LINUX.ORG.RU
ФорумTalks

Математика учета времени

 , ,


0

3

По сообщению cnet.com в OS X найден баг у комманды sudo засчет перестановки даты на начало времен: первое января 1970. Суть бага: в течении 10 минутного промежутка времени с момента успешной аутентификации sudo можно запускать комманды без аутентификации. В то время как время установлено на начало времен данная проверка приводит к успешному результату. Баг работает в версиях OS X 10.7-10.8.4, CVE-2013-1775

Поскольку в мак ос икс установка времени не требует привилегированных прав данная уязвимость имеет место быть. За отсутствие аналогичного поведения настроек даты и времени в DE Линус Торвальдс критиковал комманду Gnome (дочка не могла без прав root изменить дату и допекла папу):

So here's a plea: if you have anything to do with security in a distro, and think that my kids (replace «my kids» with «sales people on the road» if you think your main customers are businesses) need to have the root password to access some wireless network, or to be able to print out a paper, or to change the date-and-time settings, please just kill yourself now. The world will be a better place.

★★★★★

Последнее исправление: gh0stwizard (всего исправлений: 2)
Ответ на: комментарий от geekless

Допустим, авторизация для доступа к фиче выполняется через пароль. Если злоумшленник каким-либо образом узнает или подберёт пароль, он получает полный доступ к фиче. Например, он может показать фейковой окно, неотличимое от окна gksudo, и украсть пароль.

у тебя какие-то дикие понятия о безопасности. ЯННП.

Пользователю показывается окно с предложением подтвердить или отклонить авторизацию доступа к фиче. Никакой процесс не может нажать в этом окне кнопку «да» вместо пользователя. Реализация оконной системы гарантирует это. (Как именно гарантирует — не помню подробностей. Уже много лет с архитектурой винды не приходилось сталкиваться.)

я даже не знаю, КАК гарантирует, за то знаю про Over9000 программ, которые эти «гарантии» успешно обходят. Т.е. возможно uac и не обойдут, а толку-то? Ну скачаю я и запущу xyz.exe, откуда я знаю, что это вредоносное ПО?

Поскольку пользователь не вводит никаких паролей, злоумышленнику нет смысла подделывать окно авторизации с целью показать пользователю. Ничего полезного для себя он не узнает.

да ему и знать ничего не нужно. Можно прямо взять, и уе...

emulek
()
Ответ на: комментарий от emulek

ЯННП.

Это твоё обычное состояние, не переживай. Не всем дано быть умными.

я даже не знаю, КАК гарантирует, за то знаю про Over9000 программ, которые эти «гарантии» успешно обходят. Т.е. возможно uac и не обойдут, а толку-то? Ну скачаю я и запущу xyz.exe, откуда я знаю, что это вредоносное ПО?

Ок, будем повторять каждую реплику два раза. Чтобы лучше доходило.

Мы говорим не том, «зачем программе повышенные привелегии», а о том, как контроллировать их повышение. Под линуксом контроль выполняется через жопу. В винде он сделан правильно.

geekless ★★
()
Ответ на: комментарий от emulek

которые эти «гарантии» успешно обходят ... uac и не обойдут

/0

Reset ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.