Vistina zaštita neupotrebljiva?

@Dejan iz Toronta
Taj incident sa Apple Air nema nikakve zajedničke crte sa ovim. Tu se radilo o klasičnom propustu u Safari web browseru, dakle o specifičnoj grešci u kodu programa.

Ova priča o Visti se odnosi na samu arhitekturu "bezbednosnog" sistema koji je ugrađen u Vistu.

Ovoj je kao kad je onaj haker na takmicenju uspeo da inficira Apple Air tako sto je otvorio inficirani web site.
To je probelm sa svim OS-ovima.

Vista je krs. Ja Windows XP nikada ne bi menjao Vistom. Uz laptop sam dobio Vistu i mogu slobodno da kazem da se potvrduje ono sto sam od starta mislio da je Vista najveci promasaj decenije u razvoju softvera i da ce to biti pocetak kraja Microsofta.

Za Vistu se odavno govori da je krsh. I jeste. Jedina stvar koja prodaje Vistu je DirectX 10. Sto pricaju da DirectX10 ne moze da radi na XP-u je jednostavno zloba MS-a da bi uvalio jos jedan operativni sistem. Ako DirectX 9 moze da radi na Win98, Win2000, koji su zastareli, onda u cemu je problem?

Svi ti Windowsi su zasnovani na NT hybrid kernelu. A Vista nije radjena ispocetka nego je samo jos jedna varijacija predhodnih Windowsa.

@IPMUTANT

naravno da je moguce...

Ovo je vec ozbiljan blam.
Microsoft vec godinama u nazad ima katastrofalne greske upravo u kodu koji treba da obezbedjuje sigurnost podataka. Koliko su oni zainteresovani za sigurnost se vidi i po tome da su tek u Visti preveli u "deprecated" stanje protokole za koje se od 1998. zna da su ozbiljno suplji (MS-CHAP v1 - vise detalja o tome na http://www.schneier.com/pptp.html - http://www.schneier.com/paper-pptp.html - http://www.schneier.com/paper-pptpv2.html

Ovakve propuste ozbiljan proizvodjac softvera ni u ludilu ne moze sebi da dopusti, a kamo li da "gaji" godinama.

Zar nije malo čudno da je stručnjak iz IBM-a to otkrio? IBM-a koji više nije u PC svetu, već se bave samo serverima. Zaista jeste čudno da se iz IBM-a bave "ne-serverskim" OS-om. Ne, ipak nije, to je isti onaj IBM nekada deo čuvene anti PC trojke poznate kao AIM.
Što se viste tiče, ne mogu da shvatim toliki otpor, koristim je preko godinu dana bez i jednog problema. Jeste glomazna instalacija, jeste da jede mnogo RAM-a, ali HDD od 500GB+2GB DDR2 košta oko 85 eura. Podsećam da je 512MB DDR-a koštalo više u vreme SP1 za XP, kao i da je se u to vreme većina pokušaja izlaska na net završavala uvlačenjem nekog crva u računar i blokadom celog sistema, toga sa vistom nema.

Pa nije li bas cela ta OS arhitektura napravljena za to, da meni ne bi moglo da se desi da ukucam url nekog cudnog sajta i da mi on bez pitanja napravi neku glupost ta os-u?

Takodje me zanima, da li je moguce da ti se to desi i sa nekim valjano administriranim linuxom i mozilom?

Evo ga, sami autori pojasnjavaju stvar.

http://blogs.zdnet.com/Bott/?p=513

It still requires the attacker to have a vulnerability. Without the presence of a vulnerability these techniques don’t really [accomplish] anything. We used the ANI cursor vulnerability that had been patched. We chose this example because it worked on XP and Vista, but the example we used would not work [in the real world] because this issue was patched already.

Do you have any advice for Windows users today? Should they be alarmed?

As long as they follow standard security practices — use antivirus products and other typical things that are good standard policy — they shouldn’t have anything to worry about. Our research is to some extent academic. The articles that describe Vista security as “broken” or “done for,” with “unfixable vulnerabilities” are completely inaccurate.

Za one koji zele da procitaju malo realniji pogled na celu stvar, evo clanak:

http://arstechnica.com/news.ars/post/20080811-the-sky-isnt-falling-a-look-at-a-new-vista-security-bypass.html

...
Unfortunate, yes, but not—as was reported in the immediate aftermath of the presentation—evidence that Vista's security is useless, nor does this work constitute a major security issue. And it's not game over, either.

Sensationalism sells, and there's no news like bad news, but sometimes—particularly when covering security issues—it would be nice to see accuracy and level-headedness instead. Alarmism helps no one.
...

Koristim Vistu vec skoro godinu dana. Stvarno nemam ni jednu zamerku. Jeste velika i zahtevna. Doduse Intel Core2Quad + 2x2GB Geil itd. je pokrece stvarno fenomenalno. Ne bih se usudio da kazem da je krs sistem...

Polako.
Jos nisu dati detalji ovog "resenja" ali vec su se pojavile price da je potrebno da bude ispunjena gomila nekih preduslova (tipa: mora da postoji neki drugi, unapred poznat, propust u softveru koji bi onda ovaj kod iskoristio, mora da bude iskljucen "protected mode" u IE, itd).

Ne znam da li je to tacno ili ne, zato trebamo sacekati da se objave detalji.

@miki: u pravu si.

Evo jos detalja sa gore pomenutog linka:

Furthermore, these attacks are specifically on the buffer overflow protections;

they *do not* circumvent the IE Protected Mode sandbox, nor Vista's (in)famous UAC restrictions.

@IPMUTANT
Ma da, obavezno, ali ako surfujes koristeci root nalog i ako browser ima neku rupu... Tako da da, moguce je, ali su mnoogo male sanse za isto... Sledeci put se raspitaj pa komentarisi...

Tako je bilo i sa XP-om na pocetku pa je vec posle 1. servis peka licio na nesto a sa drugim bio sasvim solidan. Ali je proslo oko 3 godine dok nije poceo masovnije da se upotrebljava. Zastita na windowsu je posebna tematika windows je najrasprostranjeniji OS i svakako je najvise na meti istrazivanja ljudi sa fix idejama. Mislim da ce vista punim plucima distati tek negde 2010.

@sale
Sale, nisi me razumeo. Ja i sam nisam mogao da verujem da je to moguce posto koristim valjano administriran Ubuntu i smatram da njegov sistem zastite radi kako treba, a to sto ja mislim kosilo se sa onim sto je napisao Dejan iz Toronta pa eto...

@al
ako je moguce molim te da mi napises kako, odnosno gde mogu dobiti vise podataka o tome

Zar nije malo čudno da je stručnjak iz IBM-a to otkrio? IBM-a koji više nije u PC svetu, već se bave samo serverima. Zaista jeste čudno da se iz IBM-a bave "ne-serverskim" OS-om. Ne, ipak nije, to je isti onaj IBM nekada deo čuvene anti PC trojke poznate kao AIM.
Što se viste tiče, ne mogu da shvatim toliki otpor, koristim je preko godinu dana bez i jednog problema. Jeste glomazna instalacija, jeste da jede mnogo RAM-a, ali HDD od 500GB+2GB DDR2 košta oko 85 eura. Podsećam da je 512MB DDR-a koštalo više u vreme SP1 za XP, kao i da je se u to vreme većina pokušaja izlaska na net završavala uvlačenjem nekog crva u računar i blokadom celog sistema, toga sa vistom nema.

Ovoj je kao kad je onaj haker na takmicenju uspeo da inficira Apple Air tako sto je otvorio inficirani web site.
To je probelm sa svim OS-ovima.

Vista je krs. Ja Windows XP nikada ne bi menjao Vistom. Uz laptop sam dobio Vistu i mogu slobodno da kazem da se potvrduje ono sto sam od starta mislio da je Vista najveci promasaj decenije u razvoju softvera i da ce to biti pocetak kraja Microsofta.

Za Vistu se odavno govori da je krsh. I jeste. Jedina stvar koja prodaje Vistu je DirectX 10. Sto pricaju da DirectX10 ne moze da radi na XP-u je jednostavno zloba MS-a da bi uvalio jos jedan operativni sistem. Ako DirectX 9 moze da radi na Win98, Win2000, koji su zastareli, onda u cemu je problem?

Svi ti Windowsi su zasnovani na NT hybrid kernelu. A Vista nije radjena ispocetka nego je samo jos jedna varijacija predhodnih Windowsa.

@IPMUTANT

naravno da je moguce...

Tako je bilo i sa XP-om na pocetku pa je vec posle 1. servis peka licio na nesto a sa drugim bio sasvim solidan. Ali je proslo oko 3 godine dok nije poceo masovnije da se upotrebljava. Zastita na windowsu je posebna tematika windows je najrasprostranjeniji OS i svakako je najvise na meti istrazivanja ljudi sa fix idejama. Mislim da ce vista punim plucima distati tek negde 2010.

Ovo je vec ozbiljan blam.
Microsoft vec godinama u nazad ima katastrofalne greske upravo u kodu koji treba da obezbedjuje sigurnost podataka. Koliko su oni zainteresovani za sigurnost se vidi i po tome da su tek u Visti preveli u "deprecated" stanje protokole za koje se od 1998. zna da su ozbiljno suplji (MS-CHAP v1 - vise detalja o tome na http://www.schneier.com/pptp.html - http://www.schneier.com/paper-pptp.html - http://www.schneier.com/paper-pptpv2.html

Ovakve propuste ozbiljan proizvodjac softvera ni u ludilu ne moze sebi da dopusti, a kamo li da "gaji" godinama.

@Dejan iz Toronta
Taj incident sa Apple Air nema nikakve zajedničke crte sa ovim. Tu se radilo o klasičnom propustu u Safari web browseru, dakle o specifičnoj grešci u kodu programa.

Ova priča o Visti se odnosi na samu arhitekturu "bezbednosnog" sistema koji je ugrađen u Vistu.

Pa nije li bas cela ta OS arhitektura napravljena za to, da meni ne bi moglo da se desi da ukucam url nekog cudnog sajta i da mi on bez pitanja napravi neku glupost ta os-u?

Takodje me zanima, da li je moguce da ti se to desi i sa nekim valjano administriranim linuxom i mozilom?

Polako.
Jos nisu dati detalji ovog "resenja" ali vec su se pojavile price da je potrebno da bude ispunjena gomila nekih preduslova (tipa: mora da postoji neki drugi, unapred poznat, propust u softveru koji bi onda ovaj kod iskoristio, mora da bude iskljucen "protected mode" u IE, itd).

Ne znam da li je to tacno ili ne, zato trebamo sacekati da se objave detalji.

Za one koji zele da procitaju malo realniji pogled na celu stvar, evo clanak:

http://arstechnica.com/news.ars/post/20080811-the-sky-isnt-falling-a-look-at-a-new-vista-security-bypass.html

...
Unfortunate, yes, but not—as was reported in the immediate aftermath of the presentation—evidence that Vista's security is useless, nor does this work constitute a major security issue. And it's not game over, either.

Sensationalism sells, and there's no news like bad news, but sometimes—particularly when covering security issues—it would be nice to see accuracy and level-headedness instead. Alarmism helps no one.
...

@miki: u pravu si.

Evo jos detalja sa gore pomenutog linka:

Furthermore, these attacks are specifically on the buffer overflow protections;

they *do not* circumvent the IE Protected Mode sandbox, nor Vista's (in)famous UAC restrictions.

@IPMUTANT
Ma da, obavezno, ali ako surfujes koristeci root nalog i ako browser ima neku rupu... Tako da da, moguce je, ali su mnoogo male sanse za isto... Sledeci put se raspitaj pa komentarisi...

Evo ga, sami autori pojasnjavaju stvar.

http://blogs.zdnet.com/Bott/?p=513

It still requires the attacker to have a vulnerability. Without the presence of a vulnerability these techniques don’t really [accomplish] anything. We used the ANI cursor vulnerability that had been patched. We chose this example because it worked on XP and Vista, but the example we used would not work [in the real world] because this issue was patched already.

Do you have any advice for Windows users today? Should they be alarmed?

As long as they follow standard security practices — use antivirus products and other typical things that are good standard policy — they shouldn’t have anything to worry about. Our research is to some extent academic. The articles that describe Vista security as “broken” or “done for,” with “unfixable vulnerabilities” are completely inaccurate.

Koristim Vistu vec skoro godinu dana. Stvarno nemam ni jednu zamerku. Jeste velika i zahtevna. Doduse Intel Core2Quad + 2x2GB Geil itd. je pokrece stvarno fenomenalno. Ne bih se usudio da kazem da je krs sistem...

@sale
Sale, nisi me razumeo. Ja i sam nisam mogao da verujem da je to moguce posto koristim valjano administriran Ubuntu i smatram da njegov sistem zastite radi kako treba, a to sto ja mislim kosilo se sa onim sto je napisao Dejan iz Toronta pa eto...

@al
ako je moguce molim te da mi napises kako, odnosno gde mogu dobiti vise podataka o tome