---

hej der

Jeg er efterhånden træt af spam, hackere, popups osv. Derfor har jeg
besluttet mig for den store tur med de 3 computere jeg har koblet op i
netværk via switch og win 2000. Dråben var lovgate her for et par dage
siden. E-mail adresse vil også blive skiftet ud.
Jeg kører med norton anti virus og zonealarm, men det var åbenbart ikke nok.
Eller jeg var en dummer nik
jeg forestiller mig at formatere alle 3 computere og så lægge xp ind. hvad
kan jeg købe af "pakke" og hvad er bedst, som både kan dække mit behov for
firewall, e-mail spam, virus m.v. Det kunne være smart at kunne få en
"samlet pakke" som man opdaterer samlet på nettet en gang imellem.
Burde jeg sætte den ene computer som "server" så de 2 andre skal igennem den
for at kunne komme på nettet, det er jo ikke nødvendigt nu ikraft af
switchen.


mvh

brian

---

Hey

Det med at sætte den ene pc som hardware firewall, kan jo gøre
underværker... hvis man ved hvad man har med at gøre...

en anden løsning kan være en Router med firewall inbygget....

en 3 er en software firewall på alle 3 pc'er....
jeg er blevet rimelig varm på den sysgate firewall jeg har anskaffet mig...
jeg syntes den er ret sej... kræver dog også man kender lidt til IP og Mac
og Lan og protokoller...
de 3 computere du har samlet, hvordan kommer de på inet ?

antivirus er så en helt anden snak...

--
Mvh Kasper

Tjek Elektronik Chatten på -> http://www.angelfire.com/alt/elektronik/
"Brian Jensen" <bria@worldonlineremove.dk> skrev i en meddelelse
news:3f071e67$0$1675$ba624c82@nntp05.dk.telia.net...
> hej der
>
> Jeg er efterhånden træt af spam, hackere, popups osv. Derfor har jeg
> besluttet mig for den store tur med de 3 computere jeg har koblet op i
> netværk via switch og win 2000. Dråben var lovgate her for et par dage
> siden. E-mail adresse vil også blive skiftet ud.
> Jeg kører med norton anti virus og zonealarm, men det var åbenbart ikke
nok.
> Eller jeg var en dummer nik
> jeg forestiller mig at formatere alle 3 computere og så lægge xp ind. hvad
> kan jeg købe af "pakke" og hvad er bedst, som både kan dække mit behov for
> firewall, e-mail spam, virus m.v. Det kunne være smart at kunne få en
> "samlet pakke" som man opdaterer samlet på nettet en gang imellem.
> Burde jeg sætte den ene computer som "server" så de 2 andre skal igennem
den
> for at kunne komme på nettet, det er jo ikke nødvendigt nu ikraft af
> switchen.
>
>
> mvh
>
> brian
>
>

---

"Kasper" <repzak@hotmail.com> skrev i en meddelelse
news:3f073a43$0$5153$edfadb0f@dread11.news.tele.dk...

Hejsa Brian

Gør som Kasper skriver, køb en router med firewall (De fleste routers til
private har en indbygget firewall).
Hvis du spærrer for indgående trafik så skal det være dig der dummer dig for
at blive hacket.

vh. Klaus

---

In article <3f071e67$0$1675$ba624c82@nntp05.dk.telia.net>, Brian Jensen wrote:
> Jeg er efterhånden træt af spam, hackere, popups osv. Derfor har jeg

Prøv at starte med at læse OSS'en, http://a.area51.dk/sikkerhed/

Køb af produkter løser kun de problemer producentens marketingsafdeling
påstår du har.

En rigtig konfiguration af systemet, løser flere problemer end blot at
købe et produkt. Se fx http://a.area51.dk/sikkerhed/brugere

[cut]
> jeg forestiller mig at formatere alle 3 computere

Det lyder som en god start.

Jeg ville derefter anbefale at tager en backup af dit færdigt installeret
OS, så du nemt kan reetablere det igen.

---

"Brian Jensen" <bria@worldonlineremove.dk> wrote:

>Det kunne være smart at kunne få en
>"samlet pakke" som man opdaterer samlet på nettet en gang imellem.

Den har du allerede, i hvert fald for virussernes vedkommende.
Den hedder Windows Update. Den sikrer dig stort set mod alle din
maskines virussaarbarheder bortset fra dum brugeropfoersel.


--
Allan Olesen, Lunderskov.
Danske musikere tjener penge ved ulovlig softwarekopiering.

---

Brian Jensen wrote:
> jeg forestiller mig at formatere alle 3 computere og så lægge xp ind.

Orme og virus'er bliver hurtigere og hurtigere, og du kan ikke påregne, at
du har fået opdateringen fra din anti-virus producent før den banker på
døren fremover. Mange private beskytter sig ved fornuftigt adfærd og
fornuftige programmer - f.eks. undlade at åbne filer som de ikke har en
aftale om at modtage på anden vis osv. Problemet her er, at visse
sikkerhedsbrister kan gøre, at fornuftigt adfærd heller ikke hjælper.

Ingen metode er perfekt, men grundlæggende er der fire gode ting, som man
bør overveje:

1) Brug indstillinger, som er mest mulig sikre. F.eks. kan Intenret
Exploreren sættes til security=high, hvilket man altid bør gøre. Det
reducerer den godt nok til lidt over ubrugelig, men så kan man hente
http://www.mozilla.org/, som er væsentlig mere sikker, og bruge den til
alm. browsning. Du kan så specificere et specielt sikkerhedsniveau i MSIE
til din netbank osv., hvis denne ikke virker med Mozilla.
2) Luk smittevejene. Herunder hører sikkerhedspatches, NAT, firewalls osv.
Her har Windows sit største problem, idet selve filendelsen afgør, om det
er et program eller ej, og der findes ingen patch, der fjerner muligheden
for at aktivere .exe filer . Zonealarm kan hjælpe lidt her, men det
absolut bedste ville selvflg. være at skifte operativsystem til et, hvor
filnavnet ikke kan gøre en fil til et program, og hvor alle programmer er
skrivebeskyttet så de ikke kan inficeres - f.eks. Linux.
3) Scanning. Det er den traditionelle metode, men ødelægger maskinens
performance og bliver mere og mere ligegyldig, da virus'erne spreder sig
for hurtigt.
4) Varier din software. Denne metode er ikke særlig anvendt, men det spås,
at den vil blive meget mere anvendt i fremtiden. Princippet er simpelthen,
at hvis man f.eks. har en Macintosh og en Windows, så er sandsynligheden
for, at begge bliver angrebet samtidigt, meget mindre, og dermed øger man
sin oppetid. Det er jo lidt smart - men hvis antal virus fortsætter med at
stige, bliver metoden nok ikke alt for anvendelig. For dit vedkommende kan
det dog have en anden fordel at have Windows XP på alle tre maskiner:
Nemmere administration, og dermed reduceret fare for menneskelige fejl.

Hvis jeg var dig, ville jeg aktivere firewall'en på alle maskinerne, og
kigge nærmere på punkt 1) og 2). Afinstaller Outlook og Outlook Express og
kør et e-mail program som ikke bruger IE til html-visning (f.eks. Mozilla),
sæt IE's sikkerhedsniveau til høj, brug Mozilla til surfning (og opdater
den hvis der skulle komme en sikkerhedsopdatering), sørg for at al e-mail
passerer gennem zonealarm og fjerner alle udførbare filer fra e-mails.

Sørg desuden for at uddanne brugerne af dine computere til de
sikkerhedsbrister, der så er tilbage. F.eks. at filer fra venner og
bekendte, man ikke har en aftale om at modtage, ikke må åbnes. Straffen er
halshugning

Hvis du har brugere, der ikke kan eller vil uddannes i dette, så overvej at
kaste en Linux ind på en af maskinere, og sørg for at denne Linux bliver
opdateret automatisk. Så har du et sikkerhedsniveau, hvor du kan sige til
brugerne, at de kan åbne alle de filer, de har lyst til, kigge på alle de
e-mails, de har lyst til, og åbne alle de websites, de har lyst til.

Hilsen,

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

Lars B. Dybdahl wrote:

<snip>

Hej.

Det var nogle gode råd du gav Brian, men jeg undrer mig lidt over at du
skrev dem, siden alt det du skrev faktisk står i gruppens OSS på
http://a.area51.dk/sikkerhed/

Hvorfor henviste du ikke bare til den?

--
Party time, excellent, wiuuuu, wiuuuu, wiuuuuuuu!!!

---

Christian Andersen <zv856hm02@sneakemail.com> wrote:

>Det var nogle gode råd du gav Brian, men jeg undrer mig lidt over at du
>skrev dem, siden alt det du skrev faktisk står i gruppens OSS på
>http://a.area51.dk/sikkerhed/

Jeg tvivler paa, at du paa den side finder saa kategoriske
anprisninger af sikkerheden i Linux.


--
Allan Olesen, Lunderskov.
Danske musikere tjener penge ved ulovlig softwarekopiering.

---

Allan Olesen wrote:

>>http://a.area51.dk/sikkerhed/

> Jeg tvivler paa, at du paa den side finder saa kategoriske
> anprisninger af sikkerheden i Linux.

Ok. Jeg må indrømme jeg holdt op med at læse Lars' indlæg efter punkt 3
men det ser godt nok ud til at Brian vil have mere ud af at læse OSSen end
Lars' indlæg.

--
Party time, excellent, wiuuuu, wiuuuu, wiuuuuuuu!!!

---

"Lars B. Dybdahl" wrote:

[snip af en masse som jeg egentlig er enig i]

> Hvis du har brugere, der ikke kan eller vil uddannes i dette, så overvej at
> kaste en Linux ind på en af maskinere, og sørg for at denne Linux bliver
> opdateret automatisk. Så har du et sikkerhedsniveau, hvor du kan sige til
> brugerne, at de kan åbne alle de filer, de har lyst til, kigge på alle de
> e-mails, de har lyst til, og åbne alle de websites, de har lyst til.

Hvorfor er det sikkert at have en linux der opdateres automatisk??
Hvem sikrer at de patches der automatisk skovles hjem ikke har
uopdagede sikkerhedshuller og derfor rent faktisk saboterer et
ellers sikkert system?

--
Hygge..
Thomas

<http://www.carftp.com> - a library of car videos.

---

Thomas Strandtoft wrote:
> Hvorfor er det sikkert at have en linux der opdateres automatisk??

Linux fordi det er "safe by design", dvs. det er designet til at begå sig i
et netværks- og flerbrugermiljø lige fra starten, modsat DOS/Windows
verdenen. Et eksempel: Når du modtager en fil per e-mail, kan den på ingen
måde af afsenderen markeres som værende udførbar (executable), hvilket nok
er den største forskel til Windows. Jeg er godt klar over, at man så på
Windows prøver at lappe på de sikkerhedshuller ved f.eks. ikke at tillade,
at man dobbeltklikker på en fil, hvis filnavn ender på ".exe", hvis den
hentes fra bestemte steder, men det grundlæggende problem, at ".exe"
filendelsen gør en filudførbar, er ikke løst. Der er masser af andre
problemer som denne (path inkluderer current directory, adgang til COM
systemet fra scripting i websider osv.).

Der er selvfølgelig også fejl i Linux, men sålænge man får lukket alle
kendte fejl, så reducerer man risikoen ganske meget. Jeg kender endnu ikke
til en eneste, der har haft virus eller orm på en Linux maskine.

> Hvem sikrer at de patches der automatisk skovles hjem ikke har
> uopdagede sikkerhedshuller og derfor rent faktisk saboterer et
> ellers sikkert system?

En patch er en lille bitte fil, som angiver ændringen i sourcekoden for et
program, der retter en fejl eller tilføjer en funktionalitet. Når f.eks.
Red Hat finder en fejl i et af deres programmer, så finder de kildekoden
frem til det pågældende program, i præcis den version, som programmet er
leveret til kunderne i, og retter fejlen vha. patch'en. Derefter sender de
så den rettede version ud til de brugere, der abonnerer på Red Hat Network,
og som har valgt automatisk sikkerhedsopdatering.

Disse opdateringer er med andre ord ikke version-opdateringer, men
udelukkende fejlrettelser. Herved adskiller de sig kraftigt fra mange af de
rettelser, som Microsoft udsender - MIcrosoft udsender ofte deciderede
versionopdateringer til afhjælpning af fejl, og disse versionsopdateringer
indeholder ofte adskillige rettelser, ikke alle lige nødvendige, og ofte
også forbedringer eller ændringer af opførsel, som i visse tilfælde kan
medføre fejl eller uhensigtsmæssigheder.

Men uanset hvad, så er et komplet sikkert system noget, som ikke er
tilsluttet et netværk. Så snart man vil på et netværk, så bliver det
usikkert. Linux har bare den fordel, at selv om hovedparten af verdens
servere kører f.eks. Apache, og ufatteligt mange Linux servere ikke har en
firewall mellem sig og det rå internet, så kører de ekstremt pålideligt når
de holdes opdateret, uden orme, virus'er osv. Meget modsat Windows.

Virkelighedens resultater peger med andre ord på, at det er en meget stor
sikkerhedsfordel at bruge Linux. Og så slipper man for den
performancenedgang der ligger i alle scannere og mærkelige firewall
systemer, man installerer på Windows. Linux's sikkerhedsniveau opnås uden
at installere virusscannere og komplicerede firewall systemer, og uden at
spørge brugeren om program xyz må tilgå port 1234. Det er meget mere
brugervenligt i praksis. Som jeg plejer at sige til mine kunder, der bruger
Linux på desktop computere: Klik hvor du har lyst og læs de e-mails du har
lyst til. Du kan ikke ødelægge noget.

Hilsen,

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" wrote:

> Linux fordi det er "safe by design", dvs. det er designet til at begå sig i
> et netværks- og flerbrugermiljø lige fra starten, modsat DOS/Windows
> verdenen.

Den køber jeg ikke så generelt. Kvaliteten af software afhænger
ikke af hvad der står på kassen, den afhænger af hvor godt
programmørerne har tænkt sig om under udviklingen. Jeg gider ikke
gå ind i om windows eller linux er mest gennemtænkt, begge
systemer har garanteret stærke og svage sider. Min respons retter
sig mod holdningen at bare man bruger en opdateret linux så er man
sikker..

> Et eksempel: Når du modtager en fil per e-mail, kan den på ingen
> måde af afsenderen markeres som værende udførbar (executable), hvilket nok
> er den største forskel til Windows. Jeg er godt klar over, at man så på
> Windows prøver at lappe på de sikkerhedshuller ved f.eks. ikke at tillade,
> at man dobbeltklikker på en fil, hvis filnavn ender på ".exe", hvis den
> hentes fra bestemte steder, men det grundlæggende problem, at ".exe"
> filendelsen gør en filudførbar, er ikke løst. Der er masser af andre
> problemer som denne (path inkluderer current directory, adgang til COM
> systemet fra scripting i websider osv.).

Det fikses nemt under windows ved at vælge en mailklient der ikke
eksekverer vedhæftninger uanset hvad de så end hedder..

> En patch er en lille bitte fil, som angiver ændringen i sourcekoden for et
> program, der retter en fejl eller tilføjer en funktionalitet. Når f.eks.
> Red Hat finder en fejl i et af deres programmer, så finder de kildekoden
> frem til det pågældende program, i præcis den version, som programmet er
> leveret til kunderne i, og retter fejlen vha. patch'en. Derefter sender de
> så den rettede version ud til de brugere, der abonnerer på Red Hat Network,
> og som har valgt automatisk sikkerhedsopdatering.

MS gør da præcis det samme, hvordan pokker skulle de ellers rette
en fejl?? Sourcekoden frem, ret fejlen, lad kunderne hente den
rettede version.

> Disse opdateringer er med andre ord ikke version-opdateringer, men
> udelukkende fejlrettelser. Herved adskiller de sig kraftigt fra mange af de
> rettelser, som Microsoft udsender - MIcrosoft udsender ofte deciderede
> versionopdateringer til afhjælpning af fejl, og disse versionsopdateringer
> indeholder ofte adskillige rettelser, ikke alle lige nødvendige, og ofte
> også forbedringer eller ændringer af opførsel, som i visse tilfælde kan
> medføre fejl eller uhensigtsmæssigheder.

Det vil sige du mener at MS's fejlrettelser er mindre sikre end
Linux's fordi MS samler rettelserne sammen og retter flere ting i
samme opdatering?

> Men uanset hvad, så er et komplet sikkert system noget, som ikke er
> tilsluttet et netværk. Så snart man vil på et netværk, så bliver det
> usikkert. Linux har bare den fordel, at selv om hovedparten af verdens
> servere kører f.eks. Apache, og ufatteligt mange Linux servere ikke har en
> firewall mellem sig og det rå internet, så kører de ekstremt pålideligt når
> de holdes opdateret, uden orme, virus'er osv. Meget modsat Windows.

Min windows 2000 server har heller ikke firewall mellem sig og
internettet, jeg er ikke specielt flittig med opdateringer og
alligevel har den kørt ekstremt pålideligt, uden orme, vira osv.
siden noget der ligner slutningen af 2001.

> brugervenligt i praksis. Som jeg plejer at sige til mine kunder, der bruger
> Linux på desktop computere: Klik hvor du har lyst og læs de e-mails du har
> lyst til. Du kan ikke ødelægge noget.

Jeg indrømmer blankt at jeg ikke er specielt hård til Linux (eller
for den sags skyld windows), men umiddelbart synes jeg det lyder
som et rigtigt dårligt råd.

At hente ting fra nettet er en tillidssag, uanset om det drejer
sig om emails eller opdateringer og uanset hvilket OS der bruges.
Det er umuligt at gardere sig mod fejl når man programmerer og man
løber derfor altid en risiko når man vælger at eksekvere et
program.

Vi er forhåbentlig enige om at hvis jeg får lov til at sende dig
en vilkårlig programstump som du efterfølgende blindt
implementerer på dit system, så har jeg mulighed for at misbruge
dit system uanset hvilket OS du benytter, right?

Når du sætter dit linux system til at autoopdatere med alt hvad
der kommer af nye programstumper fra det sted du nu har valgt som
kilde for opdateringer, så overlader du blindt din sikkerhed til
samvittigheden/evnerne hos de folk der skriver opdateringerne. Nu
behøver de ikke være nogle skurke, men mennesker må de være og
mennesker laver indimellem fejl. Din sikkerhed er altså ikke bedre
end de programmører der sidder i den anden ende..

Hvis jeg autoopdaterer mit windows system har jeg præcis samme
dilemma, softwaren bliver ikke bedre end programmørerne laver den.

Når du siger som du gør til dine kunder, siger du efter min mening
indirekte "Stol blindt på de folk der udvikler Linux, de laver
ikke fejl!". Du indgyder dem en tryghed der er falsk (IMO) fremfor
at lære dem en sikker adfærd.

Min personlige vurdering er at jeg hellere vil have noget lidt
ældre software der indeholder nogle fejl jeg kender (og kan tage
højde for), fremfor noget splinterny software der indeholder fejl
jeg ikke kender.


--
Hygge..
Thomas

<http://www.carftp.com> - a library of car videos.

---

Thomas Strandtoft wrote:
> Den køber jeg ikke så generelt.

Det er du velkommen til ikke at gøre

> Kvaliteten af software afhænger

Jeg snakker ikke om software kvalitet.

> sig mod holdningen at bare man bruger en opdateret linux så er man
> sikker..

Som jeg skrev er man aldrig 100% sikker, men fakta viser helt klart, at
Linux maskiner, som ikke har sikringssoftware installeret, kan udsættes for
dumme brugere uden viden om virus uden at blive inficeret eller hacket,
hvorimod Windows maskiner med zonealarm, virusscanning, brugere der ved
noget om virus osv. stadigvæk er meget udsatte.

> Det fikses nemt under windows ved at vælge en mailklient der ikke
> eksekverer vedhæftninger uanset hvad de så end hedder..

Jep - det evindelige problem hvor man skal vælge mellem funktionalitet og
sikkerhed.

> MS gør da præcis det samme, hvordan pokker skulle de ellers rette
> en fejl??

Det hænder at Microsoft udsender en opdatering i stedet for en fejlrettelse.
Det er typisk en senere udgave af source koden i stedet for udelukkende en
lille patch på den gamle source-kode.

> Det vil sige du mener at MS's fejlrettelser er mindre sikre end
> Linux's fordi MS samler rettelserne sammen og retter flere ting i
> samme opdatering?

Nej. Fordi de brugere senere udgaver af source-koden i stedet for den gamle
udgave. Der har også været flere eksempler på, at det er gået grueligt galt
for Microsoft.

> Min windows 2000 server har heller ikke firewall mellem sig og
> internettet, jeg er ikke specielt flittig med opdateringer og
> alligevel har den kørt ekstremt pålideligt, uden orme, vira osv.
> siden noget der ligner slutningen af 2001.

Tillykke

> Vi er forhåbentlig enige om at hvis jeg får lov til at sende dig
> en vilkårlig programstump som du efterfølgende blindt
> implementerer på dit system, så har jeg mulighed for at misbruge
> dit system uanset hvilket OS du benytter, right?

Ja.

> Når du sætter dit linux system til at autoopdatere med alt hvad
> der kommer af nye programstumper fra det sted du nu har valgt som
> kilde for opdateringer, så overlader du blindt din sikkerhed til
> samvittigheden/evnerne hos de folk der skriver opdateringerne.

Ja. Men eftersom jeg kører Red Hat Linux stoler jeg i forvejen på Red Hat.
Det samme gælder Microsoft og WIndows update.

> Når du siger som du gør til dine kunder, siger du efter min mening
> indirekte "Stol blindt på de folk der udvikler Linux, de laver
> ikke fejl!".

Nej. Jeg siger at de skal stole på Red Hat. At så både Red Hat og Microsoft
bruger medarbejdere og eksterne konsulenter til at lave programmerne, er en
anden problemstilling efter min mening. Red Hat har ret godt fat i, hvad
der sker i programmerne.

> Du indgyder dem en tryghed der er falsk (IMO) fremfor
> at lære dem en sikker adfærd.

Hvad skulle jeg lære dem? At de ikke skal stole på software der leveres af
operativsystemsleverandører? Hvordan ville du bruge Windows hvis du ikke
stolede på, hvad MIcrosoft lavede? Det giver jo ikke meget mening. En ting
er sikkert: Hvis CIA ikke har folk hos Microsoft, er de for dumme. Selv
Saddam Hussein bruger jo Windows...

> Min personlige vurdering er at jeg hellere vil have noget lidt
> ældre software der indeholder nogle fejl jeg kender (og kan tage
> højde for), fremfor noget splinterny software der indeholder fejl
> jeg ikke kender.

Her har du ved Linux den dejlige feature, at du kan vælge om du vil køre med
de nyeste features eller fejlrettede gamle features. F.eks. er det jo år
siden, at Linux 2.2 blev erstattet med Linux 2.4, men den vedligeholdes
stadigvæk, og du kan faktisk downloade en splinterny Linux 2.2 hvis du vil
det. Det er der faktisk en del der vil, hvis de f.eks. vil lave en bil, der
kører Linux. Her er det vigtigere, at den virker end at den er ny. Hvor kan
jeg downloade en Windows 98 med de nyeste rettelser?

Hilsen,

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" <Lars@dybdahl.dk> wrote:

>Som jeg skrev er man aldrig 100% sikker, men fakta viser helt klart, at
>Linux maskiner, som ikke har sikringssoftware installeret, kan udsættes for
>dumme brugere uden viden om virus uden at blive inficeret eller hacket,

Du er meget ny i Linux?

Linux-distributionerne er efterhaanden ved at faa en rimelig
default-sikkerhed, men den har altsaa foerhen vaeret helt paa
spanden, mange gange vaerre end Windows. Ganske faa maaneder
efter, at RedHat 6.2 (eller var det 6.1?) blev frigivet, var den
gennemsnitlige overlevelsestid for en fuld defaultinstallation
sat paa Internettet allerede nede paa nogle doegn. Derefter var
maskinen rooted.


--
Allan Olesen, Lunderskov.
Danske musikere tjener penge ved ulovlig softwarekopiering.

---

On Sun, 06 Jul 2003 22:47:56 +0200, Allan Olesen
<aolesen@post3.tele.dk> wrote:

>Ganske faa maaneder
>efter, at RedHat 6.2 (eller var det 6.1?) blev frigivet, var den
>gennemsnitlige overlevelsestid for en fuld defaultinstallation
>sat paa Internettet allerede nede paa nogle doegn. Derefter var
>maskinen rooted.

Det værste er næsten, at en del af brugerne måske rent faktisk er dem,
der er faldet for en tankeløs "Kør linux!"-kommentar slynget ud - dvs.
folk, der i første omgang har kæmpet med at administrere fx et
Windows-setup, bliver stillet i udsigt, at "de bare skal køre linux"
(underforstået, at så skal de ikke tænke så meget på sikkerhed). Og
med en efterfølgende oplevelse at være blevet rooted, så er tilliden
allerede tabt.

Udelukkende fordi nogle folk får erektion af at råbe "Kør
(favorit-OS)".

--
- Peter Brodersen

---

Allan Olesen wrote:
> Du er meget ny i Linux?

Ja - jeg kom først med i 1996.

> gennemsnitlige overlevelsestid for en fuld defaultinstallation
> sat paa Internettet allerede nede paa nogle doegn. Derefter var
> maskinen rooted.

Jeg snakker om situationen nu - ikke om dengang. Princippet i "Safe by
design" er, at sikkerhedsbrister er implementationsfejl, hvorimod Windows
har deciderede designfejl, man kan lappe, men ikke rette. Udtalelsen om
"Safe by design" er i øvrigt ikke helt præcis - f.eks. er Lindows noget
værre l... rent sikkerhedsmæssigt, hvorimod Red Hat Linux 9 er ret
hæderligt. Der er forskel på distributioner.

Der vil altid være risiko for fejl i alt, også i design, men hvis man vil
have et indtryk af, hvor meget kode i en Windows maskine der egentlig er
adgang til fra en almindelig HTML-side (by design!), så prøv at se denne
side fra en Microsoft Internet Explorer:

http://www.svensksucces.dk/olholder/

Hvis CD-skuffen åbner sig, kan man jo overveje, om man mener at en tilfældig
webside bør kunne gøre sådan på ens PC...

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" <Lars@dybdahl.dk> writes:

> Jeg snakker om situationen nu - ikke om dengang. Princippet i "Safe by
> design" er, at sikkerhedsbrister er implementationsfejl, hvorimod Windows
> har deciderede designfejl, man kan lappe, men ikke rette.

Unix/Linux har skam også designfejl. Fx. at relativt banale operationer
kræver root-privilegier, men da man alligevel vil lade brugere have adgang
til disse ting, har man store mængder suid-binaries liggende rundt omkring
i systemet. Er der huller i bare en enkelt af disse, kan alle lokale brugere
opnå root-priviliegier og systemet er tabt.

En mere finkornet måde at styre dette på, kunne have gjort det væsentligt
mere sikkert.

--
Med venlig hilsen
Christian Laursen

---

Christian Laursen wrote:
> Unix/Linux har skam også designfejl. Fx. at relativt banale operationer
> kræver root-privilegier, men da man alligevel vil lade brugere have adgang
> til disse ting, har man store mængder suid-binaries liggende rundt omkring
> i systemet.

Enig - men prøv lige at sammenligne dette med det faktum, at mange WIndows
programmer kræver, at brugeren er administrator på maskinen. Det gælder
selvflg. ikke mainstream programmer, men det gælder så mange administrative
systemer, at de fleste firma-PC'ere, jeg har set, har måtte udnævne den
lokale bruger til administrator. Og der er jo ikke grund til at bruge
Windows, hvis det ikke er for at køre de programmer, der nu findes til
Windows.

Hvad er værst, at alle programmer, uanset herkomst udføres som
administrator, eller at der findes nogle suid programmer, hvor en potentiel
fejl kan udnyttes under visse omstændigheder?

Det er vigtigt at proportionerne her sammenlignes.

> En mere finkornet måde at styre dette på, kunne have gjort det væsentligt
> mere sikkert.

Ja - man kan altid gøre det bedre. Der er jo en grund til, at CIA bruger
software fra VMware til at sikre deres systemer.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

Lars B. Dybdahl skrev:

> Enig - men prøv lige at sammenligne dette med det faktum, at mange
> WIndows programmer kræver, at brugeren er administrator på maskinen.

Bortset fra spil og nogle antivirusprogrammer (under opdatering), kan
jeg ikke komme i tanke om nogle programmer der kræver det.

Hvilke programmer tænker du på

> Og der er jo ikke grund til at bruge Windows, hvis det ikke er for at
> køre de programmer, der nu findes til Windows.

Øhh, nej, det er der vel ikke.

> Hvad er værst, at alle programmer, uanset herkomst udføres som
> administrator, eller at der findes nogle suid programmer, hvor en
> potentiel fejl kan udnyttes under visse omstændigheder?

Der er intet til hinder for, at man kan opsætte et program til at blive
afviklet med andre brugerrettigheder, end dem brugeren er logget på
med (det blev vist først rigtigt brugbart fra W2K og fremefter).

> Det er vigtigt at proportionerne her sammenlignes.

Ja?

> Ja - man kan altid gøre det bedre. Der er jo en grund til, at CIA
> bruger software fra VMware til at sikre deres systemer.

Hvordan bliver noget mere sikkert, af at blive afviklet i en VMware-
session?

VMware er jo blot en virtualisering af hardwaren.

Jeg bruger selv VMware GSX (news-server, mailserver, webserver og er
ved at lege med www.astaro.com) og er meget tilfreds med det, men jeg
kan altså ikke få øje på hvad den ekstra sikkerhed skulle bestå i (med
mindre man er ude i at snakke om noget med GUIDs eller identifikations-
strenge i MS-Word-dokumenter).

---

"Peder Vendelbo Mikkelsen" <pedervm@myrealbox.com> wrote:

>Hvordan bliver noget mere sikkert, af at blive afviklet i en VMware-
>session?

Hvis jeg har forstaaet filosofien rigtigt, koerer man hver
service i sin egen virtuelle maskine. Hvis en service viser sig
at vaere saarbar, kan man dermed inddaemme et angreb, saa
angriberen kun faar kontrol over denne ene virtuelle maskine.
(Naturligvis afhaengigt af, hvor meget adgang man giver den
virtuelle maskine til andre delte ressourcer og resten af
nettet).

Jeg har overhovedet ingen viden om, hvor godt konceptet fungerer
i praksis.

Jeg mener, at RedHat for 1-2 aar siden lavede en speciel version,
hvor man kunne koere flere virtuelle Linux-maskiner uden VmWare.


--
Allan Olesen, Lunderskov.
Danske musikere tjener penge ved ulovlig softwarekopiering.

---

Peder Vendelbo Mikkelsen wrote:
> Hvilke programmer tænker du på

Da jeg ville udstille svagheder i mine kunders edb-systemer ved at oplyse
dette, vil jeg ikke gøre det. Men jeg kan vist uden større risiko fortælle,
at f.eks. EDB-gruppen har lavet administrative systemer, der kræver at alle
maskiner i et firma netværk logger på som en bruger, der har lokale
administratorrettigheder. EDB-gruppen er ikke alene - der er masser af
firmaer, der har lavet administrative systemer med disse krav.

> Hvordan bliver noget mere sikkert, af at blive afviklet i en VMware-
> session?

CIA gør det på nogle af deres maskiner, at de kører to VMware sessioner,
hvor den ene har adgang til hemmeligt materiale på et internt netværk, og
den anden har internet adgang. Den lokale maskine der kører selve VMware,
har ikke netværksadgang. Ideen var at undgå 2 skærme og 2 computere på
hvert skrivebord. Du må så selv lave dine egne konklusioner mht.
sikkerhedsniveau

Det er i øvrigt en historie, der går et antal år tilbage - måske har de
fundet på noget mere smart nu.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

Lars B. Dybdahl <Lars@dybdahl.dk> wrote:
> Der vil altid være risiko for fejl i alt, også i design, men hvis man vil
> have et indtryk af, hvor meget kode i en Windows maskine der egentlig er
> adgang til fra en almindelig HTML-side (by design!), så prøv at se denne
> side fra en Microsoft Internet Explorer:
>
> http://www.svensksucces.dk/olholder/

JavaScript er ikke HTML.

--
I prefer the dark of the night, after midnight and before four-thirty,
when it's more bare, more hollow. http://a.mongers.org

---

"Lars B. Dybdahl" <Lars@dybdahl.dk> writes:

>Jeg snakker om situationen nu - ikke om dengang. Princippet i "Safe by
>design" er, at sikkerhedsbrister er implementationsfejl, hvorimod Windows
>har deciderede designfejl, man kan lappe, men ikke rette.

Man skal lige snakke om to slags æbler i stedet for æbler og
bananer.

Hvis man skal lave en realistisk sammenligning mellem NT og
Linux, bør man tage udgangspunkt i en default Linux-install
fra 1996 og så opdatere den. Hvor nemt er det i forhold til
at patche en NT4?

Samme kan så gøres med en default Linux-install fra 1999 og
Windows 2000, osv.

>Udtalelsen om "Safe by design" er i øvrigt ikke helt præcis -
>f.eks. er Lindows noget værre l... rent sikkerhedsmæssigt,
>hvorimod Red Hat Linux 9 er ret hæderligt. Der er forskel på
>distributioner.

Og på administratorer. Tag en toptunet Windows-ekspert med 10
års daglig erfaring i administration og "Windows internals" -
og en bruger, der har haft root-passwordet på en Linux-kasse
i 14 dage. Hvem kan på rimelig tid (de koster jo 1000 kr/time)
sætte den sikreste boks op?

Normalt er det omvendt: hvor de fleste Linux-folk faktisk er
ganske hæderlige administratorer, er de fleste Windows-folk
novicer, der er gode til at klikke med musen. Hvis man vender
billedet om, får man sikkert det modsatte resultat.

>http://www.svensksucces.dk/olholder/

Ikke en pind sker der. Totalt default-install af en XP med et
par enkelte klik i "Advanced"-boksen i IE.

>Hvis CD-skuffen åbner sig, kan man jo overveje, om man mener at en tilfældig
>webside bør kunne gøre sådan på ens PC...

Det har intet med sikkerhed på systemet at gøre. Det er en
applikation, brugeren kører. Og hvis brugeren i øvrigt har
adgang til at skyde cd-drevet ud, hvad er så problemet i, at
applikationen også kan?

Vil du også regne det for en sikkerhedsbrist, at et brænder-
program kan skyde cd'en ud, når det er færdigt med at brænde?

Mvh.
   Klaus.

---

Klaus Ellegaard wrote:
>>Hvis CD-skuffen åbner sig, kan man jo overveje, om man mener at en
>>tilfældig
>>webside bør kunne gøre sådan på ens PC...
> Det har intet med sikkerhed på systemet at gøre.

Jeg vil påstå, at det har ret meget med sikkerhed at gøre, når man
diskuterer, hvor meget software der skal kunne nås via internettet. De
fleste sikkerhedsvejledninger diskuterer da også emnet at lukke de services
man ikke bruger.

> Det er en
> applikation, brugeren kører.

En af de helt store fordele i en standard Red Hat Linux i stedet for en
standard Windows XP, er at der er meget mere styr over netop hvilke
applikationer, som brugeren kører. Man kan f.eks. meget, meget nemt
forhindre brugeren i at installere yderligere programmer ved at undlade at
udlevere root adgangskoden samt lukke for at brugeren kan sætte executable
flaget på en fil.

> Og hvis brugeren i øvrigt har
> adgang til at skyde cd-drevet ud, hvad er så problemet i, at
> applikationen også kan?

Jo mere software, der er adgang til udefra, jo større sandsynlighed er der
for at der er fejl. Desuden er det jo ikke sikkert, at media playeren er
skrevet med ondsindede angreb i tankerne...

> Vil du også regne det for en sikkerhedsbrist, at et brænder-
> program kan skyde cd'en ud, når det er færdigt med at brænde?

Ja, hvis det sker fordi jeg besøger en webside og ikke selv har udtrykt
ønske om at den skal skubbe skuffen ud.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" <Lars@dybdahl.dk> writes:

>En af de helt store fordele i en standard Red Hat Linux i stedet for en
>standard Windows XP, er at der er meget mere styr over netop hvilke
>applikationer, som brugeren kører. Man kan f.eks. meget, meget nemt
>forhindre brugeren i at installere yderligere programmer ved at undlade at
>udlevere root adgangskoden samt lukke for at brugeren kan sætte executable
>flaget på en fil.

Ikke medmindre du har 300% styr på samtlige installerede programmer.
Det er bare at finde en passende symlink-weakness i et ellers ret
uskyldigt program - så har brugeren sin execute-bit.

>> Vil du også regne det for en sikkerhedsbrist, at et brænder-
>> program kan skyde cd'en ud, når det er færdigt med at brænde?

>Ja, hvis det sker fordi jeg besøger en webside og ikke selv har udtrykt
>ønske om at den skal skubbe skuffen ud.

Det har du indirekte ved at bede din browser om at køre dem. Den
samme funktionalitet kan opnås på en Linux-boks - lad blot din
Netscape-browser forstå (via MIME), at filer af typen .knud skal
køres af programmet "eject".

Bevares, sådan er det ikke default, men vi er også lige blevet
enige om, at default-opsætninger er noget skidt.

Mvh.
   Klaus.

---

Klaus Ellegaard wrote:
> Ikke medmindre du har 300% styr på samtlige installerede programmer.
> Det er bare at finde en passende symlink-weakness i et ellers ret
> uskyldigt program - så har brugeren sin execute-bit.

Eftersom at jeg hovedsageligt snakker om brugere der ikke ved, hvad
"directory" betyder, så synes jeg at eksemplet er lidt langt ude.

>>Ja, hvis det sker fordi jeg besøger en webside og ikke selv har udtrykt
>>ønske om at den skal skubbe skuffen ud.
> Det har du indirekte ved at bede din browser om at køre dem.

Jeg mener at det er en sikkerhedsbrist, når brugeren ikke har noget som
helst styr på, hvilke programmer der startes. Hvad nu hvis det var "del
c:\windows\*" blev startet? Man er jo trods alt ofte administrator over sin
egen maskine når man kører Windows.... Du mener med andre ord at det er
o.k., at en tilfældig hjemmeside sletter alle filerne i c:\windows?

> samme funktionalitet kan opnås på en Linux-boks - lad blot din
> Netscape-browser forstå (via MIME), at filer af typen .knud skal
> køres af programmet "eject".

Det er derfor jeg siger, at der er forskel mellem distributioner. Lindows er
noget l..., Red Hat LInux 9 er rimelig. Hvis du indstiller din Linux til at
have sikkerhedsbrister, mener jeg seriøst at du selv er ude om det.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" <Lars@dybdahl.dk> writes:

>> Ikke medmindre du har 300% styr på samtlige installerede programmer.
>> Det er bare at finde en passende symlink-weakness i et ellers ret
>> uskyldigt program - så har brugeren sin execute-bit.

>Eftersom at jeg hovedsageligt snakker om brugere der ikke ved, hvad
>"directory" betyder, så synes jeg at eksemplet er lidt langt ude.

Vi sikrer vores tophemmelige viden ved, at folk ikke lige ved,
hvad et directory er?

>>>Ja, hvis det sker fordi jeg besøger en webside og ikke selv har udtrykt
>>>ønske om at den skal skubbe skuffen ud.
>> Det har du indirekte ved at bede din browser om at køre dem.

>Jeg mener at det er en sikkerhedsbrist, når brugeren ikke har noget som
>helst styr på, hvilke programmer der startes. Hvad nu hvis det var "del
>c:\windows\*" blev startet? Man er jo trods alt ofte administrator over sin
>egen maskine når man kører Windows....

Til og med Windows ME. På nyere Windows'er vil der ikke ske noget.

>Du mener med andre ord at det er o.k., at en tilfældig hjemmeside
>sletter alle filerne i c:\windows?

Næ, men det er umuligt, så det er lidt teoretisk.

>> samme funktionalitet kan opnås på en Linux-boks - lad blot din
>> Netscape-browser forstå (via MIME), at filer af typen .knud skal
>> køres af programmet "eject".

>Det er derfor jeg siger, at der er forskel mellem distributioner. Lindows er
>noget l..., Red Hat LInux 9 er rimelig. Hvis du indstiller din Linux til at
>have sikkerhedsbrister, mener jeg seriøst at du selv er ude om det.

Det var ikke pointen. Pointen er, at en standard-installation af
Windows (formentlig) kan åbne skuffen udefra. Det kan en opsat
installation ikke.

Dermed er der ikke noget sikkerhedsproblem i en konfigureret
Windows i dette tilfælde.

Mvh.
   Klaus.

---

Klaus Ellegaard wrote:
> Det var ikke pointen. Pointen er, at en standard-installation af
> Windows (formentlig) kan åbne skuffen udefra. Det kan en opsat
> installation ikke.

Udover de Windows installationer, jeg selv er involveret i, har jeg ikke
mødt nogen, hvor den ikke åbner...

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" <Lars@dybdahl.dk> wrote in message
news:3f098b96$0$5150$edfadb0f@dread11.news.tele.dk

> Udover de Windows installationer, jeg selv er involveret i, har jeg ikke
> mødt nogen, hvor den ikke åbner...

fordi media player desværre er default installeret

---

On Mon, 07 Jul 2003 14:54:11 +0200, "Lars B. Dybdahl"
<Lars@dybdahl.dk> wrote:

>Der vil altid være risiko for fejl i alt, også i design, men hvis man vil
>have et indtryk af, hvor meget kode i en Windows maskine der egentlig er
>adgang til fra en almindelig HTML-side (by design!), så prøv at se denne
>side fra en Microsoft Internet Explorer:
>
>http://www.svensksucces.dk/olholder/

"Permission denied", melder min IE om hvorfor, den ikke vil udføre det
javascript. Opdateret IE, men ingen justeringer i IE's
sikkerhedsmodel.

Jeg er ikke med på hvad, din pointe er. Til gengæld kan jeg nikke
genkendende til Christians oplevelser. Jeg må indrømme, at jeg heller
ikke er vildt begejstret for den normale accept af at fordi fx Apache
har brug for en port <1024, så skal den også have adgang til fx at
læse alle brugeres mails, rette i konfigurationen, og så fremdeles.
Installerer jeg en sshd, skal den ligeledes have adgang til at rette i
Apache-konfigurationen og resten af /etc/. Jeg er ked af accepten af
"Min smtp-server blev kompromitteret, derfor har brugeren kunnet rive
min sshd rundt".

--
- Peter Brodersen

---

Lars B. Dybdahl skrev:

> hvis man vil have et indtryk af, hvor meget kode i en Windows maskine
> der egentlig er adgang til fra en almindelig HTML-side (by design!),
> så prøv at se denne side fra en Microsoft Internet Explorer:

> http://www.svensksucces.dk/olholder/

Det virker ikke hos mig, muligvisvis er det fordi jeg pt. ikke har et
cd-rom-drev i maskinen, muligvis er det på grund af at der er fejl i
ECMA-script-koden (MDM ville gerne have lov til at debugge).

Kan du ikke fortælle mig hvor meget kode der er er adgang til på min
maskine, fra en almindelig HTML-side?

---

Peder Vendelbo Mikkelsen wrote:
> Kan du ikke fortælle mig hvor meget kode der er er adgang til på min
> maskine, fra en almindelig HTML-side?

Det grundlæggende problem er, at en standard Microsoft Internet Explorer,
der kan tilgå stort set alle sider, har adgang til COM systemet. Det
fungerer sådan, at man fra et script beder om at få oprettet en instans (et
objekt) af en klasse. Når man så har det, har man adgang til den kode, der
implementerer denne klasse.

Det er ikke alle klasser i Windows, man kan få adgang til på denne måde, men
det dumme i Windows er, at det i høj grad er Microsoft og 3dje parts
leverandører, der bestemmer, hvilke klasser du får adgang til. Man kan med
andre ord risikere, at installation af et 3dje parts produkt giver websiden
adgang til mere kode hos klienten.

Dette adskiller sig grundlæggende fra Linux browsernes opsætning - her er
det browseren, der afgør, hvilken kode der må tilgås fra et script i
websiden - at tilgå kode uden for browseren kræver et plugin installeret i
selve browseren. Det adskiller sig også grundlæggende fra Java's
sikkerhedsmodel, hvor man forsøger at indkapsle java-afviklingen i en
sandkasse.

Microsoft kunne godt lappe lidt på disse ting ved at lukke for adgang til en
del COM komponenter, men det grundlæggende princip om, at en browser som
udgangspunkt kan lave funktionskald direkte ned i binære kode, kan de ikke
fjerne uden af fjerne bagudkompatibilitet.

Et andet stort problem i Microsoft's browsere er ActiveX. Problemet er her,
at man får installeret et program lokalt, hvis man trykker på den rigtige
knap. Da mindst 30% af den danske befolkning har problemer med at læse på
en skærm, og da en god andel af resten bare trykker "Jeg akcepterer" eller
lign., kan man ret nemt få installeret binær kode hos personer ad den vej.
Hvis man i et firma møder en person, som bare trykker "Jeg akcepterer", så
har man allerede fundet et angrebspunkt.

Men den rette teknik kan man godt få ryddet op, så edb-administratorerne
ikke bagefter kan spore, hvor ActiveX komponenten kom fra.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

Lars B. Dybdahl skrev:

> Peder Vendelbo Mikkelsen wrote:
>> Kan du ikke fortælle mig hvor meget kode der er er adgang til på min
>> maskine, fra en almindelig HTML-side?

> Det grundlæggende problem er, at en standard Microsoft Internet
> Explorer, der kan tilgå stort set alle sider, har adgang til COM
> systemet.

En gang ved lejlighed, kan jeg anbefale dig at læse IE Admin Kit:

<URL: http://www.microsoft.com/technet/prodtechnol/ie/reskit/ie6/ie6rkit.asp
>

---

Peder Vendelbo Mikkelsen <pedervm@myrealbox.com> wrote:
> Lars B. Dybdahl skrev:
>
>> Det grundlæggende problem er, at en standard Microsoft Internet
>> Explorer, der kan tilgå stort set alle sider, har adgang til COM
>> systemet.
>
> En gang ved lejlighed, kan jeg anbefale dig at læse IE Admin Kit:
>
> <URL: http://www.microsoft.com/technet/prodtechnol/ie/reskit/ie6/ie6rkit.asp



--
I prefer the dark of the night, after midnight and before four-thirty,
when it's more bare, more hollow. http://a.mongers.org

---

"Lars B. Dybdahl" wrote:

> Som jeg skrev er man aldrig 100% sikker, men fakta viser helt klart, at
> Linux maskiner, som ikke har sikringssoftware installeret, kan udsættes for
> dumme brugere uden viden om virus uden at blive inficeret eller hacket,

Hvis jeg søger på "linux security hole" med Google så får jeg
110.000 hits, så den påstand holder vist ikke vand.

> hvorimod Windows maskiner med zonealarm, virusscanning, brugere der ved
> noget om virus osv. stadigvæk er meget udsatte.

Så er det temmeligt underligt at jeg med min manglende firewall og
virusscanner ikke er lagt ned for længst.. Den største
sikkerhedsrisiko ved både windows og linux systemer ligger helt
klart i brugernes adfærd / administratorens opsætning.

> > Det fikses nemt under windows ved at vælge en mailklient der ikke
> > eksekverer vedhæftninger uanset hvad de så end hedder..
>
> Jep - det evindelige problem hvor man skal vælge mellem funktionalitet og
> sikkerhed.

Jeg synes nu ikke min Netscape savner funktionalitet.

> > MS gør da præcis det samme, hvordan pokker skulle de ellers rette
> > en fejl??
>
> Det hænder at Microsoft udsender en opdatering i stedet for en fejlrettelse.
> Det er typisk en senere udgave af source koden i stedet for udelukkende en
> lille patch på den gamle source-kode.

Ja, og?? Jeg kan ikke se hvorfor det er farligere end at udsende
rettelserne en af gangen..

> > Det vil sige du mener at MS's fejlrettelser er mindre sikre end
> > Linux's fordi MS samler rettelserne sammen og retter flere ting i
> > samme opdatering?
>
> Nej. Fordi de brugere senere udgaver af source-koden i stedet for den gamle
> udgave. Der har også været flere eksempler på, at det er gået grueligt galt
> for Microsoft.

Selvfølgelig går det galt for MS i ny og næ. Det gør det også for
Linux folkene for ellers havde jeg ikke kunne finde føromtalte
110.000 hits med google..

> > Min windows 2000 server har heller ikke firewall mellem sig og
> > internettet, jeg er ikke specielt flittig med opdateringer og
> > alligevel har den kørt ekstremt pålideligt, uden orme, vira osv.
> > siden noget der ligner slutningen af 2001.
>
> Tillykke

Takker..

> > Når du sætter dit linux system til at autoopdatere med alt hvad
> > der kommer af nye programstumper fra det sted du nu har valgt som
> > kilde for opdateringer, så overlader du blindt din sikkerhed til
> > samvittigheden/evnerne hos de folk der skriver opdateringerne.
>
> Ja. Men eftersom jeg kører Red Hat Linux stoler jeg i forvejen på Red Hat.
> Det samme gælder Microsoft og WIndows update.

Så er spørgsmålet bare om det er en sund sikkerhedspolitik at
stole blindt på at Red Hat folkene ikke kvajer sig?? Det mener jeg
ikke det er..

Ret mig hvis jeg tager fejl, men fungerer konceptet med Red Hat
ikke på den måde at en bunke mennesker hos Red Hat downloader en
masse forskellig Linux software fra nettet, putter det hele på en
CD og skriver et finurligt installationsprogram der lader dig
vælge fra en liste hvilken af den software på CD'en der skal
installeres?? Det er muligt de i disse båndbreddetider springer
CD'en over og kalder deres pakke for en release i stedet, men
ideen er stadig den samme.. Du stoler så på at de ansatte hos Red
Hat formår at udvælge software (som de ikke selv har skrevet) og
lave en sikker standardinstallation på dine vegne som du bare kan
downloade og fyre af?? Hvis nu jeg gætter på at Red Hat folkene et
eller andet sted har en ansvarsfraskrivelse der siger noget i stil
med at de ikke kan sagsøges for tab af data som følge af brugen af
deres distribution, er jeg så helt galt på den?? Hvis de har sådan
en ansvarsfraskrivelse, så betyder det at de ikke selv stoler på
deres valg er sikre nok, men det afholder ikke dig fra at stole
blindt på dem?? Jeg skal sgu ikke lige følge den tankegang..

> > Når du siger som du gør til dine kunder, siger du efter min mening
> > indirekte "Stol blindt på de folk der udvikler Linux, de laver
> > ikke fejl!".
>
> Nej. Jeg siger at de skal stole på Red Hat. At så både Red Hat og Microsoft
> bruger medarbejdere og eksterne konsulenter til at lave programmerne, er en
> anden problemstilling efter min mening. Red Hat har ret godt fat i, hvad
> der sker i programmerne.

Red Hat, Linux, whatever, du fortæller dem at de skal stole blindt
på nogle mennesker de ikke kender..

> > Du indgyder dem en tryghed der er falsk (IMO) fremfor
> > at lære dem en sikker adfærd.
>
> Hvad skulle jeg lære dem? At de ikke skal stole på software der leveres af
> operativsystemsleverandører? Hvordan ville du bruge Windows hvis du ikke
> stolede på, hvad MIcrosoft lavede? Det giver jo ikke meget mening. En ting
> er sikkert: Hvis CIA ikke har folk hos Microsoft, er de for dumme. Selv
> Saddam Hussein bruger jo Windows...

Jeg stoler skam ikke på Windows, jeg ved der er svagheder ved det
OS jeg bruger, både ting jeg kender til og ting jeg ikke har
opdaget endnu. Forskellen på dig og mig er at jeg siger "Kun en
tåbe frygter ikke havet" mens du fortæller folk at Red Hat har
bygget Titanic, et skib der ikke kan synke..

Jeg går ikke ind for at stikke folk blår i øjnene, så når jeg
snakker sikkerhed med folk prøver jeg generelt at lære dem hvordan
tingene fungerer, hvordan de er sårbare og hvordan de med deres
adfærd kan mindske risikoen for datatab ganske betydeligt. Jeg gør
det ikke for at skræmme livet af dem, men jeg forklarer fx. sådan
noget med at være kritisk med hvad de downloader (har du nu brug
for den screensaver eller ej, software er ikke ufarlig bare fordi
det er din svoger der har mailet det til dig osv.). At screene
emails er også en disciplin de fleste kan lære at mestre.. Jeg
siger *ikke* "det er helt ufarligt, bare klik løs!"

> Her har du ved Linux den dejlige feature, at du kan vælge om du vil køre med
> de nyeste features eller fejlrettede gamle features. F.eks. er det jo år
> siden, at Linux 2.2 blev erstattet med Linux 2.4, men den vedligeholdes
> stadigvæk, og du kan faktisk downloade en splinterny Linux 2.2 hvis du vil
> det. Det er der faktisk en del der vil, hvis de f.eks. vil lave en bil, der
> kører Linux. Her er det vigtigere, at den virker end at den er ny. Hvor kan
> jeg downloade en Windows 98 med de nyeste rettelser?

Jeg har en 98 liggende på en skive lige her ved siden af og
fejlrettelser kan jeg stadig hente online hvis jeg ønsker det.
Supporten på win95 er vist sluttet, men det overlever jeg nok..


--
Hygge..
Thomas

<http://www.carftp.com> - a library of car videos.

---

Thomas Strandtoft wrote:
> Den største
> sikkerhedsrisiko ved både windows og linux systemer ligger helt
> klart i brugernes adfærd / administratorens opsætning.

Jeg har lavet et par sikkerhedsanalyser af forskellige mindre virksomheder,
og det er helt klart, at sikkerheden baserer sig på tillid til
medarbejderne og de nærmeste kontaktpersoner. F.eks. er den fysiske adgang
til netværket ofte for nem, og adgangskoder er stort set uden sikkerhed,
tastaturer kan videofilmes gennem vinduer osv. Den slags ændrer hverken
Linux eller Windows på.

Men når det gælder om at sikre at en bruger ikke kan komme galt afsted ved
at bruge maskinen, så slår Linux Windows med flere længder, især hvis man
sammenligner en standardinstallation af Windows XP med de sædvanlige
Microsoft programmer med en standardinstallation af Red Hat Linux med de
sædvanlige programmer.

> Jeg synes nu ikke min Netscape savner funktionalitet.

Det er da glædeligt

> Ja, og?? Jeg kan ikke se hvorfor det er farligere end at udsende
> rettelserne en af gangen..

Jeg snakker ikke om en vs. flere rettelser, men om at udskifte et stykke
software med en senere version hvor fejlen ikke optræder mod at udskifte
softwaren med samme version der bare er fejlrettet. Altså 4.2.1->4.2.1pl1
vs. 4.2.1->4.2.2.

> Så er spørgsmålet bare om det er en sund sikkerhedspolitik at
> stole blindt på at Red Hat folkene ikke kvajer sig?? Det mener jeg
> ikke det er..

Jeg stoler i hvert fald mindre på Microsoft - det er bevist at Microsoft er
kriminelle og i øvrigt stort set ignorerer Europæisk lovgivning - ingen af
disse er tilfældet for Red Hat. Hvis mistilliden betyder, at man hverken
skal bruge Linux eller Windows - hvad så? Macintosh? Så stoler man på
Apple...

> Ret mig hvis jeg tager fejl, men fungerer konceptet med Red Hat
> ikke på den måde at en bunke mennesker hos Red Hat downloader en
> masse forskellig Linux software fra nettet, putter det hele på en
> CD og skriver et finurligt installationsprogram der lader dig
> vælge fra en liste hvilken af den software på CD'en der skal
> installeres??

Nej - det ville kræve væsentligt færre ansatte. De foretager review af alle
pakker, laver betatests, kompilerer hele skidtet selv osv. F.eks. vælger de
pakker efter review af licenser og hvem der styrer et bestemt projekt. Men
i øvrigt har Microsoft jo mange eksterne folk siddende, og har også haft en
del programmører, de ikke har kunnet stole på. Og deres source-kode er
stadigvæk hemmelig så vi ved ikke, hvad det egentlig er, vi installerer.
Red Hat har peer review, dvs. alle kan reproducere deres pakker og
kontrollere, at de rent faktisk gør det, de påstår. Ingen kan kontrollere
Microsoft på samme måde.

Og så bruger top 500 firmaerne i øvrigt den samme Linux som jeg gør.

> tåbe frygter ikke havet" mens du fortæller folk at Red Hat har
> bygget Titanic, et skib der ikke kan synke..

Nej. Det gør jeg aldrig. Jeg har aldrig sagt til nogen, at Red Hat Linux er
100% sikkert - tværtimod understreger jeg over for ALLE mine kunder, at de
aldrig får et sikkert system. Det er heller ikke det, debatten her drejer
sig om.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

Lars B. Dybdahl <Lars@dybdahl.dk> wrote:
> Men når det gælder om at sikre at en bruger ikke kan komme galt afsted ved
> at bruge maskinen, så slår Linux Windows med flere længder, især hvis man
> sammenligner en standardinstallation af Windows XP med de sædvanlige
> Microsoft programmer med en standardinstallation af Red Hat Linux med de
> sædvanlige programmer.

Hvis det virkeligt er tilstraekkeligt vigtigt at man ikke kommer galt
afsted benytter man vel ikke en standardinstallation?

--
I prefer the dark of the night, after midnight and before four-thirty,
when it's more bare, more hollow. http://a.mongers.org

---

"Lars B. Dybdahl" <Lars@dybdahl.dk> wrote:

>> tåbe frygter ikke havet" mens du fortæller folk at Red Hat har
>> bygget Titanic, et skib der ikke kan synke..
>
>Nej. Det gør jeg aldrig.

Du har gjort det her i traaden. Det var faktisk det, der
provokerede mig til at gaa ind i debatten.


--
Allan Olesen, Lunderskov.
Danske musikere tjener penge ved ulovlig softwarekopiering.

---

Allan Olesen wrote:
> Du har gjort det her i traaden. Det var faktisk det, der
> provokerede mig til at gaa ind i debatten.

Well - når jeg nu læser det igen, så siger du jo Titanic. Med andre ord et
skib, der ikke er sikkert. Hvis du mener, at jeg har sagt, at Red Hat Linux
bygger noget, der er mere sikkert, men ikke 100% sikkert, så har du
selvflg. ret.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" <Lars@dybdahl.dk> wrote:

>Hvis du mener, at jeg har sagt, at Red Hat Linux
>bygger noget, der er mere sikkert, men ikke 100% sikkert, så har du
>selvflg. ret.

Nej, det jo netop det, du ikke har sagt. Du har sagt, at man bare
kan lukke brugere loes paa en Linux-maskine, uden at de behoever
bekymre sig om sikkerheden, for den er jo 100% sikker i sig selv.

Den slags holdninger foerer til katastrofer.


--
Allan Olesen, Lunderskov.
Danske musikere tjener penge ved ulovlig softwarekopiering.

---

Allan Olesen wrote:
> Nej, det jo netop det, du ikke har sagt. Du har sagt, at man bare
> kan lukke brugere loes paa en Linux-maskine, uden at de behoever
> bekymre sig om sikkerheden, for den er jo 100% sikker i sig selv.

Det, jeg har sagt, er at uvidende brugere bare kan bruge løs af en Linux
maskine, som opdateres automatisk, og ikke skal være bange for virus, orme
m.v., fordi Linux maskinen per design er sikker.

Det er ikke ensbetydende med at man er sikret mod ondsindede hackere eller
lign., men sikkerhedsniveauet er ekstremt meget højere end hvis de samme
brugere sidder med en almindelig Windows installation.

Den sidste, jeg gjorde det her ved, havde i et halvt år afvist alle Windows
update opdateringer, fordi han havde læst i en avis, at en af
opdateringerne ville gøre maskinen sløvere... på trods af, at jeg havde
sagt meget, meget tydeligt, at alle opdateringerne skal installeres. Det er
det niveau af brugere, vi snakker om her.

> Den slags holdninger foerer til katastrofer.

Hvordan det? Tænk på, at sandsynligheden for, at de til punkt og prikke
følger mine anvisninger i forvejen er tæt på 0%.

At basere sin sikkerhed på, at dumme brugere gør præcist, som edb-afdelingen
siger, er efter min mening meget, meget naivt.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" wrote:

> Den sidste, jeg gjorde det her ved, havde i et halvt år afvist alle Windows
> update opdateringer, fordi han havde læst i en avis, at en af
> opdateringerne ville gøre maskinen sløvere... på trods af, at jeg havde
> sagt meget, meget tydeligt, at alle opdateringerne skal installeres. Det er
> det niveau af brugere, vi snakker om her.

Det brugerniveau kender jeg godt, men hvordan kan du vide at alle
opdateringerne er "sunde"?? Måske er brugeren bedre tjent med at
undlade at hente en fejlbehæftet opdatering, det kan hverken du
eller brugeren på forhånd afgøre om en opdatering er. Som sagt
tidligere foretrækker jeg klart ældre software med kendte huller
fremfor ny software med ukendte huller - med den ældre software
har jeg i det mindste chancen for at kompensere for hullerne..

> At basere sin sikkerhed på, at dumme brugere gør præcist, som edb-afdelingen
> siger, er efter min mening meget, meget naivt.

Det er jo netop heller ikke enten-eller.

Jeg har også arbejdet med slutbrugere og det er min klare
opfattelse at de færreste er dumme. Der er rigtigt mange der er
uvidende, men der er forskel på dum og uvidende. Jeg synes selv
jeg har ret gode erfaringer med at undervise brugerne, fjerne
noget af deres uvidenhed og derved opnå at de selv vælger en
sikrere adfærd. Meget ofte aner de bare ikke at de kan gøre
tingene smartere.

Kloge brugere betyder dog ikke at jeg undlader at sætte systemet
sikkert op. Jeg bruger en del krudt på sådan noget med
rettigheder, jeg er omhyggelig med valg af software og opsætningen
af dette og jeg undlader helt klart at autoopdatere min software..

--
Hygge..
Thomas

<http://www.carftp.com> - a library of car videos.

---

Thomas Strandtoft wrote:
> Det brugerniveau kender jeg godt, men hvordan kan du vide at alle
> opdateringerne er "sunde"??

Det er et spørgsmål om risk management. Hvad er faren ved at undlade en
hurtig opdatering bare fordi man ikke lige kan få en dyrt betalt konsulent
til at se på den med det samme? Red Hat havde nogle vanskeligheder da de
startede deres Red Hat Network, men efterhånden er kvaliteten af deres
automatiske sikkerhedsopdateringer så høj, at økonomien taler for
automatisk opdatering af udsatte client-PC'ere i de fleste tilfælde.

> Jeg har også arbejdet med slutbrugere og det er min klare
> opfattelse at de færreste er dumme.

Det er afhængigt af, hvor man arbejder, og hvilket kriterie man sætter for,
hvad "dum" er. Når jeg siger "dum", så mener jeg en medarbejder, der ikke
ved nok til at kunne forstå, huske og håndtere sikkerhedsmæssige instrukser
omkring Linux, som f.eks. "Skriv chmod +x mitprogram som root for at gøre
en fil udførbar". De fleste, jeg kender på almindelige arbejdspladser,
ville glo dumt hvis jeg orienterede dem om den slags og hører derfor i
kategorien "dumme brugere". Man kan selvflg. altid flytte en bruger over i
kategorien "kloge brugere" ved at uddanne dem, men det er en anden
diskussion.

> Kloge brugere betyder dog ikke at jeg undlader at sætte systemet
> sikkert op.

Enig. Kloge brugere er efter min mening ofte farligere end dumme brugere,
fordi de ofte kan omgås ting - såsom at slå sikkerhedsniveauet i Microsoft
Internet Explorer ned. Jeg har endda desværre set nogle kunder, hvor
enkelte maskiner havde sat sikkerhedsniveauet for internet zonen til lav...
værre kan det næsten ikke blive. Her er jeg kraftig fortaler for systemer,
der gør den slags umuligt for brugeren, og Linux er efter min mening meget
mere velegnet til netop det.

> af dette og jeg undlader helt klart at autoopdatere min software..

Hvad så hvis din internet server, der er på internettet, trænger til en
opdatering første dag du er på 3 ugers ferie? Undlader du så at patche den
i 3 uger? Eller køber du en konsulent?

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" wrote:

> Det er et spørgsmål om risk management. Hvad er faren ved at undlade en
> hurtig opdatering bare fordi man ikke lige kan få en dyrt betalt konsulent
> til at se på den med det samme? Red Hat havde nogle vanskeligheder da de
> startede deres Red Hat Network, men efterhånden er kvaliteten af deres
> automatiske sikkerhedsopdateringer så høj, at økonomien taler for
> automatisk opdatering af udsatte client-PC'ere i de fleste tilfælde.

Jeg har svært ved at se behovet for lynhurtige opdateringer af
client-pc'er, det skulle da lige være hvis en opdatering har åbnet
et gabende sikkerhedshul og man nu står og tripper efter en patch
der kan lukke hullet igen.

> > Kloge brugere betyder dog ikke at jeg undlader at sætte systemet
> > sikkert op.
>
> Enig. Kloge brugere er efter min mening ofte farligere end dumme brugere,
> fordi de ofte kan omgås ting - såsom at slå sikkerhedsniveauet i Microsoft
> Internet Explorer ned. Jeg har endda desværre set nogle kunder, hvor
> enkelte maskiner havde sat sikkerhedsniveauet for internet zonen til lav...
> værre kan det næsten ikke blive. Her er jeg kraftig fortaler for systemer,
> der gør den slags umuligt for brugeren, og Linux er efter min mening meget
> mere velegnet til netop det.

Min filosofi er at folk må gøre hvad de vil med deres udstyr og
software, de har købt og betalt det. Hvis jeg møder "Hr.
Pilfinger" der selv har rodet med tingene kan jeg rådgive
vedkommende og fortælle hvad der er af risici forbundet med de
valg han har foretaget. Alternativt kan jeg nævne det for
chefen/den edbansvarlige når jeg aflægger rapport over mit besøg,
så må chefen vælge om medarbejderen skal have lov til pille eller
om der skal afstikkes nogle retningslinier for fremtidig adfærd.

> > af dette og jeg undlader helt klart at autoopdatere min software..
>
> Hvad så hvis din internet server, der er på internettet, trænger til en
> opdatering første dag du er på 3 ugers ferie? Undlader du så at patche den
> i 3 uger? Eller køber du en konsulent?

Hvis serveren er blevet hacket eller på anden måde ukampdygtig, så
hyrer jeg naturligvis en konsulent og opdaterer maskinen hvis det
er løsningen. Hvis det bare er småting mener jeg ikke den
"trænger" mere end den kan vente til jeg er tilbage.

Sat lidt på spidsen har jeg valget mellem to programversioner:

1) Den nyeste nye version, med nye opdateringer og et lyseblåt håb
om at versionen er fejlfri. Måske er der et hul og det må jeg så
leve med indtil enten jeg selv eller andre brugere af samme
version opdager det (ofte på den hårde måde).

2) Versionen der er en generation ældre. Jeg kan så hente bugfix
listen fra den nyeste version og se hvilke fejl den retter,
hvilket giver mig en indikation af hvilke svagheder min version
har. Jeg har også muligheden for at spørge Google hvad folk har
haft af genvordigheder med min version.

Jeg mener personligt jeg er bedre stillet med software der er
gennemtestet og har kendte svagheder end med software der er ny og
har ukendte svagheder.

--
Hygge..
Thomas

<http://www.carftp.com> - a library of car videos.

---

Thomas Strandtoft wrote:
> Jeg har svært ved at se behovet for lynhurtige opdateringer af
> client-pc'er, det skulle da lige være hvis en opdatering har åbnet
> et gabende sikkerhedshul og man nu står og tripper efter en patch
> der kan lukke hullet igen.

Øh - ja? Orme og virus'er spredes jo hurtigere og hurtigere. Så hvis du ikke
kan se behovet nu, så vil du nok kunne se det om 3-6 år, når en virus kan
nå verden rundt på et par timer.

Jeg vil påstå, at vi allerede nu er i en situation, hvor en daglig
sikkerhedsopdatering ikke er nok. I gamle dage (1990) kunne der nemt gå 3
måneder fra en virus blev skrevet til at den blev opdaget af den første
bruger, og 3 måneder til at der kom antivirus software på gaden mod
virus'en. Nutildags er vi nede på dage for sikkerhedsopdatering. Problemet
er, at de, der laver sikkerhedsopdateringerne/virusopdateringerne m.v.,
bliver mere og mere presset i tid, fordi der går mindre tid fra opdagelsen
af en orm til at opdateringen skal være installeret på maskinerne. Et andet
problem er også, at det interne netværk i mange virksomheder ikke længere
kan regnes som værende sikkert, både fordi enkelte maskiner kan være
konfigureret usikkert (husk code red som angreb selve Microsofts interne
netværk), og fordi man får mindre og mindre styr på udbredelsen af det LAN,
man har (wifi).

Jeg kan som et kuriosum nævne, at en international koncern som jeg har
kendskab til, på et tidspunkt fandt ud af, at deres sydamerikanske afdeling
ikke brugte firewall ud mod internettet, og at der heller ikke var firewall
mellem de forskellige kontinenter. Resultatet var fri adgang til hele det
interne netværk. Nu bruger de firewalls mange steder internt på netværket.

> Hvis serveren er blevet hacket eller på anden måde ukampdygtig, så
> hyrer jeg naturligvis en konsulent og opdaterer maskinen hvis det
> er løsningen. Hvis det bare er småting mener jeg ikke den
> "trænger" mere end den kan vente til jeg er tilbage.

Jeg plejer at håndtere servere, hvor det ikke er "småting"

> Sat lidt på spidsen har jeg valget mellem to programversioner:

Jeg snakker ikke om versioner, men om sikkerhedsopdateringer. Selv om jeg
har en gammel Red Hat Linux 7.3 stående med Apache 1.3, skal den stadigvæk
patches hurtigst muligt, uden at blive opgraderet til en ny version.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" wrote:

[Jeg snipper lige en hel masse hvor du prøver at begrunde at Linux
er sikkert fordi det er bedre end Windows]

> > tåbe frygter ikke havet" mens du fortæller folk at Red Hat har
> > bygget Titanic, et skib der ikke kan synke..
>
> Nej. Det gør jeg aldrig. Jeg har aldrig sagt til nogen, at Red Hat Linux er
> 100% sikkert - tværtimod understreger jeg over for ALLE mine kunder, at de
> aldrig får et sikkert system. Det er heller ikke det, debatten her drejer
> sig om.

Jo, det er lige præcis det det drejer sig om. Det er gået op for
mig at du hellere vil gøre det til en windows vs. linux
diskussion, men udgangspunktet for det meste af tråden her er at
jeg opponerede mod flg. udsagn:

"Hvis du har brugere, der ikke kan eller vil uddannes i dette, så
overvej at
kaste en Linux ind på en af maskinere, og sørg for at denne Linux
bliver
opdateret automatisk. Så har du et sikkerhedsniveau, hvor du kan
sige til
brugerne, at de kan åbne alle de filer, de har lyst til, kigge på
alle de
e-mails, de har lyst til, og åbne alle de websites, de har lyst
til."

Efter min mening indgyder du falsk tryghed når du siger folk bare
kan klikke løs. Når nu du en 10 linier højere oppe skriver at du
understreger overfor dine kunder at de aldrig får et sikkert
system, mener du så stadig det er en god ide at fortælle dem at de
kan "lægge hjernen på hylden" og åbne alle de filer de har lyst
til?

Jeg er ret ligeglad med at du mener tingene står værre til i MS
lejren (du har muligvis ret), det kan bare aldrig blive til et
argument for at linux er safe-by-design og at det er god sikkerhed
at lade sin linux autoopdatere med de programmer et tilfældigt
firma mener du bør bruge..

--
Hygge..
Thomas

<http://www.carftp.com> - a library of car videos.

---

Thomas Strandtoft wrote:
>> 100% sikkert - tværtimod understreger jeg over for ALLE mine kunder, at
>> de aldrig får et sikkert system. Det er heller ikke det, debatten her
>> drejer sig om.
> Jo, det er lige præcis det det drejer sig om.

Hmm.. hvor i tråden finder du det? Brian, som lagde det første indlæg,
snakker om norton antivirus og zonealarm...

> mig at du hellere vil gøre det til en windows vs. linux
> diskussion

Jeg er sådan set ligeglad med hvor diskussionen går hen - jeg debatterer de
emner, jeg har interesse i.

> men udgangspunktet for det meste af tråden her er at
> jeg opponerede mod flg. udsagn:
> "Hvis du har brugere, der ikke kan eller vil uddannes i dette, så

> Efter min mening indgyder du falsk tryghed når du siger folk bare
> kan klikke løs.

Helt ærligt - hvad ville du sige til brugerne? Hvilken sikkerhedsvejledning
ville du give til en bruger, der ikke forstår edb, sidder foran en Red Hat
Linux som du har sat op og ikke kender root password? Prøv lige at tænke
over det, så vil du sandsynligvis komme til den konklusion, at du vil sige
"Klik, hvor du har lyst til, du kan ikke ødelægge noget".

> Når nu du en 10 linier højere oppe skriver at du
> understreger overfor dine kunder at de aldrig får et sikkert
> system, mener du så stadig det er en god ide at fortælle dem at de
> kan "lægge hjernen på hylden" og åbne alle de filer de har lyst
> til?

Ja selvfølgelig. Der er gigantisk forskel på at blive hacket og åbne filer.
Det første kan nemt ske uden at de har den ringeste chance for at opdage
det.

> lejren (du har muligvis ret), det kan bare aldrig blive til et
> argument for at linux er safe-by-design og at det er god sikkerhed
> at lade sin linux autoopdatere med de programmer et tilfældigt
> firma mener du bør bruge..

Er leverandøren af et operativsystem et tilfældigt firma? Om det sker
automatisk eller ej er et spørgsmål om penge. Da brugeren ikke selv kan
tage stilling til, hvilke pakker der skal installeres, giver det ingen
mening at køre manuelt med mindre man bruger en edb-konsulent hver gang. Da
der ikke er råd til dette, står valget mellem auto-opdatering og ingen
opdatering. Hvis du har det mindste kendskab til erhvervslivet burde det
være kendt for dig, og så kan jeg forstå på dig, at du ikke mener at man
bør installere sikkerhedsopdateringer, fordi operativsystemsleverandører
som f.eks. Microsoft og Red Hat ikke er pålidelige?

Måske burde du i højere grad lade være med at bruge "pålidelighed" som den
altafgørende parameter i dit valg af fremgangsmåde. Normalt er det
økonomien, der sætter grænser for, hvad der kan lade sig gøre. Hvis
pålidelighed var det altafgørende, ville vi ikke køre Windows, og putte
alle PC'ere ind i et datacenter med airconditioning, batteribackup,
spejlede harddiske osv. Men i praksis er det fleste PC'ere altså stående i
kontorlokaler, udsatte for tyveri, sommerens varme, støv osv., og de fleste
PC'ere har også kun en enkelt harddisk. Mange skærme kan ses gennem
vinduer, og det samme gælder tastaturer. Hvorfor afskærmer f.eks. Jyske
Bank ikke alle deres skærme så de ikke kan ses udefra? Er de ikke klar
over, at de kan filmes udefra? Jo selvflg. er de klar over det, men der er
markedsføringsmæssige aspekter i at have vinduer i ydervæggen og sidde med
kunderne rundt om et rundt bord. Og hvis man ikke tager den slags aspekter
med i sin måde at drive forretning på, så kan man lige så godt nedlægge
virksomheden.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" wrote:

> > Jo, det er lige præcis det det drejer sig om.
>
> Hmm.. hvor i tråden finder du det? Brian, som lagde det første indlæg,
> snakker om norton antivirus og zonealarm...

Helt i starten. Du besvarer Brians spørgsmål, jeg forholder mig
kritisk til dit svar og så har vi tråden.

Jeg synes sjældent jeg har held med de der direkte newslink, så
jeg har fundet indlægget på google:
<http://groups.google.com/groups?q=g:thl2599529152d&dq=&hl=en&lr=&ie=UTF-8&oe=UTF-8&selm=3F07FF58.EBD29244%40anderledes.dk>

> > mig at du hellere vil gøre det til en windows vs. linux
> > diskussion
>
> Jeg er sådan set ligeglad med hvor diskussionen går hen - jeg debatterer de
> emner, jeg har interesse i.

Fornuftigt nok, jeg forventer heller ikke svargaranti.. Jeg
forbeholder mig dog retten til at forsøge at dreje diskussionen
tilbage hvor jeg mener den er interessant..

> > Efter min mening indgyder du falsk tryghed når du siger folk bare
> > kan klikke løs.
>
> Helt ærligt - hvad ville du sige til brugerne? Hvilken sikkerhedsvejledning
> ville du give til en bruger, der ikke forstår edb, sidder foran en Red Hat
> Linux som du har sat op og ikke kender root password? Prøv lige at tænke
> over det, så vil du sandsynligvis komme til den konklusion, at du vil sige
> "Klik, hvor du har lyst til, du kan ikke ødelægge noget".

Tjaae, en start kunne da være at sige at de ikke bør eksekvere
vedhæftninger i mails fra folk de ikke kender, den sondring kan
selv en utroligt edb ukyndig lave.

> Ja selvfølgelig. Der er gigantisk forskel på at blive hacket og åbne filer.
> Det første kan nemt ske uden at de har den ringeste chance for at opdage
> det.

Jeg kan ikke se den store forskel, faktisk gør dine kunders adfærd
det bare nemmere for hackeren. I stedet for at hackeren skal sidde
og prøve sig frem udefra, kan han blot sende din kunde et program
der selv skaber kontakten i modsat retning. Pakket ind sammen med
en sød video af en kat der danser så opdager din kunde såmænd ikke
at der er "bonusmateriale" med..

> Er leverandøren af et operativsystem et tilfældigt firma? Om det sker
> automatisk eller ej er et spørgsmål om penge. Da brugeren ikke selv kan
> tage stilling til, hvilke pakker der skal installeres, giver det ingen
> mening at køre manuelt med mindre man bruger en edb-konsulent hver gang. Da
> der ikke er råd til dette, står valget mellem auto-opdatering og ingen
> opdatering. Hvis du har det mindste kendskab til erhvervslivet burde det
> være kendt for dig, og så kan jeg forstå på dig, at du ikke mener at man
> bør installere sikkerhedsopdateringer, fordi operativsystemsleverandører
> som f.eks. Microsoft og Red Hat ikke er pålidelige?

Lad mig sige det sådan, de er ikke pålidelige nok til at jeg
blindt stoler på alt hvad de laver er 100% iorden. Jeg har ikke
noget problem med opdateringer, jeg mener bare ikke der er meget
sikkerhed i blindt at installere nyeste nye så snart det frigives.
Et eller andet sted mener jeg ikke der er god sikkerhed i at
fungere som testbænk for firmaer som Red Hat og MS. Jeg mener der
er bedre sikkerhed i at opdatere et par måneder for sent, når jeg
har chancen for at høste andres heldige eller uheldige erfaringer
med produktet.

> Måske burde du i højere grad lade være med at bruge "pålidelighed" som den
> altafgørende parameter i dit valg af fremgangsmåde. Normalt er det
> økonomien, der sætter grænser for, hvad der kan lade sig gøre. Hvis

Jeg prøver at bruge sikkerhed som parameter, jfr. gruppenavnet..
Det kan så godt være at den sikkerhed er for uøkonomisk til dine
kunder, det skal jeg ikke kunne afgøre. Jeg har dog svært ved at
se at det er dyrere at sige "lad være med at åbne attachments fra
folk du ikke kender" end "klik bare på det hele, det kan ikke gå
galt".

--
Hygge..
Thomas

<http://www.carftp.com> - a library of car videos.

---

Thomas Strandtoft wrote:
> Tjaae, en start kunne da være at sige at de ikke bør eksekvere
> vedhæftninger i mails fra folk de ikke kender, den sondring kan
> selv en utroligt edb ukyndig lave.

Man kan ikke i de normale e-mail programmer eksekvere vedhæftninger, så det
problem er løst selv uden vejledning. Hvis du mener "åbne", så er de
største sikkerhedsbrister normalt vedhæftninger på e-mails fra folk man
kender. På Windows orienterer jeg altid folk om ikke at åbne filer, som de
ikke på anden vis har en aftale om at modtage. Men jeg mener ikke, at den
sikkerhedsinstruks kan betale sig økonomisk på nogen måde på Linux.

> Jeg kan ikke se den store forskel, faktisk gør dine kunders adfærd
> det bare nemmere for hackeren.
> I stedet for at hackeren skal sidde
> og prøve sig frem udefra, kan han blot sende din kunde et program
> der selv skaber kontakten i modsat retning.

Bortset fra at du ikke kan sende et program til en alm. Linux bruger. Og
selv om du sender en .tar fil, så kræver det at brugeren kan sætte
executable flaget på en fil før det kan udføres.

Dit argument ville være 100% gyldigt på Windows - men ikke her.

> jeg mener bare ikke der er meget
> sikkerhed i blindt at installere nyeste nye så snart det frigives.

Fair nok. Er du nogensinde blevet smittet med en Virus eller en orm? Jeg er
ikke blevet smittet siden 1993, og ingen af de kunder, hvor jeg har bestemt
opsætningen, er blevet smittet eller "ormet"

> Jeg har dog svært ved at
> se at det er dyrere at sige "lad være med at åbne attachments fra
> folk du ikke kender" end "klik bare på det hele, det kan ikke gå
> galt".

Afsender adressen på en e-mail er jo noget, man selv vælger, og de fleste
orme og virus'er sendes fra folk, men kender, og en hacker ville da også
helt klart tænke sig lidt om når en e-mail sendes ind til et firma. Jeg kan
ikke se fidusen i din instruks.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" wrote:

> > og prøve sig frem udefra, kan han blot sende din kunde et program
> > der selv skaber kontakten i modsat retning.
>
> Bortset fra at du ikke kan sende et program til en alm. Linux bruger. Og
> selv om du sender en .tar fil, så kræver det at brugeren kan sætte
> executable flaget på en fil før det kan udføres.
>
> Dit argument ville være 100% gyldigt på Windows - men ikke her.

Det er det da, såfremt brugeren (der har fået at vide at intet er
farligt fordi han/hun kører linux) eksekverer det tilsendte.. Det
er muligt det er sværere at eksekvere tilsendte filer på linux end
på windows, men jeg tillader mig at antage at det stadig er
muligt?

> Fair nok. Er du nogensinde blevet smittet med en Virus eller en orm? Jeg er
> ikke blevet smittet siden 1993, og ingen af de kunder, hvor jeg har bestemt
> opsætningen, er blevet smittet eller "ormet"

Jeg har modtaget masser af vira og mine logfiler viser også
utallige forsøg på at systemer udefra har ønsket at opnå skumle
ting, men jeg har 7-9-13 aldrig haft noget i udbrud..

> Afsender adressen på en e-mail er jo noget, man selv vælger, og de fleste
> orme og virus'er sendes fra folk, men kender, og en hacker ville da også
> helt klart tænke sig lidt om når en e-mail sendes ind til et firma. Jeg kan
> ikke se fidusen i din instruks.

Ja, men jeg har endnu ikke mødt en virus der formåede at vedhæfte
sig en mail med en relevant tekst. Jeg har modtaget vira fra folk
med danske navne og indimellem også folk jeg kendte, men de var
altid vedhæftet en eller anden totalt irrelevant mail. Det er de
færreste der vedhæfter filer uden at skrive noget i stil med
"Check lige det billede her" eller "Her er det dokument vi
snakkede om" eller noget tilsvarende der identificerer
vedhæftningen.. At spotte den slags er ikke specielt indviklet,
heller ikke for den "dumme" bruger. I tvivlstilfælde kan brugeren
jo bare ringe eller maile til afsenderen for at høre hvad
vedhæftningen går ud på..

--
Hygge..
Thomas

<http://www.carftp.com> - a library of car videos.

---

Thomas Strandtoft wrote:
>> Dit argument ville være 100% gyldigt på Windows - men ikke her.
> Det er det da, såfremt brugeren (der har fået at vide at intet er
> farligt fordi han/hun kører linux) eksekverer det tilsendte.. Det
> er muligt det er sværere at eksekvere tilsendte filer på linux end
> på windows, men jeg tillader mig at antage at det stadig er
> muligt?

Det kan du nemt slå fra, så det ikke er muligt. Og selv om det er muligt, så
er fremgangsmåden følgende:

1) Gem filen på harddisken.
2) Start et terminal-vindue
3) Skriv "chmod +x filnavn"
4) Skriv "./filnavn" for at udføre programmet.

Det er linie 3) som man kan slå fra - når den er slået fra, kan brugeren
ikke på nogen måde lægge et udførbart program på harddisken, uanset hvad.
Det interessante er, at det ikke er en restriktion på anvendeligheden af
Linux

> Ja, men jeg har endnu ikke mødt en virus der formåede at vedhæfte
> sig en mail med en relevant tekst.

Det har jeg Jeg har set adskillige virus hvor det vedhæftede var
personlige oplysninger eller personlige dokumenter fra folks harddiske. Ret
pinligt for den inficerede, i øvrigt.

Såvidt jeg husker gør Bugbear.B noget lignende, og den er rimeligt udbredt
lige nu.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" wrote:

> > Ja, men jeg har endnu ikke mødt en virus der formåede at vedhæfte
> > sig en mail med en relevant tekst.
>
> Det har jeg Jeg har set adskillige virus hvor det vedhæftede var
> personlige oplysninger eller personlige dokumenter fra folks harddiske. Ret
> pinligt for den inficerede, i øvrigt.

Det har jeg også, bl.a. også en der indeholdt en eller andens
velkomstmail fra ISP'en, komplet med brugernummer, password og
hele svineriet.

Det jeg mener er at jeg endnu ikke har fået en mail hvor teksten
passer med vedhæftningen. Når en eller anden sender mig sine ISP
data og en fil der hedder noget i stil med forrest.jpg.scr.exe, så
kan jeg godt lure at der er ugler i mosen..

Jeg har endnu ikke mødt en virus der magtede at matche følgende
tre kriterier i en og samme mail:

1) Mailen kommer fra en jeg kender (jeg nuker konsekvent
attachments fra folk jeg ikke kender)
2) Mailen indholder en tekst der beskriver vedhæftningen, fx.
"Åhædr, check lige den her gut der får sit slips i en blender."
3) Mailen indeholder en avi, mpg, jpg eller et lignende format der
godt kunne indeholde en gut med et slips i en blender.

De vira jeg har modtaget fejler ofte i 1'eren, konsekvent i 2'eren
og konsekvent i 3'eren. Kort sagt er de ikke specielt svære at
spotte.

--
Hygge..
Thomas

<http://www.carftp.com> - a library of car videos.

---

Thomas Strandtoft wrote:
> Det jeg mener er at jeg endnu ikke har fået en mail hvor teksten
> passer med vedhæftningen.

Hmm... det kan jeg heller ikke umiddelbart sige, at jeg med sikkerhed har,
men selv Windows brugere, jeg har undervist jævnligt i ikke at åbne filer,
som de ikke har en aftale om at modtage, åbner ting hvis bare noget af det
ser korrekt ud.

Og mht. filendelser - så husk at standard indstillingen i Windows er, at de
ikke bliver vist... (desværre)

Hilsen,

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

Lars B. Dybdahl skrev:

> Og selv om det er muligt, så er fremgangsmåden følgende:

> 1) Gem filen på harddisken.
> 2) Start et terminal-vindue
> 3) Skriv "chmod +x filnavn"
> 4) Skriv "./filnavn" for at udføre programmet.

Det er da alt for bøvlet, send dog en pdf-fil til ofret:

<URL:
http://lists.netsys.com/pipermail/full-disclosure/2003-June/010397.html >

Red Hat kom åbenbart med en patch 5 dage efter offentliggørelsen:

<URL: http://rhn.redhat.com/errata/RHSA-2003-196.html >

Vil du stadigvæk påstå, at Linux-brugere kan skrue hovedet af og rask
væk udføre alt hvad de modtager i email?

---

Peder Vendelbo Mikkelsen wrote:
> Det er da alt for bøvlet, send dog en pdf-fil til ofret:

Det ville faktisk ikke kunne inficere brugeren, hvis +x muligheden er slået
fra... men det illustrerer kun, at pdf-fremvisere, browsere osv., er lige
så vigtige at få patchet som f.eks. en mailserver.

> Red Hat kom åbenbart med en patch 5 dage efter offentliggørelsen:

Offentliggørelsen af sikkerhedsbristen. Hvornår kom exploiten?

> Vil du stadigvæk påstå, at Linux-brugere kan skrue hovedet af og rask
> væk udføre alt hvad de modtager i email?

Jeg har aldrig påstået, at Linux brugere kan gøre det generelt. Men jeg vil
stadigvæk fastholde, at det i mange tilfælde er smartest at gå ud fra, at
brugeren ikke kan finde ud af, hvad de skulle, og så indrette
edb-systemerne derefter. Red Hat Linux er efter min mening ekstremt meget
bedre til det formål end Windows.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

Lars B. Dybdahl skrev:

> Peder Vendelbo Mikkelsen wrote:
>> Red Hat kom åbenbart med en patch 5 dage efter offentliggørelsen:

> Offentliggørelsen af sikkerhedsbristen. Hvornår kom exploiten?

Den medfulgte offentliggørelsen af sikkerhedsbristen, den 13. juni
2003.

Kiggede du slet ikke på de URLs jeg medsendte?

>> Vil du stadigvæk påstå, at Linux-brugere kan skrue hovedet af og
>> rask væk udføre alt hvad de modtager i email?

> Jeg har aldrig påstået, at Linux brugere kan gøre det generelt.

Det ligner ellers meget, i dette indlæg:

<URL: news:3f080483$0$5146$edfadb0f@dread11.news.tele.dk >

"Som jeg plejer at sige til mine kunder, der bruger Linux på desktop
computere: Klik hvor du har lyst og læs de e-mails du har lyst til. Du
kan ikke ødelægge noget."

Enten kan jeg ikke læse, eller også har du skiftet mening.

---

Peder Vendelbo Mikkelsen wrote:
>> Offentliggørelsen af sikkerhedsbristen. Hvornår kom exploiten?
> Kiggede du slet ikke på de URLs jeg medsendte?

Jo - men hvornår kom der en orm, der udnyttede det?

>>> Vil du stadigvæk påstå, at Linux-brugere kan skrue hovedet af og
>>> rask væk udføre alt hvad de modtager i email?
>> Jeg har aldrig påstået, at Linux brugere kan gøre det generelt.
> Det ligner ellers meget, i dette indlæg:
> "Som jeg plejer at sige til mine kunder, der bruger Linux på desktop
> computere: Klik hvor du har lyst og læs de e-mails du har lyst til. Du
> kan ikke ødelægge noget."

I mit indlæg siger jeg "plejer" og "mine kunder". Det betyder, at jeg siger
det til størstedelen af en bestemt gruppe af personer. Disse personer har
det tilfælles, at de

1) Kører Red Hat Linux 7.3, 8 eller 9
2) Ikke sidder med systemer, der skal være 100% hackersikret
3) Jeg er systemadministrator for maskinen og bestemmer opsætningen af denne
4) Maskinen kører automatiske sikkerhedsopdateringer

Min anbefaling dækker ikke Linux brugere generelt - nogle af mine kunder
siger jeg det ikke til, og f.eks. anbefaler jeg ligefrem min kunder at
holde sig langt væk fra Linux distributionen "Lindows" af sikkerhedsmæssige
årsager, så det gælder heller ikke Linux generelt.

Jeg håber at det forklarer misforståelsen.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

Lars B. Dybdahl skrev:

> Hvor kan jeg downloade en Windows 98 med de nyeste rettelser?

Ifølge edbpriser, kan du købe Win98SE hos 2bit.dk og edbgiganten.dk.
Rettelserne kan du hente hos windowsupdate.com.

---

Peder Vendelbo Mikkelsen wrote:
> Ifølge edbpriser, kan du købe Win98SE hos 2bit.dk og edbgiganten.dk.

Og downloade den?

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

Lars B. Dybdahl skrev:

> Peder Vendelbo Mikkelsen wrote:
>> Ifølge edbpriser, kan du købe Win98SE hos 2bit.dk og edbgiganten.dk.

> Og downloade den?

Så skal du nok have fat i astalavista, eller hvad søgemaskinen nu hed-
der.

---

Lars B. Dybdahl skrev:

Er du ude i et helligt korstog?

> Thomas Strandtoft wrote:
>> Hvorfor er det sikkert at have en linux der opdateres automatisk??

> Linux fordi det er "safe by design",

Sammenblander du ikke Linux og OpenBSD?
(jeg aner ikke om man kan opdatere OpenBSD automatisk)

Den eneste automatiske opdatering jeg vil have med at gøre, er en jeg
selv laver. Det er lige meget hvilket OS og hvilket program der er
tale om, jeg stoler ikke på automatiske opdateringer.

Var det OpenSSLs, eller var det OpenSSH?, downloadsted som var blevet
owned?

> dvs. det er designet til at begå sig i et netværks- og flerbruger-
> miljø lige fra starten, modsat DOS/Windows verdenen.

Øhh, bortset fra dit eksempel, hvad tænker du specifikt på når du på-
står det ovennævnte?

> Et eksempel: Når du modtager en fil per e-mail, kan den på ingen måde
> af afsenderen markeres som værende udførbar (executable), hvilket nok
> er den største forskel til Windows.

Hmm, men brugeren skal nok finde en måde at afvikle det tilsendte
program alligevel og så er vi jo lige vidt.

Prøv at kigge lidt i .mail+news og se hvor mange der søger hjælp til at
slå funktionen i Outlook til igen, så de kan afvikle .EXE filer direkte
fra deres mailboks (der kom en spærring med en update, for vistnok 1 år
siden).

Undskyld, mit spørgsmål kan godt virke frækt og derfor vil jeg godt
være lidt proaktiv og sige undskyld på forhånd, men har du anvendt
MS-Windows siden man udviklede noget nyere end Win98SE?
(f.eks. NT eller senere udgaver)

> Der er selvfølgelig også fejl i Linux, men sålænge man får lukket
> alle kendte fejl, så reducerer man risikoen ganske meget.

På hvilken måde adskiller det Linux og alle andre styresystemer?

> Jeg kender endnu ikke til en eneste, der har haft virus eller orm på
> en Linux maskine.

Kender du nogle normale mennesker, defineret som personer der ikke har
den mindste it-forstand, som anvender Linux?

Som selv har sat det op?

Hvor systemet kører fornuftigt og er patchet?

Kører maskinerne nogle services som der ikke er behov for?

> Linux har bare den fordel, at selv om hovedparten af verdens servere
> kører f.eks. Apache, og ufatteligt mange Linux servere ikke har en
> firewall mellem sig og det rå internet, så kører de ekstremt på-
> lideligt når de holdes opdateret, uden orme, virus'er osv. Meget
> modsat Windows.

Jeg har meget svært ved at se modsætningen.

Min erfaring, som admin for folkeskolerne i Århus, taler imod din
påstand: omtrent 7500 MS-Windows maskiner med offentlige IP-adresser, i
drift i ca. 7 år (IP-scopes er selvfølgelig løbende blevet udskiftet,
efter behov).

Grundlæggende set, er opsætningen af netværk og maskiner stort set
ikke ændret siden start (bortset fra planmæssig overgang til Citrix og
MS-Terminal Server, for at holde de gamle maskiner i stand til at af-
vikle moderne applikationer).

Omkring 150 af dem er NT 4 servere, som har en gennemsnitlig oppetid på
ca. 2500 timer (serverne står typisk i et fjendtligt område, typisk et
kosteskab, en kælder eller et kopirum).

Hovedårsag til at slukke serverne, bortset fra rengøringsdamen, er når
elektrikeren er på besøg eller hvis der bliver bygget om. Sidste som-
merferie var træls, pga. tordenvejret og de store lynafledere som er på
de fleste af folkeskolerne (det dræbte også en del netværksudstyr).

Vi har kendskab til omkring 20 sikkerhedsbrud, på serverne, udefra. Til
sammenligning får vi stjålet 3-4 servere og omkring 100 pcere om året.

> Virkelighedens resultater peger med andre ord på, at det er en meget
> stor sikkerhedsfordel at bruge Linux.

Øhh, hvilke "virkelighedens resultater" er det du hentyder til i din
konklusion? (jeg synes ikke rigtigt at du har henvist til eller beskre-
vet de resultater)

Svarer dine personlige oplevelser overens med hvad du har skrevet?

> Og så slipper man for den performancenedgang der ligger i alle
> scannere og mærkelige firewall systemer, man installerer på Windows.

Grunden til at vi anvender antivirusprogram, er at vores brugere er ek-
stremt fatsvage, nogle af dem slipper endda virus løs med vilje (bør-
nene er nogle kreative sataner).

Vi har en enkelt firewall, som ikke laver noget i øjeblikket (den blev
købt for lille (en Cisco PIX 515R, hvis jeg ikke husker forkert), for-
di ledelsen blev nærig).

---

Peder Vendelbo Mikkelsen wrote:
> Sammenblander du ikke Linux og OpenBSD?

Hehe - nej.

> Den eneste automatiske opdatering jeg vil have med at gøre, er en jeg
> selv laver.

Det er dit valg. Men husk, at vi ofte snakker økonomi. Den mindste af mine
kunder har måske et årsbudget til 20 edb-konsulenttimer og har to Linux
maskiner, 4 Windows maskiner, 7 printere og en hulens masse software
kørende. Til den pris kan man ikke personligt håndtere dem hver gang der
kommer en sikkerhedsopdatering. Og hvis valget står mellem automatik og at
undvære f.eks. e-mail adgang, så vælger man i dagens Danmark automatikken.
Hvad ville du vælge?

>> dvs. det er designet til at begå sig i et netværks- og flerbruger-
>> miljø lige fra starten, modsat DOS/Windows verdenen.
> Øhh, bortset fra dit eksempel, hvad tænker du specifikt på når du på-
> står det ovennævnte?

DOS var ikke fra starten beregnet til at flere brugere brugte den samme
computer samtidigt. Den var skrevet til, at en bruger ad gangen brugte en
computer - heraf betegnelsen "personal computer". Jagten på yderligere
features blev derfor begået af Microsoft uden hensyntagen til
flerbrugersikkerhed m.v. Unix er derimod et netværks- og flerbruger-miljø,
og GNU startede derfor også som sådan, og har derfor meget tidligt i
udviklingsfasen fået løst mange flere problemstillinger omkring basal
systemadministration og flerbrugersikkerhed end Microsoft. Og da NT kom,
var det et krav, at det kunne køre Windows-programmer. Jeg håber, at det er
forklaring nok - ellers må du spørge lidt mere specifikt efter, hvad du
ville vide.

> Prøv at kigge lidt i .mail+news og se hvor mange der søger hjælp til at
> slå funktionen i Outlook til igen, så de kan afvikle .EXE filer direkte
> fra deres mailboks (der kom en spærring med en update, for vistnok 1 år
> siden).

Hehe - funktionalitet vs. sikkerhed

> Undskyld, mit spørgsmål kan godt virke frækt og derfor vil jeg godt
> være lidt proaktiv og sige undskyld på forhånd, men har du anvendt
> MS-Windows siden man udviklede noget nyere end Win98SE?

Jeg bruger selv RHLinux 8, RHLinux 9, WinXP og Win2000, og har brugt alle
Windows versioner bortset fra WinMe siden Windows 2.x.

>> Der er selvfølgelig også fejl i Linux, men sålænge man får lukket
>> alle kendte fejl, så reducerer man risikoen ganske meget.
> På hvilken måde adskiller det Linux og alle andre styresystemer?

På ingen måde mig bekendt.

> Kender du nogle normale mennesker, defineret som personer der ikke har
> den mindste it-forstand, som anvender Linux?

Ja, omkring 30 stykker vil jeg tro. Heraf er de fleste ansatte hos mine
kunder. De fleste private plejer at fravælge Linux når jeg fortæller dem,
at de så ikke kan spille deres normale Windows spil.

> Som selv har sat det op?

Nej, selvfølgelig ikke.

> Hvor systemet kører fornuftigt og er patchet?

Jep. Det styrer jeg via Red Hat Network.

> Kører maskinerne nogle services som der ikke er behov for?

Desktop'erne gør - f.eks. er FAM ikke nødvendig, men den er jo meget rar at
have. Serverne gør ikke.

>> lideligt når de holdes opdateret, uden orme, virus'er osv. Meget
>> modsat Windows.
> Jeg har meget svært ved at se modsætningen.

Mellem at have orm og ikke at have en orm?

> Min erfaring, som admin for folkeskolerne i Århus, taler imod din
> påstand: omtrent 7500 MS-Windows maskiner med offentlige IP-adresser, i
> drift i ca. 7 år (IP-scopes er selvfølgelig løbende blevet udskiftet,
> efter behov).

Sådan oplever man jo verden så forskellig, men tillykke Jeg kan til
gengæld oplyse, at jeg kender flere Linux servere, der blev søsat før 1998,
som stadigvæk kører, og som aldrig er blevet patchet. Jeg har flere gange
oplyst ejeren, at det er vanvittigt, men de har ikke villet bruge penge på
at få serverne patchet eller udskiftet. Jeg har til gengæld også måtte
smide en hacker ud af en hacket Linux som netop havde stået upatchet siden
1996 direkte på en internet backbone.

> Øhh, hvilke "virkelighedens resultater" er det du hentyder til i din
> konklusion?

Mange forskellige. F.eks. Apache vs. IIS exploit historikken, erfaringerne
med Linux på det rå internet vs. Windows osv. Her er det største problem
med Windows, at de fleste server operatører, der virkelig taber penge ved
nedetid, ikke tør lægge en Microsoft patch ind på deres servere uden at
teste det på et testsystem ved siden af først. Den slags kunder har jeg et
par stykker af, og når hver times nedetid koster 10-20.000 kr., så er de
glade for, at man kan opgradere en Apache webserver med under 1 sekund
nedetid.

> Svarer dine personlige oplevelser overens med hvad du har skrevet?

Ja.

> Grunden til at vi anvender antivirusprogram, er at vores brugere er ek-
> stremt fatsvage, nogle af dem slipper endda virus løs med vilje (bør-
> nene er nogle kreative sataner).

Jeg glemmer aldrig, da jeg hos en af Danmarks største virksomheder på en
400MHz NT4 maskine skulle oprette en ny form i MS Access. Det tog omkring 2
minutter med Wizard'en. Lidt undersøgelse viste, at den lange tid skyldtes,
at den mange MB store .mdb fil blev scannet flere hundrede gange i den tid.
Det tog noget tid før jeg kunne overbevise edb-afdelingen om, at de skulle
undlade realtime scanning af .mdb filer. Heldigvis er de fleste anti-virus
programmer i dag mere intelligente, men de sløver stadigvæk ganske
voldsomt.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" <Lars@dybdahl.dk> writes:

>DOS var ikke fra starten beregnet til at flere brugere brugte den samme
>computer samtidigt. Den var skrevet til, at en bruger ad gangen brugte en
>computer - heraf betegnelsen "personal computer". Jagten på yderligere
>features blev derfor begået af Microsoft uden hensyntagen til
>flerbrugersikkerhed m.v. Unix er derimod et netværks- og flerbruger-miljø,

Øh, nej. Unix er et én-brugersystem udelukkende designet til
som en tidlig udgave af en spillekonsol. Det har så udviklet
sig en del siden, men dét var design-udgangspunktet for Unix.

Dets logiske opbygning med users og groups lader en hel del
tilbage at ønske som flerbrugersystem, hvor folk skal kunne
arbejde sammen men stadig have begrænset adgang til hinandens
filer - hvilket også ses i praktiske problemer med SSH og til
dels mail på den slags systemer. På fil-siden er Novell Netware
stadig det klart bedste til store, komplekse organisationer.

Der findes stadig ikke rigtig noget særlig ideelt system til
multiuser med adgang til selve serveren, men Unix er nok det
mindst ringe bud.

Mvh.
   Klaus.

---

Klaus Ellegaard wrote:
> Øh, nej.

Jo

> Unix er et én-brugersystem udelukkende designet til
> som en tidlig udgave af en spillekonsol. Det har så udviklet
> sig en del siden, men dét var design-udgangspunktet for Unix.

Enig.

> Dets logiske opbygning med users og groups lader en hel del
> tilbage at ønske som flerbrugersystem, hvor folk skal kunne

Jeg kender godt til nogle af kritikpunkterne - hvis du mener jeg har misset
nogle så sig til: Jeg mener helt seriøst, at det største plus mht.
sikkerhedsadministrationen i Linux er, at du kan lave en simpel udskrift af
filrettigheder ved at skrive "ls -l". Dokumenterbarhed og nem
gennemskuelighed er ekstrem vigtig. "Keep it Simple" er en anden måde at
sige det på. At det så er uproduktivt i større sammenhæng, og at man her
gerne vil have mere funktionalitet, er efter min mening noget helt andet.

En metalstang er f.eks. også mere orme-sikker end et træ...

> På fil-siden er Novell Netware
> stadig det klart bedste til store, komplekse organisationer.

Enig.

Hilsen,

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" <Lars@dybdahl.dk> writes:

>> Dets logiske opbygning med users og groups lader en hel del
>> tilbage at ønske som flerbrugersystem, hvor folk skal kunne

>Jeg kender godt til nogle af kritikpunkterne - hvis du mener jeg har misset
>nogle så sig til: Jeg mener helt seriøst, at det største plus mht.
>sikkerhedsadministrationen i Linux er, at du kan lave en simpel udskrift af
>filrettigheder ved at skrive "ls -l".

Det kan du ikke, nej.

Hvem kan hhv. læse og skrive denne fil:

-rw-rw-r-- 1 klaus proj8 99137 Jun 21 2002 topsecret.txt

I samme katalog findes en anden fil:

-rw----r-- 1 trine staff 99137 Jun 21 2002 moresecret.txt

Hvem kan læse og skrive i den? Kan jeg overhovedet selv?


Det bliver endnu værre, når man har brug for 5.000 grupper, og
man så får at vide, at 200 managers skal have forskellig adgang
til visse filer, 30.000 udvalgte brugere fordelt på 3.000 grupper
har lavet. Men KUN de specifikke filer - og de må IKKE kunne
rette i dem eller læse andre filer i de pågældende brugeres
kataloger.

Alle projektdeltagernes rettigheder til at læse hinandens filer
må der naturligvis ikke pilles ved.

Hvordan ser man så nemt, hvem (og hvilke managers) der har adgang
til de ovenstående filer? Kan "ls -l" bruges til det?

Problemet bliver i øvrigt ikke (meget) mere overskueligt, hvis
du dividerer antallet af brugere og grupper med 100 i ovenstående.

>Dokumenterbarhed og nem
>gennemskuelighed er ekstrem vigtig. "Keep it Simple" er en anden måde at
>sige det på. At det så er uproduktivt i større sammenhæng, og at man her
>gerne vil have mere funktionalitet, er efter min mening noget helt andet.

I teorien og i EKSTREMT simple og små installationer, har du ret
i, at det er "keep it simple". Men det er et helvede i praktisk
talt alle andre sammenhænge.

Mvh.
   Klaus.

---

Klaus Ellegaard wrote:
> Hvem kan hhv. læse og skrive denne fil:
> -rw-rw-r-- 1 klaus proj8 99137 Jun 21 2002 topsecret.txt
> I samme katalog findes en anden fil:
> -rw----r-- 1 trine staff 99137 Jun 21 2002 moresecret.txt

På en standard Red Hat Linux 9 ville jeg gå ud fra, at filerne potentielt
kan læses af alle. Men jeg kan næste læse mellem linierne at du åbenbart
ved noget, jeg ikke gør?

> Det bliver endnu værre, når man har brug for 5.000 grupper, og
> man så får at vide, at 200 managers skal have forskellig adgang
> til visse filer, 30.000 udvalgte brugere fordelt på 3.000 grupper
> har lavet. Men KUN de specifikke filer - og de må IKKE kunne
> rette i dem eller læse andre filer i de pågældende brugeres
> kataloger.

Ja. Hvad er pointen?

> Hvordan ser man så nemt, hvem (og hvilke managers) der har adgang
> til de ovenstående filer? Kan "ls -l" bruges til det?

Du stiller et konkret eksempel op, med flere medarbejdere end Danmarks
største virksomheder. Jeg mener ikke at du kan bruge det til at sige, at
det ikke kan lade sig gøre noget sted. Umiddelbart tror jeg ikke at man i
dit eksempel ville bruge standard-systemet til styring af filrettigheder -
personligt ville jeg nok anbefale et stort kig på bl.a. Novell NDS.

> Problemet bliver i øvrigt ikke (meget) mere overskueligt, hvis
> du dividerer antallet af brugere og grupper med 100 i ovenstående.

Nej, men helt ærligt - jeg kender flere danske organisationer, op til over
5000 medarbejdere, hvor alle i praksis stort set har skriveadgang til alt,
og hvor der ikke logges på med adgangskode. Når du nedskriver eksemplet til
300 medarbejdere, så vil jeg påstå, at man bør overveje, om
dokumenterbarhed ikke er vigtigere end detaljeringsgrad i filrettighederne?

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" <Lars@dybdahl.dk> writes:

>> -rw----r-- 1 trine staff 99137 Jun 21 2002 moresecret.txt

>På en standard Red Hat Linux 9 ville jeg gå ud fra, at filerne potentielt
>kan læses af alle. Men jeg kan næste læse mellem linierne at du åbenbart
>ved noget, jeg ikke gør?

Der er i hvert fald en gruppe hér, der ikke kan læse denne fil,
mens andre kan. Men hvem er det så, der ikke kan læse den? Ja,
det er selvfølgelig medlemmerne af gruppen, men hvem er det?

>Du stiller et konkret eksempel op, med flere medarbejdere end Danmarks
>største virksomheder. Jeg mener ikke at du kan bruge det til at sige, at
>det ikke kan lade sig gøre noget sted. Umiddelbart tror jeg ikke at man i
>dit eksempel ville bruge standard-systemet til styring af filrettigheder -
>personligt ville jeg nok anbefale et stort kig på bl.a. Novell NDS.

Eller Active Directory måske?

Pointen er, at Unix er simpelt og let at gå til, når vi snakker
simple sager. Når livet bliver lidt mere besværligt, er det ikke
så rart at være begrænset af users og groups.

>> Problemet bliver i øvrigt ikke (meget) mere overskueligt, hvis
>> du dividerer antallet af brugere og grupper med 100 i ovenstående.

>Nej, men helt ærligt - jeg kender flere danske organisationer, op til over
>5000 medarbejdere, hvor alle i praksis stort set har skriveadgang til alt,
>og hvor der ikke logges på med adgangskode. Når du nedskriver eksemplet til
>300 medarbejdere, så vil jeg påstå, at man bør overveje, om
>dokumenterbarhed ikke er vigtigere end detaljeringsgrad i filrettighederne?

Ja, men igen - hvis du har 50 grupper af personer (det er ikke
særlig urealistisk, hvis du baserer din infrastruktur på Unix),
hvordan holder du dem så ude fra hinanden? Og hvordan sikrer du,
at management-gruppen kan læse personaleafdelingens filer, hvor
de f.eks. har lister med folks IQ og eventuelle sygdomme, men at
resten af firmaet ikke kan læse dem, samtidig med at kun dem i
personaleafdelingen kan skrive i filerne?

Det kan sagtens lade sig gøre, men det er langhåret at holde
rede på.

Derfor mener jeg, at Unix's simplicitet er noget skidt til mange
opgaver. Omvendt er der mange opgaver, hvor det gør det dejligt
anvendeligt.

Mvh.
   Klaus.

---

Lars B. Dybdahl skrev:

> Jeg mener helt seriøst, at det største plus mht. sikkerhedsadmini-
> strationen i Linux er, at du kan lave en simpel udskrift af
> filrettigheder ved at skrive "ls -l".

Ja?

"cacls *.*" gør det samme på en MS-Windows maskine, i det aktuelle
katalog. Man kunne også skrive et script til at gøre det, hvis man har
den slags tilbøjeligheder.

---

Peder Vendelbo Mikkelsen wrote:
> "cacls *.*" gør det samme på en MS-Windows maskine, i det aktuelle
> katalog.

Fedt - tak for hintet. Du er dog den første person, jeg har mødt, der har
udtrykt kendskab til denne - så det tyder jo på at den ikke er særligt
anvendt.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

Lars B. Dybdahl skrev:

> Peder Vendelbo Mikkelsen wrote:
>> "cacls *.*" gør det samme på en MS-Windows maskine, i det aktuelle
>> katalog.

Jeg glemte at nævne, at jeg ikke kan huske om cacls medfølger på W2K
eller tidligere (den følger med på W2K3).

> Fedt - tak for hintet. Du er dog den første person, jeg har mødt, der
> har udtrykt kendskab til denne - så det tyder jo på at den ikke er
> særligt anvendt.

Xcacls kan i øvrigt gøre det samme, blot med forskellen at den kan gøre
det på underkataloget også:

<URL: http://support.microsoft.com/default.aspx?scid=kb%3ben-us%3b318754 >

Xcacls kan også vise om rettighederne er arvet fra et overkatalog.

---

Peder Vendelbo Mikkelsen wrote:
> Jeg glemte at nævne, at jeg ikke kan huske om cacls medfølger på W2K
> eller tidligere (den følger med på W2K3).

Det gør den

Lars

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

Klaus Ellegaard wrote:
> "Lars B. Dybdahl" <Lars@dybdahl.dk> writes:
>
>
>>DOS var ikke fra starten beregnet til at flere brugere brugte den samme
>>computer samtidigt. Den var skrevet til, at en bruger ad gangen brugte en
>>computer - heraf betegnelsen "personal computer". Jagten på yderligere
>>features blev derfor begået af Microsoft uden hensyntagen til
>>flerbrugersikkerhed m.v. Unix er derimod et netværks- og flerbruger-miljø,
>
>
> Øh, nej. Unix er et én-brugersystem udelukkende designet til
> som en tidlig udgave af en spillekonsol. Det har så udviklet
> sig en del siden, men dét var design-udgangspunktet for Unix.

Faktisk ikke helt korrekt - Først var der ideen om et OS (ala multics),
simultant var der et spil, som blev porteret/lavet til en PDP-7, da de
som brugte denne maskine så skulle implementere OS'et, valgte de denne
maskine - (og modificerede samtidigt spillet til at køre som første
testapplikation?!).

At deraf aflede at det så var en et-bruger system, lader en del tilbage
om hvorledes maskiner/OS blev designet og brugt på det tidspunkt.
Maskintid koster! Derfor er timeshare og flere processer vigtigt
allerede her - og Unix som vi kender det er faktisk først eksistent med
PDP-11 porten (Afaik).

[dokumentation for mine påstande: http://www.bell-labs.com/history/unix/]

>
> Dets logiske opbygning med users og groups lader en hel del
> tilbage at ønske som flerbrugersystem, hvor folk skal kunne
> arbejde sammen men stadig have begrænset adgang til hinandens
> filer - hvilket også ses i praktiske problemer med SSH og til
> dels mail på den slags systemer. På fil-siden er Novell Netware
> stadig det klart bedste til store, komplekse organisationer.
>
> Der findes stadig ikke rigtig noget særlig ideelt system til
> multiuser med adgang til selve serveren, men Unix er nok det
> mindst ringe bud.
>
> Mvh.
>    Klaus.


--
Med Venlig Hilsen / Regards

Kim Petersen - Kyborg A/S (Udvikling)
IT - Innovationshuset
Havneparken 2
7100 Vejle
Tlf. +4576408183 || Fax. +4576408188

---

Kim Petersen <kp@kyborg.dk> writes:

>Faktisk ikke helt korrekt - Først var der ideen om et OS (ala multics),
>simultant var der et spil, som blev porteret/lavet til en PDP-7, da de

Det er den officielle sandhed. Richie's hjemmeside skiltrer den
en smule anderledes (beklager at jeg ikke lige har et link til
den).

Basalt set er Multics og Unix helt uafhængige, selvom de første
skridt på vej mod Unix blev oversat under Multics. Så snart den
havde sin egen assembleren, var Unix født. Det skete altsammen
på PDP-7'en.

Det er dog ikke anderledes end at de første udgaver af Linux er
oversat under Minix. Alligevel er de to helt uafhængige (selvom
Linux vist lænede sig en del op ad Minix i starten).

Mvh.
   Klaus.

---

Klaus Ellegaard wrote:
> Kim Petersen <kp@kyborg.dk> writes:
>
>
>>Faktisk ikke helt korrekt - Først var der ideen om et OS (ala multics),
>>simultant var der et spil, som blev porteret/lavet til en PDP-7, da de
>
>
> Det er den officielle sandhed. Richie's hjemmeside skiltrer den
> en smule anderledes (beklager at jeg ikke lige har et link til
> den).

Faktisk siger de det samme (hvis ellers du mener denne:
http://cm.bell-labs.com/cm/cs/who/dmr/hist.html)

>
> Basalt set er Multics og Unix helt uafhængige, selvom de første
> skridt på vej mod Unix blev oversat under Multics. Så snart den
> havde sin egen assembleren, var Unix født. Det skete altsammen
> på PDP-7'en.

Hmm - blev det det? (Derudover er jeg enig i at Multics og Unix er to
forskellige dyr

>
> Det er dog ikke anderledes end at de første udgaver af Linux er
> oversat under Minix. Alligevel er de to helt uafhængige (selvom
> Linux vist lænede sig en del op ad Minix i starten).
>
> Mvh.
>    Klaus.


--
Med Venlig Hilsen / Regards

Kim Petersen - Kyborg A/S (Udvikling)
IT - Innovationshuset
Havneparken 2
7100 Vejle
Tlf. +4576408183 || Fax. +4576408188

---

Klaus Ellegaard skrev:

> Kim Petersen <kp@kyborg.dk> writes:
>> Faktisk ikke helt korrekt - Først var der ideen om et OS (ala
>> multics), simultant var der et spil, som blev porteret/lavet til en
>> PDP-7, da de

> Det er den officielle sandhed. Richie's hjemmeside skiltrer den
> en smule anderledes (beklager at jeg ikke lige har et link til
> den).

<URL: http://www.cs.bell-labs.com/who/dmr/ >

Er det programmør-manualen du tænker på?

<URL: http://cm.bell-labs.com/cm/cs/who/dmr/manintro.html >

Eller denne historiske gennemgang?

<URL: http://cm.bell-labs.com/cm/cs/who/dmr/hist.html >

Sjove reklamer de lavede den gang, se den nederste:

<URL: http://cm.bell-labs.com/cm/cs/who/dmr/unixad.html >

---

"Lars B. Dybdahl" wrote:

> Mange forskellige. F.eks. Apache vs. IIS exploit historikken, erfaringerne
> med Linux på det rå internet vs. Windows osv. Her er det største problem
> med Windows, at de fleste server operatører, der virkelig taber penge ved
> nedetid, ikke tør lægge en Microsoft patch ind på deres servere uden at
> teste det på et testsystem ved siden af først. Den slags kunder har jeg et
> par stykker af, og når hver times nedetid koster 10-20.000 kr., så er de
> glade for, at man kan opgradere en Apache webserver med under 1 sekund
> nedetid.

Med den problemstilling tror jeg ikke jeg ville "release" ny
software på mine servere uden at have kørt mindst 14 dage i en
"testbænk" forinden. En seriøs server operatør knalder sgutte bare
en ny version direkte på en driftsserver hvis nedetid er så
kostbar.
--
Hygge..
Thomas

<http://www.carftp.com> - a library of car videos.

---

Thomas Strandtoft wrote:
> En seriøs server operatør knalder sgutte bare
> en ny version direkte på en driftsserver hvis nedetid er så
> kostbar.

Jo. Det er et spørgsmål om beregning. Lad os antage, at en reetablering af
den gamle version koster op mod 10-30 minutters arbejde. Det vil med en
ekstern konsulent koste ca. 500,- kr., og ca. 5-10.000,- kr. i tabt
indtjening. Sandsynligheden herfor ligger under 1% ved brug af Red Hat
Network - jeg har i hvert fald problemer på langt under 1% af mine
opdateringer herigennem.

Herefter regner du ud, hvad det koster mere end ellers at lave en 14 dages
test, som du siger. Det kan næppe gøres for under 500,- kr. når konsulenten
koster 950,- kr. i timen. Hvis man så ser på totalomkostningerne, hvis man
foretager mange opgraderinger (n styk) (her fraregnet omkostningen ved at
konsulenten møder op og foretager opgraderingen), så får man:

Meromkostningen pga. driftsstop:

n x 1% x 10.500 = n x 105

Meromkostningen på 14-dages test:

n x 500

Med andre ord er dit forslag MEGET dyrere.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" wrote:

> Herefter regner du ud, hvad det koster mere end ellers at lave en 14 dages
> test, som du siger. Det kan næppe gøres for under 500,- kr. når konsulenten
> koster 950,- kr. i timen. Hvis man så ser på totalomkostningerne, hvis man
> foretager mange opgraderinger (n styk) (her fraregnet omkostningen ved at
> konsulenten møder op og foretager opgraderingen), så får man:

Jeg kan sagtens følge dit regnestykke, men findes der virkelig
folk med servere der tjener 10-20.000 kr. i timen som ikke har
minimum en fast tekniker ansat??

--
Hygge..
Thomas

<http://www.carftp.com> - a library of car videos.

---

Thomas Strandtoft wrote:
> Jeg kan sagtens følge dit regnestykke, men findes der virkelig
> folk med servere der tjener 10-20.000 kr. i timen som ikke har
> minimum en fast tekniker ansat??

Det ved jeg ikke - i mit tilfælde er jeg selvstændig konsulent der leverer
Linux expertise til en række webhoteller og online services, og de
teknikere, der er ansat hos mine kunder har andre opgaver end at teste
sikkerhedsopdateringer.

Men mit regnestykke var faktisk worst case. Hvis du medregner tid og energi
til opsætning af en test-server, der spejler real-life, så ryger
omkostningerne endnu mere i vejret og taler endnu mere til fordel for
automatisk opdatering.

Tænk på, at alle opdateringerne allerede er afprøvet på eksisterende Red Hat
Linux maskiner i alle afskygninger, inden de sendes ud. Test-opsætningen
skal derfor ligne din Red Hat Linux server mere end Red Hat's egne
test-servere, men hvis du bruger standard pakker hele vejen igennem, kræver
det faktisk en utrolig detaljeret kopi af driftsserveren, inkl. en utrolig
detaljeret kopi af belastningen... altså skal der også simuleres en
belastning.

Nu er jeg ikke klar over, hvor meget indsigt du har i Red Hat Linux, men en
sikkerhedsopdatering fungerer på den måde, at man f.esk. erstatter en pakke
ved navn

httpd-2.0.40-21.3 med en pakke ved navn
httpd-2.0.40-21.4

Her er der en entydig sammenhæng mellem en fil på harddisken og hvilken
pakke den tilhører. Der er derfor overhovedet ingen tvetydighed omkring,
hvilken fil, der skal udskiftes, og udskiftningen har udelukkende
indflydelse på afhjælpningen af en fejl - ikke på andre ting. Der kan måske
i visse tilfælde være tale om lidt mere komplekse opdateringer, men det er
sjældent at det drejer sig om andet end udskiftningen af en eller flere
filer med en patchet udgave, som opfører sig 100% magen til.

Hvis der så opstår en fejl, så er det et spørgsmål om at udskifte den nye
pakke med den gamle. Det tager ikke mange sekunder, men jeg har faktisk
ikke været udsat for at skulle gøre det endnu.

Jeg har enkelte gange været udsat for problemer, især i starten da de lige
havde opfundet konceptet Red Hat Network. Jeg kan ikke lige huske alle
detaljer, men f.eks. blev SSH serveren en gang ikke startet op igen efter
automatisk opdatering. Løsningen var en "service ssh start".

Jeg tror ikke at vi på de servere med størst omsætning har haft nedetider på
driften på over 1 minut nogensinde, når de har kørt med automatisk
opdatering.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

In article <3f11334e$0$5154$edfadb0f@dread11.news.tele.dk>, Lars B. Dybdahl wrote:
> Men mit regnestykke var faktisk worst case. Hvis du medregner tid og energi
> til opsætning af en test-server, der spejler real-life, så ryger
> omkostningerne endnu mere i vejret og taler endnu mere til fordel for
> automatisk opdatering.

Dette er afhængigt af edb-anlægget. Nogle anlæg kan kopiere produktionsmiljøet via
en kommando, operationen kan tager under 1, ligegyldigt hvor stort miljøet er.

Eller også kan man kører med et cluster, hvor en node tages ud, og opgraderes.
Noden sættes derefter i produktion og man holder ekstra øje med denne
Hvis den kører stabilt, opgraderes de andre noder, ellers smides den ud af clusteret.

> Tænk på, at alle opdateringerne allerede er afprøvet på eksisterende Red Hat
> Linux maskiner i alle afskygninger, inden de sendes ud. Test-opsætningen

Mener du seriøst at en patch der udkommer 4 timer efter at fx
apache har fået en mail om sårbarheden og 8 timer efter at redhat
har downloadet patchen, er gennemtestet?


Jeg ville nu fortrække at installere de patches som løser et problem i mit
miljø...hvorfor skal jeg patche OpenSSH hvis der kommer en fejl i protokol
version 1 når jeg har slået denne fra, og kun kører version 2?

---

Christian E. Lysel wrote:
> Mener du seriøst at en patch der udkommer 4 timer efter at fx
> apache har fået en mail om sårbarheden og 8 timer efter at redhat
> har downloadet patchen, er gennemtestet?

Nej - men hvis den kommer ud så hurtigt, så er det nok fordi den er vigtig.

Hvad ville det koste hvis man blev inficeret? Som sagt, så er det hele et
spørgsmål om risk management.

> Jeg ville nu fortrække at installere de patches som løser et problem i mit
> miljø...hvorfor skal jeg patche OpenSSH hvis der kommer en fejl i protokol
> version 1 når jeg har slået denne fra, og kun kører version 2?

Helt enig. Men automatisk opdatering er en teknologi der udvikler sig hele
tiden. For et år tilbage kunne man kun automatisk opdatere en Red Hat Linux
med Red Hat Network, hvis man smed "update -u" ind i cron. Nutildags kan
man slå det til på websiderne, og på et tidspunkt får vi nok meget mere
detaljeret styring af netop opdateringsbehovet.

Jeg plejer at sammenligne Red Hat Network med en slags automatiseret
outsourcing af en del af edb-driften, og jeg mener helt klart, at
automatisering er vejen til økonomisk vækst og vækst i produktivitet samt
nedbringelse af udgifter. Da vores samfund kræver vækst, vil en fortsat
manuel styring af alle opdateringer medføre, at vi må skære kraftigt andre
steder.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

Thomas Strandtoft <thomas.strandtoft@anderledes.dk> wrote:

>En seriøs server operatør knalder sgutte bare
>en ny version direkte på en driftsserver hvis nedetid er så
>kostbar.

Hvis nedetiden er saa kostbar, har man saa raad til at udsaette
sig for angreb via et kendt sikkerhedshul i 14 dage, mens man
tester lappen for dette hul?

Hvis ikke automatisk sikkerhedsopdatering af udsatte systemer
giver hoejere oppetid end lejlighedsvis manuel opdatering, boer
man maaske spekulere over, om man toer stole paa noget som helst
fra den softwareleverandoer.


--
Allan Olesen, Lunderskov.
Danske musikere tjener penge ved ulovlig softwarekopiering.

---

Allan Olesen wrote:

> Hvis nedetiden er saa kostbar, har man saa raad til at udsaette
> sig for angreb via et kendt sikkerhedshul i 14 dage, mens man
> tester lappen for dette hul?

Nej, det mener jeg ikke. Der kan selvfølgelig opstå situationer
hvor man har behov for at handle hurtigt og så må man gå på køb
med testfasen. Når jeg kigger på bugfix lister synes jeg dog
hyppigst jeg støder på ting som fejlretninger af funktioner der
ikke fungerede efter hensigten, måske noget med at softwaren går i
knæ hvis databasen eller logfilen når en vis størrelse og den
slags. Der er jo ikke noget i vejen for at hente bugfix listen for
nyeste opdatering og udfra den vurdere om der er noget
"missionskritisk" eller om man har tid til at undvære opdateringen
i nogle uger..

--
Hygge..
Thomas

<http://www.carftp.com> - a library of car videos.

---

Thomas Strandtoft <thomas.strandtoft@anderledes.dk> wrote:

>Nej, det mener jeg ikke. Der kan selvfølgelig opstå situationer
>hvor man har behov for at handle hurtigt og så må man gå på køb
>med testfasen. Når jeg kigger på bugfix lister synes jeg dog
>hyppigst jeg støder på ting som fejlretninger af funktioner der
>ikke fungerede efter hensigten,

Baade MS og diverse Linux-distributoerer skelner mellem
sikkerhedsopdateringer og oevrige opdateringer.


--
Allan Olesen, Lunderskov.
Danske musikere tjener penge ved ulovlig softwarekopiering.

---

> Linux fordi det er "safe by design", dvs. det er designet til at begå sig
i
> et netværks- og flerbrugermiljø lige fra starten, modsat DOS/Windows
> verdenen. Et eksempel: Når du modtager en fil per e-mail, kan den på ingen
> måde af afsenderen markeres som værende udførbar (executable), hvilket nok
> er den største forskel til Windows.

I Windows med NTFS skal en .exe fil da også have rettigheden "read and
execute", før den pågældende bruger
kan udføre programmet. Jeg ser ikke nogen forskel i designet her. Har jeg
overset noget?

Mvh.

Lauge

---

Lauge wrote:
> I Windows med NTFS skal en .exe fil da også have rettigheden "read and
> execute", før den pågældende bruger
> kan udføre programmet. Jeg ser ikke nogen forskel i designet her. Har jeg
> overset noget?

Ja - i Linux kræver det en ekspertviden (viden om flaget og hvordan man
sætter det) eller et installationsprogram (som typisk er en RPM pakke eller
lign). I praksis betyder det ikke andet end at man kun får nye programmer
lagt ind, når man virkelig vil det.

I Windows sker det helt automatisk pga. bagudkompatiblitet. Det er en
afgørende forskel, og automatikken skyldes at Windows oprindeligt ikke var
designet til, at executable var slået fra.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" <Lars@dybdahl.dk> writes:

>Et eksempel: Når du modtager en fil per e-mail, kan den på ingen
>måde af afsenderen markeres som værende udførbar (executable), hvilket nok
>er den største forskel til Windows.

Det skyldes i så fald primært, at Linux's mailprogrammer ikke
overholder encoding-standarderne. Bevares, det er en feature
i det daglige, men i bund og grund en lappeløsning der er
Microsoft værdig.

>Jeg er godt klar over, at man så på
>Windows prøver at lappe på de sikkerhedshuller ved f.eks. ikke at tillade,
>at man dobbeltklikker på en fil, hvis filnavn ender på ".exe", hvis den
>hentes fra bestemte steder, men det grundlæggende problem, at ".exe"
>filendelsen gør en filudførbar, er ikke løst.

Samme gør sig gældende for standard-compliant mailprogrammer
på Linux. En uuencoded fil, der starter med "begin 755 fil.sh"
og indeholder "#!/bin/sh" efterfulgt af "ond kode", har samme
egenskaber på Linux, hvis ens mailprogram ellers har styr på
at decode uuencoded indhold korrekt. Samme kan opnås med MIME.

Forskellen ligger udelukkende i interfacet: det er de færreste
Unix-programmer, hvor man direkte kan klikke på et attachment.
Intet som helst andet. Hvis Outlook Express blev ported til
Linux, ville problemet på Linux være nøjagtigt det samme.

Ergo er der intet galt med Windows overhovedet på dette punkt -
i hvert fald ikke mere, end der er galt med Linux. Nåja, måske
lige med undtagelse af detaljen med, at cwd er med i path'en på
Windows.

>Der er selvfølgelig også fejl i Linux, men sålænge man får lukket alle
>kendte fejl, så reducerer man risikoen ganske meget. Jeg kender endnu ikke
>til en eneste, der har haft virus eller orm på en Linux maskine.

Det skyldes primært, at Linux-folk ofte er mere opsatte på at
holde deres systemer opdateret. Ellers var de formentlig blevet
angrebet af dender Linux-orm, der huserede for et par år siden.

>Virkelighedens resultater peger med andre ord på, at det er en meget stor
>sikkerhedsfordel at bruge Linux.

....i de tilfælde hvor Linux tilbyder samme funktionalitet, OG
man har en administrator, der kan styre en Linux-maskine.

Mvh.
   Klaus.

---

Klaus Ellegaard wrote:
>>Et eksempel: Når du modtager en fil per e-mail, kan den på ingen
>>måde af afsenderen markeres som værende udførbar (executable), hvilket nok
>>er den største forskel til Windows.
> Det skyldes i så fald primært, at Linux's mailprogrammer ikke
> overholder encoding-standarderne.

Tvivler - hvad skulle det være? En executable på Unix/Linux kendes ved, at
den i filsystemet har executable-flaget sat. Da filen ikke befinder sig i
filsystemet, har jeg svært ved at se muligheden for at markere den
executable.

> En uuencoded fil, der starter med "begin 755 fil.sh"
> og indeholder "#!/bin/sh" efterfulgt af "ond kode", har samme
> egenskaber på Linux, hvis ens mailprogram ellers har styr på
> at decode uuencoded indhold korrekt.

Nej. Se ovenstående.

> Forskellen ligger udelukkende i interfacet: det er de færreste
> Unix-programmer, hvor man direkte kan klikke på et attachment.

Øh? Du overrasker mig. De mest almindeligt anvendte hos brugere uden særlig
viden plejer at være Evolution, KMail og Mozilla. Alle tre kan dette.

> Intet som helst andet. Hvis Outlook Express blev ported til
> Linux, ville problemet på Linux være nøjagtigt det samme.

Ikke med mindre Outlook Express ville sætte executable flaget på de filer,
der havde bestemte endelser. Da Linux ikke bruger endelser sådan som
Windows gør det, så skulle Outlook Express have en liste over filendelser
indbygget, som den så skulle sætte sit flag på. Hvad skulle den liste
indeholde?!?!? De fleste af mine programfiler på Linux har ingen endelse
overhovedet...

> lige med undtagelse af detaljen med, at cwd er med i path'en på
> Windows.

En af mange.

> Det skyldes primært, at Linux-folk ofte er mere opsatte på at
> holde deres systemer opdateret.

Nej. En fuldt opdateret Windows er stadigvæk ufattelig usikker.

> ...i de tilfælde hvor Linux tilbyder samme funktionalitet, OG
> man har en administrator, der kan styre en Linux-maskine.

Jep.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" <Lars@dybdahl.dk> writes:

>Tvivler - hvad skulle det være? En executable på Unix/Linux kendes ved, at
>den i filsystemet har executable-flaget sat. Da filen ikke befinder sig i
>filsystemet, har jeg svært ved at se muligheden for at markere den
>executable.

Præcis:

>> En uuencoded fil, der starter med "begin 755 fil.sh"

755 er netop den filemode, som uudecode vil efterlade filen med
efter den er decoded. I dette tilfælde -rwxr-xr-x, og ens mail-
program vil dermed gøre filen executable. Hvis mailprogrammet
altså overholder standarden.

Hvis uudecoderen opfører sig ordentligt, bliver filen executable.

>> Forskellen ligger udelukkende i interfacet: det er de færreste
>> Unix-programmer, hvor man direkte kan klikke på et attachment.

>Øh? Du overrasker mig. De mest almindeligt anvendte hos brugere uden særlig
>viden plejer at være Evolution, KMail og Mozilla. Alle tre kan dette.

Oh well, nu har jeg aldrig kørt mail under X på et Unix-system.
Jeg bruger mutt. Det er godtnok svært at klikke med den

>Ikke med mindre Outlook Express ville sætte executable flaget på de filer,
>der havde bestemte endelser. Da Linux ikke bruger endelser sådan som
>Windows gør det, så skulle Outlook Express have en liste over filendelser
>indbygget, som den så skulle sætte sit flag på. Hvad skulle den liste
>indeholde?!?!? De fleste af mine programfiler på Linux har ingen endelse
>overhovedet...

Nej, men de har filemodes - se ovenstående uudecode-ting.

>> Det skyldes primært, at Linux-folk ofte er mere opsatte på at
>> holde deres systemer opdateret.

>Nej. En fuldt opdateret Windows er stadigvæk ufattelig usikker.

Dokumentation?

Mvh.
   Klaus.

---

Klaus Ellegaard wrote:
>>> En uuencoded fil, der starter med "begin 755 fil.sh"
> 755 er netop den filemode, som uudecode vil efterlade filen med

Hmmm... den havde jeg ikke set men det er da praktisk, at
executable-flaget er separat, så man nemt kan undgå det. Jeg mener dog
ikke, at det absolut er en undgåelse af standarden at ignorere 755 ved
udlæsning - definerer standarden ikke kun selve formatet?

> Oh well, nu har jeg aldrig kørt mail under X på et Unix-system.
> Jeg bruger mutt. Det er godtnok svært at klikke med den

Det tror jeg på

>>Nej. En fuldt opdateret Windows er stadigvæk ufattelig usikker.
> Dokumentation?

Hvad slags? Hvis vi udelukkende snakker om en almindelig, opdateret Windows
XP Home, så er den største sikkerhedsbrist nok at brugeren er administrator
over maskinen, at alle programmer er skrivbare osv.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

Lars B. Dybdahl skrev:

> Ikke med mindre Outlook Express ville sætte executable flaget på de
> filer, der havde bestemte endelser. Da Linux ikke bruger endelser
> sådan som Windows gør det, så skulle Outlook Express have en liste
> over filendelser indbygget, som den så skulle sætte sit flag på. Hvad
> skulle den liste indeholde?!?!?

Hvis File kommandoen var installeret, kunne OE jo bruge magic, det aner
jeg ikke om det er på Red Hat:

<URL: http://www.die.net/doc/linux/man/man5/magic.5.html >

---

Thomas Strandtoft <thomas.strandtoft@anderledes.dk> wrote:

>Hvem sikrer at de patches der automatisk skovles hjem ikke har
>uopdagede sikkerhedshuller og derfor rent faktisk saboterer et
>ellers sikkert system?

Eller endnu vaerre:
Hvem sikrer, at de patches, man henter hjem, overhovedet stammer
fra det rigtige sted?

Filer hentet fra Windows Update er signerede og dermed svaere at
forfalske for en angriber.

Hvis man under f.eks. Debian Linux henter og installerer sine
sikkerhedsopdatering med 'apt-get upgrade', bliver der ikke
checket nogen signatur (selv om der dog arbejdes paa at
implementere et saadant check). Jeg er ikke klar over, om RedHat
Linux's automatiske opdatering benytter signaturcheck.

Men generelt har Linux masser af svagheder. Jeg vil stole mere
paa en ordentligt opsat Linux-maskine end en ordentligt opsat
Windows-maskine, men det kraever altsaa, at den _er_ ordentligt
opsat. Problemet er bare: Hvem gider opsaette Linux ordentligt,
naar nogle personer forleder folk til at tro, at bare det er
Linux, er det ogsaa sikkert.


--
Allan Olesen, Lunderskov.
Danske musikere tjener penge ved ulovlig softwarekopiering.

---

hej der

Jeg siger tak for alle de gode svar og vil tænke over sagerne og vælge en
løsning mens jeg sidder på Väneren i sverige de næste 14 dage og troller
ørred og laks .
Endnu engang tak for gode input

mvh

Brian


"Allan Olesen" <aolesen@post3.tele.dk> wrote in message
news:3f084a5e$0$76050$edfadb0f@dread11.news.tele.dk...
> Thomas Strandtoft <thomas.strandtoft@anderledes.dk> wrote:
>
> >Hvem sikrer at de patches der automatisk skovles hjem ikke har
> >uopdagede sikkerhedshuller og derfor rent faktisk saboterer et
> >ellers sikkert system?
>
> Eller endnu vaerre:
> Hvem sikrer, at de patches, man henter hjem, overhovedet stammer
> fra det rigtige sted?
>
> Filer hentet fra Windows Update er signerede og dermed svaere at
> forfalske for en angriber.
>
> Hvis man under f.eks. Debian Linux henter og installerer sine
> sikkerhedsopdatering med 'apt-get upgrade', bliver der ikke
> checket nogen signatur (selv om der dog arbejdes paa at
> implementere et saadant check). Jeg er ikke klar over, om RedHat
> Linux's automatiske opdatering benytter signaturcheck.
>
> Men generelt har Linux masser af svagheder. Jeg vil stole mere
> paa en ordentligt opsat Linux-maskine end en ordentligt opsat
> Windows-maskine, men det kraever altsaa, at den _er_ ordentligt
> opsat. Problemet er bare: Hvem gider opsaette Linux ordentligt,
> naar nogle personer forleder folk til at tro, at bare det er
> Linux, er det ogsaa sikkert.
>
>
> --
> Allan Olesen, Lunderskov.
> Danske musikere tjener penge ved ulovlig softwarekopiering.

---

Allan Olesen wrote:
> Hvem sikrer, at de patches, man henter hjem, overhovedet stammer
> fra det rigtige sted?

Red Hat bruger GnuPG signaturer på sine pakker, så uanset hvor de kommer
fra, så skal de være digitalt underskrevet af Red Hat før de bliver
anvendt.

> Hvis man under f.eks. Debian Linux henter og installerer sine
> sikkerhedsopdatering med 'apt-get upgrade', bliver der ikke
> checket nogen signatur (selv om der dog arbejdes paa at
> implementere et saadant check).

Interessant - jeg troede faktisk, at Debian havde styr på den slags.

> Problemet er bare: Hvem gider opsaette Linux ordentligt,
> naar nogle personer forleder folk til at tro, at bare det er
> Linux, er det ogsaa sikkert.

Det er bl.a. derfor, at det er ekstremt vigtigt, at Linux distributionen
stort set kan bruges som den er og ikke skal tilpasses. Det gør også
dokumentation meget nemmere. Jeg bruger selv udelukkende Red Hat løsningen,
hvis der findes sådan en, netop for at gøre det nemt at supportere,
dokumentere osv.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" wrote:

> > Problemet er bare: Hvem gider opsaette Linux ordentligt,
> > naar nogle personer forleder folk til at tro, at bare det er
> > Linux, er det ogsaa sikkert.
>
> Det er bl.a. derfor, at det er ekstremt vigtigt, at Linux distributionen
> stort set kan bruges som den er og ikke skal tilpasses.

Det bliver da ikke sikrere af at du bruger en default
installation, det giver jo netop skumle personer mulighed for at
"klone" din opsætning så de har en ordentlig "testbænk" at øve sig
på inden de vælter dit system..

Tilpasning er vigtig. Jeg render konsekvent mine installationer
igennem med en tættekam og lukker alle processer jeg ikke har brug
for. Jeg bruger yderst sjældent default installationer, ofte
vælger jeg andre navne på directories, vælger "atypisk" software
og holder generelt "kortene tæt ind til kroppen". Programmøren af
en virus vil typisk sigte mod at nakke flest mulige systemer. I
stedet for at lave en kompliceret virus der kan tage højde for
mine "sære" installationer er det langt nemmere at skræddersy en
der rammer standardinstallationer og så satse på at rigtigt mange
dovne personer blot vælger at lade deres software
defaultinstallere.

Hvis jeg tolker dig korrekt, så gør du dine installationer
forudsigelige og nemme at gennemskue, samt bilder folk ind at de
ikke behøver at passe på hvordan de omgås softwaren da den er
sikker i sig selv.. Har du flere indrømmelser??

> Det gør også
> dokumentation meget nemmere. Jeg bruger selv udelukkende Red Hat løsningen,
> hvis der findes sådan en, netop for at gøre det nemt at supportere,
> dokumentere osv.

Din dovenskab er en akilleshæl.. Bare for at sætte sagen på
spidsen, bruger du så også default passwords da de er nemmere at
huske??

--
Hygge..
Thomas

<http://www.carftp.com> - a library of car videos.

---

Thomas Strandtoft <thomas.strandtoft@anderledes.dk> writes:

>"Lars B. Dybdahl" wrote:

>Tilpasning er vigtig. Jeg render konsekvent mine installationer
>igennem med en tættekam og lukker alle processer jeg ikke har brug
>for. Jeg bruger yderst sjældent default installationer, ofte
>vælger jeg andre navne på directories, vælger "atypisk" software
>og holder generelt "kortene tæt ind til kroppen".

"Security by obscurity" har aldrig hjulpet nogen. Det er bare et
helvede for ham, der kommer efter og skal forsøge at overtage et
system.

>Programmøren af en virus vil typisk sigte mod at nakke flest
>mulige systemer. I stedet for at lave en kompliceret virus der
>kan tage højde for mine "sære" installationer er det langt
>nemmere at skræddersy en der rammer standardinstallationer og
>så satse på at rigtigt mange dovne personer blot vælger at lade
>deres software defaultinstallere.

Forskellen er ens. Bevares, du kan flytte /etc/passwd over i
/kjefhsjdi7/jdfsjkhf/804584/jldkjsdfj/jhdfjldsfj/ehfh/kodeord,
men hvad hjælper det, når setpwent() alligevel finder den?

En bedre filosofi er, at hvis man har brug for obscurity, har
man allerede tabt på forhånd.

Mvh.
   Klaus.

---

Klaus Ellegaard wrote:

> >vælger jeg andre navne på directories, vælger "atypisk" software
> >og holder generelt "kortene tæt ind til kroppen".
>
> "Security by obscurity" har aldrig hjulpet nogen. Det er bare et
> helvede for ham, der kommer efter og skal forsøge at overtage et
> system.

Det var ment i lidt bredere forstand end blot at skifte directory
navne, jeg tænker også på valg af applikationer. Sat overfor en
der målrettet ønsker at vælte lige præcis mit system er obskur
software ikke nødvendigvis en bedre sikkerhed end at bruge
mainstream software, men overfor generelle angreb sover jeg
roligere når jeg fx. ikke bruger MS IIS.

--
Hygge..
Thomas

<http://www.carftp.com> - a library of car videos.

---

Thomas Strandtoft wrote:
> Det bliver da ikke sikrere af at du bruger en default
> installation

Det kommer an på situationen. I dette tilfælde går sikkerheden på, at
default konfigurationen er efterset af folk med faglig viden om sikker
konfiguration, men at ændringer foretaget af en vilkårlig administrator
ikke er kontrolleret, gennemset eller testet af sikkerhedseksperter. Vi
taler derfor her om QA af opsætningsproceduren, når Red Hat's
konfigurationer vælges.

> Tilpasning er vigtig. Jeg render konsekvent mine installationer
> igennem med en tættekam og lukker alle processer jeg ikke har brug
> for.

Samme her. Men jeg mener ikke, at det at lukke en service er en større
afvigelse fra default opsætning. Når jeg beskriver default opsætning, så er
det f.eks. at bruge postfix som den er, uden at åbne for eksterne
ip-adresser og uden at erstatte den med q-mail. Det kan selvflg. være
krævet at skulle åbne for eksterne indgående e-mails, men i så fald kræver
jeg at det dokumenteres at det er blevet gjort på en server.

> Jeg bruger
> vælger jeg
> mine "sære" installationer

Vær lige opmærksom på, at de servere, som jeg sætter op, skal kunne
håndteres og administreres af andre. Disse personer skal kunne foretage
ændringer på en måde, så de bruger mindst mulig tid på ændringen, at
driften ikke forstyrres og at serveren er sikker og veldokumenteret
bagefter. At ændre på en standard-ting kræver dokumentation, og
dokumentation skal læses hvis den giver mening. Så jo mere der laves om i
forhold til standard opsætningen, jo dyrere bliver det. Og så skal man
begynde at regne på cost/benefit. En konsulent der koster 950,- kr. i timen
plus moms kan hurtig blive en dyr fornøjelse, hvis et omdøbt filnavn giver
en times ekstra arbejde hist og her.

> Hvis jeg tolker dig korrekt, så gør du dine installationer
> forudsigelige og nemme at gennemskue, samt bilder folk ind at de
> ikke behøver at passe på hvordan de omgås softwaren da den er
> sikker i sig selv.

Det er helt korrekt. Du skal her huske sammenhængen med det virkelige liv -
vi snakker folk, der på deres Windows maskiner bruger adgangskoder som
"pia", "password", "1234", "januar2004" osv. Vi snakker om folk, der ikke
ved, hvad ordet "directory" betyder, ikke kender forskellen mellem Word og
Windows, og sætter deres tastatur til harddisken når de samler en PC. Men
jeg husker også altid at fortælle dem, at systemet ikke er 100% sikkert, og
at et 100% sikkert system per definition ikke er tilkoblet internettet.

> Din dovenskab er en akilleshæl..

Nej. Mit lave tidsforbrug og min høje kundetilfredshed er mine
konkurrenceparametre. Og det er meget afgørende, om man kan nå at sætte 1
eller 3 servere op på en dag.

> Bare for at sætte sagen på
> spidsen, bruger du så også default passwords da de er nemmere at
> huske??

Det findes ikke i Linux. Men jeg kan oplyse dig om, at mit eget password på
min lokale maskine er på mellem 20 og 28 tegn, og består af lidt af hvert.
Af den simple grund, at man kan hacke en md5 sum for korte passwords lidt
for nemt med brute force.

Lars.

--
Dybdahl Engineering
http://dybdahl.dk/

GnuPG nøgle: http://dybdahl.dk/lars/gpg/

---

"Lars B. Dybdahl" <Lars@dybdahl.dk> writes:

>Vær lige opmærksom på, at de servere, som jeg sætter op, skal kunne
>håndteres og administreres af andre. Disse personer skal kunne foretage
>ændringer på en måde, så de bruger mindst mulig tid på ændringen, at
>driften ikke forstyrres og at serveren er sikker og veldokumenteret
>bagefter. At ændre på en standard-ting kræver dokumentation, og
>dokumentation skal læses hvis den giver mening. Så jo mere der laves om i
>forhold til standard opsætningen, jo dyrere bliver det.

Helt enig. Lad endelig alting ligge hvor det skal og bør ligge.
Der er ikke noget værre end at komme ind på en maskine, man kun
har sporadisk kendskab til, og skulle til at lede efter noget -
eller sætte sig ind i noget underligt non-standard miskmask.

Når man besøger den slags systemer, er klokken altid 3 om natten,
og der sidder en frustreret kunde i den anden ende af et eller
andet telefonrør. Jo hurtigere, det kommer til at køre igen, jo
bedre er det.

Mvh.
   Klaus.