Vlákno názorů k článku Polemika: Přeceněná softwarová diverzita? od Petr Klíma - Zásadní omyl autora: "vzpomeňte, že nejrozšířenější epidemie nevyužívaly žádnou...

Zásadní omyl autora:
"vzpomeňte, že nejrozšířenější epidemie nevyužívaly žádnou konkrétní softwarovou chybu, ale naivitu uživatelů"

Naivní užvatel klikne na soubor v e-mailu a on se spustí. Proč? Má příponu (.exe, .bat, .pif, .com ....).

Pokud to není softwarová chyba (možná že až chyba filozofie OS) tak nevím ... OS který má alespoň základní bezpečnost má spustitelnost kódu nastavitelnou pro každý konkrétní soubor a bez tohoto nastavení se program nespustí ani za zlaté prasátko. "Naivní uživatel" si soubor který chce spusti musí uložit na disk, nastavit mu právo ke spuštění a potom spustit.
Pokud ten soubor pochází z neznámého zdroje a uživatel ho přesto spustí, není naivní ale vědomě riskující a tedy i potrestatelný.
Navíc pokud má být soubor typu .pif a on je v něm .exe nebo nějaký script, pak už vůbec nechápu filozofii MS, že neprovede alespoň tuto základní kontrolu ...

Největší bezpečnostní problém je v lidské blbosti, a je zcela nezávislý na použitém OS. Je pravda, že historicky Windows způsobily jistou "zkaženost" uživatelů, a tak i dnes většina z nich pracuje jako administrator, protože jsou "zvyklí" z paskvilů typu W9x, nebo mají potřebu neustále se v systému vrtat. Pokud se správně nastaví práva ve Windows, klasický mailový červ vůbec nemusí mít šanci se spustit.
Bohužel, pokud stejného klikače-dementa uživatele posadíte k Linuxu a práva budou stejně benevolentně nastavená (tj. stačí, když uživatel bude znát heslo roota), poběží stejně celou dobu jako root, a červa si dle instrukcí v mailu uloží a to "x" si u něj nastaví.
Nevěříte? Stačí se podívat na havěťometr na www.viry.cz, kde Win32/Bagle.gen.zip zaujímá pěkné čtvrté místo. A to prosím musí uživatel přílohu otevřít, zadat heslo, které je v těle mailu, a potom teprve může červa spustit. Blbec prostě dokáže překonat všechny překážky, aby své blbosti mohl dát průchod. :-(

1, uzivatele chteji urcity komfort, ke kteremu patri, ze soubory, ktere si posilaji e-mailem, se spousti kliknutim
2, kdyz jim to znemoznite (at uz primo na urovni OS, nebo pak nejakym nastavenim firemni politiky), budou otraveni
3, pravdepodobne nekdo velmi rychle napise skript, ktery zpusobi, ze po kliknuti na soubor jako prilohu mejlu se automaticky soubor ulozi na disk, upravi se jako spustitelny a rovnou se spusti
4, vy je za to nejspis budete moct nejak postihovat - to ovsem muzete i za to, ze kliknou na pripojeny exe soubor
5, muzete jiste zaridit tak restriktivni rezim prace s IT, kdy nic z toho nebude mozne -> uzivatele budou otraveni
6, shrnuto, muzete udelat cokoliv a rozhodnout si, co je pro vas dulezitejsi a co ozelite. neni to ale vubec o softwarovych chybach, dominanci jednoho OS apod.

K té 3) - pokud by bylo něco takového možné, byla by to bezpečnostní chyba jak prase. Tohle neumí ani Outlook...;-) Nebo přesněji - umí to jeho starší (2000) neopatchované verze s defaultním nastavením zabezpečení.

Ano, uzivatel chteji komfort. Ale to s monokulturou/diverzitou souvisi jen velmi vzdalene.
Ad 1)&2)&5) Driv se chteli lide pohlavne stykat s nahodnymi partnery bez ochrany. A nebezpeci, ktera je cekala byla mala, tak to hodne lidi delalo. Dnes je nebezpeci HIV/AIDS a bez ochrany dela to jen malokdo. Komfort je nizsi, ale jinak to nejde. Jiste jsou z toho mnozi otraveni, ale zvykli si, co jim zbyva.
A stejnou osvetu je potreba zavest i mezi uzivateli PC s Win, ze nemohou z mailoveho klienta spoustet kdeco.

Ad3) Jak uz tady nekdo psal - to byl byla zjevna dira

Ad 6) Ano neni to o dominanci jednoho OS, ale jak jsem psal jinem prispevku, tady se michaji dve ruzne veci.

Bezpecnost vzdycky neco stoji - a velmi casto (nikoli vsak vylucne) je to prave komfort uzivatele. A ja si nemyslim, ze je kteremukoliv OS ci programu treba vycitat to, ze v urcitem nastaveni nastava urcita mira konfortu a bezpecnosti. To, co je ale nutne povazovat v kazdem pripade za chybu je to, ze prislusna nebezpecna vlastnost neni konfiguraci zakazatelna a ze chovani systemu v dane konfiguraci neni prilis dobre dokumentovano.

Abych mluvil jasne - pokud v Outlooku lze spustit priponu mailu jednoduchym kliknutim, pricemz se system o tom, jakym zpusobem soubor spusti nerozhoduje podle pripon, ale podle skutecneho obsahu - a je toto chovani jasne popsano aa lze mu s primerenou namahou zabranit - pak je to vlastnost. Je na kazdem spravci daneho systemu, aby se rozhodl, jak bude mit systemnastaven a zda hodla uzivatelum doprat spis vic konfirtu nebo spis vic bezpecnosti. Pokud ale takovemu chovani mu nelze konfiguracne zabranit - pak jde jednoznacne o chybu. To jestli je zavazna zalezi na tom, zda lze celou vadnou komponentu nahradit ekvivalentni komponentou dodanou nekym jinym, ktera takovou vadou netrpi. je na spravci, aby bezpecnostne nevyhovujici komponentu nahradil jinou. Pokud komponentu nahradit nelze nebo jde o chovani, ktere neni zrejme nebo jasne dokumentovane - pak jde o velmi vaznou chybu celeho systemu. V prvnim pripade ale stale jeste muze jeho spravce posoudit, zda tedy neni vhodne (nebo prijatelne) vymenit cely system. Rozhodne jsem presvedcen, ze vetsina "pruseru" v teto oblasti jednoznacne pada na hlavu koncovych spravcu pocitacu.

souhlasím

Uvedu zcela konkretni pripad W32/Netsky.

Uzivatel musi provest toto:
- otevrit zpravu
- ulozit prilohu na disk
- spustit rozbalovaci program
- dat prikaz k rozbaleni prilohy
- NAPROSTO PRESNE OPSAT HESLO UVEDENE V TELE MAILU
- spustit rozbalenou prilohu

Tento postup je platformne zcela nezavisly. Pokud BFU sedicimu u linuxu poslu linuxovou binarku zabalenou v sifrovanem archivu a uzivatel bude mit nainstalovany nejaky klikaci rozbalovatko na archivy, bude tento virus zcela funkcni i v linuxu. Obdobny postup muzu pouzit pro libovolny jiny operacni system.
Netsky stejne jako vsechny nejnovejsi viry maji vlastni smtp motor a nevyuzivaji zadneho potovniho klienta pro rozasilani sama sebe.

Jinymi slovy: Pokud nekdo preportuje Netsky na linux bude PLNE FUNKCNI VCETNE SCHOPNOSTI SIRENI. Vetsimu rozsireni zabrani POUZE minimalni pouzivani linuxu ze strany BFU.

Je mi jasne, ze reakce "linux only" uzivatelu na tento prispevek bude stylu "v linuxu se tohle stat nemuze", na to jsem zvykly. Az se panove probudi a prestanou svet rozlisovat stylem "pro linux"=> vsechno dobre, pro "neco jineho"=> vsechno spatne, bude to velke vitezstvi.

Jenže Linux vám dává spoustu možností, jak tomu červu znepříjemnit život. Například stačí dva řádky:

 iptables -A OUTPUT -o eth0 -m owner -p tcp --dport 25 --uid-owner 8 -j ACCEPT
 iptables -A OUTPUT -o eth0 -p tcp --dport 25 -j DROP

A vestavěný SMTP engine má smůlu (konkrétní hodnoty rozhraní a UID samozřejmě závisejí na místní konfiguraci).

NEJEN linux ale jakykoli firewall :-))))))) a mozna i jednim radkem :-) nebo proc to delat tak blbe, mozna jednim kliknutim (ZA apod.)

Odpovim najednou na oba prispevky (linuxove iptables a win firewall).

V obou systemech toto samozrejme je mozne zatrhnout. Problem je v tom, ze uzivatel ktery vi co je to firewall obvykle nedela takova zverstva, aby pres nej proslo neco typu Netsky.X. Tech akci pro spolupraci je na nej trochu moc.
Z beznych klikacich uzivatelu bude mit obdobne pravidlo nastaveno asi 0.001% uziavtelu, z toho 99.999% to na tom pocitaci nastavil nekdo jiny.
Delam uzivatelskou podporu uz vice nez 7 let, nejdrive ve skole, pote v praxi v ruznych firmach takze mam v teto oblasti velmi bohate zkusenosti.

Nejslabsi clanek je vzdy uzivatel. Zrudnosti typu bezne prihlasovani na administratora s prazdnym heslem nebo heslem typu "123" a sdileni disku do Intenetu, samozrejme pro zapis, nejsou rozhodne vyjimkou. Jde hlavne o firmy do cca 10 lidi, kde si pocitace instaluji sami a nekoho volaji az pri problemech.
Po vetsim rozsireni linuxu se to bude opakovat pouze s tim rozdilem, ze se budou prihlasovat na uzivatele root a heslo bude mozna "123abc".

Cele to nadherne vystihuje jeden vyrok: Ucinit neco blbovzdornym je pakticky nemozne, nebot blbci jsou ohromne vynalezavi.

No, ja sice nejsem "linux only" uzivatel (dokonce nemam linux nainstalovany nikde), ale presto mam dojem, ze to co rikate neni tak uplne pravda. Pro kazdy system jsou pomerne zasadnim nebezpecnim "lokalni" uzivatele - ale zda se mi, ze lokalni uzivatel linuxu ma preci jen mensi moznosti k napachani "globalnich" skod na celem systemu, nez uzivatel Windows. Navzdory tomu, ze se tam uz da prihlasovat konkretnim jmenem, navzdory tomu, ze uz i lokalni system ma pristupova prava (pokud mate NTFS), preci jen se mi zda, ze se Windows nejak z tezka vyporadavaji se svou minulosti "non-multiuser" systemu. Takovou minulost Linux ani jine UNIXy proste nemaji. Takze takovy uzivatel, o kterem je rec, je na obou systemech nebezpecny - ale na Windows se snadneji stane, ze bude nebezpecny celemu systemu, nikoli jen tomu jednomu uzivateli. To zaprve. A za druhe - utoky obvykle probihaji "efektivne" - to znamena, ze vetsina utoku smeruje proti Outlooku, Internet Exploreru, Windows. Ne proto, ze jsou "Microsoft", ale proto, ze jsou nejrozsirenejsi. Linux tedy skutecne realne JE bezpecnejsi - dokud nebude prilis rozsireny (o coz se snazi). Staci ale pouzit jakykolvi jiny UNIX - tech Free je cela rada - a ziskate system, ktery jen proto, ze neni tak rozsireny bude bezpecnejsi jak Windows tak Linux - protoze zminene utoky se, pres veskerou spolupraci uzivatele, na danem systemu proste "neuchyti" ...

Takze z uvah o tom, co je bezpecnejsi neni spravne otazku "ktery OS" zcela vynechavat - samozrejme se to ale nesmi stat jedinym kriteriem ...

Jsem rad, ze jsme se prakticky pochopili. Jak sam pisete problem neni v tom, ze jeden program je "od microsoftu" a druhy "pro linux" ale v tom, ze jeden masivne pouzivaji bezni uzivatele ignorujici zakladni bezpecnostni pravidla a druhy je pouzivan podstatne mene a jeste v drtive vetsine uzivateli, kteri dodrzuji alespon zakladni bezpecnosti pravidla.

Pokud se tyka minulosti a pominu-li 9x verze windows, ktere maji principialne temer stejne jadro od dob win 3.x, nejsou na tom NTx verze systemu pri spravnem nastaveni zase tak spatne.
Na druhe strane bezne prihlasovani pod uzivatelem administrator (windows) nebo root (linux) s kombinaci s ignorovanim bezpecnostnich pravidel, neinstalovanim patchu, neaktualizovanim antiviru apod., bude znamenat problemy v kazdem dostatecne rozsirenem systemu. Sam to prakticky denne vidim v ruznych firmach, protoze technickou podporu uzivatelu delam uz pres 7 let. Situace se bohuzel prakticky nemeni.

Pokud se tyka zmeny systemu, prichazi zde jeste dalsi vec - kompatibilita. Pokud jsou mezi systemy kompatibilni uzitecne aplikace, budou mezi temito systemy,kompatibilni i viry.
Pokud si mohu dovolit byt (napr. v pripade Netsky) binarne nekompatibilni s vetsinou ostatniho sveta, muze to resit moje problemy s viry a exploity, ale zaroven mne to muze zpusobit problemy pri schaneni a provozovani potrebnych aplikaci. Jde o to co je v dane chvili vetsi zlo.