Re: Ашманов захватил власть в этой стране

["Konstantin Boyandin" <ezh@ezhe.ru>]

On Sat, Feb 5, 2022, at 6:24 AM, ezh@ezhe.ru wrote:
>> Крайние точки зрения (знаменитые флеймы, какая ОС лучше) никогда не
> отражали действительного положения вещей. // Бояндин.
>
> Да, но послужили основанием для создания популярных мифов, которые в итоге в
> виде настоящих мозговых вирусов поражают мозги министров и премьеров - не
> без помощи злонамеренных советников и советчиков.

Поражать поражают они всех - просто масштабы последствий разные.

>> Что значит, "всё чисто"? Уязвимости были, есть и будут, о них регулярно
> сообщаются на соответствующих ресурсах - некоторые обнаруживаются много лет
> спустя их фактического появления. Чисто или нет, решать пользователю. //
> Бояндин.
>
> Если дело касается так называемой критической инфраструктуры и обороны - не
> пользователю.

Вероятно, стоило уточнить, что речь о "среднем пользователе". Иначе так мы договоримся до того, что государство должно конкретно всем без исключения повелевать, что кому ставить на какие устройства.

>> У открытого кода есть два преимущества перед проприетарным (закрытым):
> - когда ОС или её компоненты в открытом коде, их значительно проще
> анализировать, в т.ч. на возможные уязвимости  // Бояндин.
>
> Мы имеем несколько компаний, занимающихся инфобезопасностью, жена моя в этой
> сфере - с 1994 года.
> Так вот, сюрприз, профессионалы знают, что это давно уже не преимущество, а
> кардинальный недостаток. 
> Уже 12-15 лет открытость кода означает гораздо более быстрое появление
> уязвимостей - так как код "значительно проще анализировать" в первую очередь
> злодеям.

Смотрю на это со своей кочки зрения и вижу: за 20 лет поддержания довольно сложного зоопарка разных ОС в нескольких достаточно крупных локалках мы ни разу не огребали серьёзных проблем даже с того FOSS, для которого находились все эти "0-day" и всё прочее. И что мы делали не так? Почему не было ни единого инцидента с утечкой данных, масштабным вирусным поражением, всем таким? При том, что попыток было и есть великое множество, всевозможные системные журналы не дадут соврать. Нашу безопасность "щупают" (что характерно, в основном из Китая, и только потом из США) беспрерывно, сотни тысяч попыток в сутки - а мы, в принципе, мелкая компания, кому до нас может быть дело?

"Не люблю я кошек - шерсть от них и запах. -- Да вы их просто готовить не умеете". Нужно просто, чтобы решением, что использовать, таки занимались эксперты. 

>> - поскольку все без исключения мало-мальски популярные программные
> продукты с открытым кодом используют контроль версий, можно понять, кем и
> когда была внесена конкретная правка  // Бояндин.
>
> Это не помогает или помогает редко. Этот "кто" может быть основателем
> проекта, например. Или прикомандированным сотрудником. И никто не будет
> проверять его код. Да и проверить обычно очень трудно.

У меня другая информация, как принято говорить. Бывает, что это помогает. 

В случае проприетарного кода всё, что вы можете - это молиться, чтобы обнаруженный злонамеренным умником "0-day" успели зашпаклевать прежде, чем вы огребёте в полный рост. 

Так что упомянутые два преимущества остаются преимуществами. Меня моя практика в этом прекрасно убеждает, у других людей, естественно, практический опыт может быть иным.

> Напомню известную историю с Линуксом, лет 15 тому, когда кто-то внёс в код
> серверного Линукса небольшую правку, и людям из основной группы, настоящим
> "авторам" Линукса, показалось, что что-то не так с правами доступа. 
> Коммитер чуть-чуть их превысил. В этом была его ошибка.
> Они ДВА ДНЯ читали свой же код, модифицированный этим коммитером, буквально
> ДВЕ СТРОЧКИ. И наконец с трудом поняли, что это очень хитрая, невидимая
> закладка, позволяющая перехватить управление сервером при комбинации
> некоторых внешних условий.
> И это авторы читали СВОЙ код.

Ну и что может доказать единичный случай? Приведите статистику, сколько раз другие авторы обнаруживали подобную диверсию намного более оперативно. Тогда будет о чём спорить.

> Это означает, что те, кто у нас "проверяет исходники" и "сертифицирует"
> Венду с её 100+ миллионами строк кода или Линукс с его 40 миллионами строк -
> делают просто формальную работу для галочки. Галочка, естественно,
> зарабатывает на этом миллиарды рублей.
> Но найти закладки такого рода в ЧУЖОМ коде - практически нереально.
> Особенно, если вносили доверенные лица, основатели, "люди ядра" и т.п.
> При этом закладка вообще может быть бинарной - с ответной частью в
> процессоре, эту вообще не найдёшь.

Про "железную" часть я не говорю. С ней вообще труба, если там что и есть - обнаружить, пока оно не проснулось, практически нереально.

А программная закладка может быть сложной, многокомпонентной и очень грамотно построенной - что уже говорил в предыдущем письме.

> Известная история про нерандомный рандомный счётчик, на который вы дали
> ссылку - тоже показательна. Там неспроста много разговоров о том, что "это
> точно была не закладка, потому что её автор же такой уважаемый, его потом
> даже повысили", почитайте.
>
>> Это касается и проприетарного софта ровно в той же мере - но проприетарный
> софт намного сложнее эффективно анализировать на возможные вредоносные
> вставки, оттого и может возникать иллюзия, что-де с кодом от крупных
> корпораций (который вы никогда не увидите воочию) всё намного лучше. 
>
> Нет с проприетарным лучше не поэтому, а потому что внедрение закладок и
> троянов в чужой закрытый код труднее для внешних хакеров. 
> Если же внедряет основной разработчик, да ещё по приказу спецслужб - то это
> более или менее без разницы, что в открытом, что в закрытом хрен найдёшь.

Опять неуместное обобщение. Повторю ещё раз.

Найти такие добавления в FOSS шансов больше просто по определению - вот он, код; вот она, история. Трудности с поиском могут быть значительными, но шансов всё равно больше.

Что касается проприетарного - вы ведь всё равно не в курсе, сколько доблестных "индусов" вносят ежедневно туда тонны чудных уязвимостей, и у кого есть несанкционированный доступ к их коду. Вы этого просто не знаете и не узнаете.

У вас только одно спасение - абсолютно всё делать самому. Что де факто нереально.

> Ну и надо помнить, что весь открытый код сейчас разрабатывается не
> легендарным и мифологическим "мировым сообществом", а в основном людьми в
> штате американских суперкорпораций, скажем, РедХат - в ИБМ и т.п.
>
> Поэтому иерархия там на самом деле такова:
>
> - хуже всего американский процессор,
> - кардинально плох американский BIOS / UEFI,
> - очень плох закрытый код от американской корпорации,
> - ненамного лучше открытый код от американской корпорации,
> - немного лучше СВОЙ "стерилизованный" форк открытого кода, который больше
> НЕ скачивает апдейты,
> - лучше всего СВОЙ закрытый код.
>
> Платность здесь вообще не при чём. Речь не о деньгах, а о безопасности. 

Я употреблял слово "проприетарный", если что. Так точнее. И в большинстве случаев это - платный софт.

Свой закрытый код в этом смысле, конечно, лучше, одна беда: его ровно так же нужно поддерживать в безопасном состоянии, если есть хоть какой-то обмен с внешним миром. А так  - не спорю, то самое 50-е правило Тёмного Властелина в полный рост.

> Мы воюющая страна, так что код врага - зло в любом случае, открытый он или
> закрытый.

Вообще-то первое правило любого специалиста по информационной безопасности - ничего не предполагать. Как следствие - считать *весь* код потенциально опасным и враждебным. Нормальная такая последовательная паранойя. В моём случае замечательно работает, за других говорить не буду.

> Приведу другой, более понятный пример-аналогию: любой современный автомобиль
> известной марки и дорогого класса сейчас имеет в себе полсотни ОС, навсегда
> встроенный и оплаченный доступ в Интернет, удалённое управление, отправляет
> производителю данные об износе, стиле вождения, географии маршрутов. Может
> быть выключен удалённо в любой момент.
>
> Это может делать производитель, хакер, перехвативший протокол - ну и
> спецслужбы США и ЕС, естественно:
> https://www.iguides.ru/main/other/v_evrope_razrabatyvayut_sistemu_udalennogo
> _vyklyucheniya_dvigateley_avtomobiley/

"Умная" розетка может по чьему-то (не моему) приказу отключить или выключить что в неё включено - и устроить в моём доме катастрофу - как только примерно такая истина доходит до людей (а доходит до немногих), подобные новости про автомобиль  уже не ужаснут.

Чем дальше распространяются "умные" вещи и цифровые технологии, тем меньше их производители думают о безопасности. А даже если и думают - то не в первую очередь. Где-то когда-то мелькала заметка про ботнет из "умных лампочек".  Теперь это уже не кажется дурацкой шуткой.

Под угрозой атаки все. Увы, и "врагом" могут оказаться те самые хакеры (в общем смысле), которые исполняют не волю Белого Дома, Союза Девяти или кто там у нас сейчас правит миром - а просто ради прикола.

> Ну и вот, мы, по сути, находимся в стадии холодной войны с США и ЕС, а
> надвигается и горячая война. 
> Это значит, что как бы ни было удобно заднице в Вольво, БМВ, Ауди и Мерсе,
> Шевроле, Джипе, Рэндж Ровере и Кадиллаке, Тойоте. Инфинити и Мицубиси, всем
> чиновникам, депутатам, генералам, мэрам, кто является "критической
> инфраструктурой" государства, надо пересаживаться на УАЗы, Соболи, Тигры,
> БМП, КамАЗы, ну или на Аурусы на крайняк. И не летать на Боингах.

А что, в наших машинах, в нашем оборудовании нет управляемой дистанционно техники? Это не к тому, что не согласен с процитированным выше - к тому, что мне лично, как человеку и гражданину, глубоко фиолетово, кто именно отправит мой автомобиль в попутный фонарный столб - злокозненный забугорный автоконцерн или отечественные компании.

> Можно пытаться "стерилизовать" БМВ и Мерсы, но значительно лучше - СВОЁ.
> Потому что речь о безопасности, а не об удобстве возить задницу.

В идеале да - когда всё своё, с безопасностью станет лучше. Но это вряд ли можно осуществить, не становясь Робинзоном Крузо.

Кстати, чисто из праздного любопытства - какие ОС используете в жизни и на работе?

Будем здоровы!
Константин 

Оценить письмо Reputatio: http://ezhe.ru/reputatio/880446d812