Несколько недавно найденных уязвимостей:
- В корректирующем выпуске браузера Chrome 16.0.912.77 устранено (http://googlechromereleases.blogspot.com/2012/01/stable-chan...) 5 уязвимостей, из которых 4 помечены как опасные, а одна как критическая, т.е. позволяющая обойти все системы защиты и выполнить код злоумышленника на системе пользователя. Критическая уязвимость (http://code.google.com/p/chromium/issues/detail?id=107182) связана с обращением к уже освобождённой области памяти в режиме Safe Browsing;- В программе для генерации надёжных паролей pwgen (http://sourceforge.net/projects/pwgen) выявлена недоработка (http://www.openwall.com/lists/oss-security/2012/01/17/5) алгоритма, из-за которой примерно 6.5% из сгенерированных паролей легко восстанавливаются из хэша. Для восстановления из NTLM-хэша 6% паролей требуется всего две минуты, а для MD5 - около двух дней на обычном ПК c одноядерным CPU. Для 0.5% сгенерированных паролей NTLM-хэш можно подобрать за 1 сек...
URL:
Новость: https://www.opennet.ru/opennews/art.shtml?num=32890
Если я не ошибаюсь первая критическая уязвимость с удаленным выполнением кода в хроме?
> Если я не ошибаюсь первая критическая уязвимость с удаленным выполнением кода в хроме?Третья или четвёртая, в прошлом году несколько точно было.
> Если я не ошибаюсь первая критическая уязвимость с удаленным выполнением кода в
> хроме?Если не ошибаюсь, не первая.
Гугль платит деньги тем, кто находит ошибки в хроме.
Где-то 1-2 тыс $.
Они уже выплатили несколько десятков тысяч долларов.
Чемпионом является наш соотечественник, который понаходил дыр на 50 тыс долларов)
> в режиме Safe BrowsingВот такой вот "safe browsing"...
Это всего лишь констатация факта (агрессивно отрицаемого сообществами), что никакой софт, в том числе свободный, не является безопасным by design, и уж, тем более, не является более безопасным, нежели проприетарный.
Как математик говорю - вывод неверен ввиду неверного логического рассуждения :) Констатация факта изложена в новости, там ни слова о проприетарном софте.
> вывод неверен ввиду неверного логического рассужденияДавайте не будем путать логические выводы с троллячими вбросами :)
Вброс, в отличие от рассуждения, может содержать лишь видимость логичности (см. софистика).
Т.е. как математик вы видите прямую связь между стоимостью продукта и количеством ошибок в нём?
> Т.е. как математик вы видите прямую связь между стоимостью продукта и количеством
> ошибок в нём?Прямую связь? Как математик? Никак нет. Как и не вижу опровержения этого.
Стоимость продукта отражает его качество, только не путайте стоимость продукта (которая может состоять не только из денег, но может измерятся в человекочасах и других ресурсах потраченных на изготовление продукта), и его цену (которая не всегда правильно отражает его стоимость).
> только не путайте стоимость продукта (которая может состоять не только из денег, но может измерятся в человекочасахЧеловекочасы не всегда расходуются правильно. Они (как и другие ресурсы) часто уходят впустую, что совсем не улучшает качество продукта
Стоимость зачастую отражает не качество продукта, а наглость продавца.
И бонусы эффективных менеджеров
> Стоимость зачастую отражает не качество продукта, а наглость продавца.нет, это цена, может отражать наглость продавца.
> Стоимость продукта отражает его качество250 человек пол-года копали яму размером 5x5 метров. стоимость — ого-го. да и яма за пол-года превратилась в невесть что.
один человек за пол-дня выкопал такую же яму. стоимость — намного меньше. и не осыпалась.
итого, стоимость продукта действительно отражает качество: чем дешевле — тем качественней и быстрее.
в таком случае всё просто: ценность человекочаса одного пользователя превышает совокупную стоимость человекочасов 250 человек.
> Это всего лишь констатация факта (агрессивно отрицаемого сообществами), что никакой софт,
> в том числе свободный, не является безопасным by design, и уж,
> тем более, не является более безопасным, нежели проприетарный.Как раз тезис о более высокой безопасности свободного ПО по сравнению с проприетарным - блестяще подтверждается. Достаточно сравнить хромиум и IE :)
Не вижу доказательств.
Пруфлинк не вспомню, но факт очевидный - исправления к дырам в ИЕ выпускаются далеко не сразу после обнаружения, в отличие от опенсорс.
Тогда, я думаю, не так уж и "блестяще"... ;)
> Тогда, я думаю, не так уж и "блестяще"... ;)Пруфлинк-то? В блоге мозиллы, с графиками были :)
Get the fact почитайте...
Ваня найди уже себе нормальную работу :)
> Ваня найди уже себе нормальную работу :)Он уволится - напустят на нас другого сотрудника, не менее нищего и обозленного.
Работа есть, кто-то должен ее делать.
Его (и клонов) просто надо явным образом игнорить. Лично у меня на его посты будет один ответ - "Здарвствуй, Ваня, новый Год". Серьёзно с ним разговаривать - себя не уважать.
> Его (и клонов) просто надо явным образом игнорить.да ну, он смешной. а что дурачок — так должность обязывает.
> Его (и клонов) просто надо явным образом игнорить.читаааать. он прелестен. если придуривается - то качественно. но в любом случае - смешно :D
> Пруфлинк не вспомню, но факт очевидный - исправления к дырам в ИЕ
> выпускаются далеко не сразу после обнаружения, в отличие от опенсорс.Далеко не все дыры в IE вообще закрываются. Один мой знакомый кидди как начал бэкдоры через дырку в IE7 засылать, так и до сих пор засылает, благо на IE8/9 тоже работает :)
ну да.. особенно это видно из недавней новости об уязвимости в ядре, в которой сразу же было три ссылки на эксплоиты, и обещания что в большинстве дистрибутивах это исправят скоро.
> ну да.. особенно это видно из недавней новости об уязвимости в ядре, в которой сразу же было три ссылки на эксплоиты, и обещания что в большинстве дистрибутивах это исправят скоро.И что характерно - таки исправили, в тот же день.
Вот когда такое происходит с проприетарным продуктом - вендор еще пару месяцев сидит с каменным лицом и делает вид, что все ок.
> ну да.. особенно это видно из недавней новости об уязвимости в ядре,
> в которой сразу же было три ссылки на эксплоиты, и обещания
> что в большинстве дистрибутивах это исправят скоро.и исправили. а для тех, кто не хочет ждать пакетов — и вовсе патч в LKML был доступен. не подскажешь, где список рассылки разработчиков ядра шиндошс, например? и как мне собрать новое ядро (или win32k.sys) со свежими патчами из системы контроля версий/списка рассылки? никак? вот то-то и оно.
> Не вижу доказательств.Снимите розовые очки, сразу увидите :)
> Это всего лишь констатация факта (агрессивно отрицаемого сообществами), что никакой софт,
> в том числе свободный, не является безопасным by design, и уж,
> тем более, не является более безопасным, нежели проприетарный.Качественно - да, дырки есть, естественно.
Тут спор, если и возможен, то на уровне троллинга)Но эти вещи можно оценить количественно.
Например:
- количество выявляенных дыр в продукте всего;
- количество выявленных дыр в продуктах за какой-то период;
- количество взломов какого-то продукта изза его дыр;
- общая статистика взломов этого продукта;
- урон от дырок в денежном эквиваленте (да-да, его тоже можно попробовать подсчитать).
- и т.д.Количественные показатели легче сравнивать.
Особенно, если их можно свести к денежному эквиваленту.
> В программе для генерации надёжных паролей pwgen выявлена недоработка алгоритма, из-за которой примерно 6.5% из сгенерированных паролей легко восстанавливаются из хэша.cat /dev/random | uuencode -m - | head -n2 | tail -c16 рулит :)
>> В программе для генерации надёжных паролей pwgen выявлена недоработка алгоритма, из-за которой примерно 6.5% из сгенерированных паролей легко восстанавливаются из хэша.
> cat /dev/random | uuencode -m - | head -n2 | tail -c16
> рулит :)Если хэш коллизионный, то предложенное решение однозначно не рулит. Читать "Введение в криптографию" до просветления.
> Если хэш коллизионный, то предложенное решение однозначно не рулит. Читать "Введение в криптографию" до просветления.Так мы о стойкости хешей или о предсказуемости паролей?
>> Если хэш коллизионный, то предложенное решение однозначно не рулит. Читать "Введение в криптографию" до просветления.
> Так мы о стойкости хешей или о предсказуемости паролей?Непредсказуемый пароль взять нельзя, обладая достаточными ресурсами? При коллизионном хэше? Может, таки покуришь "Введение в криптографию"?
> При коллизионном хэше? Может, таки покуришь "Введение в криптографию"?А в вашей версии "введения в криптографию" правда написано, что выбор метода генерации пароля однозначно определяет алгоритм, которым этот пароль впоследствии будет хэшироваться?
Отсыпьте и мне такого забористого, плз.
> Если хэш коллизионный, то предложенное решение однозначно не рулит. Читать "Введение в криптографию" до просветления.Когда хэш дырявый, никакой пароль не спасет.
Но в новости, все-таки, речь об особых паролях, которые можно вскрыть даже при стойком хеше.