Jak dlouho by podle vás měla trvat oprava chyby? Měsíc, dva nebo půl roku? V projektu KDE se podařilo opravit chybu, která existovala od roku 2002. Nacházela se v knihovnách KDE ve funkci „Reject Cross-Domain Cookies“, která byla rozbitá deset let a osm měsíců.
(Zdroj: Slashdot)
U open source si to ale teoreticky muzete opravit sam a poslat patch. U MS vam reknou, ze si mate koupit novou verzi a kdyz tak ucinita asi tak trikrat, bude to mozna opravene.
Mate pravdu, byla to prehnana nadsazka. Nekdy jsou chyby opraveny jiz pri druhe a nikoliv treti verzi, jak jsem puvodne napsal. :-)
BTW, pamatujete? http://en.wikipedia.org/wiki/Windows_Metafile_vulnerability
Patch na tak kritickou chybu, ktera kosila Widle po tisicich, vydali az nekdy za 2 tydny. Nicmene problem se s Widlemi tahne uz nekdy od verze 3.0, coz neco napovida o "kvalitnim" designu.
Opravu je nutné důkladně otestovat. Představte si, že MS nenechá proběhnout celé kolečko QA, a pustí opravu, která třeba na každém desátém počítači odrovná GDI. Tím by těch 10% počítačů odstavil, bez možnosti je uživatelsky opravit (vaše tchýně nebude stavět bootovací USB klíčenku).
Na chybu v podpoře WMF souborů se přišlo až po mnoha letech. Zajímavostí je fakt, že WINE open source mělo přesně ten samý problém. Možná opisovali, možná ne. Každopádně ani tisíc očí to v open source WINE nenašlo.
Podobné kritické bugy se vyskytly i ve světě open source, a jejich oprava nebyla dvakrát rychlá:
http://www.kb.cert.org/vuls/id/368819
http://www.us-cert.gov/cas/techalerts/TA04-217A.html
Ve Wine to bylo, protože se tak chovaly Windows a Wine se snaží zachovávat bug-for-bug compatibility. Samozřejmě zjevné chyby (různé buffer overflow) nekopírují, ale tohle zkopírovali, protože ta chyba byla zřejmě do Windows umístěna úmyslně (pravděpodobně nějakým zaměstnancem bez vědomí MS) a tvářila se jako rozumná funkce (to ostatně mohl být i důvod, proč si toho tak dlouho nikdo nevšiml v MS). Lidi ve Wine nad tím, co přepisují, zase tak moc nepřemýšlejí, kódu je hodně, má spousty nedokumentovaných chyb, které nejsou nebezpečné a na kterých spousta aplikací závisí, takže jejich snahou je hlavně to udělat co nejvíc kompatibilní. Tohle jim prostě uniklo. Nicméně chyby ve Wine mívají mnohem menší dopady, protože Wine typicky neběží pod administrátorem.
Ty chyby v PNG jsou moc pěkný. Pouze MS a Applu trvalo rok, než to opravili, ostatní ty chyby opravili během měsíce :-)
Ono by toho bylo vic, ale blbe se to googluje, protoze jak clovek hleda slova windows critical bug, vypadne na nej 300 milionu odkazu. Vim, ze byly chyby, ktere treba MS i popiral, az to treba opravil nekdo jiny a MS pak tise vydal zaplatu, ktera tise prevzala zminenou opravu.
Ale pamatujete treba na virus Magistr? Radil u uzivatelu Utlouku a siril se treba i z ceskeho Ministerstva zahranicnich veci (jeste nekde mam ten mail). MS po dost dlouhe dobe vydal "opravu", ktera autory Magistru a dalsich podobnych donutila k mirne uprave kodu, aby se mohli dal vesele sirit. Tak tomu rikam oprava za vsechny penize. Zbastlena zaplata na zbastleny sftware, ktery by mel byt prepsan na zelene louce, jako rada dalsich veci od MS, treba IE. Nevim, mozna, ze to od te doby MS uz alespon castecne udelal, ale cert tomu ver.
Jiste, Utlouk neni soucasti OS, akorat s nim byl dodavan a uzivatelum, kteri ho odinstalovali, vnucovan pri kazdem druhem updat spolu s Windows Messengerem.
Treba:
http://pcworld.cz/novinky/uzivatele-32-bitovych-windows-ohrozuje-17-let-stara-chyba-8740
Nastesti byla tato chyba "jenom" 17 let stara, ne 17 let znama.
Magistr byl worm, který si musel uživatel spustit z přílohy emailu. Prohledal pak disk na soubory s emailovými kontakty, a rozeslal se dál. Nějak mi není jasné, jak to svědčí o zbastlení Outlooku, a proč by ho kvůli tomu mělo být potřeba přepisovat :). BTW kontakty kradl i z Eudory a Netscape email clienta. BTW2 ta postižená MS aplikace byl Outlook, který je součástí MS Office, a nikdo vám ho nevnucoval.
Mozna mate pravdu, je to uz dlouho a tak si to mozna pletu s Klezem. To byl worm, ktery se v Utlouku spustil uplne sam a bylo par dalsich takovych. Stacilo uz to, aby se obsah mailu zobrazil v preview Utlouku. Na monitoru probliklo prazdne okenko a bylo to. Sam jsem to videl na vlastni oci. Sedel jsem u pocitace, ktery jsem prave odviroval a koukal se, jak se mi znovu zase pekne zaviroval pouhym kliknutim na mail v seznamu. Bohuzel, uzivatelka trvala na tom, ze chce Utlouk a oprava tehdy jeste nejaky patek nebyla.
Magistr jste si opravdu asi musel pustit sam. On se vam pak odvdecil tim, ze kdyz jste mel Widle z rady 9x, tak vam, jako jeho starsi bracha Cih, znicil pocitac a data.
O zbastleni Utlouku tak svedci Klez a ty dalsi, nikoliv Magistr. A pokud se pamatuji, netykalo se to jenom Utlouku z Office, ale i Utlouku Express. Protoze chyba byla vlastne v Tridentu nebo jak se to, z Internet Exploderu, ktery Utlouk pouziva k zobrazeni HTML. Vyhodou toho je, ze se lze nakazit jak mailem, tak patrne i navstevou vhodne osetrene stranky.
Ten příběh mi nějak nesedí. Viruz Klez byl objeven 25.10.2001. Je pravda, že používal díru v Trident layout enginu, která se aktivovala už při zobrazení preview emailu v Outlooku i Outlooku Express. Ale tahle díra byla opravena už 29.3.2001, jak uvádí Microsoft Security Bulletin MS01-020. Jinými slovy je to problém uživatelů, kteří nepatchují. A to je zase problém "expertů", kteří jim často radili, aby si vypnuli ten "zbytečný" Windows Update. Kolikrát jste četl v diskusích něco jako "po instalaci Windows jako první věc vypnu ten debilní Windows Update"? Bohužel se za to nesmí sekat prsty :D
http://www.sans.org/reading_room/whitepapers/malicious/klezh-propagation-prevention_1089
http://technet.microsoft.com/en-us/security/bulletin/ms01-020
Kdyby Outlook používal jiný HTML engine a ten měl chybu, dopadlo by to úplně stejně. Pořád mi není jasné, jak to celé svědčí o zbastlení Outlooku.
Nebyla opravena v dobe, kdy jsem u toho pocitace sedel. Windows Udate vypnuty nebyl, on na W 98 snad ani automaticky nebyl spusten. Pustil jsem ho ja, ale nepomohlo. Krome toho, vzpomente si, jak ta chyba byla nejdrive opravena tak, ze po male modifikaci kodu viry zase stastne bezely a az na druhy pokus se to nejak povedlo.
Utlok je bastl treba proto, ze pouziva chronicky derave soucastky z IE na neco tak trivialniho, jako je mail, namisto treba jakehosi minimalniho enginu, ktery by umoznil prave jen zobrazeni HTML, o coz v mailu jde a ne trebna spousteni kokotin v javaskriptu, ktery v mailu tezko budete potrebovat. Nebo vy do mailu vkladate programy v javaskriptu, flashova videa atd? Utlouk se ponekud prilis vzdalil od sveho ukolu, ktery je komunikace a ne kraviny a cenou za to je mizerna bezpecnost.
BTW, skoro bych se vsadil, ze ten smejd snad po dvaceti letech stale jeste neumi v odpovedich korektne okvotovat zpravy napsane v quoted-printable.
Tak to jste ten virus zřejmě objevil o více než sedm měsíců dříve, než ho objevily antivirové firmy. Nebo byl počítač v doméně, a tahal jen aktualizace schválené adminem, který na to kašlal. A nebo to celé bylo nějak úplně jinak.
Psát HTML layout engine pro každou aplikaci znovu je nesmysl. Nedělá to tak skoro nikdo. Například Mozilla Thunderbird používá Gecko, Apple Mail používá Webkit atd. Outlook od verze 2007 používá z bezpečnostních důvodů HTML layout engine Wordu, který spoustu věcí neimplementuje (Flash, skripty, frameset atd. - přesně jak jste požadoval), a setkalo se to se širokou kritikou. Předpokládám, že byste si šel první hodit kamenem :)
Ten "šmejd" umožňuje věci, o kterých se běžnému emailovému klientu ani nesní, a díky kterým se stal standardním nástrojem ve většině firem po celém světě.
aby se jim v počítači množily viry a proháněli červi, ale proto, že praktkicky každý upgrade nebo "bezpečnostní záplata" (o servis pacích nemluvě) zneprovozní (v řadě případů nevratně) nějakou aplikaci. Velice často klíčovou z hlediska uživatele.
Sám jsme byl opakovaně svědkem toho, jak po podobných aktivitách přestaly nevratně fungovat makra v Excelu, založená na VisualBasicu. Jednou mi po aplikaci servis paku odešel kompletně sound systém a muselo se to celé reinstalovat (pochopitelně ne s likvidačními "záplatami" a "upgrade", ale jen instalační CD).
Jediné, co vás může potěšit je fakt, že podobné manýry začínají kopírovat i autoři linuxových dister, takže jsem už několikrát na Ubuntu a jednou na Debianu (6) zažil zneprovoznění grafiky po upgrade systému. Jenže na Linuxu si zpravidla mohu upgrade zcela zakázat, zatímco na Windows se velice agresívně vnucují i zcela likvidační a pro funkci bezcenné "záplaty".
Tyhle informace jsou v podrobném popisu aktualizace. Třeba změn při instalaci Service Packu bývají tisíce, takže je těžko uživateli vypisovat by default všechny. Navíc když při startu aplikace zobrazíte nevyžádané okno, můžete tím spoustu věcí rozbít. Nebude fungovat natahovaný plug-in, nebude fungovat aplikace která po startu aplikace začně posílat window messages (Alt+F, N, Alt+N, newfile.xls, enter - některé marco recordery takhle fungují).
V podrobném popisu aktualizací je těch informací spoustu a procházet je a hledat tam takové vážné regrese není zrovna jednoduché. Proto ty androidí či linuxové aplikace to zobrazují i po spuštění.
Pokud by vadilo okno při startu, jde to zobrazit třeba v upozorňovací liště (tam, jak se zobrazuje, že Word zablokoval marka, protože je soubor stažený z webu).
Spíš byly přepsány některé knihovny VB, které nebyly schopny ta makra obsloužit. Makra pochopitelně povolena byla. Prostě nebyla zajištěna zpětná kompatibilita s verzí před aktualizací, což je u Win prakticky norma. Bohužel se to začíná stávat normou i v některých linuxových distribucích (Debian, Ubuntu).
A řešení skutečně je jediné: nepovolit žádné aktualizace (na linuxu zbývá jistě ještě řešení napsat si ty záplaty sám, na windows tohle možné není).
Detaily vam po letech tezko nekdo rekne. Ja se ale pamatuji na humornou historku, kdy ze uzivatele ZoneAlarmu po nejakem updatu W XP nedostali na Internet. Reseni bylo snadne. Stacilo trochu zagooglovat, stahnout novejsi a upraveny ZoneAlarm a nainstalovat. Ale kdyz vam nejde Internet, tak to se dost blbe googluje.
V těch makrech byl napsán docela komplexní program, do kterého se zadávala antropometrie a údaje o výživových zvyklostech, a pak to spoustu věcí nad tím počítalo. No a po nějakém service-paku se to prostě nedalo rozjet. Za ta léta (win 95, Excel 5) to už nikdo nevyvěští, i ty počítače, na kterých to bylo, jsou už dávno v křemíkovém nebi.
Nicméně poučení jsou z toho dvě:
1. Když funguje vše, co fungovat má, a tak, jak fungovat má, tak zásadně neupgraduj (zejména ne na windows).
2. Dělej takové věci co nejméně provázané s operačním systémem, ideálně přenosné mezi OS (java, python) (a vůbec nejlépe na systému, spustitelném z flešky, což wokna asi nikdy nebudou).
Jinak jsem se, pochopitelně, nikdy nesetkal s tím, že by upgrade nebo patch poskytl nějakou informaci nebo varování, že tamto nebo tohle přestane po jeho zavedení fungovat. Ono by si to potom nainstalovalo ještě méně lidí, než co si to instalují teď.
Ono z toho plyne něco úplně jiného. Používejte dokumentované interfacy, jako vývojář aplikace si vyzkoušejte po instalaci SP. Když něco nefunguje, přečtěte si seznam změn v SP (například u Office 2007 má seznam změn cca 480 položek).
Kdo píše jako prase, tomu může aplikaci rozhodit i update Javy. Kdo neaktualizuje, má ze stroje rozesílač spamu s praktickým ovládáním na dálku (bohužel kontrolu má někdo jiný).
Dělalo se to v Excelu 5, podle oficiální příručky. Dost pochybuji o tom, že by autor programu hackoval nějaké nedokumentované funkce (protože v literatuře tohoto druhu se nenajdou a psal to "s příručkou na kolenou"). Problém prostě spočívá v tom, že Windows nejsou s to zajistit zpětnou komaptibilitu ani u dílčích upgrade.
Zažil jsem i situaci (Win 95), kdy jednotlivé exempláře Windows, instalované v rámci školské multilicence z těch samých instalačních CD a tím stejným IT pracovníkem, se nebyly schopny vzájemně "domluvit" a ten samý wordovský dokument byl na jednech počítačích čitelný a na druhé skupině počítačů to byly jen prázdné obdélníčky na obrazovce. Prostě od tohoto systému raději dál a nemít s ním pokud možno naprosto nic společného.
graficka karta v Linuxe sa znefunkcni v grafickom rezime jedine pri upgrade jadra , pokial je stiahnuty balik od vyrobcu grafiky, ale ak je ovladac nainstalovany z repozitara distribucie, tak pri upgrade systemu nebyva zvykom, ze sa grafika znefunkcni...
ale ak mate nainstalovany driver priamo od vyrobcu grafiky, tak pri upgrade jadra je potrebne ho prelozit spolu s novym jadrom.
cize to, co tu popisujete, ze vam sa po upgrade distribucie znefunkcni grafika je uplny vymysel,..
Grafická karta se znefunkční:
1. tím, že se s upgrade nainstaluje její ovladač, který umí jen rozlišení 600x800, takže musíte po upgrade použít downgrade, abyste tam měl původní rozlišení (prakticky při jakémkoli upgrade Ubuntu nějakého balíčku s X)
2. tím, že se upgradují na novou verzi X-windows, které nemají ovladače k dané grafické kartě a ovladač z předchozí verze s nimi není kompatibilní - toto je neřešitelné bez nové instalace grafiky nebo celého systému z původních médií se starou verzí X. Zažil jsem na Debianu 6. Prostě how@do, co ten upgrade dalo dohromady, se neobtěžovalo s tím, že by si jeho výtvor nějak zjistil před nainstalováním svou kompatibilitu s HW.
Debian 6 je vůbec s kompatibilitou s grafickým HW na štíru, zatím se mi nepodařilo najít počítač, kde by pod ním jelo video ve fullscreenu (a to ani po snaze pracovníků specializované firmy), ačkoli na D5 na stejném HW jelo zcela bez problémů, jen po implicitní instalaci, bez nutnosti dalšího laborování.
"Znefunkčněním" tedy rozumím:
a- propad do nízkého rozlišení, navíc nekompatibilního s rozměry obrazu na monitoru (3:4 x širokoúhlý monitor)
b- zneprovoznění videa, případně jeho zneprovoznění ve fullscreenu
Obojí řešitelné pomocí downgrade nebo zákazem upgrade.
1) To máte asi nějak zajímavě splácané, že se to stalo. 800×600 je fallback rozlišení přes VESA, když se nepodaří spustit Xka s ovladačem pro vaši grafiku. Při používání balíčkovacího systému je téměř nemožné* (pokud to nevynutíte) toho po updatu dosáhnout.
2) Takový update/upgrade rozumný balíčkovací systém zablokuje. Dělá to Ubuntu i Debian. Ale samozřejmě musíte mít ty ovladače nainstalované z balíčků, pokud si je stáhnete z internetu, je to na vaši zodpovědnost.
Video (i Flash) funguje bez problémů třeba na ThinkPadu W500 nebo čtyřjádrovém Asusu s Intel HD grafikou (přesné teď nemám k dispozici), kde po bootu s připojeným monitorem nefunguje LCD panel, protože chlapce z Asusu jaksi nenapadlo, že by někdo mohl chtít používat dual-head.
* Bugy mohou být všude, bugfixy v takovém případě vycházejí rychle
A na tom je něco špatného? Pokud někdo chce windows, tak dá pár korun k novému počítači a má to jako OEM. Nebo krabicovou přenosnou verzi za 4000 na hodně dlouhou dobu s možností levných upgradů (třeba windows 8 za 780 kč). Nemyslím si, že by to byly nějak přehnané ceny. Navíc kdyby měli možnost vydělávat vývojáři linuxu miliardy dolarů ročně, tak by se toho chytili taky. ;)
@ Pokud někdo chce windows, tak dá pár korun k novému počítači a má to jako OEM.
Problém je, že často zaplatí i ten, kdo je nechce, protože je to nacpané všude.
@ Nebo krabicovou přenosnou verzi za 4000 na hodně dlouhou dobu s možností levných upgradů (třeba windows 8 za 780 kč). Nemyslím si, že by to byly nějak přehnané ceny.
Jo, koupit za 4000,- krabicový Visty a pak za 780,- upgradovat na Win 8 - tomu říkám charita :D
Tak ono krabicovou verzi si většinou koupí člověk, který ví jak to použít a vydrží to dlouho. Když to navíc někdo potřebuje kvůli práci, tak se to rychle vrátí. Vista má rozšířenou podporu do dubna 2017. Takže na upgrade není potřeba spěchat a kdo ho chce, tak si ho levně koupí nebo počká ještě pár let a to už bude upgrade na další verze windows. Aktualizovat jde ale i z windows xp, kterému už brzy končí podpora úplně. Ten kdo si před 10 lety koupil krabicovou verzi teď doplatí jen 780 kč a má nový systém včetně podpory na x dalších let. Jako charita mi to nepřipadá. :)
Nevím jak kritická byla ta desetiletá chyba v KDE, ale s nekritickými chybami mám ve Windows dost problémů.
Například, v mých Windows 7 se stále stává, že přestane být vidět externí disk. Řešení znám, musím mu ručně přiřadit písmeno, ale zvláštní je, že Microsoft ani po těch letech tenhle bug neopravil.
Linuxu moc nerozumím, při nesmělých pokusech s Ubuntu jsem nabyl pocit, že updaty se řeší takhle:
sudo apt-get update
sudo apt-get upgrade
Vo Windows 17-ročná chyba umožňujúca získať administrátorské práva
link: http://www.dsl.sk/article.php?article=8620
Microsoft opravil kritickú chybu v IE, potvrdil 17-ročnú chybu v jadre Windows
link: http://www.dsl.sk/article.php?article=8633
