> Тут как не сделай — всяко плохо, увы.Вот только сказок тут не надо?
> Можно ведь и наоборот повернуть: узер «ничего такого не делал», а программа
> у него работать перестала. Примеров таких — множество. Из недавних —
> вмваре сервер на 5 редхате.
Я не знаю что там у вас с вмваре и редхатом, но лично у меня все работает, при том не первый год уже. И никаких приключений с либами мне не попадалось. В основном на дебияне и убунте правда, т.к. не нравятся мне пакетные манагеры редхата. А вмварь кстати проприетарщина, так что если она не очень хорошо работает с пакетными системами и прочая - жалуйтесь в спортлото. Влопались в проприетарь? Кушайте, не обляпайтесь. Рассматривайте это как бесплатный бонус. Ведь открытый софт майнтайнеры репов могут подогнать под остальную систему, затестить и если что не срослось - пропатчить до отдачи этого вам. А в случае блобятины - жрать вы будете то что дали, и если оно вызвало икоту - простите пожалуйста. А потом проприетарщики еще и искренне удивляются - их оказывается за что-то не любят и почему-то предпочитают открытые решения. Наверное потому что с ними такого геморроя как правило нет :)
> Не делайте из латания уязвимостей культа:
К сожалению, придется. Иначе нас просто завалит ддосами и спамом.
> если сеть построена верно, если права пользователям раздаются с умом, «и всё такое»,
А скажите, вы лично готовы построить правильно сеть и раздать права по уму каждой домохозяйке, мля? Коих только в рашке хренадцать миллионов! Или гигабитные ддосы с этих домохозяек - это так и надо?
> то из сотен находимых уязвимостей реальную опасность для системы могут
> представлять единицы.
А хаксору, знаете ли, чтобы повесить прокся/бэкдор как-то сильно дофига прав и не надо. И его вполне устроит если хомячок своим непатченым ишаком на его страничку зайдет, получив там эксплойтом по башке. Современные хаксоры не стремятся знаете ли поиметь систему вплоть до вдувания трояна в BIOS и фирмварь винча. Не надо оно им. Они предпочитают сколачивать ботнеты и сыпать ддосами и спамом. Это гораздо проще и приносит кучу профита. И вот с виндов это все и валится в основном. Хотя казалось бы, мощные *никс сервера с жирным каналом в инет и без хомячковых лимитов на халфопен соединения - отличные мишени которые надо раздолбать первым делом. Также хаксоры просекают фишку и начинают отгружать "специальным образом попорченные" mp3, png, pdf, AVI.... ;).В общем все внешние данные в современных реалиях заведомо враждебные. И сеть - тоже. А как вы себе представляете работу типового юзера без взаимодействия с сетью и совсем без обмена данными с внешним миром? Вот и получается что если не делать из апдейтов культ - есть шанс что машины станут рассадниками заразы, чихающими и кашляющими во все стороны левым траффом.
> Вот и выходит, что из-за исправления уязвимости, которой всё равно невозможно
> воспользоваться,
Откуда же тогда спам, составляющий 90% всей почты? И гигабитные ддосы совсем не стада протрояненых хомяков устраивают, ага.
> или воспользоваться можно, но никаого вреда это не нанесёт, работа системы прекращается.
Вообще-то, если у меня внезапно прекращается работа системы - я рассматриваю это как вполне себе вред.
> «Лекарство» оказывается гораздо хуже «болезни».
Ну да, как же. Как максимум - микрософт хреново реализовал нормальную идею. Почему-то в линухе например апдейты не требуют рестарта системы. Кроме обновлений ядра. И то, даже ядро можно патчить не перезагружаясь, парни из ksplice это умеют...
> В общем, не судите так однозначно. Правильно выполняемая работа инженера по безопасности
> весьма сложна, и совершенно не сводится к «ставь патчи — закрывай уязвимости».
Во первах, только в России есть хренадцать миллионов хомяков не снабженных персональными инженерами по безопасности. А вот ддосы и спам с них очень даже сыпятся с их виндозных помоечек с вирьем. Во вторых, вменяемый инженер по безопасности должен понимать что любой обмен информацией с внешним миром - потенциально небезопасен. Все входящие данные - потенциально могут быть недружественными. Будь то сидюк с фотками или пакеты по сети, никто не гарантирует что в одном из жпегов не окажется эксплойт, срывающий какомунить libjpeg башню. А у юзера вполне может оказаться вьюшка этих фоток юзающая проблемную версию libjpeg. Или там какой еще из 100500 либ не предоставляемых MS а потому таскаемых программами в меру своей дурости с собой отдельно от всех. В общем видали мы таких инженеров, ага.
