Průnik na Linux.com a LinuxFoundation.org

Byl zjištěn průnik do účtů na serverech Linux.com a LinuxFoundation.org. Je důvod domnívat se, že souvisí s dříve ohlášeným průnikem na kernel.org. Nyní probíhá audit a reinstalace dotčených serverů.

11.9.2011 20:46 | Nicky726 | Bezpečnostní upozornění

Komentáře

[linuxík]

Nejenže je linux čím dál víc zabugovaný, ale teď ještě navíc zavšivený backdoory

[belisarivs]

Ty jsi taky zavsiveny. Co kdybys se sel lecit?

[Majk]

Zde jsem našel nějaké podrobnosti.

[pavlix]

Vždyť tam žádné nejsou.

[kralyk z abclinuxu]

Ten Ballmer už je jak malej Jarda. Že mu to stojí za to...

[Michal2]

Snad Jardik, ne?

[marek_hb]

reinstalace serverů je fajn, ale co data?

[GR]

Co data, co data? Mají si kde hráááát...

[NN]

Stejne, jedu v Praze po Narodni tide a vidim obrovsky led panel s bezici reklamou, uprostred velky sedivy ramecek, cerveny krizek a tlacitko OK a rikam si, ze budoucnost je nase. :D

NN

[Dreit]

A já doufám že je fotka

[nicco]

V nedelu som to videl na LCD v predajni obuvy Ecco

[marek_hb]

spíš KDO si s nima může teď hrát

[syntsow]

Toto a kernel.org ma docinenia s buducim phrackom a NS4 crw :)

[pavlix]

Ani linuxákům neškodí neustále připomínat, že není vše tak bezpečné, jak se na první pohled zdá :).

Každopádně jsem rád, že o tom takhle informují, mnoho jiných by to radši zkusilo ututlat než utržit trochu té ostudy. Takže jen tak dál :).

[jadd]

Tedy já valím oči, Linux se bude reinstalovat ? Tak průhledný OS nestačí opravit i bez reinstalace ? A ještě k tomu to budou provádět ti, co by tomu měli rozumět nejvíce.

[Marek 'Maxicom' Zelenka]

Taky bych opravoval výměnou potenciálně napadeného softu za soft čistý a světe div se, říkám tomu reinstalace.

Někdy tyhle nářky fakt nechápu.

Jestli tomu rozumíš víc než oni, tak jim můžeš místo valení očí nabídnout pomoc

[jadd]

Nerozumím, ale oni by měli. Já jen aby si vzpomněli ti, co kritizují uživatele jiných OS kteří provádějí po svých problémech také reinstalaci.

[Šangala]

Právě, že tomu rozumí. Pokud je server kompromitovaný, tak jediné bezpečné a rychlé řešení je jej přeinstalovat (bez ohledu o jaký OS se jedná).

[Filip Jirsák]

Jenže správci Linux.com nedělají reinstalaci po libovolném problému s počítačem, ale pouze v případě, kdy mají podezření, že byl systém kompromitován. To je takový celkem podstatný „detail“.

[marek_hb]

to je fajn, ale dá se někde najít, jak a jestli byly kompromitovány data? případně od kdy?

moje angličtina na to moc nestačí

[Filip Jirsák]

Jaká data myslíte? Zdrojáky linuxu určitě ne – to je jedna z výhod distribuovaných systémů pro správu verzí, nestačí napadnout jedno centrální úložiště, ale bylo by nutné škodlivý kód podstrčit do spousty lokálních úložišť.

[marek_hb]

ano myslím zdojáky linuxu

[rastos]

Zdrojáky linuxu určitě ne – to je jedna z výhod distribuovaných systémů pro správu verzí

Ak tomu dobre rozumiem, tak git chráni pred zmenou urobenou nekalým spôsobom v repository. Ale útok na kernel.org začal vlastne trojanom na stroji jedného z developerov. Ak ten trojan urobí commit backdoor-u, tak jedinou obrannou líniou ostáva review toho commit-u pri pull-nutí tej zmeny do repository "nadradeného" developera. Ak je ten commit trocha väčší, tak by sa tam dalo niečo schovať tak, aby to pri review nebilo do očí.

[Filip Jirsák]

Myslím, že většinu commitů do jádra čte víc lidí. A pokud vím, není u jádra zvykem, aby commity byly velké. Tomu opět napomáhá distribuovaný verzovací systém, který umožňuje snadno pracovat s tím, že se commitují jednotlivé vpodstatě atomické změny a na vyšší úrovni se pak pracuje se sadami změn.

[pavlix]

Nerozumím, ale oni by měli. Já jen aby si vzpomněli ti, co kritizují uživatele jiných OS kteří provádějí po svých problémech také reinstalaci.

Rozlišuj napadený systém a systém, „kde jsem si omylem smazal ikonu“ (s trochou nadsázky, samozřejmě).

[pavlix]

Tedy já valím oči, Linux se bude reinstalovat ? Tak průhledný OS nestačí opravit i bez reinstalace ? A ještě k tomu to budou provádět ti, co by tomu měli rozumět nejvíce.

To je obvyklý postup bez ohledu na OS. Napadený systém by se měl vždy zahodit, zvlášť pokud je tak exponovaný jako servery související s dobrým jménem Linuxu.

[jadd]

No já bych spíše řekl že je tak obsáhlé že už to dá hodně práce zjistit kdo tam co napsal. Asi by si měli vyvinout nějakou utilitu která jim to rychle zjistí. Neumím pracovat s verzovacími systémy, jsou na dostačně uspůsobené?

[pavlix]

No já bych spíše řekl že je tak obsáhlé že už to dá hodně práce zjistit kdo tam co napsal.

Já bych řekl, že to co tu píšeš je takové okecávačství. Všeobecně uznávaný postup je vcelku jasný a známý, důvody k němu jsou taky jasné a známé, takže nevím v čem je problém.

Asi by si měli vyvinout nějakou utilitu která jim to rychle zjistí.

Asi těžko.

Neumím pracovat s verzovacími systémy, jsou na dostačně uspůsobené?

Verzovací systémy jsou určené k udžování změn na nějakém společném projektu, takže ani v nejmenším.

Někdy se verzovací systém dá použít místo inkrementální zálohy, i když to není úplně ideální. Ale ani inkrementální záloha není křišťálová koule, která by dokázala automaticky vyplivnout nenapadenou verzi systému (tím spíše ne verzi systému, které nepůjde napadnout stejným způsobem.

Takže ještě jednou... standardní metodou zbavení se napadených systémů je jejich odstranění a následné nahrazení novým systémem za zlepšení procesů týkajících se bezpečnosti. A to bez ohledu na to, o jaký operační systém a další software se jedná.

Někdy se z požadavků sleví a napadený systém se různě čistí a oživuje... ale to už je jiná věc.

[jadd]

Já bych řekl, že to co tu píšeš je takové okecávačství.

Omlouvám se za ten pravopis ale já pak nechápu k čemu jsou pak ty digitální podpisy v repositářích když to pak nakonec můžou distribuovat už napadený přímo tvůrci poskytovaného softwaru. Tohle už je tedy jen špička ledovce samotného problému. Nenapsal jsem blbost?

Nemyslíš si sám že samotní vývojáři jádra o takovém softwaru sami nepřemýšlejí, s tím že až tedy obnoví ty servery že to nenechájí dojít do další reinstalace (počítám že jim asi nestačí nahodit CDéčko)

. Já o tom tedy přemýšlím ale je mi to houby protože nejsem vývojář.

[pavlix]

Já mám pocit, jako kdybys mluvil úplně o něčem jiném.

Omlouvám se za ten pravopis ale já pak nechápu k čemu jsou pak ty digitální podpisy v repositářích když to pak nakonec můžou distribuovat už napadený přímo tvůrci poskytovaného softwaru. Tohle už je tedy jen špička ledovce samotného problému. Nenapsal jsem blbost?

Digitální podpisy slouží k ověření, jestli je daný kód (někým) autorizovaný. Ne k tomu, aby se zabráníli samotné distribuci čehokoli.

Nemyslíš si sám že samotní vývojáři jádra o takovém softwaru sami nepřemýšlejí, s tím že až tedy obnoví ty servery že to nenechájí dojít do další reinstalace (počítám že jim asi nestačí nahodit CDéčko)

Vývojářů jádra se reinstalace nějakých serverů prakticky netýká. Hádal bych, že se nadále starají o vývoj jádra a kromě těch, kdo jsou čirou náhodou zároveň i správci dotyčných serverů, se tímto problémem zabývají asi tak jako každý jiný člověk, který má potřebu komentovat dění.

Já o tom tedy přemýšlím ale je mi to houby protože nejsem vývojář.

Nejde o to, že nejsi vývojář, ale spíš mám z toho, co píšeš, pocit, že nevíš, která bije.

[jadd]

Já mám pocit, jako kdybys mluvil úplně o něčem jiném.

Vím trochu jsem odbočil až k distribuci samotného softwaru.

Nejde o to, že nejsi vývojář, ale spíš mám z toho, co píšeš, pocit, že nevíš, která bije.

Ten pocit máš správný.

V postatě mě nezajímá nic jiného, že až budu aktualizovat jádro, tak nepude zavirované. I když ode mě toho stejně nikdo moc nezíská.

[pavlix]

V postatě mě nezajímá nic jiného, že až budu aktualizovat jádro, tak nepude zavirované. I když ode mě toho stejně nikdo moc nezíská.

Pokud ho budeš aktualizovat z repozitáře, zodpovídají za něj (v rámci možnosti) správci repozitáře, kteří o problému s těmito weby vědí. Pokud používáš kernel.org jako přímý zdroj, ověřování je na tobě (a možnost máš).

Pokud jde o software pro správu verzi, používá se Git, který v sobě zahrnuje elektronické podepisování. Hádal bych, že průlom kernel.org a dalších může bezpečnost pouze zvýšit, protože si pár lidí uvědomí, že tam ty elektronické podpisy mají svůj účel. Takže z pohledu linuxového uživatele se dá prolomení kernel.org brát paradoxně spíš jako bezpečnostní plus :).

[Salamander]

kernel.org furt neběží

[kernel]

kernel.org byl hacknutý a zřejmě se stále opravuje. Zajímalo by mě, do kolika distribucí se ty backdoory dostaly. Chtělo by to nějaký automatický scanner a odstraňovač malware.

[marek_hb]

něco jako antivir myslíš?

[Valerius]

Mno, na Archu to vyřeším asi následujícím způsobem. Vypíšu si všechny balíčky v systému a nainstaluju je z jiného zrcadla znova (z kernel.org bych stejně nemohl, i kdybych chtěl)... to by mělo, myslím, spolehlivě případný malware odstranit, ne? =)

[Filip Jirsák]

Pokud to uděláte z jiného systému (třeba LiveCD), pak je to celkem použitelné. Ale pořád hrozí, že budou zadní vrátka zašitá někde v konfiguraci nebo v něčem, co žádný balíček nepřepíše. Například když budete mít cestu /bin:/sbin, binárka bude standardně v /sbin a tam jí také přepíše správce balíčků. Pokud vám ale útočník podstrčil stejnojmenný soubor do /bin, spustíte si nejspíš ten.

[Valerius]

Damn... takže pro jistotu reinstall? Ach jo

[Honz]

To fakt není dobrá vizitka... A kdo to jako má svědomí? Teroristi? Uindoousáci? Anonymáci?

[kralyk z abclinuxu]

Ballmer, jednoznačně. Člověk s takovouhle mentalitou by s tím neměl problém...