mboost-dp1

unknown

Linux er en alvorlig sikkerhedsrisiko

-

Alexis de Tocqueville Institutionen (AdTI) beskylder Linux for at være en stor sikkerhedsrisiko, fordi de mener at folk som f.eks. terrorister og lignende, kan nedlægge sikkerheden ved at målrette angreb mod Linux systemer.

Det baserer de blandt andet på, at hvis det amerikanske forsvarsministerium og USA’s luftfartsmyndigheder skulle skifte til Linux og andre open source systemer, så ville det være lettere at få indblik i hvordan systemet virker, netop på grund af den åbne kildekode.





Gå til bund
Gravatar #1 - shamran
5. jun. 2002 07:48
ligeledes vil det være lettere at finde sikkerhedshuller og lukke dem. !
Mon de utallige huller i MS produkter var blevet lukket hvis det ikke havde for en offentlige gabestok...næppe
Gravatar #2 - pingvinen
5. jun. 2002 08:22
De klipper i min nyhed, uden at spørge mig først... Hmm...
Sidste gang jeg skriver nyheder til denne her side.!
Gravatar #3 - Pernicious
5. jun. 2002 08:30
#2 det gør vi nu ret tit, hovedsageligt så teksten kommer til at fremstå så forståeligt som muligt, samt uden personlige kommentarer. Omfanget af rettleserne er fuldstændig afhængig af hvad der står originalt, nogle gange rettes meget (fuldstændig omskrivning), andre gange går de lige igennem.

I nærmeste fremtid vil der ske nogle ændringer her på siden, bl.a. vil det blive oplyst efter hvilke kriterier og under hvilke forhold nyheder accepteres her på sitet.

Peter Rechnagel
Gravatar #4 - Disky
5. jun. 2002 08:32
shamram:

Netop det at alle kan gøre det, er et tve ægget svær af dimensioner.

At det er tilgængeligt, er både rigtigt godt og rigtigt dårligt.

Det afhænger nemlig af hvem der kigger.
Gravatar #5 - Onde Pik
5. jun. 2002 08:39
#1

Ja der er massere af folk til at rette fejlen, men hvis det nu er den pågældende hacker der finder den og han finder den i det system det styre noget vigtigt. Så kan det jo være ligegyldigt hvor hurtigt det kan rettes hvis skaden allerede er sket.
Gravatar #6 - slickhead
5. jun. 2002 08:39
#4:
Jeg kan ikke se din problemstilling. I tilfælde af fejl i selve Linux bliver disse oftest rettet inden for en dag, hvor princippet hos Microsoft er: 'Vi holder mund til det når ud i pressen (hvor undergrunden sikkert har vist det så snart sikkerhedshullet er fundet), så lave vi en ServicePack inden for en uge'
Gravatar #7 - C#
5. jun. 2002 08:51
#6

tror du selv terrorister sender patches ind på fejl de finder ?

er heller ikke service packs der bliver lavet men hotfixes for at rette dig lidt mere.
Gravatar #8 - Hektor
5. jun. 2002 08:52
#4 Disky:
Det er korrekt, men der er også visse andre tanker, men bør overveje.

Generelt mht. valg af software.

En ting er antallet af kendte sikkerhedshuller, noget helt andet er hvor hurtigt de bliver lukkede. Jeg ved ikke, hvem der er bagud i den første (men mon ikke OpenBSD har færrest?), men Windows er jo ikke ligefrem med i førerfeltet i den sidste.

Hvor nemt er det er skifte leverandør, hvis man er utilfreds med med servicen, f.eks. mht manglende lukning af sikkerhedshuller? Her er man jo ret røvrendt, hvis man vælger Windows, for produktet kan på ingen måde blive bedre, blot ved at skifte fra f.eks. KMD til Columbus (selvom sidstnævnte lige er gået nedenom og hjem).

Når det gælder det offentlige, må man jo ikke bare sige "hvis du ikke bruger xxx, som koster y.yyy,yy kroner, så vil vi ikke kommunikere med dig", og igen har Microsofts løsninger et problem her.

Hvordan skal det offentlige håndtere problemerne, hvis producenten går fallit eller lign. (Microsoft kunne jo blive ramt af et meteor)? Vælger man en lukket løsning, er man røvrendt, da man ikke blot kan konvertere sine data til et andet format eller benytte dem i andre systemer, hvilket så leder hen til spørgsmålet "hvis det drejer sig om det offentliges data, hvorfor må de så kun læses af personer med adgang til helt specifikke programmer?"

Man kan ikke KUN kigge på pris/ydelse, når det drejer sig om det offentlige - staten er også mig, og jeg skal have præcis de samme rettigheder og muligheder som Microsoft Danmarks direktør - også selvom jeg er en nærrigrøv/GNU-fanatiker, og ikke har råd til/nægter at bruge et propræitært produkt.
Gravatar #9 - izmkr
5. jun. 2002 08:53
#6
som #5 også siger, nytter det jo ikke noget, hvis ham der finder fejlen allerede har udnyttet den, og skaden er sket
Gravatar #10 - Hektor
5. jun. 2002 08:54
#9 izmkr:
Er det et argument for eller imod OpenSource eller ClosedSource?
Gravatar #11 - C#
5. jun. 2002 08:58
er vel bare et argument mod at selv opensource ikke er det mest sikre.
Gravatar #12 - Pernicious
5. jun. 2002 09:00
#6 Det er meget muligt at rettelser kommer hurtigt, men det er jo, desværre, ikke ensbetydende med at de bliver anvendt med det samme, der er jo lige den menskelige faktor.

Problemet med en hvilken som helst offentliggørelse om et sikkerhedshul, er at det jo også giver ondsinde personer et viden om at de nu kan benytte sig af en given svaghed. så indtil en admin får taget sig sammen til at rette systemet, eller i det hele taget får besked om svagheden er der et problem.

Umiddelbart er der god fornuft i ikke at udtale sig om sikkerhedshuller der ikke findes en patch til, da man derved minimere kendskabet til hullet. Set i den betragtning mener jeg at Microsoft har valgt den korrekte politik på dette område.
Gravatar #13 - izmkr
5. jun. 2002 09:03
#10 Hektor
Ingen af delene

Ganske vist har hackere adgang til koden, og kan dermed finde sikkerhedshuller, i opensource-produkter, men eftersom der er så mange der arbejder på/gennemser koden, må man gå ud fra/satse på at de få sikkerhedshuller der måtte bliver fundet, ikke bliver fundet af hackere.

Hvs det er så stort et problem for staten, firmaer etc. kan de jo selv checke koden igennem for huller, inden de bruger den.
Gravatar #14 - lean
5. jun. 2002 09:04
De fede ved open source er at staten selv kan gennemse produktet.
Det vil de aldrig kunne med et produkt fra microsoft (medmindre de vil kunne få kildekoden, men så holder argumenterne ikke (jeg tror ikke de KUN ville dele koden med et organ/land/firma)).

Regeringer må også være alt for bange for bagdøre, og det kan de kun løse ved at få sourcekoden og gennemse den.
Og hvad hvis regeringen vil lave en special version af softwaren som minder om 'level 6 acces granted' og kan få røde lamper til at blinke?

Nåja, det har de allerede lavet :/
http://www.nsa.gov/selinux/
Gravatar #15 - hxt
5. jun. 2002 09:18
Det er en ganske godt spm, der bliver stille her.Er GNU/Linux eller Windows/WindowsNT der er mest usikker. Mmmm. Jeg er sikker på at begge har fejl og sikkerhedshulder, der er nu ikke noget der er sikkert. Men Microsoft har den politik at ikke ofliggøre det, når de bliver opmærksom på en fejl, og er betemt ikke hurtig til at lave en patch til at rette fejlen, der kan gå uger, ja endda månder før en fejl bliver rette.
Men linux hvis en fejl bliver fundet, så bliver den offenliggjort hurtig, og en patch bliver defor forholdsvis hurtig frigivet, alså inden for et par dage. Der er set flere gang at en patch er frigivet inden for få timer.
Hvis en terorist vil lave et angrab på en computer, vil de først se på hvad hvad ved om disse 2 systemer og hvilken fejl man ved om dem. Her vinder linux over windows, for som skrivet før er microsoft ikke den hurtigst til at rette fejl.
Derefter kan en terorist så selv finde fejl i styresystemet, som ikke er fundet af ander, og der ved slev have en indgang vinkel til systemet som ingen ander har set.
Her vinder windows over linux, fordi linux er åben og derfor klagt er nemmer at kigge igemmen og finde fejl, i forhold til windows.
Så hvad er sikkerest, jaaaaaaaaaa, en smagt sag tro jeg.
Personligt vil jeg tage linux, fordi windows har den store udbredelse, og derfor nok vil have prioritet nr 1 hos en terorist.

P.s. Undskyl alle stavefejlene, men jeg er ordblind, og prøve det beste jeg kan. **SS**
Gravatar #16 - agge
5. jun. 2002 09:20
Security by obscurity?!?!

Hvis jeg nu laver en obskur krypteringsalgoritme (kunne fx. være at flytte hvert tegn i beskeden 3 pladser i alfabetet), er det så bedst at holde algoritmen hemmelig eller offentliggøre den?
At holde den hemmelig svarer til M$ (og mange andres) stil. At offentliggøre den svarer til Linux (og Open Source).

Som eksemplet skulle illustrere, vinder man så noget ved at holde et sikkerhedshul eller en algoritme hemmelig (security by obscurity)?
Gravatar #17 - swanz
5. jun. 2002 09:27
Jeg kan mindes at havde læst en artikel på sslug.dk om kryptering, som sakens kan overføres til alm. programmer, den omhandler lidt det samme som er sagt i forumet, men der er en god agumentasion for og imod adressen er:
http://www.sslug.dk/artikler/krypto.html
Gravatar #18 - slickhead
5. jun. 2002 09:31
#16:
Du tror vel ikke at kryptering bør baserer på hemmelighedskræmmerier? Hvis du gør det, så tænk igen. Tag fx. PGP som bruges til mailkryptering, eller SSH som bruges til at lave krypterede forbindelser med. Disse krypterings metoder er kendte, og har ikke noget at skjule, og de virker.

I bund og grund er det lige meget om der findes et sikkerhedshul under Linux eller Windows, det skal rettes. Personligt stoler jeg så bare mere på folk som Torvalds der siger til folk i hele verden: 'Her er der nogle ændringer i koden til Linux kernen, er der nogle fejl/exploits i?'. Istedet for at stole på et firma der holder koden hemmelig, og udgiver nogle fixes der er lige så hemmelige.
Gravatar #19 - IceHunter
5. jun. 2002 09:59
<STRONG>#7 C#</STRONG> <STRONG>tror du selv terrorister sender patches ind på fejl de finder ?</STRONG>
Tror du selv terrorister sidder og finder fejl i det hele taget? (Klip til Osama Bin Laden med en coverdisk version af Delphi)

To ting: Alexis de Tocqueville Institutionen bliver sponseret af Microsoft (dokumenteret mange steder)

og på Comon var der følgende brugbare quote:

"And don't forget Kerckhoff's assumption: If the strength of your new cryptosystem relies on the fact that the attacker does not know the algorithm's inner workings, you're sunk. If you believe that keeping the algorithm's insides secret improves the security of your cryptosystem more than letting the academic community analyze it, you're wrong. And if you think that someone won't disassemble your code and reverse-engineer your algorithm, you're naive. The best algorithms we have are ones that have been made public, have been attacked by the world's best cryptographers for years, and are still unbreakable."--Bruce Scheier; Applied Cryptography (Second Edition); page 7
Gravatar #20 - Net-Meister
5. jun. 2002 10:03
www.fldg.dk såkanulinuxnørderfanmdelæredet!
Gravatar #21 - flywheel
5. jun. 2002 10:28
#7 Nope, men tror du at de samme "terrorister" indberetter problemet til udvikleren hvis det er properitær kode ?

#9 Og det er umuligt med Properitær kode ??

#11 Nope, det er hverken for eller imod...

#12 Gælder det med den menneskelige faktor ikke også properitær software ??
Der er sund fornuft i at hemmeligholde eventuelle sikkerhedsproblemer, for udvikleren - ja...men det fjerner ikke problemet...problemet bliver først løst når hullet bliver lukket.
Tendensen hos mange udviklere af properitær software, ja især Redmond, at man sylter fejlrettelser - nok til fordel for nyudviklinger...derfor bliver fejl og svagheder i dag skreget ud, da det har vist sig at en del fejl ellers ikke ville være blevet rettet, en del huller ikke ville være blevet lukket.

#16 Man vinder en del ved at hemmeligholde algoritmen, indtil den bliver knækket ... så er tendensen derefter at man er sårbar i længere tid, nemlig indtil man opdaget at man er blevet kompromitteret igennem længere tid.

Fordelen ved OSS fremgangsmåden er at fejlene generelt bliver hurtigere fundet og rettet. Det tager ikke 3-4 måneder, før en rettelsen af fejlen kan blive autoriseret, den politiske indflydelse er minimal. Det er en mere dynamisk fremgangsmåde, hvor udviklerne ikke venter med at fremstilles patches til den kulørte presse har fået fat i historien. Dette er hovedgrunden til at det er meget-meget sjældent at man hører noget til sikkerhedsfejl i OSS.
Gravatar #22 - Hektor
5. jun. 2002 10:36
#21 flywheel:
Jeg synes nu ellers, jeg hører om sikkerhedsfejl i OSS lige så tit som i Windows, forskellen er bare, er der plejer at gå et par dage før en fejlrettelse er på plads til OSS og indtil flere måneder før de er på plads i Windows.

Fordelen ved full-disclosure er, at sys.adms kan arbejde sig uden om problemet, når de ved, hvad fejlen er.
Gravatar #23 - flywheel
5. jun. 2002 10:41
#22 Det lyder som om at du holder øret mere til jorden end de fleste andre :o)

Tendensen er også at folk der benytter OSS er mere sikkerhedsbevidste.
Gravatar #24 - Hektor
5. jun. 2002 10:50
#23 flywheel:
"Tendensen er også at folk der benytter OSS er mere sikkerhedsbevidste."

Det er nok ikke helt galt; det ses især ved udnyttelse af gammelkendte sikkerhedshuller, hvor der ER udsendt fejlrettelser! Det er dybt sørgeligt at se MS blive svinet til for noget, som reelt set ikke er deres skyld, f.eks. Code Red, når der udelukkende er tale om dårlige administratorer, der tror, at bare fordi de er MSCE, så kan serveren klare sig uden indblanding. Samme holdning ved ret meget andet end end OpenBSD-server vil resultere i sikkerhedshuller, der til sidst er store nok til at hive en blåhval eller svigermor igennem, hvorefter de skyder skylden på alle andre end dem selv.
Gravatar #25 - DarkBorg
5. jun. 2002 11:01
og havd er det lige der forhindrer terrorister i at arbejde fx. i ms ???????????????????
Gravatar #26 - ScumBag
5. jun. 2002 11:02
#3

Rechnagel? Er du i familie med Lotte fra Vejle? Hun slår alle Arla pigerne ...eller gjorde, jeg har ikke set hende i mange år, måske er hun knapt så yummy nu.

/ScumBag
Gravatar #27 - agge
5. jun. 2002 11:05
#18
Det var netop pointen, måske det ikke fremgik tydeligt nok. Ikke desto mindre var DES hemmelig i lang tid...
Som artiklen #17 henviser til, så har den snedige Bruce nogle gode argumenter, uanset om det drejer sig om kryptering eller software.
Gravatar #28 - Z@R
5. jun. 2002 11:28
Jeg har det indtryk af de terrorrister der er så farlige for åhhhh stakkels USA at de nok ikke er typerne der sætter sig ned og læser linux kernen..... bare en tanke.

//Z@R
Gravatar #29 - bnm
5. jun. 2002 12:22
personligt kan jeg overhoved ikke se det gale i at en hvilken som helst virksomhed først offentliggøre en fejl når de har udarbejdet en patch til det. Faktisk ville jeg foretrække det hang sådan sammen.
Gravatar #30 - flywheel
5. jun. 2002 12:25
#29 Uanset om det tager 3 eller 6 måneder og dit system i den tid er sårbart overfor angribere der har fået kendskab til problemet??

Det ville virke i den ideelle verden....men verden er ikke ideel.
Gravatar #31 - fishbone
5. jun. 2002 13:25
<STRONG>#29</STRONG>
Det sker langtfra altid, at virksomheden selv opdager fejlen.
Gravatar #32 - DarkBorg
5. jun. 2002 13:50

#28
men microsoft viljo gerne fremme det billede at dem der laver kernen og licensen netop er terrorister.
Gravatar #33 - shamran
5. jun. 2002 16:54
http://biz.yahoo.com/ap/020604/microsoft_security_... mon ikke der også denne gang kommer en update...var den mon kommet alligevel ?....mon det er en ondsindet hacker der har skrevet artiklen ?
næppe
Gravatar #34 - anthony
5. jun. 2002 17:50
Net-meister: Tror de fleste har noget mere fornuftigt at give sig til, end at kigge på din hjemmeside :)
Siden er vældig morsom, men jo ikke ligefrem utrolig seriøs IMO
Gravatar #35 - sKIDROw
5. jun. 2002 17:57
Som jeg tidligere har skrevet...


Det er jo også noget fis at man informerede folk om HIV/AIDS, den slags snakker vi først om når vi finder en kur!
Tænk hvis folk lige frem vidste hvordan man beskytter sig mod det, indtil vi fandt en kur...


[Edit]
Dette er så meget reaktion, lille net-meister fortjener IMO
[/Edit]
Gravatar #36 - Aslak
5. jun. 2002 18:05
#29 bnm
Når det drejer sig om services, etc. som man kan lukke indtil patchen kommer, så vil jeg foretrække at kende sikkerhedshullet, specielt hvis der er tale om vigtige data. Så jeg mener ikke at "patch først og afslør fejlen bagefter" er en god løsning.
Gravatar #37 - anthony
5. jun. 2002 18:34
Forresten skal net-meister have lidt ros for hans hjemmeside, undrer mig bare enormt at der er nogen der har lyst til at bruge tid på et så total usagligt projekt.
(Og nu gidder jeg ellers ikke bruge mere tid på det)

Hmm... jeg er vist lidt off-topic :)
Gravatar #38 - Skarr
5. jun. 2002 18:37
"Knowing it's secure won't help you breaking in"

I Linux kan man udnytte fejlen indtil den bliver rettet.
I Windows kan man bare udnytte fejlen.

Nej, seriøst, fejl bliver rettet meget hurtigere i Linux-kernelen, simpelthen fordi bazaaren slår katedralen (i Eric S. Raymonds ord).
Det kan godt være at en klog terrorist finder en sikkerhedsfejl i Linux, men jeg tror lige vi skal tænke på sikkerhedsproblemer i Windows, som ikke engang er Open Source.
Og så er der jo også en masse andre ting der kunne gå galt, fx ville jeg nok være en del mere bekymret omkring min browser eller diverse andre mystiske apps.
Gravatar #39 - Berg
5. jun. 2002 18:50
#20->FLDGERENDÅMFORENINGOGIØVRIGTERDINSPACE-TASTOGTEGNINDSÆTNINGSDIMS-GÅETISTYKKERHAHAHVISDUHARFORSØGTAT-LÆSEHERTILERDUEDDERMAMELAM
Gravatar #40 - annoia
5. jun. 2002 20:05
Jeg læste for nyligt en artikel om hvordan man typisk finder sikkerhedshuller i programmer, og det handlede nu altså mest om at man så på den binære kode, og ledte efter mønstre. Manden der havde skrevet artiklen sagde at man ofte kun havde brug for sourcekoden, hvis man ville skrive fejlrettelser til programmet, og så kan det jo næsten være lige meget... Pointen er i hvert fald at man ikke har brug for sourcekoden for at finde sikkerhedshuller i et program.
Gravatar #41 - nihil
5. jun. 2002 20:20
agge, #16> <STRONG>"Security by obscurity?!?!"</STRONG>
<STRONG></STRONG>
"security by obscurity, is no security at all"

DarkBorg, #32> nej, men de prøver åbent at få linux til at fremstå som kommunisme.
Gravatar #43 - oc
6. jun. 2002 06:04
typisk dem , who gives a shit, på en måde tør jeg ikke engang vide hvad fejl NT har i vente, jeg venter ihvertfald ikke på det med en NT maskine.





TRUST YOUR TECHNOLUST
Gravatar #44 - sKIDROw
6. jun. 2002 06:31
Det er utroligt hvad for konklusioner, du kan få frembragt af analysefirmaerne hvis du har nok penge...
Microsoft har jo pudsigt nok, talt imod open source længe.
Og været inde og lobbiere hos det amerikanske forsvar og lign.
Og nu dukker denne nye smæde kampagne op...
Tilfælde?.. måske, det tro jeg dog personligt ikke.. ;o)
Valget er argumentation og valget af ord, er slående ens...
Dog tydede artiklen om deres lobby arbejde, hos forsvaret dog ikke på det store held for dem.
Det amerikanske forsvar havde været yderst tilfredse, med deres implementeringer af OSS software... :o)
Gravatar #45 - ZeroX
6. jun. 2002 11:56
#20:
Får du virkelig så lidt hits på din side at du bliver nødt til at reklamere herinde med den?
Gravatar #46 - west
6. jun. 2002 14:27
ZeroX @ 45
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login