Stránky projektu Linux Mint napadeny

Stránky projektu Linux Mint byly napadeny. Neznámá skupina útočníků podvrhla ISO soubory. Uživatelé, kteří si stáhli Linux Mint 20. února, jsou vyzváni k přeinstalaci.

21.2.2016 11:36 | KOLEGA | Bezpečnostní upozornění

Komentáře

[Ruža Becelin]

Tak to je dobrej pruser

[Jardík]

Zase wordpress, já to říkal posledně a pak mě kamenujete, ale prostě s*át na ty šmejdský CMS. Lidi jsou dnes líní udělat si pořádnou statickou webovku.

[_]

Problém je když chtějí pohodlně upravovat stranku z administrace. To by pak vyžadovalo napsaní vlastního CMS a tím pádem výrazně více času a peněz...

[pavlix]

No já nevím, já jsem celkem zvyklý stránky pohodlně upravovat z vimu. :)

[pjnowak]

Myslím si, že Mint je zrovna tak silná skupina, že by si vlastní CMS mohli napsat. Co se statických stránek týče, každý druhý se směje, že je to historie, ale napsat je tak, aby byli koukatelný, a odkazově funkční, to už skoro nikdo neumí, nebo se s tím nechce dělat.

[pavlix]

ale napsat je tak, aby byli koukatelný, a odkazově funkční, to už skoro nikdo neumí, nebo se s tím nechce dělat.

Vždyť je to triviální změna, stačí HTML vygenerovat předem namísto on-the-fly.

[little.owl]

Od toho jsou templatovatelne generatory statickych stranek.

[pepe_]

Nestačí něco simple  https://github.com/ilosuna/phpsqlitecms  ?

[Bystroushaak]

Imho je chyba v PHP, protože je to taková příšerná slepenina hoven, červů, zla a perlu, že v tom skutečně bezpečnou aplikaci zvládne napsat málokdo. Někdy mi přijde, že ten jazyk snad byl navržený, aby byl děravý, a to ani nemluvím o vší té demenci v stdlib, která se chová všelijak, jen ne predikovatelně a s radostí člověka bodne kudlou do zad, protože je tam tolik výjimek a zmutovaností, že prostě nesmí předpokládat žádnou konzistenci. Přijde mi, že nejjednodušší způsob, jak napsat bezpečnou webaplikaci je nepoužívat PHP.

[pavlix]

Ten jazyk je původně navržený jako naprosto děravý, stačí se podívat na stav před vydáním PHP4. Ta zoufalá snaha udělat z toho trochu použitelný nástroj samozřejmě leccos napravila a dohnala, ale těžko říct.

[Bedňa]

Jako keby slabé heslá, alebo spôsob prihlasovania, prípadne prístup k databáze bol chybou jazyka.

Väčšina bežne používaných jazykov má známe problémy, či už s pretečeným zásobnika atď. a nikto to napríklad u C neprikladá jazyku a tých dier že je masaker.

[pavlix]

prístup k databáze bol chybou jazyka.

Pokud jsou nedílnou součástí projektu daného jazyka i bindingy na připojení k databázi, pak lze samozřejmě hodnotit i to. Zrovna skládání SQL dotazů je docela náchylné na problémy a bindingy se můžou v náchylnosti na SQL injection dost lišit.

slabé heslá, alebo spôsob prihlasovania

To zase může souviset s dostupností lepších způsobů a taky s příklady v dokumentaci.

a nikto to napríklad u C neprikladá jazyku

To není pravda. Hodně lidí z tohoto titulu C kritizuje. A docela dost se aktivně věnuje hledání/vývoji jazyka, který by byl z hlediska bezpečnosti bufferů vhodnější. A mají svým způsobem pravdu, C není na tyto problémy o moc míň náchylné než assembly.

[Bedňa]

Ono v každom jazyku existuje known bugs a best practices.

Tak to beriem ako chybu programátora a nie jazyka¹. Nie všetko je ideálne ako Rust :)

1. Známa chyba v PHP pri práci s SQL serverom, že je možné vyskejpovať cez URL dáta z databázy. Otvorená ostáva otázka, či to mali hneď dropnúť aj u užívateľov ktorí mali vstupy ošetrené.

[xkucf03]

Pokud jsou nedílnou součástí projektu daného jazyka i bindingy na připojení k databázi, pak lze samozřejmě hodnotit i to. Zrovna skládání SQL dotazů je docela náchylné na problémy a bindingy se můžou v náchylnosti na SQL injection dost lišit.

K tomu PHP může přispívat svojí slabou typovostí¹ – programátor si třeba řekne: „vždyť $id je přece číslo, tak co bych ho k tomu SELECTu nepřilepil“, ale už mu nedojde, že do proměnné $id (kde by člověk normálně číslo čekal) mu uživatel může podstrčit cokoli, třeba text s apostrofy a středníky. Zrovna tohle je věc, která by se v silně typovaném jazyce nestala, protože tam by id bylo třeba int nebo long a nic zákeřného by z něj přijít nemohlo.²

A na obranu PHP musím říct, že o SQL injection a parametrizovaných dotazech jsem se dozvěděl právě při učení se PHP.

_{[1] v tom ale není samo a jiné jazyky s podobným vztahem k datovým typům jsou tu naopak oblíbené…
[2] občas pak takové lepení může dávat smysl, když má člověk jistotu, že tam bude vždy číslo, ale i tak se většinou použijí spíš parametrizované dotazy}

[pavlix]

Nevím jeslti „slabá typovost“ dostatečně popisuje ty prasárny, co PHP s typama dělá třeba i ve srovnání s relativně benevolentním Pythonem.

[Bedňa]

Áno "333ccc" sa rovná "333", ale je to známy bug/feature, ale totok by som nepladal za chybu jazyka, pretože na to má riešenie === :)

[pavlix]

Nemyslím si, že součástí definice chyby nebo špatného návrhu, zda existuje řešení.

[Peter Golis]

Tá veta sa ti podarila, je ako z marketingovej príručky na predaj produktov spojených s cloudom.

[pavlix]

Chápu, že se mi chceš pomstít za ne zcela vřelý přístup v jiné diskuzi. Ale je to slabé, zkus něco lepšího.

[Peter Golis]

Ani nie. Len si budujem zbierku prázdnych viet. Ber to ako ocenenie.

A nabudúce si ten facepalm natrénuj pred zrkadlom, pochopíš.

[mirec]

Bolo by zaujímavé tento princíp z IT preniesť do reálneho života.

Naša letecká spoločnosť využíva lietadlo s dierou v trupe na mieste 42. Spločnosť neručí za vypadnutých pasažierov. Feature je zdokumentovaná a každý si ju môže vygoogliť, stačí pri nákupe letenky zahlásiť, že nechcete sedieť na mieste 42.

[Bystroushaak]

Tak kdyby ta díra byla alespoň na první pohled vidět. U PHP to ale vidět není, jen se to píše někde v 30 odstavci podmínek přepravy, že prostě sedadlo 42 se každý sudý den katapultuje, když zrovna pilot přitáhne knipl. Opravy jsou rejectovány, protože to je feature a ne bug a existují společnosti, které takhle doručovaly tajné agenty za studené války. Na palubě jsou taky troje záchodky. Jedny jsou prostě jen wc(), ale tam je díra, která tě po otevření dveří vycucne ven. Pak je tam real_WC(), které je dobré, dokud nespláchneš, pak tě vycucne ven. No a pak je tam wcReal(), které funguje, nevycucává lidi, ale je tam páka, která otevírá dveře nákladového prostoru. Tahle featura je dobře zdokumentovaná, i s příkladem použití.

[Bedňa]

Ja vychádzam z toho ako sú zdokumentované chyby v PHP a nieje to o nič horšie ako v hocijakom webowom jazyku, alebo frameworku.

Ano injectovanie možné je všade kde niesu ošetrené vstupy bez rozdielu jazyka. Len PHP je webový jazyk a namiesto ďeravých frameworkoch je to možné písať priamo v jazyku.

Takže Django a ďalšie frameworky sa mali z čoho poučiť.

[Jendа]

Pokud jsou nedílnou součástí projektu daného jazyka i bindingy na připojení k databázi, pak lze samozřejmě hodnotit i to. Zrovna skládání SQL dotazů je docela náchylné na problémy a bindingy se můžou v náchylnosti na SQL injection dost lišit.

Ale v PHP jsou už dost dlouho, podle mě tak 10 let, normální parametrizované dotazy, přesně jako v ostatních jazycích.

To zase může souviset s dostupností lepších způsobů a taky s příklady v dokumentaci.

To jo, ale to nemá asi žádný jazyk, a i kdyby, tak to stejně nepodporují prohlížeče…

[mirec]

Niektoré jazyky ich majú viacej, iné menej.

[Jendа]

Více, méně. Z toho jednoznačně plyne, že Windows jsou bezpečnější.

Obzvláště, když chyba, o které je zprávička, nebyla v PHP enginu, ale v nějaké aplikaci, kterou v něm někdo napsal…

[mirec]

Správny odkaz je toto.

[Bedňa]

Niektoré jazyky bežia na jednom percente dnešných webow a iné majú majoritu, z tohoto pohľadu by to vyzeralo na nepriestrelnosť PHP a deravý Python.

Štatisticky je Win najobľúbenejší a nejak ma ta štatistika nepresvedčila ho dobrovoľne používať.

Nechcem samozrejme haniť Python, ten jazyk mi je moc sympatický, len som chcel poukázať na výsledky nejakých tabuliek :)

[JoHnY]

Ale no tak, PHP je stary jazyk. Jeste pamatuju dobu, kdy neexistovaly prepared statementy pro MySQL, protoze je MySQL proste neumelo a Unicode byla ta divna vec co nam pridelavalava praci na NT4. Samotne PHP a jeho zakladni knihovy jsou v podstate starsi nez idea bezpecnosti na webu.

Prijde mi, ze nejjedndussi zpusob jak napsat bezpecnou webaplikaci, je rozumet webove bezpecnosti. Videl jsem naproste webove sblitky (to kdyz se blitky zcuknou v aplikaci ) ve vsem od PHP pres .NET, Javu az po Ruby a NodeJS. A cest vsem odvazlivcum co si v drevnich dobach psali vlastni CGIcka.

[pavlix]

A co odvážlivcům, co píšou CGI skripty dneska?

[Bystroushaak]

Zase wordpress, já to říkal posledně a pak mě kamenujete, ale prostě s*át na ty šmejdský CMS. Lidi jsou dnes líní udělat si pořádnou statickou webovku.

+1

[Jendа]

Ano, a opravili to tím, že na HTTP stránku dali MD5 hashe. To jsou dvě určitě velmi bezpečné technologie.

[Heron]

+1

[little.owl]

Je tam vestaveny backdoor:

Hackers made a modified Linux Mint ISO, with a backdoor in it, and managed to hack our website to point to it.

[ʚĭɞ 🍉]

Vtipné na tom je, že MATE používá generátor statických webů Nikola, to jsou skoro ti samí lidé AFAIK.

[pavlix]

To nevypadá špatně.

[little.owl]

A Linux kernel.org pouziva generator Pelikan.

[xkucf03]

Smutné na tom je, že autoři Mintu v oznámení nazávají ty útočníky „hackery“.

[pavlix]

+1

A přitom zatím žádnému hackerovi nic nedokázali. :)

[Hans1024]

Me teda nedela zadny problem podle kontextu urcit, co je slovem mysleno. A jazyk se prakticky nikdy nevyviji na zaklade logickych argumentu. Nemci nejsou nemi, a presto nevedou svatou valku za spravnou terminologii. Vetsina lidi jde cestou nejmensiho odporu, protoze jazyk je jenom nastroj, a ne dokonale umelecke a filozoficke dilo. Je bezne, ze ruzne skupiny lidi pouzivaji stejna slova ruzne. Pouzivat slovo hacker v tomto smyslu je od autoru Mintu logicke vzhledem k uzivatelske zakladne jejich distribuce.

[Petr Tomášek]

To kua nikdy neslyšeli o GPG?

[pavlix]

A hlavně o eliptických křivkách! :D

[Bedňa]

Neviem ako to myslíš, ale pokiaľ si stiahnuté (cracknuté) ISO overíš kľúčom tak zistíš že je kľúč nesedí.

Kto to robí bežne nemá sa čoho báť.

Pokiaľ myslíš nejakú ich internú politiku o tom neviem nič.

[petrfm]

To se naštěstí ubuntu nikdy nemůže stát, jsem klidný

[pavlix]

+1

[distro]

linuxmint-17.3-cinnamon-64bit.iso Sobota, 28. listopad 2015 v 19:18:19

e71a2aad8b58605e906dbea444dc4983

[Grunt]

Bohudík že se jim nepodařilo ukradnout zdrojové kódy.