Jak se poučit z backdooru v UnrealIRCd

Během víkendu zjistil tým vývojářů serveru UnrealIRCd, že na některých mirrorech kdosi nahradil jejich oficiální verzi softwaru za poškozenou - konkrétně obsahovala trojana (backdoor), který umožňoval vzdálené získání práv uživatele, který UnrealIRCd spustil, na postiženém počítači. Vadná verze se na mirrory dostala už v listopadu 2009. Brian Proffitt uvažuje nad tím, co si z této zkušenosti vzít.

15.6.2010 19:17 | Robert Krátký | Zajímavý článek

Komentáře

[xkucf03]

Tak že by přeci jen paranoici měli pravdu?

Tzn. všechno podepisovat, počítat kontrolní součty a ověřovat…

[imploder]

Ani servery jako stahuj.cz nebo slunecnice.cz, download.com, tj. portály specializované na stahování softwaru, nemají ověření certifikátem a nenabízejí ke stahovanému softwaru kontrolní součty. Mají antivirouvou kontrolu na serveru, ale s možností nakažení během přenosu nebo podstrčení jiného souboru na server (dřív se některé soubory stahovaly i přímo ze serveru výrobce daného SW) se nepočítá.

[Irenej]

No stahuj.cz a slunecnice.cz bych jako etalon bezpečnostní politiky opravdu nebral.

[Kaacz]

To je snad normalni ne ?? Sireni jakehokoli kodu bez jakekoli kontroly obsahu je nebezpecna hovadina bez ohledu na pouzity OS.

Minimalne alespon fingerprint vystaveny u autoru tarballu kdyby byl.

Drtiva vetsina uzivatelu linuxu ale bere sw z repos, kde jsou balicky gpg podepsany, takze na mirrorech se nedaji podvrhnout.

PS: taky jste cetli ten HOAX na technet.idnes.cz, ze mame na linuxu prvni vir ? LOL. Autor toho clanku je hovado a nema co psat na technetu: co se samo nesiri to neni vir.

A jedine co ten trojan ziska, jsou prava usera.

Pripomina mi to ten stary dobry vtip o viru sirenem emailem. Mimochodem, samozrejme ze funguje i na linuxu, dokonce na jakemkoli OS (i kdyz nema email, ten se da rozeslat z jineho stroje):

Dobry den. Jsem chudy Albansky virus. Prosim smazte si 50 nahodnych souboru a poslete mne dal dvaceti pratelum. Dekuji.

[Robert Krátký]

Linuxový vir se šířil půl roku bez povšimnutí

[kralyk z abclinuxu]

Doufám, že tohle konečně rozhoupe někoho v Archlinuxu aby napsal podporu podpisování balíků.