CSO společnosti Oracle: Ne, opravdu nemůžete

Mary Ann Davidson, CSO (Chief Security Officer) společnosti Oracle, publikovala na oficiální blogu Oraclu článek No, You Really Can’t, ve kterém rozhořčeně rozebírá, že někteří zákazníci Oraclu hledají pomocí reverzního inženýrství v jejich produktech bezpečnostní chyby, což se jí vůbec nelíbí a odporuje to licenčnímu ujednání. Navíc jim "bezpečnostní výzkumníci" pouze přidělávají práci a objevují chyby, na opravě kterých Oracle už dávno pracuje, nebo chyby, které vůbec nejsou chybami, tj. někde jinde v kódu je zabránění možnému útoku. Po vášnivé diskusi nejenom na redditu byl článek z blogu odstraněn.

13.8.2015 11:18 | Ladislav Hagara | Zajímavý článek

Komentáře

[trekker.dk]

objevují chyby, na opravě kterých Oracle už dávno pracuje, nebo chyby, které vůbec nejsou chybami

... nebo chyby, o kterých Oracle nemá ani tušení?

Oracle je jedna z těch horších věcí, která může open source projekt potkat. A chyby popsané "nespecifikovaná chyba v innodb může nespecifikovaným způsobem způsobit nespecifikované omezení dostupnosti dat" jsou taky chuťovka...

[Punny]

Jeste by se mohlo pridat Adobe :)

[Michal Kubeček]

Zajímavé je, že i když nejspíš myslí databázi, nikde to výslovně nezmiňuje a píše pouze neurčitě our code nebo product, takže by se to mělo vztahovat i na GPL-licencovanou MySQL nebo jejich "Unbreakable Linux", u kterých je to zjevný nesmysl.

[Marián Kyral]

Když jsou dostupné zdrojové kódy tak asi bude zbytečné dělat reverse engeneering binárky ne?

[Michal Kubeček]

To sice ano, ale skřípe tam i spousta jiných tvrzení jako třeba

• A customer can’t analyze the code to see whether there is a control that prevents the attack the scanning tool is screaming about (which is most likely a false positive)
• A customer can’t produce a patch for the problem – only the vendor can do that
• A customer is almost certainly violating the license agreement by using a tool that does static analysis (which operates against source code)

[aaa]

Neboli:
Pokud v jejich kódu najdete chybu, nepište jim, neboť vás nepochválí.
Raději tu chybu anonymně zveřejněte, nebo prodejte.

[2X4B-523P]

stacilo jen napsat, ze i kdyz ma nekdo analyzator, ktery z i receptu na babovku odhali veskere aktivity v oblasti 51 za poslednich sedesat let, tak jeho pouzivanim porusuje licenci... ten kdo tvrdi ze ne, tak by to musel dolozit a ne se o tom jen handrkovat... navic je to k nicemu, jedine co vyplodi je tak maximalne: nekde tam mate diru, nevim kde, nevim jestli se da zneuzit, ale prepiste to tak, aby muj ubersoftware hlasil ze je to OK... to aby kazda takova firma mela zvlast oddeleni, kde budou cist vsechny ty narky... dost mozna se jedna o casti, ktere se nedaji jednoduse debugovat a tak ty superudelatka hlasi problem... takoveho kodu je treba tam nacpat co to jde, aby nikdo nevidel pod kapotu s pouzitim priblbleho debugeru...

[Michal Kubeček]

Váš příspěvek zcela mimo kontext: tohle vlákno (včetně příspěvku, na který odpovídáte) je o tom, že tak, jak to bylo napsané, by se to mělo vztahovat i na jejich produkty, které jsou open source (některé dokonce licencované pod GPL), což je zjevný nesmysl.

jeho pouzivanim porusuje licenci... ten kdo tvrdi ze ne, tak by to musel dolozit a ne se o tom jen handrkovat

Presumpce neviny už byla zrušena i v této oblasti?

Ale především: tady vůbec nejde o kvalitu těch analyzátorů. Tady jde o velice nebezpečný myšlenkový model "Nemáte co zkoušet testovat bezpečnost našich produktů, protože my to uděláme nejlépe a nikdo jiný tomu nerozumí." Hromady příkladů ukazují, že to prostě není pravda - a snaží-li se firma zakazovat takové aktivity právní cestou, znamená to, že na jejich přístupu k bezpečnosti je něco naprosto shnilého. Bez ohledu na to, zda jsou jejich právnické kličky neprůstřelné nebo ne, v tom problém ani zdaleka není.

Koneckonců i to, že ten blogpost byl stažen během pár hodin, ukazuje, že Oracle si uvědomuje, že i když to není první rant na toto téma (další dva jsou pořád vidět v "recent posts"), tenhle byl hodně přes čáru a poškozuje pověst firmy.

[j]

Nevim jak jinde, ale v CR je uzivatel opravnen soft analyzovat a dokonce pripadne i upravovat ze zakona. Takze s nejakou licenci si muzou leda tak vytrit rit.

[gauri]

me prijde, ze hlavne narika Oracle (resp. dotycna pani). navic cely to je psany stylem, jak kdyby to vysvetlovala mistnimu idiotovi, popr. malymu diteti a iritovalo ji uz jen to, ze se musi snizit na jeho uroven… coz je dost vtipny, kdyz (podle Oraclu) zakaznici objevi 10 % bezpecnostnich chyb a oni sami jen 3 %

[Spike]

Ah, well, we find 87% of security vulnerabilities ourselves, security researchers find about 3% and the rest are found by customers.

[gauri]

hm, koukam, ze jsem si to mel radsi znovu precist nez neco placat z hlavy. ale i tak mi prijde zvlastni vzdychat nad tim, jak jsou zakaznici blbi, kdyz najdou nemalou cast chyb…

[andree]

ano, ak doverujes ich buildsystemu (=reproducible build atd.)...

[NN]

wrong, on so many levels..

[F]

Jeste by bylo dobre pridat odpoved nejmenovane spolecnosti (ktera se k te analyze binarek hrde hlasi)..

http://www.veracode.co.uk/blog/2011/08/musings-on-custers-last-stand

[Sadfasfasdf]

+1

[Bystroushaak]

Tohle je taky dobré: http://dacut.blogspot.com/2008/03/oracle-poetry.html

[majk]

pravdepodobne jenom zrovna spini, pockejme par dnu a bude zas OK. To je, kdyz pustite zensky z kuchyne. #*-correctnessmyass

[ugh]

:))

[coder]

V roce 1976 jí bylo přibližně 17 let...

[Jan Kundrát (jkt)]

Prijde mi, ze delani si legrace z pohlavi autorky blogu je vyrazne pod uroven zdejsi diskuze. Logika "je to zenska, asi ma dneska kramy" je podle me prilis pubertalni na to, aby se ji venovali dospeli a vyspeli lide, takze pokud nechcete vypadat jako zaostaly trotl, doporucuju v tomhle pribrzdit. A ne, neni to o korektnosti, ale o tom, ze to vypada, ze povazujete zenske za podlidi.

[kyknos]

Jak souvisí podlidstvi s menstruaci?

[Jan Kundrát (jkt)]

Podsouvate mi neco, co jsem nerekl, takze si to zkuste precist jeste jednou, treba na to prijdete sam. Rikam, ze puvodni vtipalek pouzil ad hominem argumentaci stylu "placa nesmysly, protoze je to zenska, hahaha", navic pomerne dehonestujicim zpusobem ("zrovna spini"). Tohle je forma argumentace, kterou nehodlam tolerovat, prijde mi podobne primitivni, jako "no jo, kreten z Indie" (nebo "buran z vychodu", pokud by meli Americane hovorit o nas, ze).

[kyknos]

Pominu-li formu, která je v souladu s nízkými standardy tohoto serveru, na obsahu nevidim nic zavadneho - ženy skutečně mívají menstruaci a skutečně často silně ovlivňuje jejich chovani

[Jan Kundrát (jkt)]

"Hele, radsi sem pis, az nebudes na sracky." Jste totiz muz, je patek, a muzi v patek skutecne chodivaji do hospody, kde se obvykle zpumprlikuji, coz silne ovlivnuje jejich chovani.

Je Vam takova komunikace prijemna, nebo na ni vidite neco zavadneho?

[kyknos]

Nevidím na tom zavadneho nic, jen je to fakticky nesmysl, v pátek do hospody nechodim a navíc, velmi výjimečne chodim do hospody bez damskeho doprovodu. Co tam s chlapy? nejsem teplej (ale zítra je možná podporim)

Zdravé dospělé ženy tu menstruaci ale prostě mají, to snad nepopírá nikdo :)

[pavlix]

Zdravé dospělé ženy tu menstruaci ale prostě mají, to snad nepopírá nikdo :)

Z kontextu diskuze vyplývá, že ji mají všechny zrovna teď, a to bych klidně popřel.

[kyknos]

Ne, diskuse byla o jedné, nevím, kde jsi vzal vsechny

[pavlix]

Z komentáře, na který jsem odpovídal.

[kyknos]

Tak asi neumis cist

[mirec]

Celý ten výrok je zlý. Podľa neho napr. tehotné ženy nie sú zdravé

[kyknos]

A jsou snad? :D

[pavlix]

Zeptej se kteréhokoli zaměstnavatele.

[Bedňa]

delani si legrace z pohlavi autorky blogu

Že zrovna Kundrátovi toto vadí.

[Josef Kufner]

(1) Do práva autorského nezasahuje oprávněný uživatel rozmnoženiny počítačového programu, jestliže

a) rozmnožuje, překládá, zpracovává, upravuje či jinak mění počítačový program, je-li to nezbytné k využití oprávněně nabyté rozmnoženiny počítačového programu, činí-li tak při zavedení a provozu počítačového programu nebo opravuje-li chyby počítačového programu,

d) zkoumá, studuje nebo zkouší sám nebo jím pověřená osoba funkčnost počítačového programu za účelem zjištění myšlenek a principů, na nichž je založen kterýkoli prvek počítačového programu, činí-li tak při takovém zavedení, uložení počítačového programu do paměti počítače nebo při jeho zobrazení, provozu či přenosu, k němuž je oprávněn,

… ale můžeme. :-P

[Karel]

curakovi bych ten text nechal vyskrabat nozem do zad

[BigBrother]

Kde ma curak zada? a nozem?

[koudy]

Z čistě logického hlediska bych řekl, že záda budou na opačné straně než předek.

Čímž se dostáváme k problému definice přední části a to bude záviset na úhlu pohledu, takže pokud je to z pohledu dámy, tak "záda" budou vlastně pr*el.

Dalo by se na to dívat ještě z pohledu majitele, ale ta předchozí definice se mi líbí víc - čůr*kova záda jsou pr*el :)

Trošku off topic, ale k tomu psaní na choulostivá místa mi vyskočil v hlavě tento vtip Tattoo joke

[kyknos]

zada obvykle nejsou na opacne strane nez predek, podivej se treba na psa

[koudy]

A sakra, někdo na mě zase používá v diskusi logiku, to je hnus :D

Jasně, celé to bylo myšleno jako vtip, bylo mi jasný že je to blbost už když jsem to psal ;)

[ʚĭɞ 🍉]

dickbutt