Názory k článku Postřehy z bezpečnosti: lehce napadnutelné IoT zařízení
-
GA (neregistrovaný)
Tak já nevím, ale já CHCI mít možnost si vybrat, jestli aktualizaci chci, nebo nechci...
Je spousta "bezpečnostních" aktualizací, které dokonale zmrší "funkci", protože někdo rozhodl, že se jedná "spíše" o díru, než o "funkci".. A po instalaci kritická aplikace v čudu :-/
V tomhle případě odinstaluji balík všech 10 a zcela neúmyslně ponechám 9 dalších otevřených k útoku. Super, ne? :-O
-
Problém je v tom, že pak se to mnohem hůř testuje, což:
* Zvyšuje čas na vytvoření záplaty.
* Zvyšuje riziko, že nějaká chyba proklouzne a budeme potřebovat nějakou aktualizaci zrušit.Mimochodem, ani Linuxové distribuce obvykle neumožňují nainstalovat jen jeden patch (pokud nekompiluju ručně) – obvykle musím aktualizovat celý balík.
-
Ondra Satai NekolaZlatý podporovatelCoz je dobre nebo spatne v zavislosti na okolnostech. Pokud se trebas snazis o immutable infrastrukturu, tak je to spis pritez.
-
To sice ano, ale nevím jak jsou vytížení standardní linuxoví admini, ale já, který to dělám po nocích, jen proto aby trochu fungovala firemní infrastruktura a přes den dělám jinou práci, nevím jestli bych byl schopen zkoumat každý balíček a změny, nejlépe ve zdrojáku, jeslti jsou nebo nejsou legitimní...
-
Celkem souhlasím, toto kontrolovat je prakticky nereálné, pokud nemáme obrovské prostředky. Navíc to zdržuje záplatování, což s sebou může nést větší bezpečnostní rizika než malicious update. V případě Windows je to ještě beznadějnější, tam se ke zdrojáků člověk tak snadno ani nedostane.
Ale možná tu šlo spíše o testování, zda update něco nerozbíjí. Tady je fakt, že to dává poněkud menší možnosti adminům, ale zase větší možnosti Microsoftu to pořádně otestovat a rychleji připravit záplaty – není potřeba přemýšlet, jestli záplata X bude fungovat i bez záplaty Y apod.
-
j (neregistrovaný)
Apropos, pro jistyho blabola (a pak jeste dalsiho zvanila, ktere se dusoval ze M$ ani nikdo jinej nikdy nechce po uzivateli aby neco spoustel jako administrator) kterej se tu jiste vyskytne a bude tvrdit jak to neni pravda ...
Jinak ta rada je k hovnu hned nekolikrat ... predne chtit po uzivateli aby cokoli spoustel as admin muze leda chorej mozek, druhak to stejne nic neresi, protoze to nefunguje. Netyka se to ani zdaleka jen M$ opic, plati to pro vsechny newidli aplikace - tzn trebas notepad nebo ie soubor ulozi.
M$ pry "na zaplate pracuje" ...
-
j (neregistrovaný)
Aspon trochu normalni admin si pocka tyden, nebo dva ... a projde web, jestli nekde nevylez nejaky pruser s nejakym balikem. Taky prevazne vi, ktery veci sou a kery nejsou kriticky, takze u tech nekritickych to pochopitelne neresi az tak moc, jako u tech, kde vazne potrebuje aby to jelo. Tam kde potrebuje aby to jelo si minimalne precte changelog, aby vedel, jestli to muze nebo asi nemuze ovlivnit tu funcionalitu, kterou pouziva. 100% to samo nevi a vedet nemuze ani tvurce sam.
Pricemz kdyz se mu neco nahodou pri ty aktualizaci podela, tak se trivialne primitivne vrati k puvodni verzi.
Ostatne, staci se podivat na widle a jejich uzasny aktualizace, po kterych (trebas prave po ty posledni) lidem nejde ... vubec nic ulozit ... coz se aspon trochu normalne adminovanymu systemu s aspon castecne pricenym systemem aktualizaci nemuze stat (pripadne aspon existuje cesta, jak to vyresit bez reinstalace celyho systemu).
-
Takže po heartbleedu jste čekal týden a nechal po tu dobu vystavené privátní klíče a další?
Jasný, že nemusí být ideální nainstalovat na server ArchLinux a všechno updatovat automaticky. Ale třeba cron-apt nebo unattended-updates na security updates mi přijde jako rozumná cesta. Bez týdenního čekání.
-
j (neregistrovaný)
Neprekvapive bezpecnost cehokoli nikdy nevisi na jediny deravy aplikaci ... takze mi vazne tyden nebo i mesic zily netrha. Navic ta chyba tam byla kolik ze let?
Zato se chlebodarci vskutku nachnou, kdyz se neco patchne, a jim prestane neco fungovat. To vzdy doslova rici nadsenim. Co na tom ze to nefunguje, zejo, hlavne ze sme v bezpeci ... s kridelky ...
To se trebas takhle opatchoval sam firefox ... a dotycny uzivatel se nemoh prihlasit do dochazkoveho systemu ... ono totiz znicehoz nic to https prej uz nebylo dost bezpecny https ... na prihlaseni po LAN ... a tu 5 let starou krabici + bordel kolem za stovky kKc ... tu prej maji vyhodit ... a poridit si novou ...
Zato se slo zcela bezpecne prihlasit pres http ...
A kvuli tomu zcela automatizovanemu bezpeci potom maji lidi nainstalovany 4 verze javy, 8verzi prohlizecu, .... aby mohli pouzivat to, co pouzivat chteji a musi.
-
Ondra Satai NekolaZlatý podporovatel
Ona neprekvapive bezpecnost zavisi na nejslabsim clanku.
Mas ty neopatchovane firefoxy alespon s MACem? -
„Navic ta chyba tam byla kolik ze let?“
Jenže těch několik let o ní nikdo nevěděl (a neměli jsme moc možnost s ní něco dělat), zatímco ten týden je známá veřejně.
A i kdyby ji předtím někdo znal, tak je rozdíl mezi 0day známým malému okruhu lidí a 0day známým všem. V prvním případě je řeč o targeted attack s rozpočtem třeba v řádu stovek tisíc USD, ve druhém případě snadno podlehneme necílenému útoku nebo cílenému útoku s malým rozpočtem.
Firefox se sám opatchoval – kdyby ne, tak by HTTPS bylo brzy úplně stejně (ne)bezpečné jako HTTP. A jako bonus bude mít prohlížeč spoustu známých zranitelností RCE.
Problém totiž není v tom, že se opatchoval Firefox, ale v tom, že se neopatchovala ta krabice. Pak mimochodem může mít mnohem víc zranitelností než jen zastaralé HTTPS.
A pokud to jinak nejde, hodil bych před tu krabici aspoň reverzní proxy a HTTPS zařídil tudy. Zdaleka se tím neřeší vše, ale aspoň něco.
-
Martin ČmelíkZlatý podporovatelJe potřeba 6.4 x 10^9 procesorových let. Vývoj procesoru neodhadnu, ale pořád si říkám, kdy už bude víc zpráv o praktickém využití grafenu v budoucích CPU (napr. http://www.extremetech.com/extreme/175727-ibm-builds-graphene-chip-thats-10000-times-faster-using-standard-cmos-processes )
Paradioxem pak je, že budoucí CPU, řešící aktuální technologické i fyzikální limity, budou z materiálu, který všichni používali před dobou počítačů a to tužky :) (ano, s nadsazkou) -
Jak jsem psal, počítám s Moorovým zákonem. Přesněji:
* Každé dva roky se zdvojnásobí dostupný výkon (tzn. mám finanční prostředky na dvojnásobný výkon).
* Každé dva roky obnovím hardware tak, abych dosáhl dvojnásobného výkonu.
* Začínám na stejném výkonu jako v uvedeném experimentu.Pak bych potřeboval cca něco málo přes 2*(log2(16e6)-1) let. I tak jsem se ale dostal skoro na padesát let.
Pointa je v tom, že formulace v článku „několik let“ zní subjektivně poněkud optimističtěji (představil bych si třeba 2–5 let) než optimistická verze Mooreova zákona.
A ani kvantové počítače tomu tolik nepomohou – v tomto časovém horizontu asi nebudou ještě tolik dostupné v použitelné podobě.
Samozřejmě, někdo si pod „několik let“ představí třeba tisíc let, ale hádám, že to nebude mainstream.
-
Měl jsem za to, že Mooreův zákon mluví o obojím (24 měsíců vs. 18 měsíců), ale podle https://en.m.wikipedia.org/wiki/Moore%27s_law o výkonu mluvil David House. Hmm, OK, ale na pointě to nic nemění. ☺
-
Jenda (neregistrovaný)
> Tím, že nebudete vašemu termostatu či zásuvce dávat veřejnou IP adresu
Myslím, že si už zase někdo spletl maškarádu a firewall.
> Jen částečně se těmto problémům můžete vyhnout tím, že přestanete kupovat IoT na Alibabě a DealExtremu
Přijde mi, že aktualizace nevydává nikdo, a je jedno, kdo to vyrobil/prodává.
> Co se týče bezpečnostních aktualizací, tak uživatelé/admini by neměli mít možnost si vybírat. Pokud je riziko reálné, tak se musí daný produkt opravit, jinak tím ohrožují i ostatní.
Jasně, nejlepší je software, který sám volá domů a sám se mění.
-
j (neregistrovaný)
Sak TVLG posle svymu chlebodarci kazdy prepnuti kanalu. Jak jinak nez po http zejo ... a aby toho nebylo dost, tak KAZDA televize, ktera umi hbbtv pekne zavola vysilateli ... parada ne? Jeste sem nevidel takovou, kde by to slo vypnout (teda ne ze by to neslo vypnout na firewallu, ale to neni zrovna bfu like postup, zejo ...)
A co se tyce aktualizaci, jednak zadny nejsou, a kdyz sou, tak je rozhodne zahodno jejich instalaci znemoznit, protoze je naprosto bezny, ze po jejich instalaci proste zmizi cast inzerovane a zaplacene funcionality - napr u toho LG slo vybrat audiostopu, a uz nejde. Pripad SONY a startu tuxe na konzolich je proflaknuty taky dostatecne ...
ČLÁNKY DO MAILU