Критические уязвимости в Linux, Tor и Chromium: Безопасность открытого ПО под угрозой

Эти результаты свидетельствуют о глубоком кризисе безопасности в открытом ПО, серьёзно ставя под сомнение их надёжность и защищённость.

С одной стороны - а где можно увидеть исходники к примеру astra linux ?

С другой стороны - можете почитать к примеру про https://www.webpronews.com/red-hat-moves-one-step-closer-to-in-vehicle-linux-systems/

Понятно что новость это заказуха, и понятно от кого и для чего. Как бы они уже не рыпались МС уже рип в нашей стране. Просто в виду объемов и большого кол-ва виндовс не до админов, текущая ситауция будет еще тянуться долго … но ни че, время вылечит.

Синьюс окончательно превратился в помойку. Жаль.

В Linux 95% небезопасного кода!!!

.
Почему не такой заголовок?

/* прикладывает резиновую банную уточку к экрану */ Н-да… жёлтенько.

Игнорируя переход на безопасные языки, такие как Rust или Java,

Java

Опустим момент, что CVE выхода из песочницы в жаве находят чуть ли не каждый день. Мякотка в том, что такие вот писаки абсолютно не представляют себе объем ресурсов, требуемый, чтобы запустить систему, все компоненты и системные утилиты которой написаны на Java.

Там целых 98.6778 процентов

Зачем этот бред сюда тащить?

Блин, ну ты сразу добавляй тэг cnews

В чем именно заключается бред?

Еще лучше: а Tor 99% небезопасного кода! Пользуясь якобы анонимным интернетом в приглашаете на свой компьютер одновременно агентов ЦРУ, ФСБ, Моссад и MI-6!

Даже если не принимать во внимание, что баги с управлением памятью являются лишь частью всех возможных, скажи, раст и джава защищены от циклических ссылок?

Исследование CISA выявило катастрофические уязвимости в Linux, Tor и Chromium, содержащие 95%, 93% и 51% небезопасного кода соответственно.

хотел пошутить про хРуст, а они уже за меня это сделали

Игнорируя переход на безопасные языки, такие как Rust или Java

В самом понятии «небезопасного языка». Это маркетинговый буллшит.

На Си можно писать безопасный код. Просто контроль над памятью при этом ложится на программиста и специальные утилиты – статические анализаторы и memory checker-ы. Эффективность кода при этом не снижается, в отличие от перехода на «безопасные» языки.

Мне вот интересно, почему ТС намеренно извратил первоисточник, основной посыл которого состоит просто в том, что софт написан на «небезопасных» языках. Вот первый абзац первоисточника:

Программное обеспечение с открытым кодом являет собой кладезь «дыр» и уязвимостей, показало исcледование CISA. Его пишут на так называемых «небезопасных» языках, которые не умеют правильно защищать память. Linux на 95% состоит из небезопасного кода, Tor – на 93%, и даже браузер Chromium, основа «Яндекс браузера» – на 51%. Вина лежит на разработчиках, которые не спешат отказываться от устаревших, но привычных им языков программирования.

Сравните с тем, что написал TC. За такие вещи надо банить!

Каждая строка в твоём посте маркетинговый бред. Это как заказную газету читать.

Эти результаты свидетельствуют о глубоком кризисе безопасности в открытом ПО

Пардон, а Edge, Opera, Safari написаны на джавах и свифтах?

Да не сильно и извратил - что там бред, что у тс бред. Просто там бред подан в чуть более обтекаемых журналамерских фразах, а тс обтекаемость убрал.

Ну да, и экскаватор - маркетинговый буллшит, ведь можно просто нанять пучок батраков с лопатами! Когда говорится «безопасный» подразумевается, естественно, другой уровень безопасности при одинаковых затратах ресурсов на обслуживание кода.

Недавно попалась очень длинная и достаточно серьезная статья на эту тему: https://medium.com/@john_25313/c-isnt-a-hangover-rust-isn-t-a-hangover-cure-580c9b35b5ce

Не ожидал такого от Turbo Pascal.

Ну да иногда лучше пучок батраков с лопатами, а не гнать 20 тонный экскаватор(java) или экскаватор в виде сабери сам без запчастей и с документацией на китайском и без специалистов (хруст). Сама подача исходит из того что есть некоторая панацея, а программисты по своей глупости не хотят этой панацеей пользоваться, что бред сивой кобылы для любого кто хоть немного в теме.

На Си можно писать безопасный код. Просто контроль над памятью при этом ложится на программиста и специальные утилиты – статические анализаторы и memory checker-ы. Эффективность кода при этом не снижается, в отличие от перехода на «безопасные» языки.

Охлол! Ну ты вот сам эти специальные утилиты использовал? У среднего сишника мозг лопнет от попыток писать инварианты для FramaC.

Ничего не понял. Что это за проценты? Как их считали?

Я использовал valgrind, cppcheck и Coverity Scan. С Frama-C дел не имел, хорошо бы потыкать. Хотя ЯП они, конечно, выбрали…

Что это за проценты? Как их считали?

Очень просто! Продажные журнашлюшки объявили С и С++ «небезопасными». Потом смотрят сколько в программе написано на С, для Tor получили 93%. Значит Tor на 93% небезопасен по их мнению. И нужно срочно переписывать его на джаве и ржавчине, которые объявлены «безопасными». Этакие «нацисты» в сфере языков программирования.

Отличный пример пропаганды!

Вот именно в таком ключе подается примерно 99% всех новостей о политике, из «жизни знаменитостей» и «криминал».

Года два уже как. Сплошь победные реляции про китайские мипсы и хуавей.

Ну да, а на улице можно получить перо в бочину от рандомного гопника. Значит ли это, что нужно каждый день ходить в полной броне?

Я просто оставлю это здесь:

«26 июня на одном из форумов даркнета на продажу за лям в баксах был выставлен эксплойт для zero-day уязвимости в Google Chrome, позволяющий, со слов разработчика, выйти за пределы песочницы браузера и выполнить вредоносный код на компьютере пользователя.

— По заверениям разработчика, работа эксплойта была успешно протестирована в версиях Chrome 126.0.6478.126 и 126.0.6478.127, запущенных в Windows 10 21H1 и 21H2. Однако, есть вероятность, что успешная эксплуатация возможна и в других версиях браузера, на иных версиях Windows.»

Игнорируя переход на безопасные языки, такие как Rust или Java

про яву сильно понравилось :-) большинство атак на корпоративный сектор бьют в софт на яве (просто её там много). Многие попадают.

надёжность софта и «безопасность» языка - вещи вообще ортогональные. Ошибки делают не программы, их делают разработчики

если всё переписать на Rust - будет такое-же решето, и даже хуже (квалифицированных кадров меньше чем с С/C++)

Хуже-то, может, и не будет. Но лучше точно не будет.

valgrind

Это не статический анализатор.

cppcheck

Слишком простая штука.

Coverity Scan

Закрытая проприетарщина.

С Frama-C дел не имел, хорошо бы потыкать. Хотя ЯП они, конечно, выбрали…

Вот именно. Как я и написал, у среднего сишника мозг лопнет доказывать корректность своего кода статическими методами.

На Си можно писать безопасный код. Просто

…не пишут.

Frama-C

Интересная штука. Хотя мне показалось, что это х2 писанины. Плюс, если логически зафакапить условие корректности, то можно в некоторых случаях добиться доказательства корректности некорректного кода. Есть опыт использования?

Эти результаты свидетельствуют о глубоком кризисе безопасности в открытом ПО

Так используй закрытое ПО, в чем проблема?

Плюсую. Всем известно, что в закрытом ПО уязвимостей нет.

Интересная штука.

До кучи: https://www.cprover.org/cbmc

Интересная штука. Хотя мне показалось, что это х2 писанины.

Да, так и есть. В лучшем случае x2.

Для верификации seL4 (порядка 5к строк C) потребовалось частично написать, частично нагенерить (хачкеллом лол) около 200к строк пруфов на Isabelle. То есть, x40 писанины. Можешь почитать про это тут.

И ещё потребовалось сделать отдельный компилятор (CompCert), для которого потребовались примерно аналогичные пруфы. Там чуть проще, потому что CompCert написан на Coq, а не C.

Во многом из-за всего этого ада, абсолютно упоротой модели выполнения у Си и чудовищной жырноты сишных компиляторов (gcc и clang уже в несколько миллионов строк кода ушли каждый) куда проще взять нормальныхй язычок и с Си вообще не связываться, если ты находишься в ситуации, когда баг в коде грозит отрывом жопы.

Поэтому, когда сишники бьют себя пяткой в член и заявляют, что дескать какие-то там статические анал-лизаторы могут гарантировать отсутствие багов в их говнокоде, в первую очередь над этими сишниками надо насмехаться, ибо они совсем не ведают что несут.

Плюс, если логически зафакапить условие корректности, то можно в некоторых случаях добиться доказательства корректности некорректного кода.

«Если написать говно, будет говно.»

Есть опыт использования?

Только хелловорлды. Я просто говнокодеришка на убогоньком недоязычке.

С другой стороны, многие вообще не парятся относительно верификации существующего кода и просто генерят сишный код из заранее написанных спеков на каком-нибудь Coq.

Мде, на синевс имя автора не кликабельно и в тексте нет ссылок на первоисточник, зато навалены ссылки на всякую хрень. Статья просто эталон заказной желтухи. Может это просто троль наброс в сторону СПО, дабы взбудоражить и поглядеть что будет. А если там реально эти CISA сделали такие и именно такие выводы и в такой же манере, то ещё хуже. Ну лол, кек, что ещё сказать.

С другой стороны, многие вообще не парятся относительно верификации существующего кода и просто генерят сишный код из заранее написанных спеков на каком-нибудь Coq.

Языки должны быть такими, чтобы один человек мог написать или проверить весь код. А во что оно там компилируется - это дело третье.

Языки должны быть такими, чтобы один человек мог написать или проверить весь код.

lol

А во что оно там компилируется - это дело третье.

lmao even

Зря брыкаетесь. Бесконечно пухнуть код не может. Программа должна быть функционально осмысливаемой.

В конце концов это чуть не единственное, для чего придуман ИИ - для программирования на человеческом языке

Зря брыкаетесь. Бесконечно пухнуть код не может. Программа должна быть функционально осмысливаемой.

В слюнексовом ведре уже сколько? 40 миллионов строк? И ведь пухнет дальше!

В конце концов это чуть не единственное, для чего придуман ИИ - для программирования на человеческом языке

А я думал, чтобы голых баб генерить…

Кстати, а кто и как будет ИИ осмысливать?

В слюнексовом ведре уже сколько? 40 миллионов строк? И ведь пухнет дальше!

И вам кажется, что это хорошо? ) И вам кажется, что это с грехом пополам слепленное поделие - образец для подражания и хорошая переспектива на будущее? )

А я думал, чтобы голых баб генерить…

Я не удивлен

И вам кажется, что это хорошо? ) И вам кажется, что это с грехом пополам слепленное поделие - образец для подражания и хорошая переспектива на будущее? )

Нет, конечно. Если ты почитаешь мои посты тут, я слюникс постоянно говно поливаю.

Только ИИ для этого не нужен и даже ЯП менять особо не требуется. Если бы слюникс был микроядром со стабильным ядерным API, проблемы бы не было. Даже просто стабильного ядерного API хватило бы, чтобы вынести большую часть кода за пределы ядра. Но жырный швед Лойнос Торовалтос написал stable-api-nonsense-lmao.txt, и поэтому люнекс сосёт.

Только ИИ для этого не нужен и даже ЯП менять особо не требуется.

Но лучше поменять. В конце концов, ЯП - это конструктор, который должен упрощать работу. Код из сорока миллионов строк, который никто не в состоянии проверить целиком - это признак того, что работа пошла в тупиковом направлении, а монстрокод живет уже сам по себе как неизбежное зло.

Даже просто стабильного ядерного API хватило бы, чтобы вынести большую часть кода за пределы ядра.

Это частичное решение. Оно лучше, но части все равно будут продолжать пухнуть.

Это частичное решение. Оно лучше, но части все равно будут продолжать пухнуть.

Ииии как от этого что-то вообще может спасти? Если программисты будут писать много кода, его будет много. Кто бы мог подумать?

Но лучше поменять. В конце концов, ЯП - это конструктор, который должен упрощать работу. Код из сорока миллионов строк, который никто не в состоянии проверить целиком - это признак того, что работа пошла в тупиковом направлении, а монстрокод живет уже сам по себе как неизбежное зло.

Когда размер проекта измеряется сотнями тысяч строк, способность одного человека всё это осознать заканчивается. Сорян, тут ничего не поделаешь. Большие сложные системы – большие и сложные.

Ииии как от этого что-то вообще может спасти? Если программисты будут писать много кода, его будет много. Кто бы мог подумать?

Еще раз напомню: ЯП - это конструктор. В вашем варианте народ валом пишет код из гаечек, шайбочек, болтиков и винтиков. В результате получается конструкция из сорока миллионов мелких деталек, которая малопонятно на чем держится. Если где-то шатается - в то место добавляется еще болтик.

В моем варианте часть народа создает конструктор, часть - собирает из частей конструктора конечное изделие. При этом каждый участник способен более-менее осмыслить происходящее.

Когда размер проекта измеряется сотнями тысяч строк, способность одного человека всё это осознать заканчивается. Сорян, тут ничего не поделаешь. Большие сложные системы – большие и сложные.

А не надо делать проекты в сотни тысяч строк. Это значит что этой задачи нужен более высокоуровневый или более специализированный язык.

Еще раз напомню: ЯП - это конструктор.

Абсолютно ничего не значащее утверждение.

В моем варианте часть народа создает конструктор, часть - собирает из частей конструктора конечное изделие.

В твоём варианте – это в каком? Примеры такого варианта? Потому что пока ты сыплешь тут ничего особо не значащими метафорами.

А не надо делать проекты в сотни тысяч строк.

«Не надо делать плохо, надо делать хорошо, чтобы всё было хорошо, а не плохо.»

Это значит что этой задачи нужен более высокоуровневый или более специализированный язык.

Примеры таких языков для написания ядра ОС?

Абсолютно ничего не значащее утверждение.

Это подсказка для упрощения.

В твоём варианте – это в каком? Примеры такого варианта? Потому что пока ты сыплешь тут ничего особо не значащими метафорами.

Но вы же и их не понимаете, раз требуете конкретику

Примеры таких языков для написания ядра ОС?

А не охренели ли вы? Расписывайте задачи, исполняемые ядром, создавайте языковые конструкции. Для работы с памятью и процессами, для ввода-вывода, для работы с сетью. Как для сайтостроителей создали вордпресс, как для вычислений матлаб, для бухгалтеров 1с. То, что сейчас называют 4GL и 5GL.