Whoops

[omaha]

Fikset igjen:

http://www.theregister.co.uk/2010/09/15 ... ssion_bug/

[Tertitten]

Linux det sikreste operativsystemet som finnes.. hvor ofte har man ikke lest det på ulike forum, vel vel. . Slike bugs er rett og slett FARLIG, tenk hva en eneste missfornøyd person med litt kunnskap kan gjøre med en IT park.. woooow..
La oss håpe de får fikset det definitivt denne gangen, inntil videre vil ihvertfall jeg slutte å male linux som det definitivt sikreste os som finnes.

[omaha]

Det øyeblikket en begynner å innbille seg at alt er "bombesikkert" er også det tidspunktet hvor det slutter å være det. Det vil alltid finnes sikkerhetshull uansett OS og sporbarheten er god innen Foss/Linux. Men strukturerte systemer for å overvåke dette er kanskje en mangelvare?

Strengt tatt spiller det ikke så stor rolle for Linux hvor sårbare andre operativsystem er. Linux må fokusere på Linux - de andre kan man på en måte Linux ikke gjøre så mye med.

Apparmour og SElinux osv osv osv kan nok sikre godt, men mye av det krever for mye av administrasjonen for å driftes.

Uansett - ingen grunn til å være naiv.

[olear Erfaren]

Dukker opp ofte sikkerhetshull i kernelen, mange basert på dårlig kvalitetssjekking. Flere øyne på kernelen har ikke skadet

På tre måneder har det dukket opp 18 CVEs bare på kernelen.

[Tertitten]

Ja, det har det... bra de finner feilene, men på de mest alvorlige får de enten fikse det fullstendig eller tilbakeportere til en kjerne uten såpass alvorlige feil mener jeg..
Jeg klarer ikke å la være å tenke på hvilke alvorlige følger en root access feil kan gi for ett større foretak, det er fullstendig mulig jeg er paranoid.....

Jeg jobber selv med mindre server parker, heldigvis så har det ikke skjedd noe på de..
Som sagt, mulig jeg er paranoid, men til syvende å sist så er det jeg som er ansvarlig for sikkerheten...

Hmm, virker kanskje som jeg er v e l d i g nervøs her, jeg er ikke det og sjansen for at noen utnytter denne buggen er vel liten, men uansett, litt nervøs blir man..

Det som er bra er at det ser ut til at alvorlige feil finnes raskt i linux kjernen og at arbeidet med å fikse problemene startes med en gang. .

Det finnes ikke noe 100% sikkert operativsystem, hjelpemidlene omaha nevner kan nok hjelpe sikkerheten noe, men han nevner kvalitetssikring og det er vel her det ligger, den må rett og slett bli bedre...

[olear Erfaren]

Problemet er å backporte, de fikser bare feil på kerneler som er støttet, det vil si 2.6.27*, 2.6.32* og siste utgivelse. Da de skifter APIer og lignende hele tiden blir det verre og verre å backporte.

Jeg vedlikeholder 2.6.23 på flere servere og hver gang det dukker opp en CVE må jeg backporte fra backporten til .27 p.g.a totale forandringer på backends og lignende i nyere utgivelser.

Et annet problem er at utviklerene vet ikke selv når slike feil ble introdusert, da de bare tester på siste utgivelse.

* Frivilig basis, utvikler jobber for Novell tar jeg ikke helt feil.

[omaha]

RHEL 5 benytter vel en ekstremt backported 2.6.18. 2.6.27 ble nylig erstattet av 2.6.32 i Arch som "LTS" kernel, og RHEL 6 som ventes rundt nyttår vil kjøre 2.6.32. Det samme gjelder forøvrig Ubu 10.04 LTS

Så jeg antar at 2.6.32 vil være aktuell for LTS for de som skal/kan/vil bytte. Den kan man nok være rimelig sikker på vil bli vedlikeholdt av mange mennesker lenge.

Jeg synes igrunn bruken av begrepet "paranoid" i slike sammenhenger er en uting. Det handler om risikohåndtering. For å kunne håndtere risiko må man kjenne til eksisterende farer + både reell og potensiell risiko. Risiko forsvinner ikke bare fordi man ikke bryr seg om den. Sitter man på sin egen tue og har ansvar kun for egen informasjon er det jo greit - en vet hvem en skal skylde på og hvem som får svi.

Sitter man med ansvaret for andres informasjon så er man opptatt av dette slik at de andre skal slippe å være ukomfortabel og bli påført risiko enten den nå er kjent eller ukjent.

Dermed er det ikke sagt at man ikke kan ha et pragmatisk forhold til håndteringen av risiko, for det kan man jo være - bare man ikke er likegyldig

Jobber man med informasjon vil det alltid være noen som har interesse av den.
Regnskap ved oppkjøp, kurssensitiv informasjon, reklamekampanjer, nye produkter, nye tjenester, forsikringsdokumentasjon, juridiske dokumenter. (Det er ikke SÅ lenge siden det var litt lekkasjer hos sossarna).