Fedora kritizována za odmítnutí hackerského nástroje

Fedora je kritizována za odmítnutí balíčků hackerského nástroje SQLninja. Ten slouží k útoku na Microsoft SQL Server a jeho ovládnutí. Fedora se bojí soudních sporů, protože v některých zemích je i šíření podobných nástrojů trestné.

16.11.2010 08:04 | Luboš Doležel (Doli) | Komunita

Komentáře

[vain]

Pokud to je jediný účel tohodle balíčku (ne vedlejší efekt jako třeba u torrent programů), tak v odmítnutí nějak nevidím problém.

[CET]

Hmmm, pokud fedora neobsahuje tcpdump, wireshark, nessus, dsniff, johntheripper, iperf, ping (flood ping), tak je mi tohle distro dost na nic. No, asi je to fakt jenom BFU distro. Pak ale nechapu, jak na tom muzou stavet RHEL, protoze RHEL je primarne serverove distro a bez tehle uzitecnych nastroju mi bude dost na nic.

Ono je docela jedno, jestli to fedora zaradi nebo nezaradi, nainstalovat si to muze kazdej z externiho zdroje tak jako tak, takze fedora bude akorat distro bez nastroju

[vain]

Podle toho, co znám, jsi celkem vyjmenoval nástroje z té druhé skupiny, kterou jsem zmínil, takže pořád s tím nemám problém.

[omg]

nevidim tom jeho komentari problem. pokud je v FC i nessus, ktery primo zminuje, ze muze poskodit scanovany cil pokud je deravy. podobne flood ping pod rootem. obojim muzes testovat i likvidovat.

zrovna tyhle dve bych klidne zaradil do stejne skupiny jak ninju.

[omg]

aneb: guns don't kill people. I kill people with guns.

[Honza]

Muhehe, tvoje argumety jsou opravdu dost mimo. Nevím proč by mělo být distro pro BFU jen z toho důvodu, že neobsahuje některé (pro tebe důležité) aplikace. Zamysli se občas, než něco napíšeš.

[Joelp]

Script kiddie jak řemen :)

[Grunt]

no ve F14 už není telnet v defaultní instalaci, ale musí se tahat z repositáře.

[Kvakor]

Asi se opičí po Vistách

[Grunt]

Též mi to přijde. Co se to děje? Lidi držte se, svět se zbláznil.

[FF]

Nemyslíš, že správný postup by měl být opravit tu díru v MS SQL?

[vain]

A ty si kdo, že o tom rozhoduješ?

[Michal Kubeček]

On snad o něčem rozhoduje? Jen si dovolil upozornit, že řešením problému s (úspěšnými) útoky na MS SQL servery není nezařazení nástroje pro útok do distribuce, ale oprava chyby. Vy s tím snad nesouhlasíte?

[vain]

Teď přesně nevím co tím chcete oba říct. Vývojáři Fedory se tedy mají podílet na opravě té chyby nebo na zneužívání té chyby?

[Michal Kubeček]

Nevím jak kolega, ale já tím chci říct, že to, jestli ten balíček do Fedory zařadí nebo ne, nic neřeší. Tj. že nezařazením balíčku se nijak nezvýší bezpečnost MS SQL serverů a naopak zařazením se nijak nesníží. Takže vlastně jde jen o to, jestli chce Red Hat riskovat, že ho kvůli tomu balíčku bude MS vláčet po médiích (místo toho, aby opravil ty chyby).

[vain]

V tom případě souhlas a nechci mluvit za Red Hat, ale riskovat tohle určitě nechce, respektive kdo by chtěl. A špatný by byl Red Hat, už vidím ty "novinové" titulky "Linux útočí na servery Microsoftu".

[pavlix]

To už by ty titulky měly dávno vycházet :).

[FF]

Ano, presne tak jsem to myslel. Ale ono to je celkem fuk, pro hackera/crackera urcite nebude problem si ten balicek zkompilovat sam. Leda ze by Fedora dala hack do gcc aby blbe kompiloval soubor SQLninja.c nebo tak neco :D

[Michal Kubeček]

Leda ze by Fedora dala hack do gcc aby blbe kompiloval soubor SQLninja.c nebo tak neco

Ono to zní absurdně, ale kdysi jsem četl o plánech na nějaké opatření proti tomu, aby se na barevné kopírce daly kopírovat bankovky. Mělo to spočívat v nějakém ochranném prvku, který by kopírka detekovala a záměrně pak kopii zmršila…

[Cygnus]

Některé z prvních barevných kopírek _prý_ skutečně místo bankovky vytiskly černý obdélník. Kdysi to kolega ověřoval na nějaké inkoustové HP Office Jet ... ovšem kvalita tisku PhotoRET III stejně nestačí na slušnou kopii.

Dneska se to řeší tak, že se do všech barevných tisků (nebo všech tisků na barevních tiskárnách?) dělají žlutým tonerem značky. Lze pak docela přesně identifikovat kopírku, na které tisk vznikl.

A není to jen kvůli bankovkám, ale třeba kvůli výhrůžným dopisům, zneužívání firemní techniky v pracovní době atd...

Viz http://en.wikipedia.org/wiki/Printer_steganography http://www.eff.org/wp/investigating-machine-identification-code-technology-color-laser-printers#help

[Mrkva]

Nevim, jak kopirky, ale nektere programy tuhle "featuru" v sobe maji.

[Michal Kubeček]

Úděsné. Ještě úděsnější je, že se najde dost ovcí, které to obhajují. Aspoň že v GIMPU nic podobného nehrozí a pokud snad ano, tak to bude jako s podporou DRM nesmyslů v kpdf/Okularu.

[Grunt]

Přesně tak. Tohle už jsou enerprise vztahy na vyšší úrovni, které jsou očím nás běžných smrtelníků skryty. Ono když to totiž vhodně podá nějaký právník s dostatečnou vrstvou šampónu či jiného slizu na hlavě, tak na věc také může být nahlíženo jako na nekalý konkurenční boj. A je dost možné, že by v našem právním řádu i měl nějakou šanci na výhru. IMHO je potřeba změnit zákon a uzákonit, že ten kdo je natolik blbý (a teď nevím, jestli jako Microsoft, který díry nezalepuje, ale provádí místo nich kachní tanečky a nebo tak blbý jako ten kdo jejich děravé produkty používá), toho blbost by měla být zákonem povinně exploitována min. 6× denně a hackerovi by měla být zajištěna beztrestnost, ne-li metál.

[Michal Kubeček]

Zákon postihující blbost? To je v systému založeném na vládě většiny nereálné. :-)

[Grunt]

Spíš zajištění beztrestnosti těm, kteří tu blbost postihují – to je v našem systému ještě nereálnější.

[Grunt]

Spíš zajištění beztrestnosti těm, kteří tu blbost postihují

^{Což vlastně není nic jiného než nechání fungování čistě přírodních zákonů v chodu.}

[xurfa]

To s "většinou" až tak automaticky nesouví. Jde o to, že v našem systému se ta "většina" systematicky k blbosti vychovává. (Stačí někdy zapnout TV H@vn@, nebo si přečíst noviny...)

[Michal Kubeček]

Nečekal jsem, že by někdo mohl nepochopit, jak jsem tu narážku myslel. :-(

[Pavel Stárek]

No to by byla pěkná blbost s tou "úpravou" gcc. Co kdyby si tak někdo nazval zdrojový soubor své "hodné" aplikace?

[Michal Kubeček]

Záleží na tom, jestli by to překladač rozeznával podle jména nebo podle obsahu.

[Heron]

Já si myslím, že Fedora ani vain vůbec neřeší existenci nějaké chyby v nějakém produktu (či spíše nastavení dané sítě, trust přístup do DB není nic neobvyklého). Tedy nezařazení daného programu rozhodně nikdo nepovažuje za "řešení" nebo snad skrývání nějaké chyby.

Fedora prostě rozhodla, že daný balíček s tímto účelem ve svém distru nechce. To nic nemění na faktu, že dotyčný zhrzený programátor může vytvořit vlastní repositář případně si to může kdokoliv zkompilovat.

[jos]

já sem uživatel, stačí?

[vain]

Tak potom tě absence takového nástroje nemusí vůbec tankovat.

[jos]

odpovídal si na

Nemyslíš, že správný postup by měl být opravit tu díru v MS SQL?

netankuje mě že ve Fedoře nedistribuujou sqlninja, tankuje mě, že microsoft není schopnej udržovat svoje produkty v dobrým stavu

[Libor Chocholaty]

Vy nechapete, ze nejde o diru, ale o feature, kterou vyuzivaji dalsi MS produkty k lepsi integraci s MS-SQL serverem? Proto to MS nemuze opravit, protoze by si rozbil dalsi produkty, musel by vymyslet jine API a vymysleni API Microsoftu nikdy moc neslo. Teda slo, ale ty vysledky.

[Mrkva]

Hm, feature, která v důsledku umožňuje získat plný přístup k DB... Super! Takovou by měl mít každý systém!

P.S.:

Sqlninja is a tool targeted to exploit SQL Injection vulnerabilities on a web application that uses Microsoft SQL Server as its back-end.

(z oficiálního webu). Tedy problém je v první řadě děravá aplikace :)

[xkucf03]

tak v odmítnutí nějak nevidím problém

Pokud by to bylo něco ve smyslu „nechceme podporovat skript kiddies“ tak bych to taky celkem chápal. Ale když je to „klidně bychom to tam dali, ale bojíme se nesmyslných zákonů“ tak je to smutné.

[pavlix]

Vždyť to stačí dát do nějakého méně oficiálního repa, ne?

[michich]

Myslím, že rozhodnutí Fedora Board bylo hodně ovlivněno tím, že Sqlninja je svými autory prezentováno hlavně jako útočný nástroj:

... Its main goal is to provide a remote access on the vulnerable DB server ...

Kdyby tam raději psali, že je to nástroj určený pro správce DB serverů, kteří si chtějí ověřit vlastní zabezpečení, rozhodnutí mohlo být jiné.

[vain]

Souhlas. Kdyby ty útoky byly vedlejší efekt tak to nikdo neřeší, ale jestli to "je" na tohle a ještě se tím netají, spíš naopak, tak bych to taky nepustil.

[mich]

Pokud to nevytrhneš z kontextu, tak to nezní zas tak zlounsky (z jejich hlavní stránky):

Its main goal is to provide a remote access on the vulnerable DB server, even in a very hostile environment. It should be used by penetration testers to help and automate the process of taking over a DB Server when a SQL Injection vulnerability has been discovered.

[m1c4a1]

No bóže, tak kdo chce, si to zkompiluje. Nebo jsou dneska už uživatelé tak hloupí, že to nedokážou? Takovým nepatří podobné nástroje do ruky.

[pingwin]

Nemusi snad byt hloupy ten komu se nechce tahat vsechny *devel* baliky a resit co mu jeste chybi... Muze byt treba jen lenivy

[Chytrex]

Nebo nechce mít systém zabloatěný dev balíkama.. Ono se to nezdá ale tu dev balíček, tam dev balíček.. a rázem systém zabírá o 2/3 více místa:) Takže opravdu chápu že někdo nechce kompilit svoje balíčky:)

[frEon]

tak to vyresim tim, ze si udelam chroot, ve kterem si ten balicek zplacam, ne?

[Michal Kubeček]

Nevím jak ve Fedoře, ale v OpenSuSE jsou *-devel balíčky většinou dost malé, protože obsahují pouze hlavičkové soubory a symbolický link *.so. Jediné, co by v něm mohlo být velké, by byla statická verze knihovny, ale ta tam ne vždy je. Takže o dvě třetiny ani omylem - a i kdyby ano, na většině systémů to stejně bude pořád zanedbatelné proti tomu, kolik místa zabírají uživatelská data.

[Jardík]

Ono se to nezdá, ale těch hlavičkových souborů bývá i docela hodně a pěkně žerou inody.

[Michal Kubeček]

Neviděl bych to tak tragicky. Mám nainstalované prakticky všechny *-devel balíčky a

lion:~ # s=0; while read name; do s=$[s+`rpm -q --queryformat '%{SIZE}' "$name"`]; done < <(rpm -qa | grep devel); echo $s
627602219
lion:~ # rpm -qa | grep devel | while read name; do rpm -ql "$name"; done | wc -l
59670

Vezmu-li v úvahu, že celá instalace systému má asi 8.3 GB a dohromady mám asi 1800 GB diskového prostoru, tak v tom opravdu nevidím problém.

[Grunt]

Nechci do toho kecat, ale to mi opravdu nepřijde moc jako pravda (ale pokud na tom bude někdo trvat, klidně to otestuju). Takové -dgb balíčky jsou na tom s místem mnohem hůře a přitom nikdo nebrání po skončení debugování udělat něco ve smyslu yum remove *-dbg. Brání stejnětak někdo po úspěšné kompilaci spustit yum remove *-devel?

[Michal Kubeček]

Ono nejspíš nebude potřeba ani to, prostě si jen balíček stáhnou z jiného než oficiálního repository.

[Ladislav]

Uz je to tu ako v bulvari, nerozlisuje sa hacking - cracking.

[mich]

Není to spíš tak, že jedna strana považuje sqlninju za hackerský nástroj a druhá za crackerský?

[Kosič]

Takže to třeba skončí v RPMFusion. Fedora ctí přístup "better safe, than sorry." No jéje...

[Pavel Stárek]

Což je v principu takový de facto standardní (pšššt ) repozitář pro RHEL i Fedoru, do kterého se to hodí vložit, beztak je tam už věcí, akorát libdvdcss tam není - bojí se a vyměkli .

[Laco]

Uhm... koho zaujima odpad ako je Fedora? Ved je to horsie ako openSUSE a to je inac sracka, clovek by povedal ze nic horsie uz byt nemoze.

[imploder]

Nesouhlasím. Fedora rulezzz!

[michich]

Jared Smith, vedoucí projektu Fedora, vydal objasňující shrnutí.