Před 60 lety, 1. května 1964, byl představen programovací jazyk BASIC (Beginners' All-purpose Symbolic Instruction Code).
Byla vydána nová verze 12.0 minimalistické linuxové distribuce (JeOS, Just enough Operating System) pro Kodi (dříve XBMC) a multimediálního centra LibreELEC (Libre Embedded Linux Entertainment Center). Jedná se o fork linuxové distribuce OpenELEC (Open Embedded Linux Entertainment Center). LibreELEC 12.0 přichází s Kodi 21.0 "Omega".
Microsoft vydal novou velkou aktualizaci 2404.23 v září 2019 pod licencí SIL Open Font License (OFL) zveřejněné rodiny písma Cascadia Code pro zobrazování textu v emulátorech terminálu a vývojových prostředích.
OpenTofu, tj. svobodný a otevřený fork Terraformu vzniknuvší jako reakce na přelicencování Terraformu z MPL na BSL (Business Source License) společností HashiCorp, bylo vydáno ve verzi 1.7.0. Přehled novinek v aktualizované dokumentaci. Vypíchnout lze State encryption.
Spouštět webový prohlížeč jenom kvůli nákupu kávy? Nestačí ssh? Stačí: ssh terminal.shop (𝕏).
Yocto Project byl vydán ve verzi 5.0. Její kódové jméno je Scarthgap. Yocto Project usnadňuje vývoj vestavěných (embedded) linuxových systémů na míru konkrétním zařízením. Cílem projektu je nabídnou vývojářům vše potřebné. Jedná se o projekt Linux Foundation.
Operační systém 9front, fork operačního systému Plan 9, byl vydán v nové verzi "do not install" (pdf). Více o 9front v FQA.
Svobodná webová platforma pro sdílení a přehrávání videí PeerTube (Wikipedie) byla vydána v nové verzi 6.1. Přehled novinek i s náhledy v oficiálním oznámení a na GitHubu. Řešeny jsou také 2 bezpečnostní chyby.
Lennart Poettering na Mastodonu představil utilitu run0. Jedná se o alternativu k příkazu sudo založenou na systemd. Bude součástí systemd verze 256.
Hudební přehrávač Amarok byl vydán v nové major verzi 3.0 postavené na Qt5/KDE Frameworks 5. Předchozí verze 2.9.0 vyšla před 6 lety a byla postavená na Qt4. Portace Amaroku na Qt6/KDE Frameworks 6 by měla začít v následujících měsících.
Stále častěji se poslední dobou objevují zmínky o zajímavém útoku, o kterém se podle mě příliš nemluví. Co vím, používají ho především „složky vyšší moci“ pro získání přístupu do počítačů zájmových osob. Samozřejmě pouze na soudní příkaz :).
Známé implementace:
Nevím o žádné hotové open-source implementaci. V případě nutnosti lze znásilnit Metasploit a Squid, ale něco komplexnějšího by bodlo. Námět na semestrálku? :)
Při stahování nějakého kódu z Internetu (windowsáci .msi a .exe instalátory, jablíčkáři .dmg obrazy, linuxáci tarbally se zdrojáky a klonování git/svn/cvs repozitářů) je dost obtížné ověřit jeho integritu. Na Windows se na to AFAIK kašle skoro vždycky, jablíčka moc neznám a linuxáci si můžou spočítat hash nebo GPG podpis, ale stejně nemají, jak ověřit protistranu. Otevírá se nám tu proto attack vector.
(na Linuxu se většinou ověřují balíčky z repozitářů automaticky, ale třeba Arch to má pořád takové všelijaké a ten prvotní podpis stejně musíte nějak ověřit a to se dělá blbě)
Útočník, který může udělat man-in-the-middle (což typicky státní složka může), pak už jenom „cinkne“ procházející soubory a doufá, že si toho nikdo nevšimne a že to na druhé straně někdo spustí. Tu upraví nepodepsanou binárku s aktualizací, tu přidá jeden řádek do Makefile, onde vloží do flashového přehrávače z YouTube 0day. Typická školní demonstrace se provádí na oblíbeném skriptu alsa-info.sh, který se tahá přes čisté HTTP a spouští ho kdejaký začátečník, kterému to poradili ve fóru. Napsat filtr do Privoxy, který do takového souboru vloží náš kód, je otázka pěti minut.
Co jsem tak pozoroval kolem sebe, náchylní k tomuto útoku jsou snad všichni. Jen by exploitnutí někdy vyžadovalo delší práci sociálního inženýra. Pak je otázkou, jestli útočník nepoužije radši rychlejší metody zahrnující fyzické násilí, ale předpokládejme, že v civilizovaných státech se nic takového neděje :).
Dá se vyrobit trusted systém, u kterého se riziko tohoto útoku minimalizuje. Je potřeba ho nabootstrapovat z „trusted“ instalačních souborů, které se získájí třeba tak, že se tentýž instalátor stáhne z domova, u kamaráda a přes nějakou VPN v Tramtárii a porovná se to. Doufáme při tom, že tentýž útočník nemá pod palcem všechno.
Práce s takovým systémem je pak značně omezující, minimálně třeba já dost často potřebuju něco, co naprosto důvěryhodné není (posledně třeba toolchain OpenWRT). Proto je vhodné nainstalovat si do virtualizace „špinavý“ systém a pak používat vnější systém pro práci s citlivými informacemi a virtualizovaný pro to ostatní. Je to otrava a ne vždy to jde použít. Navíc virtualizace žere část výkonu. Varianta pro chudé jsou alespoň oddělené uživatelské účty, ale aplikace pak samozřejmě nemůže požadovat roota.
Tiskni Sdílej:
Jinak v hlubinách IRC tamtamy vyprávějí, že podobný útok je podnikán v masovém měřítku na uživatele TORu, kteří se připojují přes exit nody ven - live vkládání sploitů do stahovaných médií a úpravy spustitelných/scriptovacích souborů.No, nic takového jsem nezaregistroval.
Na Windows se na to AFAIK kašle skoro vždyckyTohle už není tak docela pravda. Pokud má uživatel Win7 a IE 9 ve výchozím nastavení, tak při pokusu stáhnout a spustit (ještě ani ne nainstalovat, jen spustit) exáč nebo MSI s "nedostatečnou reputací" mu IE nabídne volby "Nespouštět" a "Smazat". Dostat se k volbě spuštění dá práci a mnozí uživatelé z něj mají skutečně strach. Prakticky nutnou a nikoli postačující podmínkou, aby IE dovolil spuštění je, aby byl ten soubor podepsaný důvěryhodným podpisem.
soubor podepsaný důvěryhodným podpisem.Což pro státní šmírtoritu (kříženec šmíráka a autority) není problém, protože si prostě vyžádá kořenový a co se kradou certifikáty jak tužky v práci, tak už snad skoro pro nikoho, kdo věcem trochu rozumí...