🚀 go-pugleaf

Ik hoop dat je het niet erg vindt als het commentaar op Borg aan Borg
gericht is. In feite is het hooguit een aanvulling op het commentaar van
James.

On Sat, 14 Jun 2003 19:38:31 +0200, James T Kirk� wrote:
>  The_Borg.geenspam@clubs.nl vond het wel aardig, om in artikel<3eea85e8
> $1@antivirus.darktech.org>, het volgende aan de usenetwereld mede te 
> delen
>> U NIX, Wij NIX
>> 
>> Hacking op Linux??
>> http://www.securityfocus.com/unix
>> Veel plezier!

Even van die site:
- Linux Kernel Fragment Reassembly Remote Denial Of Service Vulnerability
- Linux Kernel Privileged Process Hijacking Vulnerability

Wat een waardeloze site zeg. Er staat niet eens bij wanneer je bang moet
zijn voor een exploit van de vulnarability. Nee, dan:
http://www.secunia.com/advisories/8988/

Geeft iets meer info en geeft ook aan dat oudere kernels reeds gepatcht
zijn. Naast open source, is er ook een open communicatie. Problemen
mogen voor insiders best met naam genoemd worden. Zijn er overigens al
exploits bekend?

De overige zaken betreft vulnerablitities in secundaire software en een
configuratiefout. Software die lang niet altijd geinstalleerd of actief
is en software van een vendor waar ik niets van gebruik.

Niet echt zaken waar je niet bang voor moet zijn met Windows lijkt me.
Dergelijke vulnarabilities komen onder elk OS voor. Even buiten het feit 
dat de genoemde pakketten niet op mijn machine geinstalleerd zijn.

Even voor het historische verband, de volgende link:
http://www.porcupine.org/satan/

Ter info: SATAN is o.a. ontwikkeld door Wietse Venema, die man die ook
postfix en tcpwrappers heeft ontwikkeld, Tegenwoordig mag SATAN
misschien weinig meer uithalen, maar het was wel revolutionair. Een
programma om van buitenaf te testen of er servers open staan. En ca. 7
jaar voordat MS "security" ontdekte als een hot issue.

SATAN heeft mij geleerd dat de ergste security-vulnerability vaak de
beheerder is. Enkele boeken hebben mij nog een klein beetje paranoia
aangeleerd over software:

waarom zou de software van MS veilig zijn als ik er niet voor wil
betalen (antwoord: hij is "veilig" tot de eerstvolgende major upgrade,
daarna is hij niet meer supported. Ter vergelijking RedHat: de eerste
jaren is het systeem supported, daarna kun je kiezen tussen zelf
onderhouden of upgraden. Let op het nuance verschil.)

waarom zou linux veilig zijn als ik er ook niet voor wil betalen?
(antwoord: welk systeem denk je dat die ontwikkelaars gebruiken?)

Is linux veilig?
Nee, natuurlijk niet (er bestaat niet zoiets als "veilig"), maar het is
momenteel wel een systeem dat _mij_ de beste optie biedt op een systeem
waar ik de komende jaren veilig mee kan werken. 

>> De tijd is voorbij dat Unix en Linux onaantastbaar zijn.

Eind jaren 80 was de eerste internet worm actief. Hij had een
behoorlijke impact, maar haalde het niet bij het I-love-you "virus".
Deze wordt overigens aangehaald in het stukje.

In 1990 zijn verschillende unix-systemen getest en bleek meer dan 50%
vatbaar voor een DoS met een soort ruis op de netwerkpoort. In 1995
bleek dat de commerciele unices nauwelijks verbeterd waren. En Linux was
minder vatbaar dan op basis van prijs kon worden verwacht. En dat voor
een systeem voor hobbyisten...
[Unix and Internet Security - O'Reilly]

>> Tja, t'is freeware en open source.
>> Iets wat virusschrijvers niet is ontgaan en ze de kans biedt er dieper op in
>> te gaan en echte hacktools te maken. Geen lullig Windows-virusje maar echt
>> een stukje code dat een systeem laat doen wat je zelf wilt.

Sinds wanneer werken systeembeheerders met gebruikers en rechten? Hoe
lang zit dat al in 80% van de windowsinstallaties? Misschien dat veel
systeembeheerders er nu net mee kunnen werken. En hoeveel
thuisgebruikers loggen standaard in als administrator?

Inherente security is leuk, maar je moet er wel mee kunnen omgaan. Die
traditie wordt volgens mij onder Linux beter op z'n waarde geschat.
Veel windows administrators loggen nog altijd in als "administrator"...

Maar als je even open source gaat afkraken:
Jij vertrouwt software alleen omdat Bill zegt dat er naar gekeken is en
dat alles nu goed zit? Security by obscurity? Had je de misser bij
MS Password gemist? Dan heb je een secure toepassing door een bedrijf met
een bewezen verleden op het gebied van security, dat moet toch wel
vertrouwen geven...

>> Bij deze een boodschap aan de Linux-fans:
>> 
>> Doe niet zo neerbuigend tov. het Windows besturingsysteem!
>> Morgen zijn jullie aan de beurt!

Gaap, dat was gisteren al...
Er staan elke dag wagonladingen hackers aan de verschillende ports te
proberen binnen te komen.

>> Want dat Linux lek is, staat als een paal boven water. Alleen het vinden van
>> de lekken is de race, Wie is er eerder bij? De serieuse Linux-ontwikkelaar 
> of de honderden> wiseguys die wel eens een poging willen wagen 
> wereldwijd een
>> bestuirngsysteem op z'n knie�n te krijgen.

Heb je het over windows of linux?

>> Ik wil m'n geld er niet op vergokken, en beperk me tot het onvolprezen
>> windows besturingsysteem.  
> 
> Dat is je goed recht maar houd dan rekening met de consequenties.

Alternatief: je brengt het geld gewoon weg naar de monopolist.
Dan leef ik liever avontuurlijk en besteed ik mijn geld aan nuttiger
zaken ;-)

Want het totale aanbod aan software dat ik gebruik zou een aardig centje
kosten onder Windows...

>> Als je een beetje slim bent krijg je daar vanzelf
>> bericht wanneer er updates zijn. Bovendien is er ook nog eens echt over
>> nagedacht. Bij Linux is dat nog maar afwachten. Sommige software is uit de
>> kunst en prima gemaakt en zo veilig als een huis. Maar d'r zit software bij
>> daar zakt je broek echt van af.
> 
> Zeker, maar dat is bij MS (gebaseerde) software ook zo. Maar jij bent 
> het dan helemaal eens met wat de TCPM wil? Ik heb zoiets van, ik heb an 
> sich niks tegen windows, gebruik het zelf ook nog erbij, maar heb er 
> hekel aan als een bepaald bedrijf wil bepalen wat _ik_ met mijn computer 
> doe en dat is straks voor jou dus wel over met de TPM chip in jouw 
> hardware en Palladium op jouw systeem.

Even voor de goed orde:
Bepaalde categorien software daarvan weet je dat ze vol fouten zitten of
dat ze regelmatig aangepast moeten worden. Daar houd je rekening mee bij 
het gebruik. Daarvoor worden onderhoudscontracten afgesloten. 

Waarom zou MS bij MS-produkten een onderhoudscontract willen: 
een gegarandeerde geldstroom!

De grootste verbetering van W2000 naar W-XP was toch die licentie?
En als je het OS upgrade, moet je toch ook een nieuwe versie Office?
Waar denk je dat de winst van MS vandaan komt? 

Ik gun elk bedrijf winst, maar winst in een redelijke verhouding tot de
omzet. Boven een bepaalde verhouding denk je toch eerder aan oplichting. 

Je weet dat een bedrijf gericht is op winstgroei?
Dat biedt perspectieven...

En TCPM biedt ze ook nog volledige controle...

>> Nog een mazzel dat virusschrijvers Linux als een niet interessant OS
>> beschouwen. 
> 
> Volgens mij gaat dat ook niet gebeuren. Ondanks dat er steeds meer 
> migraties zijn naar Linux... 

Volgens mij zijn virussen altijd nog een deel van de kosten voor het
beheer van een computerpark. Tenminste als e.e.a. beheerd wordt.

>> Daarom twee interessante URL's:
>> http://www.securityfocus.com/infocus/1695

Enkele quotes:
"especially a desktop machine used by a single individual who always runs
as root. Unix is not and never has been automatically secure."

Mensen die als altijd root inloggen mogen van mij direct windows over
linux installeren. Zelfs met Knoppix (Linux vanaf CD) werk je niet als root.
Dergelijke mensen leren het nooit. Je moet normaliter moeite doen om een
systeem te installeren zonder een gebruikers-account.

>> http://www.securityfocus.com/infocus/1698

"I'm safe from viruses because I know enough about security to be sure
that...
This group of misconceptions is almost harder to eradicate, because it's
rooted in some awareness of reasonably sound security principles."

Les 1 in security:
weet wat je wilt beschermen, tegen wie en wanneer je systeem mag falen.
Mijn antwoord op bovenstaande zou zijn dat ik een klein beetje weet van
de risico's, dat mijn systeem wel zaken bevat die ik liever niet
kwijtraak, maar geen gevoelige gegevens. Verder weet ik in elk geval
welke systemen "trusted" zijn. En ik weet wat het systeem mij mag
kosten.

Ofwel: hook-line-sinker, ik ken enkele basisprincipes, dus heb ik
volgens de schrijver van dat stuk last van "misconceptions" die moeilijk
uit te roeien zijn?

Verder niets over linux wat ik zo snel kon zien.

>> Deel 3 verschijnt binnenkort.
>> Leesvoer!
> 
> Ik ben zo vrij geweest, e.e.a te X-posten naar de groep met de �chte 
> kenners...

Ik ben geen kenner, ik ben een echte hobbyist. En ik wil veel tijd
overhouden voor andere hobbies. De meeste tijd ben ik ook gewoon een
gebruiker van het systeem.

> Dus heren en dames, wat zeggen jullie hier van? Ik ben natuurlijk nog 
> lang niet echt een kenner, zeker niet op virusgebied, daar is vriend 
> Borg kenner in, d.w.z. op Windows gebied, het is namelijk zijn vak.

Condoleer hem er maar mee.

Van alle systeembeheerders die ik ken zijn er weinig die ik zou
vertrouwen een "veilige" windows-machine neer te zetten. En als ik een
veilige linux-installatie wil hebben zet ik zelf de lat hoger, om die
reden zou ik ook weinig linuxgebruikers vertrouwen een veilig systeem
neer te zetten.

Na kennismaking met werkmethoden en eerder geinstalleerde servers zou
het vertrouwen in Linux systemen sterk verbeteren. Bij Linux wel.
Bij Windows is er nog een belangrijke derde partij bij betrokken. De
systeembeheerder kan simpelweg niet zelf garenderen dat het systeem
secure is.

Met vriendelijke groet,
Huub

PS verhalen zonder links zijn normaliter meningen en dragen hooguit bij
aan FUD. Dat verhaal aan security focus scoort hoog in FUD-gehalte.