(moje) Analýza dopadu ukončení podpory Windows XP (diskuse)

[=^..^= AmigaPower®]

V praxi se vyskytují zejména dva scémáře

[xvasek]

Dík, opraveno. A to jsem to dvakrát četl...

[patentovy zakon]

pozorný korektor

[Fluttershy, yay!]

Např. Komerční banka prý bude (aspoň u účtů s velkým obratem) vyžadovat nepoužívání WinXP pro IB.

PS Mám zájem o počítač s 32bitovými WinXP a porty PS/2 za symbolickou cenu.

[Filip Jirsák]

Vyměnit banku kvůli prohlížeči se mnoha lidem zdálo přehnané, tak radši vyměnili prohlížeč kvůli bance. Až se budou rozhodovat, zda vyměnit banku kvůli počítači, nebo počítač kvůli bance, možná to dopadne jinak...

[Kvakor]

Ale pokud je to u účtu s velkým obratem, tak by bylo asi divné, pokud někdo může ze svého účtu posílat sem a tam miliony (nebo jak je velký obrat definovaný) a přitom si nemůže dovolit upgrade ...

[Fluttershy, yay!]

Pro upřesnění: zřejmě se to týká i menších firem, ordinací apod. Pokud uvážím rozšíření různých historických proprietárních aplikací a běžnou počítačovou gramotnost v téhle oblasti, aspoň jak se s tím setkávám, mám podezření, že KB přijde o netriviální množství klientů.

[Luk]

Spíš bych tipoval, že WinXP nebude podporován u služby MojeBanka Business (což je jediná rozumně použitelná verze, disponující stahování účetních dat a odesíláním dávek), kdežto u služby MojeBanka (klikací omalovánky, kde se musí příkazy vkládat pouze ručně a výpisy nelze stahovat v kompatibilních formátech) podpora zůstane.

[Fluttershy, yay!]

A to se vylučuje jak?

[Luk]

Proč by se to mělo nějak "vylučovat"?

[Fluttershy, yay!]

Pro upřesnění: (...)

Spíš bych tipoval (...)

[Luk]

Chtěl jsem říct, že to podle mě nebude rozlišené podle klientů, nýbrž podle využívané služby internetového bankovnictví. To je všechno.

[Andrej]

tento bol vazne dobry:

Pokud máte svá XPčka vystavena přímo do internetu (jako server)

[Dizz.]

V tom bych videl licencni problem, pokud se nepletu tak bezne desktopove Windows mohou sve sluzby nabizet jen 5(nebo 10 pocitacum uz nevim presne).

takze lanparty 12 kamaradu kdy jako server byl nejsilnejsi pocitac jednoho z ucastniku jsou a byli vzdy poruseni licence

[Luk]

Ono je těch licencí na WinXP víc (Pro/Home, navíc se měnila při každém SP), ale obecně k tomu Microsoft říká toto:

Z licenčního hlediska ovšem není možné pro podporu serverových aplikací použít licenci Windows 8/ 7/ XP, protože tím dochází k porušení licenčních podmínek počítačového operačního systému, které sice povolují současné připojení až 20 (10 u XP) zařízení, ale pouze za účelem přesně stanovených a vymezených služeb

Připojení za jiným účelem (např. práce s ekonomickým softwarem, přijímání pošty z mailového serveru apod.) tedy není povoleno a není ani brán ohled na softwarové požadavky nejrůznějších výrobců softwaru, kteří často jmenují Windows XP či Windows 7 jako dostačující podklad pro běh jejich aplikace.

Navíc ani nehraje roli, jestli je Windows 8/ 7/ XP provozován na serveru ve fyzickém či virtuálním prostředí.

Čili nejde o ten zmíněný limit, nýbrž o to, že to prostě licence "od základu" zakazuje.

[Bystroushaak]

*se drží za břicho a slzí slzy smíchu*

Už jsem viděl hada chcát, koně blejt, dokonce i žábu, aby do toho na kameni pěstí bouchala, ale něco tak absurdního ještě ne.

[Luk]

Co je na tom absurdního? To je prostě obchodní rozhodnutí. Kdo chce provozovat něco serverového, ať si pořídí dražší serverovou verzi. Jednoduché jak facka.

[Bystroushaak]

Teď nevím, jestli jsem divnej já, nebo zbytek světa. Jen čistě ze zvědavosti: kdy by to pro tebe absurdní být začalo? Kdyby tam Microsoft zadal podmínku, že se to smí používat jen liché pondělí a sudé čtvrtky, pouze ale pokud není měsíc v úplňku, a nikdy, když předchozí den pršelo? To omezení počtem spojení mi osobně přijde jako ještě o dost absurdnější požadavek.

[Bzukot]

Nejsi divnej, jen se v tobe bije mladicka nerozvaznost, kdy si vlastne ani nejsi vedom, zda-li by v teto (a spouste dalsich) situaci byla pragmatictejsi cesta libertarianismu nebo regulaci.

Or anything in between...

[Bedňa]

Že si si ten odkaz neprečítal. "To je past vedle pasti pičo".

[rADOn]

Ale za firewallem jsme v bezpečí…

To jsou slavná poslední slova.

[Kvakor]

Podle mně je jediné opravdu bezpečné připojení WinXP odpojený kabel Na druhou stranu, pokud Microsoft už neposkytuje update, tak jediné síťové služby, co jsou běžně potřeba pro velkou část uživatelů, jsou HTTP(S), DNS a NTP, první jde od internetu oddělit promocí proxy (která nepustí nic, co vypadá podezdřele), druhé a třetí je řešit pomocí lokálního serveru. Nicméně konfigurace takového oddělovacího zařízení by byla pro "běžného uživatele" natolik složitá, že by se vyplatila jen ve velmi specifických případech.

[xvasek]

Jenomže meritem článku je, že ukončením podpory se u těchto služeb skoro nic nemění. Firefox je pořád stejně bezpečný, NTP nikdo moc nepoužívá, ale s tím DNS klientem máš pravdu - pokud půjde systém exploitnout přes DNS odpověď, tak je to dost problém. No stejně je to closed source, co bychom chtěli, že jo...

[rADOn]

A co systemové knihovny? Třeba crypto API nebo cokoliv používá mshtml renderer jsou pěkný cíle…

[Ruža Becelin]

Krome toho, ze autor zjevne zamenuje NAT za firewall, plati jedno pravidlo - jedina moznost jak pouzivat XP bezpecne, je nepripojovat je do site (natoz k internetu) a nepouzivat zadne druhy zapisovatelnych vymennych medii.

Ale jako system na starsi lokalni off-line aplikaci s vystupem maximalne na tiskarnu, proc ne.

[xvasek]

Autor nezamenuje! Drtiva vetsina tech krabicek ma firewall a dokonce implicitne zapnuty.

Premyslel jsem, ze bych to nejak rozepsal, ale laik stejne nepozna, jak ma zkonfigurovanou sit.

Je fakt, ze hodne uzivatelu upc ma ty stare motoroly, ktere jsou bridge, tam je to asi problem. Ale pokud nekdo takto provozuje xpcka, tak uz je ma stejne mrtve podpora nepodpora.

[Ruža Becelin]

Otazka je co je tam za firewall a jestli to neni jenom, aby management odfajfloval featuru. Hardwarovy firewall je totiz uplne jina trida a taky v jine cenove relaci.

[Bedňa]

A ako ľahko sa dajú tie firewally "v jiné cenové relaci" prejsť je plný internet.

[Luk]

Hlavně rozlišení HW vs. SW firewall je jen záležitost výkonu, rozhodně ne bezpečnosti. Bezpečnost je věcí funkcionality konkrétného firewallu a jeho nastavení.

[Bedňa]

Jj a práve o ten výkon ide a preto aj v HW FW sa sleduje to čo sa stíha, ostané sa prepustí. Teda nie som na túto oblasť borec, ale čo som sa dočítal je defaultné správanie všetkých vyhlásených značiek.

[SPM]

Nepleteš si to s IPS? Normální firewall rozhodně nic nepouští, když do něj pustíš víc, než kolik stíhá, tak prostě začne ztrátovat a pojede to na ****

[Bedňa]

Myslím IPv6 a reťazenie hlavičiek, ale viac so mňa nedostaneš, musel by som si to zas vyhľadať.

[pavlix]

Myslel jsem si, že myslíš to, ale formuloval jsi to špatně. Zde se nejedná o propouštění toho, co nestihneš zpracovat, ale o debilní implementace, které propouštějí to, co zpracovat neumějí. Asi každému, kdo se bezpečností někdy zabíval více než deset minut, musí být jasné, jak dopadne zabezpečení, které má de facto ACCEPT pravidlo pro všechno, co vývojáři nechali neimplementované.

[pavlix]

Mimochodem, docela by mě zajímalo, jestli někdo věnoval stejnou péči IPv4 hlavičkám a zda je někde rozumný popis toho, v čem se liší náročnost zpracování IPv4 a IPv6 hlaviček.

[Bedňa]

Keď som rozmýšľal prečo je to takto implementované, tak jediné čo ma napadlo, aby pri defaultnom správaní mali výhodu priepustnosti siete oproti konkurencií, keby sa ich produkty snažil niekto porovnávať s inými. Ty by si sa asi vedel o tom rozpísať viac.

Čo sa týka IPv4 tak je pravda že sa človek naozaj nenarazí na článok ktorý by sa problémom spracovania hlavičiek zaoberal, asi preto že to nieje v móde.

[pavlix]

Já mám jen informace z různých přednášek lidí z MUNI, které mi nepřijdou vždycky úplně košer. Předpokládám, že informace o hlavičkách IPv6 máš alespoň nepřímo z podobného zdroje. A tam skutečně o žádné propustnosti sítě nebyla řeč. Právě naopak, tyto firewally byly obcházeny pakety, které se běžně na síti nevyskytují a tudíž netvoří traffic. Spíše tam šlo o složitost zpracování, kdy pokud nemáš začleněné zpracování určitého formátu paketu (například s určitým řetězením hlaviček), musíš se nějak rozhodnout bez toho zpracování.

Z hlediska bezpečnosti musíš dát v takovém případě musíš paket odmítnout nebo zahodit, ale tím zase riskuješ, že nepropustít legální provoz. Implementátoři se mohli buď problému věnovat nebo se na to vysrat a počkat, co bude. Zjevně zvolili druhou možnost.

[Bedňa]

Z hlediska bezpečnosti musíš dát v takovém případě musíš paket odmítnout nebo zahodit, ale tím zase riskuješ, že nepropustít legální provoz. Implementátoři se mohli buď problému věnovat nebo se na to vysrat a počkat, co bude. Zjevně zvolili druhou možnost.

A tým z chyby spravili fjučúru, aha cez naše zariadenie komunikácia prejde. Také manažérske rozhodnutie, nech zákazník neremcá že mu niečo nejde.

[xvasek]

Myslím, že se bavíme o jednoduchém stavovém firewallu, který nepustí dovnitř nic a ven všechno. Na tom není nic složitého, zvládne to i průměrný číňan programující firmware do routeru a pokud si nědo za ty dvě (s maškarádou tři) pravidla do iptables účtuje jiné cenové relace, tak mu to přeju.

(A pokud se bavíme o větších instalacích s XP - jako různé podniky apod., tak ty už nějaký lepší firewall mají a měly i před ukončením podpory.)

[Pavel Stárek]

Jejeje, to jsou tedy zase řeči. Jediná možnost jak používat Windows XP (a obecně jakýkoliv OS) bezpečně je hlavně a především používat hlavu (tedy to, co máme na krku, aby nám do něj nepršelo). WinXP (v práci) používám už hodně dlouho a světe div se, dokonce s nimi lezu i na internet, ovšem přes router, který v sobě má NAT i firewall, mám v nich nainstalovaný blbý Avast a k brouzdání používám Firefox, a ještě se nestalo, že bych "něco chytil". Neklikám na kdejakou blbost co mi přijde e-mailem. A flešky a přenosný disk používám normálně taky.

[Jendа]

Jenže občas se objeví chyby, které jdou exploitnout třeba i pouhým zobrazením souboru (hrábne si to na náhled) nebo otevřením náhledu emailu (poslední chyba v IE11)).

[Luk]

A občas ani Firefox nepomůže (když má člověk nainstalovaný Flash)

[Jendа]

No hlavně občas je chyba i přímo ve Firefoxu…

[Pavel Stárek]

No dobře, ale i tak ten škodlivý kód tam sám od sebe neskočí. Předpokládám, že v tomto případě bych musel do FF načíst nějaký škodlivý flash soubor.

[Jendа]

Předpokládám, že v tomto případě bych musel do FF načíst nějaký škodlivý flash soubor.

Ano, například když ti někdo udělá MITM na HTTP spojení. Nebo když vyhackuje AbcLinuxu a strčí ho sem.

[Pavel Stárek]

No, ale v tom případě bude jedno, zdali použiji WinXP, nebo Linux, či Windows 7,8. Proti tomu my nepomůžou ani svěcené kočičky

[Jendа]

Zařídit, abys zobrazil nějakou stránku, je strašně easy (stačí najít XSS zranitelnost v libovolném „legitimním“ webu). Ostatní útoky tak jednoduché nejsou.

[Jendа]

Jo a kočičky rofl

[Luk]

Systémy Windows neumí zjistit, jestli bylo mezi vydáním programu autorem a instalací do programu zasahováno, podepisování instalačních balíčků není vyžadováno a i kontrola podepsaných balíčků je zcela nedostatečná.

Mám pocit, že to není pravda - že od IE 8 se kontroluje "reputace" každého souboru stahovaného tímto prohlížečem. Microsoft sice přesně neuvádí, jak se reputace stanovuje, ale v podstatě nutnou podmínkou je u spustitelného souboru jeho podepsání code signing klíčem, k němuž byl vystaven certifikát uznávaný Microsoftem. Pokud soubor nemá dostatečnou reputaci, nabídne IE možnosti "Nespouštět" a "Smazat". Aby ho člověk mohl rovnou spustit, musí kliknout na malinký odkaz. I když je možné, že se mýlím a že se to objevilo až v IE 9 (tj. Windows Vista).

[xvasek]

To nevím, já jsem pár .exe vytvořil, nikdy jsem je nepodepisoval a nikdo s nimi problém neměl. Myslím, že takto jdou Windows vydráždit maximálně k tomu, že před spuštěním napíšou, že software je z nedůvěryhodného zdroje a jestli to chci opravdu spustit.

[Jendа]

To nevím, já jsem pár .exe vytvořil, nikdy jsem je nepodepisoval a nikdo s nimi problém neměl.

Já také tarbally se zdrojáky většinou nepodepisuju a nikdo s tím ještě problém neměl. Co to svědčí o bezpečnosti jednoho nejmenovaného UNIXu?

[xvasek]

Hele, říkej mi paranoik, ale já si zdrojáky před kompilací nebo spuštěním snažím přečíst.

[Jendа]

Hustý. Kompiloval jsi někdy třeba kernel nebo gnuradio?

[Pavel Stárek]

Nebo LibreOffice?

[Luk]

Tak jsem asi kecal, je to až od IE 10 (ve Win7). Ani devítka tu reputaci ještě nekontroluje.

[Luk]

Resp. kontroluje, ale dává přímou možnost soubor spustit, což už u IE 10 není.

[pocitujlasku]

A ja som uz niekolko exe podpisoval, sice self-signed certifikatom, ale bol tam nazov firmy pre ktoru som vtedy pracoval. Niekolko odbornikov vystrasilo to windowsacke varovanie, a teraz aj ked vyskoci, ale je tam nazov firmy, tak je to kuzelne v poriadku lebo je tam firma :)

[Luk]

Certifikát důvěryhodný pro Microsoft stojí několik tisíc ročně, takže speciálně u programů zdarma (nejen FOSS) nebývají instalačky podepsané vůbec nebo přinejlepší klíčem s self-signed certifikátem. Varování při interaktivní instalaci vyskočí vždy, ale při důvěryhodném podpisu nevypadá tak výstražně.

[Filip Jirsák]

Pokud vím, nekončí podpora Windows XP ze strany Microsoftu, ale končí bezplatná podpora Windows XP ze strany Microsoftu. Takže pokud se objeví nějaká velká bezpečnostní díra, Microsoft záplatu připraví stejně jako dříve - ale zpřístupní ji jen těm, kteří mají zaplacenou podporu. A pak bude otázka, zda vyměkne a zpřístupní ji zdarma i ostatním.

[Jendа]

Ty tři body popisují dokonale bezpečnost Linuxu.

Pokud se chcete zbavit bezpečnostního problému, kdy každá instalovaná aplikace může se systémem dělat prakticky cokoli se jí zlíbí (v rámci práv aktuálního uživatele) a vy ani nikdo jiný nemá žádnou kontrolu, jestli aplikace dělá jenom to, co má, zvažte změnu systému.

Toto mě opravdu trápí. Jsem pro vyřešení tohoto problému ochoten změnit systém, klidně ihned. Poradíš mi nějaký?

[Fluttershy, yay!]

Hliněná tabulka a majzlík.

[xvasek]

RTFS! :-P

Ne, ale vážně. V distribucích to před podepsáním aspoň někdo překompiluje a přebalí, tzn. někdo jiný než autor nad tím má možnost kontroly. Ty si to můžeš přebalit a zkompilovat taky a tím to taky zkontrolovat. Toto se IMHO od stažení .msi s binárkou třeba uTorrentu ze stahuj.cz dost liší.

Lepší bezpečnostní model má android, nebo se dá použít selinux. Ale androidí metodika se mi v principu líbí.

[Jendа]

Ne, ale vážně. V distribucích to před podepsáním aspoň někdo překompiluje a přebalí, tzn. někdo jiný než autor nad tím má možnost kontroly. Ty si to můžeš přebalit a zkompilovat taky a tím to taky zkontrolovat.

Ruku na srdce, ty to děláš? Já se přiznám, že ne.

Lepší bezpečnostní model má android

Dobře, specifičtěji, chci desktop.

nebo se dá použít selinux

A nested X server pro každou aplikaci. To už rovnou můžu mít ty virtuály s woknama…

[Hans1024]

Nebo Qubes OS.

[xvasek]

Ruku na srdce, ty to děláš? Já se přiznám, že ne.

To je ale tvůj problém. Já to občas dělám. Občas čtu soubor po souboru (u menších projektů - třeba nedávno setlfoss), občas něco opravdu zkontroluju. A i velké věci se dají různým způsobem kontrolovat - teď jsem třeba dělal diff mezi vanila jádrem a jádrem od Samsungu (ti dávají zdrojáky jako tarball) a pak si to kompiloval upravené sám, takže ani kernel není úplně mimo. Ale je teda fakt, že Firefox nebo LO už těžko jak zkontrolovat.

Možná si to moc maluju, ale opravdu žiju v představě, že si to distribuční maintainer prochází a kontroluje.

Dobře, specifičtěji, chci desktop.

A proč ne android na desktopu?

[pavlix]

Možná si to moc maluju, ale opravdu žiju v představě, že si to distribuční maintainer prochází a kontroluje.

Pobavilo.

[Fluttershy, yay!]

Pravil distribuční maintainer bez špetky studu...?

[pavlix]

Pokud tě zajímá, co dělám, když mi přijde info o nové verzi balíčku. Nevidím důvod si komplikovat život jestliže review zdrojových kódů není součástí workflow dané distribuce.

[kolcon]

Oppice obsahuji Utlouk, a ten rozhodne do netu komunikuje...

[xvasek]

Pravdu máš! Doplním zítra, díky za postřeh. Utlouk exprase má vlastně taky problém.

[Honz]

Utlouk je jedno velké problémové prase...

[Agent]

Tak snad už začnou Widle konečně pořádně facha,t po tom co se BG věnuje jiným věcem (problematice depopulace) a MS se teď taky zaměří jinam a nebude ten systém neustále rozbíjet.

[heh]

Trochu slabota ne? Kde je nějaká FMEA?