mumuntu: [Politics, Conservatism, Society] Родина в беде

(Добавить комментарий)

	dr_alex@lj 2003-12-04 11:55 (ссылка)
	Я честно говоря нихера там в ссылках не понял, но то что Билли финансирует взломы "GNUсных линуксоидов" - факт! (Ответить) (Ветвь дискуссии)

	alexclear@lj 2003-12-04 12:01 (ссылка)
	Там в ссылках анонс пары удачных взломов, причем ломали по крупному - один из популярных дистрибутивов (Gentoo Linux) и хостинг-систему для девелоперов GNUтого софта (Savannah). (Ответить) (Уровень выше)

	stop_kadr@lj 2003-12-04 11:56 (ссылка)
	^)))))))) (Ответить) (Ветвь дискуссии)

	alexclear@lj 2003-12-04 12:02 (ссылка)
	Я чувствую себя революционером. Жаль, нельзя прямо сейчас баррикаду на перекрестке забабахать. (Ответить) (Уровень выше)

object@lj
2003-12-04 12:04 (ссылка)

Кстати, отсутствие внимания к таким вещам весьма показательно. Каждый себя комфортно чувствует в том пространстве, где умеет передвигаться. Все это нытье "русских не пускают" происходит из-за того, что нытики ни о чем другом поговорить не могут. В компьютерной индустрии крутятся деньги, превышающие годовые бюджеты немаленьких стран, противостояние Microsoft/Sun - это с финансовой точки зрения гораздо более серьезное дело, чем вопрос о политическом влиянии на какую-нибудь Польшу. Но пусть в АйТи крутятся в тысячи раз большие суммы - Галковский будет талдычить про "Лондон дал, Лондон взял" - потому что это его среда обитания, и ему невдомек, что межкорпоративные противоречия все больше оттесняют межгосударственные.

Я не уверен, что это дело рук Микрософта, хотя если действовать по принципу "кому это выгодно", то, конечно, им. Но это уже конспирология.

(Ответить) (Ветвь дискуссии)

	alexclear@lj 2003-12-04 19:10 (ссылка)
	Дальше будет видно, конспирология это или нет. Да ведь это неважно! Одно уже ясно - Галковский это живой труп, уж не знаю, хорошо это или нет. (Ответить) (Уровень выше)

	0ld@lj 2003-12-04 12:22 (ссылка)
	это к лучшему мечтая о мире без люликсов и маздаев (Ответить) (Ветвь дискуссии)

	alexclear@lj 2003-12-04 19:21 (ссылка)
	Будет и такое. But everuthing is a file! Так что виндоуз раньше помрет. (Ответить) (Уровень выше) (Ветвь дискуссии)

	alexclear@lj 2003-12-04 19:23 (ссылка)
	s/everuthing/everything/ Курилъ, бухалъ... (Ответить) (Уровень выше)

Теория заговоров...

potan@lj
2003-12-04 12:27 (ссылка)

Последнее время ЖЖ просто распухает от всевозможных конспирологических гипотез. Выборы, переполненные электрички на курском вокзале, увеличение количества холостых людей - все это результаты заговоров разного рода.
Оказывается мир ПО тоже не обошло это всеобщее веенье :-).

А вообще кто бы эти взломы не финансировал, он делает доброе дело. Пора наконец задуматься о безопасности. Я не представляю как можно запустить сервер, что на нем удаленно можно получить рутовый доступ...

(Ответить) (Ветвь дискуссии)

	Re: Теория заговоров... troodny@lj 2003-12-04 12:43 (ссылка)
	полагаете, есть сервера, к которым нельзя получить рута? по-моему, это иллюзия. не бывает стопроцентной надёжности. (Ответить) (Уровень выше) (Ветвь дискуссии)

Re: Теория заговоров...

potan@lj
2003-12-04 12:54 (ссылка)

Например сервер, у которого открыт только HTTP без CGI на каком-нибудь вылизанном ядре. :-)))
В реальной жизни достаточно вовремя прикладывать пачи. Благо те дыры были известны уже несколько месяцев.
Есть и другие, более радикальные подходы.
Например рандомом переставить все номера syscall индивидуально для каждого сервера (билдовая машина естественно от сети отключается, а на не ставится не требуемых библиотек, ни компилятора). Взломать такое в принципе не возможно - неудачная попытка взлома будет сразу обнаружена.
Второй подход - перестать писать софт на небезопасных языках. Если бы все писалось на каком-нибудь OCaml (а ядро на Cyclone) то дыр бы было на порядок меньше.

(Ответить) (Уровень выше) (Ветвь дискуссии)

	Re: Теория заговоров... troodny@lj 2003-12-04 13:52 (ссылка)
	безопасные - это интерпретаторы собственного байт-кода, что ли? так они ж неторопливые и глюкавые сами по себе. или я чего-то сильно недопонимаю? (Ответить) (Уровень выше) (Ветвь дискуссии)

Re: Теория заговоров...

alexclear@lj
2003-12-04 19:31 (ссылка)

безопасные - это интерпретаторы собственного байт-кода, что ли?

Нет.
Это, в частности, языки без side effects (как это по русски? побочные действия?).
Есть некий труд на тему интерпретации байткода/безопасности, написанный товарищами, продвигающими Mandatory Access Control. Я читал, но не до конца. Смысл в том, что интерпретаторы байт-кода не дают гарантий безопасности.

(Ответить) (Уровень выше)

Не всегда.

potan@lj
2003-12-05 05:39 (ссылка)

В плане безопасности байткод полезен за его верефицируемость. Нужна она в системах, которые могут выполнить чужей код - перед выполнением не плохо было бы убедится что тот код ни чего плохого не делает. Это пытаются обеспечить в Java. Близкие идеи применялись в AS/400. Были попытки верификации и native (точнее подмножества) - например системы GO32.
Но агентские штучки реально пока мало кому нужны.
Безопасные языки это в первую очередь языки с правильной типизацией. Хорошая система типов могла бы обнаружить многие дыры (аналог опции -t у perl, только статическая). Переполнение массивов тоже должно контролироваться. Отсутствие побочного эффекта полезно (более легкая верифицируемость и массивы не переполнятся - это тоже побочный эффект :-)), но не обязательно. Cyclone - хороший пример процедурного компилируемого языка, который создавался с учетом безопастности.

(Ответить) (Уровень выше) (Ветвь дискуссии)

Re: Не всегда.

amirul@lj
2003-12-05 07:36 (ссылка)

Проверка границ при всех обращениях к массиву - тоже ОЧЕНЬ плохо. Очень часто можно обойтись одной проверкой перед циклом или вообще без проверок, если источник надежный (то бишь или не от юзера, или от юзера, но уже проверенный). То что в C до сих пор ленятся и не проверяют размеры буфера в нужных местах - это от лени, статическая проверка не всегда (вернее в большинстве случаев) невозможна, а динамическая - оверхед (причем опять таки в большинстве случаев - совершенно лишний). Вот если бы как в некоторых странах за воровство, программерам отрезали палец за непроверенные границы юзерского ввода - было бы гораздо меньше секурити проблем :-) (как никак, но вроде бы 2/3 всех уязвимостей - переполнение буфера)

(Ответить) (Уровень выше) (Ветвь дискуссии)

Динамическая проверка.

potan@lj
2003-12-05 07:42 (ссылка)

Если с массивами работать через итераторы, то проверка как раз и будет происходить один раз перед циклом, и вообще может быть реализованна статически.
Кроме того, оптимизирующий компилятор способен убрать проверки там, где они на самом деле не нужны. Если конечно писать с учетом такой оптимизации.

(Ответить) (Уровень выше) (Ветвь дискуссии)

Re: Динамическая проверка.

amirul@lj
2003-12-05 08:45 (ссылка)

Если с массивами работать через итераторы
Не всегда хватает последовательного доступа (если я правильно понял, что имеется в виду под словом итератор). Например для той же хеш-таблицы, да и для большинства эффективных методов сортировки и поиска требуется произвольный доступ. В этом случае никогда не известно каким будет следующий индекс. А насчет оптимизирующих компиляторов - согласен - пусть компилятор занимается рутиной, у него это лучше получается. У меня недавно была дискуссия на эту тему, где мне пытались доказать, что это отстой. Кроме собственно самого этого тезиса, я не увидел ни одного аргумента в поддержку такой теории :-)

В том же C++ есть два метода доступа к элементу контейнера с произвольным доступом (vector, deque) - operator[] и at(). Без проверки границ и с проверкой соотвественно. Пользуйтесь на здоровье :-)

(Ответить) (Уровень выше) (Ветвь дискуссии)

Re: Динамическая проверка.

potan@lj
2003-12-05 10:02 (ссылка)

Если доступ не последовательный, то грантировать правиьность доступа значительно сложнее. Скорее всего проверкой перед циклом не отделаешься.

stl конечно крут, но включать/выключать проверки хорошо бы ключиком (-DDEBUG=1).
Вообще C++ требует столько внимания, что бы писать и красиво, и эффективно, и безопасно, что нафиг он нужен. Все области применения этого монстра хорошо покрываются Cyclon (системные и realtume) и OCaml (приклодные задачи).

(Ответить) (Уровень выше)

	troodny@lj 2003-12-04 12:46 (ссылка)
	a я вот как-то не очень понимаю, честно говоря, как заработать программеру, если не продавать софт. (Ответить) (Ветвь дискуссии)

	potan@lj 2003-12-04 12:58 (ссылка)
	Очень просто - его писать. Программисты обычно получают деньги за разработку. А за продажу получают маркетоиды и прочие манагеры. (Ответить) (Уровень выше) (Ветвь дискуссии)

	troodny@lj 2003-12-04 13:44 (ссылка)
	дыкъ нет. софт-то свободный. как его продашь? (Ответить) (Уровень выше) (Ветвь дискуссии)

	alexclear@lj 2003-12-04 19:12 (ссылка)
	Можно продавать поддержку. Из России это малореально пока, но мы верим. (Ответить) (Уровень выше)

	alexclear@lj 2003-12-04 19:21 (ссылка)
	Продавать надо не софт, а мозги. (Ответить) (Уровень выше)

	В этом то и прелесть! potan@lj 2003-12-05 05:24 (ссылка)
	Раз его не продашь, то те кто живут на продажах (манагеры и маркетоиды) вымрут с голоду. А оплачиваться будет именно разработка софта, теми кто в этом софте нуждается. (Ответить) (Уровень выше)

alexshubert@lj
2003-12-05 05:01 (ссылка)

ну вот. Кому после этого верить?
а я говорил, что Линукс-линуксом, но человеческий фактор все изгадит :))
я вот вчера firewall поднял толком не разобравшись в форвардинге. Получился
экран с нефиговой дырой по центру :))

(Ответить)

	(просто чудесно) many_as_one@lj 2003-12-05 05:23 (ссылка)
	Лучше всего, если подобные вещи финансируются MS. Вложение денег в безопасность Linux - очень социально полезное действие. В любом случае, эволюция - красивая штука. Будем созерцать. (Ответить)

	nepios@lj 2003-12-05 07:57 (ссылка)
	Действительно, странно, но до большинства доморощенных патриотов всё никак не может дойти, что само понятие государство остаётся в прошлом. Даже неглупые люди как правило всё ещё мыслят старыми категориями. (Ответить)

a_i_d_a_n@lj
2003-12-07 08:21 (ссылка)

Алекс, в Росси на это не обратили внимание потому, что русским одинаково по хую как копилефт, так и копирайт. Все равно никто не за что не платит, а винды будут популярными, поскольку на лоьтках не дороже линуха :-)

(Ответить)