forum.opennet.ru

"Google предлагает переосмыслить подход к раскрытию информаци..."

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Присылайте удачные настройки в раздел примеров файлов конфигурации на WIKI.opennet.ru.

. "Google предлагает переосмыслить подход к раскрытию информаци..."	+/–
Сообщение от Lain_13 (?), 23-Июл-10, 11:21
В случае простой уязвимости и срок будет на её решение установлен короткий (всё зависит от нашедшего, естественно), а сложную не только хрен ещё кто найдёт, так потом ещё и хрен использует. Например, баги с переполнением стека в разном софте часто находят, вот только не всегда дело даже до proof of concept вызывающий крэш доходит и дыра так и остаётся лишь потенциальной, а ведь использовать его для запуска своего кода ещё сложнее.
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

Google предлагает переосмыслить подход к раскрытию информаци..., opennews, 23-Июл-10, 09:01 [смотреть все]

К сожалению работает только full disclosure, посмотрите последние выпуски PHP и , Аноним, 23-Июл-10, 09:01 (1) //
- Как вы можете знать, работают ли другие способы, если вы их не видите В том то и, ВДНХ, 23-Июл-10, 09:59 (7) //
  - s PHP руками gВ руках мастера и палочки - оружие Обезьяна же на танке безопасна, klalafuda, 23-Июл-10, 10:16 (9) //
    - Да, если выбора не оказалось в конкретный момент Однако, если выбор есть, то хор, ВДНХ, 23-Июл-10, 10:29 (12)
      - Нет, Вы неправильно меня поняли Я не согласен с Вами по поводу низкого качеств, klalafuda, 23-Июл-10, 10:44 (14)
        
        То, что вы ставите в одну линию PHP, Perl, Python и Ruby по качеству архитектуры, ВДНХ, 23-Июл-10, 11:00 (19)
        
        Да понятно, что PHP не без недостатков, но всё же это далеко не бейсик Писать на, Crazy Alex, 23-Июл-10, 16:05 (54)
        
        Ну если вы можете сравнить только с бейсиком - то конечно Писать и на бумаге хор, ВДНХ, 23-Июл-10, 16:36 (56)
        
        не верно вы и все-все окружающие могут ездить на машинах всегда по правилам, но, Аноним, 23-Июл-10, 12:22 (29)
        Как полагаете -- руки, которыми такое пишется, как можно назвать PS такое , Michael Shigorin, 23-Июл-10, 14:04 (41)
    - А как насчет обезьяны с гранатой , User294, 23-Июл-10, 14:30 (46)
      - Ну если рассуждать с научной точки зрения, то вероятность того, что она грамотно, XoRe, 23-Июл-10, 20:43 (72)
        
        Итак, речь шла о факторах, влияющих на количество багов в проектах и мерах их пр, ВДНХ, 24-Июл-10, 09:59 (81)
  - Почему не вижу Не вижу только до выхода исправленной версии Как только версия, Аноним, 23-Июл-10, 10:23 (10) //
    - Потому что у вас упрощенный и идеализированный взгляд на мир А кто вам сказал, ч, ВДНХ, 23-Июл-10, 10:34 (13)
      - Есть цивилизованный способ сообщать об ошибках разработчикам, не придавая ошиб, ВДНХ, 23-Июл-10, 15:19 (50)
        
        Это хорошо, если подробно объясняется А вы можете спорить с человеком, не старая, XoRe, 24-Июл-10, 14:28 (85)
        
        Я вообще-то говорил о зависимости количества багов от качества проектирования А , ВДНХ, 24-Июл-10, 15:10 (88)
- А он вообще очень полезное лекарство от раздолбайства ИМХО гугл дело говорит - , User294, 23-Июл-10, 14:32 (47)
Дело за малым заставить пользователей конкретного продукта в массовом порядке с, klalafuda, 23-Июл-10, 09:16 (2) //
- PS Да, и, если уж ставить себе глобальную задачу бороться за мир во всем мире, , klalafuda, 23-Июл-10, 09:19 (3) //
  - И в чем суть вашего сарказма Вы описали то, что существует, так, какбудто этого, ВДНХ, 23-Июл-10, 13:08 (35) //
    - Применительно конкретно к браузерам этого нет Достаточно взглянуть на статы use, klalafuda, 23-Июл-10, 15:26 (52)
      - Чего именно _этого_ нет И как один умрем в борьбе за _это_ Вы, собственно что , ВДНХ, 23-Июл-10, 15:41 (53)
        
        Неидеально - это как бы это сказать, это несколько смазано Я бы сказал чуть точ, klalafuda, 23-Июл-10, 16:14 (55)
        
        В исходном посте вы говорили так, как будто автообновления вообще не существует , ВДНХ, 23-Июл-10, 17:16 (58)
        
        Повторю свой вопрос у Вас будут какие-то конкретные технические предложения по , klalafuda, 23-Июл-10, 17:44 (59)
        
        Если вы хотите услышать конкретные технические предложения, сформулируйте ваши в, ВДНХ, 23-Июл-10, 18:14 (62)
Желание гугла понятно - иметь неограниченно большое время на исправление уязвимо, koblin, 23-Июл-10, 09:23 (4) //
- Желание создателей и владельцев Гугла - максимально извлекать выгоду, благодаря , ВДНХ, 23-Июл-10, 10:05 (8)
- Ты статью точно читал дальше первого абзаца , Lain_13, 23-Июл-10, 10:59 (18)
И что в этой демагогии нового, чего мы как бы не знали и не практиковали , filosofem, 23-Июл-10, 09:29 (5) //
- Это рекомендация мировому сообществу от всемирно известной корпорации Этим и ра, Lain_13, 23-Июл-10, 11:25 (26)
- Хм, а можно поинтересоваться, что именно _Вы_ как security researcher практикует, Michael Shigorin guest, 23-Июл-10, 11:48 (28) //
  - Поинтересоваться можно Кто же вам запретит , filosofem, 23-Июл-10, 12:59 (33) //
    - Тогда представьте список найденных и отрепорченных Вами уязвимостей, пожалуйста , Michael Shigorin, 23-Июл-10, 14:12 (42)
      - Может быть еще ключ от квартиры где девки визжат , filosofem, 23-Июл-10, 14:17 (44)
        
        Полагаю, его у Вас тоже нет , Michael Shigorin, 24-Июл-10, 17:21 (90)
Давать срок три дня и разглашать всю информацию , Аноним, 23-Июл-10, 09:40 (6) //
- та не, 2 часа достаточно , splat_pack, 23-Июл-10, 10:44 (15)
- Почему именно 3 дня Правда интересно откуда такая цифра появилась , filosofem, 23-Июл-10, 13:07 (34)
Всегда удивляло скорее даже бесило когда люди нагло и бесстыжи прикрываются за, SaveMeGood, 23-Июл-10, 10:58 (16) //
- Открывать информацию о дыре по-принципу полного раскрытия не этично в первую оче, Lain_13, 23-Июл-10, 11:06 (20)
В подходе Полное раскрытие упустили еще одно очень важное достоинство Имея ин, Maris, 23-Июл-10, 11:09 (21) //
- В случае простой уязвимости и срок будет на её решение установлен короткий всё , Lain_13, 23-Июл-10, 11:21 (24)
- Пользователю достаточно сообщить, что уязвимость имеется и чем не надо пользо, filosofem, 23-Июл-10, 13:12 (36)
- Не любой, а достаточно квалифицированный и притом заинтересованный в срочнейшем , Michael Shigorin, 23-Июл-10, 14:17 (43)
60 дней это слишком много, 7 ну максимум А лучше 3, i, 23-Июл-10, 11:40 (27) //
- по хорошему, перед раскрытием уязвимости, нужно ждать пока ее исправят разработч, Аноним, 23-Июл-10, 12:28 (30) //
  - что можно исправлять ДВА месяца не понимаю Ну пару дней ещё пока заплатка по ю, i, 23-Июл-10, 12:41 (31) //
    - Жирные архитектурные косяки, что же ещё , Lain_13, 23-Июл-10, 12:54 (32)
    - Неизвестнуюю массам дыру не закроют быстро Ибо зачем, все равно никто не знает , fr0ster, 23-Июл-10, 13:36 (38)
    - Просто сиутации разные бывают Разработчик именно этой подсистемы может свалить в, XoRe, 24-Июл-10, 14:24 (84)
      - 1 А что делали тестировщики до этого 2 А то что у пользователь изза этой дыры мо, fr0ster, 24-Июл-10, 15:18 (89)
        
        Вы доверяете _софту_ PS я -- нет, только людям , Michael Shigorin, 24-Июл-10, 17:22 (91)
        то есть, если уязвимость через два дня откроют, то у юзера меньше возможностей п, Аноним, 24-Июл-10, 21:32 (92)
        
        Кто следит за используемым софтом сможет или самостоятельно костыли прикрутить, , fr0ster, 25-Июл-10, 05:03 (93)
        
        Ну, блин, мы говорим и про обычных домашних юзеров тоже Они ни за чем ни следят,, XoRe, 26-Июл-10, 17:23 (100)
        
        Заражение вирусом машин хомячков одного провайдера с образованием ботнета привед, fr0ster, 26-Июл-10, 19:03 (106)
        
        Тестировали другие _известные_ дырки, очевидно же Каким образом Если инфу о ды, XoRe, 26-Июл-10, 17:22 (99)
        
        Вы правда думаете, что уязвимость может только кто то один найти 1 Система все р, fr0ster, 26-Июл-10, 18:59 (104)
        Вы правда думаете, что уязвимость может только кто то один найти 1 Система все р, fr0ster, 26-Июл-10, 19:01 (105)
    - Допустим, проект крупный, и только полностью пересобирается почти сутки Допусти, nuclight, 26-Июл-10, 00:10 (94)
ну тут так если бы платили за приватные баги и по качественное было бы А так в , Аноним, 23-Июл-10, 13:14 (37)
Неоднократно наблюдал, когда security team в Debian или Red Hat правили уязвимос, uldus, 23-Июл-10, 13:36 (39) //
- В альте, как и в OpenBSD, нередко бывали случаи у нас эта дырка не работает --, Michael Shigorin, 23-Июл-10, 14:19 (45)
- Что не помешало RedHat-у внести в репы firefox 3 6 4 лишь совсем недавно До это, klalafuda, 23-Июл-10, 16:47 (57) //
  - Что именно не помешало Судя по контексту вы отождествляете правку уязвимостей , ВДНХ, 23-Июл-10, 17:45 (60)
  - В Debian Sid вчера вечером ещё был firefox, пардон, iceweasel 3 5 11 Не все ку, Bod, 23-Июл-10, 20:06 (69)
Предлагаемый гуглом метод попахивает шантажом А кто-нибудь из кретинов именно т, Аноним, 23-Июл-10, 17:47 (61) //
- А когда дыру зарепортили но за годы так и не было починено и в итоге все пришло , User294, 23-Июл-10, 19:19 (68) //
  - full disclosure работает в данном случае лучше предложенного, ИМХО По крайней м, Аноним, 23-Июл-10, 20:25 (70)
Предлагаю дополнение Если руководитель отказывается реагировать на запрос, или е, XoRe, 23-Июл-10, 20:54 (74) //
- А почему административные грабли какой-то конторки команды должны парить ког, User294, 24-Июл-10, 14:55 (87)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру