Vlákno názorů k článku
Návod na přizpůsobení Androida od Marián Kyral - Čím novější verze Androidu, tím méně si toho...

" v těch nejdrsnějších letech."

Hmm, hezká soutěž - co další rok, to další kandidát . . .

Ano, dostaly. V minulém roce měl největší počet zranitelností Android se 523 kousky, druhý nejvyšší Debian Linux se 319 kousky, Linux kernel jich měl 216, Moc OS X 215, Windows 10 172, Windows 7 134. Svého času Windows v žebříčcích počtů zranitelností obsazovaly přední místa. Probuďte se do nového světa, kde ohledně počtu zranitelností vede Android a na paty mu šlape Linux. Není to nic moc zpráva třeba pro domácnosti připojené k internetu pomocí routerů postavených na Linuxu, natož pokud si k tomu pořídí ještě TV, ledničku, telefon a prodlužovák na Androidu a Linuxu. Až se dostatečně rozšíří Internet of Trash, čekají nás zajímavé časy.
https://www.bleepingcomputer.com/news/security/android-was-2016s-most-vulnerable-product/
https://www.root.cz/zpravicky/nejvic-zranitelnosti-cve-mel-v-minulem-roce-android/

1. počet bugů je stejně vypovídající asi jako hra na "průměrný plat"
2. počet bugů nic nehovoří o závažnostech
3. počet bugů nic nehovoří tom jak dlouho trvá než jsou opraveny
4. počet bugů nic nevypovídá o komunitě a debugu, kde jednak na win nemusí být okolo dost znalých lidí kde navíc widle ani nesmí každý debugovat a zkoumat jako linux, android apod, protože linux používá ve svých projektech víc odborných lidí, kteří hlásí bugy. To se ale s windows rozhodně neděje - u win se hlavně hlásí bugy typu něco mi nejede z UI, než potenciální chyby nalezené v kódu, takže vlastně počet bugů ve win v podstatě se týká jenom uživatelské interakce (z velké části samomzřejmě, ne totálně) . . .

Navíc bych to mohl otočit a říct, že čím víc je v něčem hlášeno bugů, tím méně jich tam zůstane - to je sice taky blbost, ale tak zase by to korespondovalo s naivitou jakou čteš a používáš statistiky a metriky - dlouhodobě, toto není první případ kdy jsi zmatlal nějakou statistiku a předvedl totální nepochopení hranic věci, ke které se vyslovuje.

Tím samozřejmě nehodnotím, co je nejzabugovanější, protože to nevím a k nějakému normálnímu výsledku nedokážu přijít na základě jedné jediné statistiky, notabene smýcháním z mnoha rozdílných projektů v mnoha rozdílných ekosystémech - na rozdíl od tebe.

Ale aby jsme nekončili smutně, mám pro tebe vtip:

Víš proč by se do těch ledniček hodily windows?
Protože skvěle zamrzaj . . . :-D

Tak na prvním místě je řeč o CVE, ne o všech bugs. Celkové počty bugů bývají daleko vyšší než počty zranitelností.

Souhlas v tom že počet bugů nehovoří o jejich závažnosti, ani o tom jak dlouho trvá jejich oprava. Nicméně závažnost se hodnotí i podle rozšíření daného SW, takže nakonec ani ta nemá přílišnou vypovídací hodnotu.

Nesouhlas ohledně toho že okolo Windows není dostatek znalých lidí, nesmí je debugovat, a Linux používá na projektech víc odborníků. Ani u jednoho nevidím žádná data, která by takové tvrzení podpořila. Navíc zranitelnosti typicky objevují security researchers, auditoři, a hlavně autoři malwaru (a v návaznosti na ně AV vendors a další). Autoři aplikací jen zřídka, protože ti mají v popisu práce používat API a něco s jeho pomocí postavit, ne zjišťovat jak ho hacknout. Nebo si fakt myslíte, že zranitelnost Androidu najde spíš autor hry nebo aplikace komunikující se smart watches než autor malwaru? Kdo z nich má asi větší motivaci?

Počet CVE je dobrá metrika. Když vycházela v neprospěch Windows, rádi se s ní zdejší diskutéři oháněli. Když vychází v neprospěch Androidu a Linuxu, najednou prý není relevantní :)

Prostým faktem je to, že Android a Linux vedou ohledně počtu zranitelností. Přitěžujícím faktorem je (ne)šíření aktualizací pro Android i Linux, protože na spoustu zařízení (včetně spousty telefonů, domácích routerů a zařízení IoT) se záplaty vůbec nedostanou. Za mě je to velmi špatná situace, která je horší než to, co MS předváděl ve svých nejdivočejších letech. A jestli se něco zásadního nestane, bude to jen horší s tím jak se IoT bude rozšiřovat. Tolik moje hodnocení dostupných dat. Jestli jste vy plný optimismu, tak já minimálně v téhle věci nejsem.

"Nesouhlas ohledně toho že okolo Windows není dostatek znalých lidí, nesmí je debugovat, "

1. takže kernel windowns je (například) na drtivé většině embedded zařízeních jako linux, tedy do kernel windows hledí stejné počty lidí z "oboru" (IT)? No to víš že ne . . .
2. kernel windows má volně přístupné zdrojáky, aby mohl kdokoliv nahlédnout a testovat? No to víš že ne . . .

"Počet CVE je dobrá metrika. Když vycházela v neprospěch Windows, rádi se s ní zdejší diskutéři oháněli"

A to jako znaméná, že ohánět se něčím co nemá vypovídací hodnotu je potom v pohodě? U mě teda ne !

Plný optimismu rozhodně nějsem a přiznám se, že když jsem poprvé třeba četl, že začali dávat android do aut na stejné železo jako ty pověstné brzdy, tak jsem myslel že je to vtip, nebo laboratorní pokus ve smyslu "tohle doma nezkoušejte". O aktualizacích a jejich distribuci se ani nebavím. To ale pořád nemění nic na tom, že
1. nevím který je teda nejhorší protože podle jedné metriky to nelze rozhodnout a přesto mi to podsouváš (alá plný optimismu atd)
2. počet chyb, třeba už jenom CVE nemá dostatečnou vypovídající hodnotu o tom, který systém je horší, plnější chyb . . .

Ona je totiž i velká otázka jak by to vypadalo, kdyby se zdrojáky WIn kernelu dostaly k nahlédnutí a nasazení tolika lidem a firmám, kolika linux už jenom v IoT (to by jsme se určitě dost nasmáli) . . . a to se neděje, jinými slovy: hlavu v písku nikdo nevidí. Úžasné.

Mimochodem k tomu linku na statistiku:
https://www.root.cz/zpravicky/nejvic-zranitelnosti-cve-mel-v-minulem-roce-android/#o902260

To že má nějaké zařízení linuxový kernel neznamená, že by autoři image museli nějak detailně zkoumat kód kernelu. Nemyslíte si doufám že když stavíte "chytrý prodlužovák" ovládaný Linuxem, nebo řekněme autorádio na Linuxu, tak u toho systematicky zkoumáte jestli nějaká metoda v kernelu při poslání vhodného parametru nepřepíše v paměti co nemá? V takové situaci žádné zranitelnosti nehledáte, a pravděpodobnost že ji objevíte je velmi nízká.

Pro vyhledávání zranitelností nepotřebujete zdrojáky. Nakonec ti lidé, kteří jsou v tom dobří, se orientují v ASM lépe než my oba dohromady v Cčku.

OK, máte bod za to že nejste naivně optimistický.

To že se počet CVE u Linuxu a Androidu postupem času dostal vysoko nad počet CVE u Windows podle mě vypovídací hodnotu má.

Ohledně té hlavy v písku: pokud má Linux méně CVE než Windows, můžete to snadno vydávat za důkaz toho že open source vývoj je transparentnější, vede k méně chybám, a proto je CVE méně. Pokud je CVE více než u Windows, můžete snadno tvrdit, že díky otevřenosti kódu může chybu vidět kdokoliv, a proto se jich více opravuje. Validní není ani jeden z těch argumentů, protože jsou netestovatelné. To že open source development vede k lepšímu kódu je jen nepodložený mýtus. Zato zvyšující se počet CVE je celkem jasně vidět.

Pokud jde o počet balíčků daného distra, tak k tomu mám dvě věci. Jednak jsou to autoři distra, kteří rozhodují kolik balíčků zahrnou, takže je to v principu jejich problém. A co považuji za zásadnější: kernel Linuxu, který implementuje pouhých pár set syscallů, měl v roce 2016 216 CVE. Celé Windows 10, včetně kernelu, Hyper-V, GDI, GDI+, WPF, DirectX, kodeků, WinRT, .NET a obrovské spousty dalšího kódu a všech vestavěných aplikací, měly jen 172 CVE. U serverových Windows 2012, které obsahují i vestavěný DB server a jako optional feature všechno možné včetně web serveru, je to jen 154 CVE (méně než Win10, protože jsou na kódu Win8). Fakt vám nepřipadá, že se situace trochu změnila?

nevazenej nemilej sasku z PR oddeleni Microsoftu... na Windows 7 se zaplaty take nedostanou protoze BFU si logicky nevsimnou, pokud vsimnou tak nebudou umet opravit, to ze Microsoft rozesral WindowsUpdate servery a tedy se jim zadne aktualizace do Windows7 nestahuji/nein­staluji... dokud rucne nestahnou a nenainstalujou nejake opravne baliky... aneb demence vaseho systemu fucktualizaci nezna mezi ;)

Vaše tro(t)lování a nesmysly o "rozesraných Windows Update serverech" mě fakt nebaví. Už jsme o tom diskutovali, a celkem jasně jsem psal, že i když nepochybně některé stroje mohou mít problém, tak neexistuje žádný důkaz že by šlo o problém na WU serveru, a minimálně moje stroje s Win7 se aktualizují v pohodě.
Na Androidu a různých krabičkách s Linuxem je situace úplně jiná: aktualizace se pro velikou spoustu zařízení prostě nevydávají (v lepším případě je přestanou vydávat až po nějaké době), a když už jsou vydány, tak si je v řadě případů musí uživatel ručně stáhnout a nainstalovat (typicky třeba u domácích routerů, což je úplná bezpečnostní katastrofa). Ve srovnání s tím je i ten WU na Win7 bezmála dokonalý.

Tip pro vás: instalovat náhodně různé updaty dokud WU nezačne fungovat je trochu lameřina. Spíš si zkuste přečíst log WU. A pokud už chcete lame solution, tak vypněte option Give me updates for other Microsoft products when I update Windows a stroj aktualizujte. Pak tu option opět zapněte a vyhledejte aktualizace znovu. Většinou to pomůže.

Máte na mysli počet nalezených zranitelností, nebo existujících zranitelností? To je podstatný rozdíl.

A vy znáte u nějakého SW počet existujících zranitelností? Myslím že by taková informace zajímala každého autora SW :). Bohužel dokud se ty zranitelnosti nenajdou, tak sice existují, ale o jejich počtu a typu se lze jen dohadovat.