Jaderné noviny – 12. 9. 2013: Utajování bezpečnostních chyb (diskuse)

[clayman]

Jo, s pojmenováváním mám problém taky. Občas bych potřeboval otroka, který by vedle mě seděl a jen říkal, jak co nazvat.

[j]

Ad bezpecnost ... musim se tomu leda od srdce zasmat - hrat si pri OS vyvoji na utajovani ...lol. Dovolim si tvrdit, ze k vetsine uzivatelu se nova/opatchovana verze (nejen) kernelu tak jako tak dostane az za dlouhy mesice - tedy davno po tom, co se o dire "vi", ale prave tim, ze se to tutla, je zpusobeno i to, ze nebohy admin ani netusi, ze ma deravej kernel.

Podle vseho se tedy staci soustredit na neokomentovany/narychlo vlozeny commity ... dobrej navod.

[petr_p]

To bych si nedovolil tvrdit. Například propírané chyby v HID šly do stabilního jádra v Gentoo v pátek. Do Fedory už 12. RHEL postižen není. Debian zatím opraven není. Do SLES se to už čtyři dny připravuje. Mandriva je opravena od čtvrtka.

[j]

To bych si tvrdit dovolil, gentoo je spis extrem, ale ani v gentoo nekompiluju novou verzi kernelu hned jak se objevi ani nahodou. A patchovat produkcni system ... lol ... rozhodne nehodlam riskovat, ze sice budu mit "naprosto bezpecny" ale zcela nefunkcni system.

Minimalne par tydnu je zaklad ... to se uz na webu a diskusich objevi dost zkusenosti ... a tak clovek aspon muze predpokladat, co vsechno se mu potencielne podela.

[pavlix]

Komu není rady...

[petr_p]

Tak příště nepiš takovou lež. Bezpečnostní aktualizace vyšly. Že jsou správci, jako ty, kteří aktualizace odkládají, je tvůj problém. Za to distributor nemůže.

[j]

Tak se hosanku laskave nauc cis ... pokud je nekdo negramotnej, nemel by lizt na net.

Pro tvoji informaci, zadnej normalni spravce nepatchuje naprosto nic, pokud to neni naprosto nezbytny. Narozdil od tvy domaci masiny, ktera kdyz mesic nepojede, tak maximalne dostanes par facek od rodicu, produkcni stroj stoji kazda minuta vypadku penize ... a to rozhodne ne maly penize. Bavime se o tisicich, ale klidne i milionech eur.

Nehlede na to, ze proc by mel neco patchovat, kdyz informace o dire se tutla, ze ...

[Jendа]

Tak se hosanku laskave nauc cis ... pokud je nekdo negramotnej, nemel by lizt na net.

Distributoři s podporou většinou backportují pouze opravu chyby, takže je menší šance, že se podělá něco naprosto nesouvisejícího (na rozdíl od upgrade).

Narozdil od tvy domaci masiny, ktera kdyz mesic nepojede, tak maximalne dostanes par facek od rodicu

OTOH, jsou stroje, kde je mnohem lepší, když nepoběží, než když je někdo zpwnuje přes děravý kernel.

produkcni stroj stoji kazda minuta vypadku penize ... a to rozhodne ne maly penize. Bavime se o tisicich, ale klidne i milionech eur

Hledal bych chybu v tom, že máš stroj, jehož výpadek bude stát tisíce a miliony eur za minutu. Normální člověk si kvůli takovým věcem postaví HA cluster.

[trekker.dk]

Normální člověk si kvůli takovým věcem postaví HA cluster.

Normální člověk možná, ale tady mluvíš se superdrsňákem, co oslovuje ostatní "hošánku", má superdůležitý stroje a absolutní pravdu o tom, kdo je to "normální" správce. (Přičemž podle všeho neumí během měsíce nabootovat starý jádro, když se ukáže, že update něco rozbil.)

[j]

Jo, zdravim dalsiho ynteligenta, co vzivote nevidel provozni stroj, na kterym jede neco vic, nez piskvorky ... Fakt bych chtel videt, jak budes 3x za sebou rebootovat masinu ktera ridi vyrobni linku ... kdyz jeden start ty masiny trva hodinu ... Opravdu chci videt, jak budes vedeni firmy vysvetlovat, ze si chtel jen patchnout kernel ... ale ze to nejak nevyslo ... a tak si tam musel vracet ten starej ... a firma kvuli tomu pulden stala ...

A to nemluvim o tom, ze zcela zjevne vubec netusite (ani ujeden z vas) jak se provozuji produkcni stroje ... ona totiz na nich (velke prekvapko) bezi nejaka aplikace ... u ktery jeji dodavatel jednoduse garantuje provoz s nejakym zcela konkretnim sestavenim kernelu ... a kdyz si tam da kdokoli jiny, tak to sice mozna fungovat bude ... ale kdyz ne, tak si ty milionovy skody muze calovat z vlastniho.

I polodement pak vi, ze v clusteru umi behat tak promile aplikaci. A to nemluvim o tom, ze to velmi casto funguje pouze proti vypadku, nikoli jako moznost jak to po castech patchovat, protoze to jednoduse nefunguje, pokud na tech strojich jsou ruzne verze SW.

[Rada]

Tak pokud se jedná o embedded systém, na kterém běží jedna jednoúčelová aplikace a celý funguje jako jednoúčelové zařízení (a není nejspíš ani připojený k internetu), tak to samozřejmě nemá smysl patchovat.

Pokud ale ten stroj připojený je, tak neopravovat bezpečnostní chyby je šílenství. Zajímalo by mě, jak byste vedení vysvětloval, že linka půl dne vyráběla zmetky, protože tu mašinu někdo z venku sabotoval? IMO spíš projde to, že bude tři hodiny stát. Jinak... u tak drahého provozu bych předpokládal (zkušenosti v této oblasti nemám), že k tomu stroji s vysokou dostupností bude existovat identická kopie - HW i SW, na které se budou právě testovat aktualizace a úpravy dřív, než se provedou na produkčním stroji. Nebo to z nějakého důvodu nejde?

[tecik]

Heh, ja zil v domeni, pokud je neco standalone, a neni mozne na to pres den rypnout, tak je tu vzdy vecer. Jedna nocni akce a mas po starostech ;)

Jinak - to co jsi "j" psal o clusterech je kec jak prase. Zdaleka ne jen "promile" aplikaci funguji v clusteru Ono zalezi jak ten cluster postavis Dokonce se da udelat "cluster-like" appka ktera o clusteru vi prd. Je to vazne jen o predstavyvosti. A ohledne verzi, build/test vs run env. nic nerika?

Vidim cloveka, ktery hleda problemy proc to nejde, nez "jak by to slo". Nebo prosim "j" dodej konkretni priklad, a to s detaily proc. Protoze ted proste vazne duvod proc to nejde nevidim.

[ufon]

mnoho vyrobnych liniek fici 24h denne a aplikacia sa pouziva taka aku dodal vyrobca. myslis ze nejaky upoteny autisticky linuxak bude prepisovat cely framework stroja? :D

kazdopadne patchovanie "len obcas" sa pouziva bezne

[trekker.dk]

A to nemluvim o tom, ze zcela zjevne vubec netusite (ani ujeden z vas) jak se provozuji produkcni stroje ...

Jasně, drsňáku...

[Atom321]

Pro řízení výrobní linky se občas ještě dneska používá DOS nebo dokonce Windows 3.0. Tedy, samotné řízení zajišťuje nějaká jednoúčelová krabice. Ta je spojená přes sériák s nějakým prastarým PC s dávno zastatralým operačním systémem, na kterém běží nějak splácané uživatelské rozhraní. Dokud to funguje, tak se na to nesahá. Naštěstí taková věc obvykle není připojená k síti a už vůbec ne do internetu.

Aplikace pro cluster jsou samozřejmě psané tak, aby zvládly instalovat aktualizace po částech, bez výpadku celého clusteru. Pokud stojí výpadek milion korun na hodinu, tak už se vyplatí investovat do vývoje a napsat to pořádně.

[Field]

chocho šedivá je teorie, zelený je strom života

[Petr Ježek]

Kdyby se tak chovali všichni, nebude po pár týdnech kernel o nic bezpečnější než byl při uvolnění.

[Jendа]

Například propírané chyby v HID

Cool. Další důvod při zamykání obrazovky ještě unloadovat modul na USB.

[trekker.dk]

No, jestli máš USB klávesnici, tak by tohle řešení mohlo mít trochu problém, až si to zase budeš chtít odemknout

[Jendа]

Naštěstí nemám :)