Vlákno názorů k článku Největší bezpečnostní hrozba pro PC? Uživatel! od J - Ten nahled a podobny "feature" widlows neni ani...

Ten nahled a podobny "feature" widlows neni ani tak bug utlouka ale systemu jako takovyho, kterej umozni spustit cokoli. Pokud byla napr priloha gif, tak system s tim proste udela "start xxx.gif". Pokud je s tim asociovanej nejakej prohlizec/plugin/..., tak se to v nem otevre, jenze pokud obsah neni obrazek, ale exe soubor, tak se normalne spusti.

Muzete testnou z konzole, treba tak, ze si vemete oblibeny total commander a udelate si kopii jeho exe prejmenovanou na gif. Naprosto bez zavahani to system spusti.

"Vyrobit nahled" znamena (v terminologii windows) "regulerne spustit nebo interpretovat". Coz je u obsahu stazeneho z internetu proste rizikove. Nicemu by to nevadilo, kdyby bylo jasne, ze takove "spusteni" nema a nemuze mit zadne side-efekty. Ale nezijeme a nikdy nebudeme zit v idealnim svete -> splneni teto podminky nelze zarucit -> zminene chovani je nebezpecne -> ackolvi je to, pro pohodli uzivatelu skvela feature, ma to byt odstraneno.

To, ze software muze obsahovat chyby povazuji za realne neodstranitelnou vlastnost kazdeho software. Je osobnim problemem kazdeho, jak dalece se smiri s existenci jevu, jejichz vyskytu nelze v uplnosti zabranit. Pro me za me - klidne se s existenci chyb v software nesmiruj. To ale neznamena, ze tam nejsou a je rozumne se chovat jako by tam nebyly. Jsou tam a je treba se chovat podle toho - coz zahrnuje jiz mnohokrat zminenou nutnost pravidelne udrzby a kontroly. A rec byla, mam dojem, prave o tom - ne o tom, jestli bych rad aby chyby nebyly nebo ne.

A co se zaverecneho odstavce tyce - ten rozdil udajne klicovy - jsem, zrejme, nepochopil. U mechanickych zarizeni je znam postup udrzby a kontroly, ktery je nutny proto, aby se snizila pravdpeodobnost zavady. Nemam dojem, ze by jakykoliv takovy postup a sebepeclivejsi dodrzovani kontrol moznost zavady vylucoval. A take neni pravda, ze metody udrzby a kontroly jsou u mechanickych veci vzdy exaktni a objektivni. Napriklad neporusenost kol u vlaku kontroluje odbornik na zaklade svych zkusenosti a subjektivnich dojmu - proste do kola svacne kladivem - a veri se, ze pripadnou trhlinu ve strukture materialu by rozeznal podle zmeny zvuku. Mam dojem, ze u software je to naprosto stejne. Udrzba a kontrola omezuje moznost projevu zavady - neeliminuje zcel amoznost jejiho vyskytu. A mnoha pripadech neni realne mozne ci efekticni provadet "exaktni kontrolu" (ta kola vlaku by taky sla rengenovat - ale nevyplati se to) a tak je regulernim beznym zpusobem to, ze vec kontroluje odbornik, na zaklade svych zkusenosti a subjektivnich dojmu - bez existence nebo pouziti nejake exaktni metody.

Ja v tom opravdu zadny zasadni rozdil nevidim. Jen se ta primerena kontrola a vhodna udrzba delat musi - a musi ji delat nekdo, kdo je schopny potrebne ukony zvladat - zkracene mu rikam "odbornik". A to koncovy uzivatel bud' je, nebo neni. A jestli neni ... (ale to uz tu taky padlo mnohokrat).

> automaticke vyrabeni "nahledu" pro vsechny prilohy Outlooku

Nevim, z jakych pricin bylo toto chovani oznaceno za nebezpecne, kazdopadnep okud je neco nezabezpecene, tak to muze byt v podstate ze trech pricin:

1) pri navrhu se z bezpecnosti nepocitalo
2) chyba v navrhu
3) chyba v implementaci

Predpokladam, ze i MS pocita s tim, ze email muze prijit z neduveryhodneho zdroje, a tedy v tomto pripade nejde o variantu 1.

Pri vhodnem bezpecnostnim modelu (napriklad striktnim rozdeleni priloh podle toho, zda jejich "prohlizeni" je bezpecne i kdyz pochazeji z neduveryhodnych zdroju, nebo nikoliv, a automaticke prohlizeni jen tech bezpecnych), by toto chovani melo byt dost bezpecne.

> firewall nahrazen

To podle me neni zadne bezpecnostni opatreni - pokud je bezici server deravy a schovan firewallem - to je lepsi opravit ten server nebo ho vypnout, no a pokud je bezici server bezpecny, tak neni duvod ho zakryvat firewallem.
(koneckoncu je otazka, proc tam bezi nejaky server zakryty firewallem - proc neni radsi vypnut).

> Zrovna vy mate zkusenosti se skolou, kde jste pravdepodobne ziskal dostatecne vzdelani na to, abyste vedel, ze je prakticky nemozne vytvorit bezchybny software

To ovsem neznamena, ze bych se s zabugovanym software mel smirit jako se standardem.

(nasleduje pointa prispevku)

> Takze byste mel povazovat za "normalni", ze i software potrebuje pravidelnou udrzbu

Jenze klicovy rozdil je v tom, ze zatimco v pripade mechanickych zarizeni je ono opotrebeni soucasti specifikace a pri navrhu se s nim pocita. Napriklak u USB konektoru se uvadi, ze by maji vydrzet n cyklu vysunuti/zasunuti pri maximalni rychlosti k cyklu/hodinu. Pokud se tedy dany konektor poroucha driv, je to chyba konkretniho kusu, pokud pozdeji, je to ocekavane, specifikovane chovani.

Jak by sis predstavoval podobnou specifikaci pro software, ktera by zahrnovala problem bezpecnostnich chyb?

No, s tim ja tak uplne nesouhlasim, naopak, za jedny z nejpodstatnejsich zmen ja napriklad povazuji zmeny "defaultnich chovani" nekterych produktu - napriklad automaticke vyrabeni "nahledu" pro vsechny prilohy Outlooku a jine veci podobne kategorie - coz je chovani, ktere bylo, puvodne, zavedeno kvuli pohodli uzivatelu, a pote, co bylo shledano jako velmi nebezpecne bylo "opraveno". To je, napriklad, i pripad SP2 pro Win XP, kde je puvodni, defaultne velmi benevolentni, firewall nahrazen (nebo spise doplnen) firewallem, ktery je defaultne daleko restriktivnejsi. Tim samozrejem nerikam, ze vsechny opravky jsou tohoto typu - ale nelze tvrdit, ze takove prakticky neexistuji.

Nicmene, me to nepripada jako podstatne - rozlisovat. Zrovna vy mate zkusenosti se skolou, kde jste pravdepodobne ziskal dostatecne vzdelani na to, abyste vedel, ze je prakticky nemozne vytvorit bezchybny software - a to proto, jak vite, ze neni mozne jeho funkcnost v uplnosti otestovat. Takze byste mel povazovat za "normalni", ze i software potrebuje pravidelnou udrzbu - stejne jako ona mechanicka zarizeni, o jejichz opotrebovani jste mluvil. To, ze se s postupne narustajicim poctem hodin, po ktere uzivatele uzivaji urcity software objevuji jeho chyby - a ty jsou opravovane opravkami, ale stejne tak je v nekterych pripadech proste jen nutne vhodne pozmenit konfiguraci. Me to pripada stejne normalni, pochopitelne, rozumne a prirozene - stejne jako ta vlastnosti mechanickych pohyblivych soucastek - tedy - ze je treba je, napriklad, mazat a i tak se opotrebovavaji. Nevidim v tom zadny zasadni rozdil, jaky jste naznacoval o par prispevku vyse. Opravdu nevidim duvod, proc by starost o mechanicke pristroje byla "prirozena", kdezto na nutnosti starat se software melo byt neco neprirozeneho ...

Vaše botí analogie pokulhává - u bot se mlčky předpokládá, že je bude používat v běžných podmínkách (teplota do 50°, nemáčet do louhu, nevystavovat UV záření apod.). Zkuste si představit, jak ty boty dopadnou, když je předhodíte desítkám miliónů inteligentních škůdců (=připojíte počítač na Internet). Prostě, po připojení na Internet jste vystaven extrémním podmínkám, a pochybuji, že by Microsoft testoval odolnost svých programů, aby v takovém prostředí obstály - navíc v prostředí značně proměnlivém.

> Naopak treba problem buffer overflow pri praci se
> vstupem nebyla bezpecnostni hrozba do chvile, nez
> nekdo prisel na to, jak pomoci toho vykonat
> podvrzeny kod.

Ale chyba v programu to byla vzdycky. A bezpecnotni chybou se stala docela davno.

> Jak vite, ze to jsou bezpecnostni updaty?
> (Tise predpokladam, ze updatujete Windy.)

Ne, updatuji Debian. Tam jsou securty update pros stable release oddelene - takze vse co opravuji jsou ciste bezpecnostni updaty.

Jasne. No ono taky zalezi na tom, cemu rikate security update. Uprime receno opravy memory leaku a podobnych drobnych "opomenuti" bych rozhodne neoznacil security update, proste je to jen oprava drobnych chybicek, ktere se proste ani pri sebelepsim beta-testovani obhalit nedaji. Naopak treba problem buffer overflow pri praci se vstupem nebyla bezpecnostni hrozba do chvile, nez nekdo prisel na to, jak pomoci toho vykonat podvrzeny kod.

> takrka 100% bezpecnostnich updates (ktere provadim)
Jak vite, ze to jsou bezpecnostni updaty? (Tise predpokladam, ze updatujete Windy.) Pracujete snad v MS?

Nekdo nezasveceny by taky mohl tvrdit, ze ten linux je plnej chyb (protoze se updatuje nejak "podezrele" casto). Napr. pro moji distribuci jsou k dispozici updaty kazdy den -- a rozhodne to nejsou jen opravy chyb.

Me zkusenosti jsou naprosto odlisne - takrka 100% bezpecnostnich updates (ktere provadim) jsou opravy konkretnich, vetsinou banalnich, chyb v programech. O zadnem pripadu, kdy by "dneska je to dobra a vytana vlastnost a zitra to je bezpecnostni hrozba" nevim (neznam podrobnosti tech pripadu, ktere uvadite, takze nemohu posoudit)

> Pokud vam nekdo proda bezvadny software, tak nepotrebuje udrzbu nikdy.

Tohle by platilo mozna v nejakem "softwarovem vakuu", ale ne v realnem svete. Vetsina tzv. bezpecnostnich oprav je jen z toho duvodu, ze nekdo prisel jak zneuzit nejakou vlastnost produktu, ne proto, ze ten produkt obsahuje chybu -- tj. dneska je to dobra a vytana vlastnost a zitra to je bezpecnostni hrozba. (Napr. Active X v IE nebo autorun skriptu v outlooku).

> S pocitacem a softwarem na nem je to naprosto stejne. Bud'
> tomu rozumim sam, nebo si musim najit (a pripadne platit)
> odbornika, ktery mi provede jak prvotni instalaci, tak
> pravidelny prubezny servis.

Jenze v pripade software je zde podstatny rozdil - zatimco u realnych objektu je udrza treba kvuli opotrebovani (coz je neco, co je mozne z fyzikalnich duvodu povazovat za prirozene) i kdyz dany objekt byl na zacatku v poradku, v pripade software je udrzba (zde mam na mysli instalace opravnych verzi) potreba pouze kvuli tomu, ze dany software obsahuje nejakou chybu - a tu chybu obsahoval uz v dobe jeho porizeni, tudiz uz puvodni produkt byl vadny.

Pokud vam nekdo proda bezvadny fyzicky produkt, tak se po urcite dobe opotrebuje a potrebuje udrzbu. Pokud vam nekdo proda bezvadny software, tak nepotrebuje udrzbu nikdy.

"A na vine neni predevsim vyrobce, ale predevsim onen uzivatel. Jasne ?"

A ja jsem napsal neco jineho, nez ze si to rozdrbe uzivatel?
Jenom jsem popsal duvody proc u PC to udela, a u ostatnich: auto, TV, mobil, kotel, mikrovlnka to neudela.

No, nekdo na auto zase predevsim bali holky. Ale ze bych na zaklade toho, ze auto uziva trochu jinym zpusobem, nez ja, usoudil, ze to prestal byt nastroj (pristroj, zarizeni), to bych tedy asi neusoudil.

Jestli vam dela problem zrovna slovo "nastroj", klidne na nej zapomente. PC je "buchlefulesuzu", ktere stejne jako jakekoliv jine "buchlefulesuzu", ktere lide pouzivaji, vyzaduje vhodne zachazeni a peci. A pokud ho nekdo pouziva, aniz by ho pouzival vhodne - a pokud mu neposkytne primerenou peci - peci primerenou prave zpusobu, kterym ho uziva, tak ho "buchlefulesuzu" driv nebo pozdeji kousne. A na vine neni predevsim vyrobce, ale predevsim onen uzivatel. Jasne ?

Bohuzel (bohudik, jak pro koho) je mezi autem a PC rozdil. Malokdo si koupi (nebo nekoupi, ale "sezene") jiny karburator, vstrikovaci jednotku, pistni krouzky, brzdy a snazi si je do auta namontovat. Auto pouzivate k osobni potrebe a funkce auta je dovest Vas z mista A do mista B pres misto C, pokud mozno jistou prumernou rychlosti v v case t.

Pocitac pro lidi, o kterych je clanek (BFU) je casto nikoliv veci osobni potreby, nybrz zdrojem zabavy a zabava se musi obmenovat a tudiz i sw - hry, programky, kravovinky, pic...nky a dalsi.

Neni problem orezat uzivatelum prava (a nerekl bych, ze az tak veliky jak nekdo vyse pise) aby se pritom na PC dalo delat a pak budou i Win velmi dlouho stabilni. Jenze ti lide NECHTEJI DELAT. Oni chteji instalovat a nikdo jim tam domu chodit vecne nebude a oni nic cist taky nebudou, takze instaluji a mazou (mazou - ne odinstalovavaji) az to "uinstaluji" :-).

PC "neni nastroj".

Samozrejme, ze PC je pro vetsinu lidi nastrojem. Nema smysl predpokladat, ze z vetsiny lidi bude zkuseny administrator. Ja napriklad nerozumim autum - takze mi je cas od casu musi prohlednout odbornik v servisu a ja to zaplatim. Nejsem ani dobry elektrikar - sice se obcas do nejakych tech elektrospotrebicu hrabu, ale tak nejak jsem si vedom, ze jestli me jednoho krasneho odpoledne zabijou - tak si za to muzu predevsim sam. Mel jsem i ty dat odbornikovi do servisu. Zrovna tak by me patrne nenapadlo manzelce operovat slepe strevo nebo rikat, jake ma nosit bryle - jsem pouze uzivatel - opravy i serizovani patri do rukou prislusnym odbornikum.

S pocitacem a softwarem na nem je to naprosto stejne. Bud' tomu rozumim sam, nebo si musim najit (a pripadne platit) odbornika, ktery mi provede jak prvotni instalaci, tak pravidelny prubezny servis.

Pouzivam-li jakykoliv nastroj nevhodnym zpusobem - a neposkytuji-li mu pravidelnou odbornou udrzbu v tom rozsahu, v jakem ji potrebuje, vypovi v idealnim pripade pouze sluzbu. V horsim pripade pri tom napacha nejake skody nebo nekoho zrani. Nebo zabije. Je jedno, jestli je to laikem spravovany OS, nebo neodborne nasazena sekyra na topurku. A za to, ze se o nastroj nestaram vhodne jen tezko muze jeho vyrobce ...

Přece když Microsoft vydává programové záplaty (na software zakoupený méně než před dvěma lety), tak sám jasně prokazuje, že jde o jeho zmetek.
Boty se přece nemusí hned rozpadnout, stačí když byste si musel sám vyměnit floky, protože jinak si poškodíte nohy nebo ponožky.
Ale to je jen taková teoretická diskuse. K Vietnamcům chodí stejně všichni nakupovat - a já jsem viděl jak bohatí byli z jejich obchodů jejich kápové. (Podobnost s nejbohatším mužem světa je asi čistě náhodná. Je sice také nedostudovaný, ale nemá šikmé oči.)

Mno casova zaruka u software je, mno, prinejmensim kravina. Software bud funguje podle deklarovanych parametru, nebo ne. Otazkou je, kde zjistit ty parametry, ze? Windows by sli asi dost tezko reklamovat, protoze nikde neni napsany seznam funkci, ktere musi splnovat.

Kdyz se mi rozpadnou boty po 1 tydnu normalni chuze, je to docela jasna reklamovatelna udalost. Kdyz windy spadnou pri nejake akci, tak to asi nikdo na "reklamaci" neuzna.

Jak to články o ničem. Článek je přece o tom, jak Microsoft PRODÁVÁ naprosto nedoladěné verze snad všech programů. Přece není možné, abych si koupil televizi a každý měsíc si pořizoval novou desku proti poruchám.
Za to u softwaru je to běžné. - Kde je jaká garance, záruka 2 roky jako třeba na boty.
Prostě jeden blbec si dá někam nějaké podmínky licence a stádo ostatních blbců mu je respekutuje - a píše o tom i články, jak jsme všichni neschopní uživatelé, že nevíme, že u Microsoftu jsem si nakoupili jako na tržišti u Vietnamců.

Od kdy je lupa odbornym serverem??

To je pravda, bez MS by problémy s netechnicky vzdělanými uživateli nebyly :-)

Panove, tyhle clanky se jaksi mijeji ucinkem. Na odbornem serveru publikujete clanek, ktery by rad chtel promluvit k laickemu publiku. Pochopte, ze pro mnoho uzivatelu je PC nastrojem. Tady kliknu na ikonku, tady to se mi spusti, tady to vyplnim a dam tisk atd. To, ze existuji nejaka opravneni, updaty, firewall (uz to slovo je pro hodne z nich strasakem) je nechava naprosto chladnymi a jakykoliv clanek, ktery se temito terminy hemzi je spolehlive odradi, i kdyby na nej nakrasne nahodou nekde narazili. Proste, ti co to ctou o tom vedi, a ti co o tom nevedi si o tom stejne nikdy neprectou. Dle meho je jedinou cestou, jak z toho ven, je zcela zmenit filosofii pouzivani PC. Laik by mel mit k dispozici pouze terminal s periferiemi, skutecny OS pobezi na superserveru a bude jej spravovat fundovany administrator. Aby to ale bylo mozne, musi nejprve umrit MS.