Компутеры и околокомпутерные разговоры
47,097 129
 

  agt21 ( Слушатель )
28 ноя 2008 19:21:25

Тред №67256

новая дискуссия Дискуссия  707

Перенес дисскуссию с ветки Современные российские ВС

Цитата

Цитата

Цитата
...
и ситуация с безопасностью там абсолютно та же что и на NT4.
...



А с этого места можно поподробнее?
Для несведующих поясню, почему любые винды ставятся и возможно будут ставиться только на отдельные рабочие места, или на не имеющие выхода в сеть группы. Невозможно обеспечить весьма многочисленные требования по разграничению доступа и сохранению секретов.



Цитата
Цитата
А с этого места можно поподробнее?
Для несведующих поясню, почему любые винды ставятся и возможно будут ставиться только на отдельные рабочие места, или на не имеющие выхода в сеть группы. Невозможно обеспечить весьма многочисленные требования по разграничению доступа и сохранению секретов.



Семейство OS Windows NT (в отличие от Windows 9x) совместимо со стандартом POSIX 1.1. Файловая система NTFS имеет вполне нормальную систему разграничения доступа, ничуть не хуже чем в Unix'ах. Система разграничения доступа в сетевых папках тоже вполне нормальная. Т.е. организовать нормальную безопасную в секьюрном отношении среду на базе OS семейства Windows NT вполне реально...

Нужно только иметь правльно настроенные устройства /dev/hands и /dev/mosk ...Подмигивающий



Цитата
Цитата
Семейство OS Windows NT (в отличие от Windows 9x) совместимо со стандартом POSIX 1.1. Файловая система NTFS имеет вполне нормальную систему разграничения доступа, ничуть не хуже чем в Unix'ах. Система разграничения доступа в сетевых папках тоже вполне нормальная. Т.е. организовать нормальную безопасную в секьюрном отношении среду на базе OS семейства Windows NT вполне реально...

Нужно только иметь правльно настроенные устройства /dev/hands и /dev/mosk ...



Замечательно излагаете, только какое это имеет отношение к мандатному принципу разгараничения доступа ко всему. Папки, да, это круто, а сокеты, пакеты и прочая, с этим что делать?
Ну, и еще вопрос, как в Windows "убить" суперпользователя с учетной записью "администратор"?
Для несведующих сообщаю, что в документации на МСВС прямо указано, что учетная запись root может быть использована только заводчанами (точнее написано, что не может быть использована, для чего в состав некоего пакета, который можно получить вместе с МСВС входит специальная приблуда downroot, после наката которой этот самый root лишается своего доступа ко всем ресурсам компьютера/сети, и вернуть ему полномочия невозможно НИКАК!).



Цитата
Цитата
Замечательно излагаете, только какое это имеет отношение к мандатному принципу разгараничения доступа ко всему. Папки, да, это круто, а сокеты, пакеты и прочая, с этим что делать?



А это к файерволлу... Таки да в ядре Windows файерволла нормального нет...Грустный Можно купить ISA 2000, например... Штатный MicroSoft'овский... Или какой-нибудь другой... Можно даже и не купить, а просто поставить...

Цитата
Ну, и еще вопрос, как в Windows "убить" суперпользователя с учетной записью "администратор"?



У суперпользователя с учетной записью "администратор" можно поменять имя... Например "А____" ...  Делается это в групповых политиках

Цитата
Для несведующих сообщаю, что в документации на МСВС прямо указано, что учетная запись root может быть использована только заводчанами (точнее написано, что не может быть использована, для чего в состав некоего пакета, который можно получить вместе с МСВС входит специальная приблуда downroot, после наката которой этот самый root лишается своего доступа ко всем ресурсам компьютера/сети, и вернуть ему полномочия невозможно НИКАК!).



root'ом может быть ЛЮБОЙ пользователь с uid=0. Если нет никакой возможности дать пользователю такой uid тогда да - root убит намертво... Только ... Это ведь Unix... Если НЕЛЬЗЯ, но ОЧЕНЬ хочется, тогда - обычно МОЖНО...Подмигивающий

Только я не понимаю, какое такое особое значение имеет наличие/отсутствие суперпользователя ? Он есть всегда ... Какое бы у него ни было имя...

Вопросы безопасности - это целый комплекс проблем, которые решаются ТОЛЬКО "компромиссно", обычно сугубыми профессионалами и причем таким образом, чтобы работать все-таки можно было...Веселый

А то на какой операционке это реализовано - по-моему, больше вопрос вкуса...Подмигивающий



  • +0.00 / 0
  • АУ
ОТВЕТЫ (32)
 
 
  Мимохожий ( Слушатель )
02 дек 2008 11:34:36
Ладно, в порядке оживления темы - "подкинем дровишек"...Подмигивающий

Ну, не скажите...Подмигивающий
Есть такая хорошая поговорка: "админ, который держит *nix'а на рабочих станциях - мазохист, админ, который держит некрософт на машинах бэкбона - педер ...э-э-э... сторонник нетрадиционных форм сексуального удовлеторения".

Это я к тому, что каждая система хороша ровно на своём месте, и место некрософта - только и исключительно на рабочих станциях, а никаким местом не на серверах/файерволлах-роутерах и не дай Боже - на "приборных" машинах, т.е. работающих в реалтайме и/или имеющих хоть какие-то требования по надёжности/доступности.

Впрочем, сами смотрите...Подмигивающий
- В тех же *nix'ах для обеспечения хотя бы минимальной работы с WDT (Watchdog timer), а именно - перезапуска оного (с соблюдением "окна" в единицы-десятки миллисекунд) мне достаточно вписать в crontab одну строчку. Как с этиму некрософта, а?
- Запуск любой программы в jail'е в тех же *nix'ах - операция стандартная и весьма несложная. Как с этим у некрософта? С монтированием ФС "с перекрытием" (т.е., когда изменения, вносимые в ФС некой программой видны только ей самой, а на работу остальных программ никакого влияния не оказывают) - аналогично.
- Доборых 90% проблем с интрузией враждебного кода решаются статически скомпилированным ядром и/или запретом KLD на поздних стадиях загрузки (не говоря уже о нормальном режиме работы) В *nix'ах это - одна строчка в sysctl. Некрософт - ...?Подмигивающий
- С некоторых пор считать эзеровский сегмент "дружественным" стало сложновато, по причине ARP-пойзонинга (пик этой дряни - вторая половина 90-х). Как с этим разобрались *nix'а? Ну, солярка - никак (была иммунна изначально), у остальных - патч в пару десятков строк (впрочем, через пару лет вошедший в stable). Некрософт - уязвим до сих пор.

И так далее, и тому подобное...Подмигивающий
  • +0.00 / 0
  • АУ
 
 
  Petrushka ( Слушатель )
02 дек 2008 17:41:21
Мимохожий, ободряя и поддерживая вторую половину максимы, не согласен с первой частью. Рабочие станции по *nix'ом вполне себе хорошо, а зачастую и весьма, и бывают незаменимы. И на работе, и дома держу FreeBSD с KDE. Парочка что надо. Впрочем, дома висит и винда, ибо wine под AMD64 не хочет компилятьсяработать, а для Xen'а проц староват.
  • +0.00 / 0
  • АУ
 
 
 
  Мимохожий ( Слушатель )
02 дек 2008 18:04:17
Ладно...Подмигивающий Уточним для ясности. В данной поговорке под "рабочей станцией" понимается "секретуткин комп" т.е. пишмашинка с выходом в интернет. Iris Indigo, управляющая, к примеру, каким-нить особо монструозным фотовыводом (или вообще, "моментальной" офсетной машиной), к данной категории компов не относится (даром что у ей поперек всей морды написано, что она Silicon Graphics WorkstationПодмигивающий ).

Бывают, кто бы спорил. Но...
а) отнюдь не под управлением девочек с фронтдеска/менеджеров чего-нить там, а в руках профи, который знает, что делает (кстати, ограничивать таких профи в выборе системы - особо изощрённый вид диверсии противу конторы-работодателя, гораздо проще и надёжнее объяснить ему, какие требования к его машинке со стороны сети (в основном - по части безопасности), а потом - просто не мешать), и
б) в строго определённых случаях (возня с сетью, всяческие тестовые машины, контроллеры какой-нить аппаратуры, "тупые" терминалы, и.т.д., и.т.п... - т.е. отнюдь не "ширпотребные" машины).

Ну, у меня под фрюхой GUI как правило вообще не поднят (то есть теоретически конечно иксы с КДЕ стоят, но когда я ими последний раз пользовался - не упомню, всё, что мне надо - я имею через ctrl+Fn с мелкими примесями DECO), а так... ещё со времён фрюхи 2.1 у меня диск побит стандартно (вне зависимости от того, ноут это, или рабочий/домашний стационар): одна партиция - фрюха, вторая - какой-нить DOSообразный некрософт без GUI (вплоть до слегка подлевленной Win98), третья - что - нить NT-подобное (на данный момент - ессно ХП). И последняя - ба-альшой логический диск с необходимым набором secondary всех необходимых цветов/форм/размеров...Подмигивающий
  • +0.00 / 0
  • АУ
 
 
  agt21 ( Слушатель )
02 дек 2008 18:11:58


Ни спорю (и не спорил про это) ни разу. Сказал лишь о том, что на мелкомягких это РЕАЛИЗУЕМО, также как и на *nix'ах... А насчет того, что это отдает некой "голубизной", таки соглашусь...Подмигивающий

Кстати, когда я говорил о вкусе, я имел в виду вкус Лиц Принимающих Решения, а ими не всегда являются сисадмины...Грустный

P.S. К слову сказать, на приборных системах часто используют DOS. Вполне ничего себе система для реального времени...Подмигивающий

Цитата
Впрочем, сами смотрите...Подмигивающий
- В тех же *nix'ах для обеспечения хотя бы минимальной работы с WDT (Watchdog timer), а именно - перезапуска оного (с соблюдением "окна" в единицы-десятки миллисекунд) мне достаточно вписать в crontab одну строчку. Как с этиму некрософта, а?
- Запуск любой программы в jail'е в тех же *nix'ах - операция стандартная и весьма несложная. Как с этим у некрософта? С монтированием ФС "с перекрытием" (т.е., когда изменения, вносимые в ФС некой программой видны только ей самой, а на работу остальных программ никакого влияния не оказывают) - аналогично.
- Доборых 90% проблем с интрузией враждебного кода решаются статически скомпилированным ядром и/или запретом KLD на поздних стадиях загрузки (не говоря уже о нормальном режиме работы) В *nix'ах это - одна строчка в sysctl. Некрософт - ...?Подмигивающий
- С некоторых пор считать эзеровский сегмент "дружественным" стало сложновато, по причине ARP-пойзонинга (пик этой дряни - вторая половина 90-х). Как с этим разобрались *nix'а? Ну, солярка - никак (была иммунна изначально), у остальных - патч в пару десятков строк (впрочем, через пару лет вошедший в stable). Некрософт - уязвим до сих пор.

И так далее, и тому подобное...Подмигивающий



Все это правда, но в дело обычно вступают не только технические предпочтения, но и, например, экономические или еще какие другие... Например для небольшого предприятия (организации), набрать специалистов по мелкомягкогму софту можно из околокомпьютерных мальчиков, это проще и дешевле. Набрать нормальных спецов для *nix'ов мягко говоря несколько сложнее и дороже (просто потому, что их меньше)... И даже набранные очень часто ближе к мелкомягкой графической идеологии управления...Грустный

А уж что может натворить бестолковый специалист с *nix'ами...  >:( Это вообще не передаваемо... Была не очень давно в сети хохма по сравнению языков программирования, там была фраза про язык "C" - что то вроде следующего "... это инструмент с остротой скальпеля, можно получить изящный шов, а можно - кровавое месиво... " К *nix'ам в качестве операционной системы это относится, на мой взгляд, в полной мере.  :P

К тому же профессиональный *nix тоже СТОИТ ДЕНЕХ...Подмигивающий И немалых... А свободные *nix'ы очень часто требуют работы не только отверткой, но и рубанком...Грустный А это согласитесь, не есть good...Подмигивающий

Впрочем эта дисскусия все ближе к области "религиозных войн", как мне кажется...Подмигивающий А это, думается, нам совсем ни к чему... Как вы сказали - всякому инструменту свое место... А как подобрать правильный инструмент - это к специалисту...Подмигивающий Только специалистов не всегда слушаются...Грустный

P.S. А вообще, как сказал саймаковский Пес - "Удивительно, сколькими разными путями можно добиться одной и той же цели..."
  • +0.00 / 0
  • АУ
 
 
 
  Мимохожий ( Слушатель )
02 дек 2008 19:10:20
Реализуемо?  :DВеселыйВеселый Когда мне покажут честную вытесняющую многозадачность под любым некрософтовским творчеством или перегрузку контекста при обработке аппаратных прерываний (всего-то одна команда asm86, но вот только без неё обработка действительно "быстрой" периферии не живёт, а с ней - не живут не только винды, но и DOS тоже...Подмигивающий ) - тогда я буду готов эту тему обсуждать всерьёз...Подмигивающий

Админы, кстати, ЛПРами являться не могут по определению...Подмигивающий Админ - это беловоротничковый аналог сантехника. А аналог инженера-проектировщика сети водоснабжения - NSO (Net Security Officer), или на крайняк - программист, долго и занудно в этой области стажировавшийся. Другой вопрос, что в России эти обязанности традиционно принято сваливать на админов (ибо ещё со времён лесковского Левши практически весь технический персонал наш изрядно overqualified, и если для амов это - криминал, то для нас - достоинство...Подмигивающий ). Ну, а если ЛПР ни хрена не смыслит в той предметной области, в которой пытается ПР - то такую фирму (структуру, страну, и.т.д), в коей он имеет честь ЛПРствовать - вообще-то не жалко, ибо глупость - преступление перед эволюцией и карается законами естественного отбора.

Угу, угу...Подмигивающий С многозадачностью через INT 27...  :D Плавали, знаем...Подмигивающий
Так что не реального времени, а приборная - это всё-таки вещи мала-мала различные...Подмигивающий


Угу... Только вот для повседневного обслуживания *nix'ов "эникеи" (те самые "специалисты по мелкомягкому софту", которые получаются из "околокомпьютерных мальчиков") вообще не нужны...Подмигивающий


Поправочка...Подмигивающий Сопровождение профессионального *nix'а стоит денег. Кстати, где Вы видели квалифицированное и профессиональлное сопровождение у мелкомягких?Подмигивающий

А вот тут - не соглашусь категорически...Подмигивающий Изначально, ЕМНИП, эта тема возникла из обсуждения логичности/безопасности наличия некрософта на машинах критичных по безопасности/сопряженных с какими-л. приборами (да и вообще, военных по сути своей..Подмигивающий ). Очевидно, что на таких машинах любой объём "работы рубанком" (кстати, будет он всегда и вне зависимости от типа системы - для таких применений коммерческий софт как правило отсутствует) меркнет перед объёмом работ по первоначальной верификации системы. Так?Подмигивающий А теперь сравните этот объём для систем с закрытым кодом, и с открытым... И как Вам?Подмигивающий

Ну, конечно, прискорбно, но естественный отбор никто не отменял, ни среди контор, ни среди ЛПРов...Подмигивающий
"Ваш парашют выполнил некорректную операцию и будет закрыт. Послать отчёт в службу поддержки Necrosoft? Да <-> Нет"...Подмигивающий
  • +0.00 / 0
  • АУ
 
 
 
 
  agt21 ( Слушатель )
02 дек 2008 20:48:19


Копоративная многозадачность была в Windows 3x и в Windows 9x. Вытесняющяя многозадачность на семействе Windows NT есть давно ... И ничего в этом дико сложного нет... Есть даже DOS'ы с вытесняющей многозадачностью...Подмигивающий Например Novell DOS (правда он не мелкософтовский)...



На мой взгляд наименования не принципиальны... Как я уже сказал ЛПР может руководствоваться, всякими а не только техническими критериями... И говорить, что это ведет к глупым решения не совсем корректно...Подмигивающий



Спорить не буду, этот вопрос принципиально недоказуем в ТЕОРЕТИЧЕСКОМ рассмотрении... Практически все бывает по разному...Крутой



Не могу согласиться ... Админы в минимальном варианте нужны в любой организации. В маленьких организациях в этой роли выступают отнюдь не "эникейщики", а по стандартной классификации "опытные пользователи". Если в таких организациях будет поставлен *nix, то и такие же "опытные пользователи" и будут его обслуживать, со всеми вытекающими из этого последствиями...Подмигивающий



Т.е. КОММЕРЧЕСКИЕ  *nix'ы бесплатны ?КрутойПодмигивающий



Как уже НЕОДНОКРАТНО отмечалось, для ФАПСИ код Windows NT является ОТКРЫТЫМ...Подмигивающий

P.S. Я нигде и никогда не утверждал, что мелкософтовское ПО - это ОЧЕНЬ хорошо, я всего лишь утверждал, что оно не является АПРИОРИ и ВО ВСЕХ ситуациях хуже *nix'ового. Практически, вполне можно безопасно жить и работать на Win платформе и неразрешимых проблем в том, чтобы ее использовать БЕЗОПАСНО - нет. Тем более после того, как с ним поработали наши программисты... Утверждать, что *nex - cool, а Win - не cool - глупо. Работать можно и с тем, и с тем. Лишь бы руки были прямыми, мозг не загаженным ...Подмигивающий
  • +0.00 / 0
  • АУ
 
 
 
 
 
  Petrushka ( Слушатель )
03 дек 2008 16:54:08
ПМСМ, кооперативная многозадачность - это симулякр, т.е. модель несуществующего. А Novell DOS, aka DR DOS - это вещь, в нём даже протоколы типа DPMS и EMS сделаны прямо, в отличие от ...
ЦитатаКак я уже сказал ЛПР может руководствоваться, всякими а не только техническими критериями... И говорить, что это ведет к глупым решения не совсем корректно...Подмигивающий
Мне мерещится чемодан?
ЦитатаНе могу согласиться ... Админы в минимальном варианте нужны в любой организации. В маленьких организациях в этой роли выступают отнюдь не "эникейщики", а по стандартной классификации "опытные пользователи". Если в таких организациях будет поставлен *nix, то и такие же "опытные пользователи" и будут его обслуживать, со всеми вытекающими из этого последствиями...Подмигивающий

Мне кажется Вы не вполне правы. Любой админ вырастает из пользователя, просто он выполняет инструкцию RTFM. А сделать это для любого *nix'а гораздо проще. Мануалы по закрытым системам больше напоминают то ли сборник статей по шаманизму, то ли историю КПСС.
ЦитатаТ.е. КОММЕРЧЕСКИЕ  *nix'ы бесплатны ?
Если отбросить весь Linux и BSD, то что останется? AIX в основном заточен под POWER, его Вам вместе с шелезякой и выдадут, HP-UX можно качнуть, Solaris есть во free-варианте, IRIX можно сказать помер  :( .
ЦитатаP.S. Я нигде и никогда не утверждал, что мелкософтовское ПО - это ОЧЕНЬ хорошо, я всего лишь утверждал, что оно не является АПРИОРИ и ВО ВСЕХ ситуациях хуже *nix'ового. Практически, вполне можно безопасно жить и работать на Win платформе и неразрешимых проблем в том, чтобы ее использовать БЕЗОПАСНО - нет. Тем более после того, как с ним поработали наши программисты... Утверждать, что *nex - cool, а Win - не cool - глупо. Работать можно и с тем, и с тем. Лишь бы руки были прямыми, мозг не загаженным ...Подмигивающий

Собственно, единственное, что ЛУЧШЕ под Windows - это игрушки. А для безопасности - сеть оключить, но это, как Вы понимаете, моё личное мнение.
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
  ivan2 ( Слушатель )
03 дек 2008 17:03:30


И что Вам помешает куски секретного файла перенести в несекретный файл?
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
  Petrushka ( Слушатель )
03 дек 2008 17:23:39
С отключенной сетью, выдранным флопом и забитыми портами? Пусть переносят.  :D . А если файл и вправду секретный, так кроме того кому надо, доступа быть не должно, вне зависимости от ОС. Повторюсь, самыми эффективными мерами безопасности (вообще) были, есть и остаются административно-бюрократические. Юзер должен "говорить тихо, просить мало, уходить быстро"(c).
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
  ivan2 ( Слушатель )
03 дек 2008 17:33:38


Дык это не безопасность, а отсутствие опасностиВеселый



А здесь сложнее, в конце концов любой секретный файл складывается из несекретных кусков. Но обратное неверно и пресекается не только дискреционной но и мандатной политикой безопасности. Как раз с последней порядок только у клонов юникса.
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
 
  Мимохожий ( Слушатель )
03 дек 2008 17:45:43
"The best firewall - is air gap" ((c) NSA)...Подмигивающий
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
 
 
  ivan2 ( Слушатель )
03 дек 2008 17:57:43


Крутой firewall нужен. Я таких не знаю. Знаю один, который обрабатывает метки безопасности по RFC 1108. Но там только иерархические. Неиерархических нет, как понятия, вообще.
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
 
 
 
  Мимохожий ( Слушатель )
03 дек 2008 18:56:07
Вообще-то air gap - это "воздушный промежуток" (имеется в виду между патч-кордом и эзеровским разъёмом на мамке/карточке). Ибо "ни один самый навороченный вирус не может самостоятельно включить комп в розетку" ((ц) откуда-то оттуда жеПодмигивающий).
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
 
 
 
 
  ivan2 ( Слушатель )
03 дек 2008 19:46:33


Ой.  :-[ Пардон, некомпетентен в таком "специальном" английском.
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
 
 
  agt21 ( Слушатель )
04 дек 2008 19:53:57


Эт точно, эт да...Веселый
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
 
  agt21 ( Слушатель )
04 дек 2008 20:52:04


Windows NT сертифицирована правительством США по уровню защиты C2. Очень немногие системы могут работать по более высокому уровню безопасности. Это требует использования ОЧЕНЬ специального софта. Кстати, обычный *unix без затенения пароля не соответствуют даже уровню безопасности C1.

Системы с уровнями безопасности класса B (мандатная защита) являются достаточно редкими и не являются ОС общего назначения. Кстати они, очень часто, являются проприориентарными ОС...
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
 
 
  KekcBanned ( Слушатель )
04 дек 2008 21:09:33


Это в которой RPC DCOM забиндили на 0.0.0.0 ? и это в HOME EDITION  >:( ?
Нахрена ?
И пофигу им были тонны бюллетеней по безопасности по старому доброму тезке - RPC от Sun.
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
 
 
  Variator ( Слушатель )
04 дек 2008 21:52:52


Позволю себе процитировать:
Итак, год 1998-й. Некто Эд Карри, глава небольшой техасской фирмы Lone Star Evaluation Labs, специализирующейся на компьютерной безопасности, развернул весьма активную кампанию против корпорации Microsoft, по заказу которой прежде работал. Несмотря на несопоставимое, просто-таки комичное различие в соотношении противостоящих сил, обвинения Карри были услышаны и подхвачены прессой, благо повод выглядел достаточно серьезным. Суть обвинений сводилась к тому, что Министерство обороны и другие правительственные ведомства США нарушают свои же собственные правила, широко применяя крайне небезопасную операционную систему Windows NT. В Пентагоне на этот счет предпочли отмалчиваться, а в Microsoft попытались все свести к личным обидам Карри на бывшего работодателя.

Проблема же, вокруг которой разгорелся конфликт, - это сертификация NT на соответствие уровню C2. Ныне эта классификация уже устарела, а прежде уровень C2 был одним из базовых уровней безопасности компьютерных систем, присваиваемых при соответствии ряду надлежащих критериев, определенных в "Оранжевой книге" Агентства национальной безопасности США. Серьезные правительственные ведомства, такие как Пентагон, могли устанавливать у себя компьютерное обеспечение лишь при наличии у того сертификата не ниже C2.

Поскольку Эд Карри был серьезным экспертом по компьютерной безопасности, в прошлом военным человеком и специалистом, аттестованным АНБ, в 1994 г. Microsoft выбрала именно его для помощи компании в получении сертификата C2 на Windows NT 3.5. В ходе этих работ Карри разработал специальные диагностические средства и по просьбе Microsoft создал тестовую программу RAMP для оценки уровня соответствия критериям C2.

Вот тут-то и разгорелся конфликт, деликатные подробности которого так и остались тайной. Ясно лишь то, что тестовые средства эксперта упорно находили в NT массу трудноустранимых слабостей. Как результат, в 1995 году Microsoft разорвала контракт с Карри по причинам, "которые адвокаты компании рекомендовали не разглашать". В 1997 году Microsoft подрядила корпорацию Science Applications International (SAIC, с этой любопытной фирмой мы еще не раз встретимся далее) для продолжения работ по сертификации NT на C2. На одну из версий системы, уже к тому времени устаревшую 3.5, сертификат был-таки получен, а массовые закупки последующих, более современных версий NT (3.51, 4.0 и т.д.) обосновывались "скорым получением" соответствующего сертификата.

Ну а Эд Карри после потери контракта оказался фактически разорен, поскольку все средства вкладывал в разработку RAMP и ставшее никому ненужным тестирование. Тогда Карри и развернул кампанию, чтобы предупредить госадминистрацию и общественность в целом о "приобретении правительством миллионов копий несертифицированных версий Windows NT, которые не удовлетворяют критериям уровня C2 Министерства обороны и других агентств". К осени 1998 года он даже сумел добраться до высшего руководства Пентагона, написав лично министру обороны Уильяму Коэну. В этом письме говорилось, что его контракт по сертификации C2 был разорван Microsoft по той причине, что Карри отказался покрывать факты нарушения компанией базовых рекомендаций "Оранжевой книги": "Microsoft умышленно скрывает информацию о дырах в защите, опасаясь, что признание таких недочетов сократит количество копий, заказываемых правительством... Я поднимал эти вопросы на внутренних обсуждениях в Microsoft, а в результате стал объектом угроз и попыток подкупа". [MF98]

Пентагон откликнулся на это послание, и в октябре Эда Карри принял для беседы помощник министра обороны Дик Шэфер в компании с несколькими чинами из АНБ США. Никаких официальных решений после этой встречи не последовало, сам же Карри сообщил прессе лишь о своих впечатлениях от беседы: "Они знают, что я прав. И знают, что нарушают собственные правила безопасности. Но по сути дела, сказали они, все это неважно, и они будут продолжать использовать версию 4.0... Было сказано, что у них связаны руки, и в основном здесь решают деньги, а не соображения безопасности...". [JD99]

Ясно, что все эти объяснения совершенно не удовлетворили Карри, и он решает продолжить свою обличительную кампанию в прессе - однако в марте 1999 года скоропостижно умирает от сердечного приступа. И тут спустя несколько месяцев начинает происходить нечто необычное. Понятно, что более бить в набат стало некому, и текущие публикации прекратились, но одновременно в Интернете понемногу стали пропадать опубликованные прежде статьи об Эде Карри [cм. две предыдущие ссылки], само его имя в поисковых системах новостных сайтов, а также ссылки на соответствующие материалы в архивах. Наиболее ярко это было видно на примере веб-сайта журнала "Правительственные компьютерные новости" (Government Computer News, www.gcn.com), подразделения компании Washington Post. Осенью 1998 года там было опубликовано несколько заметок [GS98a, GS98b] обо всей этой истории, однако к сентябрю 1999 архив GCN (gcn.com/archives/) за предыдущий год представлял собой весьма странное зрелище: подборка всех выпусков с января по август, а затем - почему-то сразу за декабрь. Без каких-либо объяснений отсутствия номеров за осенние месяцы, когда был апофеоз скандальной истории с несговорчивым экспертом...

Подобный способ решения проблемы выглядел, конечно, чересчур вызывающе, поэтому впоследствии все ссылки на архивные номера GCN были вновь аккуратно восстановлены. Однако слова "Ed Curry" так и остались табуированным в поисковой системе сайта, так что поиски по имени вплоть до осени 2003 г. не приносили никаких результатов. Более того, аналогичный нулевой результат приносят и поиски любых публикаций репортера GCN Грегори Слабодкина, освещавшего не только этот, но и другие срамные эпизоды из богатой истории отношений Microsoft и Пентагона.

Летом все того же 1998 года, например, Слабодкин раскопал и опубликовал совсем неприличную историю о неприятностях ракетного крейсера ВМС США "Йорктаун". Это экспериментальный, так называемый "умный корабль" (smart ship), важнейшие системы жизнеобеспечения которого управляются компьютерами без участия человека. И что немаловажно - под руководством операционной системы Windows NT 4.0. Так вот, однажды вся эта махина, находясь в открытом море, на три без малого часа встала в полный ступор из-за наглухо зависшего программного обеспечения. Причем произошло это из-за совершенно пустяковой оплошности одного из операторов, занимавшегося калибровкой клапанов топливной системы и записавшего в какую-то из ячеек расчетной таблицы нулевое значение. Ну а далее пошла операция деления на этот самый нуль. С подобной ерундой справляется даже самый дешевый калькулятор, однако здесь в терминале оператора система дала ошибку переполнения памяти. Причем ошибка быстро перекинулась на другие компьютеры локальной сети корабля, началась цепная реакция, и по известному принципу домино рухнула вся бортовая система. Которую удалось восстановить и перезагрузить лишь через 2 часа 45 минут, в течение которых здоровенный боевой корабль оставался по сути дела беспомощен и неуправляем. [GS98c]

Когда это ЧП, которое почти год командованию флота удавалось скрывать, все же попало на страницы прессы, поднялся большой шум. Все недоумевали, почему военным кораблем управляет не заведомо более надежная ОС Unix, а Windows. Внятных ответов, правда, никто не дождался. А не в меру ретивый репортер Слабодкин вскоре перестал работать в "Правительственных компьютерных новостях". Как говорил один известный политик, нет человека - нет проблемы. Поэтому и многочисленные прежде публикации Слабодкина поисковая система сайта GCN ныне находить отказывается. Попутно, в точности по Оруэллу, скорректировано и прошлое "умного корабля" USS Yorktown - статьи про конфуз с упавшей операционной системой также не отыскиваются.

Почитайте на досуге "Гигабайты власти"
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
 
 
  Мимохожий ( Слушатель )
05 дек 2008 00:34:13
C2, как Вы наверняка помните - это то, что сразу следует за D (т.е. за теми системами, которые вообще не могут пройти никакую сертификацию по безопасности). Т.е. любая система, прошедшая сертификацию по определению как минимум не менее безопасна, чем NT...Подмигивающий

1) Извиняюсь, а где/когда Вы последний раз видели *никс без шейдинга?Подмигивающий Не знаю, как в пингвинятнике, но среди разнообразных берклевских веток и у солярки удавить шейдинг - это весьма некислый объём той самой "работы рубанком" (причём усугубляющийся тем, что в берклях шейдинг вообще-то по меньшей мере двухуровневый: кроме собственно шейдинга, т.е. соответствующих прав у пары passwd и master.passwd там для реальной аутентификации используются вообще-то соответствующие бинарные ...spwd.db, изменения в которые из соответствующих текстовых исходников могут быть перенесены исключительно процессом с UID=0 ...Подмигивающий ). И это, ЕМНИП, стандарт уже лет минимум ...надцать как...Подмигивающий
2) D переводе с "оранжевокнижного" на русский общепонятный это высказывание звучит следующим образом: "если долго насиловать какой-нить *nix, то можно добиться того, чтобы он не прошёл сертификацию на тот же класс, что и NT (прошедшая оную только с четвёртого захода)"...Подмигивающий Против этого возразить, увы, нечего, ибо "если долго мучиться - что-нибудь получится" ((ц) Алла Борисовна ...Подмигивающий ). Но сама постановка вопроса - хм-м... оригинальна...Подмигивающий

Я плакаль...Подмигивающий Вообще-то на В1 сертифицируется любая приборная/телекоммуникационная ОС, которая намеревается продаваться на рынке. Например, для DEC'а таковыми были VAX VMS (начиная с SEVMS 6.1 и выше), Alpha OS (впрочем, являющаяся клоном той же ВМСки, и отличающаяся весьма незначительно), ULTRIX (начиная с MLS+ V2.1), для Х@ева Паккарда - соответственно HP-UX (BLS Release 9.0.9 и выше), для Силикона - соответственно T-IRIX и T-IRIX/B начиная с 4.0.5EPL

В класс B2 - даже XENIX попадает (начиная с 4.0), а в "вызывающий законную гордость" у некрософта класс C2 попадает изрыгнутая DEC'ом в предсмертных корчах OpenVMS (как open - распространявшаяся в текстах, кстати...Подмигивающий ) и ебиэмная OS/400 для AS/400 историко-революционного возраста..Подмигивающий
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
 
 
 
  agt21 ( Слушатель )
05 дек 2008 09:05:29


Немного не так: следом за D идет C1, а C2 - это то, что не дотягивает до уровня B1.Подмигивающий



Год или два назад во время установки одного из клонов RadHat, мне был предложен выбор - включать или нет "скрытые пароли" (правда "включить" было рекомендуемым выбором). ОС семейства BSD действительно гораздо более безопасно настроены по дефолту. Пингвины в этом отношении гораздо более безалаберны...Улыбающийся



Чтобы система соответствовала классу "B" нужна специальная, "безопасная" редакция системы, либо подключаемое специально (не по дефолту) ПО...

----------------------------------------------------
И все таки мы скатываемся в "религиозную войну" *nix vs Некрософт... Наверное я оказался более косноязычен, чем мне думалось...Подмигивающий

Я еще раз обозначу тезисы, которые я защищаю, и предлагаю дисскутировать все-таки по их существу, а не по частностям:
1. Предмет дескуссии - безопасность ОС общего назначения на платформе х86. Другие платформы и специализированные ОС я лично не обсуждаю ввиду недостаточного уровня подготовки ...Улыбающийся
2. Я считаю, что, не смотря ни на что, ОС семейства Windows NT обеспечивают (при ДОЛЖНОЙ настройке и установке соответствующего задачам дополнительного ПО) безопасность сопоставимую с оной на *nix'ах (при ДОЛЖНОЙ же настройке и наличии правильного ПО).
3. Выбор той или иной ОС не вызывает ФАТАЛЬНОГО, АПРИОРНОГО ухудшения безопасности системы.
4. Ключевым звеном обеспечения безопасности системы является человек, который осуществляет ее настройку. Его квалификация и мотивированность на качественную работу ФАТАЛЬНО и АПРИОРИ определяет уровень безопасности системы, независимо от выбора ОС.
5. Считаю, что в ОБЫЧНЫХ условиях уровень безопасности класса "С" вполне достаточен для безопасной работы.
6. Думаю, что уровень безопасности класса "В" необходим для высокозащищенных систем ОСОБОГО назначения.
7. Считаю, что возможно обеспечение уровня безопасности класса "В" даже на системах, использующих ОС семейства Windows NT, при использовании специализированного ПО.
8. Считаю, что наличие ПО, обеспечивающего уровень безопасности класса "В", не являтся 100% гарантией безопасности системы по этому классу (см.п.4).Улыбающийся
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
 
 
 
 
  Мимохожий ( Слушатель )
05 дек 2008 12:34:48
Правильно...Подмигивающий А теперь - следующий шаг.Подмигивающий В 1992 г., ввиду полной невостребованности (не было ни одной попытки сертификации), а также ввиду простоты компрометации защиты "в нативной среде" класс С1 был исключен из MIL STD 5200.28 (точнее - не рекомендован к применению).

Скажем так...Подмигивающий С тем, что пингвины более безалаберны - согласен. С тем, что среди них существуют версии. которые обрабатывались рубанком до полной потери потенции - тоже согласен. Не согласен с единственным: по их наличию невозможно судить о защищённости *никсов в целом. IMHO это примерно то же самое, что отказывать NTям в C2 на основе того, что они автоматом умеют монтировать партиции FAT, в которых какая-л. защита не предусмотрена чисто физиологически...Подмигивающий Ну или как вариант - судить об общем уровне защищённости некрософта по уровню защищённости ДОСа 3.30 ...Подмигивающий

Это не совсем так. Например, добрая половина DEC-овских систем имеет всё необходимое для В1 в дефолтной поставке. Аналогично - OS/400 и XENIX. А "подключаемым" софтом много не вылечишь, ибо если "дыра" в ядре/реализации ФС, то и закрывать её надо на том же уровне (т.е. пересборкой именно ядра, что в системах с закрытыми исходниками невозможно по определению).

Да нет, я бы сказал, что грядёт не холивар, а активное согласование терминологии/точек зрения...Подмигивающий
Как Вы помните, первый мой пост в этой ветке содержал в себе утверждения, что а) "мамы всякие нужны, мамы всякие важны", и б) админ, ставящий на секретарскую машину что-л. кроме некрософта - изрядный мазохист....Подмигивающий

ОК, ограничение принимается.

Не согласен категорически. Прочность цепочки = прочности её слабейшего звена. Посему какие бы заплатки на уровне пользовательских процессов Вы ни вешали - при кривом ядре они будут элементарно обойдены.

Вызывает. См. предыдущий пункт.

Согласен, но с некоторыми уточнениями. Собсно ОС (идеология плюс свойства/комплектность конкретной сборки) определяет наивысший достижимый уровень безопасности, админ/установщик - реально достигнутый (который по определению всегда ниже).

При работе на изолированной машине вполне достаточен класс D, а остальное добирается ограничением физического доступа к ней админиистративными мерами..,Подмигивающий При работе в качестве общедоступного сетевого терминала в "агрессивной" среде (например, какой-нить студенческий вычислительный практикум) - класс B крайне желателен. Так что определите "ОБЫЧНЫЕ условия" поточнее...Подмигивающий

Это не так. Класс В по хорошему необходим как минимум на любой машине, поддерживающей инфраструктуру сети.

А вот тут у Вас "дыра" прям-таки гносеологическая. IMHO достаточно очевидно, что если "дыры" в безопасности существуют на уровне ядра/ФС/базовых систем аутентификации/системного планировщика - то любые "заплатки" пользовательского уровня в русскоязычной среде принято описывать весьма точным выражением "мёртвому припарки"...Подмигивающий А безопасность систем, позволяющих даже разовое исполнение "левого" (пользовательского) кода (не говорю уже о перманентной инсталляции) на уровне ядра, я обсуждать вообще отказываюсь...Подмигивающий
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
 
 
 
 
 
  agt21 ( Слушатель )
05 дек 2008 16:42:51


ОК.



ОК.



Собственно такого и не говорил. Просто привел пример в ответ на заданный вопрос...Подмигивающий Посмотрите на исходный пост...Улыбающийся

P.S. Не нравится мне, когда при сравнении WinNT* и *nix автоматом нивелируются различия между разними *nix'ами (например между *BSD и *Linux). Обычно мир *nix выставляется как нечто единое, не делая отличий между более защищенными и менее защищенными системами, а ведь они совершенно различны. У Win* нет настолько разноплановой линейки продуктов. Так что действительно, сравнение без конкретизации продуктов выглядит действительно некорректным...



Ничего не скажу ... В соответствии с п.1 (ниже) ...Подмигивающий



Собственно, если обращаться к началу дискуссии, для ФАПСИ WinNT является системой с открытым кодом... А для всех прочих... Действительно повысить уровень безопасности системы нельзя...



ОК



Вообще-то я имел в виду не заплатки, а ПО, которого в стандартной поставке нет, например более нормальный (чем штатный) файерволл (скажем, ISA 200x)...



Согласен.



Работа во внутренней Intranet-сети, доступ к Internet через шлюз с файерволлом и прокси-сервером. Стандартная оффисная работа.



Как я понимаю, мандатное управление доступом - это просто более гибкая и разветвленная система прав доступа, менее зависящая от человеческого фактора... Честно говоря, я не очень хорошо понимаю какие особые преимущества она дает вне оперирования секретной документацией, кроме того, что она несколько облегчает жизнь администратору. Все то же самое как мне кажется можно сделать путем распределения обычных прав доступа... Возможно сложнее, возможно несколько более трудоемко, но все-таки возможно... Но вне системы в разной степени засекреченных электронных документов мне кажется она является избыточной.

Просветите если я что-то не очень хорошо понимаю...  ???



Сорри, неправильно понял одну фразу в Wiki. Перечитал, вдумался, понял... Действительно п.7 - это бред...Непонимающий

А вот п.8 скорее просто перекликается с п.4 т.е. излишен.

P.S. Кажется я понял различие в установках - по-моему мы по-разному воспринимаем кривость ОС: я не рассматриваю криворукость кодировщиков (т.е. ошибки и уязвимиости в РЕАЛИЗАЦИИ архитектуры), расссматривая только криворукость проектантов. Вы же, как мне кажется, рассматриваете оба типа криворукости как нечто единое. Или я ошибся ?
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
 
 
 
 
 
 
  Petrushka ( Слушатель )
05 дек 2008 17:28:50

Невзирая на пингвинячий колхоз и бардак Linux всё таки Unix (почтиПодмигивающий) и открытый. Ошибки в ядре есть, но оне ловятся и исправляются (инда и по 3 шт. в сутки, был прецедент в мае прошлого года, ЕМНИП). За прошлый год во FreeBSD был один security patch. У мелкософта скока было? Для "устойчивого" XP? Тем более, что линейка у них сейчас одна - производные NT4, 95-98 и "линолеум" - всё.
Цитата...для ФАПСИ WinNT является системой с открытым кодом... А для всех прочих... Действительно повысить уровень безопасности системы нельзя...
О! Мы то не в ФАПСИ.
Цитата
Цитатаадмин, ставящий на секретарскую машину что-л. кроме некрософта - изрядный мазохист....Подмигивающий

ОК
Ну вот "опять за рыбу гроши"... Мимохожий, Вы таки авторитет (и для меня), но Вы не правы, а другие соглашаются. Не долее как вчера поставил дома, для эксперимента, этакий "3 в 1". + Полный офисный набор. 20 минут. Интересно - напишу подробнее. Кстати, несколько знакомых, имеющих свои фирмы таки пересели с MSO на ОО и очень довольны. Глядишь, там и с винды слезут, деньги-то не лишние.
Цитата
Вообще-то я имел в виду не заплатки, а ПО, которого в стандартной поставке нет, например более нормальный (чем штатный) файерволл (скажем, ISA 200x)...

Не далее как на прошлой неделе сконфигурял клиенту BSD роутер+firewall+proxy. Админ прыгал от счастья и рыдался в жилетку про эту самую ИСУ. Кратко - очень много побочных эффектов + общая тупость системы. Кроме того это НЕ закрывает дыр в ядре.
Цитата
Как я понимаю, мандатное управление доступом - это просто более гибкая и разветвленная система прав доступа, менее зависящая от человеческого фактора... Честно говоря, я не очень хорошо понимаю какие особые преимущества она дает вне оперирования секретной документацией, кроме того, что она несколько облегчает жизнь администратору. Все то же самое как мне кажется можно сделать путем распределения обычных прав доступа... Возможно сложнее, возможно несколько более трудоемко, но все-таки возможно... Но вне системы в разной степени засекреченных электронных документов мне кажется она является избыточной.

...принудительный контроль доступа (Mandatory Access Control, MAC). Инфраструктура позволяет загружать новые модули контроля доступа, реализуя новые политики безопасности. Некоторые из них предоставляют защиту ключевых подсистем, защищая определенный сервис, в то время как другие предоставляют исчерпывающую систему безопасности с метками на всех субъектах и объектах. Контроль называется принудительным, поскольку применение контроля производится администраторами и системой, и не зависит от решения пользователей, как это происходит при обычном контроле доступа (Discretionary Access Control, DAC, стандартные файловые и System V IPC права...
Отсюда:  http://www.freebsd.o…k/mac.html
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
  Мимохожий ( Слушатель )
05 дек 2008 20:29:49
Сударь, ещё раз...Подмигивающий
1) Я никаким местом не отрицаю, что на рабочих станциях вполне могут жить пингвиниксы различного генезиса (начиная со всяческих Убунтей с Мандривами и прочих Кноппиксов), а местами - даже и *BSD. Но...
2) Скольких юзеров, относящихся к классу "девочек с фронтдеска" Вам реально удалось в такую среду пересадить?Подмигивающий и
3) В одной из контор, которую я по старой памяти опекаю в околокомпьютерных/сетевых вопросах, добрая треть рабочего персонала ворочается во всяческих ACAD'ах с Компасами (ну, что поделать, архитекторы они...Подмигивающий ), ещё половина - в 3D с мудьями (3DS MAX я имею...Подмигивающий ), и только оставшаяся одна шестая - это "секретуткины машинки".

С ними-то что делать?

Так что если смотреть с т.з. реальности, а не благих пожеланий, то единственные "господа юзера [что вы пили вчера]", способные пересесть под новую среду - это грамотные и активные "дилетанты широкого профиля" с потребностями, не выходящими за пределы того же сановского ОбПеньОфиса. Не, я конечно таких в подопечных конторах люблю и активно их заслуги перед их шефьями пиарю (из чисто шкурных соображений - они как правило уже готовые эникеи (так что от 90% наиболее идиотских вопросов я уже застрахованПодмигивающий ), а кроме того, из оставшихся 10% способны под мудрым дистанционным управлением (по телефону) починить как минимум две трети...Подмигивающий ), но, скажите честно, насколько велик их процент по отношению к среднестатистическому офисному населению? По моим прикидкам - дай бог - пара-тройка процентов...Подмигивающий
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
  Petrushka ( Слушатель )
05 дек 2008 23:27:59
Да это так. Отвечал на другой пост и побурчал. В остальном, увы... Одна поправка - Вы переставили OpenBSD и NetBSD, да и лозунги у них поменялись Net - "Of course it runs NetBSD" (система для тостеров и холодильников). Open - "Free, functional & secure" (хвастаются "Only two remote holes in the default install, in more than 10 years!")
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
  Мимохожий ( Слушатель )
06 дек 2008 01:25:47
Пасиб, есть такое дело, описАлся..,Подмигивающий Что же касается лозунга OpenBSD - то увы, но я его просто не помню (они его достаточно часто меняют), для идентификации мне достаточно ёршика Паффи...Подмигивающий
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
 
 
 
 
 
 
  ivan2 ( Слушатель )
05 дек 2008 20:03:03


Дык в этом и фишка. Эта ветка выделилась из "Современные российские ВС" именно потому, что стали разбираться, кому, где и какая безопасность нужна (началось с подводной лодки:)). И в начале разговора вопрос именно так и не был поставлен, что, если на рабочей станции пользователя одновременно открыто несколько приложений с разным уровнем секретности (редактируемые файлы, аська, клиент базы данных и еще на совсекретную страничку зашел,...), а на сервере несколько пользователей с разными допускаи (имею ввиду уровень допуска к секретам) запустили/открыли много всякой всячины...
Как в таком разе без сертифицированной мандатной политики?
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
 
 
 
 
 
 
  Мимохожий ( Слушатель )
05 дек 2008 20:06:28
Посмотрел...Подмигивающий
В нём Вы поминаете некий абстрактный "*nix без шейдинга". На что я Вам отвечаю, что среди более, чем десятка веток юниксоподобных систем нет ни одной, в которой шейдинг можно убить без достаточно серьёзного объёма "работы рубанком" ((ц) Ваш, в дальнейшем прошу разрешения на использование - больно уж nota bene...Подмигивающий ). Вы в ответ приводите пример некой кастомной сборки "красной шляпы" (кстати, наиболее сношаемого из пингвиньих дистров), в котором таковая работа рубанком была проделана. И что жто доказывает? IMHO ничего, поскольку эквивалентом такого изврата является система с NT-подобным ядром (неважно, NT4 или XP), поставленная на FAT32 партицию. А это возможно даже без применения к ней рубанка...Подмигивающий  

*nix'ы - это континуум, в котором "для каждого найдётся", причём практически в каждой ветке. Например, среди берклей наиболее комфортные условия для работы "тяжёлого" серверного софта создаются во фрюхе, наиболее параноидальна (и потому пригодна для машин бэкбона) NetBSD, а девиз OpenBSD, как Вы помните, "Yes! It runs on it!" ("Да! На этом наша система работает!"), то бишь портирована она на пару сотен архитектур, начиная от своеобычной Х86, и кончая чуть ли не мобильным телефоном...Подмигивающий
Так что в никсах просто другой подход к выбору системы: человек выбирает не из малого количества дискретных вариантов по принципу "меньшего зла", а практически из континуума ("дорабатывая рубанком", то, что ему активно мешает), причём не "минимизируя неприятности", а "максимизируя пользу"...Подмигивающий

И, между прочим, зря "не скажете", поскольку вышеупомянутый XENIX - это полноценный UNIX AT&T-шной ветки (собсно, единственная система, имеющая право называться не "UNIX-like", а UNIX без уточнений, поскольку торговая марка UNIX именно AT&T и принадлежит. Трения же насчёт полной совместимости со стандартами System V - либо "замнём для ясности", либо обсудим отдельно (ибо флеймогенны они до неприличия)...Подмигивающий ), в своё время честно Некрософтом (sic!) у AT&T купленный и работавший именно на х86 архитектуре, и до появления NTей бывший единственной серверной системой в некрософтовской линейке. Так что "историю надо знать"...Подмигивающий

Я оч рад за ФАПСИ, но мы вообще-то говорили о коммерческих системах, т.е. тех, которые продаются за денежку малую, поставляются в комплекте с тем или иным оборудованием, или поставляются бесплатно, а продаются услуги по их сопровождению. Т.е. о 99,999999% тиража NT'ей, если уж говорить в цифрах..Подмигивающий

Трипер анальгином не лечится...Подмигивающий Пусть этот файерволл будет хоть в сто раз "более нормальным, чем штатный", на виндовские сокеты, к примеру, он не влияет, посему для того, чтобы забить на него большой и толстый - достаточно, к примеру, подменить драйвер вашей эзеровской карточки...Подмигивающий

Чистого C2 тут явно недостаточно. Как я уже упоминал, эзеровский сегмент считать дружественным нельзя уже лет ...надцать как, а ARP-пойзонинг относится к числу стандартных атак примерно столько же. И хотя формально он в требованиях к C2 не упоминается (и сертифицированность принципиально беззащитных перед ним NTей - тому порука..,Подмигивающий ), разворотить интрасеть до полного абзаца при его помощи - как два байта переслать.

Ну, прежде всего вы неправильно понимаете сам термин...Подмигивающий Mandatory - это строго говоря не "мандатное" (основанное на каких-л. полномочиях), а "принудительное" (точнее, "обязательное к исполнению") управление доступом, основным отличием которого от дискреционной модели является то,  что юзер при всём желании не может предоставить/приобрести права доступа к какому-л. объекту шире, чем выставил админ из соображений безопасности системы. Т.е. появление потенциально опасного набора данных является не ошибкой защиты, а ошибкой ФС, и обрабатывается соответственно. Это делает невозможным целые классы атак (например, при наличии более-менее последовательной мандатной системы сама идея исполнить пользовательский код (не говоря уже о данных) в нулевом кольце х86 ("на уровне ядра") является катахрезой, т.е. соединением логически несоединимых понятий. А в NTях слегка поковырявшись с вызовами SVChost'а я в ядре могу делать что хочу (чем, собсно и занимается каждый второй троян, не считая каждого первого...Подмигивающий ). Дальше. Такой рудимент мандатной системы, как флаг EP (Execution Prevention), наличествующий в Висте, несмотря на всю свою кривизну и фрагментарность действительно повышает устойчивость системы к достаточно большому числу атак. И введён он отнюдь не из желания повыдрючиваться, а ввиду настоятельной необходимости...Подмигивающий

Что же до его избыточности вне системы секретного документооборота - то беда в том, что, безусловно, секретный документооборот на её основе реализовать, естественно, можно, но это будет что-то типа использования БОВ (то бишь, того типа зарядов, который журналюхи называют "вакуумной бомбой"...Подмигивающий ) в качестве, например, фумигатора...Подмигивающий Вообще-то основное назначение MAC (Mandatory Access Control) - это изоляция процессов друг от друга (и от ядра всех вместе), преупреждение выполнения злонамеренного кода, и тому подобные чисто системные надобности. Юзера же, с их правами и разграничением оных друг от друга, для неё - это так, мелкая "комсомольская нагрузка"...Подмигивающий

Ошиблись дважды...Подмигивающий
Во первых, то, что в русском языке называется "безопасностью", в английском распадается на два непересекающихся сегмента: "security" и "safety". И обсуждаем мы из них ровно первый (потому как обсуждение второго моментом выведет нас на такую флеймогенные темы, как, например, журналируемость ФС, и.т.д, и.т.п...), мало тогог, третью голову Горыныча (которая reliability - "отказоустойчивость") мы тоже оставляем "за кадром", хотя она для жизни вычислительной системы "в реальном мире" имеет как бы не большее значение, чем безопасность во всех её двух видах...Подмигивающий

Так что давно известные баги NT, имеющие именно "криворукий" генезис (типа небезызвестной склонности NTLM отдельно хешировать старшую и младшую половину пароля, причём делать это так, что, к примеру пароль FFKKJJJ (ЕМНИП) даёт одинаковый хэш с пустым паролем, в результате чего брутфорс NTей через эту дыру на современных машинах занимает десятки секунд-минуты) я к рассмотрению не привлекаю...Подмигивающий

Но даже с такой "сфероконно-вакуумной" точки зрения безопасность всяческого некрософта - скорее тема для стёба, чем для серьёзного обсуждения (например, чего стоит намертво вшитый в ядро GUI (а точнее - механизм вызова графических окон) с его  известной ещё со времён NT 3,5 "дырой", существующей именно на уровне идеологии и принципиально незакрываемой без переписывания этого самого ядра "с нуля" (я имею в виду механизм посылки сообщения окну, с помощью которого например выполнить шеллкод от имени вечно открытого диспетчера задач (как Вы наверняка знаете, дабы им всегда можно было воспользоваться - NT-подобные системы открывают это окно до логона (и, соответственно, запуска пользовательских процессов), и при нажатии на соответствующую кнопку с красным крестиком - никаким местом его не убивают, а просто выставляют нулевые размеры и координаты окна (потому как если его действительно убить - то при переполнении стека активных окон он хрен запустится...Подмигивающий ))).
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
  WatchCat ( Слушатель )
04 дек 2008 20:39:28

В это контексте полезно вспомнить воспоминания Кевина нашего Митника  8).
Там успешный взлом состоял процентов этак на 80%-90% из social engineering...
Так что отбивание ручек пользователям записывающих пароль на листочке вещь сугубо полезная ...
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
 
 
  agt21 ( Слушатель )
04 дек 2008 20:57:08


В сериале "Барраяр" Л.М.Буджолд описан классный способ кражи секретной информации из АБСОЛЮТНО защищенной сети.

В помещении стоял терминал внутренней ЗАЩИЩЕННОЙ сети и терминал внешней сети (видеотелефон так сказать)... На внутреннем терминале вывели на экран документ и показали этот экран видеотелефону...Веселый
  • +0.00 / 0
  • АУ
 
 
 
 
 
 
  agt21 ( Слушатель )
04 дек 2008 19:52:50


Сорри, очепятался ... Дествительно коОпЕративная многозадачность...



Извините, но тонкий намек не понял...ГрустныйПодмигивающий Поясните плз...



Знаете, я работал как с мелкософтовскими доками, так и с GNU'тыми... Нормальными могут быть и те, и другие. Уродскими точно также - и те, и другие... Доки по мелкософтовскому софту есть в сети на равных с доками по открытому софту. "Сборниками статей по шаманизму" или "Историей КПСС" могут быть ЛЮБЫЕ HowTo. В том числе и *nix'овые. Все зависит от квалификации пищущего, на какую аудиторию пишется текст и от способности четко изложить мысль, которую хочется донести до читающего (то бишь от наличия/отсутствия косноязычия).



Есть еще SunOS, UnixWare, OSF/1. Впрочем спорить не буду... Работой с коммерческими *nix'ами лично не занимался никогда. Просто знаю, что такие есть, и имею о них книжное представление... Хотя допускаю, что часть из них умирает потому, что компании создатели переориентировались на Linux-подобные системы...Улыбающийся



Лучшее/худшее - это разве критерий? Люди ездят на всяких автомобилях. Никто же не отказывается обслуживать, ремонтировать, заправлять "Приору" только потому, что она хуже "Лексуса". Сама ездит? Людей возит? Что еще нужно?

Безопасность под Wind'ой обеспечить можно? Можно, надо только знать КАК...
Небезопасный комп под *nix сделать можно ? Легко...
Равно как и строго обратное, так и вполне себе промежуточные варианты сотворить можно как нефиг делать сделать...

А решать что лучше, что хуже - Wind'а или *nix ВООБЩЕ... На мой взгляд это сродни вопросу: "Кто сильнее - слон или кит ?"Подмигивающий



Согласен... Только... Как говорили когда-то "Лучшее лекарство от СПИДА - СПИ ОДИН", жалко только не всегда получается использовать это лекарство...Подмигивающий

Как я уже писал в одном из постов, безопасность - это компромисс между возможностью работать и абсолютной защитой...Крутой А поэтому всегда приходится чем-то жертвовать...
  • +0.00 / 0
  • АУ
 
 
  KekcBanned ( Слушатель )
03 дек 2008 00:08:31

Сам предпочитаю на десктопе попсовый Linux держать.
Да и пользователей нет нет да и затащим на терминальные решения под *nix.
В одной задачей сотня терминалов пускают с одного Linux сервера старые фокспрошные приложения в графическом режиме в wine  ;). Процессов до 860 видел, CPU 60%, загрузка до 20 единиц по uptime - не жалуются, когда отвыкли от пасьянса.
Скромный icewm и ломаться просто нечему .

Цитата
- Доборых 90% проблем с интрузией враждебного кода решаются статически скомпилированным ядром и/или запретом KLD на поздних стадиях загрузки (не говоря уже о нормальном режиме работы) В *nix'ах это - одна строчка в sysctl. Некрософт - ...?Подмигивающий


Добавлю - сейчас с взведенным Selinux пробить защиту нереально. Вроде работает из коробки, но если что-то не то закрыто, придется таки "прочитать эту прекрасную документацию"  Подмигивающий
  • +0.00 / 0
  • АУ
 
<< Тред №67255
Тред №67257 >>