BSD-s kód harcol a winekben is, volt is belőle egy kisebbfajta botrány régebben, de végül is a BSD licensz ezt lehetővé teszi. Az meg hogy mennyi van a régi winekből az újban ? Szvsz kernel felett szinte minden. Őszintén szólva azt is erősen kétlem hogy akár a microsoft is újra tudná implementálni a Win32-t csak a dokumentációk alapján ;-)
Biztonság: erre is csak azt tudom mondani hogy anno ez nem volt annyira előtérben mint most. Más kérdés hogy azért lehetett volna, elvégre az ARPANET eredetileg ugye katonai célokra készült...
Csak annyit jegyeznek meg, hogy a Win32 API problema (vagy inkabb Win 16 API :-)) nem csak volt, hanem van es lesz is. Meg evekig. Sajnos.
Addig a Windows biztonsaga, mint olyan, egyszeruen nem letezik. Most nem akarok otleteket adni, de szomoru teny, hogy a dolog tavolrol is kihasznalhato, nem kell hozzaferni fizikailag a gephez.
Egyebkent nekem a kerdesfelvetes tunik kisse ujsagiroszerunek. Egy rendszer biztonsaga nem azon mulik, hogy opensource vagy proprietary a cucc, hanem azon, hogy a rendszergazda mennyit tud a biztonsagrol, mennyi IDEJE van vele foglalkozni, es mennyi LEHETOSEGE van ervenyesiteni a biztonsagi elkepzeleseit contra business requirements (ertsd: legyen kesz tegnapra es tudjon mindent, ja, persze leallasi ido nincs a pecselesekre).
Szoval egy 5 eve magarahagyott SecureBSD-re nem biznam azert ra a hitelkartya-szamomat...
Meg ugye mainframe-eket is tortek mar fel.
Egyik ismerosom szokta mailjei aljara biggyeszteni a kovetkezot:
"Security is an illusion"
a vegeredmeny szempontjabol majdnem mindegy, de talan inkabb neked akartam valaszolni, es nem Andrew_s-nek. csak eloszor elolvastam idorendben, aztan tudtam, hogy a jogosultsagok kapcsan akarok valamit mondani, aztan a vege kifutott valami altalanosabbnak szantba. ezert mondtam, hogy majdnem mindegy :))))
hogy 1969-ben minek is terveztek a junikszot, azt ne nagyon firtassuk. azt hiszem akkor jarunk legkozelebb az igazsaghoz, ha azt mondjuk, hogy videojatek futtato rendszernek. mindenesetre remote access es time-sharing szerepelt a celok kozott, a networking nem.
ahogy ma te a junikszot, mint "halozatos oprendszert" latod, az kabe 1983 ota van, amikor a berkeley-s csavok a 4.2bsd-be integraltak a tcp/ip-t. es ha ehhez hozzavesszuk, hogy a telnet, ftp, pop, imap, stb protokollok clear text password-del operalnak, az udp osszes authentikacioja a dns-re epul, akkor latszik, hogy mekkora egetvero biztonsag kerekedik ki abbol, hogy a juniksznak a tcp/ip halozat 18 eve integrans resze. minuszos.
a vegeredmeny szempontjabol pedig tokmindegy, hogy melyik rendszert hany juzeresre terveztek. mire hasznaljak, es ehhez kepest milyen allapotban van ma. mindenesetre mernek benne fogadni, hogy aranyaiban lenyegesen kevesebb, windows [123].x-es kod harcol az xp-ben, mint amennyi egykori sysv & bsd kod egy mai propiteary unix disztribben.
az allitasod tobbi reszen most nem akarok rugozni, mert off topik lenne.
szeritnem sokan keverik a biztonsag es a hibatlan program fogalmat.
az opensource programok nem hibatlanok, de biztonsagosabbak, hiszen a tobb szem tobbet lat elve ervenyesul. ennel fontosabb /a kod nyilt vagy zart voltatol fuggetlenul/ a hibajavitas gyorsasaga. ez egyenlore a nyilt forrasu programoknal rovidebb ido alatt tortenik meg. es ez a lenyeg...
A 2.-hoz: mi koze van a bongeszo cache-ehez a Kmail-nek vagy a levelezolistaknak? Hogy kerested az e-mail cimeket? A fergek altalaban a mailto: stringre, vagy a @ stringre keresnek a cache-ben levo allomanyokbol.
A lényeg abszolút biztos rendszer nincs, csak a viccben.
A zárt forráskód legnagyobb veszélye szerintem, hogy el tudják sumákolni a biztonsági lyukakat. Nem olyan régen meg akarták büntetni azokat akik közzéteszik a programok biztonsági hiányosságait. Ezzel pont azt érték volna el, hogy pont a felhasználó nem tudna a biztonsági hibákról.
Amikor a unix rendszerek voltak a fő célpontok akkor ez a probléma még új volt, és nem is volt túl nagy jelentősége, mint magának az internetnek sem. Aztán ahogy szaporodtak a betörések, ahogy a netnek egyre nagyobb jelentősége lett, úgy a unixos rendszerek is kezdtek odafigyelni a biztonságra. Azért annyi előnyük mindenképpen van a win-nel szemben hogy ez a rendszer eleve hálózatosra van tervezve, míg a win egyértelműen egy useres (sŐt, igazából egy taszkos) rendszerként kezdte, mint a MacOS.
1.Windowson nem is. Ahhoz hogy a win-ben letörölj bármit a rendszerből ahhoz a normal user jog is pont elég.
2.Én most csak úgy sportból végignéztem a böngészőm html cache-ét (Konqueror) és egy szál e-mail címet nem láttam benne. Pedig KMail-ben levelezek, méghozzá mivel levlistákra is fel vagyok iratkozva elég nagy a napi forgalmam.
3.Ez a veszély még sajnos nem fenyeget.
1. Senki nem mondta, hogy egy virusnak vagy wormnak root jogokkal kell rendelkeznie. A legelterjedtebb Windows wormoknak sincs erre szukseguk.
2. A cimlistakra sem epit mar a legtobb worm, hanem a bongeszo cachebol, a html lapokbol gyujti ossze az e-mail cimeket. Ez mukodhet *x alatt is.
3. Nem kell a sikeres terjedeshez az, hogy a gepek 90%-at megfertozhesse, eleg 20% is, ha eleg sok az elerheto gep. Ez a feltetel *x alatt nem teljesul. Meg.
azert en az u*x rendszerek jogosultsag kezeleset nem menesztenem mennybe. vegyuk pl. a fajlokat: unixban van a fajlnak modja, meg acl-je. neked meg uid/gid-ed, es ebbol a vegen valami kijon. nem sok. hasonlitsd ezt mondjuk a w2k ilyen iranyu jogosultseg kezelesevel, domain-es authentikacio mellett. allitom, fel kell a gatyat kotni ahhoz, hogy egy nagyobb rendszerben, egy konkret juzer effektiv jogosultsagat egy adott fajlra kiszamolja valaki. (jol konfigolt win domaint feltetelezve most. a rosszul konfigoltban csak az expertnek van nem nulla eselye.)
ekkor meg nem is beszeltunk arrol, hogy ha u*x-ben letorolsz egy juzert, akkor a default user letrehozas mellett a legtobb u*x rendszerben a kovetkezo uj juzer siman megkapja az elozo juzer uid-jet, mig w2k alatt egy mocsokos hosszu uid van, ami soha, de soha nem fog megismetlodni a rendszer eleteben (hacsak az m$ el nem cseszte :))). ez persze reszben rendszer adminisztracio kerdese, de egy adott kornyezetben felvethet security problemakat is.
az indulo kerdesre azt valaszolnam, hogy igy onmagaban erre a kerdesre a valasz: nem. csak nagyobbak a sanszaid arra, hogy egyszer eltunjenek a hibak. ezek kozott az u*x cuccok kozott 10-20-30 eves kodok is akadnak, amelyeket egyre tobben olvasnak, nezegetnek, ertelmeznek, fejlesztenek, javitanak.
a vendoz, mint tcp/ip kepes szerver termek 7-8 eve van piacon, a fejlesztokon kivul senki sem latta.
7-8 eve a helyzet meg total tragikus volt, es a kerdest csak azert nem volt ertelme feltenni, mert a winben meg joszerivel tcp/ip support sem volt, igy ha akartal, sem torhettel be :)))) viszont a betoresek min 90%-at unixokba abszolvaltak. a nem u*x-es betoresek kabe 98%-at ismert, de nem kijavitott (==rosszul adminolt) vms-ekbe, es tobbi igazi vms betores volt. ja, es amikor meg jezus a foldon jart, akkor elofordult betores vm-be is :)
vagyis az latszott, hogy a proprietary rendszerek lenyegesebben biztonsagosabbak az u*x/os alapu megoldasoknal. ha akkor ilyent csak megkerdezel, hat kitomnek es cirkuszban mutogatnanak azota is.
de aztan ido mult, a vendoz jott, es forditott aranyokon.
es az se felejtsuk el, hogy win alapu rendszer valszeg lenyegesen tobb rohangal a vilagban, mint open source, igy egyszeru szoke fejemmel azt mondanam, hogy a napi elet tobb win hibat fog produkalni, mint open source-ost.
szal a windows ma, semmivel sem nez ki rosszabbul, mint az u*x, meg az open source ugy 10 eve. csak akkor az adminokon, fejlesztokon, && nehany hekkeren meg krekkeren kivul legfeljebb az fbi-t meg kgb-t foglalkoztatta a kerdes. kit ezert, kit azert. a tobbiek meg nem tudtak rola, hacsak nem volt vmi extra skandalum. ecceruen nem ekkora szamitogepes penetracio, es nem volt hozzanemerto, idiota bulvarzsurnalisztak altal generalt media hype.
Azért mondjuk egy virnyáknak nem annyira 1xű a dolga, még ha elméletben meg is lehetne csinálni. Ugyanis linux alatt a felhasználók millióféle levelezőprogramot használnak amik más és más helyeken tartják a címlistájukat. Ráadásul root jogot sem annyira 1xű szerezni, ahhoz az kell hogy legyen egy olyan program ami:
- ott van a rendszereden.
- root joggal rendelkezik.
- az a verziója ami fenn van pont az ami a hibás.
Na most ez így elég ritkán jön össze. Pl. egy desktop user nemigen futtat apache-ot, a Debian-ban más verziójú indián futkározik mint a RedHat-on. És arról még nem is beszéltem hogy a desktop gépek jó része nem használ egységes levelező architektúrát. Ha nekem a KMail van belőve és azon keresztül küldözgetem a levelem smtp-n át akkor a virnyák hiába szívózik a sendmail-lel.
Ha a biztonságot leszükitjük, arra hogy hackerek milyen könnyen tudnak behatolni egy rendszerbe akkor lehetséges hogy nincs akkora különbség, a nyilt forráskódú és a zárt rendszerek között, vagy legalábbis egy szoftver nem attól lesz biztonságos vagy kockázatos hogy nyilt vagy zárt forráskódú.
De ha a "biztonság"-ba azokat a kockázatokat is bele értjük, hogy a gyártó esetleg nem e beépit szándékosan olyan hátsó ajtókat a rendszerbe amelyek:
- adatokat gyüjtenek rólunk ( reklámcélra, FBI-
nak,CIA-nak,BSA-nak,Echelonnak)
- amely bizonyos feltételek esetén,
távvezérelten letilthatja a szoftver müködését.
- amely tudatosan akadályozza más konkurrens
gyártók szoftvereivel való együttmüködést.
Akkor már az mondható hogy a gyárilag beépitett
"Back door" kockázatokkal szemben az open source
programok eleve biztonságosabbak.
Biztos vagyok benne hogy a Német közigazgatás átállását SUSE linuxra, a Kinai Vörös Zászló projekteket nem kizárólag költségmegtakaritási szempontok motiválják.
Azt hiszem a biztonság, mint olyan nem kodolásfüggö. Abban az értelemben, hogy van 1000*n darab programsor ami reprezentáljon mondjuk 100 önállo programmodult (eljárások, függvények, objektumok/osztályok stb.). Ezek egyenként lehetnek bármilyen tökéletesek, ha egymás hivásaiban vannak valamilyen problémák ohatatlanul megjelennek azok lehetöségek, amik akár biztonsági réseket okozhatnak. A komolyabb bugtol még a fejlesztönél fagyik a rendszer ugyanis.
Ebben az értelemben aligha van különbség a Linux és a Windows között, hiszen emberek a programozok mindkét oldalon.
De a felfogásuk azért nem teljesen azonos. Az OpenSource-on nincs (vagy több nagyságrenddel kisebb van) marketingnyomás. Akár a hibák eltusolását, akár a termék verziváltását nézzük. Amellett szemléletében Windows alapvetöen egy gyenge jogosultságkezelö desktop-rendszer amit feltuszkoltak a szervervilágba. A Unix/Linux ezzel szemben a szervervilágbol érkezett, tehát már csak a multikonzolos alkalmazáskezelés miatt is muszál volt jogosultságot kezelnie.
A kodszintü debuggolást a rendelkezésre állo forrás inkább támogatja, mint a Windows által kiköpött hexa-dump ami alapján jo esetben kiadnak egy pecset. Ami talán nem tartalmaz ujabb hibákat. Tehát a javitokészlet (is) az egyik esetben közvetlenül ellenörizhetö, a másik esetben hit kérdés. Föleg mert a zárt kodu fejlesztö ténylegesen bevasalhato üzleti felelösége sem nagyobb, mint a hobbiprogramozoé.
-- I tag dajse
Azert van boven hiba az open source-ban is. Epp nemreg terjedt el az OpenSSH egy backdoorral kiegeszitett valtozata, ezen kivul az elmult egy honapban legalabb 3 OpenSSH exploit bukkant fel.
Aztan hogy csak az utolso honapok termeset emlitsem, ott volt az Apache hibat kihasznalo Scalper, valamint az ugyanezt a hibat kihasznalo legalabb 5-6 fele Slapper varians.
Altalaban persze biztonsagosabbak a Linux/Unix rendszerek, de ne legyenek illuzioitok: egyaltalan nem erintetlenek.
Egy kis tévedés van az össehasonlításban. Megint az alma és a körte problémája forog fenn. Az, hogy a Unix rendszerek és a Linux biztonságosabbak a w$ rendszereknél nem a nyílt forráskódból adódik, hanem inkább az operációs rendszer felépítéséből, jogosultságok kezeléséből. Az mellesleg nem hátrány, ha a nyílt forráskód miatt a javítások szinte rögtön megjelennek.
Az is természetes, hogy a zárt forráskódú programokat áruló cégek minden eszközt megragadnak arra, hogy lehúzzák a nyílt forráskódúakat. Azért arra kíváncsi lennék, hogy a zárt programjaikban mennyi lehet a lopott kód?
"Az eWeek on-line informatikai magazinban a köztelmúltban egy érdekes írás látott napvilágot, amely azt fejtegeti, hogy vajon mennyire megalapozott az a széles körben elterjedt, ám nem feltétlenül helytálló hit, amely szerint a nyílt forrású rendszerek biztonságosabbak zárt kódú társaiknál?
Az elmúlt években, miközben egyre-másra érkeztek az olyan nagy gyártók, mint a Microsoft, az Oracle, vagy a Cisco különböző termékeiben felfedezett sebezhetőségekről szóló jelentések, a nyílt forrás szószólói csak kuncogtak magukban. Ha végre ezek a gyártók kiadnák forráskódjaikat, és hozzáférést nyújtanának a nyílt forrást támogató mozgalomnak, problémáik egy csapásra megszűnnének, mondták. És amikor múlt évben a Code Red és a Nimda férgek foltozatlan Microsoft Internet Information Services szerverek százezrein rágták át magukat, az Apache-t használók hátradőltek és nevettek, abban a hitben, hogy velük semmi hasonló sem történhet.
Aztán mégis megtörtént. [...]
Az, hogy ilyen hibákra bukkantak egy nyílt forrású eszközkézletben, amit később sorozatosan ki is használt egy kártékony féreg, több szakértő számára egyáltalán nem meglepő. De még így is elegendő, hogy felhívja a figyelmet arra a magát régóta tartó hit megkérdőjelezésére, amely szerint a nyílt forrású szoftver sokkal biztonságosabb [zárt kódú társainál]. [...]"
