Windows vs Linux - Как десктоп , и игровая станция.

Цитата DUKe @ 21.02.08, 13:38

Так вот под веблоджиками у меня элементарно не разворачиволась приложение из-за этих пресловутых путей, пришлось выносить попатку доменов прямо в корень. Через неделю, добавилась еще одна либа, и это уже не помогло -- в результате мигрировали на линь. Краткая суть этой фразы: с тестовыми серверами под виндой тоже могут быть проблемы.

Не случалось пока Что же за жуткую иерархию вы там накропали?

Цитата DUKe @ 21.02.08, 13:38

Кстати, а QA/UAT вы тоже проводите не в такой же среде, как production?

В основном нет, но там ещё разнообразнее зоопарк. К примеру, некоторые несознательные клиенты не желают ставить серверные ОС на сервера, денег жалеют.

Цитата DUKe @ 21.02.08, 13:38

Да просто с товарища принес экзешник. Или вы общаетесь только с людьми, которые тоже следят за сетевой гигиеной?

Видимо, да. Хотя уже давно ничего не беру у товарищей, обычно наоборот происходит

Цитата DUKe @ 21.02.08, 16:34

$im, да епрст, ты хоть раз видел, чтобы один и тот же человек советовал решение разных проблем, установкой разных дистрибов?

Я видел. Много раз. В этой теме.

Цитата Green Light @ 21.02.08, 13:07

Как ты файрволом защитишься от вирусов, прикрепленных, допустим, к скачиваемому инсталлятору?

А "другие методы" он и не приметил

Цитата Romko @ 21.02.08, 13:12

При всем уваженни, не совсем "разумеется": я, например, монтирую внешние носители с noexec и нейсполнябельным umask'ом (это как правило гигиены).

Согласный, так что остается только суть задачи

Цитата Romko @ 21.02.08, 13:21

Запускайте из под непривилигерованной учетки (запретите ей лазать в Сеть, свою хомдиру/докс-диру етц )

К чему, собственно и речь. Методы суть идентичны везде. Какими-то особыми способами разработки, который снижают эксплойтоспособность, линукс вроде как не отличается. Для защиты от дурака - те же способы. Никак не могу разглядеть принципиальных преимуществ линукса в плане безопасности. Вот и интересует меня, линукс - не то ли это неуловимый Джо, который нафиг никому не нужен?

Цитата Romko @ 21.02.08, 13:21

ЗЫ: sudo, ИМХО, гораздо гибче настраиавается, нежели runas.exe

А у нас групповые политики толще Хотя я не припоминаю каких-то особенных преимуществ sudo. Может оно уже умеет смарт-карты использовать?

Цитата DUKe @ 21.02.08, 13:38

Да всю тему читал, только не писал долго. Холивары между дистрибутивами почти такие же жесткие, как между виндоус-линь. Вы покажите, чтобы один человек для различных десктопных задач предлагал разные дистрибы.

Тут не поспоришь, если бы не вендузятнеги, вы бы друг-друга перегрызли

Цитата DUKe @ 21.02.08, 13:38

Ну, вообще-то антивирус помогает заразу не подцепить путем предотвращения ее активизации. А вот аналог не подцепить -- это воздержание и отсутствие секса до свадьбы и года два после

Резидентные мониторы - это такая обструкция, которая обычно сразу вырубается. А воздержание - это когда ты вырубаешь интернет, отключаешь коммпьютер, сжигаешь его, пепел в вакуумную упаковку и на марс

Цитата best_lamer @ 21.02.08, 17:12

Guderian к сожалению двумя словами не смогу ответить… просто тема слишком обширная.

Тема про виртуализацию обширная, но она совсем не в тему, увы...

Цитата Guderian @ 21.02.08, 20:36

Тема про виртуализацию обширная, но она совсем не в тему, увы...

читай строчкой ниже XEN! там были приведены урлы на SELinux, AppArmor и проочее…

Да и хоть не сразу но

Цитата Guderian @ 21.02.08, 09:15

предупрежу, дискусии на тему того

XEN в вопросе тестирования "левого" софта "не в теме"

Цитата Guderian @ 21.02.08, 09:15

меня не интересуют по нескольким причинам:

1) ядро Линукс поддерживает XEN
2) XEN идеален именно для подобных ситуаций
3) нежелание кого либо разбираться с XEN либо отсутствие XEN под иные ОСи лично меня не волнует

Цитата Guderian @ 21.02.08, 09:15

Также отмечу, что это выяснялось на протяжении все этой темы, когда нам в зависимости от ситуации говорил, что дист Х - гно, надо было брать Y. Потом оказывалось, что Y тоже не фонтан.

А вы определитесь наконец о ком разговор идет а то у нас периодически домохозяйка превращается то в сетевого монстра держащего веб сервак то еще в какие дебри.
А по моему идеал один единственный - Gentoo и единственно верный подход LFS. А все остальное это не что иное как Gentoo/LFS адаптированное под потребности определенных пользователей.

Guderian, поставь все таки Линя, что бы не задовать глупых вопросов

Мне в Лине нравится структура ФС... эх... если бы со времен DOS Майк додумался до такой структуры ФС, то 80% всех вирусов и троянов написать было бы невозможно

Цитата Guderian @ 21.02.08, 20:36

Может оно уже умеет смарт-карты использовать?

Должно бы, если PAM-модуль есть соотвествующий.

Цитата wind @ 21.02.08, 19:36

Не случалось пока Что же за жуткую иерархию вы там накропали?

Это не мы, это другйо вендор - индусы. И ничего с этим поделать нельзя.

Цитата Guderian @ 21.02.08, 20:36

Резидентные мониторы - это такая обструкция, которая обычно сразу вырубается. А воздержание - это когда ты вырубаешь интернет, отключаешь коммпьютер, сжигаешь его, пепел в вакуумную упаковку и на марс

Не, ну в таком случае как говорится человек сам себе злобный буратино

Цитата wind @ 21.02.08, 19:36

Я видел. Много раз. В этой теме.

можно цитатки? только от одного человека.

Цитата Guderian @ 21.02.08, 20:36

Какими-то особыми способами разработки, который снижают эксплойтоспособность, линукс вроде как не отличается.

Каждую софтину в Линухе можно собрать сотней различных способов. В результате в разных Линухах бинарник одной и той же софтины различен.
Это все ведет к тому, что написание експлоитов резко усложняется.
Также не стоит забывать, что Линух умеет грузить ELF по случайному адрессу. Это тоже добавляет мороки вирмейкерам.
Кстати в винде можно запретить выполнение кода в стеке?

Цитата Alex Forth @ 22.02.08, 09:29

Кстати в винде можно запретить выполнение кода в стеке?

Появилось, начиная с Windows XP Service Pack 2. Называется это Data Execution Prevention. По умолчанию не включено для пользовательских программ.

Цитата Alex Forth @ 22.02.08, 09:29

Каждую софтину в Линухе можно собрать сотней различных способов.

Шо, неужели опенсорсом единым? Да любая серьезная софтина не будет иметь исходных кодов. Maya, Mathematica, Nero. А на одном лишь опенсурсе ни бизнес, ни десктопную работу не построишь. Ну кроме конечно фирм, которые занимаются лохотронами по внедрению опенсурс-решений

Цитата best_lamer @ 21.02.08, 21:09

читай строчкой ниже XEN!

А что мне эту чушь комментировать, если ты вообще представляешь себе как работает инфраструктура цифровых подписей? Такой метод может работать только если речь идет о поступлении софта из доверенных источников, а речь шла о тех, к которым доверия нет. Т.е. варианта два - либо все разрабы идут покупать сертификаты у кого-нибудь вроде Thawte, либо каждый злопыхатель спокойно ставит себе CA-сервер и выпускает сертификаты на все случаи жизнт. Т.е. ты промахнулся мимо тазика на добрую милю

Цитата best_lamer @ 21.02.08, 21:09

XEN в вопросе тестирования "левого" софта "не в теме"

Под винду дохрена средств виртуализации, в том числе и свеженаступающий Hyper-V. Только знаешь почему их здесь и сейчас не обсуждают? Да потому что обсуждают другое.

Цитата Keepun @ 22.02.08, 01:06

Guderian, поставь все таки Линя, что бы не задовать глупых вопросов

Очень глубокомысленное заявление Меня прям-таки распирает поинтересоваться - какой конкретно вопрос показался глупым? В одном точно уверен, что он не дотянет по глупости до предложения мне поставить линь. Я это делал только в этой теме несколько раз, так что иди почитай

Цитата Keepun @ 22.02.08, 01:06

Мне в Лине нравится структура ФС... эх... если бы со времен DOS Майк додумался до такой структуры ФС, то 80% всех вирусов и троянов написать было бы невозможно

Хотя нет, этот тезис явно претендует на лидера Я уже вижу, как файловая система (ext2/ext3/reiser/jfs/... автор не указал, поскольк пофигу, они все потрясающи) сопротивляется процессу, который через какой-нибудь buffer overrun добился эскалации привелегий. А в другом месте она назло субд не дала возможности пройти sql injection. Да здраствует эта офигенная файловая система. Ура, товарищи

Цитата DUKe @ 22.02.08, 07:34

можно цитатки? только от одного человека.

Да тот же best_lamer. То нет бога кроме суси, только мы сусю разобрали - нет бога кроме генты, скоро и до нее доберемся

Цитата Alex Forth @ 22.02.08, 09:29

Каждую софтину в Линухе можно собрать сотней различных способов. В результате в разных Линухах бинарник одной и той же софтины различен.
Это все ведет к тому, что написание експлоитов резко усложняется.

Честно говоря, совсем не понял, как способы сборки могут повлиять на вирусную инъекцию в elf-файл? У него после какой-то замысловатой сборки исчезнут PL_LOAD сегменты? Или может в результате альтернативной сборки в экспортируемых интерфейсах появяться дополнительные проверки? Заглянул ради смеха на CVE, взял более свежую из критических ошибок. Хм... что я вижу: fix possible heap corruption, fix possible integer overflow. Авторы clamav, видимо, ничего не смыслят в сборке?

Цитата Alex Forth @ 22.02.08, 09:29

Также не стоит забывать, что Линух умеет грузить ELF по случайному адрессу. Это тоже добавляет мороки вирмейкерам.

Цитата Брежнев @ 22.02.08, 12:30

Шо, неужели опенсорсом единым? Да любая серьезная софтина не будет иметь исходных кодов. Maya, Mathematica, Nero. А на одном лишь опенсурсе ни бизнес, ни десктопную работу не построишь. Ну кроме конечно фирм, которые занимаются лохотронами по внедрению опенсурс-решений

ты это про Sun Microsystems что ли?

Цитата Guderian @ 22.02.08, 12:32

Честно говоря, совсем не понял, как способы сборки могут повлиять на вирусную инъекцию в elf-файл? У него после какой-то замысловатой сборки исчезнут PL_LOAD сегменты? Или может в результате альтернативной сборки в экспортируемых интерфейсах появяться дополнительные проверки?

Ну от представь, тебе надо написать эксплоит под конкретную софтину. Последовательность твоих действий будет примерно такова:
1)исследовать конкретный билд софтины на предмет уязвимости.
2)написание эксплоита на найденную уязвимость.
А теперь представь, как будет работать твой эксплоит, если автор софтины пересоберет ее с другими настройками компилера? Там же все смещения уползут фиг знает куда!!! После такого финта, уязвимость может вообще исчезнуть.
В мире опенсорса таких отличных друг от друга билдов очень много. Именно это и мешает вирусописателям.

Если софтина может быть подвержена переполнению буфера, например, это не помешает ни повышению привелегий с её помощью и не зависит от настроек компилятора.

Цитата Брежнев @ 22.02.08, 13:45

Если софтина может быть подвержена переполнению буфера, например, это не помешает ни повышению привелегий с её помощью и не зависит от настроек компилятора.

Пример:
Пусть эксплоит проползает ч-з переполнение при работе с SSE. Компилимся без поддержки SSE. В этом случае компилер сгенерит совершенно другой код. Что теперь делать експлоиту?

Цитата DUKe @ 22.02.08, 07:34

можно цитатки? только от одного человека.

Извините, но очень утомительно искать. Ещё могу двух авторов могу припомнить - mo3r, kuzja.

Цитата Alex Forth @ 22.02.08, 14:19

Что теперь делать експлоиту?

Alex Forth, можете припомнить прецеденты, когда пользователи форточек становились жертвами экплойта?