Leuk nieuws over get the facts:
Halloween document #11: Get the FUD.

. Eric Raymond blijft een geweldig analyst. Maargoed, ontopic.
Copy/pastje van mij uit een
ander topic (A61, vandaar de c/p):
--
cutter schreef op 28 mei 2004 @ 18:39:
ho ho... iedere windows expoit in de vorm van een virus is een gereversed engineerede (mooi woord voor scrabble

) microsoft patch... dus eigenlijk zijn alle MS expoits ook door MS geschreven...
Was 't maar zo... Voor diverse problemen was het probleem bij MS al bekend, maar bestond nog geen patch. Wat doe je dan? En wat voor al die virussen en wormen?
Michael mag dan niet echt onbevooroordeeld zijn, hij heeft gelijk als hij zegt dat zelfs bij een dagelijkse security update je computer niet veilig is. Dit geldt zelfs als je zowel je virusscanner als je firewall als je Windows installatie elke dag update.
Dat zal ik niet ontkennen. Neem het verhaal met een korreltje zout en probeer z'n algemene punt een beetje te pakken.

.
Wat een blind vertrouwen en wat een statement...
Dat zal ook nog eens te maken hebben met hoe je Linux heb geconfigged, laat voor Windows nou eens hetzelfde gelden.
Met de juiste progs moet je wel héél erg je best doen om nog wat teweeg te brengen onder Win.
Linux is niet bugfree, net zoals Win en Apple en ze zullen het naar alle waarschijnlijkheid nooit worden.
En dat mensen nu meer kijken naar Win exploits is redelijk logisch, sommige 'die-hards' steunen Linux nml.
Kijk naar de malware-activiteit...sinds wat meer dan een half jaar zijn de spammers er zich mee gaan bemoeien en je ziet een _huge_ increase in malware....
Hoe installeer je malware op een Linux-box?
Show me! Dat roep ik net. Het
lukt je niet. Een gebruiker kan namelijk geen programma's installeren.
Even een alineaatje half-serieus als inleiding: voor Windows bestaat het leven ongeveer als volgt:
• installeer schone Windows
• download alle updates
• virusscanner
• alle updates
• firewall
• alle updates
...en toen was je computer inmiddels alweer gehackt omdat je de updates te laat had binnengehaald.

.
Het punt is dat ik allerlei
troep nodig heb om een OS schoon te houden. Wees nou eerlijk, is het
gebruikersvriendelijk dat ik, als onbenullige eindgebruiker, elke week met regclean en allerlei chrootkit-varianten voor Win32 aan de haal moet om mijn systeem weer de wekelijkste schoonmaak te bezorgen zodat 'ie een maandje langer meegaat dan de gebruikelijke drie? Plus virusscanner, firewall, adaware en weetikveelwat?
Een Linux-systeem kan na installatie zonder problemen drie tot vijf jaar vooruit, zonder toevoegingen! Wordt
nooit trager, wordt
nooit onder de malware gestort want
dat bestaat niet. Is theoretisch onmogelijk. En dat
zonder een enkele download van extra software.
Kleine uitleg: een gebruiker kan een bestand downloaden, maar er bestaat nooit een mogelijkheid tot code-executie vanuit programma's als Evolution omdat daar geen interne shell in aanwezig is zoals in programma's als Apache. Zelfs bij een overflow kun je dus slechts enkelvoudige code executen, en alleen op gebruikerslevel. Je kan dus geen systeembestanden aanpassen. Je kan dus
geen code executen, als je dat alsnog lukt (door een volledige shell in je exploit mee te sturen - succes!) kun je
slechts op gebruikersniveau data aanpassen. Dat betekent dat na een reboot
alles weer normaal werkt.
Gaan we over op de rechtenmanagement.
Waarom moet ik op een standaard Windows 2000 of XP installatie eerst allerlei rechten wijzigen voordat een gebruiker geen software meer mag installeren die het systeem op enigerlei wijze kunnen beschadigen?
Op Linux is dat standaard! En
daarom is Linux veiliger. [i]Out-of-the-box[i/] heb je
state-of-the-art security die zelfs door de NASA en FBI gebruikt wordt.
Grote woorden?
• rechtenmanagement
• theoretische onmogelijkheid van systeem-malware
• daardoor theoretische onmogelijkheid op virussen zoals deze onder Windows bestaan, slechts de mogelijkheid op wormen via service-exploits in Apache e.d.
• de desktop - die geen services draait - is dus veilig!
• de enige mogelijkheid om een desktop aan te vallen is via kernel exploits.
Beat that! Bewijs me nu eens dat Windows eenzelfde
default veiligheid kent waardoor de desktop voor de eindgebruiker een genot is om te gebruiken. (Overigens geldt alles wat ik over Linux zeg ook voor Mac OS X - is immers ook UNIX-based). Het aantal kernel exploits is zo klein dat het nauwelijks merkbaar is. Een per jaar? Nog niet eens. En
altijd wordt de bug gevonden door een kernel hacker, en
niet door een malafide persoon. Inclusief patch.
Ik durf ook nog wel een aantal claims te maken die ik niet kan bewijzen omdat ik geen data van de Windows kant heb. Maar misschien een eye-opener. Dingen als de Stanford-checker halen ontelbare bugs uit de kernel die in elk andere geval een blinde en onvindbare bug zouden zijn geweest. Het feit dat de code open is zorgt algemeen genomen voor zoveel review - met name nu er zo'n hype rond Linux gaande is - dat zelfs de kleinste gaatjes te vinden zijn. De vraag is nu: heeft Microsoft dat ook? Ik betwijfel dat. En wel hierom: rondom Linux zijn honderden mensen actief, allemaal parttime, allemaal met andere, verse ideeen. Iedereen doet iets nieuws, sommige dingen ronduit dom en andere ronduit geniaal. Microsoft's OS core wordt onderhouden door een klein groepje ingewijden. Ik denk niet dat zo'n klein groepje, die zo conservatief qua samenstelling is, in staat is om diezelfde checks uit te voeren. Zelfs niet als het allemaal papieren beveiligings-experts zijn die een cursus Os-wegenwachten-voor-dummies ofzo (

) hebben gevolgd. Veiligheid is namelijk iets wat je pas leert door er dag en nacht met je neus bovenop te zitten.
Hiermee wil ik niet zeggen dat Windows ontwikkelaars dom zijn; integendeel! Ik wil slechts zeggen dat er meer vernieuwende invloeden en een meer gevarieerde kijk op Linux is en dat er daardoor een grotere kans is dat moeilijk vindbare bugs gevonden worden voordat ze misbruikt kunnen worden. Review is onbetaalbaar.
Ik zit middenin dit proces, en ik zie extreem geniale dingen die ik soms nauwelijks bevatten kan. Sommige personen richten hun complete opleiding plus PhD en verdere acedemische traject op Linux & veiligheid. Dat is
geniaal.
En dan heb ik het nog niet eens over extra dingen die in de toekomst (hopelijk) zullen worden toegevoegd, dingen waar een standaard windos gebruiker kwijltekort van zou krijgen:
• page permissions (afaik helaas geemuleerd op x86

), a la openBSD.
• random page alignment en positioning (absoluut geniaal en simpel tegelijk), a la openBSD.
•
SELinux en soortgelijke projecten.
De eerste maakt random code executen bij een buffer overflow extreem moeilijk omdat de overflow binnen de code segment een aanpassing moet maken (en dus bestaande code moet overschrijven; dat levert in 99% van de gevallen een crash op en dus werkt na een reboot alles weer). De tweede maakt het schrijven van zulke buffer overflow random code execution moeilijk genoeg om het praktisch onmogelijk te noemen. SELinux is NSA's manier om Linux veiliger te maken, via dingen a la type enforcement en role-based access control. Beiden limiteren permissies.
Ik claim nogmaals: Linux (en Mac OS X) is veilig.

.
Tsja, dan valt d'r weinig aan te doen.

.
Gelukkig zijn de wilde exploits in 99% van de gevallen service-based ('t zijn over 't algemeen Apache of Sendmail wormen), en dus niet van belang voor de default desktop.
--
(Addendum: de no-execute zit inmiddels al in WinXP SP2, maar alleen in de AMD64/Itanium versie. In Linux zit het ook in de (veel interessantere, want marktbeheersende) IA32 versie.)