viry v Linuxu?!

[inuendo]

http://technet.idnes.cz/pocitace-s-linuxem-ohrozuje-vir-ktery-se-siril-bez-povsimnuti-pul-roku-1nn-/software.asp?c=A100614_183350_software_vse
..a co na to odborníci ...
..panikařit nebo "nás se to netýká ?"

[Kaddur ibn Sadin]

Nevim jak vás ale mě určitě ne protože používám Windows ME a na ně viry už asi nikdo nešíří

[RNA]

           děkuji velice, za tuto zprávu, po vyčerpávajícím pondělku v práci jste mi dokonale zvednul náladu.

[donny]

Ed Bott na svém blogu na serveru ZD NET z toho vyvozuje, že pomalu končí éra, kdy se mohli uživatelé Linuxu cítit bezpeční.

nebo taky končí éra, kdy budou lidi důvěřovat každýmu blbci, kterej říká, že ví, co dělá, a ani nedokáže pravidelně kontrolovat md5sumy souborů, u nichž zaručuje nějakou bezpečnost.

[Kaddur ibn Sadin]

1, šíření poplašný správy
2, podvod záměrné uvedení v omyl organizovanou skupinou

[oyankee]

Erudovaná diskuze pod článkem je lepší nářez :-). To je na ruma.

[vhejda]

 
smazat a zničit...  

[Vojtěch Trefný]

Ed Bott na svém blogu na serveru ZD NET z toho vyvozuje, že pomalu končí éra, kdy se mohli uživatelé Linuxu cítit bezpeční.

nebo taky končí éra, kdy budou lidi důvěřovat každýmu blbci, kterej říká, že ví, co dělá, a ani nedokáže pravidelně kontrolovat md5sumy souborů, u nichž zaručuje nějakou bezpečnost.

Přesně tak.

[arrange]

Je možné ručit za všechny mirrory, na kterých se jejich produkt objeví?
http://forums.unrealircd.com/viewtopic.php?t=6566

[donny]

Je možné ručit za všechny mirrory, na kterých se jejich produkt objeví?
http://forums.unrealircd.com/viewtopic.php?t=6566

Pokud to jsou oficiální mirrory, tak samozřejmě že ano. Samozřejmě, že si můžu hrát na oficiální mirror a nabízet zavirovanej open-source software, ale už záleží na inteligenci uživatelů, jestli si to ode mě stáhnou nebo ne.
Navíc tohle, co tam píšou, to prostě měli udělat už dávno. Zas na druhou stranu tím na takový problém upozornili a ostatní si na to třeba budou dávat větší pozor.

[arrange]

OK, díky za info.

Pro mě jako laika je zajímavé, že píše, že "Fourth, we'll only serve the files from the main site for now. While the mirror admins did not have any blame in this, it does mean we only have to protect our own site(s).", ale pokud se někdo někomu nabourá na server, tak je to přece jeho chyba, ne moje (i když na druhou stranu bych asi měl "pravidelně kontrolovat md5sumy souborů" na všech (oficiálních) mirrorech).

[donny]

OK, díky za info.

Pro mě jako laika je zajímavé, že píše, že "Fourth, we'll only serve the files from the main site for now. While the mirror admins did not have any blame in this, it does mean we only have to protect our own site(s).", ale pokud se někdo někomu nabourá na server, tak je to přece jeho chyba, ne moje (i když na druhou stranu bych asi měl "pravidelně kontrolovat md5sumy souborů" na všech (oficiálních) mirrorech).

Já jsem v tomhle taky laik, ta myšlenka, kterou píšeš, tak to je přesně ta moje, hlavně tedy ta poslední závorka - přece není možné, abych to jako "autor" nekontroloval a nechal lidi stahovat zavirovanej MŮJ software - ostudu a problém z toho budu mít akorát já, tak si to prostě hlídat musím.

[f-m]

Předem bych chtěl upozornit, aby jste tento můj příspěvek brali jako příspěvek začátečníka.

Toto mě odradilo od nasazení ubuntu na můj notebook. Poslední dobou jsem se o linux a hlavně ubuntu dost zajímal, četl různé články a pročítám knihu ubuntu 10.04. Zkoušel jsem live cd a po vyzkoušení live verze systému jsem byl ubuntu unešený a začal se mi dost líbit.

Jenže jsem trochu paranoidní a po přečtení článku jsem změnil názor a přemýšlím, že raději zůstanu u vist nebo přejdu na win 7.

Kdo mi zaručí, že iso stažené z těchto stránek (www.ubuntu.cz) je bezproblémové, a doopravdy na něm nic není? Že se nemůže stát něco podobného jako u toho programu, nebo že tvůrci tam něco schválně neumístily.

U softwaru je to ještě horší. U win stačí stahovat jen z oficiálních stránek známé a prověřené programy a po stažení je projít na virustotal.com a mám jistotu že nic nechytím (šance je malá.).
U linuxu toto nejde. Tam se to stahuje (pokud jsem to dobře pochopil) přes "Centrum softwaru pro Ubuntu" (Aplikace→Centrum softwaru pro Ubuntu). Kde si kliknu na program a ten se pak z táhne někde z nějakého pochybného serveru kde jsou softwary umístěné a rovnou nainstaluje. (asi něco jako u win stahuj.cz). Nemám žádnou šanci jej nějak prověřit.
Kontroluje někdo software který je tam nabízen? Jakou mám jistotu že se mi takto nedostane do pc něco škodlivého?
Jak je to všechno ošetřeno?
Jak bezpečně stahovat a instalovat software?

Na linux prý neexistuje malware. Kdo mi ale zaručí že je to doopravdy pravda? Jelikož se v linuxu nepoužívá antivir, takže se může plno malwaru dobře šířit a většina uživatelů o tom ani neví a nemá šanci to zjistit.

Přece jen soft pro linux a i samotný linux je free (zdarma), což může být dost pochybné a třeba u win se takto šíří různý malware.

Ubuntu se mi hoodně líbí a chtěl jsem přejít, ale těch už jsem na pochybách a nejsem si tak jistý jestli to bude dobrá volba.

[Vojtěch Trefný]

Odpověď je jednoduchá -- pokud důvěřujete Canonicalu a vývojářům Ubuntu, jsou pro vás důvěryhodné i ISO obrazy stažené "od nás" i software z Centra, protože toto vše je pouze mirrorováno z releases.ubuntu.com (ISO obrazy) resp. archive.ubuntu.com (softwarové balíky) a dostatečně chráněno pomocí podpisů a součtů (vše je na straně serveru pravidelně kontrolováno a zároveň to vždy kontroluje rovnou při instalaci správce balíků).

To, jestli důvěřujete vývojářům, že vše správně zabalili a prověřili je věc jiná, ale vězte, že na cestě mezi vývojářem a vámi je pravděpodobnost podvržení nulová.

PS: Výše popsaný problém je výsledkem toho, že nikdo nekontroloval daný mirror (což je debilita správců) a zároveň se jednalo o zdrojové balíky, které si každý instaluje ručně (tj. kontrola součtů nedělá automaticky nějaký správce balíků, ale měl by si ji udělat sám uživatel (to, že neudělá je už jeho blbost).

[donny]

Kdo mi zaručí, že iso stažené z těchto stránek (www.ubuntu.cz) je bezproblémové, a doopravdy na něm nic není? Že se nemůže stát něco podobného jako u toho programu, nebo že tvůrci tam něco schválně neumístily.

Postačí jednoduchá kontrola MD5 součtu staženého obrazu (co je MD5) proti souboru http://releases.ubuntu.com/lucid/MD5SUMS (návod v AJ) nebo z jiného serveru (např. https://help.ubuntu.com/community/UbuntuHashes ) , případně využít jiné možnosti kontroly dat - na http://releases.ubuntu.com/lucid/ jsou i GPG signatury (návod v AJ). Opět se jistě dají tato kontrolní data nalézt na nezávislých serverech.

U softwaru je to ještě horší. U win stačí stahovat jen z oficiálních stránek známé a prověřené programy a po stažení je projít na virustotal.com a mám jistotu že nic nechytím (šance je malá.).
U linuxu toto nejde. Tam se to stahuje (pokud jsem to dobře pochopil) přes "Centrum softwaru pro Ubuntu" (Aplikace→Centrum softwaru pro Ubuntu). Kde si kliknu na program a ten se pak z táhne někde z nějakého pochybného serveru kde jsou softwary umístěné a rovnou nainstaluje. (asi něco jako u win stahuj.cz). Nemám žádnou šanci jej nějak prověřit.

Tak, tohle právě vůbec není pravda. Software se instaluje pouze zejména z ověřených repozitářů, které jsou digitálně podepsány a spravovány buďto přímo Canonicalem nebo komunitou (vězte, že kontrola v komunitě je mnohonásobnější než ve kterékoli firmě), oni ručí za naprostou čistotu a bezchybnost dat. Samozřejmě, že si člověk může přidat i nějaký neoficiální nedůvěryhodný repozitář, pak už je to a la stahuj.cz.

[f-m]

To znamená tedy, že když budu instalovat programy jen přes to "Centrum softwaru pro Ubuntu" a zdroje nechám nastaveny tak jak jsou v defaultu a nebudu nic měnit ani přidávat, tak mám jistotu že bude vše ok?
Popřípadě budu instalovat jen snámé programy klasickým stáhnutím ze stránek výrobce (opera, skype atd, tyto programy tam myslím nejsou, aspoň co jsem se v live systému díval)

O té kontrole MD5 jsem už něco četl, ale že by se mi zrovna do toho nějak chtělo... Ten článek je v aj, což není moje silná stránka a ještě ve win je potřeba instalovat nějaký doplňkový soft. Raději bych rovnou stáhnul iso a instaloval, nedá se to bez toho?

Jinak díky za pozitivní odpověď.

[donny]

To znamená tedy, že když budu instalovat programy jen přes to "Centrum softwaru pro Ubuntu" a zdroje nechám nastaveny tak jak jsou v defaultu a nebudu nic měnit ani přidávat, tak mám jistotu že bude vše ok?
Popřípadě budu instalovat jen snámé programy klasickým stáhnutím ze stránek výrobce (opera, skype atd, tyto programy tam myslím nejsou, aspoň co jsem se v live systému díval)

Ano.

O té kontrole MD5 jsem už něco četl, ale že by se mi zrovna do toho nějak chtělo... Ten článek je v aj, což není moje silná stránka a ještě ve win je potřeba instalovat nějaký doplňkový soft. Raději bych rovnou stáhnul iso a instaloval, nedá se to bez toho?

Jak psal Vojta, instalační program kontroluje validitu sám, takže kontrola uživatelem není potřeba. To jsem si já neuvědomil, proto jsem to vzal tak zeširoka.

[Vojtěch Trefný]

To znamená tedy, že když budu instalovat programy jen přes to "Centrum softwaru pro Ubuntu" a zdroje nechám nastaveny tak jak jsou v defaultu a nebudu nic měnit ani přidávat, tak mám jistotu že bude vše ok?

Ano.

Popřípadě budu instalovat jen snámé programy klasickým stáhnutím ze stránek výrobce (opera, skype atd, tyto programy tam myslím nejsou, aspoň co jsem se v live systému díval)

Některé jsou ve zdrojích, ale instalací ze stránek výrobce nic nezkazíte.

O té kontrole MD5 jsem už něco četl, ale že by se mi zrovna do toho nějak chtělo... Ten článek je v aj, což není moje silná stránka a ještě ve win je potřeba instalovat nějaký doplňkový soft. Raději bych rovnou stáhnul iso a instaloval, nedá se to bez toho?

Pokud budete stahovat obrazy z oficiálních zdrojů (sem bych si dovolil zařadit i naše stránky a servery) není se třeba bát. (Ale jinak - CD umí zkontrolovat i samo sebe -- http://wiki.ubuntu.cz/Kontrola%20kvality%20CD (obyčejně se ale kontrola MD5 používá spíš k zajištění správného stažení (ISO obrazy se mohou při stahování poškodit)).

[Richie]

Ta diskuze k článku je genialní!! vřele doporučuju odkaz http://www.feministky.com/jaky-pocitac-si-vybrat
 

[f-m]

Ale jinak - CD umí zkontrolovat i samo sebe -- http://wiki.ubuntu.cz/Kontrola%20kvality%20CD

jj..procházel jsem wiki a o tomto vím, nevěděl jsem ale, že je to ta stejná kontrola pomocí MD5. Myslel jsem že si to jen nějak testne jestli se dobře iso stáhlo, né jestli není "nějak špatné".

Díky.

[donny]

jj..procházel jsem wiki a o tomto vím, nevěděl jsem ale, že je to ta stejná kontrola pomocí MD5. Myslel jsem že si to jen nějak testne jestli se dobře iso stáhlo, né jestli není "nějak špatné".

Je to přesně tak, správnost CD zkontroluje právě podle md5sum.

[Vojtěch Trefný]

Ale jinak - CD umí zkontrolovat i samo sebe -- http://wiki.ubuntu.cz/Kontrola%20kvality%20CD

jj..procházel jsem wiki a o tomto vím, nevěděl jsem ale, že je to ta stejná kontrola pomocí MD5. Myslel jsem že si to jen nějak testne jestli se dobře iso stáhlo, né jestli není "nějak špatné".

Díky.

Kontrola MD5 zjistí jen, jestli ISO je přesně stejné jako ve chvíli, kdy bylo vytvořeno -- to, jestli bylo změněno úmyslně nebo došlo k chybě při stahování se takto zjistit nedá.

[donny]

trošku OT: Vojto, takže to instalační CD kontroluje součet, kt. někam do metadat CD zapíše vypalovací program, se "současným" součtem? Když tak nad tím přemýšlím, tak na .iso vlastně ani nemůže být uložený jeho vlastní md5sum (nebo jiný hash), to by se nedalo spočítat.

[f-m]

Aha díky moc. Mě bylo akorát divné, že u té kontroly z cd se nemusí vkládat ten hash klíč který je zde, jako je tomu při kontrole z windows. (pokud jsem správně pochopil z moji špatné angličtiny jak se to provádí)

Každopádně díky za odpovědi, nakonec jsem změnil postoj k linuxu a znovu přemýšlím nad jejím použitím.

[Yontalcar]

trošku OT: takže to instalační CD kontroluje součet, kt. někam do metadat CD zapíše vypalovací program, se "současným" součtem? Když tak nad tím přemýšlím, tak na .iso vlastně ani nemůže být uložený jeho vlastní md5sum (nebo jiný hash), to by se nedalo spočítat.

na instalačním CD jsou hashe zbytku obsahu CD

@f-m
pokud chceš mít super jistotu, mužeš si objednat lisované CD  (tady by cracker musel "unést" stránku s objednávkou, vytvořit potištěné lisované CD s patřičným obalem a poslat to poštou)