Ender Wiggin:
Poštovní klienti dělají přesně to, že prohlížejí soubor dat co přišel (text) a zobrazí ho bez nějaké té hlavičky atd. (to lze udělat i textovým editorem) Text sám o sobě je neškodný.. Pokud je text html, tak tam jsou tagy atd, ale je to pořád neškodný text. Html se vyrenderuje a tagy se předělají na formátování.
Problémy jsou ale ty, že:
- oproti původnímu emailu je dnešní email rozšířen, aby mohl mít například přílohy. Pokud je v příloze exe soubor a někdo jej otevře/spustí, tak se daný soubor vykoná.
- další problém je v aplikaci která daný text reprezentuje. Sám text totiž nic neudělá a ani se sám nespustí ani kdyby uživatel chtěl.. Tzn se spustí aplikace, která vnímá obsah nějak specificky, html zobrazí jako web stránku. Pokud budu mít text "Smaž vše" a daný program, který toto přečte začne vše mazat, tak problém je v programu, protože to by dělat neměl. U html a js je problém ten, že js je scriptovací jazyk, který ve své podstatě nemá mít možnost pracovat se soubory (spouštět je atd).. Jenomže jak už to tak bývá tak v IE byla evidentně chyba, která umožnila, pokud si ve zprávě řekl "spust soubor", že spustila soubor. Pokud je v příloze ještě k tomu exe a ty ve zprávě řekneš, ať se spustí, tak útočník bude rád, protože todle přesně chtěl. Poslal ti vira a místo aby jsi ho musel sám spustit atd, tak v tom textu bylo řečeno, ať se spustí.
- to samé ale platí o všech programech, například ve své době se do (myslím že to byl) jpg dano na začátek vepsat kus spustitelného kodu. Což byl také bug který umožnil dělat zlé věci. Program jej zobrazil a umožnil spustit kod. Zde ale nejsem si jist, zda to byla chyba programu nebo jestli ten obrázek se choval jako binárně spustitelný..
Prostě jednoduše, pokud někdo objeví kritickou chybu, tak se tomu dá těžko bránit. Když chce být někdo extrémista, může emaily číst pomocí cat :-), ale stejně tu jsou chyby, které neovlivní... Pokud se dodržuje správná bezpečnostní politika, aktualizují se antiviry, používají se minoritní kvalitnější programy než je outlook a záplatuje se, tak se riziko sníží na minimum...
xfce: děkuji za odkaz. Netušil jsem, že v js byla někdy nějaká taková chyba, co uměla spouštět programy, byť ne obecně ale ve verzi od MS (jak jinak).
Jak z článku vyplynulo, tak je to bug a vzhledem ke stáří článku je již opraven...
Ale myslím, že důležité je si říct, že js dle specifikace samo o sobě soubory nespouští a ani nemá.
Pokud se aktualizuje a dodržují se určitá bezpečnostní pravidla, tak se nemusí přistupovat úplně k těm nejdrastičtějším opatřením... A hlavně platí pravidlo, že email sám o sobě není nebezpečný, nebezpečné jsou pouze spustitelné přílohy.
Netvrdím, že se nemusí nic spustit, tvrdím, že se nemusí spustit nic na lokálním stroji. :-D
Příklad:
Pokud si útočník na svém stroji spustí svůj vlastnosručně napsaný kouzelný magicguru program, zadá určitý příkaz, tak nemá šanci nikdo. kdož si čerstvě nainstaloval systém, připojil se k síti a nic neudělal. A bum, má ho tam.. :-) A takovej červík už tu jednou byl. :-)
Jde o to, že útočník vzdáleně na mašině přes nějaký bug může mít přístup k celému systému. Existuje vzdálená plocha.. Nějaká zadní vrátka a copak to tu ta cdromka provádí... :-)
Prostě nikdy si člověk nemůže být ničím jistý, riziko lze pouze snížit, ne eliminovat.
Bezpečný počítač je ten, který není připojen do žádné sítě, má vlastní zdroj napájení, bez periferií a je zabetonován ve velké krychli která nejde ukrást aniž by si toho někdo všiml.. A to nemluvě o hrubé síle a ukradení proti něčí vůli. :-)
Anketa
Téma: Viry v Linuxu (Přečteno 26704 krát)
