Portál AbcLinuxu, 31. října 2025 16:51
1.8.2010 16:18
poky74 | skóre: 36
| blog: Zápisník
| Vrchlabí
Upřímně, o Mrkvovi vím že nepíše nějaké bludy, o vás vím kulový, což znamená že bez nějakého doložení svých tvrzení, či odůvodnění je váš příspěvek naprosto nehodnotný, co takhle to co jste napsal rozvést proč tomu tak je.
Ano, s Mrkvou souhlasím, proč by ne, o to více mě zajímá odůvodnění vašeho názoru.
Nesmysly a spatna rozhodnuti generuji dalsi nesmyslna opatreni, ktera spaluji penize a na poradna reseni pro zakazniky pak tech penez nezbyva. Puvod techto problemu vidim ve spatne vzdelavaci politice v oblasti informacnich technologii, jednoduse receno - rozhodujici slovo maji matematici a informatici a ne inzenyri.blbost. nesmyslna a spatna rozhodnuti generuje trh, protoze zakaznici casto nemaji na to, aby si zaplatili to jedine spravne a nejlepsi reseni (tm)... at uz je to cokoliv. shrnu-li to: stoji pred volbou, jestli to co chcou bude blbe nebo drahe.
Přečti si ty moje odkazované komentářemas na mysli neco konkretniho?
já si právě myslím, že jsme se dostali k „řešení“, které je drahé i blbé zároveň.to se nevylucuje :-]] spis vidim zasadni problem v tom, ze vyvoj celeho odvetvi je rizeny spis ,,evoluci'' nez nejakym ,,inteligentnim designem'' a proste se vse prizpusobuje aktualnim podminkam.
mas na mysli neco konkretniho?
to se nevylucuje :-]]
Nevylučuje, ale ty jsi psal o zákaznících, kteří si vybírají nedokonalé řešení místo dokonalého (ale cenově nedostupného), což beru – taky nepoužíváme záchod vyrobený ze zlata, i když by byl jistě dokonalejší, než ten porcelánový, ale je prostě cenově nedostupný, tak si koupíme obyčejný. Jenže v případě IT máme často ten nejlacinější záchod, ale platíme za něj cenu, jako by byl ze zlata. Když se vrátíme k těm protokolům – část ajťáků vymýšlí, jak je lépe filtrovat a druhá část vymýšlí, jak tyhle filtry obcházet a dostat danou aplikaci mezi co nejvíc uživatelů. V důsledku se vyplýtvá spousta energie (na obou stranách), ale přitom přínos pro koncového uživatele je nulový – může telefonovat přes Skype, ale vyplýtvalo se spousta energie – někdo musel vymyslet ten mechanismus (P2P, supernode) a naprogramovat Skype a někdo jiný zase programoval a konfiguroval firewally, které filtrují různý provoz. Přitom mohl uživatel jednoduše navázat audio/video spojení na určitý port určité IP adresy pomocí nějakého jednoduchého prográmku a prostě telefonovat.
Když se na to člověk podívá jako na dvě strany:
tak vidíme, že IT nepracuje příliš efektivně, velkou část peněz, které dostane od zákazníků, prožere na své vlastní interní problémy. Tohle může mít negativní dopad na celý obor, uživatelé budou brát IT jako něco, co jim za hodně peněz dává málo muziky a nebudou tolik ochotní do něj investovat. Je to trochu jako když nefunguje soudnictví – lidi pak radši k soudu vůbec nejdou, i když věří, že jsou v právu, protože by je to stálo tolik peněz, času a nervů, že radši odepíší pohledávku nebo prostě ten případ hodí za hlavu.
Když se na to člověk podívá jako na dvě strany:Jenže, tohle je přesně tohle nejde dělat. Protože je poptávka jak po službách filtrace, tak po službách obcházení filtrace. Nejde prostě říct "teď nebudeme vymýšlet lepší způsoby blokace, protože to xkucf03 řekl" nebo "tuhle filtraci už nebudeme obcházet, protože to xkucf03 řekl". Resp. říct to můžete, ale nikdo vás poslouchat nebude.
- IT jako dodavatel nějaké služby/hodnoty
- zbytek světa jako zákazník
Jde spíš o to, ukázat ostatním cestu, ukázat, že Internet není jen HTTP. Těžko se podaří vybřednout z těchto sraček ze dne na den, jde to jen postupně, po malých krůčcích. Na straně administrátorů to chce někdy povolit obecně komunikaci, připustit si, že stejně síťový provoz nemá pod kontrolou*. Na straně programátorů zase vyvíjet aplikace, které dokáží využít potenciálu Internetu a nabídnout nějakou přidanou hodnotu pro uživatele, kteří mají plnohodnotné připojení – pak sami uživatelé nad tím začnou přemýšlet a budou chtít Internet a ne jen přístup k webu, nebo dokonce jen k nějaké proxy.
*) pokud je povolené HTTPS, proleze přes síť naprosto cokoli a admin vůbec nemá páru, co to je za data, akorát může sledovat objemy, pokud jde jen HTTP, dá se přes něj procpat taky kde co, přinejhorším třeba balit pakety do GPG zpráv. Jedinou spolehlivou ochranou je zatlouct komunikaci úplně – ale pokud je povolená alespoň nějaká, data prostě projdou (a to jak vynášení důvěrných informací z firmy, tak lelkování na různých chatech a zábavních serverech). Co se týče ochrany před vnějšími útoky, je to taky celkem marný boj – např. jeden botnet (nebo spíš nejeden) koordinoval svoji činnost přes zprávy na Twitteru – když zakážeš Twitter, pojede to příště přes jinou službu – ale navíc budou uživatelé nadávat, že jim nejede jejich oblíbený web – tzn. nic se nevyřešilo, uživatel platí peníze za IT a ještě má degradovanou službu (omezený přístup na Internet).
ale nic lepšího se neprosadilo.
Přetahování o lano - ano, je to podobné jako boj se SPAMem.
bezpečné - jednotlivé aplikace (stránky) jsou v browseru téměř dokonale izolovány„Téměř“ no
Ty aplikace moc izolované nejsou, vždyť stačí uživateli podstrčit vhodný odkaz (např. obrázek) a z jedné aplikace (např. webmail) provedu nějakou akci v jiné aplikaci (třeba změním heslo nebo zadám příkaz k převodu peněz), XSS, XSRF atd.
Zajímavě vypadala třeba Java FX, ale tam se mi zdá, že to s tou bezpečností není tak dobré - aplikace po odkliknutí může zapisovat na lokální disk všude možněBezpečnostní model Javy je dost propracovaný. Když uživatel potvrdí aplikaci veškerá práva, je to jeho blbost – nastavit toho jde mnohem víc a nedělá to uživatel, ale autor aplikace, ten si řekne jen o ta práva, která potřebuje (např. přístup k souborům, které uživatel vybral v souborovém dialogu) a uživatel je potvrdí. Nebo to navazování TCP spojení. Viz např. Java's security architecture (BTW: článek z roku 1997
) Aplikace je prostě pod kontrolou JVM, není to tedy jako když spustíš klasickou aplikaci třeba v C++, která si následně může dělat, co chceš (pokud ji neomezíš třeba AppArmorem).
„Téměř“ noPravda, zas tak dokonalé to není, nicméně v praxi s tím mají problém jen špatně napsané aplikace. Proti XSRF existuje mnoho různých metod obrany, které ten problém řeší. Posílání HTTP požadavků na libovolnou URL skrze obrázky je možné. Co hůř, dokonce se při tom použijí správné cookies. Jedno okno/panel prohlížeče ale nemůže vůbec nijak manipulovat s obsahem z jiné domény (třeba otevřeném v jiném panelu/iframe), nebo ho i jen číst, to je podstatné. Každopádně při dobře napsané webové aplikaci je ta izolace vyšší úrovni než u klasických aplikací na Linuxu / Windows (bez speciálních věci typu AppArmor).
Bezpečnostní model Javy je dost propracovanýNetvrdím, že ne. Díky tomu, že vše je pod kontrolou JVM, tak to může být bezpečné. Ale pro uvažované použití by bylo nutné nějaké rozumné nastavení a best-practices pro aplikace. Pokud si pustím Java FX aplikaci a po odkliknutí jednoho (možná 2) upozornění má ta aplikace plná práva (resp. taková, jaká si definoval autor aplikace), tak to pro běžné uživatele moc použitelné není. Je to prostě až moc složité. Představoval bych si, že to bude něco na způsob "bezpečnostních zón" u IE - jsou tam stovky věcí, co jde povolit/zakázat, ale základní úroveň, do které spadnou na začátku všechny stránky, na 95 % věcí stačí. Pokud ta stránka (resp. obecně uvažuji aplikaci) potřebuje něco, co není v základu označeno jako bezpečné, objeví se jasné a stručné varování + dotaz jestli to fakt chci povolit. Správce systému pak uživatelům takové povolení může znemožnit. Jinak jakákoliv nová technologie, co by mohla případně nahradit některé webové aplikace to bude mít hrozně těžké. Dokud nebude dostupná na počítačích naprosté většiny uživatelů, budou všichni používat HTTP+HTML, protože použitím alternativní technologie by přišli o část uživatelů. A dělat 2 verze je nesmysl. Nová technologie by musela přijít skutečně s nějakou killer-feature. Zatím většinu těch chybějících věcí z HTML bohužel bohatě řeší Adobe Flash. I když jeho všelijaká podpora na mobilních zařízeních může jeho pozici časem změnit.
~/aaa, povolit/zatrhnout?“ by se mi jako paranoikovi líbilo. Takhle nemám vůbec kontrolu nad tím, jestli se mi třeba xoscope (příklad aplikace, která je sice open-source, ale rozšířená tak málo, že by trvalo dost dlouho, než by někdo na nějaký backdoor přišel) nesnaží vysát obsah ~/.ssh/.
Zrovna na toto by stačili štandardné *NIX práva, nie? Samozrejme, ak tá inkriminovaná aplikácia nebeží pod rootom Ale inak súhlas, že jemnejšie nastavovanie (typu SELinux) je potrebné.
~/.mozilla/, Thunderbird do ~/.mozilla-thunderbird/, DigiKam třeba do ~/album/, SSH jako jediné do ~/.ssh/, MPlayer může číst všechny soubory *.avi, *.mp3, *.mp4 a *.mkv a VIMu věřím, takže ten může všude. A když potom budu chtít ve Firefoxu stáhnout nějaký soubor, tak se zobrazí dialog
Firefox chce zapsat do ~/downloads/blah.
[Povolit] [Zamítnout]
[ ] vždy povolit Firefoxu zápis do ~/downloads/
Jde něčeho podobného dosáhnout se SELinuxem? Jde mi hlavně o ty dialogy s možnostmi, na zápisy do logu a následné procházení co bylo komu zatrženo a úpravy pravidel nemám nervy a svádělo by mě to k definování moc volných pravidel.
Jj, viem čo myslíš. Ale problém s týmto (ako zistili ľudia pri SELinuxe) je, že defaultne máš všetko zakázané (to je jediná bezpečná možnosť) a každej z miliónov aplikácií musíš povoliť milión rôznych súborov, aby sa vôbec rozbehla. Takže to chce audit všetkých aplikácií (ničomu inému sa ľudia okolo SELinuxu posledné roky nevenujú).
Principiálne by to určite malo ísť, ale či to niekto implementoval, to ti nepoviem. Sám SELinux nepoužívam, lebo to vždycky bol strašný opruz.
a každej z miliónov aplikácií musíš povoliť milión rôznych súborovNepoužívám zas tolik aplikací, které by přistupovaly mimo své skryté adresáře v
~, případně konfiguraci v /etc.
Ak si dosť paranoidný, tak každej aplikácií povolíš len jej vlastné súbory a nie celé /etc. A teraz si zober, koľko tých aplikácií je. To isté s *.rc v ~, atď., atp. a to všetko pre každú aplikáciu. Alebo aspoň každú, ktorú používaš; ale obecné riešenie by malo fungovať na každý balík, ktorý máš možnosť do systému pridať. Nechutne veľa roboty na môj vkus
Ak si dosť paranoidný, tak každej aplikácií povolíš len jej vlastné súbory a nie celé /etc.Já tím myslel konkrétní konfigurační adresář v /etc. Mně šlo hlavně o ty uživatelské ne-tak-moc prověřené aplikace a aplikace s možnými dírami. Prostě aby díra ve Firefoxu/Pidginu/Linphone nebo backdoor v xoscope/Stardictu/OpenOffice neodeslaly soukromé klíče, maily atd.
Aplikácie s možnými dierami = všetky aplikácie Ale máš asi pravdu, že programy ako Firefox by to potrebovali najviac.
~/Dokumenty/Návod na výrobu jaderné bomby.odt. Povolit?“
Lenže ak tejto aplikácii povolíš toto, tak je tak nejak zrejmé (človeku, nie počítaču), že mu dovolíš všetko v ~/Dokumenty. Ale s tvojím modelom by si musel pokaždé znova zatrhávať, že mu chceš povoliť ~/Dokument/A, ~/Dokument/B, ...
Je to proste tak ako píše Franta, treba nájsť kompromis medzi prívetivosťou a bezpečnosťou. Momentálne je to asi takmer nemožné.
~/Dokumenty/tajný plán na příští volby.odt“, takže by si uživatel alespoň mohl říct „A sakra“. Furt lepší než o úniku dat nevědět .
Ještě je tu další možnost, ale ta by si vyžádala větší zásah do aplikací a frameworků. Popsal ji Franta v komentáři o JavaFX - aplikaci by se umožnil přístup pouze k těm souborům, které vyberu pomocí systémového a tedy důvěryhodného dialogu (případně to dám najevo nějak jinak - drag'n'drop…). Takže bych po vybrání souboru, který chci poslat, nemusel ještě odklikávat, že ho chci povolit načíst.
chce si přečíst maily - přihlásí se do webmailu a nemusí si instalovat/konfigurovat mail klientaAle jak jsou tyhle věci bezpečné a pohodlné? Nemám zrovna superpočítač, ale i takový moloch jako OO mi běží celkem svižně. Ale webové a AJAX věci jsou prostě úplně nepoužitelné. Zkoušel jsem Google Docs, prostě kliknu a aplikaci trvá reakce 300 ms. To je prostě nepoužitelné. Nebo webmail - mám v každé složce max. 500 mailů, v Thunderbirdu kliknu, on hrábne na disk a zobrazí seznam. Ve webmailu se musí poslat HTTP požadavek, server musí odpovědět a pak to musí JavaScript (který je oproti nativnímu kódu mnohokrát pomalejší) zpracovat. A bezpečnost - jsem paranoidní,když se mi nelíbí mít svá data někde mimo domov?
Tak to ja mám opačnú skúsenosť. Google apps sú svižné, OO je pomalé až hrôza. Thunderbirda nemám, takže tam netuším.
Si, ale minimálne tu sa to považuje za pozitívnu vlastnosť
Ak si blbý, tak ja tiež Ale Docs nepoužívam (modulo jeden prekladateľský projekt, ale ten je v Spreadsheete), takže fakt netuším.
1.8.2010 16:08
xkucf03 | skóre: 49
| blog: xkucf03
1.8.2010 16:40
xkucf03 | skóre: 49
| blog: xkucf03
1.8.2010 15:51
exec() – což bude na „free hostingu“ zakázané.
1.8.2010 17:58
brk | skóre: 29
| blog: broukoviny
+ si napsat implementaci SSH v PHP, která asi neníhttp://php.net/manual/en/book.ssh2.php
1.8.2010 22:05
Marek Bernát | skóre: 17
| blog: Arcadia
Samozrejme, že je. V PHP je dnes už všetko, vrátane tak typicky webovej záležitosti, akou je GTK
teď akorát tak čas od času napíšu nějaký skript na pár řádek, ale víc se tímhle jazykem nezabývám – tušil jsem, že ta implementace možná bude, ale nechtělo se mi ji hledat. Když občas instaluji PHP, tak tam jsou různé balíčky (php5-imap, php5-pgsql atd.), ale ssh jsem tam neviděl – to je v tom úplném základu, nebo se naopak musí doinstalovat nějak bokem?
Ja s ním bohužiaľ ešte prichádzam do styku. PHP vyšších verzií sa trochu prečisťuje a pridávajú sa zaujímavé vlastnosti, ale celkovo je to furt ten istý trapácky jazyk vyrobený na kolene.
Mám pocit, že to bude v základe. Niekedy pred rokom sme to potrebovali na implementáciu platobnej brány a zdá sa mi, že to stačilo povoliť v konfigurákoch.
1.8.2010 17:08
otasomil | skóre: 39
| blog: puppylinux
Pokud si shellinabox rozjedete na vlastnim serveru pristupnem z internetu tak uz neni problem se pripojovat k jinym serverum v lokalni siti ci pristupnych v ramci internetu pouhym napsanim
ssh uzivatel@server
Na verejne pristupnem serveru pro tyto ucely postavenem bych to teda neryskoval pac provozovatel bude mit k dispozici Vas login i heslo.
Takze jedine na vlastnim serveru.
Abych nezapomnel tak tady nejake screeny: 1 je moznost i drobneho nastaveni vzhledu apod .. 2
2.8.2010 03:19
Jendа | skóre: 78
| blog: Jenda
| JO70FB
$HTTP["url"] =~ "^/term/" {
proxy.server = (
"" => (
"host" => (
"host" => "127.0.0.1",
"port" => 8022
)
)
)
}
3.8.2010 19:50
MaFy | skóre: 24
| blog: kecy
| Praha
4.8.2010 03:56
Jendа | skóre: 78
| blog: Jenda
| JO70FB
.
Jestlipak otasomil nosí na papírku otisk vygenerovaného certifikátu?
5.8.2010 21:16
otasomil | skóre: 39
| blog: puppylinux
Nene ... volim moznost "Vim o co se jedna" a pridam vyjimku.
Tiskni
Sdílej:
ISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.