Onpas ne "tuhannet silmäparit" olleetkin huolimattomia!
http://www.digitoday.fi/tietoturva/2014/10/01/shellshockista-tuli-rypalepommi-jo-kuusi-haavoittuvuutta/201413627/66
http://www.digitoday.fi/tietoturva/2014/10/01/shellshockista-tuli-rypalepommi-jo-kuusi-haavoittuvuutta/201413627/66
Vastaukset 31
Vanhimmat
2 Kertaa tullut jo päivitys bashiin tietoturva aukkoja vastaan. Distrona Manjaro Kde linux
3 x Ubuntuun.
Kuka ollut huolimaton?
Ainakin sitä auditoidaan hyvin.
"Hyvä" 25 vuoden auditointi.
Edelleenkin tunnettuja reikiä ilman paikkauksia.
Väite "tuhansista silmäpareista" on todistettu pelkäksi myytiksi.
25 vuotta windowsia ja huonompaan suuntaan menee. Hidas, vie paljon levytilaa, vakavia virheitä useita, esim:
http://superuser.com/questions/628976/improving-windows-7-perfomance-on-a-pc-with-slow-hdd
http://www.tomshardware.co.uk/forum/235878-44-random-data-corruption
Ostin reitittmen, koska win7 sotki datapaketteja. ICS ei siis toimi ,edes 3.0Ghz duaclore pc:ssä.
Ne aukot löydettiin äsken.
Katsos kun tuhannet silmäparit löysi siitä turva-aukon, ja tutkivat nyt voiko samoilla nikseillä hyökätä muutenkin. Nyt auditoivat sitä uudestaan, löytävät aukkoja ja korjaavat.
Näin se vaan paranee kaiken aikaa.
Yksi ainoa silmäpari tuhansista sattui löytämään jonkun aukon. Eikä edes löytänyt kaikkia asiaan liittyviä aukkoja, päivittäinhän löytyy uusia bashista. Olennaista tässä on se, että nuo löydetyt aukot on erittäin vaarallisia, täyden kympin (10/10) luokituksella.
Niitähän hyödynnetään jo jatkuvasti. Ja avoimesta lähdekoodista löytyy helposti uusia vaarallisia aukkoja - niitähän rahakkaat rikollistahot (=tuhannet silmäparit!) etsivät täyttä häkää, eivätkä varmasti julkaise tietojanssa ennen kuin ovat saaneet niistä hyödyn.
"Yksi ainoa silmäpari tuhansista sattui löytämään jonkun aukon."
Niin? Ei ne nyt helposti näy vaikka koodia tutkisikin.
"Eikä edes löytänyt kaikkia asiaan liittyviä aukkoja, päivittäinhän löytyy uusia bashista."
Tällä hetkellä, koska löydettiin uudenlainen hyökkäystapa ja koko koodi käydään läpi nyt uusiksi täikammalla juuri tämäntyyppisten varalta. Aivan normaalia.
Sama juttuhan se oli silloin aikoinaan kun joku keksi vaikka symlinkkeihin liittyvän haavoittuvuuden joten kaikki koodi missä käytettiin mktemp:iä piti käydä läpi ja korvata mahdollisuuden mukaan mkstemp:llä.
Aivan normaalia touhua ja koodin laatu paranee kaiken aikaa.
Aina huvittaa miten tiukan kritiikin kohteeksi linuxit joutuu heti, kun jotain pientä aiheen tynkää löytyy. Onhan se kuitenkin ilmainen ja käyttö perustuu vapaaehtoisuuteen, eikä sitä kenenkään koneelta löydy, jos ei ole sitä halunnut koneelleen, toisin kuin eräs toinen käyttis.
Eihän ilmaisuus tietenkään saa olla mikään veruke turvattomuudelle, mutta kun kyseessä onkin turvallisempi kuin kaupalliset vaihtoehdot.
No toki tuleehan se kritiikki juuri näiltä kaupalisten vaihtoehtojen käyttäjiltä ja jos ei tule niin ainahan voi vaatia Linuxista siihen sijoittamansa rahansa takaisin ja katsella turvallisempaaa vaihtoehtoa.
Paitsi että tämä ei liity mitenkään Linuxiin, eikä mitenkään yleisesti käyttöjärjestelmiin mitkä käyttävät Linuxia.
Tämä on vain bashiin liittyvä asia.
Kyllähän se vaan liittyy Linuxiin, koska bash on ylivoimaisesti käytetyin komentotulkki unix/linux-maailman käyttöjärjestelmissä. Ja siinä rakkaassa Ubuntussasikin bash on oletuksena kaikilla asennettuna ja käytössä. Eihän nämä faktat mihinkään muutu.
Ubuntussa bash ei ole käytössä, vaan käytettävissä.
Ei liity Linuxiin koska Linux on pelkkä kernel!!!! Jos tarkoitat jotain Linux-pohjaista käyttöjärjestelmää niin älä kirjoita isolla L-kirjaimella vaan puhu vaan pelkästä linuxista, pienellä l-kirjaimella!
Sitäpaits jos olen oikein ymmärtänyt niin nimenomaan Ubuntussa EI ole Bash oletuksena vaan jokin muu, muistaakseni dash.
Annappa Ubuntun päätteessä komento: echo $SHELL
Mitä näyttää?
Suomen kielessä lauseet aloitetaan aina isolla kirjaimella. Näin siis lause aloitetaan sanalla Linux eikä linux.
On ihan eri juttu tarkoittaako kirjoittaja kerneliä vai linuxdistroa. Tämä käy kyllä ilmi asiayhteydestä.
Kannattaa opetella edes oikeinkirjoituksen säännöt. Joten monikkomuotoinen sana "linuxit" voi tarkoittaa asiayhteyden mukaan kaikkia Linuxkerneleiden versioita tai linuxdistroja.
Kunnon kirjoittaja kirjoittaa kyllä niin selvää tekstiä, että asiayhteys tulee ilmi.
Onhan se uutinen kun Linuxissa on häikkää. Windowsissa vastaava ei ole uutinen kun on totuttu että Windows-koneisiin rosvot menevät kuin telttaan.
Eilen ja toissapäivänähän noita päivityksiä työnsi yhtenään. Nyt kun uusia koloja on löytynyt, niin ei enää yhtään päivitystä. Joko meni sormi suuhun?
Ne on varmasti paikattu jo ennen uutisointia. Te ette ole tottuneet nopeisiin korjauksiin, vaan joudutte odottamaan sitä "seuraavan kuukauden tiistaita", tai sitä seuraavan.
Oracle taisi jakaa turvapäivityksiä pari kertaa vuodessa.
ai siihen unbreakable linuxiinsa?
Tietokantoihin.
Nämäkin jo paikatut reiät häiritsevät ainoastaan WIN-TROLLIA. Ihme että minä linuxia käyttävä en moisesta hätkähdä, enkä myöskään ala jälkikäteen jankkamaan asiasta.
Voisivat trollit keskittää voimansa siihen matoimuriinsa, että miksi se on niin turvaton ja hidaskin.
Jos bash tökkii niin edistynyt käyttäjä voi vaihtaa komentotulkin toiseksi. Juuri tämä komentotulkin vaihdon mahdollisuus tekee unixeista ja linuxdistroista edistyneen käyttäjän järjestelmän.
Minun tietokoneessa on viisi (5) komentotulkkia käytettävänä. Tutustukaa eri komentotulkkeihin ja käyttäkää sitä vaihtokomentoa (chsh).
Ei ole pakko käyttää sitä oletuksena tullutta komentotulkkia. Ennenkaikkea muistakaa se, että komentotulkki on tavallaan tekstipohjainen käyttöliittymä järjestelmään. Tekstipohjaisella käyttöliittymällä "voi tehdä" asioita joita ei voi tehdä rajoittavalla graafisella käyttöliittymällä.
Edistyneet käyttäjät suosivat monissa toimissa tekstipohjaista käyttöliittymää.
Kyllä osaava TUI:n käyttö vielä voittaa GUI:n monissa tarkoituksissa.
"Kyllä osaava TUI:n käyttö vielä voittaa GUI:n monissa tarkoituksissa."
TUI on eri asia kuin CLI.
Missä asioissa TUI on parempi kuin GUI? Ja mitä se tekee sellaista mihin GUI ei pysty?
1. Mikä on TUI?
2. Mikä on CLI?
GUI:n toki tiedänkin (eli se on graafinen käyttöliittymä).
1. TUI on Text User Interface, eli tekstipohjainen käyttöliittymä, tyypillisesti se mitä tehdään ncursesilla: http://en.wikipedia.org/wiki/Ncurses
2. CLI on Command Line Interface, eli komentorivi.
Nyt kiinnostaa missä asiassa TUI on parempi kuin GUI?
Eli CLI ja TUI on siis yksi ja sama asia...?
Ei.
Tutustu nyt edes komentojonojen optioihin. Graafisessa käyttöliittymässä ei ole kovinkaan montaa vaihtoehtoa.
Komentojonon kirjoittamisessa voi huomioida tarkasti ne optiot joita haluaa siihen mukaan.
Esimerkiksi unixissa on mahdollisuus "putkittaa" komentoja. Tämä ei oikein suju graafisen liittymän valikoissa. Itse suosin näitä itse kirjoittamia komentojonoja monissa tehtävissä.
Edistynyt käyttäjä voi tehdä kirjoitetuilla komennoilla sellaista mitä ei voi tehdä graafisen liitymän valikoissa.
Ymmärrätkö nyt mistä puhun?
Unixissa ja linuxdistroissa TUI:na toimii usein Busybox joka on ncurses sovellus.
Tosin terminaalissa voi kirjoittaa komentotulkin komentoja halutuilla optioilla, joten se terminaali kyllä toimii myös tekstipohjaisena käyttöliittymänä. Ja kyllä ne komentojonot eli skriptit terminaalissa ovat sitä komentotulkin ohjelmointia eli edistyneen käyttäjän tehokas käyttöliittymä järjestelmään.
Käytännössä TUI:lla ja CLI:llä ei ole kovin suurta eroa koska se komentorivi suoritetaan siinä terminaalissa. (eli se on tavallaan "komentoeditori") Komentotulkki käyttää myös tätä terminaalia.
Ei tästä kannata ryhtyä saivartelemaan. Ja jos oikein tarkkaan puhutaan niin todella edistynyt käyttäjä voi käyttää LUSH:ia eli Lisp Universal Shelliä taikka EShelliä joka taas on Emacs Shell. Emacshan on unixissa ja linuxdistroissa toimiva tekstieditori josta voi suorittaa myös käyttöjärjestelmän komentoja.
Näitä tekstipohjaisia liittymiä löytyy useitakin. Edistynyt käyttäjä kyllä oppii hallitsemaan ainakin Emacsia ja Vim:iä.
Molemmat toimivat myös Windowsissa jos ne on siihen asennettu. (minä olen asentanut myös nämä Windowsiin). Lushia olen harjoitellut omassa linuxdistrossa.
Tiedän kyllä mistä puhun.
Kerrotaanpa tämäkin. Tässä on osalainaus linux.fiin sivuston kautta tehtynä:
"Terminaaliemulaattori
Terminaali- eli pääte-emulaattori (kuten xterm, Konsole tai gnome-terminal) on ohjelma, joka komentoriviltä ajettavalle ohjelmalle näkyy päätteenä, emuloiden jotakin päätetyyppiä. Yleensä pääte-emulaattori ajetaan X:n ikkunassa, josta silloin usein käytetään nimitystä pääteikkuna. Unixien komentotulkit, perustyökalut ja useat editorit, sähköpostiohjelmat yms. on ensisijaisesti suunniteltu ajettaviksi päätteeltä, pääteikkunasta tai vastaavasta tekstitilaa muistuttavassa ympäristössä. "
Huomatkaa ilmaisu "tekstitilaa muistuttavassa ympäristössä". Käytännössä terminaali. konsoli ja pääte tarkoittavat toisiaan. Ja tähän tekstipohjaiseen ympäristön kirjoitetaan ne komennot ja komentojonot. Tämä on käytännössä se tekstipohjainen käyttöliittymä. Muunmuassa komentotulkit käyttävät tätä terminaalia. Ja terminaalista Emacs ja Vim myös käynnistetään kirjoittamalla komentosanat "emacs" tai "vim". Tuleeko nyt tekstipohjaisen käyttöliittymän merkitys ymmärretyksi vai tarvitaanko tässä taas muutamien vuosien väittely TUI:n ja CLI:n eroista?