Dotaz: Antivir a firewall na Linuxu

[Pepa]

Jsem Linuxový nováček, zatím jsem si nainstaloval Debian na svůj soukromý notebook. Chtěl bych se zeptat jak je to tady se zabezpečením, něco jako je na Windows Defender je tu nějaký antivirus a je vůbec potřeba? Nějak nemůžu dohledat relevantní informace, ale Android má taky Linuxové jádro a antivir má. A firewall, je třeba? Nebo jen pro servery? A jaký je v tom rozdíl? Trochu v tom tápu

Odpovědi

[Max]

Ahoj, součástí Linuxu není žádný vestavěný antivir ve stylu Windows Defender. Můžeš si doinstalovat ClamAV s jeho grafickou nadstavbou ClamTk, ale nevím, že by měl rezidentní štít, nebo něco obdobného, jako tradiční AV ve Win světě. Můžeš si ale nainstalovat nějaký AV z Win světa, pokud o to stojíš. Některé AV jsou i pro Linux.
Dále můžeš nainstalovat rkhunter, který se stará o hledání root kitů v systému.
Pokud jde o firewall, tak většinou nastavuji bez grafického klikátka. Ubuntu používalo UFW a k němu grafickou nadstavbu GUFW. Jestli existuje něco podobně přívětivého, to nevím.
Linuxové distribuce obecně nemají takové základní přednastavení bezpečnosti jako to má Windows s UAC a Defenderem. Na druhou stranu, neznám úplně do podrobnosti Ubuntu, ani OpenSuse, kde to může být na lepší výchozí a klikací úrovni.

Doporučuji vyzkoušet pár distribucí a sám uvidíš, která se ti bude líbit a která ti sedne.
Zdar Max

[Jendа]

Pokud jde o firewall, tak většinou nastavuji bez grafického klikátka. Ubuntu používalo UFW a k němu grafickou nadstavbu GUFW. Jestli existuje něco podobně přívětivého, to nevím.

To není ani tak o tom, že máš nějakou nadstavbu nad iptables (osobně jsem se s tím tedy nikdy nesžil a používám přímo iptables), ale co tam nastavíš. Co tam nastavíš? Mně dává trochu smysl zakázat defaultně INPUT, ale stejný vliv má když se podíváš, co za služby ti tam poslouchá, a zakážeš je. Teda až na situace když nevíš jak je zakázat, já třeba teď mám:

udp        0      0 224.0.0.251:5353        0.0.0.0:*                           1765622/chromium --

Pak ještě dává smysl zakázat FORWARD, ale ten je defaultně zakázaný stejně (ip_forward je 0) a na počítači co není router nemá moc co kam forwardovat, leda možná že by se mu takhle někdo dostal třeba do nějaké VPN kterou má z notebooku navázanou.

[Max]

Pokud si na desktopu pořád s něčím hraješ, děláš vývoj webu apod., zkoušíš různé služby (nodejs atd., na to navázaná mysql, docker), tak asi nechceš, aby tvé pokusy byly vidět na síti. Preventivně input na eth a povolení localhostu to jistí, řekl bych.

Náastavby jsem zatím také nepoužíval, ale asi to bude nutnost, protože s nástupem dockeru/k8s a dalších věcí už to chce trochu lépe orchestrovat.
Zdar Max

[Luky]

Ja napr som obyčajný desktop user

ufw enable ufw deny ssh ufw deny telnet

Toto si dávam hneď po čistej inštalácii ubuntu

[Jendа]

Nestačí nenainstalovat telnet (jde vůbec dneska nainstalovat telnet) a ssh?

[Peter Golis]

Telnet a SS sa v dnešnej dobe dá stále nainľtalovať. Jak klientská časť, tak aj serverová. Niektoré distribúcie už asi vyhodili telnet server, ale furt sa vyskytuje.

Neinštalovať služby ktoré človek nepotrebuje alebo ich zakázať je základ (vypnúť ich štart alebo obmedziť cez FW). Znižuje sa tým pravdepodobnosť útoku. Ale to nie je jediný spôsob umožňujúci kompromitáciu.

Akurát že povolenie služby len pre domácu sieť vo FW na NB nemá moc veľký význam. Človek si tak vyjde s NB napr. do kaviarne, pripojí sa na voľnú WiFi, a začne sa diviť ak majú rovnaký sieťový rozsah ako má človek doma.

[Xerces]

Telnet samozřejmě nainstalovat jde. Jak by se pařili MUDy?

[Martin Tůma]

Mně dává trochu smysl zakázat defaultně INPUT, ale stejný vliv má když se podíváš, co za služby ti tam poslouchá, a zakážeš je. Teda až na situace když nevíš jak je zakázat

Jo, toto bývalo účelem lokálního firewallu - služby, které neuměly poslouchat jenom na konkrétní adrese, typicky s bind(0.0.0.0) natvrdo v kódu. Ale dneska už jsou IMHO prakticky vymýcené. Ale je možné, že se s rozmachem "korporátního" SW v linuxu budou zase vracet. Ale i tady půjde spíš o "volání domů", než o "naslouchání všem".

[Max]

U nás někteří devíci, co dělají vývoj, mají občas nějaký malý test na lokálu a pak je jednodušší povolit na fw pro někoho přístup na ten test, než překonfigurovávat službu. Ale je to jen příklad. Je to hodně individuální.
Zdar Max

[Petr]

Tak už to projíždím tím rkhunterem, ani jsem netušil že takový nástroj existuje, díky.

"Doporučuji vyzkoušet pár distribucí a sám uvidíš, která se ti bude líbit a která ti sedne." mám Debian a Arch, obojí se zdá být fajn na Archu je super dokumentace, Debian je jednodušší. OpenSuse jsem zkoušel ale moc mi nesedlo.

[Pepa]

Příloha:

• rkhunter.log (128624 bytů)

Tak jsem jeden stroj projel a nevím co si mám myslet. Suspect files: 4 Possible rootkits: 5 Jestli tam něco je jak se toho zbavit? Přikládám log.

[Max]

Tak v tom logu je 4x, že byla aplikace nahrazena skriptem a to pátý těžko říci, k čemu se vztahuje, zda ke konfiguraci ssh, nebo testu "ipc_shared_mem". Reálný problém tam nevidím. Těch warningů se lze zbavit. Něco vyřeší úprava "/etc/rkhunter.conf" nebo "/etc/rkhunter.conf.local", teď nevím, jak to na debianu je. Zkozntroloval bych, zda je v konfiguráku definován typ balíčkovacího systému, v tvém případě tedy "PKGMGR=DPKG", pak lze po nějaké ruční kontrole mít vlastní whitelist, něco jako "SCRIPTWHITELIST=/usr/bin/script".
Zdar Max

[frufru]

Tak jsem to zkusil na MXlinuxu a nechce se mi věřit že rkhunter něco našel.System checks summary =====================

File properties checks... Files checked: 140 Suspect files: 1

Rootkit checks... Rootkits checked : 482 Possible rootkits: 1 Rootkit names : xorddos component

Applications checks... All checks skipped

[frufru]

Odpovím si sám. Falešný poplach Warning: Checking for possible rootkit files and directories [ Warning ] [22:06:16] Found file '/var/run/udev.pid'. Possible rootkit: xorddos component

[Peter Golis]

Mne to napríklad našlo na notebooku veľmi podozrivú aktivitu:

[08:56:28]   Checking for packet capturing applications      [ Warning ]
[08:56:28] Warning: Process '/usr/sbin/wpa_supplicant' (PID 1150) is listening on the network.

Kábel si kvôli tomu kupovať ozaj nebudem.

[frufru]

/usr/sbin/wpa_supplicant > to má něci společného s wifi? Poslouchá na WPA, WPA2 a WPA3 (IEEE 802.11i). Takže wifi v NTB.

[Peter Golis]

Bingo!

Akurát to nezvolilo profil na exkludy lebo vývoj RK Huntera zamrzol v roku 2018 a nikoho nenapadla možnosť že by ....

[Peter Golis]

Odporučil by som pridať parameter --pkgmgr aj s názvom balíčkovača, poprípade to dokonfigurovať ako východziu hodnotu ak to má bežať samé raz za čas na pozadí.

[Martin Tůma]

Antivirus není potřeba na žádné platformě, natož na linuxu. V mnoha případech jeho přítomnost pro vaše data přináší dokonce zápornou bezpečnostní hodnotu...

[Max]

Nesouhlasím, já si oblíbil třeba ESET s jeho HIPS filtrem (něco jako aplikační firewall). Pokud je uživatel hloupý a otevře si infikovaný dokument, pokud je ještě hloupější a odklikne všechna varování atd., tak se i tak kód nespustí, protože ESET HIPS zakáže jakoby forkovat proces (zakáže třeba aplikaci word.exe spusti rundl32, cmd, vbscript, powershell apod.). Je to celkem dobrá věcička.
Zdar Max

[Max]

Jinak to se bavím o Windows a BFU, osobně na Linuxu AV nepoužívám a ve Win nechávám default, tj. Defender.
Zdar Max

[Pepa]

Jo šlo mi o Linuxí antivir, ne pro Windows. Chápu kdybych provozoval třeba mail server tak je třeba kontrola kvůli klientovi s Win, ale to jsem na mysli neměl.

[Max]

Těmi win jsem myslel to, že některé známé AV pro Win dělají i verze pro Linux.
Zdar Max

[Luky]

Napr na stránkach esetu je napísané že antivírus pre iOS a iPad neni lebo každá apka je sandboxovana a ten antivírus by videl len sám seba na Linuxe neviem načo a napr synology nasko ma možnosť nahodit antivírus ale to koli datam pre win

[Martin Tůma]

Nic jiného se samozřejmě od někoho s mentalitou korporátního ajťáka nedá očekávat, to už jsme tady řešili několikrát. Ty prostě žiješ ve světě, kde můžeš ostatním libovolně cokoliv zakazovat a znefunkčňovat. Já zase žiju ve světě, kde občas (obrazně, ne konkrétně tento případ) potřebuju aby ty vbscript makra ve Wordu fungovaly...

[Max]

Jasně, protože člověk prostě chce, aby mu excel.exe mohl spouštět cmd.exe a další věci. Navíc, já nikomu nic nezakazuji. Desktop AV si může každý nastavit sám, jak chce, takže fakt nevím, co plašíš.
Zdar Max

[Martin Tůma]

O tom co je krasne rozhodujeme my - strana!

Ty sice nic nikomu nezakazuješ, ale já dodnes vzpomínám na tu legendární diskuzi tady, kdy si byl do jednoho jediného příspěvku schopný zároveň napsat: "mé zákazy nikoho z uživatelů neomezují" a "uživatelé si furt stěžují, že nemají admina"...

[Max]

Své psychické problémy si prosím řeš se svou doktorkou a neventiluj je takto veřejně. Možná tě pak i naučí vnímat nějaký kontext diskuse.
Zdar Max

[Martin Tůma]

Koukám, že v prostředí, kde ostatním nemůžeš rozkazovat co můžou a co nemůžou dělat jseš si dost nejistej...

[Max]

Musíš tu za každou cenu plevelit diskusi svými mindráky? Autor se ptal na AV a další věci, bylo mu něco doporučeno a ty hned přijdeš s nějakou smyšlenou představou, že někdo někomu něco nařizuje. To už je diagnóza. Drže se prosím tématu / autorovo dotazu.
Zdar Max

[Martin Tůma]

Jedinej, kdo neustále blábolí něco o doktorkách, mindrácích a diagnózách a při tom ostatním nařizuje, aby se drželi tématu, jseš tady ty...

[Jendа]

Chtěl bych se zeptat jak je to tady se zabezpečením, něco jako je na Windows Defender je tu nějaký antivirus a je vůbec potřeba?

Uveď konkrétní příklady co by měl takový antivirus dělat.

A firewall, je třeba?

Hodil by se aplikační firewall - zakázat aplikacím, u kterých není důvod, aby přistupovaly k síti (konkrétní příklady Stardict, Audacity), přistupovat k síti, případně u aplikací, které se mají připojovat jen na konkrétní místa, povolit jen tato místa. Bohužel nic takového na Linuxu neexistuje - existuje OpenSnitch, ale je to takový slabý pokus. Nebo se můžeš pokusit to omezit přes nějaké namespaces/kontejnery/flatpak(?), ale je to uživatelsky nepřívětivé a málo podporované.

Co se týče „klasického“ firewallu, tak ten podle mě není potřeba, a místo toho je vhodné zkontrolovat, co za služby ti poslouchá do světa (netstat -tlpn, resp. po novu a méně přehledně ss -tlpn). Čili jestli třeba nemáš omylem vystavený poštovní či webový server a nevíš o tom.

[Martin Tůma]

Hodil by se aplikační firewall - zakázat aplikacím, u kterých není důvod, aby přistupovaly k síti (konkrétní příklady Stardict, Audacity), přistupovat k síti, případně u aplikací, které se mají připojovat jen na konkrétní místa, povolit jen tato místa. Bohužel nic takového na Linuxu neexistuje

Tohle je podle mě cesta do Androidu (pekel). Bezpečnost Linuxu podle mě nemá stát na tom, že se budeš snažit "umravňovat" zlé aplikace, nebo "workaroundovat" bezpečnostní chyby nějakejma dalšíma vrstvama "zákazů", ale na tom, že zlé aplikace nebudeš používat* a bezpečnostní chyby opravovat.

* ano, dá to podstatně víc práce, než věřit obchodu se strachem a chce to podstatně větší znalosti než má průměrný korporátní ajťák, ale jde to

[Jendа]

nebo "workaroundovat" bezpečnostní chyby nějakejma dalšíma vrstvama "zákazů"

To se snaží lidi už desítky let, a faktem je, že ve všem od prohlížečů PDFek přes prohlížeče obrázků a přehrávače videí po webové prohlížeče se neustále objevují další a další díry. Velká část z nich jsou paměťové chyby způsobené kultem programování všeho v C, ale občas se objeví i nějaká logická, se kterou by jazyk/runtime s bezpečnou pamětí nepomohly.

ale na tom, že zlé aplikace nebudeš používat

Tak si vezmi třeba takové GPXSee. Představ si, že ti jebne v kouli, přidáš do něj malware a vydáš update, který se všem, co používají repozitáře, automaticky nainstaluje. Než si toho někdo všimne, mají tisíce lidí počítače plně kompromitované. A přitom je to úplná blbost - GPXSee má mít přístup pouze k aktuálně prohlíženým souborům, řekněme plný přístup k internetu (stahování dlaždic) a jeden cache adresář s dlaždicema. Určitě ale nemá mít možnost prohledávat ~ na uložená hesla, SSH klíče, instalovat do ~/.bashrc aliasy pro ssh a sudo a následně získaná data posílat ven.

[Martin Tůma]

Tak si vezmi třeba takové GPXSee. Představ si, že ti jebne v kouli, přidáš do něj malware a vydáš update, který se všem, co používají repozitáře, automaticky nainstaluje. Než si toho někdo všimne, mají tisíce lidí počítače plně kompromitované. A přitom je to úplná blbost - GPXSee má mít přístup pouze k aktuálně prohlíženým souborům, řekněme plný přístup k internetu (stahování dlaždic) a jeden cache adresář s dlaždicema. Určitě ale nemá mít možnost prohledávat ~ na uložená hesla, SSH klíče, instalovat do ~/.bashrc aliasy pro ssh a sudo a následně získaná data posílat ven.

To se samozřejmě může stát, že mi jebne v kouli (někteří dokonce tvrdí, že už se tak stalo) a pokusím se pomocí GPXSee ovládnout svět, ale každý má stále možnost se před tím, než ten balíček updatuje podívat, co v něm je, protože process jeho vzniku je plně transparentní. Kdo je líný (a není uživatelem Debianu, přirozeně), tak si pár dní počká a použije balíček z jeho distribuce, který za něj (alespoň teoreticky) zkontroluje někdo jiný. Ano, je to o důvěře, ale statisticky to prostě funguje, protože při existenci tisíců balíčků v desítkách běžných distribucí si nevybavuju jedinej případ, kdy by autor SW nebo "balič" záměrně (nekompetence lidí z Debianu je samozřejmě jiný příběh...) kompromitoval stroje uživatelů. Tam kde je dostatečná transparence je prostě velmi malá ochota lidí se veřejně zcela kompromitovat. Pokud tedy nejsi antivirová firma, samozřejmě (a i tam by se pod to konkrétní lidé "nepodepsali", funguje to pouze díky anonymitě firmy).

Celé to má navíc ještě jeden aspekt, který poznáš teprve když začneš nějaký projekt alespoň podobného rozsahu jako GPXSee tvořit - začneš být alergický na lidi, co za tebou přijdou a povídají ti: "já si strašně rád od tebe vezmu ty tisíce hodin práce/peněz, co si pro mě zadarmo udělal/utratil, ale stejně si myslim, že mě chceš ojebat a okrást o data/peníze/..."...

[LarryL]

každý má stále možnost se před tím, než ten balíček updatuje podívat, co v něm je, protože process jeho vzniku je plně transparentní.

Vždy mě zajímalo kolik lidí v opensource světě zdrojáky kontroluje. Jednou jsem chtěl zkontrolovat zdrojáky updatu balíčku Manjara. Nemohl jsem zdrojáky toho updatu najít. Po dotazu mi bylo odpovězeno, že správce balíčku má zdrojáky zřejmě u sebe na localu a zapomněl je zveřejnit. Bavím se o oficiálně vydaném stable balíčku, nikoliv nějakém testovacím.

Od té doby jsem nedůvěřivý k distrům, které dělá pár lidí na koleni.

[Peter Golis]

Nemohl jsem zdrojáky toho updatu najít.

V tom prípade sa nejednalo o otvorený kód. Čo to bolo za balíček a z ktorého roku? Pýtam sa len aby som sa tomu vyhol.

Od té doby jsem nedůvěřivý k distrům, které dělá pár lidí na koleni.

Ja by som to zmenil na: distribúcie alebo inštalačné balíčky ktoré nemajú reprodukovateľný build. Napríklad sa jedná o OS Windows alebo o produkty Apple o ktorých bezpečnosti sa dá viesť zaujímavá diskusia plná citosloviec.

[LarryL]

V tom prípade sa nejednalo o otvorený kód.

Byl otevřený, jen ho lajdák programátor zapomněl hodit na GitLab. Kupodivu to nikomu nevadilo a takový balíček byl v oficiálním repozitáři nejoblíbenějšího distra v té době (podle DistroWatch), Manjara. Proto ta má otázka kolik lidí reálně zdrojáky balíčků kontroluje.

Čo to bolo za balíček a z ktorého roku?

Byl to balíček přímo OS Manjaro. Nevzpomenu si jaký konkrétně, možná balíček, který předkonfigurovával Sambu. Nebo nějaký takový doplňkový balíček, který naprogramovali přímo tvůrci OS Manjaro. Už si nevzpomenu. Asi 5 let zpátky.

Ja by som to zmenil na: distribúcie alebo inštalačné balíčky ktoré nemajú reprodukovateľný build.

Ano je to možnost. Ručně to ale nikdo kontrolovat nebude. Existuje třeba u Debianu možnost jak automatizovaně zkontrolovat, že všechny balíčky v oficiálním repu Debianu odpovídají oficiálním zdrojákům těch balíčků???

[Peter Golis]

Byl otevřený, jen ho lajdák programátor zapomněl hodit na GitLab.

Tým "zabudnutím" sa posledná verzia uzavrela, a prestal to byť otvorený kód.

Byl to balíček přímo OS Manjaro. Nevzpomenu si jaký konkrétně

Netuším či má Manjaro reprodukovateľný build, takže si asi nevieš overiť či poskytnuté zdrojové kódy vygenerujú zhodný inštalačný balíček ktorý je 100% identický s tým čo ponúka repozitár a nik do balíčka nepridal niečo nekalé.

Existuje třeba u Debianu možnost jak automatizovaně zkontrolovat, že všechny balíčky v oficiálním repu Debianu odpovídají oficiálním zdrojákům těch balíčků?

Debian mal v minulosti problém keď šírili nakazené balíčky, a tak sa zaviazali že tomu zabránia pomocou Debian Reproducible Builds. Na tom linku máš aj štatistiky a ďalšie distribúcie. A ak máš zdrojáky, tak ich môžeš aj skontrolovať na rôzne typy automatizovaných testov ktoré dokážu odhaliť chybovosť kódu. A rovno si vyberieš to, čo ti vyhovuje.

[LarryL]

takže si asi nevieš overiť či poskytnuté zdrojové kódy vygenerujú zhodný inštalačný balíček ktorý je 100% identický s tým čo ponúka repozitár

U většiny dister to neověříš, protože většina dister nemá Reproducible Builds.

Debian Reproducible Builds

Debian tam uvádí 35 tisíc amd64 balíčků. Přitom na svých stránkách uvádí: "The Debian package management system, when used properly, offers the user to install consistent sets of binary packages to the system from the archive. Currently, there are 71629 packages available for the amd64 architecture."

Nevíš čím je způsoben ten rozdíl v počtu balíčků?

A ak máš zdrojáky, tak ich môžeš aj skontrolovať na rôzne typy automatizovaných testov ktoré dokážu odhaliť chybovosť kódu.

Dejme tomu že můžu, ale jde o to kdo to reálně dělá. Uživatelé to nedělají. Jen věří, že za ně nějaký velký hráč (korporace) ověřil jak zdrojáky, tak proces buildu balíčku.

[Peter Golis]

Debian tam uvádí 35 tisíc amd64 balíčků. Přitom na svých stránkách uvádí ... 71629 packages

Debian nezodpovedá za contrib (OSS a binárne balíky ktoré tam môže dať hocikto, ale ľudia to chcú ako napr. prehliadač Chrome). Debian zodpovedá za main (updates/backports) a to je len podmnožina dostupného programového vybavenia.

Dejme tomu že můžu, ale jde o to kdo to reálně dělá.

Robil som vo firme ktorá papierovo zakázala používanie neschváleného SW. Ak niečo niečo chcel, tak zobrali zdrojáky toho SW v poslednej verzii, prehnali testami. A ak to neprešlo základnými testami kvality, tak ten SW papierovo nedovolili nainštalovať.

V výsledku tak zakázali napr. VLC lebo používal pretypovanie premenných ale bol rýchlejšie opravovaný ako vstavaný multimediálny prehrávač z OS ktorý bol deravejší lebo delegovali zodpovednosť na dodávateľa. Fail jak (ehm).

[Martin Tůma]

Ne že by Manjaro bylo úplně na úrovni Hannah Montana Linuxu, ale drtivá většina těchto "obrandovaných" distribucí jsou "nějak ručně doplácávané" a podobné chyby se dají očekávat. Ale dokazuje to jenom to, že to distro má omezené zdroje, ne že tam jsou nějaké nekalé úmysly. To co tady píše kolega Golis se většinou nedá vůbec brát vážně a teze, že když má někdo chyby/chaos v procesu vydávání tak se hned nejdná o opensource jsou přesně ten případ...

[LarryL]

Ale dokazuje to jenom to, že to distro má omezené zdroje, ne že tam jsou nějaké nekalé úmysly.

Ale že tam nejsou nekalé úmysly je pouze víra. Běžní uživatelé nemají kapacity zkontrolovat všechny zdrojáky[1] včetně buildování balíčku. Zatímco nastavení firewallu v kapacitách uživatelů je.

[1] u dister které nemají Reproducible Builds, což je většina, je kontrola zdrojáků v podstatě zbytečná, protože správce distribuce může do repa uploadnout balíček, který vůbec nebyl vykompilován z veřejných zdrojáků.

[Martin Tůma]

Ale že tam nejsou nekalé úmysly je pouze víra.

Celej tvůj život je o víře, protože množina věcí, co si sám můžeš ověřit je minimální... Statisticky (dle zkušeností) ale někde prostě věříš míň a někde víc a u OSS (obecně tam kde je dostatečná transparence) je ta statistika (zatím...) velmi příznivá.

Běžní uživatelé nemají kapacity zkontrolovat všechny zdrojáky[1] včetně buildování balíčku. Zatímco nastavení firewallu v kapacitách uživatelů je.

Skutečně? Ty sis opravdu zkontroloval, že ten firewall není upravený a třeba jenom nevypisuje, že něco blokuje ale ve skutečnosti to nedělá? A zkontroloval sis to ve zdrojácích toho balíčku kernelu, který je u drtivé většiny distribucí nereprodukovatelný, nebo si poctivě prošel celý strojový kód?!...

[LarryL]

někde prostě věříš míň a někde víc

Máš pravdu. Právě proto jsem v prvním komentáři rozporoval tvé tvrzení, že "každý má stále možnost se před tím, než ten balíček updatuje podívat, co v něm je, protože process jeho vzniku je plně transparentní."

Já tvrdím, že běžný uživatel zdrojáky nekontroluje a proces buildování u většiny dister není transparentní.

Ty sis opravdu zkontroloval, že ten firewall není upravený a třeba jenom nevypisuje, že něco blokuje ale ve skutečnosti to nedělá?

Nezkontroloval. I v tomto je část víry, souhlasím. Ale náš spor je v tom, že ty nabízíš jen jednu "víru". Víru, že tvůrci open source nemají nekalé úmysly a že za uživatele někdo zkontroloval zdrojáky, proces buildování atd., a odmítáš firewall. Nevidím nic špatného když uživatel podle svého uvážení používá více vrstev ochrany (více vrstev víry):

- zvolí distro, které používají korporáty, protože se tam očekává důkladnější kontrola zdrojáků z jejich strany,

- zvolí distro kde proces buildování balíčků je maximálně transparentní (Fedora Koji, SUSE OBS,..) + je tam snaha o Reproducible Builds,

- firewall,

- sandboxování,

- antivir,...

[Martin Tůma]

Máš pravdu. Právě proto jsem v prvním komentáři rozporoval tvé tvrzení, že "každý má stále možnost se před tím, než ten balíček updatuje podívat, co v něm je, protože process jeho vzniku je plně transparentní." Já tvrdím, že běžný uživatel zdrojáky nekontroluje a proces buildování u většiny dister není transparentní.

To jsou ale dvě zcela odlišné věci, jestli ten proces je transparentní a jestli ho někdo kontroluje. Build GPXSee je obecně reprodukovatelný, takže u distribucích, které se o reprodukovatelné buildy snaží to můžeš do jisté míry zkontrolovat, že v binárce je to co bys tam podle zdrojáků očekával. Jasně, není to 100%, protože k tomu by si musel mít zkontrolovaný celý ten řetězec, což asi v žádném distru dneska nemáš, ale když věříš zbytku toho distra, není důvod nevěřit zrovna buildu jednoho konkrétního balíčku...

Jestli to někdo skutečně dělá už je zcela jiný příběh. Ale statistiky ukazují to, že pokud tady ta možnost je (a pod tím procesem jsou podepsaní konkrétní lidé - v anonymních prostředích to tak úplně nefunguje), tak je šance, že tam nějaký "nekalý úmysl" bude minimální.

odmítáš firewall

Odmítám ho jako řešení nedůvěry k nějaké části systému, který je tvořen stejným procesem a stejnými lidmi jako ta "nedůvěryhodná" část. Tvářit se, že sis nějak pomohl tím, že si jednu náhodnou část v tom systému více izoloval, je dle mě jenom falešný pocit bezpečí. Navíc všechny tyhle mechanismy mají nějaké "vedlejší účinky" na které časem s největší pravděpodobností narazíš. No a v neposlední řadě je tu ten "psychologický efekt", kdy je tahle otevřená nedůvěra vyloženě urážkou těch lidí, co pro tu komunitu ty komponenty, kterým ty nedůvěřuješ (většinou zadarmo) tvoří. Až se budeš ptát, proč v OSS světě nemáme to či ono, tak si vzpomeň, že jedním z důvodům jsou i tyhle snahy, které autorům otevřeně ukazují prostředníček...

[frufru]

Takže vlasně skončíme u toho, že prohlásíme nainstalovaný linux od této chvíle za bezpečný? Někdo vznesl dotaz, od jaké chvíle lze brát svůj nainstalovaný linux za bezpečný OS? Odpověď: Nainstaluješ základ pro sestavení. To prohlásíš za bezpečný základ.A vše ostatní stahneš ze zdrojového kódu, který si před kompilací důkladně prohlídneš. Používal myslím Slackware. Takže žádný sudo apt-get update && sudo apt-get upgrade. Hezky stáhnou, kouknout, zkompilovat, nainstalovat.

[Martin Tůma]

Takže vlasně skončíme u toho, že prohlásíme nainstalovaný linux od této chvíle za bezpečný?

Každý složitější mechanismus, který začneš používat prohlásíš v ten okamžik za bezpečný (když někam letíš, bereš si s sebou bandu mechaniků/konstruktérů, kteří to letadlo do posledního šroubků zkontroluji, než do něj sedneš?). Tak proč ne Linux?

A kdo by měl v případě Linuxu podle tebe být ta "banda mechaniků"? Nějaká antivirová společnost, která byla usvědčena, že prodává uživatelská data, nebo třeba spolupracuje s FSB?!

A vše ostatní stahneš ze zdrojového kódu, který si před kompilací důkladně prohlídneš. Používal myslím Slackware. Takže žádný sudo apt-get update && sudo apt-get upgrade. Hezky stáhnou, kouknout, zkompilovat, nainstalovat.

Kromě toho, že i Slackware má normálně distribuční balíčky mimo naprostý základ systému (jen jich je méně), tak tak, že někdo stáhne SW z upstreamu a zkompiluje ho vznikají i ty distribuční balíčky. A pokud nejsi schopný ten SW zkontrolovat sám (což očividně vzhledem k tvým znalostem nejsi), tak je stejně jediná tvoje šance nechat tu kontrolu na tom baličovi...

[Peter Golis]

Meh, nemá toto riešiť smernica o zodpovednosti za SW? Ak požadujem nejakú úroveň bezpečnosti, tak si to vyauditujem. Alebo si (v rámci zmluvy ako doklad o súlade s stále len nadchádzajúcou legislatívou) vyžiadam výsledky takého auditu.

[Martin Tůma]

Co takhle si tu CRA směrnici nejdřív přečíst? Jakkoliv přesný význam slova "nekomerční" budeme pravděpodobně znát až po několika soudních sporech, tak u většiny SW z běžné linuxové distribuce se žádného výsledku auditu fakt nedočkáš...

[Peter Golis]

"v rámci zmluvy", Ak by som to potreboval, tak asi nezoberiem nejaké one man show hobby distro, ale siahnem po komerčnom riešení.

Presne tak funguje OSS. Ak niečo chceš dorobiť, tak si to urob sám. Alebo si na to zaplať odborníka (kľudne upstream vývojára alebo maintanera z distribúcie či v rámci zmluvy zadaj zmenový list). Faktúru si dáš do nákladov.

Ale nespoliehaj sa na to, že ti tvoje nápady urobí niekto iný v rámci jeho voľného času, zdarma a podľa tvojich predstáv.

[frufru]

ale siahnem po komerčnom riešení.> ale ani to není záruka bezpečnosti OS linux. viz.https://forum.ubuntu.cz/index.php?topic=75368.0 nebo https://diit.cz/clanek/spyware-z-ubuntu-nezmizi-smirovani-ale-pujde-globalne-vypnout . O něčem nedávno uvažovala i fedora. https://www.linuxadictos.com/cs/en-fedora-estan-considerando-la-posibilidad-de-habilitar-la-telemetria.html co bude ta telemetrie a co ne? Kam až zajdou? Tak po kterém sáhnout?

[Peter Golis]

ale ani to není záruka bezpečnosti OS

Videl som kopec licenčných ujednaní. Veselé bolo keď výrobca komerčného uzavretého SW v ujednaní uviedol, že sa zbavuje akejkoľvek škody ním spôsobenej aj v prípade že by bol ten SW vadný. Teda tým efektívne zrušil záruku na ním dodaný komerčný produkt.

Tá smernica o zodpovednosti za SW má dôvod. Chceli ju dať do NIS3, ale došlo im že sa nedá toľko čakať. Je smutné keď to museli takto riešiť. A je smutné že to začali riešiť až niekedy teraz.

Ohľadne telemetrie, tak sa pozri či je vo východzom stave zapnutá, či sa vôbec dá vypnúť, a či bez nej funguje dodaný SW. Kľudne to môže byť správca clipboardu v ktorom sa uchová heslo alebo fragment literárneho diela chráneného NDA, alebo celé takéto dielo.

[LarryL]

firewall...Odmítám ho jako řešení nedůvěry k nějaké části systému, který je tvořen stejným procesem a stejnými lidmi jako ta "nedůvěryhodná" část.

Když nějaké části systému (jádro, moduly, hlavní balíčky distra), kterou tvořili nějací lidé budu důvěřovat a na ni nebudu používat firewall, sandbox nebo antivir a na jinou část systému, kterou tvořili jiní lidé ano, tak je to v pořádku?

Až se budeš ptát, proč v OSS světě nemáme to či ono, tak si vzpomeň, že jedním z důvodům jsou i tyhle snahy, které autorům otevřeně ukazují prostředníček...

Kdybych na veřejnosti deklaroval, že tvůrcům OSS bezmezně věřím, ale tajně bych používal antivir a aplikační firewall, tak bychom mohli dosáhnout vyšší funkcionality i kvality OSS?

[Martin Tůma]

Když nějaké části systému (jádro, moduly, hlavní balíčky distra), kterou tvořili nějací lidé budu důvěřovat a na ni nebudu používat firewall, sandbox nebo antivir a na jinou část systému, kterou tvořili jiní lidé ano, tak je to v pořádku?

Ty u tvé distribuce lustruješ jednotlivé baliče a podle toho se rozhoduješ, jestli tomu kterému balíčku důvěřuješ, nebo ne? A pokud ti jde o autory SW, tak proč používáš něčí práci, když tomu člověku nevěříš?

Kdybych na veřejnosti deklaroval, že tvůrcům OSS bezmezně věřím, ale tajně bych používal antivir a aplikační firewall, tak bychom mohli dosáhnout vyšší funkcionality i kvality OSS?

Rozhodně dosáhneš větší motivace lidí pro tebe tu práci zadarmo dělat.

Když v dětském sportovním klubu všude v tělocvičně, špatných, i sprchách nainstaluješ kamery s tím, že trenérovi nevěříš, že nebude zneužívat děti, myslíš, že to zvýší motivaci lidí ty děti trénovat a budete mít pro tu mládež více a lepších trenérů? To ale neznamená, že si nikdo nemá ověřovat reputaci těch lidí, co ty děti přichází trénovat.

[LarryL]

Ty u tvé distribuce lustruješ jednotlivé baliče a podle toho se rozhoduješ, jestli tomu kterému balíčku důvěřuješ, nebo ne?

Ne, ale kdybych novou distribuci nepotřeboval nutně na železe, tak ji dám do VM, nastavím CPU, které zabrání, aby se potencionální Meltdown & Spectre útok nedostal ven z VM, nepovolím jí přístup ke všem svým datům na hostiteli a omezím jí přístup do místní sítě. Nevidím na tom nic špatného.

A pokud ti jde o autory SW, tak proč používáš něčí práci, když tomu člověku nevěříš?

Protože ten SW potřebuji. Třeba jen na chvíli v sandboxu.

Rozhodně dosáhneš větší motivace lidí pro tebe tu práci zadarmo dělat.

Pro mě? Myslel jsem, že tu práci dělají primárně pro sebe nebo svoje platící zákazníky.

Když v dětském sportovním klubu všude v tělocvičně, špatných, i sprchách nainstaluješ kamery s tím, že trenérovi nevěříš, že nebude zneužívat děti, myslíš, že to zvýší motivaci lidí ty děti trénovat a budete mít pro tu mládež více a lepších trenérů?

Tvůj příklad se týký důvěry lidí, kteří se osobně znají. Já autory SW ani baliče neznám, jsou to cizí lidé. Nedůvěra v cizí lidi není nic neobvyklého.

[Martin Tůma]

Ne, ale kdybych novou distribuci nepotřeboval nutně na železe, tak ji dám do VM, nastavím CPU, které zabrání, aby se potencionální Meltdown & Spectre útok nedostal ven z VM, nepovolím jí přístup ke všem svým datům na hostiteli a omezím jí přístup do místní sítě. Nevidím na tom nic špatného.

Pokud se stále bavíme o desktopu, o kterém celá tato diskuze je, tak takto paranoidně drtivá většina uživatelů svůj desktop (a to i Linux) opravdu nepoužívá, takže ano, je to divné. Kromě toho tady opět mícháš "ochranu" před externími útoky a před SW, který ses rozhodl dobrovolně používat...

Protože ten SW potřebuji. Třeba jen na chvíli v sandboxu.

Ano, využívat zadarmo tisíce hodin cizí práce by se ti líbilo, ale místo poděkování od tebe přijde akorát: "stejně si myslím, že jste zmrdi a chcete mě ojebat"...

Pro mě? Myslel jsem, že tu práci dělají primárně pro sebe nebo svoje platící zákazníky.

Tomu sám nevěříš. To možná platí pro nějaký 100 řádkový script z GitHubu, ale určitě ne pro něco, co je běžně v distribucích. Funkcionalita běžných balíčků je daleko za hranicí toho, co může autor sám využít. A o nějakém placení si většina autorů SW, který v běžné distribuci je může jenom nechat zdát...

Tvůj příklad se týký důvěry lidí, kteří se osobně znají. Já autory SW ani baliče neznám, jsou to cizí lidé. Nedůvěra v cizí lidi není nic neobvyklého.

Od cizích lidí taky běžně nedostáváš zadarmo výsledky jejich tisíců hodin práce. Ty lidé nejsou cizí/anonymní, v drtivé většině případů je jejich reputace velice dobře známa, stačí se zajímat. Jenomže tobě se to, že pro tebe jsou cizí náramně hodí, protože pak je mnohem jednodušší si od nich bez přispění brát tu jejich práci a k tomu jim ještě otevřeně ukazovat fakáče...

[LarryL]

VM...takto paranoidně drtivá většina uživatelů svůj desktop (a to i Linux) opravdu nepoužívá, takže ano, je to divné.

Na používání VM (i na desktopu) nevidím nic divného. Např. Gnome Boxes je na Gnome předinstalovaná aplikace právě pro snadné spouštění VM na desktopu.

Ano, využívat zadarmo tisíce hodin cizí práce by se ti líbilo, ale místo poděkování od tebe přijde akorát: "stejně si myslím, že jste zmrdi a chcete mě ojebat"...

Taky jsem přispěl pár řádky kódu do Linuxu. Nijak mne neurazilo když ke mne (defakto k cizímu člověku) neměli bezmeznou důvěru a kód prověřili před tím než prošel Pull Requestem.

Myslel jsem, že tu práci dělají primárně pro sebe nebo svoje platící zákazníky.

Tomu sám nevěříš.

Přesně tak tomu bylo v mém případě. Opravoval jsem chybu především pro sebe a zároveň jsem ji sdílel ostatním.

určitě ne pro něco, co je běžně v distribucích. ... A o nějakém placení si většina autorů SW, který v běžné distribuci je může jenom nechat zdát.

Běžně v distribucích je především kód zaměstnanců Red Hatu/IBM/Oracle/Intel a ti to dělají pro své platící zákazníky.

k tomu jim ještě otevřeně ukazovat fakáče

Zase přeháníš. Nikdo nikomu fakáče neukazuje. Bavíme se o "věř, ale prověřuj".

[Martin Tůma]

Na používání VM (i na desktopu) nevidím nic divného. Např. Gnome Boxes je na Gnome předinstalovaná aplikace právě pro snadné spouštění VM na desktopu.

Používat VM na desktopu je jedna věc (a i tady bychom mohli diskutovat, jak běžné to mimo vývojáře je), používat tak, jak si popsal, včetně té Spectre/Meltdown paranoie je něco zcela jiného...

Taky jsem přispěl pár řádky kódu do Linuxu. Nijak mne neurazilo když ke mne (defakto k cizímu člověku) neměli bezmeznou důvěru a kód prověřili před tím než prošel Pull Requestem.

To je taky zcela běžná věc, že ten kód prochází kontrolou před tím, než se použije. Stejně tak si můžeš zkontrolovat ten libovolný OSS projekt před tím, než ho použiješ a případně jej odmítnout používat, pokud s ním máš problém, to nikoho neurazí. To co děláš ty je ale jako by v kernelu ten tvůj kód použili a potom o něm všude hlásali, že větší sračky v kernelu v životě neviděli...

Přesně tak tomu bylo v mém případě. Opravoval jsem chybu především pro sebe a zároveň jsem ji sdílel ostatním.

Když pominu, že gró OSS projektů opravdu netvoří něčí párřádkové fixy, tak i v tomto případě to stálo práci několika lidí, kteří to pro sebe s pravděpodobností hraničící s jistotou nedělali. Někdo musel udělat code review a pak to několik lidí až k samotnému Linusovi muselo zamergovat. A stále je spousta subsystémů, kde za to maintaineři nejsou nikým placení.

Běžně v distribucích je především kód zaměstnanců Red Hatu/IBM/Oracle/Intel a ti to dělají pro své platící zákazníky.

Zdroj? Pro Linuxový desktop (a to celkově, od kernelu až po KDE aplikace) to AFAIK není pravda, ale rád se nechám přesvědčit nějakými "tvrdými" daty.

[LarryL]

Používat VM na desktopu je jedna věc (a i tady bychom mohli diskutovat, jak běžné to mimo vývojáře je), používat tak, jak si popsal, včetně té Spectre/Meltdown paranoie je něco zcela jiného

Jestli je to běžné nebo ne je pro naši diskuzi nepodstatné. Spectre/Meltdown je ošetřená ve výchozím stavu, ale nechce se mi rozepisovat proč jsem to psal.

to nikoho neurazí.

Veřejné odmítnutí kódu je větší urážka než nasazení aplikačního firewallu, sandboxu nebo VM na mém osobním počítači o čemž se tvůrce kódu ani nedozví. Mohl bych ti poslat komunikaci mezi Red Hatem a tvůrci Dockeru, kteří kódy RH ve velkém zahazovali a Redhaťáky to štvalo, ale nechce se mi to hledat. Studii na to co autory SW více urazí žádnou nemáš, jen pocit. Můj pocit je jiný proto tento spor nevyřešíme.

Zdroj? Pro Linuxový desktop (a to celkově, od kernelu až po KDE aplikace) to AFAIK není pravda, ale rád se nechám přesvědčit nějakými "tvrdými" daty.

Oracle: https://blogs.oracle.com/linux/post/oracle-linux-2023-year-in-review

"Oracle is the #1 contributor to the Linux kernel in 6.1, responsible for the most lines of the code changes in the kernel. By developing innovative features that are shared with the community, Oracle's Linux engineering teams strive to make the operating system better for all."

Red Hat je zase tvůrcem Gnome, Pulseaudio, PipeWire, Systemd, Libvirt, Wayland...

Poslední dobou hodně do linuxu investuje Steam, aby se zbavil závislosti na OS Windows. Zase byznys pro platící zákazníky (gamery).

Ale líbí se mi tvůj idealismus, že linux stojí na lidech, kteří neprogramují pro sebe, ale pro ostatní a to zcela zdarma. Neříkám, že takoví lidé nejsou, ale linux posunují kupředu především lidé co programují za peníze a jsou navázáni na nějaký byznys model.

[Martin Tůma]

Veřejné odmítnutí kódu je větší urážka než nasazení aplikačního firewallu, sandboxu nebo VM na mém osobním počítači o čemž se tvůrce kódu ani nedozví. Mohl bych ti poslat komunikaci mezi Red Hatem a tvůrci Dockeru, kteří kódy RH ve velkém zahazovali a Redhaťáky to štvalo, ale nechce se mi to hledat. Studii na to co autory SW více urazí žádnou nemáš, jen pocit.

Nic takového nepíšu. Píšu, že nikoho neurazí, když jeho projekt nebudeš používat. Každý autor je zvyklý, že všem se nezavděčí...

Oracle: https://blogs.oracle.com/linux/post/oracle-linux-2023-year-in-review "Oracle is the #1 contributor to the Linux kernel in 6.1, responsible for the most lines of the code changes in the kernel. By developing innovative features that are shared with the community, Oracle's Linux engineering teams strive to make the operating system better for all." Red Hat je zase tvůrcem Gnome, Pulseaudio, PipeWire, Systemd, Libvirt, Wayland... Poslední dobou hodně do linuxu investuje Steam, aby se zbavil závislosti na OS Windows. Zase byznys pro platící zákazníky (gamery).

Takže jediná data co máš jsou ke změnám v jedné konkrétní verzi kernelu a podle toho usuzuješ, že "Běžně v distribucích je především kód zaměstnanců Red Hatu/IBM/Oracle/Intel"?! Mé desktopy mají něco mezi 1000 a 2000 balíčků a třeba z těch tvých RedHat věcí používám akorát systemd. Od Steamu žádný projekt, i když je samozřejmě možné, že nějaké jejich patche mám třeba v Mesa. Pokud bych měl věřit té tvé tezi, tak pod pojmem "tvrdá data" si představuju přece jenom něco trochu výmluvnějšího...

linux posunují kupředu především lidé co programují za peníze a jsou navázáni na nějaký byznys model

To sice ano, ale především v oblasti desktopu jich IMHO není tolik, kolik si představuješ. A v oblasti desktopových aplikací už je to úplná tragedie, to je takřka výhradně komunitní záležitost.

[LarryL]

Píšu, že nikoho neurazí, když jeho projekt nebudeš používat.

A já píšu, že nikoho neurazí když jeho projekt budu používat v sandboxu, VM nebo když na ni šáhne firewall nebo antivir.

Takže jediná data co máš jsou ke změnám v jedné konkrétní verzi kernelu a podle toho usuzuješ, že "Běžně v distribucích je především kód zaměstnanců Red Hatu/IBM/Oracle/Intel"?!

Zmínil jsi "od kernelu až po KDE aplikace", tak jsem ti uvedl příklad jak je to u kernelu. Vážně myslíš, že u jiných verzí kernelu se poměr otočí a místo největšího přispěvatele z řad korporací to bude komunita nerdů co pracují zdarma? Teď jsi na řadě ty: máš nějaká data, že většina programátorů KDE to dělá:

a) pro ostatní zdarma, jak tvrdíš ty,

b) pro sebe (potřebuje kód, pro peníze), jak tvrdím já?

A v oblasti desktopových aplikací už je to úplná tragedie, to je takřka výhradně komunitní záležitost.

Nejpoužívanější aplikace dnešních běžných uživatelů je webový probhlížeč. Konkrétně Google Chrome, zase korporát.

[Martin Tůma]

A já píšu, že nikoho neurazí když jeho projekt budu používat v sandboxu, VM nebo když na ni šáhne firewall nebo antivir.

To ale není pravda. Důkaz sporem - já. A bavil jsem se i s jinými autory OSS a někteří to vidí úplně stejně jako já. Nemá asi cenu se na tom neustále točit dokola - tobě to prostě přijde normální. Ale vem prostě alespoň jako fakt, že existují i autoři OSS, kterým vadí, když si někdo od nich bere a při tom je považuje za zmrdy, co ho chtějí ojebat.

Zmínil jsi "od kernelu až po KDE aplikace", tak jsem ti uvedl příklad jak je to u kernelu. Vážně myslíš, že u jiných verzí kernelu se poměr otočí a místo největšího přispěvatele z řad korporací to bude komunita nerdů co pracují zdarma?

Ano vybral sis kernel, ale to je jeden balíček z tisíce, kde míra kódu od zaměstnanců korporací bude jedna z nejvyšších. Když si vyberu coreutils nebo KDE, bude ten poměr úplně jiný. Co se týče toho poměru v kernelu, tak ten se asi úplně neotočí, ale u kompletního kódu bude přece jenom jiný, než v sadě změn z poslední doby.

Teď jsi na řadě ty: máš nějaká data, že většina programátorů KDE to dělá: a) pro ostatní zdarma, jak tvrdíš ty, b) pro sebe (potřebuje kód, pro peníze), jak tvrdím já?

Finanční reporty KDE jsou dostupné na https://ev.kde.org/reports/. Především jsem ale nikde netvrdil, že většina vývojářů dělá pro ostatní zdarma. Co jsem rozporoval je tvé tvrzení: "Běžně v distribucích je především kód zaměstnanců Red Hatu/IBM/Oracle/Intel a ti to dělají pro své platící zákazníky.". Spousta kódu je v distribucích od programátorů financovaných nadacemi jako FSF nebo KDE e.V., a tam o nějakých korporacích a platících zákaznících prostě mluvit nelze. Lze samozřejmě vést debaty o tom, nakolik je třeba dneska OpenSSL neziskovka a nakolik filiálka korporací ale většina kódu tam zase bude z jejich chudých dob před Heartbleedem. Kód od "chudáků", kteří to dělají zadarmo je dneska určitě v minoritě, ale není ho zas tak málo a dost lidí by se dost divilo, co všechno by jim přestalo fungovat, kdyby ten kód najednou zmizel...

Nejpoužívanější aplikace dnešních běžných uživatelů je webový probhlížeč. Konkrétně Google Chrome, zase korporát.

Jako ano, "kernel & Chrome" určitě spoustě lidem stačí, ale to se potom nebavíme o linuxovém desktopu ale o "boot to Google"...

[LarryL]

Příloha:

• 2024-01-30_132053_ev.kde.org.png (87280 bytů)

Především jsem ale nikde netvrdil, že většina vývojářů dělá pro ostatní zdarma.

Tak to jsem tvá slova odtud https://www.abclinuxu.cz/poradna/linux/show/495660#105 špatně pochopil:

"

Ty: Rozhodně dosáhneš větší motivace lidí pro tebe tu práci zadarmo dělat.

Já: Pro mě? Myslel jsem, že tu práci dělají primárně pro sebe nebo svoje platící zákazníky.

Ty: Tomu sám nevěříš. To možná platí pro nějaký 100 řádkový script z GitHubu, ale určitě ne pro něco, co je běžně v distribucích. Funkcionalita běžných balíčků je daleko za hranicí toho, co může autor sám využít. A o nějakém placení si většina autorů SW, který v běžné distribuci je může jenom nechat zdát...

"

Spousta kódu je v distribucích od programátorů financovaných nadacemi jako FSF nebo KDE e.V., a tam o nějakých korporacích a platících zákaznících prostě mluvit nelze.

Ty nadace mají nějaký byznys model (mají příjmy a vyplácí mzdy programátorům) + korporáty jsou jedni z příspěvatelů do rozpočtu KDE (v příloze).

Jako ano, "kernel & Chrome" určitě spoustě lidem stačí, ale to se potom nebavíme o linuxovém desktopu ale o "boot to Google"...

Ty jsi v nějaké části diskuze začal psát, že VM není pro běžné uživatele, takže ti popisuji co je dnes na desktopu nejpoužívanější. Browser je dnes nejpoužívanější desktopová aplikace. Znám lidi, kteří si grafiku (loga, vizitky, dárkové poukazy...) dělají v online editorech. Ať se ti to líbí nebo ne, tak korporátní browser nahradil mnoho desktopových aplikací.

Když jsou některé online služby nebo editory také OSS, tak se řídíš stejnou filozofií jako u offline OSS? Tzn. že online OSS neuzavřeš do sandboxu nebo na ni nešáhneš firewallem nebo antivirem, aby jsi náhodou autora OSS neurazil?

[Martin Tůma]

Tak to jsem tvá slova odtud https://www.abclinuxu.cz/poradna/linux/show/495660#105 špatně pochopil

Přiznávám, že to není úplně jasně řečeno, ale mělo to, v kontextu té předchozí diskuze znamenat, že o nějakém placení zákazníkama si mohou jenom nechat zdát. Respektivě ono asi nakonec skutečně většina vývojářů to dělá zadarmo, ale nebude to většina kódu, který se vyprodukuje. Podívej se na ty reporty KDE kolik zaplatili za vývojáře a pak na to, kolik lidí za ten rok přispělo nějakým kódem do repozitářů KDE. Ale to celé je slovíčkaření, snažil jsem se ti vyvrátit, že to většina vývojářů dělá "pro sebe, nebo pro prachy", protože i tam, kde se to nějak financuje přes dary, to je většinou tak, že ty lidé začínají dobrovolně a pak řeší nějaké financování, aby to bylo udržitelné. Většina těch věcí, co má dneska nějakou zastřešující nadaci vznikla jako dobrovolnický projekt. Už z podstaty, že se jedná o neziskovky nemůže zkrátka jít o nějakou výdělečnou činnost.

Ty jsi v nějaké části diskuze začal psát, že VM není pro běžné uživatele, takže ti popisuji co je dnes na desktopu nejpoužívanější. Browser je dnes nejpoužívanější desktopová aplikace. Znám lidi, kteří si grafiku (loga, vizitky, dárkové poukazy...) dělají v online editorech. Ať se ti to líbí nebo ne, tak korporátní browser nahradil mnoho desktopových aplikací.

Myslim, že nikdo nerozporuje to, že browser je dneska na desktopu suveréně nejpoužívanější aplikace. Ale linuxový desktop pravděpodobně nemáš proto, že na něm běží Chrome, to můžeš mít jakýkoliv jiný OS, třeba i jenom ten "kernel + Chrome" (ChromeOS). Linuxový desktop používáš proto, že v něm jsou aplikace (třeba jenom samotný shell), které ti dávají něco navíc, než jenom ten browser. Pro programátora je ten ekosystém knihoven, toolů a jejich propojení IMHO zcela unikátní a jinde ho nedostaneš.

Když jsou některé online služby nebo editory také OSS, tak se řídíš stejnou filozofií jako u offline OSS? Tzn. že online OSS neuzavřeš do sandboxu nebo na ni nešáhneš firewallem nebo antivirem, aby jsi náhodou autora OSS neurazil?

Nikdy mě nenapadlo OSS webové služby nějak sandboxovat, nebo zkoumat nějakým antivirem, takže pro mě ta otázka nedává smysl. Ale jinak ano, na online věci uplatňuju stejnou filozofii a nemám třeba žádné blokování reklam. A to nejenom pro OSS, ale i pro komerční weby. Ani ty se nesnažím "ochcat" - pokuď je to samá reklama neadekvátní obsahu, tak tam prostě nelezu.

[Martin Tůma]

A ještě bych doplnil, že to moje

A o nějakém placení si většina autorů SW, který v běžné distribuci je může jenom nechat zdát...

bylo mířeno především na desktop, o kterém celá tahle diskuze je. Ty části linuxové distribuce, které jsou společné se servery mají financování zcela jiné, než ty části, které jsou specifické pro desktop. Tam ty peníze prostě netečou a proto je na tom linuxový desktop v mnoha ohledech tak bídně, jako na tom je - většina práce tam skutečně leží na "ryzích", nikým neplacených, dobrovolnících.

[Martin Tůma]

A ještě jenom pro představu, jak "dobře" placený ten OSS desktop je - KDE vydalo za rok 2022 (poslední report) na lidi (ani to všechno nemusí být vývojáři) 210000 EUR. To je při průměrném měsíčním platu/nákladech na zaměstnance 5000 EUR přibližně 3.5 vývojáře. A to se bavíme o jedné z největších a nejlépe dotovaných nadací v linuxovém desktopu....

[Peter Golis]

To co tady píše kolega Golis se většinou nedá vůbec brát vážně

Neviem v ktorej firme sme spolu robili, ale podľa mena si nespomínam. V ktorej teda, ak sme kolegovia?

a teze, že když má někdo chyby/chaos v procesu vydávání tak se hned nejdná o opensource jsou přesně ten případ

Ak tie chyby alebo chaos porušujú licenčné ujednanie OSS, tak sa o OSS nejedná. A bodka.

[Martin Tůma]

Neviem v ktorej firme sme spolu robili, ale podľa mena si nespomínam. V ktorej teda, ak sme kolegovia?

abclinuxu.cz

Ak tie chyby alebo chaos porušujú licenčné ujednanie OSS, tak sa o OSS nejedná. A bodka.

Vtip je právě v tom, že toto není porušení licenčního ujednání. I když pominu to, že třeba u GPL je možné binárky distribuovat s tím, že zdrojové kódy se dodávají až na vyžádání, tak ani obecně ti žádný soud nevezme takovou neúmyslnou nesrovnalost jako porušování licence.

[Peter Golis]

abclinuxu.cz

Kolega znamená spolupracovník. No a ja s abclinuxu nemám pracovnú zmluvu, a ani ju neplánujem mať.

Vtip je právě v tom, že toto není porušení licenčního ujednání.

To sa na to musela vzťahovať výnimka. Nuž OSS bez dostupnosti otvorených zdrojových kódov si priamo odporuje. Poskytli tie zdrojáky aspoň po vyzvaní?

Zisťovať po toľkých rokoch či za tým bol úmysel alebo naozaj (ako pravdepodobne tvrdili) len zanedbanie povinností je vedľajšie. A či zjednali nápravu aj s preventívnymi opatreniami, tak to sa už asi nedozvieme.

PS: V Licenciách OSS bola aj výnimka ktorá umožňovala nedodať zdrojáky. Tá výnimka sa vzťahovala na firmware a nie software.

[Martin Tůma]

Kolega znamená spolupracovník. No a ja s abclinuxu nemám pracovnú zmluvu, a ani ju neplánujem mať.

Člověče, co vás v těch Zahrádkách učili! Vysvětlete tady někdo Golisovi, že v češtině se kolega používá v mnohem širším rozsahu, než jenom spolupracovník...

To sa na to musela vzťahovať výnimka.

Nemusela. Pokud ty zdrojáky prostě jenom zapomněli zveřejnit a na požádání je dodali (chybu v distribuci opravili), tak je to ok. A z toho co tady zaznělo mi nepřijde, že by je na dotaz odmítali zveřejnit.

[Peter Golis]

že v češtině se kolega používá v mnohem širším rozsahu, než jenom spolupracovník

A potom tu máme vysvetlenie jazykovedného ústavu.

Pokud ty zdrojáky prostě jenom zapomněli zveřejnit a na požádání je dodali (chybu v distribuci opravili), tak je to ok.

Medzi vyťiadaním a dodaním zdrojákov je to v šedej zóne. Tak dodali tie zdrojáky, resp. v tomto prípade záplaty? Ak nie, tak je to jednoznačné porušenie. A furt sa točíme o tom, že ich nedodali.

Ale ajtak také chovanie nevzbudzuje dôveru ani u mňa.

[Martin Tůma]

A potom tu máme vysvetlenie jazykovedného ústavu.

Rozumíš vůbec tomu, na co odkazuješ? Nebo snad očekáváš, že mezi příklady musí bý i explicitní "kolegové diskutéři z AbcLinuxu"?!

Tak dodali tie zdrojáky, resp. v tomto prípade záplaty? Ak nie, tak je to jednoznačné porušenie. A furt sa točíme o tom, že ich nedodali.

Mě se neptej, já je nechtěl. Pokud by je odmítli vydat (o čemž pochybuju, to by mělo mnohem větší publicitu, než jeden příspěvek po 5 letech na AbcLinuxu), tak je to samozřejmě problém, ale to tady neřešíme. Řešíme tady případ, kdy někdo "jenom" má ve věcech bordel. A to prostě porušení licence není, s něčím takovým u soudu prostě neuspěješ.

Je to stejné jako s tím heslem v tom slovníku - lidé prostě běžně nemají tak autistický výklad světa jako ty, se stim smiř...

[Peter Golis]

Rozumíš vůbec tomu, na co odkazuješ?

Áno, a tak isto rozumiem paradoxu "kolegovia pracujúci u konkurencie".

Řešíme tady případ, kdy někdo "jenom" má ve věcech bordel.

Boli verzie OSS ktorá vyžadovali aby (komerčný) dodávateľ riešenia založenom na OSS dodal zdrojové kódy vlastným kanálom. Hoci aj vypálené na CD a zaslané poštou. Internetová konektivita a hosting boli vtedy v exponenciálne inej cenovej hladine, a tak sa to náklady za doručenie delegovali na komerčne zarábajúcu časť komunity.

Ak nevieš ktorý balík to bol, tak určite vieš pod ktorou licenciou to bolo zverejnené a si si istý že tú licenciu neporušili. Tomu sa hovorí autizmus.

Ako mne je to jedno, Manjaro (ktorého sa to týkalo) som nikdy nepoužil a ani to neplánujem. Jedná sa o jednu z množstva hobby distribúcií čo si robia malé skupiny ľudí na naplnenie svojich vlastných požiadaviek. A dopátrať sa prečo v takom komunitnom výrobku niečo prestalo fungovať, a ktorá zmena tam spôsobila nefunkčnosť je oveľa ťažšie ako u nejakej mainstream distribúcie s rádovo väčšou komunitou maintanerov a exponenciálne väčšou komunitou testerov.

[LarryL]

Poskytli tie zdrojáky aspoň po vyzvaní?

Kdybych si je vyžádal, tak by je určitě zveřejnil. Neřešil jsem to, nebylo to pro mne zas tak důležité. Jen jsem si v tu chvíli uvědomil jak partyzánsky jsou některé distribuce vytvářeny.

[Peter Golis]

Kdybych si je vyžádal, tak by je určitě zveřejnil.

Nemuseli by. Ak boli autori tej aplikácie, tak si mohli vybrať akúkoľvek licenciu. A to aj takú, čo nespadá do rodiny OSS a nie je zaťažená povinnosťou zverejniť zdrojáky. Linuxové distribúcie bežne obsahujú aj uzavretý SW alebo binárne ovládače. A ak to mal byť nejaký nastavovač konfigurákov, tak tie sa zvykli písať v interpretovaných jazykoch. Takže program bol priamo zdrojový kód.

Ale to je zbytočné rozoberať keď človek už ani nevie o ktorý balíček sa jednalo a ani z ktorého roku bol.

[Martin Tůma]

kultem programování všeho v C

Kult programování v C je možná tak na mikrokontrolerech (tam to má opodstatnění dané dostupností ekosystému/výkonu HW) a v GTK/Gnome (tam to opodstatnění, jako ostatně celý ten projekt, nemá). Pro embedded/kernely a podobný věci je C ale prostě stále velmi dobrá volba. Psát v C GUI aplikace je nesmysl a nikdo soudný to už dneska, pokud nemá desítky let budovanou codebase, nedělá. Možná ale mícháš C s C++, kde jde ale psát "vysokorúrovňový" kód podstatně pohodlněji/bezpečněji než v C a to ani nemusí jít o "moderní hipsterské C++". Dobře navržené frameworky toto řešily již v dobách c++03.

[Jendа]

protože při existenci tisíců balíčků v desítkách běžných distribucí si nevybavuju jedinej případ, kdy by autor SW nebo "balič" záměrně (nekompetence lidí z Debianu je samozřejmě jiný příběh...) kompromitoval stroje uživatelů

Je to běžné u prohlížečových doplňků. Máš populární extension a někdo ti napíše buď že ti zaplatí když do toho přidáš spyware, nebo že to od tebe koupí, aby si do toho mohl přidat spyware.

Psát v C GUI aplikace je nesmysl a nikdo soudný to už dneska, pokud nemá desítky let budovanou codebase, nedělá. Možná ale mícháš C s C++, kde jde ale psát "vysokorúrovňový" kód podstatně pohodlněji/bezpečněji než v C a to ani nemusí jít o "moderní hipsterské C++". Dobře navržené frameworky toto řešily již v dobách c++03.

To je všechno hezký, ale bohužel současná situace vypadá tak, že i ty určitě používáš spoustu děravého kódu (libpng, imagemagick, libavcodec a spol., ghostscript a webové prohlížeče).

[Martin Tůma]

Je to běžné u prohlížečových doplňků. Máš populární extension a někdo ti napíše buď že ti zaplatí když do toho přidáš spyware, nebo že to od tebe koupí, aby si do toho mohl přidat spyware.

Nikdo nepopírá, že malware existuje. Já ale píšu o tom, že (zatím...) neexistuje v běžných linuxových distribucích.

To je všechno hezký, ale bohužel současná situace vypadá tak, že i ty určitě používáš spoustu děravého kódu (libpng, imagemagick, libavcodec a spol., ghostscript a webové prohlížeče).

Každý používá spoustu děravého kódu. A ano, spousta toho kódu je v C/C++, ale je to ten nejlepší kód co máme. Můžeš teoretizovat o "kultu programování v C" a hlásat evangelium nutnosti kód přepisovat do nějakého "bezpečného" jazyka, ale to je asi tak všechno co s tím můžeš dělat. Protože ve skutečnosti je po něčem takovém zcela minimální poptávka (ne že by neexistovali lidé co by to chtěli, ale nejsou lidé co by to chtěli platit). A to platí i pro nový kód. Pokud nejsi schopný zaplatit vývoj v nějakém "cool" jazyce (je to drahé, je to pomalé, nejsou lidé, ...) budeš mít i nový SW v C/C++. Protože zákazníkům je nějaké evangelium "bezpečných jazyků" úplně ukradené...

[Jendа]

Každý používá spoustu děravého kódu. A ano, spousta toho kódu je v C/C++, ale je to ten nejlepší kód co máme. Můžeš teoretizovat o "kultu programování v C" a hlásat evangelium nutnosti kód přepisovat do nějakého "bezpečného" jazyka, ale to je asi tak všechno co s tím můžeš dělat. Protože ve skutečnosti je po něčem takovém zcela minimální poptávka (ne že by neexistovali lidé co by to chtěli, ale nejsou lidé co by to chtěli platit). A to platí i pro nový kód. Pokud nejsi schopný zaplatit vývoj v nějakém "cool" jazyce (je to drahé, je to pomalé, nejsou lidé, ...) budeš mít i nový SW v C/C++. Protože zákazníkům je nějaké evangelium "bezpečných jazyků" úplně ukradené...

…a právě proto je potřeba ty aplikace sandboxovat

[Martin Tůma]

Nemám problém s tím, aby Linux nabízel uživatelům mechanismy pro sandboxování, ale pokud nechceme skončit jako Android, tak tyhle mechanismy nesmí být spravovány nikým jiným než samotným uživatelem. Protože jak někdo začne tyhle věci tlačit stylem: "O tom co je krasne rozhodujeme my - strana!" přestane lidem půlka věcí fungovat a shitstorm bude směrovat na autory aplikací...

Opravdu se nechci v Linuxu dožít toho, že přístup k souborům nebude náhodně fungovat a bude díky těmhle mechanismům 100x* pomalejší jako je tomu na Androidu.

* to není nějaká hyperbola, to je rozdíl mezi tím, když k souborům na Androidu přistupuješ skrze všechny ty "bezpečnostní" vymoženosti z file dialogu a tím, když aplikace k souboru (na stejném fyzickém médiu) přistupuje ze svého privátního adresáře, kde jedině tyhle mechanismy nejsou aplikované.

[Pepa]

Uveď konkrétní příklady co by měl takový antivirus dělat.

Tak nějak podobně jako Windowsí... Nevím dopodrobna, předpokládám kontroluje aplikace/stažené soubory zda neobsahují škodlivý kód, tuším nejdříve kontrolují hash vůči nějaké databázi virů, pak v sandboxu spustí a kouká se na nějaký nestandartní chování.. Nevím, prostě když stáhnu filmy, pdf, cokoliv tak mít nějakou kontrolu že je to OK.

[Jendа]

Nevím dopodrobna, předpokládám kontroluje aplikace/stažené soubory zda neobsahují škodlivý kód, tuším nejdříve kontrolují hash vůči nějaké databázi virů

Tohle se na Linuxu řeší tak, že běžný způsob distribuce softwaru je přes různé repozitáře.

pak v sandboxu spustí a kouká se na nějaký nestandartní chování

Upřímně nevím jak úspěšné tohle bude když si útočník dá alespoň nepatrnou práci s tím, aby se škodlivé chování neprojevilo ihned.

Nevím, prostě když stáhnu filmy, pdf, cokoliv tak mít nějakou kontrolu že je to OK.

Tohle by zase chtělo konkretizovat -- bavíme se tedy o nespustitelných souborech, a bojíš se například chyby v prohlížeči PDF (řekněme klasický buffer overflow)? To opravdu může antivirus detekovat, ale informace o chybě se pravděpodobně dostane stejně rychle k antivirové společnosti jako k autorům toho děravého softwaru -- a vydání virové definice tak bude jen o trochu rychlejší než vydání záplaty toho programu.

[Martin Tůma]

a vydání virové definice tak bude jen o trochu rychlejší než vydání záplaty toho programu

Ač jsem ten poslední, kdo by chtěl obhajovat antiviry, tak tohle prostě není pravda. Běžný AV má dneska i několik updatů definic za hodinu a většina těch definic vzniká automatizovaně. Srovnávat to s procesem vydání nového balíčku pro libovolnou distribuci (a nemusí to být ani Debian) je o několik řádů mimo.

Jiná otázka ovšem je, jak pravděpodobné je to, že člověk otevře "infikovaný" dokument dříve, než tu záplatu SW co s takovým dokumentem pracuje dostane. Kromě SW, co z podstaty otevírá dokumenty sám (browser, mail klient, ...) je ta pravděpodobnost malá a závisí na idiocii uživatele. U browseru/mail klientu dnešní AV mají mechanismy, které jim dovolují vidět/blokovat taková data dříve než je dostane browser/mail klient, ale je velmi sporné, jestli tyto mechanismy nejsou nebezpečnější, než browser/mail klient samotný...

A to ještě tak nějak tiše předpokládáme, že ten buffer overflow nemůže být v tom AV, což jsou dneska pěkné miliony řádků kódu (celková velikost dnešních AV jde klidně do GB), kterými všechna ta "zákeřná" data projdou...

[Max]

Souhlasím, že je je pravděpodobnější, že AV bude mít rychleji definici, než přijde patch pro app.
Pokud jde o AV a ono vidění do komunikace, tak to je nejhorší zlo. AV dělá MITM útok a funguje to dost často prapodivně. Výsledkem pak je, že je třeba emailový klient záhadně pomalý, nebo hlásí nesmyslné chyby, nebo přestane fungovat openvpn, nebo část komunikace jde a část ne apod. Naposledy jsem to řešil včera u jednho osobního/privátního ntb běžného uživatele, který si tam dal Avast a pak mu něco nefungovalo. Těmito mechanismi AV disponují hafec let, ale hafec let je s tím stále nějaký problém. Já to tedy sporně nevidím, já si myslím, že je to prostě špatně a AV by do takové komunikace sahat neměl.
Zdar Max

[alkoholik]

Klasika, Avast vyrizne se SMTP komunikace STARTTLS, aby mohl cumet do mailu, a clovek se divi, proc nemuze posilat postu.

[Max]

Já nechápu jediné, nefunguje to, nikdy to nefungovalo a nikdy to fungovat nebude a i tak to tam je a by default a rozbíjí to aplikace a komunikaci.
Ne, vážně nechápu, proč to tam je. To si jako tvůrci AV řekli, že ok, nefunguje to, ale ovlivní to třeba jen x procent uživatelů, z toho x procent si ničeho nevšimne, takže ok, budeme to tak dělat a posílat si další info domu? Nebo jak?
Zdar Max

[Martin Tůma]

Právě si prakticky popsal svojí práci, ale sebe se očividně neptáš jestli "nefunguje to, ale ovlivní to třeba jen x procent uživatelů, z toho x procent si ničeho nevšimne"...

[Max]

Ty se musíš cítit hodně ublížený, když mně v každé diskusi při jakékoli příležitosti bezdůvodně napadáš.
Zdar Max

[Martin Tůma]

??! O jakém bezdůvodném napadání tady zase plácáš?! Ty začneš diskuzi tím, jak jsou AV skvělé, že pomocí nich pod záminkou bezpečnosti zakazuješ/znefunkčňuješ uživatelské stroje a když tě někdo upozorní na rozpor s tím, že v jiném příspěvku se ptáš, jak je možné, že někdo prodává něco, co pod záminkou bezpečnosti znefunkčňuje uživatelské stroje, tak se zmůžeš jenom na osobní napadání...

[Max]

Blablabla, ty nezapomeneš svůj mindrák zmínit pod jakoukoli diskusí. A jeden thread ti k tomu nestačí, musíš to plácat ke každé mé odpovědi. Nemoc, jdi se léčit.
Zdar Max

[Martin Tůma]

Již po několikáté se ti snažím vysvětlit, že tady nejsi u vás ve firmě aby si ostatním nařizoval co mají dělat...

[Max]

Zábavné :D
Zdar Max

[Peter Golis]

Mať osobného trola je vcelku bežné, je to ako chovať si škrečka alebo iné domáce zvieratko.

[Pavel 'TIGER' Růžička]

To ako že Max bude smutný, ak mu trollik odíde?

[Peter Golis]

To neviem. Ale s malým chláčikom je život veselší.

[Martin Tůma]

SMTP? Proč by se měl běžný AV zabývat SMTP??!

[Martin Tůma]

Ale je teda možný, že dneska už to došlo tak daleko, že některé AV "hijackují" i SMTP aby do zpráv mohly dávat své reklamy ("Zkontrolováno pomocí XY"). To za mých mladých let ještě nebývalo, ale pokrok nezastavíš...

[Max]

Oni se rovnou zeptají na login a heslo :D, viz: Ochránce e-mailů.
Zdar Max

[Pavel 'TIGER' Růžička]

Náhodou, pro případného útočníka je to skvělá informace.

[Pavel 'TIGER' Růžička]

Spousty věcí dokáže odfiltrovat srávné DNS, co se týče firewallu, pak používám jeden pro domácí síť v podobě virtuálního stroje. Je jedno, jestli použijete IPFire, OPNsense, VyOS ... aj. A co se týče antiviru, tak v tomto směru je nejdůležitější zajistit stanice s Windows. Pokročilý uživatel Linuxu většinou ví, co dělá, a pro nováčky jsou různé podpůrné náastroje.

[Jendа]

co se týče firewallu, pak používám jeden pro domácí síť v podobě virtuálního stroje

Co ten firewall dělá? Já si dokážu představit jenom standardní konfiguraci routeru, že třeba nedovolí příchozí spojení.

[Pavel 'TIGER' Růžička]

Tak on je to komplexnější nástroj od nastavení DHCP až po propojení dvou sítí. Jistěže to lze všechno nastavit v normální distribuci, ale má lenost zvolila hotové řešení. Jinak firewall povoluje, zakazuje, přesměrovává. Prostě dělá to, co se od něj očekává.

[rastos]

Co ten firewall dělá? Já si dokážu představit jenom standardní konfiguraci routeru, že třeba nedovolí příchozí spojení.

Nedávno som videl článok Skutočne poznáte firewally? a začal som pochybovať o tom, že viem, o čom je firewall

[čavo]

Antivíry pre Linux existujú. Napr. ClamAV https://www.clamav.net/

AV zväčša potrebuješ kvôli aplikáciám a nie kvôli Linux-u ako takému. Takže záleži nakoľko si veríš, že budeš aplikácie používať bezpečne a budes ich pravidelne aktualizovať.

Ak pripájaš počítač ku počítačovej sieti a nebodaj aj k internetu, tak FireWall je vhodný. Minimálne ti zneprístupní služby, ktoré si vlastne ani nechcel spustiť, ale default pri inštalácii balíčka sa ich spustenie nastavilo. Ale pokial vieš čo inštaluješ a si si istý, môžeš sa pokúsiť nemať FW. Na domácej sieti ho asi používa málo kto. (Pozor, niekltoré balíčky automaticky pri inštalácii služby ak objavia FW, tak ho prekonfigurujú, aby bola služba dostupná, tak aj tak treba skontrolovať, či je to tak ako chcete)

Každý linuxový počítač je zároveň veľmi pravdepodobne aj server. (Je to veľmi podobné aj na Win, stačí aby ste vyzdielali disk, alebo pripojenú tlačiareň a už je to do facto server.) Predpokladám, že tam bude bežať služba sshd a možno aj ďalšíe (napr. Xserver, keď bude nakonfigurovaný aby bol po sieti dostupný a kopu iných služieb)

[Michal]

V LinuxMint máš například grafickou verzi Gufw Firewall.

[Peter Golis]

Antivírus a firewall je vždy treba. Tým viac je ho treba, čím viac človek týra počítač. Či už inštaláciou z nedôveryhodných zdrojov alebo zanedbaním údržby, či aktivovaním služieb ktoré nie sú vhodné na exponovanie do internetu. Potrebu zvyšuje aj napríklad nutnosť chrániť citlivé dáta (kam patria aj napr. fotky mláďatka hore zadkom na dečke, alebo iné osobné a firemné údaje).

Ale nespoliehaj sa na to, že ťa antivírus a firewall ochránia na 100%. Najväčšie riziko je vždy medzi stoličkou a klávesnicou. Je jedno či je to firemný správca, dodávateľ alebo užívateľ.

PS: Zaujímalo by ma aký antivírus je zakomponovaný priamo v Androide, tak ako Defender vo Windows. Resp. aký antivírus dokáže uniknúť z ochranného kontajnera aby robil rezidentnú ochranu.

[Andrej]

…je tu nějaký antivirus…

Je.

…a je vůbec potřeba?

Není.

A firewall, je třeba?

Není.

A jaký je v tom rozdíl?

Žádný.

[Peter Golis]

A BFU si nakonfiguroval vzdialené pripojenie na počítač bez hesla (ehm. autentifikácie) aby ho to neobťažovalo v domácej sieti (intranete), a pripojil počítač do divokého internetu (s verejnou IP). I ostali mu oči pre plač.

[Andrej]

A BFU si nakonfiguroval vzdialené pripojenie na počítač bez hesla…

Jo, to se může stát, pokud BFU (bohužel) používá Debilan nebo Blbuntu, jako v tomto případě.

V normálním distru je to vždycky tak, že instalace balíčku != povolení (systemctl enable) démona != spuštění (systemctl start) démona. Díky tomu nehrozí, že pouhá instalace balíčku (který v Debilanu i v Blbuntu bude zásadně zastaralý a děravý) by mohla sama od sebe nečekaně spustit nezabezpečeného démona vystaveného do internetu, ne-li nakonfigurovat vzdálené připojení na počítač bez hesla.

V případě tohoto konkrétního dotazu: Ano, uznávám, něco na tom bude; jakési riziko tam může být.

Špatná volba distribuce. To je ten problém, na který upozorňuju stále dokola. Debilan je nejhorší dostupná distribuce, téměř kterákoliv jiná distribuce je lepší v téměř každém ohledu (jasně, kromě podpory pro MIPS, já vím), ale zabednění uživatelé se nevzpamatovali z roku 1995 a z doby, kdy Debilan byl první a jediná distribuce a rozesíral se poštou na disketách, později na CD.

Je to podobné jako klienti České topořitelny. Proč vůbec ještě existují, když Česká topořitelna je asi tak nejméně zajímavá a nejméně výhodná banka v ČR? Stejný prapodivný jev.

[Peter Golis]

Nevedel som že napríklad vo východzom stave nainštalované zdieľanie plochy (taký ten klik v grafickom nastavení) je od inštalácie aj zapnuté. To je služba pre BFU.

Serverové služby (mail, samba, ...) si správca konfiguruje pred uvedením do prevádzky. A ak má ten systém v prevádzke pred nakonfigurovaním služieb, tak je to jeho problém.

Nenarážal som na to, či sa služba sama zapne. Narážal som na to, že si užívateľ kvôli pohodlnosti zníži úroveň zabezpečenia, a tým uľahčí cestu záškodníkom. Rovnako ako keby prestal doma zamykať vchodové dvere. Komu sa chce babrať s odomykaním?

[Pavel 'TIGER' Růžička]

Problém je v tom, že BFU neumí domýšlet následky. Proto je naprosto jedno, jakou mu dáš distribuci do ruky. Když bude chtít vypnout autentizaci, tak si jí prostě vypne, protože ho to otravuje. Když se naučí domýšlet následky, pak si zabezpečí i ten debian. Jinak co se týče té spořitelny, tak není jediná, která by měla zmizet z povrchu zemského. ČSOB, KB, RB ... dokáží vždycky něčím "mile překvapit". Přitom změna banky dnes už není vůbec nic složitého.

[Aleš Kapica]

Přitom změna banky dnes už není vůbec nic složitého.

Jen málokterá změna v konečném důsledku přináší něco navíc. Změna banky, pojišťovny, poskytovatele energií, atp. obnáší oser a nová rizika za háčky, které mi za těch pár ušetřených kaček nestojí.

[Pavel 'TIGER' Růžička]

Mně ty změny ušetřily jeden měsíční plat a krom toho nejsem onucí, se kterou si úředník vytírá zadek, ale jsem klientem. Za sebe tedy mohu napsat, že ty změny stály za to a vyplatily se.

[Aleš Kapica]

Jo a když už ses tak připomněl. Stále s s nadějí čekám, na tvůj názor a pokud o vysvětlení, proč mi zůstává pokaždé viset zavádění v ramdisku a Btrfs se nepřipojí, přestože někdy následný mount bez problému proběhne. Vše ohledně konfigurace a popisu problému je v té diskuzi. Třeba budeš mít také nějaký užitečný tip, než se pustím do přepsání ramdiskových skriptů z btrfs-progs.

Pro nfs z initramfs-tools-core jsem to musel udělat už dávno a jen se upřímně divím jak s tím může někdo existovat, protože diskless systém, který nemá dostupný systém přes NFS by měl buď vypnout, nebo po nějakém intervalu skončit s patřičným oznámením v ramdisku. A ne bušit jak hluchý do vrat na NFS server, když mohlo dojít k chybě v konfiguraci.

[..... Izak .....]

Fedora i RHEL maji zakazano se bez hesla na SSH vubec prihlasit, casto uz default zakazi roota na ssh a muzes uzivatele a sudo - kazdopadne user bez hesla jen lokalne konsole, jinak to pam zakaze - a navrsch ti zapne selinux, tak to uz je pak skoro nehacknutelne - nebot kdyz uz se tam nekdo dostane, tak se mu to nespusti - jiny sec. kontext, zorry vole, reportuji do logu a papapapapa

[Aleš Kapica]

Kdo by se namáhal s SSH? Zrovna minulý týden jsem řešil nabořený wordpress. Potíž byla v tom, že admin toho webu měl za to, že když to rozjede, má hotovo. Takže si ani nevšimnul že tam jede 14 dní otevřený shell. Ta aplikace má zkrátka tak blbý návrh a nedomyšlenosti, které to umožňují, že s tím nic kloudného dělat nelze. Nejspolehlivější je monitoring přes git.

[..... Izak .....]

FW: Iptables - nove tez nftables

Antivir: ehmmm k cemu - jo presne MS defender je pro linux

Bacha clamav umi scanovat i soubory ala win ativir - pokud vim, asi na to ma nejaky wrapper, pak samozrejme kupa jinych - ale bacha, antivor je spise dira do systemu - nejaka tajna sluzba ala ESET - agetura CIA vam urciote nekrade data a urcite tam nejsou zadni vratka )

Mnohem lepsi je na Linuxu SELinux - Fedora ma imho default FW povoleny jen pro jeho sit, jinak vse co je IN blokuje - otazka je k cemu to je dobre - linux nejsou windows - ale jo, ma smysl omezit na ssh roota, pokud jej clovek nepotrebuje, tak vypnout, mam treba server, kde je vypnute vse, vcetne portmapper a jede tam jen apache s aplikaci a SSH - FW mam externi, povolene jen IP a porty a to dokonce na ty servery, se kterymi komunikuje, na naj muzou jen site adminu - takovy vesely server ze i security cumi, ze o nem nic nevi a meli jej zakazany - no nikdo se na nej ani nedostane a navrch ma vse co nemusi mit zastavene, nic nedicoveruje, prste sedi tise na siti a komunikuje jen se zarizenimi, ke kterym taky nema sec. pristup, nebot jsou to zarizeni, kde nic nezjisti.

[..... Izak .....]

Jestli tvas na tom, ze si z Linuxu udelas uber pomalou sracku, napojis to na centralu microsoftu a das jim konsoli NSA/CIA - tak tohle, umi to scanovat vse a pri tech stovkach souboru, co otevira kazda apka je to prop tuhle dotnecore aplikaci uplne labuzo )

https://learn.microsoft.com/en-us/microsoft-365/security/defender-endpoint/microsoft-defender-endpoint-linux?view=o365-worldwide

[..... Izak .....]

Jinak krom toho ze chce 2GB na disku v /opt tak ma i zajimave pozadavky jen sam na sebe:

Cores: 2 minimum, 4 preferred Memory: 1 GB minimum, 4 preferred

Takze tipuji ze jen on sam si vezem 4GB jen to zvykne