Zpět na seznam článků     Zpět na článek

Komentáře ke článku

 
 
 BBCode
Mirek | E-mail | Website9.8.2012 18:59
Já zastávám názor, že security by obscurity má smysl, a důvody, proč jsem o tom přesvědčen, jsem uvedl zde: [link]
Emkei | E-mail | Website | PGP29.7.2012 22:00
On přece nikdo netvrdí, že při nezveřejnění kódu je server v bezpečí. Rozhodně ovšem praxe dokazuje, že je ve větším bezpečí, než při jeho publikaci. To, že si někdo přečte, že je SbO blbost a pak to papouškuje, je sice fajn, ale nelze to slepě aplikovat na vše kolem nás. Pochybuji, že stát investuje do projektu miliardy a pak zveřejní kódy s nadějí, že mu někdo z lásky zveřejní chyby. Většina lidí se bude snažit najít chyby v takovém serveru za pokoutnými účely. Nebo snad věříš, že kdyby byl nový freemail od Seznamu opensource, tak by se všichni předháněli v tom, kdo tam najde a publikuje chybu? Ne, lidé by lezli do cizích schránek. Takhle to v praxi prostě nechodí. Stále je více těch, kteří se systém snaží prolomit (redakční systémy, weby státní správy atp.) než rozvíjet. Proto se kódy, za které klient zaplatil zpravidla nemalé peníze, nezveřejňují. Byť mám OS rád, klienti nejsou naivní idioti, kteří věří, že jim to bude někdo zadarmo kvalitně testovat. Srovnávat open source CMS se systémy pro správu zásadních citlivých dat, je směšné...
Bystroushaak_ | 88.102.5.*27.7.2012 11:31
Jenže přesně to co popisuješ s dvěma působícími silami se ti stane i s closedsource. Myslet si, že když potenciální útočník nemá zdrojáky, tak jsi v bezpečí je kardinální blbost, obzvlášť u webových aplikací.
humlik | 80.92.244.*26.7.2012 23:13
Bystroushaak_: Nejsem příznivcem hesla "nezveřejňovat nic", ale spíše rozumného a defenzivního přístupu "Zveřejnit s rozumem, jen co dává smysl a s ohledem na přínosy/rizika".
Při zveřejnění kódu vám dobrovolníci pomohou nalézt více chyb, takže ve výsledku bude software obsahovat méně chyb. Tato úvaha je sama o sobě správná, ale problém je ve zrádné interpretaci, že tímto opatřením dostanete OD ZAČÁTKU bezpečnější software.
Od doby zveřejnění kódu Vám začnou zároveň pracovat dvě protichůdné síly - dobrovolníci, kteří systém vylepšují, a zájmové skupiny, které naopak chtějí váš systém využít pro sebe. Není to buďto jedno nebo druhé - obojí je zároveň. Ta druhá skupina má výhodu - stačí jí objevit jen jednu chybu. Klidně může být později fixnuta dobrovolníky, ale vám stejně nepomůže, přestože si vylepšíte statistiku.
Někdo v předchozím příspěvku dobře připomněl, že je třeba individuální přístup podle toho, k jakému systému kód zveřejňujete. Je rozdíl zveřejnit zdroják k programu na výpočet alkoholu v krvi, a ke kriticky důležitému systému na zakázku, kde průlom do systému znamená pro někoho velký zisk a pro vás ztrátu. V obou příkladech budeme mít jiný poměr sil dobrovolníků a organizovaných skupin, které vám budou sjíždět kód. Exaktně to nespočítáte Vy ani já.
Existují i dobré věci, které prověřil a zocelil čas - openssl, openssh a další, ale aplikaci na zakázku potřebujete používat co nejdříve v daném termínu a nemáte tolik let, abyste ji nechali naprázdno venku. Nesprávně používané přístupy v kombinaci s chybnými interpretacemi mohou naopak vést k průšvihům.
Jinak příklady uvedené v předchozím příspěvku (RSA a další) nic nezabíjejí, jen dokládají, že organizované (zejména vládní) skupiny dnes takto skutečně fungují už dlouhou dobu se vzestupnou tendencí. A to co říkám je, že v DNEŠNÍ době otevřením software by u zmíněných případů průnikům nezabránilo, paradoxně by je to dokonce mohlo urychlit.
Bystroushaak_ | 31.31.73.*26.7.2012 2:27
Closedsource se ukázal jako krutý fail v kryptografii, ale dle mého názoru to platí v celém IT sec odvětví obecně.

Closedsource z bezpečnostních důvodů naznačuje, že se vlastně bojíš, aby tam tu chybu nikdo nenašel. Neříká to, že systém pak bude bez chyb, jen že bude menší šance, aby chybu někdo našel, protože si jí nemůže proste vyhledat ve zdrojácích, musí na ní přijít jinak. To může navíc krásně failnout ve chvíli, kdy pak zdrojáky leaknou, popřípadě někdo sežene manuál.

U opensource je mnohem větší tlak na opravu chyb, ke které skutečně dochází, protože opravu může udělat kdokoliv. Když reportneš chybu MS, tak jí opraví, možná, někdy, pokud se budou cítit že se jim chce.

Nehledě na to, že jako opensource prostě nevypustíš naprostou prasečinu, což se v případě closed source stane v rámci katování kostů každou chvíli.

humlik: Ty příklady, které uvádíš v podstatě zabíjí tvé vlastní argumenty. Ani jeden z těch příkladů neměl opensource systém a se všemi bylo vyjebáno nemálo. Closedsource tedy vůbec nepomohl.

Jinak samozřejmě je vhodné to kombinovat s honeypoty a snažit se i různě jinak zjistit, zda byl tvůj systém kompromitován.

.cCuMiNn.: Imho je lepší a), protože spoléhat na to, že cílený útok odradí něco podobného imho není zrovna dobrý nápad. Proti obecným scannům je samozřejmě lepší b).

Jinak samozřejmě neříkám, že to chce opensource tlačit vždy (někdy tě to může ekonomicky potopit), ale co se týče bezpečnosti, tak to imho není na škodu.
dcd | 85.163.93.171/127.0.0.*22.7.2012 22:30
Vybrane casti zdrojovych kodu zverejnit duveryhodnym firmam/osobam za ucelem testu, ne kazdemu joudovi.

I kdyz zkusenosti z posledni doby naznacuji, ze diky stale lepsim knihovnam a fremaworkum u tech opravdu velkych systemu zverejneni kodu moc nepomuze.

Chyby se presouvaji do obchodni logiky a do mist, kde na sebe "doseda" vice technologii nebo skupin adminu.

qteck.... | 90.180.194.*22.7.2012 10:25
Zdá se, že odbočujete od tématu. Bavíte spíše o tom, zda je komplexně výhodnější z hlediska bezpečnosti zveřejnit zdrojové kódy, či ne. Namísto toho, aby jste zvážili fakt, že se jedná o státní systém, pracující s osobními údaji v ostrém provozu; slovo pilotní můžeme vypustit, souhlase s článkem..

Ke každému systému přeci přistupujeme individuálně.

Vy se ovšem vyjadřujete, někteří, tak jakoby jste napsali systém, řekneme na zakázku, nechali si za něj zaplatit 20 000 Kč a pak jej zveřejnili, aby si jej každý zdarma stáhl, vybudoval z toho, snad, systém svůj za kačku a ještě se domnívaje, že vám oznámí nalezené chyby.

Ku představě, jak by asi vypadala aplikace tohoto bezpečnostního opatření u bankovních systému (třeba RB), nebo sázkových kanceláří (Fortuna, či Bwin)?

Bystroushaak_: Opensource funguje, je toho důkazem spousta systémů. Ovšem je blbost mluvit o tom v souvislosti s tímto.

Zveřejnění zdrojáků, chápu jako zbytečné riziko. Odjakživa se před vypuštěním aplikace provádějí pentesty.

Prvně to projede člověk sám, pak k tomu posadí nezaujatého člověka, požádá ho o nějákou akci a sleduje. Po nasazení se pak nějaký čas mapuje pohyb návštěvníků a uživatelů.

Samozřejmě vše v závislosti na daném typu aplikace.

mrd: Ten systém skýtá více negativ nežli pozitiv, a to je taky předmětem diskuse, co zmínil autor článku je ve skrze podložené a racionální.
humlik | 89.233.188.*22.7.2012 0:35
@Bystrouhshaak_: Kdyby například DOD USA zveřejnila své kódy ke svým kritickým systémům, tak by na ní bylo méně úspěšných útoků?
Jsi opravdu přesvědčen, že aplikováním strategie "zveřejnit ke svým aplikacím zdrojové kódy" by ubylo věcí jako Comodo, DigiNotar, Sony, Nortel Networks, Lockeed+IMF+...(RSASecureID) a další? (doporučuji se podívat třeba i na operaci Shady RAt nebo Aurora)

Pokud jde o strategicky důležité systémy, tak spoléhat na to, že distribuovaná skupina dobrovolníků pracující ve svém volném čase zvládne rychleji a kvalitněji prolézt a opatchovat kód než jiná dobře organizovaná a motivovaná skupina, které stačí najít jen jednu díru, kudy se dostane dovnitř - to chce už velkou odvahu.

Strategie "zveřejněním kódu zmenšuji riziko průniku do systému" je podobně nešťastná a riskantní, jako opačný pól "mám closed source a jsem tím pádem v bezpečí" (tady nevím, kde si tento mylný závěr vyštrachal, já toto netvrdím)

Jestli vám můj názor nesedí, mějte klidně jiný, mě klidně bude stačit, pokud se nad tím aspoň někteří zamyslí a budou více bdělí k zajetým dogmatům.

Moje první reakce navíc nebyla k programátorům systému, ale ke komentáři YUPY. A neházejme vše na programátory - ve větších systémech je programátor jen jedno malinké kolečno v SSDLC - ano, může to posrat, ale většinou ty nejzásadnější problémy jsou jinde.

Bezpečnost by měla být řešena daleko dříve, než dojde k prvnímu spuštění programu, dokonce dříve, než někdo napíše první řádku programu.


prc | 80.188.216.*21.7.2012 23:47
Svuj postoj nemuzes jednoznacne obhajit a ani ho nemuze nikdo jednoznacne vyvratit. Na to ty ale nikdy neprijdes a jeste se ztrapnis kvizem.
.cCuMiNn. | E-mail | Website | PGP21.7.2012 23:07
Bystroushaak: Toto je bohuzel tema na flamewar, tak se do toho nechci moc poustet. Kazdopadne takovy maly kviz:
Co je lepsi pokud provozuji na Internetu nejaky system?

a) Zverejnit dokument, kde popisi, jaky software na serveru bezi, na jakych portech nasloucha, a jakymi prikazy jej lze ovladat.

b) Zamaskovat reakci jednotlivych programu tak, aby se pri fingerprintingu tvarily jako zcela jiny software.

----------
Teprve když vstáváte s hackingem a uléháte s myšlenkou na něj, máte šanci být hackerem.

Stránky: 1 2