Хренсмаслом пишет: Ну во-первых она не глючная, во-вторых есть множество альтернатив, самая функциональная, это та же MS ISA.
ISA быстрее винроута. Если у людей винроут на машине с 2Гб оперативки и 3ГГц процессором при 100 пользователях жутко тормозит, то "ой!".
Цитата
Хренсмаслом пишет: Это вы не правы, основные возможности DEP реализуются только при аппаратной поддержке, а software-enforced DEP - это лишь дополнительные проверки, но никак не Hardware-enforced DEP.
во-во. В PaX же мы имеем 2 варианта: 1)процессор поддерживает nx - никаких потерь производительности, то же самое что hardware-enforced DEP 2)процессор nx не умеет - имеем программную реализацию с потерей в 3-5% производительности и память не более 1.5Гб. в остальном как в пункте 1.
Цитата
Хренсмаслом пишет: как-то наугад сравнили её с DEP, указав что там нету Address space layout randomization,
не наугад. читайте внимательнее. DEP - это лишь часть того, что реализовано в PaX. А PaX - это часть grsecurity.
Цитата
Хренсмаслом пишет: А что касается скорости работы - именно благодаря аппаратной реализации NX и XD бита DEP работает быстрее, чем grsec.
1)вы меряли? 2)у вас есть результаты тестов? Ещё раз говорю: PaX существует дольше чем DEP. Это на ia32 на страничках rw, а на тех же спарках - rwx и там это аппаратно уже дааавно.
Цитата
Хренсмаслом пишет: А вот скажите мне, сколько обычных версий Linux, стандартных дистрибутивов установлено на суперкомпьютерах? Окажется, что их ничтожное количество - SuSE Linux Enterprise Server и Redhat Enterprise. А если быть точным - 11 из 500.
Большинство машин, что занимают вершины top500 - это кластеры. Что бы там не тюнили парни из ibm, но это по-прежнему Linux. btw, сейчас в ванильных ядрах есть поддержка Infiniband. как вы думаете, зачем это надо?
Цитата
Хренсмаслом пишет: Например, как заставить широковещательный трафик проходить через IPSec без фильтрации, при этом чтобы протокол резервирования по прежнему фильтровался IPSec-ом. И сделать это всё нужно через консоль, а не через mmc
Гонять широковещательный трафик через ipsec-туннель? забавно, ибо бродкасты не бегают через роутеры. netsh ipsec add filter .... в эту сторону вопрос? ;)
Хренсмаслом пишет: Я тебе доказал, что под линуксом полноценно не работает практически ни одна фотокамера, причём чем дальше, тем хуже, так как все новые возможности современных фотоаппаратов работают именно с родными драйверами/ПО, которое есть только под Windows и изредка под Mac.
Полноценно работают. Нафотографировал. Подключил - фотоаппарат определился как USB-накопитель. Слил фотки. Насчет неработоспособности каких-то продвинутых функций(не знаю, мне функций фотографирования от фотоаппарата хватает :) ) с чего ты взял что не работают? Может быть всеже просто хреново искал софт в Интернет или не не сумел настроить?
Цитата
Хренсмаслом пишет: А вот драйверов для мобильных телефонов нету вообще, так что если вы вздумаете синхронизировать, допустим, записные книжки, или перепрошить телефон, да и наконец залить какой-либо файл на телефон или с него - под линуксом у вас это не получится.
Про мобилы снова бредишь? Тебе я уже объяснил: РАБОТАЮТ мобилы Siemens A55, A65, C65, MC65, SX55, Ericsson W800, Nokia - все что подключал те и работали. Просто нужно разбираться в системе, а не быть ламером, и РУКИ нужны ПРЯМЫЕ. Определяются при подключении через шнурок как USB-накопитель либо через шнурок наподобие USB-to-serial convertor на Profillic PL2303 через siefs. Сливаются картинки, фотографии и мелодии и синхронизация Phonebook(kmobiletools). Bluetooth работает(bluez-utils), передача данных через Bluetooth(OpenOBEX), модем через блутуз цепляется для GPRS(RFCOMM)... Если у тебя не работает, то можешь винить производителей за то, что не предоставили софт и себя за то что не смог найти софт и драйвера в Интернет, а не Linux. У того, кому нужно - все работает, а господин линукс-чайник об этом не знает, зато покричать какой Linux остойный и дырявый горазд.
Цитата
Хренсмаслом пишет: А это значит что по умолчанию даже в Server2k3 IGMP v.3 вообще не используется, а зачем тогда нам он вообще нужен?
Вот именно зачем нужна такая система, где включают какую-то ненужную дырявую хрень по умолчанию, через которую досят или ломают, чтобы затем те, кому не все равно лазили и вычищали все это дерьмо? Проще Linux поставить и поставить и настроить только то, что необходимо, а не мириться с тем, что тебе любезно всучили или пытаться выкорчевать хотя бы часть этой байды (люки для спецслужб, WMF, RPC, IGMP, IE, Mediaplayer, Outlook...).
Цитата
Хренсмаслом пишет: Теперь о siefs - она годится, увы только для Siemens, да и то только для очень малого числа моделей - 45ых, 55ых и 65ых. Да и примонтируешь ты flex память, а с телефоном то всё равно работать не сможешь. Ни Firmware, ни 1ый или 2ой EEPROM (а в Сименсах их 2), ни Bootcore ты отредактировать не сможешь, а даже если бы и мог, то не было бы редакторов и дамперов под них.
А нафига, позволь спросить, мне или обычному пользователю редактировать firmware или bootcore??? Картинки заливаются, фотки снимаются, музыка заливается. Больше ничего простому юзеру не нужно! А ты в курсе, что еще существуют утилиты scmxx/gscmxx(позволяют ковырять сименсовский телефон), gnokii(нокиевский), kmobiletools?
Цитата
Хренсмаслом пишет: Касательно дырки в "RPC", которая якобы стоит тысяч дырок линукса. Видно наш уважаемый гость очень погорячился... Третий раз повторяю, всё зависит от прямоты рук.
Т.е. все виндузятники практически поголовно криворуки, поэтому и имеем такую ситуацию с виндовой заразой, спамом и флудом или они виноваты в том, что система из коробки дырявая? Если все зависит от рук, тогда зачем вы указываете на число дыр в Linux, если у нормального админа они все равно будут закрыты или будет стоять SELinux или GRsecurity(в винде, кстати, появились уже средства мандатного контроля доступа из коробки, какие есть в Linux из коробки?) и ему вообще будет по барабану на теоретическую возможность взлома? Мы сейчас о чем вообще говорили - о прямоте рук или о дырявости систем, которая зависит только от прямоты рук разработчиков? Поэтому не нужно сваливать виндовые удаленные дыры размером с футбольные ворота по сравнению с сотнями мелких помарок, локальных дырок и локальных DoS в Linux на кривизну рук юзеров.
Цитата
Хренсмаслом пишет: Я клоню к тому, что у тех, у кого руки прямые, уже давно запретили все лишние протоколы (включая третью версию IGMP)на своих серверах при помощи ISA или любым другим серверным фильтром вроде WinRoute.
"Кашу из топора" читали? Вот точно также из винды можно сварить худо-бедную кашу в плане безопаности, если выкорчевать, докупить и заменить большую часть ее компонент, в т.ч. и служб, а оставшиеся фичи, которы не выкорчевываются повыключать/закрыть фильтром. Стоимость Win2k3 и убогого ISA Server(кстати она уже научился защищать внутренний инетрфейс? FWClient перестал конфликтовать с софтом? на открытые локальные порты ISA научилась считать трафик? а DNAT со внутреннего интерфейса сделать сможет? А с RRAS больше не конфликтует? А нормально шейпить трафик научилась? А два канала в Интернет, основной и резервный или использование их вместе может? А анонимизировать хедеры в запросах браузеров умеет?)+весь сторонний софт, чтобы можно было нормально квотировать и контроллировать доступ сами посчитаете?
Цитата
Хренсмаслом пишет: Угу, только сделаны на базе UNIX Version 7. :)))
И что, от этого факта они становятся лучше? Может покажете мне BSD Enterprise Server, Oracle for BSD, eDirectory for BSD или DB2 for BSD. Дырок в BSD за последние месяцы вылезло полно, с серверным железом(SCSI RAID, APIC) - проблемы, с десктопным - поддержка железа намного хуже, чем у Linux. Много кода в *BSD было дописано/переписано, официально - не UNIX, потому что не прошли сертификацию. Linux ничуть не страдает от того, что тоже не проходил сертификацию на звание UNIX и это ничуть не мешает ему рвать в клочья *BSD и бить Solaris на небольших и средних нагрузках:
Цитата
Хренсмаслом пишет: а для работы с мобильным телефоном нужен, как минимум драйвер для его кабеля, который преобразует сигналы, без этого толку от /dev/sdaX не больше, чем от кабеля воткнутого одной стороной в ПК, другой в мобильный.
Ха-ха-ха. Какой еще драйвер кабеля для /dev/sdX? Это эмуляция SCSI-диска для USB-накопителей, коими представляются флешки, фотоаппараты, мобилы и многое другое... НИКАКИХ драйверов шнурка здесь не нужно, достаточно поддержки USB Mass Storage, включенной в ядре(CONFIG_USB_STORAGE) и выглядит процедура подключения вот так:
$ lsusb Bus 005 Device 001: ID 0000:0000 Bus 004 Device 001: ID 0000:0000 Bus 003 Device 001: ID 0000:0000 Bus 002 Device 003: ID 046d:c016 Logitech, Inc. Optical Mouse Bus 002 Device 001: ID 0000:0000 Bus 001 Device 002: ID 0fce:d028 Sony Ericsson Mobile Communications AB Bus 001 Device 001: ID 0000:0000 $ dmesg|tail -15 eth0: no IPv6 routers present usb 1-2: new full speed USB device using address 2 drivers/usb/class/cdc-acm.c: Ignoring extra header cdc_acm 1-2:1.1: ttyACM0: USB ACM device drivers/usb/class/cdc-acm.c: Ignoring extra header cdc_acm 1-2:1.3: ttyACM1: USB ACM device scsi4 : SCSI emulation for USB Mass Storage devices Vendor: Sony Eri Model: Memory Stick Rev: 0000 Type: Direct-Access ANSI SCSI revision: 02 SCSI device sdb: 955392 512-byte hdwr sectors (489 MB) sdb: assuming Write Enabled sdb: assuming drive cache: write through /dev/scsi/host4/bus0/target0/lun0: p1 Attached scsi removable disk sdb at scsi4, channel 0, id 0, lun 0 USB Mass Storage device found at 2 $ ls /media/usbdisk/ dcim memstick.ind MemStickInfo.txt mp3 mssemc mstk_pro.ind work
Фотоаппараты(за редким исключением) и флешки подцепляются аналогично. Те мобилы, которые не умеют представляться USB Mass Storage Device на USB, а представляются как последовательный порт на USB обычно используют(все сименсовские шнурки что видел) USB-to-serial convertor PL3203, поддержка которого встроена в ядро Linux(CONFIG_USB_SERIAL_PL2303) поэтому никаких таких драйверов шнурка снова не нужно, но нужен софт вроде siefs.
Цитата
Хренсмаслом пишет: Если это взято из Security Advisory какого либо дистрибутива, то всегда указан продукт в котором найдена уязвимость, и на securityfocus более этот продукт повторяться не будет.
Т.е. если у меня в дистрибутиве стоит ядро 2.6.8, а была обнаружена локальная уявзвимость в ядра 2.6.11 и выше, ее мне тоже засчитают? А если у меня ядро дистрибутива 2.4.21-elsmp и нашли дыру в 2.6 то как она касается конкретно моей системы на базе Linux? А если нашли локалрут в chfn в SuSe, а SuSe не использую вовсе, то какое мне дело до всех ее дырок? Филькина грамота одним словом эти пиписькометры. Если уж мерять, то выбирай RHEL , Debian или SLES и сравнивай число дыр в системах с Windows и FreeBSD, которую ты так боготворишь, хотя ... с виндой все равно некорректное сравнение будет - все одно что сравнивать с DOS, хотя бы по количеству стандартного софта паритета не будет.
Кстати, давно было замечено, что все отъявленные виндузятники ругают Linux, но боготворят BSD, как будто она не вешается с серверными RAID-контроллерами, с APIC или в ней нет удаленных дырок в WIFI, PF, IPFW, IPSEC, sendmail и SSH(последние), не говоря уже про то, что софт в портах фри такой же дырявый как в портах и репозитариях дистрибутивов Linux.
Цитата
Хренсмаслом пишет: А потому что Windows могут пользоваться как и профессионалы, так и скрипт-киддисы вроде тебя :)
А кто тебе сказал, что я скрипткиддис и кто тебе сказал, что я пользуюсь виндой? Так и запишем: "пациент безуспешно пытается демонстрировать телепатические способности". Уже несколько лет не пользуюсь, потому что достала убогая, глючная, неуклюжая и дырявая гадость, которую нужно постоянно обкладывать патчами, понавешать файрволов и антивирусов, чтобы все это чудно падало в синие экраны, хотя падало и не только от них - и от драйверов звуковой и от твтюнера, и от windump.exe, и от commview, вокруг которой нужно танцевать с бубном и бояться лишний раз побеспокоить, на железо новое таскать не рекомендуется, а еще переустанавливать придется регулярно чтобы со временем и увеличением кол-ва установленного ПО не начинала тормозить и глючить.
Цитата
Хренсмаслом пишет: IGMP v3 полностью поддерживается лишь семейством Server 2k3. В XP на втором сервиспаке данный эксплоит работает лишь потому что поддержка была частично добавлена в tcpip.sys.
Никого не интересуют отмазки по поводу кривой реализации стека TCP/IP в винде, не так давно винда также намертво вешалась из-за хитрых опций в пакете.
Цитата
Хренсмаслом пишет: Твои высказывания о "кривом закрытом коде" и "коде спецслужб" вообще нужно расказывать в цирке, так как они явно указывают на твою безграмотность и пустословие :)
Закрытый код заочно считается небезопасным, потому, что может содержать закладки и кривым, потому что все равно ведь никто не может проверить качество кода, да и дыры говорят сами за себя - только в закрытых серьезных продуктах такая туча REMOTE SYSTEM дыр и банальных переполнений стека. Закрытому коду, как и закрытым криптографическим алгоритмам вменяемые люди не доверяют, поэтому и используют наши военные МСВС на базе Линуксаи американцы тоже, плюс госучреждения вменяемых стран на опенсорс пересаживаются. Поднимай линки на тему NSAKEY в винде и бэкдоры спецслужб в Lotus и Sony-руткит, а затем можешь устраиваться клоуном в цирк, рассказывать про качество и безопасность закрытого кода. :)
Цитата
Хренсмаслом пишет: Как бы вам, Гость, не было бы обидно, но увы, линукс - это всего лишь большая дырка. :)
Угу сейчас прямо разрыдаюсь, господин сказочник. :) Читайте . Ни фре ни винде не нашлось места на мощнейших 500 суперкомпьютерах мира, видимо они слишком хреново масштабируются. Насчет мифической дырявости так приведите локальный эксплоит на Linux, а то последние года 2 или 3 не наблюдаю что-то, херня только одна - то дыра в драйвере семисегментного индикатора, то локальный DoS зловредным юзером, то теоретическая возможность прочитать пару байт фиг знает откуда или прочитать даже содержимо памяти, закинув ноги за уши в момент когда будет солнечное затемние, ночь в Зимбабве, а админ на сервере сделает ifconfig eth0 down. Во фре 5.4 и то более надежно содержимое памяти можно снять и вытащить оттуда хеши. ))
Цитата
Хренсмаслом пишет: Что касается крупных производителей вроде IBM и HP, у них есть и свои проекты, основанные на юниксе, а не на линуксе (линукс появился позже). Для HP - это HP-UX, для IBM - AIX.
Я это прекрасно и так знаю. Только почему-то имея свои ОС, IBM во всю вкладывает $$$ в Linux(заявлена была сумма в миллиард долларов) и во все ее продвигает, забив на свой AIX(IBM-скую "Миграция с Solaris на Linux" читали? :)), а HP во всю помогает Debian и kernel.org(предоставляет сервера, финансовая помошь), программисты и IBM и HP участвуют в разработке ядра Linux(например JFS - IBM-ская) и на серверах той же самой HP мелькает Debian. Linux это уже давно серьезный динамически разивающийся открытый проект, в котором участвуют как хакеры, энтузиасты-профессионалы, так и оплачиваемые профессиональные программисты со всего мира, при финансовой и рекламной поддержке крупных корпораций - люди всем миром делают надежную, открытую, производительную, масштабируемую, функциональную и безопасную платформу для себя и нужд бизнеса, в отличие от одной шаражки, возглавляемой гениальным продавцом-недоучкой, которая только и умеет клепать рюшечки, не развивая функционал системы, и впаривать их под различным соусом под видом новых систем и давить конкурентов неконкурентными методами и агрессивной рекламой своего дырявого, убогого и кривого софта.
ISA быстрее винроута. Если у людей винроут на машине с 2Гб оперативки и 3ГГц процессором при 100 пользователях жутко тормозит, то "ой!".
ISA конечно быстрее WinRoute, но помимо них ещё есть и продукты от TWD, Visnetic и Tiny. Конечно это не ISA, но функциональность тоже достаточно высокая.
Цитата
^rage^ писал:
во-во. В PaX же мы имеем 2 варианта: 1)процессор поддерживает nx - никаких потерь производительности, то же самое что hardware-enforced DEP 2)процессор nx не умеет - имеем программную реализацию с потерей в 3-5% производительности и память не более 1.5Гб. в остальном как в пункте 1.
PaX не был первоначально ориентирован на NX, так что большинство функций скорее всего по-прежнему реализованы на программном уровне. И потеря там далеко не 3-5%, а намного больше, разумеется, размер этих потерь ощутим только при достаточной нагрузке, но хорошо ощутим.
Цитата
^rage^ писал:
не наугад. читайте внимательнее. DEP - это лишь часть того, что реализовано в PaX. А PaX - это часть grsecurity.
Где вы такое вычитали? DEP это не часть PaX и не часть grsecurity. DEP имеет совершенно другой алгоритм, разработанный совершенно под другое ядро. Те функции, что есть в DEP - отсутствуют в grsec и наоборот. Конечно, что-то может накладываться, но по большей части это разные системы с разными алгоритмами. И DEP из-за первоначально ориентированной аппаратной поддержки работает быстрее, чем по большей части программный grsec.
Цитата
^rage^ писал:
Ещё раз говорю: PaX существует дольше чем DEP. Это на ia32 на страничках rw, а на тех же спарках - rwx и там это аппаратно уже дааавно.
IA32 и x86-64 это не SPARC.
Цитата
^rage^ писал:
Большинство машин, что занимают вершины top500 - это кластеры. Что бы там не тюнили парни из ibm, но это по-прежнему Linux.
Как вы знаете абсолютное большинство PC - находятся под управлением Windows. В первую очередь конечно из-за функциональности. А вот когда нужна пустая машина только для вычислений, с минимальным набором функций ядра, то есть 2 варианта - либо писать заново свою простенькую систему для вычислений, либо воспользоваться какой-нибудь наработкой. Так как если выдрать ядро из другой системы, то нужно будет ещё понять как оно работает, да и заставить работать его отдельно, а уже потом подгонять его под свои надобности. Поэтому проще всего использовать ядро линукса - валяется себе уже в готовом для переделки виде, да и в документации ничего лишнего - ядро и только. Остаётся только вырезать всё лишнее и будет вам POSIX системка. Для ускорения работы убирается весь код, касающийся безопасности системы, а зачем нужно, допустим, распределять права тех или иных дескрипторов, если машина используется только лишь для вычислений, и никакая безопасность и вовсе не нужна, так всё и так выполняется в привилегированном режиме для увеличения производительности. Чем ближе к процессору - тем выше производительность. И для этой же цели вырезается вообще вся система делегирования прав. Ведь чем меньше лишнего кода - тем выше скорость работы и увеличение заветных флопсов. Понятное дело из открытого ядра вроде linux - это сделать проще всего. Только вот неизвестно, полноценный ли это линукс - после таких вот модификаций. Ведь по сути дела его превращают в сложный калькулятор и это уже не полноценная операционная система.
Цитата
^rage^ писал:
btw, сейчас в ванильных ядрах есть поддержка Infiniband. как вы думаете, зачем это надо?
Как известно Intel отказалась от InfiniBand в пользу PCX. Не смотря на то, что он даёт на SDR и 12x 24 Гбит/сек, а на 12x QDR аж 96 Гбит/сек. Тем не менее, 12x используется в основном таки на суперкомпьютерах из-за чрезмерной дороговизны. Да и вообще даже модификации InfiniBand 4x дороже, чем PCX, именно поэтому от неё отказались, а значит навряд ли нам пригодится её поддержка. А также потому что Compaq, IBM, и Hewlett-Packard (разрабатывавшими fio) не смогли договориться с Intel, Microsoft, и Sun Microsystems (разрабатывавшими ngio) из которых и получился System I/O ныне называемый InfiniBand.
Цитата
^rage^ писал:
netsh ipsec в эту сторону вопрос? ;)
А почему так неуверенно, потому что гугл или MS technet? ;)) И почему до конца команду не дописали? Допишите до конца.
Хренсмаслом пишет: Да вот некоторые видно не знают, раз начали сравнивать unix и dos в качестве предшественников linux и Windows соответственно, хотя это вовсе не так. А ты я вижу начал работать языком не прочитав предыдущей дискуссии :)
Дискуссию читал. Можешь расслабиться. ИМХО, корректность сравнения тут уместна, потому что идет сравнение двух семейств систем. Linux соответствует posix и относится к семейству юникс, что бы тут ни говорили. Динамично развивается. Кроме того, я использую gentoo linux, и администрирую его так, что система постоянно в состоянии stable. По стабильности и логичности дистрибутив наиболее близок к фре, однако более удобен.
Цитата
Хренсмаслом пишет: А твоё высказывание, SpherIX, лишь доказывает твою безграмотность, некомпетентность и нежелание понять то, что мы тут обсуждаем.
Если ты не заметил, то тут уже два года назад мерялись... эээ... линейками =) В общем-то, тему воскресил ты, не желая признавать свое поражение в споре, так что не обессудь. Тем более не совсем понятно, почему ты резко свалил на два года из треда, а затем его опять поднял... Это-то и наводит на размышления...
Цитата
Хренсмаслом пишет: Если один девайс работает - не значит, что все работают. Я тебе доказал, что под линуксом полноценно не работает практически ни одна фотокамера, причём чем дальше, тем хуже, так как все новые возможности современных фотоаппаратов работают именно с родными драйверами/ПО, которое есть только под Windows и изредка под Mac. А вот драйверов для мобильных телефонов нету вообще, так что если вы вздумаете синхронизировать, допустим, записные книжки, или перепрошить телефон, да и наконец залить какой-либо файл на телефон или с него - под линуксом у вас это не получится.
Ну такой вот я невезучий :( Не приходится мне сталкиваться с такими девайсами, которые не хотят работать под линухом :( Моя МоторолаЦ350 нормально работает с линухом. И в качестве GPRS-модема (для чего, собсно, и была взята), и нормально дает доступ к своей флешке.
Цитата
Хренсмаслом пишет: Даже "пересобрать ядро" - я очень сомневаюсь, что он хотя бы раз это делал
Зря сомневаешься. Фрю, и линух пересобирал. Перетаскивал gentoo с 32 на 64 бита.
Цитата
Хренсмаслом пишет: Давай я тебе задам элементарный вопрос по Windows, который докажет тебе, что ты не знаешь этой ОС. Например, как заставить широковещательный трафик проходить через IPSec без фильтрации, при этом чтобы протокол резервирования по прежнему фильтровался IPSec-ом... Ах да, сделать это всё нужно через консоль, а не через mmc.
Тебе листинги сюда запостить ? Задание бредовое, ^rage^ уже объяснил тебе почему, но выложу решение. Обещаю.
Встречное предложение на смекалку и владением семейством юникс: необходимо создать на минимальном бюджете хранилище файлов. Файлы большие (фильмы, образа дисков, двд). Скорость записи на массив некритична. Главное в хранилище: легкое расширение пространства (куча точек монтирования не катит, нужно именно одно блочное устройство с одной точкой монтирования и одной ресайзящейся партицией) Хранилище должно иметь отказоустойчивость хотя бы отдаленно напоминающую raid5, должно ребилдиться по возможности в наикратчайшее время. Допускается использование простых системников набитых дисками, не допускается использование внешних scsi или fc ящиков и хранилищ, допускается использование аппаратных raid5 контроллеров в нодах. Связка должна выдерживать умирание одной ноды целиком, быть предельно экономичной, но не в ущерб вышеперечисленным требованиям.
Хренсмаслом пишет: Это вы не правы, основные возможности DEP реализуются только при аппаратной поддержке, а software-enforced DEP - это лишь дополнительные проверки, но никак не Hardware-enforced DEP.
Это оно в винде может быть так убого. А PAX в GRSecurity защищал от выполнения кода на стеке и в куче на процессорах архитектуры x86(у которых в атрибутах страниц памяти отсутвуют биты "только для чтения" и "только для выполнения", а есть только бит отвчающий и за чтение и за выполнение) еще задолго до появления аппаратной поддержки неисполнимых страниц с помошью NX/DE:
Цитата
Хренсмаслом пишет: Так что не надо говорить, что grsec надежнее DEP, приводя листинг возможностей PaX. А что касается скорости работы - именно благодаря аппаратной реализации NX и XD бита DEP работает быстрее, чем grsec.
Сначала прочитал бы что такое PAX, прежде чем показывать некомпетентность. При наличии поддержки PAGEEXEC процессором(давно реализовано везде кроме x86) используется АППАРАТНАЯ защита против выполнения кода в страницах с данными.
PaX - PAGEEXEC
PAGEEXEC was PaX’s first implementation of non-executable pages.
Because of SEGMEXEC, it’s not used anymore on x86 (so I won’t discuss the implementation).
Platforms which support the executable bit in hardware are implemented under PAGEEXEC (currently alpha, ppc, parisc, sparc, sparc64, amd64, and ia64)
Т.е. если есть NX/DE, значит есть PAGEEXEC, значит используется аппаратная защита страниц от исполнения кода, а поскольку у Grsec присутствует также рандомизация ASLR, защита /dev/kmem, усиление чрут и многие другие фичи, то виндовый DEP нервно курит в сторонке, а если собрать систему из искходников с прополисом(с открытым кодом это не составляет проблем), то такую систему будет нереально пробить даже с помошью метода ret-in-libc, который может эффективно выполнять шеллкод в системе с неисполнимым стеком и кучей. Методу ret-in-libc DEP не является препятствивем, а GrSecurity лишь затрудняет выполнение задачи, а вот сборка ПО с Propolice/SSP эффективно блокирует как выполнение ret-in-libc шеллкода, так и выполнение кода с помощью обычных переполнений в уязвимом ПО даже в системе без NX/DE.
Цитата
Хренсмаслом пишет: PaX не был первоначально ориентирован на NX, так что большинство функций скорее всего по-прежнему реализованы на программном уровне.
Grsecurity изначально учитывал поддержку PAGEXEC, которая изначально была на всех процессорных архитектурах, поддерживаемых Linux, за исключением Intel x86, в которой разродились этой поддержкой не так давно ..
The first feature NOEXEC implements is the executable semantics on memory pages. On architectures where the Memory Management Unit (MMU) has direct support for this we can trivially make use of it. The main and (so far) only exception is IA-32 where we have to resort to some tricks to get true non-executable pages. The two approaches PaX has are based on the paging and the segmentation logic of IA-32 and make various tradeoffs between performance and usability (the other architectures make no such tradeoff).
Цитата
Хренсмаслом пишет: Дастаточно вспомнить, что в Windows, например, нету mmap(), и алгоритмы управления адресным пространством Windows - отличаются от аналогичных в POSIX.
Тем не менее устройство \\.\Device\PhisicalMemory существует, как и \\.\Device\HardDisk0. Ничего не напоминает? :) Имхо так это пародия на UNIX-овый /dev/, к которой, в отличие от UNIX, ничем кроме сторонних спецутилит доступ не получить. И как через /dev/kmem, так и через \\.\Device\PhisicalMemory можно засадить в систему очень серьезного руткита. Но у Linux благодаря патчу grsec(или поправив немного код самостоятельно - вот оно преимущество Open Source) можно сделать /dev/kmem R/O так что без перекомпиляции и загрузки этого нового ядра защиту не побороть даже руту, в отличие от виндового \\.\Device\PhisicalMemory, в который при получении прав админа/системы всегда можно писать. :) .
Цитата
Хренсмаслом пишет: Понятное дело из открытого ядра вроде linux - это сделать проще всего. Только вот неизвестно, полноценный ли это линукс - после таких вот модификаций. Ведь по сути дела его превращают в сложный калькулятор и это уже не полноценная операционная система.
Почему не FreeBSD? Почему не MenuetOS? Это называется ядро Linux, оптимизированное под конкретную задачу, такой функционал был заложен в ядро изначально, чтобы продвинутые пользователи имели возможность собрать себе то, что нужно, а не получить в довесок тонну балласта как в винде. Можно выкинуть практически любую ненужную функцию или добавить отсутствующий в ядре функционал с помощью стороннего патча, от этого ядро не перестает быть Linux-ом. А то по этим бредовым рассуждениям диллетанта(только не обижайтесь, но по части систем семейства UNIX это правда) получается, что если я запустил make menuconfig, выберу только то, что мне нужно(что обычно и делают при сборке ядра) пропатчил grsec-ом - то полученное собранное ядро уже будет не Linux-ом. )))))))))) В embedded запихивают такие же оптимизированные ядра Linux с выкинутым ненужным функционалом...
Полноценно работают. Нафотографировал. Подключил - фотоаппарат определился как USB-накопитель. Слил фотки. Насчет неработоспособности каких-то продвинутых функций(не знаю, мне функций фотографирования от фотоаппарата хватает :) ) с чего ты взял что не работают? Может быть всеже просто хреново искал софт в Интернет или не не сумел настроить? [quote] Во-первых вы вроде про телефон мобильный говорили, а не фотоаппарат, а во-вторых вы опять не читали тему. Если уж говорить про фотоаппарат, то укажу вам то, что я уже писал, и вы видно не прочитали.
--- Практически для всех современных, да и не только есть специализированное ПО и драйвера, по управлению фотоаппаратом и обработки raw изображений с него. Например, для Nikon-ов - Nikon Capture 4. Даже для моего старенького олимпуса есть ПО - Olympus Master и некоторое другое. Так вот, и Nikon Capture 4 и Olympus Master, Olympus CAMEDIA Master Pro сделаны под Windows (у CAMEDIA Master Pro есть ещё версия под Mac), и если бы я пользовался linux, я бы смог лишь переносить JPEG-изображения не очень высокого качества с PnP диска и
1. Не смог бы обрабатывать высококачественные RAW изображения, которые выдаёт мой фотоаппарат и выставлять в процессе обработки коррекцию экспозиции и настройки цветового формата. 2. Не смог бы использовать вывод изображения с фотоаппарата на монитор и использовать фотоаппарат как web-камеру. 3. Не смог бы даже обновить прошивку фотоаппарата. --- Теперь понятно, почему одного только слития фоток недостаточно?
[quote] Гость писал:
Про мобилы снова бредишь? Тебе я уже объяснил: РАБОТАЮТ мобилы Siemens A55, A65, C65, MC65, SX55, Ericsson W800, Nokia - все что подключал те и работали. Просто нужно разбираться в системе, а не быть ламером, и РУКИ нужны ПРЯМЫЕ. Определяются при подключении через шнурок как USB-накопитель либо через шнурок наподобие USB-to-serial convertor на Profillic PL2303 через siefs.
Я же уже писал
"siefs - она годится, увы только для Siemens, да и то только для очень малого числа моделей - 45ых, 55ых и 65ых. Последних 75-ых дажее нету.. Да и примонтируешь ты flex память, а с телефоном то всё равно работать не сможешь. Ни Firmware, ни 1ый или 2ой EEPROM (а в Сименсах их 2), ни Bootcore ты отредактировать не сможешь, а даже если бы и мог, то не было бы редакторов и дамперов под них."
Т.е. все, что ты получишь от siefs - это доступ к flex-у, и не более того. Управление EEPROM-ом или мобильными функциями доступно не будет. Так как EEPROM - читается отдельно и не является доступным пользователю flex-ом. А функциями мобильного телефона ты управлять не сможешь, так как они вообще реализованы не через файловую систему, а прямой конвертацией USB сигналов в специальные сигналы, которые воспринимает порт телефона на обратной стороне кабеля, если хочешь называй это протоколом, как известно он менялся у каждого поколения Сименсов. Например, послав несколько специально-сформированных пакетов, ты сможешь вывести на экран телефона определенный номер, или даже заставить позвонить по нему. Так что siefs обеспечит тебе доступ только к файлам твоего мобильного телефона, но никак не к EEPROM-у или тем более прошивке... или каким либо функциям управления.
Так что siefs работает только с Siemens и только с их flex, а этого недостаточно.
Цитата
Гость писал:
А нафига, позволь спросить, мне или обычному пользователю редактировать firmware или bootcore??? Картинки заливаются, фотки снимаются, музыка заливается. Больше ничего простому юзеру не нужно!
Firmware - нужно не редактировать, а обновлять. Очень часто выходят новые прошивки, добавляющие те или иные функции. А EEPROM пригодится, например, если нужно разблокировать телефон. А также копаться в EEPROM достаточно интересно, можно например, разблокировать различные опции телефона, предназначенные только для разработчиков. Да и вообще при помощи конвертации сигналов, можно управлять телефоном, например, набрать с клавиатуры какой-либо номер, отредактировать записную книжку (записки которой хранятся в EEPROM, а также на сим карте). Ни сим карту, ни EEPROM ты не подключишь, как файловую систему. Можешь воспользоваться лишь малофункциональными утилитами типа kmobiletools, которое к тому же не работают с большинством мобильных телефонов.
Цитата
Гость писал:
Вот именно зачем нужна такая система, где включают какую-то ненужную дырявую хрень по умолчанию, через которую досят или ломают, чтобы затем те, кому не все равно лазили и вычищали все это дерьмо?
Дерьмо из линукса нужно вычищать. А Windows уже при одном только наличии брандмуара - для обычного рядового пользователя становится безопасной. Так что не надо сказки рассказывать.
Цитата
Гость писал:
Никого не интересуют отмазки по поводу кривой реализации стека TCP/IP в винде, не так давно винда также намертво вешалась из-за хитрых опций в пакете.
Ну вот опять Гость язычком работает... и как всегда ничего не доказывает. Хоть бы ссылочки дал на эту уязвимость. Давай я на твой бездоказательный бред отвечу противопоставлением - "Никого не интересуют отмазки по поводу кривой реализации стека TCP/IP в линуксе, не так давно линукс также намертво вешался из-за супер-хитрых хакирских опций в пакете. " Эту фразу я также не буду доказывать, как и ты, своё утверждение про Windows.
Цитата
Гость писал:
Т.е. все виндузятники практически поголовно криворуки, поэтому и имеем такую ситуацию с виндовой заразой, спамом и флудом или они виноваты в том, что система из коробки дырявая?
К сожалению, большинство из них не включают даже ICF, который входит в стандартный комплект любой Windows XP.
И не надо сравнивать сотни дыр в ядре линукса с двумя дырками в RPC DCOM, так как при включенном ICF последние неуязвимы. Ты верно выразился про футбольные ворота, только вот футбольные ворота - это скорее ядро линукса.
Цитата
Гость писал:
"Кашу из топора" читали? Вот точно также из винды можно сварить худо-бедную кашу в плане безопаности, если выкорчевать, докупить и заменить большую часть ее компонент, в т.ч. и служб, а оставшиеся фичи, которы не выкорчевываются повыключать/закрыть фильтром. Стоимость Win2k3 и убогого ISA Server(кстати она уже научился защищать внутренний инетрфейс? FWClient перестал конфликтовать с софтом? на открытые локальные порты ISA научилась считать трафик? а DNAT со внутреннего интерфейса сделать сможет? А с RRAS больше не конфликтует? А нормально шейпить трафик научилась? А два канала в Интернет, основной и резервный или использование их вместе может? А анонимизировать хедеры в запросах браузеров умеет?)+весь сторонний софт, чтобы можно было нормально квотировать и контроллировать доступ сами посчитаете?
Уважаемый гость, опять вы услышали красивые слова и неумело бросаете их по ветру. Особенно смешны ваши высказывания касательно стоимости Server 2k3 и ISA, а также про то, что ИСА конфликтует с RRAS :) Что касается стоимости - между прочим Red Hat Enterprise Linux Premium компания Red Hat предлагает аж за 2499$. Не верите? - Да-да, а как ещё им делать деньги? Что касается анонимизирования хедеров в HTTP запросах - то для этого есть плагин к ISA и скриптик. А вот можно ли анонимзировать HTTP хедеры по средствам iptables или ipfw?
Цитата
Гость писал:
И что, от этого факта они становятся лучше? Может покажете мне BSD Enterprise Server, Oracle for BSD, eDirectory for BSD или DB2 for BSD.
Если человеку нужна функциональность - он выберет Windows, если ему нужна безопасность - он выберет BSD. А линукс это так... Попытка торвальдса создать функциональную и безопасную систему с нуля, окончившаяся полным провалом. :)
Цитата
Гость писал:
Дырок в BSD за последние месяцы вылезло полно, с серверным железом(SCSI RAID, APIC) - проблемы, с десктопным - поддержка железа намного хуже, чем у Linux. Много кода в *BSD было дописано/переписано, официально - не UNIX, потому что не прошли сертификацию. Linux ничуть не страдает от того, что тоже не проходил сертификацию на звание UNIX
Серьёзных дырок в BSD за последние месяцы намного меньше, чем в linux. --- Несмотря на то, что много кода в *BSD было дописано/переписано, всё равно код *BSD это эволюция кода UNIX Version 7. А вот код линукса написан с нуля, благодаря чему он и изобилует большим кол-во дыр.
Цитата
Гость писал:
Фотоаппараты(за редким исключением) и флешки подцепляются аналогично. Те мобилы, которые не умеют представляться USB Mass Storage Device на USB, а представляются как последовательный порт на USB обычно используют(все сименсовские шнурки что видел) USB-to-serial convertor PL3203, поддержка которого встроена в ядро Linux(CONFIG_USB_SERIAL_PL2303) поэтому никаких таких драйверов шнурка снова не нужно, но нужен софт вроде siefs.
Флешки подцепляются действительно как PnP USB Storage Device, но вот телефоны нет. И представляются не мобилы, а кабели. А представляются они как обычный USB HID девайс, если кабель для COM порта, то всё намного сложнее. Так вот чтобы работать с этим девайсом, программа должна знать какие сигналы туда посылать. Твой siefs всего лишь конвертирует запросы файловой системы в операции чтения/записи flex-памяти и не более того. И для каждого мобильного телефона, а точнее для каждой системы каждого мобильного телефона - нужен вот такой вот преобразователь, именно поэтому простое подключение девайса через /dev/sdaX тебе ничего не даст. Но siefs и большинство подобных утилит под линукс к сожалению умеют работать лишь с флексом...
Конечно, хорошо, что существуют утилиты вроде gnokii, но их возможности намного скромнее, чем соответствующих программ под Windows. Да и такие linux-утилиты есть только под малую долю вендоров и моделей мобильных телефонов. А kmobiletools работает только с минимумом функций (записная книжка и всё), да и даже та записная книжка не реализована для большинства мобильных телефонов. - отсюда можно прочитать, что kmobiletools чаще не работает, чем работает).
Цитата
Гость писал:
А если у меня ядро дистрибутива 2.4.21-elsmp и нашли дыру в 2.6 то как она касается конкретно моей системы на базе Linux? А если нашли локалрут в chfn в SuSe, а SuSe не использую вовсе, то какое мне дело до всех ее дырок? Если уж мерять, то выбирай RHEL , Debian или SLES и сравнивай число дыр в системах с Windows и FreeBSD
А если я не пользуюсь, допустим Cluster Service Startup Notifications, то какое мне дело до дырок в этом компоненте Windows. Что касается chfn, то она поставляется не только под SuSe. Если ты прочтёшь хотя бы 5 страниц багтрака securityfocus-а, то ты убедишься, что число уязвимостей относящимся лишь к какому либо одному дистрибутиву крайне мало или вообще отсутствует. А всё дело в том, что большинство дистрибутивов используют общие утилиты, ну и, разумеется, для всех них одни и те же дырявые ядра от дяди торвальдса. chfn лишь это доказывает.
И вообще внимательно перечитай, что я писал, и между прочем, я привёл конкретные примеры. А у тебя всё "если бы да кабы... "
Последние ваши 3 цитаты, правильнее было бы назвать душеизливаниями, комментировать я их не буду, так как в них вы демонстрируете свои очередные нападки на Windows и параноидальные высказывания вроде "закладок спецслужб" и нашумевших сказок об "NSAKEY". Лишь скажу, что вам очень неприятно осознавать тот факт, что в linux-е более чем в два раза больше дырочек, чем в Windows и это констатирует securityfocus. А вы безуспешно пытаетесь это оспорить своими оскорблениями, свойственными для малолетней молодежи с умственным развитием ниже среднего.
SpherIX пишет: Тем более не совсем понятно, почему ты резко свалил на два года из треда, а затем его опять поднял... Это-то и наводит на размышления...
Мы выписали пациента из третьей палаты после курса интенсивной психотерапии, после которой пациент стал спокойно реагировать на слово "Linux". Правда склонность к демонстрации воображаемых телепатических способностей, мания величия и мания преследования злобными линуксоидами сохранились в вялотекущей форме.
Главврач Я вижу я вас задел за живое, раз вы среагировали таким активным слюновыделением. Ну вы уж простите, я не хотел травмировать вашу нежную психику :) Кстати почему вы пишите от Гостя, кого-то боитесь?)
Успокойтесь ;) Юниксовым фс-системам до NTFS “ой, как далеко”. Вот, например, скажите мне, ответ на такую вот, простенькую, задачку: У нас есть офис, в нём 200 работников (простые пользователи) и один сисадмин Федя. Работники совместно разрабатывают проекты. У каждого из работников есть куча документов (файлов), которые писал каждый из них, перед отчётом различным людям нужно выборочно предоставить доступ к файлам другим людям из этих же 200 человек. Т.е. они думают, какими бы группами им распределиться и планируют обязанности каждого. Рассмотрим частный случай, Васе нужно разрешить доступ к файлу Николаю Александру и Пётру, но не более, иначе есть риск утечки информации и "передирания" её для своего доклада. А вот Александр хочет разрешить доступ к сво(ему/им) файл(у/ам), только Стасу. И что ...........
man acl
Входит в стандартные ядра 2.6 никаких падчей не нужно
Улыбнуло)))))
Цитата
Под NTFS есть отличная консольная утилита cacls для редактирования ACL записей
и несколькимя постами ниже недостаток линукс acl
Цитата
Отсутствие какой-либо gui-шной поддержки данного патча.
12. Райзер сосёт по сравнению с НТФС. Я уже не говорю, про вышесказанное по поводу ACL-ов.
благородный дон конечно же располагает урл с подробным сравнением _в числах_ в подтверждении своих красноречивых слов....
Благородный господин "Понт", с великой красноречивой и безрассудной речью, пожалуйста, прочитайте внимательно, что я писал в предыдущих постах. ;) И что за урл вам предоставить? Сравнение скоростей работы двух файловых систем, используя совершенно разные операционные системы? Интересненько :) P.s. Хотя у райзерфс и присутствует журналирование, как у NTFS, райзерфс не имеет интегрированной возможности управления объектами с учётом ACL, если, разумеется, не использовать патчи из класса "экспериментал" и "фор йор оун риск".
Проще сказать ссылок у меня нету))
Цитата
Ах да, помните, что мы говорили о сортировке файлов, а не просмотре логов smtp-сервера. У меня есть 500 файлов и есть директории, по которым мне нужно рассортировать эти файлы, индивидуально для каждого. Согласитесь, мышкой их переносить намного удобнее, чем вбивать названия файлов и постоянно проверять командой ls, что и куда мне нужно перенести.
mc
Цитата
Стоимость Win2k3 и убогого ISA Server(кстати она уже научился защищать внутренний инетрфейс? FWClient перестал конфликтовать с софтом? на открытые локальные порты ISA научилась считать трафик? а DNAT со внутреннего интерфейса сделать сможет?
Уважаемый дон Хрен с маслом стратёжно пропустил мимо ушей эту пачку вопросов :)
Хренсмаслом пишет: Во-первых вы вроде про телефон мобильный говорили, а не фотоаппарат, а во-вторых вы опять не читали тему. Если уж говорить про фотоаппарат, то укажу вам то, что я уже писал, и вы видно не прочитали.
Некоторые телефоны умеют фотографировать и писать видео. Прочитал и насчет продвинутых функций и говорил, что возможно просто нужно было лучше искать софт, поддерживающий эти продвинутые возможности...
Цитата
Хренсмаслом пишет: 1. Не смог бы обрабатывать высококачественные RAW изображения, которые выдаёт мой фотоаппарат и выставлять в процессе обработки коррекцию экспозиции и настройки цветового формата.
Я же говорю - плохо искал:
- в т.ч. плагин к GIMP :) - софт для работы с цифровыми камерами, в т.ч. имеющие подключение к COM-порту.
Цитата
Хренсмаслом пишет: 2. Не смог бы использовать вывод изображения с фотоаппарата на монитор и использовать фотоаппарат как web-камеру.
Насчет этого не знаю, телефон может нормально писать видео в 3gp, которое затем просто сливается на машину.
Цитата
Хренсмаслом пишет: 3. Не смог бы даже обновить прошивку фотоаппарата.
Зачем? Если бы меня что-то не устраивало, то я бы просто вернул бы товар, а не занимался бы развлечениями с перепрошивкой телефона или обновлением фотоаппарата. Если очень нужно - то отнес бы аппарат в СЦ, где при перепрошивке не завалят. В том, что прошивальщик работает только под виндой могу поверить. Кстати, уже наблюдаются прошивальщики для тех же модемов USR и Acorp под Linux от самих вендоров. Не знаю что там у вас за невысокое разрешение и в самсунговском фотоаппарате какого-то гимора с RAW не припомню, фотографии сразу были в JPG-формате в приличном разрешении, а сейчас та же соньковская мобилка фотографирует вполне прилично в разрешение 1632x1224 сразу в JPG и умеет писать видео в 3gp формат, который играет линуксовый mplayer, а винда понятия об этом формате не имеет... Так что не нужно свои личные проблемы и незнание линуксового ПО преподавать как глобальные проблемы Linux.
Цитата
Хренсмаслом пишет: Firmware - нужно не редактировать, а обновлять. Очень часто выходят новые прошивки, добавляющие те или иные функции.
Если телефон работает - не трогай. Обычным юзерам ковыряние телефона нафиг не нужно, к томуже уже названы программы для ковыряния сименсовых мобил scmxx/gscmxx.
Цитата
Хренсмаслом пишет: Ну вот опять Гость язычком работает... и как всегда ничего не доказывает. Хоть бы ссылочки дал на эту уязвимость.
Для тех, кто не следит за безопасностью своей винды, и не имел никаких проблем с этим патчем, освежаю память Такие вот дела: REMOTE TCP/IP EXPLOIT в дырявой винде, а нас тут кто-то лечит про дырявый линукс. =)))) Там же перечислены грабли вылезающие после этого кривого фикса кривого TCP/IP стека кривой винды, а еще на этой странице у мелкомягких линк на ms05-019 битый. :)
Цитата
Хренсмаслом пишет: Дерьмо из линукса нужно вычищать. А Windows уже при одном только наличии брандмуара - для обычного рядового пользователя становится безопасной. Так что не надо сказки рассказывать.
Покажите что же нужно из линукса такое вычищать. Там разве есть ставящиеся в любом случае даже на сервер IE, Mediaplayer, Outlook, MS Messanger, RPC и прочий мусор, который ставится вне зависимости от воли юзера и предназначения машины? А то я, наивный, просто не ставлю в Linux то, что мне не нужно и могу спокойно выставлять линуксовые машины без файрвола, не беспокоясь о том, что там что-то такое левое слушает порты 135, udp/137,tcp/1025-1030, и не выставляя в инет то, что не нужно(тот же порт squid) прибиндив демона к интерфейсу смотрящему только в LAN или повесив на UNIX-сокет...
Цитата
Хренсмаслом пишет: А Windows уже при одном только наличии брандмуара - для обычного рядового пользователя становится безопасной. Так что не надо сказки рассказывать.
Виндовс при наличии брандмауэра отличного от убогого ICF отлично падает от IGMPv3 пакета и от MS05-019 пакета, я уж не говорю про то, что на конторских машинах в локалке файрвол обычно отключают, а на внутренних серверах файрвол вообще обычно не держат(кстати хваленая ISA вообще не умеет внутренний интерфейс... какое убожество).
Цитата
Хренсмаслом пишет: "Никого не интересуют отмазки по поводу кривой реализации стека TCP/IP в линуксе, не так давно линукс также намертво вешался из-за супер-хитрых хакирских опций в пакете. "
Ну кто ж виноват, что ты за адвайзори по дырам в TCP/IP в своей либимой винде не следишь. Я тебе линк привел, могу еще и на эксплоиты привести линки и , а теперь слушаю от каких опций падает Linux - иначе признаю эту фразу пустым безосновательным трепом с твоей стороны.
Цитата
Хренсмаслом пишет: Несмотря на то, что много кода в *BSD было дописано/переписано, всё равно код *BSD это эволюция кода UNIX Version 7. А вот код линукса написан с нуля, благодаря чему он и изобилует большим кол-во дыр.
А ты сравни число дырок в ядре Linux какого-нить RHEL или Debian с числом дыр во FreeBSD будешь удивлен, поскольку ни в IPSEC, ни в iptables, ни в SSH, ни в ядерном NFSD дырок удаленных в отличие от фри не было да и вообще не наблюдается такого числа удаленных дырок, и даже дырявый сендмайл является умолчальным MTA только в RHEL(у которой есть защита Execshield, препятсвующая эксплуатации "из коробки" в отличие от фри), а в Debian - exim.
Цитата
Хренсмаслом пишет: Серьёзных дырок в BSD за последние месяцы намного меньше, чем в linux.
Такого числа удаленных дырок в ядре и уникальных дырок в openssh и удаленного переполнения памяти ядра в Wifi, как у дырявой фри у Linux не было.
Хренсмаслом пишет: Что касается chfn, то она поставляется не только под SuSe.
Ага, только дыра только в chfn из SuSe. =) Вот так эксперты и складывают все дырки вместе в одну кучу - дырки специфичные для SuSe, для Ubuntu, для Debian-based и т.д. А то, что в убогой винде только один убогий MTA IIS SMTP, а в дистрибутивах Linux от 2 до 4 альтернативных серьезных MTA это нормально так сравнивать?
Цитата
Хренсмаслом пишет: Особенно смешны ваши высказывания касательно стоимости Server 2k3 и ISA, а также про то, что ИСА конфликтует с RRAS :)
Ну так я повторю, для смешливых, MS ISA 2000 КОНФЛИКТУЕТ с W2K RRAS и далее недочеты по списку. Не знаю как сейчас ведет себя современная версия этой поделки, поэтому и спросил. И что смешного в том, что ISA2004+W2k3+сторонние костыли к ISA совокупной стоимостью несколько тысяч долларов, с успехом заменяются более функциональным решением на базе бесплатного дистрибутива Linux.
Цитата
Хренсмаслом пишет: Флешки подцепляются действительно как PnP USB Storage Device, но вот телефоны нет.
Если ты посмотришь выше, то увидишь лог подцепления телефона как USB Mass storage Device...
Цитата
Хренсмаслом пишет: А линукс это так... Попытка торвальдса создать функциональную и безопасную систему с нуля, окончившаяся полным провалом. :)
А Linux заменяет и то и другое. А попытка Линуса закончилась общественным признанием Linux, практически полным разгромом коммерческих UNIX-ов Linux-ом, приходом Linux в Enterprise и на наступлением на Desktop(RHEL Server&Workstation, SLES, SuSe, Novell Open Enterprise Server, Novell Desktop...) наводя ужас на мелкософт, которая вынуждена агрессивно бороться с ним с помощью компании Get The Facts и натравливая SCO на вендоров коммерческих Linux(да, всплывала такая информация).
Цитата
Хренсмаслом пишет: Так вот чтобы работать с этим девайсом, программа должна знать какие сигналы туда посылать. Твой siefs всего лишь конвертирует запросы файловой системы в операции чтения/записи flex-памяти и не более того.
Цитата
Хренсмаслом пишет: Несмотря на то, что много кода в *BSD было дописано/переписано, всё равно код *BSD это эволюция кода UNIX Version 7. А вот код линукса написан с нуля, благодаря чему он и изобилует большим кол-во дыр.
Благодаря чему отсутвует Big Kernel Lock как во фре ))) присутствует нормальный CPU sheduller, производительный memory management и быстрые+очень быстрые файловые системы, благодаря чем Linux легко бьет по производительности фрю и кое-где солярку. Из-за тормознутости фри и плохой масштабируемости фри и не используется в списке TOP500 суперкластеров.
Цитата
Хренсмаслом пишет: Конечно, хорошо, что существуют утилиты вроде gnokii, но их возможности намного скромнее, чем соответствующих программ под Windows.
Короче софт есть и под мобилы Siemens, Nokia, Siemens и т.д. и он работает, давая достаточный для обычного пользователя функционал(GPRS, сливка фоток, заливка картинок и мелодий, Bluetooth, ...). Софта для фотоаппаратов тоже полно, не знаю насчет 100% поддержки всех наворотов, но он позволяет использовать основной функционал(слив фотографий, работа с RAW форматом,...). А ты рассказываешь про какие-то кошмары...
Цитата
Хренсмаслом пишет: Последние ваши 3 цитаты, правильнее было бы назвать душеизливаниями, комментировать я их не буду, так как в них вы демонстрируете свои очередные нападки на Windows и параноидальные высказывания вроде "закладок спецслужб" и нашумевших сказок об "NSAKEY". Лишь скажу, что вам очень неприятно осознавать тот факт, что в linux-е более чем в два раза больше дырочек, чем в Windows и это констатирует securityfocus. А вы безуспешно пытаетесь это оспорить своими оскорблениями, свойственными для малолетней молодежи с умственным развитием ниже среднего.
Где линк, в котором Securityfocus заявляет о том, "что в linux-е более чем в два раза больше дырочек, чем в Windows и это констатирует securityfocus"? Ты случайно не путаешь число дыр во всех UNIX системах, сброшенных в кучу в сравнении с дырами в винде, которое как-то посчитал CERT? Или это очередной бред, как падение линукса из-за опций в TCP/IP, как то, что пропатченное, сконфигурированное и собранное ядро Linux уже не может считаться Linux-ом, о том, что с мобильными телефонами и фотоаппаратами вообще каюк и т.д.?
Могу привести такую статистику по уязвимостям за 2003-2006 годы
RHEL3:
Currently, 0 out of 264 Secunia advisories, are marked as "Unpatched" in the Secunia database.
Незакрытых дыр ноль.
FreeBSD 5.x:
Currently, 0 out of 66 Secunia advisories, are marked as "Unpatched" in the Secunia database.
66 уязвимостей только в ядре+базовой фряхи за тот же интервал времени без учета дырок в ПО из портов т.е. не учтены дыры в mysql, postgresql, squid, apache, samba, .... Или их на фрибсд не используют? Незакрытых дыр тоже ноль.
Currently, 8 out of 81 Secunia advisories, are marked as "Unpatched" in the Secunia database.
Microsoft Windows Server 2003 Enterprise Edition with all vendor patches installed and all vendor workarounds applied, is currently affected by one or more Secunia advisories rated Less critical
81 ошибка в практически такойже убогой конфигурации(нет двух MTA как у RHEL, нет двух СУБД и еще многого другого), как FreeBSD без портов, 8 из которых не ЗАПАТЧЕНЫ. Кстати, аналогов критической уязвимости, удаленного рута в неотключаемом компоненте дырявой винды в конфигурации по умолчанию, в RPC винды, нет ни у Linux ни у FreeBSD.
О каком сравнении числа дырок может идти речь, когда в винде дырки попросту не закрываются - есть 8 НЕЗАКРЫТЫХ ДЫР, а у фри не посчитали дырки в портах, которые даже на дисках с фрей поставляются? А что будет со статистикой, если дистрибутив Linux ощипать до состояния FreeBSD без портов или выкинуть то, чего нет в дистре Windows или наоборот добавить софта до состояния дистрибутива Linux в дистрибутивы фри и винды? Хотя уже тех фактов, что в виндовс дыры не закрывают, а в ядре+небольшой обвязке фри 66 уязвимостей без учета дыр в портах уже можно сделать выводы...
Хренсмаслом пишет: Я вижу я вас задел за живое, раз вы среагировали таким активным слюновыделением. Ну вы уж простите, я не хотел травмировать вашу нежную психику :)
[/quote]
С психикой у нас все в порядке, мне просто смешно, что ты поднял холивар топик спустя два года.
Цитата
Хренсмаслом пишет: Кстати почему вы пишите от Гостя, кого-то боитесь?)
Боюсь, что общественность накажет за раскрытие врачебной тайны. ))))
Хренсмаслом пишет: ISA конечно быстрее WinRoute, но помимо них ещё есть и продукты от TWD, Visnetic и Tiny. Конечно это не ISA, но функциональность тоже достаточно высокая.
хых... 2 локальных сети, 2 канала в инет. надо пустить каждую локальную сеть через свой канал в инет. В случае падения одного из каналов все переходят на один из работающих. идеи?
Цитата
Хренсмаслом пишет: А Windows уже при одном только наличии брандмуара - для обычного рядового пользователя становится безопасной.
там ещё есть другая дыра - IE.
Цитата
Хренсмаслом пишет: Что касается анонимизирования хедеров в HTTP запросах - то для этого есть плагин к ISA и скриптик.
а ISA регекспы умеет? А вырезание хидеров - это всё-таки 4й уровень, а не 3й, на котором работают iptables и ipfw. И решается это с помощью squid.
Хренсмаслом пишет: Что касается стоимости - между прочим Red Hat Enterprise Linux Premium компания Red Hat предлагает аж за 2499$. Не верите? - Да-да, а как ещё им делать деньги?
Ага, только еще есть CentOS - тот же RHEL с аптдейтами, легально и за бесплатно, только без возможности понадоедать Редхату глупыми вопросами. Есть еще Debian, Gentoo, ... А уж коли это по сути тоже самое, а поддержку все равно оказывает администратор, то зачем платить? А теперь предложите мне вариант бесплатной и легальной ISA и W2k3 с апдейтами но без возможности понадоедать мелкософту чайническими вопросами?
Цитата
Хренсмаслом пишет: Что касается анонимизирования хедеров в HTTP запросах - то для этого есть плагин к ISA и скриптик. А вот можно ли анонимзировать HTTP хедеры по средствам iptables или ipfw?
Стандартными средствами squid, header_access и при необходимости header_replace, безо всяких костылей после заворота на него HTTP-трафика, в конфиге даже пример анонимайзера есть.
Кстати, ISA IP-трафик квотировать уже научилась, например 300 мегабайт IP-трафика(не только HTTP) в месяц на юзера?
Хренсмаслом пишет: А вот можно ли анонимзировать HTTP хедеры по средствам iptables или ipfw?
А зачем такой изврат ? Фаервол - это фильтр пакетов. Надо менять на лету http - прозрачный сквид тебе в помощь.
header_access User-Agent deny all header_access X-Forwarded-For deny all header_access Via deny all header_replace User-Agent Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.7.12) Gecko/20051006 Firefox/1.0.7
Цитата
Хренсмаслом пишет: Дерьмо из линукса нужно вычищать. А Windows уже при одном только наличии брандмуара - для обычного рядового пользователя становится безопасной. Так что не надо сказки рассказывать.
То есть теперь стандатный виндовый фаер защищает рядового юзера с ИЕ от использования злоумышленником эксплоитов с connback ? И давно ли ? А то мы тут от жизни отстали =) Вооще маразм наблюдается. Напихали кучу всего в систему, а ты этот хлам должен фаерволить, защищать и извращаться над ним, чтобы работал побыстрее. Когда я ставлю gentoo, то заранее знаю, что будет жить на машине. Лишнего ничего нет. Авгеевых конюшен не наблюдаю. За полтора рабочих дня машина ставится с 3-го стейджа и тюнится ядро и сервисы. После чего требует к себе внимания только по обновлениям и чтению логов. А на эти задачи требутся времени совсем немного. И мне абсолютно не страшно, что система после наката исправлений не вернется из ребута. Обновление ядра сводится только к подсовыванию уже готового конфига и команде make bzImage && mount /boot && cp arch/i386/boot/bzImage /boot/ && reboot. Причем делать это нужно совсем нечасто. В моей практике был случай, что в офисном центре на новый год отключили на неделю электричество. Никакие упсы не спасли. Аптайм в 215 дней был сломан злобными электриками. И что ? А ничего. Электричество дали, сервак включился и продолжил работу как ни в чем не бывало. А в соседней конторе полетела НТФС на raid-массиве с bbu, работавшим под 2000 виндой. Причем мне непонятно, чем занималась система во время новогоднего простоя, и какого хрена на момент ее отключения у нее были не сброшены буфера на диск. Есть подозрение, что она наглухо повисла на выключении, инициированном софтом от упса. Не говорит ли это о хреновом дизайне системы ?
В теории винда дожна сбрасывать буфера на диски после во время синего экрана. Однако, Крис Касперски утверждает, что дизассемблировал весь ntfs.sys и не обнаружил никакого вызова синхронизации дисков при аварийном останове системы. Это тоже говорит об офигенном качестве.
С психикой у нас все в порядке, мне просто смешно, что ты поднял холивар топик спустя два года.
Сортировал логи 2004 года от прокси... Вот натолкнулся на запросы этого урл и решил почитать, что тут интересного. А если вам смешно насчёт этого, значит с психикой у вас явно не в порядке.
Цитата
Боюсь, что общественность накажет за раскрытие врачебной тайны.
хых... 2 локальных сети, 2 канала в инет. надо пустить каждую локальную сеть через свой канал в инет. В случае падения одного из каналов все переходят на один из работающих. идеи?
Установка и реконфигурирование мостов через RRAS? Это делается скриптом через wsh, который потом можно повесить в schtasks или at. Как сделать через wsh - читаем в scipt56.chm, который можно скачать тут
Хотя обычно при двух сетях и двух каналах ставят роутер :)
Цитата
^rage^ писал:
там ещё есть другая дыра - IE.
Жил себе спокойно "безопасный" FireFox, стал он чуть популярнее и поехали... свеженький Remote Command Execution (07 февраля, 2006) - и это уже вторая такая крупная уязвимость в firefox-е за последнее время. Чем популярнее браузер, тем больше им пользуются и тем больше потенциальная поражаемая аудитория. Именно поэтому баги ищут в основном в популярных браузерах. Так что не IE единым, да и на IE если отключить ActiveX, а ещё лучше JS, то практически никак его эксплуатировать не удастся.
Цитата
^rage^ писал:
А вырезание хидеров - это всё-таки 4й уровень, а не 3й, на котором работают iptables и ipfw. И решается это с помощью squid.
Вообще было бы хорошо, если бы были скриптики по фильтрации чистого трафика на низком уровне, тогда можно было бы и на третьем уровне редактировать хедеры. Хотя конечно возможность такой фильтрации сильно замедлит брандмауэр при большом потоке трафика. Что касается squid - это уже дополнительное ПО, под Windows тоже есть такое - proxy+, winproxy, eproxy, localproxy, ezproxy, ccproxy и так далее.
Цитата
Гость писал:
Некоторые телефоны умеют фотографировать и писать видео. Прочитал и насчет продвинутых функций и говорил, что возможно просто нужно было лучше искать софт, поддерживающий эти продвинутые возможности...
Вот именно, и под линукс такого софта нету. А тот что есть обладает в десятки раз более скудными возможностями, чем аналогичный под Windows.
Цитата
Гость писал:
Decoding raw digital photos in Linux () - в т.ч. плагин к GIMP :)
ufraw вещь конечно хорошая, да вот только в поддержке видеокамер ею числятся - AVT, Canon, Casio, Contax, Epson, Foculus, Fuji, Imacon, ISG, Kodak, Konica, Leaf, Leica, Logitech, Minolta, Nikon, Olympus, Panasonic, Pentax, Phase, Pixelink, Polaroid, Rollei, RoverShot, Sarnoff, Sigma, Sinar, SMaL, Sony.
Но там нет - Aiptek, Airis, BenQ, Concord, Creative, Daisy, Genius, GreenWood, HP, Hasselblad, Hyundai, Kocom, Kyocera, LG, Mamiya, Megxon, Mercury, Minox, Mustek, Nobby Digital, Orient, Praktica, Premier, Ranger Technology, Reefmaster, Rekam, Ricoh, Samsung, Sanyo, Toshiba, Umax, Vivitar. Все эти производители, что я перечислил производят ПО только под Windows и под Mac. Мало того, давай возьмем, например популярные Olympus (как раз у меня такой), ты думаешь Ufraw поддерживает их? Ufraw поддерживает лишь 14 моделей. Например, Ufraw не поддерживает Olympus SP-310, Olympus SP-350, Olympus E-330 (новый), Olympus Camedia C-70 Zoom, Olympus SP-320. И это я беру только те, которые сейчас есть в продаже в России, а если взять всю продукцию олимпус, то камер, которые не поддерживаются Ufraw будет намного больше.
Ну и наконец, перепрошить фотоаппарат, передать изображение на монитор (для фотосессии например) или использовать фотоаппарат как веб-камеру с Ufraw ты не сможешь.
Ах да, и не надо сравнивать "расширенный paintbrush" под названием GIMP с хорошим редактором вроде Photoshop. Да, ты можешь сравнить GIMP с ImageReady, но уж никак не с фотошопом.
Цитата
Гость писал:
- софт для работы с цифровыми камерами, в т.ч. имеющие подключение к COM-порту.
Фотоаппарат то ты подключишь как файловую систему, это тебе не мобильный телефон, все (ну или практически все) фотоаппараты, в отличии от мобильников являются PnP storage девайсами , но я тебе уже говорил, что ни читать RAW, ни передавать изображение на монитор, ни перепрошивать, ни использовать как веб-камеру фотоаппарат ты не сможешь. Что касается обработки RAW при помощи Ufraw - я уже писал, он не поддерживает очень большого кол-ва фотокамер, в том числе моей.
Цитата
Гость писал:
Цитата
Хренсмаслом пишет: 2. Не смог бы использовать вывод изображения с фотоаппарата на монитор и использовать фотоаппарат как web-камеру.
Насчет этого не знаю, телефон может нормально писать видео в 3gp, которое затем просто сливается на машину.
Милый мой друг, я тебе писал про фотоаппараты, а ты уже переключился на вторую чать нашего разговора - телефоны :) Фотоаппарат напрямую через usb передаёт изображение, и точно также работает как веб-камера. Функция записи видео в файл - это уже совершенно другая фича.
Цитата
Гость писал:
Зачем? Если бы меня что-то не устраивало, то я бы просто вернул бы товар, а не занимался бы развлечениями с перепрошивкой телефона или обновлением фотоаппарата.
Очень часто за счёт перепрошивки добавляют новые функции. Например, когда я перепрошивал свой олимпус, там добавились расширения, которые позволяют сжимать изображения в JPEG с дополнительными параметрами, а не просто по качеству "1/2/3/4".
Цитата
Гость писал:
умеет писать видео в 3gp формат, который играет линуксовый mplayer, а винда понятия об этом формате не имеет...
Во-первых это формат Apple 3GPP основанный на MP4 :))) Во-вторых quick time его отлично проигрывает. У меня много фильмов в формате 3gp. Я их отлично смотрю при помощи Quick Time. Хотя после установки Quick Time устанавливаются все необходимые кодеки, и вы сможете воспроизводить 3gp хоть под wmplayer, хоть под winamp-ом, хоть под каким-нибудь там blink-ом или ещё парой десятков других плееров, которые умеют работать с кодеками Windows.
Цитата
Гость писал:
Если телефон работает - не трогай. Обычным юзерам ковыряние телефона нафиг не нужно, к томуже уже названы программы для ковыряния сименсовых мобил scmxx/gscmxx.
Хех, мне например, пригодилась возможность расширить словарь T9 за счёт новой прошивки. Так что не трогай - не есть правильно. Ну а самое распространённое для чего нужно ковыряние - это для того, что бы разлочить телефон. scmxx - это очередная малофункциональная утилита типа kmobiletools для чтения записной книжки и смсок, и она не позволяет того, что позволяют многочисленные тестопоинтеры, логгеры, мэпперы, дамперы, анблокеры для одних только Siemens под Windows.
Цитата
Гость писал:
Для тех, кто не следит за безопасностью своей винды, и не имел никаких проблем с этим патчем, освежаю память MS05-019: Уязвимости в протоколе TCP/IP делают возможным удаленный запуск программного кода и могут вызвать отказ в обслуживании Такие вот дела: REMOTE TCP/IP EXPLOIT в дырявой винде, а нас тут кто-то лечит про дырявый линукс. =))))
Remote или локал, разницы не много. У нормальных пользователей на RAWSOCK висит брандмауэр, который просто не допускает все входящие пакеты на какие бы то ни было порты, не важно открыты ли они и прослушивают (0.0.0.0:0) или закрыты. Единственная возможность обойти - это и нужно чтобы сервер, на который зайдёт пользователь (а скорее всего это будет хттп-сервер) в ответном запросе послал гадкий пакет на открытый порт этой же tcp сессии, но такое трудноосуществимо.
Кстати уязвимости MS05-19 уже год. Если брать такие старые уязвимости, то можно вспомнить Remote DoS в iptables, которому 1.5 года (вышел в конце 2004). Например, у меня в архивчике валяется под него remote эксплоитик iptables.log.integer.underflow.POC.c (Linux Kernel <= 2.6.7 Firewall Logging Rules Remote DoS Exploit) Ну и всякие там локальные дырки, позволяющие локально выполнить произвольный код - 2 раза в mremap, 1 раз в munmap, а помните do_brk или старый ptrace, а на uselib, на kmod? Интересует более свежее? Ну, например локальный эксплоит bigrip.c помним? А вообще в любом траке можно почитать... возьмём например security.nnov.ru Локальные эксплоиты под ядрышко линуксятины: Linux Kernel Socket Buffer Memory Exhaustion DoS Exploit - linux kernel msync race condition - exploit to Linux Vulnerability Allows Non-Privileged Users to Read Kernel Memory - Linux kernel multiple bugs exploits and patches - А вот паблики с секлаба: Linux Kernel <= 2.6.11-rc3 Local Proof of Concept Exploit - Linux Kernel 2.6.11 sys_epoll_wait Local integer overflow Exploit - Linux Kernel "binfmt_elf" Core Dump Local Buffer Overflow Exploit - Linux Kernel 2.6.x "ioctl_by_bdev()" Local Denial of Service PoC Exploit - и так далее...
Цитата
Гость писал:
а еще на этой странице у мелкомягких линк на ms05-019 битый. :)
Да нет, всё работает... это у тебя с руками что-то.
Цитата
Гость писал:
Покажите, что же нужно из линукса такое вычищать. Там разве есть ставящиеся в любом случае даже на сервер IE, Mediaplayer, Outlook, MS Messanger, RPC и прочий мусор, который ставится вне зависимости от воли юзера и предназначения машины?
В дистрибутивах обычно столько ненужного мусора... и всевозможные компиляторы под различные никем не используемые языки, и всякие малофункциональные редакторы аля notepad, короче говоря - весь GPL мусор :) Если под Windows идут функциональные продукты вроде Outlook, MSN, WMPlayer, да даже WordPad и прочее. То под линукс идут примитивные утилитки, которыми толком ничего нельзя сделать, зато в таком количестве... Короче говоря, если мне нужен мусор, я вылезу в интернет и скачаю его. Да и то различных программок под Windows окажется намного больше, чем под Linux.
Цитата
Гость писал:
А то я, наивный, просто не ставлю в Linux то, что мне не нужно и могу спокойно выставлять линуксовые машины без файрвола, не беспокоясь о том, что там что-то такое левое слушает порты 135, udp/137,tcp/1025-1030, и не выставляя в инет то, что не нужно(тот же порт squid) прибиндив демона к интерфейсу смотрящему только в LAN или повесив на UNIX-сокет...
По умолчанию в том же XP включен ICF, то что пользователи при создании соединения не подключаю его - это уже их проблемы.
Что касается 135 и 137 портов, там висят >type %windir%\system32\drivers\etc\services | findstr /i "135 137" epmap 135/tcp loc-srv #DCE endpoint resolution epmap 135/udp loc-srv #DCE endpoint resolution netbios-ns 137/tcp nbname #NETBIOS Name Service netbios-ns 137/udp nbname #NETBIOS Name Service
Линукс просто не позволяет по умолчанию такой функциональности как netbois Windows, или как RPCSS. А точнее по умолчанию она отключена.
Цитата
Гость писал:
Виндовс при наличии брандмауэра отличного от убогого ICF отлично падает от IGMPv3
Это просто у тебя руки кривые, нужно просто запретить входящие IGMP (номер протокола 2) через secpol.msc (>IP security), либо через netsh.
Цитата
Ну кто ж виноват, что ты за адвайзори по дырам в TCP/IP в своей либимой винде не следишь. Я тебе линк привел, могу еще и на эксплоиты привести линки ... теперь слушаю от каких опций падает Linux - иначе признаю эту фразу пустым безосновательным трепом с твоей стороны.
Ну на этот вопрос я уже ответил, вся эта эксплуатация бесполезна, если у пользователя стоит брандмауэр на rawsocket-е. Так что ремоут при таком случае бесполезен, а кучу локалов под линукс, я тебе привёл выше. Ну а если ты так просишь ремоут, я тебе его тоже выше привёл, повторю ещё раз - iptables.log.integer.underflow.POC.c Ссылку дать? Даже на фокусе есть -
Так что только твои слова - бездоказательный бред.
Цитата
Гость писал:
Такого числа удаленных дырок в ядре и уникальных дырок в openssh и удаленного переполнения памяти ядра в Wifi, как у дырявой фри у Linux не было.
Уважаемый Гость, опять вы со скоростью поезда пробежались по сайтикам. За время существования версии 5.3-RELEASE было найдено всего 4 более или менее серьёзных бага, за всю историю начиная с 6.0-RELEASE было найдено 10 более или менее серьёзных багов. Названия функций, которые вы перечислили - это всего лишь функции в которых есть ошибка, которая и была исправлена, эта ошибка может быть совершенно безобидной, не приводящий ни к чему. 9 из 10-ти уязвимостей, которые вы быстренько скопировали с - являются лишь мелкими багами, эксплуатация и получение каких-либо привилегий через них не возможны Ни одного эксплоита на эти недочеты написано не было, так как это всё мельчайшие баги, которых в linux-е в сотни раз больше. Мало того, все эти недочеты были впервые опубликованы не кем то, а именно FreeBSD Security Advisory, т.е. разработчиками FreeBSD. Почему 9/10? Так как один достаточно хороший баг есть - он описан как раз в FreeBSD-SA-06:06.kmem.asc и на него есть эксплоит. Но, этот эксплоит НЕ позволяет выполнить произвольный код, не позволяет получить повышенные привилегии, не позволяет повесить систему. Единственное что он позволяет - это получить master.passwd, да это конечно отлично, но если у рута пароль типа h42gh9sdgskd, что тебе даст этот эксплоит? Правильно - абсолютно ничего.
Что касается FreeBSD-SA-06:04.ipfw, говорили, что через него можно было положить ipfw. Сервер ты не положишь, рута не получишь, произвольный код не выполнишь. Но на самом деле даже ipfw не положишь, в подтверждение этому не было выпущено ни одного эксплоита, и, разумеется, выпущено не будет, хотя баг давно паблик (уже три месяца как).
Все твои сказки про крутой баг в ipsec - так и остаются сказками, ты бы хоть Advisory почитал.
III. Impact An attacker able to to intercept IPSec packets can replay them. If higher level protocols which do not provide any protection against packet replays (e.g., UDP) are used, this may have a variety of effects.
Но как мы знаем что-то там какие-то эффекты вроде как потенциально ... возможны, но ни одного эксплоита так и не вышло, хотя баг в паблике уже давно, так как на самом деле толку от этого бага ноль.
Или, например, супер опасный баг 2006 года, который числится в securityfocus как high rated - FreeBSD-SA-06:03.cpio Нет, это действительно серьёзный баг архиватора cpio. Оказывается если хакир угадает момент, когда админ будет архивировать какой-либо суперсекретный файл при помощи cpio, то из-за того, что права на файл выставляются только после того как он заархивируется хаккир может его стащить (пока права ещё не проставлены). Хакир к тому же должен ещё угадать как называется этот файл, ну или попытаться отпарсить список всех доступных ему файлов:))
Ваш сверхопасный баг в openssh - By repeatedly connecting to a vulnerable server, waiting for a password prompt, and closing the connection, an attacker can cause OpenSSH to stop accepting client connections until the system restarts or an administrator manually kills the orphaned PAM processes.
В лучшем случае я повешу openssh, ни выполнения кода, ни получения привелегий, ни даже вешания сервера мне сделать не удастся. Да и почему-то никто пока ещё не смог даже повесить openssh таким образом. Баг в паблике давно, а эксплоит так и не получилось сделать) Хотя, даже если бы и получилось, ну повесили бы openssh и что дальше? В Advisory написано, что ничего страшного. Серверу то от этого ничего не будет. Админ узнает, что он висит, пользователи не могут зайти через ssh и быстренько пофиксит этот псевдо-баг.
Знаешь сколько таких багов в линуксе? Тысячи, ну если отсеять уж совсем мелкие, то сотни. Прочитай Хорошо, ты скажешь, я хочу официальные и только под ядро (а ведь под ту же FreeBSD мы не только ядро анализировали)
Пожалуйста - каждые два дня новая уязвимость, а иногда и по нескольку штук в день (например, за 23 марта - 2,5 недели назад аж 7 штук за день) А ведь многие из них очень серьёзные.
А теперь давайте всё-таки перечислим эксплоиты под линукс приблизительно за последний год. Я это уже делал выше, поэтому просто процитирую себя.
Локальные эксплоиты под ядрышко линуксятины: Linux Kernel Socket Buffer Memory Exhaustion DoS Exploit - linux kernel msync race condition - exploit to Linux Vulnerability Allows Non-Privileged Users to Read Kernel Memory - Linux kernel multiple bugs exploits and patches - А вот паблики с секлаба: Linux Kernel <= 2.6.11-rc3 Local Proof of Concept Exploit - Linux Kernel 2.6.11 sys_epoll_wait Local integer overflow Exploit - Linux Kernel "binfmt_elf" Core Dump Local Buffer Overflow Exploit - Linux Kernel 2.6.x "ioctl_by_bdev()" Local Denial of Service PoC Exploit - и так далее...
Этот список - эксплоиты начиная от самых свежих и кончая теми, которым уже около одного года.
И это только под одно ядро... без учёта даемонов, которыми комплектуются дистрибутивы.
А теперь под FreeBSD- Единственный эксплоит это как раз на kmem
Но я уже сказал, что если у рута пароль типа h42gh9sdgskd, то этот эксплоит тебе ничего не даст. А ну ещё есть на nfs - но это уже даемон, а не ядро, хотя конечно через mount запрос он может вызвать kernel panic... Только вот никто не пользуются этим Network File System :)) Кстати рейтинг этой уязвимости разумеется низкий.
Так что под ядро с 2003 года только один более менее серьёзный эксплоит - это kmem. Ну ещё мелкий под службу nfsd.
Гость, так что представь мне хотя бы ещё один эксплоит на перечисленные тобою баги во FreeBSD (кроме kmem разумеется)... Ни одного эксплоита на описанные тобою недочёты не существует, так как все уязвимости практически бесполезны и никаких возможностей хакиру не дадут :) А вот под линукс эксплоитов огромное кол-во и выше я тебе уже дал ссылки на них, причём я дал ссылки только на уязвимости ядра, а ведь ещё могут быть уязвимости даемонов, вроде бздшного nfsd. Так что линукс - это одна баальшая дырка :)
На все твои оставшиеся цитаты я отвечать не буду, так как там кроме твоего подросткового флейма ничего технически грамотного нет. Всякие сказки про конфликты RRAS в 2k с Исой или дырка в chfn, якобы специфичная только для SuSe, хотя эту дырку ты сам предложил придумать для более удобного представления, а теперь берёшь её как аргумент. Т.е. получается, что ты забыл про то, что её выдумал и начал использовать как аргумент. Ах да фря не используется в top500 потому что это сложная система и просто так повырезать куски из неё не получится. А ядро линукса - валяется себе, "бери кто хочет ". Ну вот IBM взяли и обрезали, сделали из линукса сложный калькулятор и ты этим калькулятором гордишься...
Хренсмаслом пишет: Установка и реконфигурирование мостов через RRAS? Это делается скриптом через wsh, который потом можно повесить в schtasks или at. Как сделать через wsh - читаем в scipt56.chm, который можно скачать тут
мосты? причём тут они? это второй уровень, а не третий. А как бы мне прописать 2 default gateway с одинаковой метрикой?
Цитата
Хренсмаслом пишет: Жил себе спокойно "безопасный" FireFox, стал он чуть популярнее и поехали... свеженький Remote Command Execution (07 февраля, 2006) - и это уже вторая такая крупная уязвимость в firefox-е за последнее время. Чем популярнее браузер, тем больше им пользуются и тем больше потенциальная поражаемая аудитория. Именно поэтому баги ищут в основном в популярных браузерах.
ага-ага. и на многих системах вы смогли что-то выполнить?
Цитата
Хренсмаслом пишет: Вообще было бы хорошо, если бы были скриптики по фильтрации чистого трафика на низком уровне, тогда можно было бы и на третьем уровне редактировать хедеры. Хотя конечно возможность такой фильтрации сильно замедлит брандмауэр при большом потоке трафика.
А если подумать какую нагрузку это создаст на процессор? скриптиком.
Цитата
Хренсмаслом пишет: Что касается squid - это уже дополнительное ПО, под Windows тоже есть такое - proxy+, winproxy, eproxy, localproxy, ezproxy, ccproxy и так далее.
и они умеют то же что и сквид? мне вот интересно, как данные продукты будут работать при числе активных пользователей > 1000.
мосты? причём тут они? это второй уровень, а не третий. А как бы мне прописать 2 default gateway с одинаковой метрикой?
Если вам нужно просто расшарить интернет (2 канала на 2 различных сети), то это элементарно делается через ICS (например в св-вах подключения), там же выбирается для какой локальной сети расшаривать данное подключение. И так для каждой локальной сети проставляются свои параметры ICS. В случае если, как вы хотели, требуется автоматически переключить какую-либо локальную сеть на другой канал (переключить ICS шару) - это делается скриптом через wsh, и об этом я уже писал выше.
Цитата
^rage^ писал:
ага-ага. и на многих системах вы смогли что-то выполнить?
В сырцах указано, что тестирован он и на Mozilla Firefox 1.5.0.0 on Linux. Хотя та уязвимость под любую версию Фаерфокса. "на многих системах вы смогли что-то выполнить" Те кто занимаются этим - на многих :))
Цитата
^rage^ писал:
А если подумать какую нагрузку это создаст на процессор? скриптиком
На процессор это действительно создаст нагрузку и я об этом сказал, если брандмауэр не умеет различать, фильтровать и отсеивать только нужные пакеты транспортного уровня. iptables разумеется этого не умеет и на этом уровне не работает. Кстати Nvidia например практикует внедрение аппаратного фаервола, что является ещё более быстрым решением.
Цитата
^rage^ писал:
и они умеют то же что и сквид? мне вот интересно, как данные продукты будут работать при числе активных пользователей > 1000.
Если они умеют больше, чем squid, то и кол-во процедур проверки, которые проходит каждый пакет будешь больше, и соответственно скорость работы будет ниже, чем у squid. Если это простой прокси-сервер с меньшей, чем у squid функциональностью, то и скорость работы будет выше.
