Security Lab



Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти  
Форум » Обсуждение статей (закрыто) » Обсуждение публикаций
Страницы: Пред. 1 2 3 След.
RSS
Устранение уязвимостей в компьютерных системах: исследователь, владеле
 
#21
Это нравится:0Да/0Нет
13.11.2005 04:45:12
Цитата
Аффтар пишет:
Но что же делать, если владелец ресурса не проявлет доброй воли и не собирается патчить свой насквозь дрявый сервер? Молчать?
Вас это беспокоит? Хотите поговорить об этом? :)
Если жутко неймется, то как вариант эффективной стимуляции владельца можно написать на главной странице "Этот сайт не взломан, просто я обнаружил, что скрипт blah/blabla.php содержит несколько уязвимостей на строках 1185 и 2018. Вебместер, ты идиот.
Спасибо за внимание.  Департамент Истребления Багов."  ;)
Да, это входит в противоречие с УКРФ, как и несанкционированная проверка на уязвимости без согласия владельца. которую, насколько я понял, практикует Аффтар.
 
 
 
#22
Это нравится:0Да/0Нет
14.11.2005 10:19:58
Цитата
r00t пишет:
Да, это входит в противоречие с УКРФ, как и несанкционированная проверка на уязвимости без согласия владельца. которую, насколько я понял, практикует Аффтар.

Это в каком месте оно чему-то противоречит? Единственное чему может противоречить багтрекинг - это диэмсиэй, ну и может авторские прова, если нелицезионная версия или там сырцы стырили.

У меня ворд говорит - выполнена недопустимая операция. И меня начинает интересовать - а какого понимаешь он это делает.  Я пользуюсь этим ресурсом и мне небезразлично его состояние.

Цитата
Алексей Лукацкий  пишет:
Это тебе мешает
Да. Например меня раздражают xss в почтовом сервере которым я пользуюсь.

Цитата
Алексей Лукацкий  пишет:
Ты как-то связан с этой компанией?

Например. Directory Traversal в сайте крупного производителе сетевого железа Ж-)

Цитата
Алексей Лукацкий  пишет:
Ну дырявый сайт и что теперь-то...

Например. Directory Traversal в сайте крупного производителе сетевого железа Ж-)
 
 
 
#23
Это нравится:0Да/0Нет
14.11.2005 12:19:29
Если пугают уязвимости на интернет ресурсе.. просто не пользуйся им.. Это лучший толчёк :) для его авторов -  в направлении исправления багов :)
 
 
 
#24
Это нравится:0Да/0Нет
14.11.2005 17:13:43
Цитата
Гость пишет:
Это в каком месте оно чему-то противоречит?

Во-первых, ст.272 - несанкционированный доступ. Во-вторых, на такие действия требуется лицензия ФСТЭК, которой у частного лица нет.

Цитата
Гость пишет:
Я пользуюсь этим ресурсом и мне небезразлично его состояние.

Небезразлично - напиши владельцам. Незачем об этом на весь мир трубить.


Цитата
Гость пишет:
Например меня раздражают xss в почтовом сервере которым я пользуюсь.

Пустырник надо пить ;-)  Если меня что-то раздражает, я пытаюсь это решить с тем, что/кто меня раздражает, а не кричу на весь мир "Он меня раздражает".


Цитата
Гость пишет:
Например. Directory Traversal в сайте крупного производителе сетевого железа

Еще раз повторю свой вопрос - как это связано с тобой лично? Эта дыра - проблема производителя. Сообщи ему о ней. Он тебе спасибо скажет. Или не скажет, но ты-то свое доброе дело сделал. А вот кричать на весь мир, что "я их так люблю и потому использую их сайт, а они меня нет, потому что их сайт дырявый"... Это извините, напоминает, действия Герострата.


Цитата
broker пишет:
Если пугают уязвимости на интернет ресурсе.. просто не пользуйся им..

Золотые слова!
Luka
 
 
 
#25
Это нравится:0Да/0Нет
14.11.2005 19:29:20
<q>Во-первых, ст.272 - несанкционированный доступ. Во-вторых, на такие действия требуется лицензия ФСТЭК, которой у частного лица нет.</q>

Дорогой друг!
К чему и как при вводе '  или <> в строке поиска происходитн несанкционированный доступ?
К информации об уязвимости? дык больше скажу - это объект авторского права.
Подробнее пожалуйста.
А лицензироваться, простите, необходимо для осуществления деятельности по защите информации. При чем тут багтрекинг? Кстати, у cisco то такая лицензия есть? номер? Или у позитивов? какого тогда они предоставляют сервис по поиску дыр?

<q>Небезразлично - напиши владельцам.</q>

По постановке задачи - не реагирует владелец, не реагирует.

Про остальное :
вы же имели отношение к безопасности, и даже, наверняка читали багтрек. Процентов 10 сообщений в нем (по крайней мере до покупки симантеком) - незакрытые дырки.
и в статье приведены рекомендации оч. серьезных и уважаемых людей (кстати - рекомендации совету США написаны представителем cisco и в них тоже предусмотрен момент разглашения, в случае конфликтов с владельцем).
так есть ли смысл хаять сложившуюся практику, неоднократно доказавшую свою эффективность ?
я не фанат кричащий "фул-дискложу, ви белив ин ит", но ответсвенное разглашение - нормалтный цивилизованный подход. коьорый стоит взять на вооружение как исследователям, так и
(в первую очередь) разработчикам и владельцам.
 
 
 
#26
Это нравится:0Да/0Нет
15.11.2005 14:31:11
"Так ДОЛЖНО быть. На ПРАКТИКЕ все иначе. Мы работали с одной студией - нашли в ее движке кучу SQL Injection, XSS и т.п. Они у нас исправили, а сайты других их заказчиков (включая международно известных компаний) до сих пор крутятся на дырявой версии. "


это про сайтистику? =)))))))))))))))))) www.saitistika.ru эти ребята не понимают как можно coockie удаленно получить =))) www.infosec.ru на них же крутица
 
 
 
#27
Это нравится:0Да/0Нет
15.11.2005 16:22:45
конкретика началась :!:  интересно посмотреть сообщения о найденных уязвимостях.
на секлабе были?
 
 
 
#28
Это нравится:0Да/0Нет
15.11.2005 17:36:01
Цитата
Гость пишет:
А лицензироваться, простите, необходимо для осуществления деятельности по защите информации. При чем тут багтрекинг?

А контроль защиты - это не деятельность по защите? В лицензии ФСТЭК даже пункт такой есть.

Цитата
Гость пишет:
так есть ли смысл хаять сложившуюся практику, неоднократно доказавшую свою эффективность

Мы о чем вообще говорим? О разглашении дыр в конкретном ПО, используемом тысячами заказчиков, или о разглашении имени заказчика, использующего дырявое ПО? Почувствуйте разницу. И в bugtraq, насколько мне помнится, речь ВСЕГДА шла именно о первом варианте. И в CERT, и в X-Force, и в NIAP, и в CVE, и в SecurityTracker всегда публиковалась инфа о дыре в ПО, а не у конкретного заказчика. Речь идет именно об этом.

Когда появляется новость, что в ПО Check Point найдена дыра, а они на нее никак не отреагировали, это одно. Но когда появляется новость, что в компании "Рога и копыта" есть дыра в их Check Point FW-1, то я это категорически неприемлю.
Luka
 
 
 
#29
Это нравится:0Да/0Нет
15.11.2005 18:48:44
Цитата
Алексей Лукацкий пишет:
Когда появляется новость, что в ПО Check Point найдена дыра, а они на нее никак не отреагировали, это одно. Но когда появляется новость, что в компании "Рога и копыта" есть дыра в их Check Point FW-1, то я это категорически неприемлю.

Правильная точка зрения, я абсолютно согласен. Но не забывайте, что есть раскрученные брэнды, а есть маленькие :) эти маленькие любят гордится своими достижениями и часто вывешивают их список.. Вот мы приходим к обратной связи.

Кстати достижения вывешивают и крупные брэнды  :!:
 
 
 
#30
Это нравится:0Да/0Нет
15.11.2005 21:24:33
Цитата
broker пишет:
эти маленькие любят гордится своими достижениями и часто вывешивают их список.. Вот мы приходим к обратной связи.

 Ну это было ясно с самого начала ;-(

Цитата
broker пишет:
Кстати достижения вывешивают и крупные брэнды

 Не такие "достижения" ;-(  Все-таки бизнес диктует определенные рамки поведения.
Luka
 
 
 
#31
Это нравится:0Да/0Нет
15.11.2005 21:36:02
бизнес везде только он
 
 
 
#32
Это нравится:0Да/0Нет
15.11.2005 22:49:12
под определением достижение, подразумевалась рубрика "КТО ВОСПОЛЬЗОВАЛСЯ НАШИМИ УСЛУГАМИ", кстати публикации в этих рубриках всегда совершаются с санкций того, кому услуга оказана.
 
 
 
#33
Это нравится:0Да/0Нет
16.11.2005 09:11:19
Цитата
Алексей Лукацкий пишет:
А контроль защиты - это не деятельность по защите?

Повторюсь, номер лицензии циско и позитивов в студию!
Там ещё мастерхост завязан, его тоже сюда.

Цитата
Алексей Лукацкий пишет:
И в bugtraq, насколько мне

www.msn.com, gmail.com, yahoo.com, MS passport - что это, продукт или сервис?
Однако баги в них публикуются переодически. И ничего - нормально.

Давайте попробуем резюмировать:
Г-н Лукацкий и иже с ним голосует за политику неразглашения в случае обнаружения уязвимостей в общедоступной Internet-службе. Так?
Именно такой подход приводит к "full-disclosure" на void.ru и zone-h.org.
 
 
 
#34
Это нравится:0Да/0Нет
16.11.2005 10:23:23
Цитата
Гость пишет:
в общедоступной Internet-службе

А много ли в том списке сайтов с дырами общедоступных служб? 90% из них - это корпоративные сайты компаний.
Luka
 
 
 
#35
Это нравится:0Да/0Нет
16.11.2005 10:38:04
Цитата
Алексей Лукацкий пишет:
дырами общедоступных служб

Дорогой друг!
Если при соединении на 80й порт выдается - "добро пожаловать на сервер нашей компании", этот сайт - общедоступная служба. И более того, я - как пользователь услуг этой компании вправе требовать от неё качественного сервиса, в т.ч. обеспечение моей безопасности при работе с этим сервером.
 
 
 
#36
Это нравится:0Да/0Нет
16.11.2005 10:49:35
Цитата
Гость пишет:
Если при соединении на 80й порт выдается - "добро пожаловать на сервер нашей компании", этот сайт - общедоступная служба. И более того, я - как пользователь услуг этой компании вправе требовать от неё качественного сервиса, в т.ч. обеспечение моей безопасности при работе с этим сервером.

C чего ВЫ это взяли, УВАЖАЕМЫЙ. По Закону о защите прав потребителей, ВЫ вправе требовать чего-либо только в случае, если ВЫ заключили договор с Компанией, которая предоставляет Вам услуги через ресурсы сети интернет.

Во всех других случаях, услуга предоставляется "как есть" или на основании той лицензии, с которой ВЫ автоматически соглашаетесь ПРИ РЕГИСТРАЦИИ ИЛИ ПОСЕЩЕНИЯ ИНТЕРНЕТ РЕСУРСА.

А если вы подключаетесь как 110 порту или 25 или ещё хуже 5190? или диапозону 1-65535 представляете, сколько у ВАС прав ???? :) :)
 
 
 
#37
Это нравится:0Да/0Нет
16.11.2005 13:20:32
Цитата
broker пишет:
А если вы подключаетесь как 110 порту или 25 или ещё хуже 5190? или диапозону 1-65535 представляете, сколько у ВАС прав ????

Это ты к чему?
 
 
 
#38
Это нравится:0Да/0Нет
16.11.2005 13:23:37
К тому, что служба на порту 5190 - необщедоступная?
 
 
 
#39
Это нравится:0Да/0Нет
16.11.2005 13:33:53
login.icq.com:5190
 
 
 
#40
Это нравится:0Да/0Нет
18.11.2005 05:50:48
Цитата
Гость пишет:
я - как пользователь услуг этой компании вправе требовать от неё качественного сервиса

Чтобы перевести все в практическую плоскость, давайте рассмотрим пример сайта SecurityLab. Допустим я просканировал его и нашел дыру. И что теперь? SecurityLab мне никаких услуг не оказывает, я с ним договор не заключал, а значит я не пользователь этой компании и НЕ ВПРАВЕ чего-то от нее требовать. Из списка сайтов, который были названы в исходной статье (на которую, собственно, все ссылаются), имхо, только МТС можно было хоть как-то притянуть к компании, которая оказывает услуги автору статьи (если он владелец МСТС'овского телефона, а не другого оператора). Во всех остальных случаях он обычный посетитель сайта.

Или возьмем другой пример - Microsoft. Если вы найдете дыру в ПО от MS, то даже в этом случае вы не вправе от MS требовать устранения, т.к. в лицензии написано, что вы используете софт "КАК ЕСТЬ". Если же вы найдете дыру в сайте MS, то вы вообще к сайту никакого отношения не имеете. Сайт - это добрая воля MS (рассматривается именно юридическая точка зрения). Вы, являясь юридически правомочным пользователем ПО от MS при этом не являетесь таким же пользователем его сайта. MS с вами договор на предоставление услуг на сайте не заключал. А значит и требовать от него ничего нельзя.

Я именно это позицию и отстаиваю. Я не против "разглашения" дыр, но в конкретном софте, а не у конкретного заказчика.
Luka
 
 
 
Страницы: Пред. 1 2 3 След.
Читают тему