2015-12-22, 21:49
  #37
Medlem
hashs avatar
Linux måhända har en del sårbarheter, men det överväger helt klart Windows och OS X, eftersom dessa operativsystem misstänks för backdoors. Finns ett otaligt artiklar om detta på nätet.

Personligen litar jag inte en sekund på Microsoft/Apple och deras samarbete med NSA.
Problemet är inte på bara på OS-nivå utan även hemmarouters.

Den som vill vara säker bör köra linux som OS och även på sin hemmarouter köra någon form av open-source firmware, t ex DD-WRT, Tomato eller OpenWrt.
Citera
2015-12-22, 22:25
  #38
Medlem
Mac OS X skickar data automatiskt till Apples servrar som osparade dokument och dokument som redigeras. How one man’s private files ended up on Apple’s iCloud without his consent

Ubuntu vore något med avinstallerat SSH, vilket går lätt att göra genom Synaptic. Tyvärr är all typ av felaktig konfiguration ett stort problem på Linux. Java behöver uppdateras, Pepper Adobe Flash finns bara genom Chrome. Adobe Flash på Linux med Firefox NPAPI är fast på version 11.2! Ubuntu kommer med Firefox, så enda sättet är att installera Chrome för att få en uppdaterad Flash eller med Pepper Flash på Chromium.
Citera
2015-12-23, 00:01
  #39
Medlem
kp1s avatar
Citat:
Ursprungligen postat av annanmedlem
Vad du tror spelar ju mindre roll dock eftersom operativsystemet definitivt har haft enorm effekt.

Windows har ju kört nätverkstjänster, haft massa problem med sin mailläsare - nu senast för att den förhandsvisade flash o.s.v., brister som har varit Windowsspecifika, och givetvis har det funnits operativsystemsspecifika brister hos de andra också.

Personligen är jag inte kompetent nog för att svara på frågan. En del som har gjort att man väl har setts som tryggare på unixliknande operativsystem är ju att den egna användaren inte är systemadministratör/root själv och således inte ens själv normalt kan orsaka alla typer av skada, för egen del tycker jag dock att det mest förödande hade varit att bli av med mina egna filer/information och denna hade ju isf normalt funnits just hos den användaren så det hade ju varit ett bekymmer.

Det har ju om inte annat funnits tillägg till Linux och BSD slumpar ut hur minnet för en process arrangeras i minnet för att göra det svårare att "hacka" den, men jag antar att OS X och Windows kanske nyttjar motsvarande tekniker nu med och oavsett så har jag uppfattningen att det verkar gå bra att göra exploits även när sådant används (men jag antar att det kanske kräver mer jobb isf?)

Jag har i princip ingen som helst koll på vad som har gjorts för att göra de olika operativsystemen säkrare med tiden (infördes ju möjligheten att markera minne som icke-exekverbart med någon generation av processorer för typ 15 år sedan med) men jag vet att det heter att Windows har blivit säkrare och jag kan därför inte uttala mig om vad som skulle vara mest säkert utifrån ett tekniskt perspektiv, utifrån ett praktiskt så är väl webläsare, flash, möjligen PDF och som operativsystem möjligtvis Windows mest intressant att attackera eftersom det är där de flesta användarna och potentialen finns och om en brist nyttjas i Windows respektive Linux så .. skulle ju tidigare den som rörde Windows rört fler användare och varit mer relevant för den stora massan och säg storleken på botnets som det talades om innan (men det är kanske tacksammare att äga Linuxservrar), idag är det ju dock så att man kör Linux på smartphones med bl.a. och därigenom finns det ju jättemånga som kör Linux idag.

Mer relevant för dig är kanske vilket operativsystem du hade känt dig mest trygg med / varit säkrast bakom och där är det kanske så att risken hade varit mindre om du körde Linux istället för Windows, skit bakom spackarnaaspekten i om man verkligen kör en trojan "medvetet" vill jag inte väga in i ovanstående men risken finns ju där med Windows att du kanske söker på något program och kör det från random websida eller nedladdningssite medan du om du är nybörjare och inte tänker dig för kanske är lättlurad och inkapabel att hantera en Linuxmaskin, men i övrigt vore väl det viktiga vara dels att du lät bli att köra program ifrån andra ställen än de officiella där du vet att det är saker du kan lita på och att du såg till att hålla saker och ting uppgraderade och inte struntade i det. I fallet med Windows antar jag att de kanske avvaktar med att skicka ut uppgraderingar till speciella dagar för saker de vet om och det kan man ju tycka utsätter en för något högre risk än om man åtminstone skickar ut uppgraderingarna så fort man kan. Å andra sidan håller Microsoft tyst om vad bristerna var under tiden där så blir de kanske inte allmän kännedom medan om den som är ansvarig för någon del av ett Linuxoperativsystem släpper en uppdatering och förklarar vad problemet var och din distribution / du inte ser till att uppdatera den aktuella programvaran utsätter dig för högre risk eftersom det då är allmän kännedom och sålänge du inte gör något för att hantera problemet ..

Vad är det för problem MS haft med mailläsaren? Frågar då jag faktiskt inte har koll på den inbyggda mailläsaren alls. Annars ja alla OS har sina inbyggda problem.

Du har dock rätt i en sak och det är just det att användarna ofta kör som administratör, just för att det är default. Behövs detta? Absolut inte och man kan mycket enkelt skapa ett konto som inte admin och använda detta vid normalanvändning. Dock finns mandatory integrity control och UAC som ger ett visst extra skydd för de som kör som administratör.

"Det har ju om inte annat funnits tillägg till Linux och BSD slumpar ut hur minnet för en process arrangeras i minnet för att göra det svårare att "hacka" den"

ASLR - aslr address space layout randomization är det du talar om här. Detta har funnits ett bra tag hos både linux och windows och Windows ASLR implementation är erkänt svårare att försöka sig ta igenom dock på bekostnad av uppstartstid för processer.

"infördes ju möjligheten att markera minne som icke-exekverbart"
NX på linux och DEP på Windows. Har också funnits ett bra tag det också.

"I fallet med Windows antar jag att de kanske avvaktar med att skicka ut uppgraderingar till speciella dagar..."
Kritiska patchar kan komma vilken dag som helst i veckan. Patch tuesday handlar om att ge admins förutsägbarhet. Dock kan och gör MS undantag för kritiska patchar.

Andra saker som förbättrat OS'et. Stabilitet och säkerhet i USB stacken är förbättrat från och med Windows 8 tackvare att dom bytade språk från C++ till ett nytt state-machine språk som heter P och som är verifierbart korrekt i aspekter av state, type och minneshantering i asynkron miljö.

Andra skydd som OS har. Mandatory Access Control till skillnad från Discretionary Access Control finns i linux. I grunden gör det att du som användare kan inte ge bort rättigheter till andra personer för data. Det gör mer än så i praktiken med rollbaserad åtkomst. Windows har tamare version av detta som heter Mandatory Integrity Control. Sedan har windows system, Applocker, Device Guard och SRP, där man kan begränsa vilka applikationer,skript eller DLLer som får exikveras. T.ex bara signerade applikationer från specifika leverantörer eller applikationer där filehash är av ett specifikt värde eller att filer ligger i en speciell path. Så det finns en massa olika lösningar. MS Research producerar emellanåt en del publika papers som är grymt intressanta att läsa om man intresserar sig för OS tekniker och då speciellt säkerhetstekniker.
Citera
2015-12-23, 01:01
  #40
Medlem
kp1s avatar
Citat:
Ursprungligen postat av hash
Linux måhända har en del sårbarheter, men det överväger helt klart Windows och OS X, eftersom dessa operativsystem misstänks för backdoors. Finns ett otaligt artiklar om detta på nätet.

Personligen litar jag inte en sekund på Microsoft/Apple och deras samarbete med NSA.
Problemet är inte på bara på OS-nivå utan även hemmarouters.

Den som vill vara säker bör köra linux som OS och även på sin hemmarouter köra någon form av open-source firmware, t ex DD-WRT, Tomato eller OpenWrt.
Hur vet du att linux inte har backdoors?
På vilka sätt skulle NSA kunnat implementera backdoors i windows utan att det skulle upptäckas menar du?
Citera
2015-12-23, 07:49
  #41
Medlem
hashs avatar
Citat:
Ursprungligen postat av kp1
Hur vet du att linux inte har backdoors?
På vilka sätt skulle NSA kunnat implementera backdoors i windows utan att det skulle upptäckas menar du?

NSA och Microsoft/Apple har samarbete, amerikanska företag.
Utåt nekar båda företagen detta, men det är inget jag skulle lita på.
Googla lite på Cisco routers och NSA, finns massor om detta (Snowden har läckt information).
Finns en del intressant information också om Windows 10 och NSA.

En annan intressant grej är PRISM
PRISM

Kärnan är öppen källkod, det hade upptäckts snabbt om Linus Torvalds hade godkänt frågan från NSA.
Ett flertal oberoende personer granskar alla ändringar i källkoden till kärnan.

NSA har frågat Linus Torvalds om att installera en backdoor
Citera
2015-12-23, 08:50
  #42
Medlem
kp1s avatar
Citat:
Ursprungligen postat av hash
NSA och Microsoft/Apple har samarbete, amerikanska företag.
Utåt nekar båda företagen detta, men det är inget jag skulle lita på.
Googla lite på Cisco routers och NSA, finns massor om detta (Snowden har läckt information).
Finns en del intressant information också om Windows 10 och NSA.

En annan intressant grej är PRISM
PRISM

Kärnan är öppen källkod, det hade upptäckts snabbt om Linus Torvalds hade godkänt frågan från NSA.
Ett flertal oberoende personer granskar alla ändringar i källkoden till kärnan.

NSA har frågat Linus Torvalds om att installera en backdoor

OK ursäkta mig, jag sade linux men jag menade linux baserade OS. Dock om jag hade sagt "Hur vet du att linux [baserade OS] inte har backdoors?" så gör jag antagandet att du hade svarat på likvärdigt sätt med att andra granskar koden, så jag bemöter det.

Så vad känner du till om dessa personer som du antar granskar all kod? Vet du att de granskar all kod? Vad känner du till om dessa personers kunskap i säkerhet? Hur sir din relation ut till dessa personer som granskat koden? Hur ser din tillitskedja ut?
Citera
2015-12-23, 09:24
  #43
Medlem
hashs avatar
Citat:
Ursprungligen postat av kp1
OK ursäkta mig, jag sade linux men jag menade linux baserade OS. Dock om jag hade sagt "Hur vet du att linux [baserade OS] inte har backdoors?" så gör jag antagandet att du hade svarat på likvärdigt sätt med att andra granskar koden, så jag bemöter det.

Så vad känner du till om dessa personer som du antar granskar all kod? Vet du att de granskar all kod? Vad känner du till om dessa personers kunskap i säkerhet? Hur sir din relation ut till dessa personer som granskat koden? Hur ser din tillitskedja ut?

Nää, jag har ingen koll på dessa personer.
Detta är bara en uppgift från Linus Torvalds och vem vet, kanske jobbar dom på NSA

Men källkoden till kärnan är öppen och jag är säker på att det hade framkommit på ett eller annat sätt om det fanns kod för backdoors.
Jag har väldigt svårt att se hur man skulle kunna dölja detta i en öppen källkod.
Citera
2015-12-23, 09:50
  #44
Medlem
kp1s avatar
Citat:
Ursprungligen postat av hash
Nää, jag har ingen koll på dessa personer.
Detta är bara en uppgift från Linus Torvalds och vem vet, kanske jobbar dom på NSA

Men källkoden till kärnan är öppen och jag är säker på att det hade framkommit på ett eller annat sätt om det fanns kod för backdoors.
Jag har väldigt svårt att se hur man skulle kunna dölja detta i en öppen källkod.
En rad med felaktigt använt printf() kan ge en bakdörr. Vi pratar inte om att kod måste vara på flera hundra eller tusen rader för att skapa en bakdörr. På rätt ställe kan det vara ytterst liten del i koden. Ett otillräckligt condition etc.

Du säker att du är säker men du har inte koll på vilka som granskar eller deras kunskaper. Det ända du egentligen vet är att den kan granskas. Ubuntu innehåller 200 miljoner rader kod. Ser du det som osannolikt att NSA kan infiltrera något projekt och få med en pytteliten förändring?

Varför har du tilltro till kodgranskningen då tjänster som t.ex samba hade ett riktigt seriöst säkerhetshål i 9 år där koden fanns öppen och den "granskades"?

Windows koden granskas den också så varför har du inte samma tillit där? Skillnaden är att du måste skriva på en NDA med MS för att få granska koden.

Saken är att kodgranskning i praktiken är rejält överskattat. Har du läst kod? Kan du läsa C/C++ kod? Har du kunskaper om hur olika kompilatorer arrangerar underliggande maskinkod? Hur många tror du har den samlade kunskapen och som spenderar sin tid med att läsa andras kod istället för att själv jobba på egna intressanta projekt? Man måste ha inte bara riktigt bra kunskaper om programmering utan även bra kunskaper om hur koden för produkten i sig är uppbyggd så man förstår alla flöden av information i koden. 200 miljoner rader kod... ja tjena.

Du kan ju själv inte presentera en vettig tillitskedja. Bara ett förtoende för öppenhet och Linus.
Citera
2015-12-23, 09:55
  #45
Moderator
vhes avatar
Citat:
Ursprungligen postat av kp1
Så vad känner du till om dessa personer som du antar granskar all kod? Vet du att de granskar all kod? Vad känner du till om dessa personers kunskap i säkerhet? Hur sir din relation ut till dessa personer som granskat koden? Hur ser din tillitskedja ut?

Jag känner några av dem. De litar jag på. De känner i sin tur fler, som de litar på. Det är ju inbyggt i öppenheten att alla kan granska koden, och i rena Open Source-distributioner så är det rätt många som granskar den. Visst, det slinker igenom en hel del paket där endast en eller två personer läst koden (detta vet jag som ett faktum, då jag har producerat något enstaka själv) men det är knappast kärnkomponenter som kan väntas vara installerade på en större mängd maskiner.

Din frågeställning blir lite absurd. Visst, vi har alla läst Reflections on Trusting Trust, men det du säger kan mer eller mindre omformuleras som: Eftersom du inte kan vara absolut hundra procent säker på att produkt A är tillförlitlig, så kan du lika gärna använda produkt B, som vi är mer eller mindre säkra på inte är tillförlitlig. Ty allt strikt mellan noll och hundra är ekvivalent. Detta är i någon filosofisk idévärld kanske sant, men i den riktiga världen, där de flesta av oss bor och verkar så är det givetvis nonsens.
Citera
2015-12-23, 09:56
  #46
Moderator
vhes avatar
Citat:
Ursprungligen postat av kp1
Windows koden granskas den också så varför har du inte samma tillit där? Skillnaden är att du måste skriva på en NDA med MS för att få granska koden.

Vilket givetvis är en enorm skillnad, som inte alls kan bagatelliseras på det sätt du gör.
Citera
2015-12-23, 10:26
  #47
Medlem
kp1s avatar
Citat:
Ursprungligen postat av vhe
Vilket givetvis är en enorm skillnad, som inte alls kan bagatelliseras på det sätt du gör.
Förklara vaför skillnaden är enorm.
Citera
2015-12-23, 10:41
  #48
Medlem
kp1s avatar
Citat:
Ursprungligen postat av vhe
Jag känner några av dem. De litar jag på. De känner i sin tur fler, som de litar på. Det är ju inbyggt i öppenheten att alla kan granska koden, och i rena Open Source-distributioner så är det rätt många som granskar den. Visst, det slinker igenom en hel del paket där endast en eller två personer läst koden (detta vet jag som ett faktum, då jag har producerat något enstaka själv) men det är knappast kärnkomponenter som kan väntas vara installerade på en större mängd maskiner.

Din frågeställning blir lite absurd. Visst, vi har alla läst Reflections on Trusting Trust, men det du säger kan mer eller mindre omformuleras som: Eftersom du inte kan vara absolut hundra procent säker på att produkt A är tillförlitlig, så kan du lika gärna använda produkt B, som vi är mer eller mindre säkra på inte är tillförlitlig. Ty allt strikt mellan noll och hundra är ekvivalent. Detta är i någon filosofisk idévärld kanske sant, men i den riktiga världen, där de flesta av oss bor och verkar så är det givetvis nonsens.

Varför skulle inte produkt B vara tillförlitlig? Du känner till den gamla devisen "packets never lie". Du vet hur trustkedjan funkar i TLS. Så släng in ett root ca cert nu och analysera all trafik som går mellan din Windows burk och resten av världen. Sådant analysjobb sker hela tiden av säkerhetsanalytiker och hobbyister. Det är inget konsitgt med det. Trafik analyseras till och från Windows kontiurnerligt. Om NSA har dessa bakdörrar i Windows. Varför syns aldrig trafiken? Eller gör den det? Visa mig då någon som snappat upp trafik från en standard komponent i ett ikke infekterat Windows där man kan spåra att det handlar om avlyssning av någon agency av något slag.
Citera

Skapa ett konto eller logga in för att kommentera

Du måste vara medlem för att kunna kommentera

Skapa ett konto

Det är enkelt att registrera ett nytt konto

Bli medlem

Logga in

Har du redan ett konto? Logga in här

Logga in