, пользующих всякие невнятные протоколы, у пятого через VLC мультикаст смотрится, у шестого этот мультикаст генерится, седьмой поставил себе апач на винду и у него там сайты.

Все приведенные вами примеры имеют четкие поведенческие рамки: vlc не должен ходить на 25 порт, на 139 не должны ходить "не из локалки" и т.д. Для каждой софтины можно (в дистрибутиве, пакете) указать ее функционал, т.е. что софтина будет делать. Соответственно система должна давать софтине работать в рамках определенного функционала, не более.

 

Если даже нужная ему программа умеет работать со штатным фаерволом, то ей 1 нужнен рут (админ или кто там в этой системе) 2 значит тоже самое сможет сделать вирус

Софтина не должна работать с mac/selinux. Софтина должна предоставить подписанный профиль своих действий при установке. Все, остальное делает система.

 

ограничить РУТ ? но как ?

Не пускать браузер под рутом. Административный юзер только для администрации. Это легко делается через freebsd mac/selinux. Про винду не знаю.

 

Если сделать защиту 100%, чтобы рут не мог перезаписать /etc итд, то этим станет невозможно пользоваться (вы же не будете грузиться в сингл мод каждый раз для добавления задания в крон и на каждый подобный чих?

Нет. Для изменения настроек системы должна быть отдельная софтина, которая может только менять настройки (это прописано в ее профайле), а код этой софтины подписан, и подпись проверяется на уровне ядра. Каждые 5 минут нормальному юзеру менять настройки не надо.

 

Они ее выключат. Или сменят систему на более дружественную).

конфликт с защитой возможен тогда, когда комп много спрашивает у юзера того, что юзер не знает. Не надо спрашивать у юзера - пусть на эти вопросы отвечает разработчик софтины, предоставляя ответы при установкие этой софтины в виде профиля поведения программы.

 

Не надо считать, что винда дырява как решето. Это давно не так. И подавляющее большинство сейчас затыкаемых дыр, они очень не тривиальны в использовании. Вариантов когда переполнением в 139 порт чтото там локально запускалось или ../../../cmd в IIS запускал CMD не было довольно давно.

Винда дырява как решето. Иначе не было бы столько фееричных дырок, которые действуют на подавляющее количество версий винды. И не был бы так развит рынок "костылей" для винды, которые затыкают дыры.

 

Основные вирусы сейчас лезут через браузеры. причем далеко не всегда используя дыры.

Большинство - через дыры, незаметно от юзера. Если не давать браузеру делать то, что он не должен, например делать exec() или еще какую-нибудь несвойственную ему функцию, то даже при наличии дыры, связанной с переполнением буффера, система прибьет браузер по причине нарушения профиля поведения.

 

Чаще используется халатность юзеров. Халатность юзера от переноса его с винды на любую другую платформу никуда не денется.

Не давать юзеру халявы. Скачал юзер exeшник - из браузера запустить его не получится, например, по ограничениям безопастности. Запускать можно только из файл-менеджера. Перед запуском - проверка на вирье обязательно. Проверка подписи производителя - обязательно. Причем, юзера спрашивать не надо - "тут вирус, ты будешь запускать ?". Прибить файл и сообщить об этом юзеру. Ну и далее - если это пакет софта, то создание "профиля поведения" софтины и не пускать ее никуда более. Плюс, для каждой софтины заводится место под "файлы", которые она создает "для себя", и это место не должно пересекаться с ее исполняемыми модулями и оттуда нельзя делать exec(), например.

 

Смысл писать вирус подо что то еще ?

ради proof of concept, например. себя потешить.

 

А что не должен делать браузер ? Скачать файл и выполнить ? Да вроде должен. В общем то достаточно для запуска вируса.

ИМХО, браузер не должен делать exec() вообще: все плагины и т.д. требуют kldload(). Даже не должен иметь возможность писать куда-либо, кроме своего кеша, настроек и места для download. Запуск внешнего приложения - только через передачу ссылки системе с просьбой "открыть объект". Система сама знает , умеет ли она открывать данный тип, и, если умеет - сама запустит нужное приложение. Вариант, когда по клику на ссылку куда-то в систему качается какой-то файл, а потом открывается тектовый порцессор или какое-то специализироиванное приложение - неприемлем. Браузер может только сохранить файл в download, и сообщить о желании открыть файл системе. Оно примерно так сейчас и работает, только слишком мало проверок, например, на "исправность" файла, что бы его открытие не привело к запуску не того, что надо.

 

Когда прошла волна курниковых итд, которые тупо скриптом слали почту через локальный оутглюк, что сделал M$ ? праильно на каждую попытку воткнуться к ним через мапи стали вываливать запрос. И че ? Ну да, поотваливалась масса программ, которые работали с календарями и тасками. Вирусы со спамом куда то делись ? Помоему нет.

Давайте не будем обсуждать поделки Билла. Там все изначально плохо, исправить уже нельзя, ИМХО.

 

Картина маслом. на машине стоит антивирус, вываливает на попытку отправить письмо с вирусом окно. И пользователь сидит и жмет "продолжить".

Не давать юзеру отсылать вирус. Не спрашивать: можно или нет. Сразу прибивать задачу. Процент ложных срабатываний антивируса сейчас довольно мал, при наличии дополнительных проверок на происхождение контента (если мы говорим про почту, например), т.е. откуда взято письмо, почему там аттач в виде .exe и т.д. вероятность обнаружения вирья можно еще повысить.

 

Кстати, тут недавно хомячка поймали на скане... Сканировались 3 порта: ssh, ftp и Remote Desctop... Первый явно не винда, последний явно винда. Это все сканировалось из ОДНОГО червя, с линукса. Ему проломили SSH. что то мне подсказывает, что проломив рдп, оно и там себя будет хорошо чувствовать и сканировать тот же набор. не хохмы же для они RDP сканят. Значит оно его тоже умеет.

Если бы не давать проломить rdp, ssh - такого не было бы. ИМХО, на подобные сервисы доступ только с определенных адресов или же по двойной аунтефикации (например по сертификату).

 

У меня круче был прикол: юзер сам сканил 25/tcp, и при обнаружении почтового релея вливал туда спам. Причем юзер люто и бешенно доказывл, что всем, кому он отсылал спам - его партнеры или будующие клиенты, а он "фирланцер" и ему это необходимо для работы. Спам был про левые версии 1С и ее поддержку и прочие аникейские услуги. Ну посражался он с роботом ids, который ему все обламывал, потом юзера отпустило. Пример работы профиля поведения пользователя - нормальный юзер-хомяк не будет отсылать почту тоннами напрямую, в обход MX провайдера. Кому это действительно надо - используют рассылки типа subscribe.ru или почтовик на хостинге, или находятся в списке исключений ids, но до первой "абузы".

 

[-Px-]

bitbucket

Теоретик :)

Вы хоть обычных пользователей вживую видели? :)

[bitbucket]

ОМГ! А в Деда Мороза верите?

Нет. Как и в инопланетян, экстрасенсов и путешественников во времени ... :)

 

Господа, вы забыли или никогда не знали как выглядит функция юзабилити=f(безопасность), особенно в ее крайних значениях.

Честно - не знаю. Я вижу одно - сейчас для винды полно "костылей", которые пытаются делать те же действия, которые я описал выше. Те же подписи выполняемого кода, те же фаерволы, которые знают профиль работы приложений... Почему все что не сделать сразу и в одном месте, т.е. в системе ? ИМХО, одна из причин - сохранить рынок "костылей".

 

 

bitbucket

Теоретик :)

Вы хоть обычных пользователей вживую видели? :)

Да. Если я теоретик, расскажите, зачем сделали freebsd mac, selinux, например ? Зачем в виндовых фаерволах есть базы по софту, что бы опозновать браузер, пинг или телнет ? Или делать качественный софт сейчас не модно ? Проще на коленке собрать поделку и скорее вывалить ее на рынок, пусть даже с ошибками, которые потом поправят писатели "костылей" ?

Изменено 14 сентября, 2010 пользователем bitbucket

[-Px-]

Если я теоретик, расскажите, зачем сделали freebsd mac, selinux, например ?

Такие же теоретики делали

Зачем в виндовых фаерволах есть базы по софту, что бы опозновать браузер, пинг или телнет ?

Для удобства пользователя, но очевидно, что автоматическое создание правил создаёт и угрозу безопастности

Или делать качественный софт сейчас не модно ?

/*Успокаивающе*/

Модно, конечно модно, только линуксы спасут мир

[bitbucket]

Зачем в виндовых фаерволах есть базы по софту, что бы опозновать браузер, пинг или телнет ?

Для удобства пользователя, но очевидно, что автоматическое создание правил создаёт и угрозу безопастности

Для удобства пользователя при создании профайла, точнее.

 

Я не говорю про автоматические правила, создаваемые машиной. Не надо их. Надо что бы разработчик ПО делал профайл своей софтины: он то уж точно знает, что его софтина делает. И ему это будет даже выгодно - быстрее будут найдены случаи (читай баги), когда софтина делает то, чего не должна.

 

[-Px-]

он то уж точно знает, что его софтина делает

Вирус ломает софтину и начинает использовать созданный для софтины профиль в своих целях. И?

[Прохожий]

Честно - не знаю.

Ну так я расскажу. При стремящейся к бесконечности безопасности - юзабилити стремиться к нулю. При стремящейся к бесконечности юзабилити к нулю стремиться безопасность. Ну и широчайший спектр промежуточных вариантов. И, что характерно, нет сколько ни будь выраженной точки оптимума. Вот даже не поленился нарисовать.

 

Еще вопросы поводу достижимости безопасности остаются?

[bitbucket]

он то уж точно знает, что его софтина делает

Вирус ломает софтину и начинает использовать созданный для софтины профиль в своих целях. И?

Kак ? Пробили браузер, например. Вирус должен:

1. Под контекстом браузера выкачать себя из инета - доупстим, что разрешено.

2. Должен записать то, что выкачал на диск. Ну запишет он это куда-нибудь подальше от юзера - в кеш или в "рабочий" каталог. Тоже прокатит. Более вариантов у вируса нет - система не пустит писать в другие места.

3. Выполнить то, что скачал - а вот тут хрен, так как не из рабочего каталога, не из кеша exec() не пройдет по двум причинам - браузеру нехрен делать exec() вообще, оба каталога - не содержат исполняемые файлы, делать оттуда exec() система не даст. С kldload() та же ситуация - оно доступно только из каталога с самой программой, куда писать нельзя, ну и все модули имеют подпись разработчика.

[-Px-]

Выполнить то, что скачал - а вот тут хрен

Бгггг, а плагины для браузеров тогда как работают? :)

[bitbucket]

При стремящейся к бесконечности безопасности - юзабилити стремиться к нулю. При стремящейся к бесконечности юзабилити к нулю стремиться безопасность.

Честно, я не понял, что вы подразумеваете под юзабилити ? ИМХО, софт должен делать то, что он должен делать, не более. Это нарушение юзабилити ? ИМХО, нет. Нет смысла использовать почтовый клиент для лазания по инету, как и браузер для архивирования файлов. У каждой программы - своя задача. Пока программа ее выполняет - юзер счастлив. Большего от программы юзер не ждет: для другой задачи юзер поставит другую программу. Не должно быть у программы "двойного назначения".

 

ИМХО, высокое юзабилити - что когда юзер выполняет нужную ему задачу и ему не мешают, а самое главное - у юзера все получается. То, что в процессе выполнения задачи будет придушено несколько вирусов, отбито ковыряние юзеровского диска через cifs/smb из внешней сети - юзера не должно заботить. Максимум что можно - предоставить отчет о нарушениях политики безопасности.

 

[st_re]

Если сделать защиту 100%, чтобы рут не мог перезаписать /etc итд, то этим станет невозможно пользоваться (вы же не будете грузиться в сингл мод каждый раз для добавления задания в крон и на каждый подобный чих?

Нет. Для изменения настроек системы должна быть отдельная софтина, которая может только менять настройки (это прописано в ее профайле), а код этой софтины подписан, и подпись проверяется на уровне ядра. Каждые 5 минут нормальному юзеру менять настройки не надо.

 

Они ее выключат. Или сменят систему на более дружественную).

конфликт с защитой возможен тогда, когда комп много спрашивает у юзера того, что юзер не знает. Не надо спрашивать у юзера - пусть на эти вопросы отвечает разработчик софтины, предоставляя ответы при установкие этой софтины в виде профиля поведения программы.

 

Вау !!! А знаете, тов. разработчик софтины "Злобный вирус" тоже все это может. В базу себя впишет, что ему надо 80/udp в сторону microsoft.com. И вуаля. Не надо считать вирусописателей дураками. Потроха системы они часто знают много - много лучше 90% писателей программ. Покрайней мере вирусы в исключениях виндового фаервола бывают. А вот программа, которая с включенным фаерволом не работает, эт запросто. Кому охота вычислять всю ту хрень, которая там, в программе есть. Они все никак не научатся регистри открывать на чтение, если им писать туда не надо.

 

Подпись сертификатом - не панацея. Слишком геморройно для разработок программ для дома для семьи. Куча компаний разного калибра пишут софт себе сами. В том числе и общающийся с сетью. М$ давно поняла, что только массовое распространение средств разработки и создание их удобными для большого количества народу сделает их ОС неуязвимой для линуксов. С одним офисом народ быстро перескочит на другу. ОС. Миллионы мелких компаний по миру с миллионами мелких программ, под винду, писанных на всяких там дот нетах, миллионы людей со своими любимыми мелкими программами быстро не перескочат. Если разработчикам отрезать руки (заставить все подписывать) то это может поменяться. Это им ни разу не выгодно (они правда плодят малосовместимые дотнеты, как из пулемета, но это пока еще терпят). Если же сделать подписывание простым и массовым, то это скоро станет доступным вирусописателям. Зараженные сайты у нас уже сами разработчики заливали (просто он разрабатывал на своей машине, которая была дырява, а потом перелил все это на реальный хостинг). В свое время в опен сорсные проекты заливали прямо на FTP закладки в сорцы... ну пароль увели у разработчика. А подписанный вирус будет долго неуязвим, особенно если сертификат тиснут в уважаемом месте...

 

Как тут верно отметил Прохожий, защита и удобство конфликтуют. Чем больше защита, тем она больше мешает работать, и тем больше соблазн найти обходной маневр. Чем удобнее пользователю, тем удобнее вирусам. фаервол deny all и небольшим списком исключения хорошо для сервера, при вменяемом админе, и на всяких там STB, когда железка ничего кроме как одна функция не умеет. А для компьютера с заранее неясным функционалом это в очень большом количестве случаев приведет к allow all в первой строке, service iptables stop или еще как. Если заставлять всех использовать машинно генерированные пароли и менять их раз в месяц, то пароль окажется записанным, с большой вероятностью, на мониторе, что будет хуже, чем простой к запоминанию пароль, не часто меняемый. нужна середина....

 

 

[bitbucket]

Выполнить то, что скачал - а вот тут хрен

Бгггг, а плагины для браузеров тогда как работают? :)

Они грузятся как динамические библиотеки. Попробуйте на винде флешплагин запустить как экзешник.

[-Px-]

Они грузятся как динамические библиотеки.

И? Что им мешает пропатчить сам браузер на лету и заниматься после своими делами?

[Прохожий]

Честно, я не понял, что вы подразумеваете под юзабилити ?

В широком смысле. В очень широком. Видите ли, Вы, ясно видя как исправить частности - не видите более системную картину в целом. Вам кажется, что количество исправленных частностей может перейти в качество безопасности. А это, к сожалению, не так. Посему Ваш спор скорее относится к жанру юмористических произведений, нежели к реальном обсуждению проблематики безопасности...