Hyökkäyskoodi on julkaistu, nyt alkavat hyökkäykset. Sori.
http://www.tietoviikko.fi/msareena/msuutiset/kaikkiareenauutiset/article491091.ece?s=r&wtm=tietoviikko/-24082010
Olin muuten pahasti väärässä kun sanoin että ongelman voi välttää siten että käyttää windowsissa vain komentoriviä, sekään ei pelasta
"mukaan lukien Windowsin komentotulkki"
Tässä on nyt Höyry-Hourimolla ja Pentillä selittämistä että mitenkäs tämä windowsin tehtaiden tuote yhtäkkiä jälleen kerran romahti näin pahasti?
http://www.tietoviikko.fi/msareena/msuutiset/kaikkiareenauutiset/article491091.ece?s=r&wtm=tietoviikko/-24082010
Olin muuten pahasti väärässä kun sanoin että ongelman voi välttää siten että käyttää windowsissa vain komentoriviä, sekään ei pelasta
"mukaan lukien Windowsin komentotulkki"
Tässä on nyt Höyry-Hourimolla ja Pentillä selittämistä että mitenkäs tämä windowsin tehtaiden tuote yhtäkkiä jälleen kerran romahti näin pahasti?
Vastaukset 38
Vanhimmat
Ei taida auttaa muu kuin nettijohto irti windows-pc:stä ja odottamaan paikkausta. Paikkaus kannattaa ladata linux-tietokoneella ;)
Ladataanko joiltain nettisivuilta esimerkiksi DLL-tiedostoja koneelle vai vaatiiko tuo siis että asentaa jonkin hämärän ohjelman itse? Jos tuo vaatii käyttäjän typeröintiä niin taaskaan tämä uhka ei itseäni koske, toki käytänkin pääsääntöisesti muita käyttiksiä mutta kyllä yhdessä koneessa Windows on ja ihan jopa netissä :)
Reikänen ohjelma lataa tuon saastutetun .dll tiedoston, ei käyttäjä. Ainoa keino suojautua on käyttää linuxia.
Mistä se reikäinen ohjelma sitten tulee joka sen DLL:n lataa yhtäkkiä oikean sijasta? Tai vaihtoestoisesti mistä se saastunut DLL tulee yhtäkkiä koneelle?
Ai mikäkö? No, se on tietenkin se yksi lukemattomista Windowsiin next-next-next-next-ok -asennettavista ohjelmista ties mistä netin syövereistä. Jos Windowsiin haluttaisiin tietoturvaa siihen olisi olemassa pakettivarastot. Niitä vain ei tule, koska a) kukaan ei niistä suostu maksamaan koska ilmaisiakin löytyy ja b) ilmaiset, turvalliset eli avoimet sovellukset ymmärrettäisiin muutenkin järkeväksi tavaksi asentaa ohjelmia. Se vain johtaisi monilla oivallukseen että eihän sitä Microsoftin Windowsia tarvitse yhtään mihinkään, koska pakettivarastot on jo pitkään ollut todellisuutta Linux-jakeluissa.
Niin, sanoinko jo että esimerkiksi monipuolinen ja turvallinen Ubuntu on ilmainen?
...jostain näköjään saanut päähäsi että olisin joku WIndowsin puolestapuhuja ja etten tietäisi esim. Ubuntusta mitään. Olet väärässä vaikka käytänkin tosin pääasiassa Mac OS X:ää enkä Ubuntua.
Tuo mitä sanoit olikin se tieto jonka halusin varmistaa eli vaatii käyttäjän hölmöilyä eli tuo vaara ei itseäni koske.
Käyttäjän hölmöilyä... koska nykysysteemeissä käyttäjä = ylläpitäjä, niin järjestelmän tulisi olla jo oletuksena turvallinen eikä niin, että luodaan mielikuva turvallisesta ja tarjotaan pelkkää alustaa, joka muuttuu turvattomaksi välittömästi normaalikäytössä, kuten windows-puolella asia on.
Miten muuten Mac OS tuntemattoman käyttäjänä voit sanoa siihen kun Mäkki on täkäläisten viisaiden mukaan turvallinen kuulemma vain jonkin aikaa, koska rauta vanhenee sen sileän tien kun tuki loppuu? Itse en Mäkkiä ole käyttänyt kuin tuollaiset pari tuntia jollakin kurssilla, joten henkilökohtaista kokemuksista käsin en sitä en osaa haukkua saati kehua.
Siis tarkoitatko tuolla raudan vanhenemisella PowerPC -prossuja? Niillehän ei enää tule uutta OS X -versiota vaan viimeisin on 10.5, nyt mennään versiossa 10.6 ja Applella on tainnut olla tapana tukea vain pykälän verran vanhempaa versiota uuden lisäksi eli PPC-koneiden käyttäjät ovat siinä mielessä umpikujassa. Intel -koneiden käyttäjät toki saavat (tai uskoisin, miksei näin olisi) sitten sen tulevan 10.7 -versionkin asennettua ja homma jatkuu.
Omasta mielestäni PowerPC Ubuntukaan ei ole pelastus noille vanhemmille koneille koska se toimii niin huonosti, iBookissa työpöydälle asti ei päästy lainkaan vaikka kokeilin niitä vaihtoehtoja joita alussa ehdotettiin jos ongelmia tulee, PowerBookilla mentiin kyllä työpöydälle mutta WLAN-kortti käyttikin ilmeisesti jotain piiriä jota Ubuntu ei tue. En tiedä sitten miten nuo Yellow Dog Linuxit ja muut toimii noissa ja onko noille vanhentuville koneille siis mitään turvallista vaihtoehtoa. Applehan voisi tietysti hyvällä säkällä tukea 10.5:ää pitempään vielä, kenties näin ei kuitenkaan käy.
Niinhän PowerPC:tä ovat siis G3, G4 ja G5. G3:han on jo kuopattu 10.5:n myötä.
Korjausta vielä: Inteliähän ne kaikki ovat siis nyt mutta tarkoitin että vanhimpiinkin Intel Maceihinkin varmasti menee se 10.7
Lähes kaikissa windows ohjelmissa on tuo reikä. Klikkaat jotain linkkiä tai menet väärälle sivulle jne ja koneesi on saastunut..
>Lähes kaikissa...
Mitä se "lähes" siinä tekee? Sano yksikin missä ei ole.
"...huijaamalla sovelluksen lataamaan dll-tiedoston, jolla on sama nimi kuin tarvitulla tiedostolla."
Tämähän on ollut olemassa yhtä kauan kuin windowsitkin. Tunnetaan nimellä DllHell.
Minullahan on aiheeseen liittyvä kuvakaappauskin ;D
http://www.mworks.info/kuvakaappaus/winxp/dllhell.JPG
http://keskustelu.suomi24.fi/listmessage/8312079/45520078.
PS: Ne tilaamasi sinolin 25l tonkat olisi pitänyt itse laatimasi suunnittelu- ja kokoonpano-ohjeen mukaan kaataa sinne LIVS-järjestelmään eikä sitä LVIS-järjestelmää säätävään naamariin?
Vastaus linkin kysymykseen; en ymmärrä mitä kysymyksesi tarkoittaa, asentaa uudelleen mihin?
P.S. Minä en juo sinolia.
Mutta sitä enemmän LINUX COOL-AID .......................
Niin että mihin asentamista se automaatio-ohjelman uudelleenasennus-kysymys nyt oikein koski?
Valtavirtakäyttöjärjestelmän hörhö yrittää atk-tapansa mukaan kääntää huomion pois varsinaisesta aiheesta. Taas kerran huomattiin, että valtavirtakäyttöjärjestelmän tietoturva ei muka-aukottomasta aitoustarkistusjärjestelmästäkään huolimatta ole atk-merkittävällä tavalla parempi, kuin marginaalikäyttöjärjestelmä-Linuksin, eikä varsinkaan kestä vertailua vaikkapa marginaalikäyttöjärjestelmä-OuppenBSD:hen
Samaan aikaan Suomen suosituinta tietotekniikkafoorumia ovat nimimerkillisesti erit, kaksi paatuneinta marginaalikäyttöjärjestelmän hörhöä klikanneet vielä enemmän eli lähes 40 000 kertaa pelkästään Suomi24-tietotekniikkafoorumein LÄHETÄ-nappulaa:
mkar: http://tinyurl.com/396sdcv
ekserky: http://tinyurl.com/34ue9zs
http://img534.imageshack.us/img534/2241/marginaalisuosio.jpg
Tuo, jos mikä on sekoilua, joka on jatkunut vuodesta toiseen. Mitä he ovat saaneet aikaan? Mistä he ovat menneet noin sekaisin? Kuinka on mahdollista, että et erota aitoa sekoilua? Et kai vain ole toinen tai pahimmassa mahdollisessa atk-kauhuseknariossasi molemmat heistä?
Olen kyllä molemmat meistä ja teistä, kiitos kysymästä.
Sinä olet ainoa joka on sekaisin täällä, muut väittelevät tai keskustelevat ajankohtaisista tai sitä vanhemmista asioista, sinä vain sekoilet. Määräänkö reseptin?
Ei perustetta Microsoftin toimenpiteisiin, mutta seuraamme hyökkäystilannetta taustalla.
Tästähän kasvaa vielä mielenkiintoinen reikäsota, onko vikaa kenessä:D
"Hänen mukaansa ongelma ei ole uusi, vaan se pohjautuu jo vuonna 2000 ilmoitettuihin ohjelmistovirheisiin."
oli 6 vuotta vamha aukko mutta windowsissa oli 17 vuotta vanha aukko. Tämä nykyinenkin on 10 vuotta vanha aukko.
Voi olla että tämä on vakavin aukko mitä käyttiksessä on koskaan ollut... Suunnilleen joka ikisessä Windowssoftassa...
Windows vetää aina pohjat tietoturvamokissa, kävi miten kävi. Linux aukkoa ei käytännössä pystynyt hyödyntämään koska vaati fyysisen pääsyn koneelle ja salasanat. Alkaa olla jo kymmenen kertaa peräkkäin lottovoitto -todennäköisyys että koneesi olisi saatu saastutettua vanhaa Linux aukkoa käyttämällä.
Eikös tuo pingviini ole mestarisukeltaja? Onko siis ihme, että koko marginaalikäyttöjärjestelmäperhe sukeltaa vuodesta toiseen niin syvälle kaikissa atk-suosiatilatoissa, että suosituimmankaan marginaalikäyttöjärjestelmän distron suosiopromilleja
http://img534.imageshack.us/img534/2241/marginaalisuosio.jpg
ei meinannut löytyä mistään, ennen kuin marginaalikäyttöjärjestelmän hörhöistä makr vahingossa julkaisi suosiopromillet, kun muittenkin marginaalikäyttöjärjestelmän hörhöjen kommentitkin tulevat noin syvältä? Suosittelen logoeläimen vaihtamista Albatrossiksi, jotta atk-jutuistanne tulisi edes korkealentoisempia!
Kyllä tuo mkarin vahingossa julkaisema marginaalisuosiotilasto on johtamassa siihen, että mkaria ollaan julistamassa leirinsä hylkiöksi, sillä niin anteeksiantamaton probaganda-temppu se häneltä oli, että eivät sitä ylipapit hevin sulata!
Marginaalikäyttöjärjestelmä kestää korkeahkon atk-valmistuslaatunsa ansiosta käyttöä hyvinkin syvällä. Se toimii vaikka vuosia ongelmitta atk-suosiotilastojen pohjien haastavissa oloissa, joissa valtavirtakäyttöjärjestelmä-Windows menisi lähes välittömästi tukkoon atk-pohjamudasta.
Hiukan väärensit tilastoja (10 kertaisesti) kun muutit prosentit promilleiksi.
Oikea linkki= http://tinyurl.com/yysxwg9
Tv. Ei kovin kiihkoisa kolmen eri käyttöjärjestelmän käyttäjä...
http://www.theregister.co.uk/2010/08/24/binary_planting_attack_advisory/
The attack works because many applications ignore best security practices and search for the library based only on the file name, rather than the full directory path, the advisory said. When the current working directory is set to one controlled by the attacker, it's possible to cause load a malicious file.
The advisory didn't say how many applications are vulnerable. In an interview last week, Mitja Kolsek, CEO of application security firm Acros Security, said his company has identified about 200 Windows susceptible programs and warned there could be more.
Sompoka sillai ettei sole Wintoussin syytä. ;)
http://www.tietokone.fi/uutiset/satojen_sovellusten_turvaongelma_ei_windowsin_syy
Hauska nähdä mitä sovellusten ohjelmoijat tykkäävät kun mikkis syyttää heitä suoraan syyllisiksi fiaskoon.
Etenkin kun oikeasti vika on pohjimmiltaan Microsoftin. Nämä itse tekivät DLL:n lataamisesta lyhyenä käytännössä standardin, ja ovat käsittääkseni suositelleet sitä. Nyt ilmoittavat että soosoo, näin ei olisi missään tapauksessa pitänyt tehdä!
Microsoft ei voi enää mitenkään korjata tuota moniin vuosiin, koska liian monet softat tekevät noin.
Microsoft on itse luonut oman käyttöjärjestelmä-kulttuurinsa johon tämäkin vika vankasti pohjautuu joten turha syytellä muita.
Jos minä suunnittelen polkupyörän johon pistetään vain 4 pinnaa per pyörä niin sitten kun alkavat katkeilemaan ja hajoamaan niin sanonkin että olettekos vähän tyhmiä, eihän 4 pinnaa voi kestää, niitä pitää olla vähintään 5.
"Ei ole minun syyni jos teidän 4-pinnaiset ei kestä enkä aio korjata yhtään pyörää"
"Hauska nähdä mitä sovellusten ohjelmoijat tykkäävät kun mikkis syyttää heitä suoraan syyllisiksi fiaskoon."
Nyt täytyy olla samaa mieltä mikkisoftan kanssa.Ohjelmoijat kyllä tietävät ,että ovat syyllisiä.
Itseäänkö? ;)
"Näyttää kuitenkin siltä, ettei edes Microsoft ole noudattanut omia ohjeitaan. "
http://www.tietokone.fi/uutiset/iskut_alkoivat_huippuvaaralliseen_dll_ongelmaan
Eipähän käy aika pitkäksi jolloin ei tarvitse mikkiksenkään irtisanoa niin suurta määrää.
"...etsiä dll-ongelmat sovelluksistaan ja korjata ne yksitellen."
Hiukan nimim: Aika syvältä? lle ( ja muillekkin jotka jauhavat tyhjää. )
Väärensit tilastoja (10 kertaisesti) kun muutit prosentit promilleiksi.
Oikea linkki= http://tinyurl.com/yysxwg9
Lopettakaa pojat etsimästä vikoja käyttöjärjestelmistä, koska ne eivät koskaan tule täydellisiksi kuten ei (onneksi) ihmisetkään jotka niitä tekevät.
Mikään ihmisen tekemä ei ole täydellinen, haavoittumaon tai lopullisen hyvä jota ei tarvitse koskaan korjata tai parannella.
Kävele 2-12m ja katso peilliin. Miltä näyttää ? Näppyjä ? ! Monenko vuoden esim exe ace, tiedostojen koodauskokemus ?
Kelpaatko tai hallitsetko pätkääkään rakas win käyttiksen tietoturva-arvostelija ; ohjelmakehittäjäksi, testaajaksi, betatestaajaksi, C tai C, Java, LTS pakettien, VisualBasic in koodaajaksi, ja siten developeriksi esim Microsoftille, OSX lle tai Open source Linuxille ?
Jos et niin asia jota täällä esität ja boldilla vedätät on kuin metsässä myrskyyn tuskaasi huudat.
Se ei vaikuta mitenkään käyttöjärjestelmien väliseen suosioon. Vaikuta itse. Tee Se Itse !
Pyydänkö liikaa ? Ehkä en, ehkä kuitenkin ....
Tee itse mieleisesi käyttöjärjestelmä. Tosin 300 kpl 10000 rivin käännettyjä esim C sekä monia muita tiedostoa ei vielä riitä mihinkään. Notta urakkahan vie USEITA vuosia.
Tarvitaan paljon muutakin tietämystä asioista. win in puolella dll kirjastoja ja Macilla sekä linuxilla muita samantyyppisiä kytkentöjä. Nukuttaa tää paasaaminen Öitä hyvä arvostelijakaartini ;=)
Tv. Ei kovin kiihkoisa mm. kolmen eri käyttöjärjestelmän käyttäjä...