http://www.hwupgrade.it/news/apple/d...s-x_24793.html
tono flammistico a parte, su hwupgrade sarà partito il solito flame mac user vs pc user, la notizia fa sorridere
Printable View
http://www.hwupgrade.it/news/apple/d...s-x_24793.html
tono flammistico a parte, su hwupgrade sarà partito il solito flame mac user vs pc user, la notizia fa sorridere
e' un caso :nod:
lol ai commenti sotto, as usual
bhe un caso mica tanto
:sneer:Quote:
Last year's contest winner, Dino Dai Zovi, exploited a vulnerability in QuickTime to take home the prize.
(fonte: http://news.yahoo.com/s/infoworld/20...nfoworld/96676 ; http://www.infoworld.com/article/08/...x-Vista_1.html )
e in entrambi i casi hanno sfruttato un bug di un aplicazione e non dell' os :nod:
(era ironico)
come dire che se c'è un megabug in explorer non è colpa di microsoft :nod:Quote:
Originally Posted by dariuz
safari e quicktime sono applicazioni apple distribuite col SO, gli utenti non potevano installare applicazioni e usarle per forzare la macchina (almeno il secondo giorno il terzo non so) potevano usare solo quelle preinstallate
l'importante è che nn siano riusciti a fare na ceppa da remoto :nod:
tanto io continuero a usare windows che son troppo pigro per imparere un altro os :point:
Sopra alla mia testa, alla Royal Holloway, c'è il gruppo di sicurezza più famoso al mondo e loro dicono che aspettarsi che un sistema sia una scatola chiusa è sbagliato.
Un sistema è tanto resistente quanto la sua porta più debole, quindi chi fa un sistema operativo si deve anche preoccupare delle applicazioni che ci girano sopra.
Non significa davvero nulla dire "ma era un bug dell'applicazione e non del so".
bhe su pc di spazi comuni/aziendali è un problema, se io in università acquisisco privilegi di root in lab posso fare un casino (cancellare esami/bloccare tutte le macchine/fare cose scorrette e far cadere la colpa su altri utenti/cancellare modificare account/starmene zitto e scaricarmi gli esami prima eccetera eccetera). Tra l'altro in uni da noi è pure successo (ma hanno agito a livello di bios tramite cd boot)
è anche chiaro che la prima regola della sicurezza informatica è che il sistema più sicuro del mondo è quello non connesso ad internet e messo in una cassaforte, ma un sistema così è inutile. Il trucco sta nel valutare le % di rischio e le % di prestazioni, un esempio idiota se io X mi devo autenticare a Y per inziare una connessione non mi serve una chiave di cifratura indecifrabile tramite un attacco di forza bruta, molto dispendiosa in termini di cript e decript, posso usare una cifratura più semplice e veloce che però con un attacco di forza bruta può venire violato anche in 3-5 ore. Tanto il pacchetto in questione è solo un handshake che mi permette di autenticarmi in quella istanza di connessione, il tutto durerà al più 2 secondi se fra 5 ore un attaccante ha anche decifrato il mio pacchetto non gli servirà a un cazzo dato che la trasmissione è già avvenuta.
gg:sneer:
io piu che altro mi chiedo chissà quanto tempo ci ha passato in casa prima di trovare quel bug , e tenerselo buono senza segnalarlo fino a quando nn ha potuto ricavarci 10k $ :sneer:
perchè non ci credo che ha trovato il bug / creato la pagina web/ ed exploitato il tutto in 3 minuti :nod:
L'unica sicurezza che si ha il diritto di pretendere da un sistema operativo è quella da accessi remoti non autorizzati (ovvero, a condizione che la macchina sia firewallata almeno di base).
La vulnerabilità di un qualsiasi sistema/applicazione sul quale si abbia accesso diretto è un concetto di per sé ridicolo, se posso accedere alla macchina posso far danni per definizione, in qualsiasi sistema desktop. Con windows è piu' facile, visto che è piu' facile che l'utente sia amministratore, ma di poco piu' facile, in OS X basta usare sudo, in linux idem, e puoi fare il cazzo che vuoi (parlo di sistemi medi eh, non di server o configurazioni high-end di utenti esperti).
é Miller... l'uomo che ha crackato l'iPhone e che lavora coi mac da diversi anni, non proprio il bimbo prodigio, è uno che di mac se ne intende :)Quote:
Originally Posted by dariuz
aveva fatto lo stesso esempio il mio prof di sistemi, solo che aveva aggiunto che seppur dentro una cassaforte potevano pilotarlo tramite non so che interferenze via radio:sneer:Quote:
Originally Posted by Hador
il problema sta:
per violare un os x devi essere veramente bravo
violare windows lo sa fare pure mio fratellino di 7 anni -.-
Quote:
Originally Posted by Jarsil
In sicurezza hai dei sistemi reattivi, come dicevo non sono scatole, quindi devi considerare il tutto dal punto di vista globale.
Un hacker fotte il sistema proprio perchè considera il problema dal punto di vista globale.
Un computer non è una scatola chiusa, per molti versi è un sistema reattivo.
Nel senso che, mandato un messaggio, potrebbe rispondere in tanti modi diversi, secondo tanti protocolli diversi (c'è una vulnerabilità di ipsec per vpn, che dovrebbe essere blindate, che ti permette di vedere i pacchetti in chiaro !!! questo purtroppo su mac\windows\linux....)
Perciò tutte quelle storie teoriche sulla chiave a 64-128 bit e bla bla si fottono allegramente se cominci ad andare a cercare tutte le porte scoperte. (dove per porta non intendo la porta TCP, intendo porta in senso metaforico :kiss:)
Quando dico: ti devi preoccupare anche dell'applicazione che ci gira sopra al SO, non intendo che quello che programma l'SO deve prevedere in anticipo tutte le stronzate che faranno i programmatori dopo (impossibile, è un problema NP), intendo dire che deve creare un sistema di per ben testato(ben testato == coprire il 20% dei casi... che sono milioni...) e che i programmatori di applicazioni dovranno, su questo sistema, creare delle applicazioni che non vadano a inficiare la sicurezza dell'SO stesso.
Tuttavia, anche così, ci sarà sempre lo stronzo che troverà una vulnerabilità. Amen, una volta trovata si elimina. Ecco perchè Linux ha molte più probabilità di diventare un sistema sicuro rispetto ai corrispettivi. E' molto più testato....
edit: cioè, potevo anche dirlo in due parole... sostanzialmente quello che voglio dire è che siamo d'accordo...
il windows (e il linux) che metto sul computer del laboratorio in università non è diverso da quello che metto a casa, ed è inconcepibile che uno tramite un exploit possa aggiudicarsi privilegi di amministratore, se dai per scontato che un sistema con accesso fisico è violabile allora puoi fare a meno del concetto di utenti.Quote:
Originally Posted by Jarsil
A prescindere dall'esempio in sè che non è affatto l'unico (unix e linux nella storia presentano innumerevoli casi di questo tipo, sendmail per dirne una o l'attacco del 2003 a debian.org) un utente low level NON DEVE avere possibilità di far danni e ancora peggio di acquisire privilegi che non dovrebbero avere (se configurato ad hoc i permessi), questa cosa è possibile in tutti i SO, i sistemi unix offrono più sfumature.
In soldoni hai detto una porcata, se una cosa simile fosse stata resa pubblica ne avremmo viste delle belle, se una cosa simile fosse stata resa pubblica per windows poi figuriamoci.
Ehm se hai letto l'articolo non e' proprio cosi' visto che le 3 sfide si sono svolte parallelamente :)Quote:
Originally Posted by Mez
Il problema e' che Windows lo usa tuo fratello di 7 anni e quindi puo' fare nMila casini in piu'...
OSX solitamente oltre ad essere piu' sicuro di suo lo usa pure gente con un minimo di esperienza :)
Hai letto almeno come funziona? iniezione di codice malevolo tramite click di un link con abilitazione di safari ad eseguire codice, ne consegue apertura di una porta su cui telnettare.Quote:
Originally Posted by Hador
1) Se sei dietro un router che natta "ciao ciao"
2) Se hai il firewall integrato abilitato "ciao ciao"
3) se non hai abilitato il server telnet "ciao ciao"
Bene che abbiano trovato la falla, così la "tappano" :bow:
infatti anche a OSX fa bene star dietro ad un firewall non solo a windows come molti fanboy dicono :pQuote:
Originally Posted by Rob
non capisco le tue osservazioni cosa vogliono dimostrare, nessuno ha detto "OSX è un sistema non sicuro causa questa falla", semplicemente è una dimostrazione lampante, non che ce ne fosse bisogno è, che anche in osx come ogni SO capita ci siano falle e bachi gravi (non grandi).
In soldoni è solo un'arma anti fanboy PEEEEH SISTEMA MOLTO PIU SICURO, quando le certificazioni sono identiche e i bachi capitano in tutti i SO
Rob regge giusto la prima (che cmq non è sempre cosi') il resto sono cose non di defualt di OSX ma devi impostarle tu ;)Quote:
Originally Posted by Rob
Dov'è la novità? Si sa che nessun sistema, dal primo all'ultimo, è sicuro al 100%, anzi.
Se la "lollosità" sta nei 2 minuti, beh, suggerirei come peraltro ha fatto jarsil di andarsi a vedere CHI è questo miller :rolleyes:
Conosceva il bug da mesi e mesi e mesi e se l'è tenuto buono per vincere il premio ^^
A parte che se hai un router al 99,9% hai pure il firewall integrato del router, per abilitare il fw di OS X ci vogliono all'incirca 5 secondi e 3 click di mouse.Quote:
Originally Posted by Mosaik
Ti ricordo inoltre che quelle citate da rob sono condizioni sufficienti, non condizioni necessarie. Basta che una sia rispettata e "ciao ciao".
Cmq tanto di guadagnato, una falla in meno ^^,
Qualsiasi SO fa bene a stare dietro un router con NAT, questo in linea di principio.Quote:
Originally Posted by Hador
Detto questo è la stessa architettura di OSX che lo rende decisamente più sicuro di un XP ad esempio (vedo routine e processi lanciati come user senza privigledi di amministrazione o la possibilità sotto win di corrompere gli eseguibili di sistema, invece che "repliche utente" etc), ma ovviamente sistemi totalmente blindati ed esenti da attacchi non ne esistono e nemmeno possono esistere, non appena hanno una qualsiasi interfaccia verso l'esterno.
A parte il fatto che basta che una sola di quelle condizioni si avveri e questo exploit non funziona, ma se non erro vige la regola inversa: lo sharing, il server telnet e l'esecuzione degli scripts remoti devono essere impostati dall'utente, perchè lato SO sono disabilitati per default. Su questo ammetto di non ricordare esattamente, visto che ho installato il SO 2 volte, la prima nel 2004 (Tiger) e la seconda qualche mese fa (Leopard) acquisendo le impostazioni da Tiger :metal:Quote:
Originally Posted by Mosaik
Rob
è disinformazione, il livello di sicurezza stando alle certificazioni è identico (parlando di vista ma penso pure xp). Senza contare che la logica gruppi e privilegi dei processi di unix ereditata sia da linux che da osx è tutt'altro che perfetta, benchè più configurabile e immediata del sistema, analogo, in win.Quote:
Originally Posted by Rob
La cosa che fa ridere è che, anche su questo forum, alla prima notizia di bug ridicoli in sistema win (ultimo quello ridicolo dei programmi non supportati con l'SP1, 5 programmi di sicurezza non ancora aggiornati e la gente ci ha flammato sopra...) tutti a gridare allo scandalo, notizia baco piuttosto enorme in osx e tutti a cercare la giustificazione :sneer:
Tra l'altro giustificazioni ridicole, abbiate pazienza, fino ad una certa versione di win (non so quale, non recente cmq) tu potevi prendere un .exe, rinominarlo in altro file, tipo .jpg, e mandarlo in giro. Win apriva il .jpg col programma apposito, falliva e in automatico riconosceva che in realtà era un .exe e lo apriva col programma di default (lo eseguiva).
Quindi se avevi un .jpg rinominato in .jp te lo apriva cmq, peccato che ti poteva arrivare un immagine in allegato che in realtà fosse un virus.
Ora è come se dicessi "si bhe ma basta avere un antivirus che mi fa lo scan degli allegati di posta e non ho problemi, mica c'è da preoccuparsi".
Ok c'è un baco in safari che permette di accedere al sistema aprendo una porta Telnet: nella stragrande maggioranza dei casi non ci sono le condizioni per il quale questo possa funzionare, sono cioè condizioni create ad HOC per la prova! Se vuoi adesso paragonare questo ad altre falle sotto win ben più gravi accomodati pure, fai come credi.Quote:
Originally Posted by Hador
Detto questo, lungi da me parlare di perfezione nei sistemi (sono obbligatoriamente errati in qualcosa, anche solo perchè fatti da esseri umani), ma noto con piacere come i bugs sotto win sono reputati "naturali" mentre quando si trova anche la cazzata (perchè obbligare ad una condizione specifica per l'attacco non è il comune utilizzo del sistema) sotto OSX finalmente c'è chi può fare una sorta di "ahaaaa!!!"
Contento tu.. :kiss:
No Rob il discorso e'Quote:
Originally Posted by Rob
Bug per Windows = Che merda ... windows fa schifo.. Schermata blu.. virushh!!
Bug per Mac = ehhhh meglio cosi' almeno lo fixano...
Capisci che e' un po' diversa come cosa ;)
Un bug è sempre un bug = merda , ma un bug sfruttabile esclusivamente in una determinata situazione generata per l'occasione ed in pratica insusufruibile.. ed un bug che compromette il sistema anche solo con la ricezione della posta elettronica od un macro-virus capisci che suscitino, almeno nel sottoscritto, apprezzamenti diversi? :)Quote:
Originally Posted by Mosaik
per l'utente desktop senza dubbio, per un utenza professionale/sistemi i più pericolosi sono quelli del primo tipo, internet worm insegna.Quote:
Originally Posted by Rob
Le altre fall di win tipo? ovviamente senza tirare in ballo minchiate di win 98
mah io penso che alla fine ci siano bug tutto sommato "accettabili", stiamo sempre parlando di sistemi operativi non propriamente scritti con 2 righe di codice..
pero' mi pare, apparte l'intervento dell'utente che clicca siti o mail, che nessuno dei 2 abbia vulnerabilita' tali da prendere il controllo della macchina... si sta solo cercando il pelo nell'uovo
Scusa, di che parli? Intendo dire, anche se sei collegato direttamente alla rete con modem USB (sempre più rari) c'è il FW.. il codice deve essere autorizzato all'iniezione.. insomma se hai letto, il test nella modalità "macchina come arriva dalla fabbrica" non è mica stato superato..Quote:
Originally Posted by Hador
A me fa molta più paura la suite di Office sotto Win che tutto il resto (perchè office sotto OSX non esegue i macro, non essendo VB compliant)
Rob
P.S. possiamo anche chiudere qua.
mica è un baco, lamentarsi delle macro di office è come lamentardi di .exe contenenti possibili virus.Quote:
Originally Posted by Rob
Tu stai paragonando bachi di sistema a scelte, opinabili fin che vuoi, di progettazione.
E' come lamentarsi che un utente amministratore su unix possa ignorare i permessi di non scrittura e modificare file di configurazione/permessi in teoria non modificabili.
Scusa, ma cos'è un virsu se non un programma che si attiva e si esegue ad insaputa dell'utente? Ti ricordano nulla gli scripts nella posta elettronica (lanciati senza la minima sicurezza, in automatico, solo poi vincolati al click dell'utente? i macro virus?)Quote:
Originally Posted by Hador
Comunque non ho intenzione di continuare a dibattere, parliamo di cose su cui abbiamo visioni di base diverse, così come personalmente reputo idiota attaccare 2 sistemi con firewall attivo (win, linux) ed osx con firewall disattivo. ;)
Rob
Secondo me Hodor rosica del fatto che non ha un MAC :point:
Scherssssooooo! :sneer:
un virus è un programma che attacca un programma ospite modificandone il funzionamento.Quote:
Originally Posted by Rob
un trojan è un programma che fa alcune funzioni e di nascosto ne esegue delle altre non dichiarate
un worm è un programma indipendente che si installa "da solo", sfrutta falle e errori di progettazione dei vari programmi/SO (internet worm esempio).
La mala sicurezza di windows delle vecchie versioni è causata da errori di progettazione, nel non aver pensato che alcune funzionalità potessero essere sfruttate in modo malevolo, non sono bug del sistema e sono state corrette negli anni. Spesso dipendono da mala configurazione, basti pensare a SQL o PHP cazzo puoi combinare da stringa del browser se male configurati.
Non c'è da avere visioni diverse, da un lato si parla di sicurezza e falle all'interno del sistema operativo (nelle quale il primato a falle scoperte ed attacchi disastrosi lo mantiene unix/linux, non perchè sia mal progettato, ma perchè molta più gente cerca di forzarlo) utilizzate per prender controllo della macchina, dall'altro si parla di livello di chiusura di un sistema che lascia più o meno spazio all'utente abilitato di installare a sua insaputa software malevolo. Se io non ho le macro nei documenti word ho un livello di chiusura maggiore, faccio meno cose sono più sicuro. Quando avrai il tuo bel sistema trusted sarai felicissimo probabilmente, io bestemmierò in tutte le lingue.
Windows fino alle prime versioni di xp sottovalutava un sacco di problemi, ora tutte le macrostronzate che potevano esserci nel 98 e 2k non ci sono più da tempo, è più facile prendere un virus su win solo perchè ci sono molte più persone che scrivono virus per win, come l'estrema maggioranza degli attacchi che han come scopo l'acquisizione di privilegi di amministratore sono su unix/linux.
Mi ero ripromesso di non rispondere oltre, ma la tentazione è stata troppa: non è che il mondo funziona come dici tu, intendo dire che ad esempio i macro di office ci sono ambienti in cui NON PUOI disabilitarli (grandi aziende che fanno uso massiccio di documentazione molto elaborata, dove i macro sono essenziali per gli stessi), dove i documenti girano in posta elettronica e dove le rubriche interne collezionano migliaia di indirizzi.. non è il problema del singolo idiota che ti apre uno script lanciandolo solo perchè c'è scritto "I LOVE YOU", ma cosa questo scatena.. MS SQL aveva un bug gravissimo che permetteva a CHIUNQUE di accedere dalle sue porte standard.. ci sono stati dei difetti di progettazione indecenti, non si correggono mettendo un demone che ti chiede "il programma potrebbe essere pericoloso" tutte le volte che respiri.. non basta scrivere "i macro sono pericolosi, li vuoi usare?" .. ma cazzo, se spingi per certe features poi dai la colpa alla gente che le utilizza?Quote:
Originally Posted by Hador
Va beh ripeto, non ho voglia di discutere ancora, hai ragione a pensarla come la pensi.