LINUX.ORG.RU

WebSocket - безопасность

 


0

1

В общем вот такое было еще в 2010

В конце ноября 2010 Adam Barth опубликовал результаты исследования надежности используемого протокола. По его результатам выяснилось, что в случае использования прозрачных прокси-серверов, возможна подмена кеша передаваемых данных с тем, что пользователи вместо реальных данных будут получать версию данных от злоумышленника. Проблема оказалась достаточно серьёзной для того, чтобы разработчики Firefox и Opera объявили о том, что в будущих версиях их браузеров поддержка веб-сокетов будет по умолчанию отключена вплоть до устранения проблемы небезопасности данного протокола (хотя осталась возможность их включить).

И непонятно исправили ли это дело, или нет. Я могу ошибаться, но хз, хотя бы баг трекер найти. Кто знает по этой теме что нибудь?



Последнее исправление: spiritkhl (всего исправлений: 1)
Ответ на: Сам написал, сам отвечаю от spiritkhl

на данный момент нет поддержки в ie до 9-го, они там тормозы, а в опере абосрались и не включили по дефолту веб сокеты. Собственно смотрите сами здесь - https://developer.mozilla.org/en-US/docs/WebSockets

spiritkhl
() автор топика
Ответ на: комментарий от spiritkhl

а в опере абосрались и не включили по дефолту веб сокеты

и без того непопулярная опера идет ко дну. зачем ее поддерживать?

anonymous
()
Ответ на: комментарий от Boba_Fett

Ну, линукс-то не пошел пока

У линукса меньше 2%? Что то сомнительно. Думаю доля линукса около 100% т.к. *BSD используется сейчас крайне редко а о проприетарно-античных solaris'ах и AIX вообще мало кто слышал.

tyler19
()
Ответ на: комментарий от spiritkhl

Проблема с безопасностью была в старом стандарте если я не ошибаюсь. Фф точно так-же выключал вебсокеты по дефолту, да и хром грозился если появится рабочий эксплоит. Щас уже все поддерживают стандарт по RFC.

Kalashnikov ★★★
()
Ответ на: комментарий от tyler19

речь идёт о сфере для которой линукс предназначен.

Ну, я имел в виду изначально долю линукса на десктопах. Но ты прав, он для них не предназначен :)

Boba_Fett
()
Ответ на: комментарий от tyler19

Линукс занимает 100% среди компьютеров с линуксом! Ололо.

Deleted
()
Ответ на: комментарий от spiritkhl

Судя по теме и стилю изложения до элиты ты ещё не дотягиваешь.

Deleted
()
Ответ на: комментарий от Boba_Fett

Ну, я имел в виду изначально долю линукса на десктопах. Но ты прав, он для них не предназначен

А причём тут десктопы? Вы недоумевали почему линукс не пошёл ко дну из за 2% на десктопах? Но как он может пойти ко дну если в своей сфере практически незаменим. Мне тут на днях пришлось увидеть AIX и Solaris по ssh и это было ужасно.

Но ты прав, он для них не предназначен

Я не говорил что не предназначен для десктопов, я говорил что предназначен для другого. По мне так очень даже хорошо подходит для десктопа, лучше gnome 2 ничего ещё не придумали для десктопа. А что по вашему для десктопа лучше? Десктоп в MacOS вызывает рвотный рефлекс, не понимаю чего его расхваливают, на мой взгляд он омерзителен. Я так понял там даже нет виртуальных столов. А они незаменимы когда работаешь над несколькими проектами одновременно.

tyler19
()
Ответ на: комментарий от tyler19

Мне тут на днях пришлось увидеть AIX и Solaris по ssh и это было ужасно.

А мне с OpenServer приходилось сталкиваться. Из ужасного там только непривычность. Ну и у man наименование раздела справки - обязательный параметр. Ортодоксальненько так. Клево даже. А что ты в айксе и соляре не осилил?

GateKeeper ★★
()
Ответ на: комментарий от GateKeeper

А мне с OpenServer приходилось сталкиваться. Из ужасного там только непривычность. Ну и у man наименование раздела справки - обязательный параметр. Ортодоксальненько так. Клево даже. А что ты в айксе и соляре не осилил?

Там весь софт античный с непофиксенными багами/уязвимостями. Собственно в мои задачи не входило обновление, требовалось только потестировать свой скрипт в их среде. Но когда я сказал заказчику о том что много чего следовало бы обновить из разговора я так понял что это сделать затруднительно. Python они поставить не смогли там, пришлось писать под Perl как следствие. Причём perl 5.0.0.1. Ну и в добавок куча каких то проприетарных костылей сомнительного качества в замен open source'ных линуксовых.

tyler19
()
Ответ на: комментарий от Boba_Fett

Я обеими руками «за». А теперь объясни это разработчикам Gnome3.

А зачем мне им объяснять. К чему их поддержка если всё уже прекрасно работает? Если разработчики забросили это не значит что десктоп стал неюзабельным. Я уже давно обновляю только пакеты с уязвимостями что относится в основном к сетевым серверам/клиентам и не относится к десктопам. Десктопщину не обновляю т.к. разработчики десктопов последнее время заболели какой то неизвестной болезнью, будем ждать когда вылечатся. Кроме того есть форк - MATE (http://mate-desktop.org/about/).

tyler19
()
Ответ на: комментарий от tyler19

куча каких то проприетарных костылей сомнительного качества в замен open source'ных линуксовых

Надо было остановиться на предпоследнем слове. Последнее превратило твою фразу в бессмыслицу.

GateKeeper ★★
()
Ответ на: комментарий от GateKeeper

Надо было остановиться на предпоследнем слове. Последнее превратило твою фразу в бессмыслицу

Я имел ввиду что не вижу смысла использовать сомнительного качества проприетарную систему в замен open source'ной. Сколько разработчиков там работает над их проприетарщиной? А сколько в open source? И каждый может свежим взглядом осмотреть код на наличие багов. Ну и в чём смысл менять линукс на что то другое?

tyler19
()
Ответ на: комментарий от tyler19

К чему их поддержка если всё уже прекрасно работает?

К тому, что поддерживать Gnome2 без ключевых разработчиков - та еще головная боль. MATE - не решение, пока не будет стабильной поддержки и развития. А пока что они лишь переименовали пакеты и все.

Boba_Fett
()
Ответ на: комментарий от tyler19

И каждый может свежим взглядом осмотреть код на наличие багов

И наговнокодить своих новых. До сих пор не могут сказать, кто, как и когда пофиксил 12309

GateKeeper ★★
()
Ответ на: комментарий от Boba_Fett

К тому, что поддерживать Gnome2 без ключевых разработчиков - та еще головная боль

Поясните в чём именно заключается эта боль. Т.к. за всё время использования Gnome 2 ничего такого не испытывал.

MATE - не решение, пока не будет стабильной поддержки и развития

Опять же объясните что за поддержка вам нужна. И какое развитие? Зачем что то менять если всё уже работает. Развитие это уже довело до идиотизма которым является gnome 3. Так что нечего тут развивать, всё уже развилось.

tyler19
()
Ответ на: комментарий от PolarFox

Не, он намекал, что линукс — это ядро.

Для любителей придираться к словам поясняю: имелся ввиду GNU/Linux.

tyler19
()
Ответ на: комментарий от tyler19

Поясните в чём именно заключается эта боль. Т.к. за всё время использования Gnome 2 ничего такого не испытывал.

[режим K.O.]В том, что раньше новые фичи добавляли и все баги правили непосредственные разработчики Gnome2, которые и двигали DE вперед. Потому ты и не замечал. А теперь за него взялся человек, который не является разработчиком Gnome2 и соотвественно, ему будет очень трудно охватить необъятное.[/режим К.О.]

Опять же объясните что за поддержка вам нужна. И какое развитие? Зачем что то менять если всё уже работает.

Разработчики xfce планируют в версии 4.12 переводить DE на gtk3. Кто это будет делать в Gnome2 MATE? Полтора новоиспеченных разработчика?

Boba_Fett
()
Ответ на: комментарий от Boba_Fett

В том, что раньше новые фичи добавляли и все баги правили непосредственные разработчики Gnome2, которые и двигали DE вперед. Потому ты и не замечал. А теперь за него взялся человек, который не является разработчиком Gnome2 и соотвественно, ему будет очень трудно охватить необъятное

Я же написал что мне не нужны новые фичи, меня всё устраивает. Даже не представляю что ещё можно напихать в DE. Разве что совершенно ненужную хрень типа трёхмерных кубов, гламурной анимации и т.д. - всё то что красиво выглядит на скриншотах и начинает дико бесить спустя 2 дня регулярного использования.

Разработчики xfce планируют в версии 4.12 переводить DE на gtk3. Кто это будет делать в Gnome2 MATE? Полтора новоиспеченных разработчика?

А зачем переводить на Gtk 3 если всё работает как есть?

tyler19
()
Ответ на: комментарий от tyler19

Я же написал что мне не нужны новые фичи, меня всё устраивает. Даже не представляю что ещё можно напихать в DE.

А пихать ничего не нужно. Та же интеграция с новыми системными сервисами в будущем, приложениями и т.п. Кто этим будет заниматься?

А зачем переводить на Gtk 3 если всё работает как есть?

А зачем вообще переводят на новые версии библиотек? Почему все приложения не остались на Gtk1 и Qt2, ммм? И кто будет поддерживать Gtk2, если остаться на нем? Те же разработчики MATE? Не смешно.

Boba_Fett
()
Ответ на: комментарий от Boba_Fett

Приложения не должны иметь зависимости от десктопа. А Gtk2 и Gtk3 прекрасно уживаются в одной системе. Так что никто не мешает использовать приложения написанные под Gtk3 из под Gnome 2. Интеграция с системными сервисами это с какими? Всякий бред типа виджетов показывающих сетевую активность считаю ненужным т.к. всё это делается в командной строке намного удобнее. Под мои нужды это не надо - от десктопа я жду только адекватный интерфейс для управления окнами и виртуальными столами что в Gnome 2 реализовано лучше чем где либо ещё. За модой не гонюсь, так что меня не волнует что что то вышло из моды, главное что отлично работает.

tyler19
()
Ответ на: комментарий от tyler19

А Gtk2 и Gtk3 прекрасно уживаются в одной системе. Так что никто не мешает использовать приложения написанные под Gtk3 из под Gnome 2.

Еще раз: кто будет поддерживать (читай - исправлять баги в) Gtk2?

Всякий бред типа виджетов показывающих сетевую активность считаю ненужным т.к. всё это делается в командной строке намного удобнее. Под мои нужды это не надо

Хорошо, раз ты сказал, что тебе это не нужно, значит это никому не нужно. «Нам важно ваше мнение» ©.

Boba_Fett
()
Ответ на: комментарий от Boba_Fett

Еще раз: кто будет поддерживать (читай - исправлять баги в) Gtk2?

А там баги есть?

Если и есть то мало и незначительные. Критичных багов там нет и быть не может. Под критичными багами я понимаю баги позволяющие удалённому злоумышленнику выполнить свой код или получить доступ к файловой системе. А если десктоп выпадет в segfault это не страшно. Однако стоит заметить что за долгие годы использования Gnome 2 я ни одного бага не нашёл. А для безопасности запускайте приложения работающие с сетью под отдельными UID. Например, username_skype для skype, username_pidgin для pidgin, username_firefox для firefox.

tyler19
()
Ответ на: комментарий от Boba_Fett

Хорошо, раз ты сказал, что тебе это не нужно, значит это никому не нужно. «Нам важно ваше мнение» ©.

Я вроде как акцентировал внимание на том что подходит именно под мои нужды и что вышло из моды меня не волнует. Пользуйтесь Gnome 3 или KDE 4 если хотите, я же не против. Всего лишь выражаю своё мнение.

tyler19
()
Ответ на: комментарий от tyler19

Я вроде как акцентировал внимание на том что подходит именно под мои нужды и что вышло из моды меня не волнует. Пользуйтесь Gnome 3 или KDE 4 если хотите, я же не против.

Спасибо, что великодушно разрешили, сударь.

Boba_Fett
()
Ответ на: комментарий от Eddy_Em

Если баг не мешает, это не баг, а фича.

А он не мешает? Кому? И в любой временной отрезок? И не найдется новых, которые будут мешать?

Boba_Fett
()
Ответ на: комментарий от Boba_Fett

А он не мешает? Кому? И в любой временной отрезок? И не найдется новых, которые будут мешать?

Откуда же они найдутся если за столько лет не нашлись? Что же за баги такие замедленного действия? Gnome 2 очень стабилен. Это Gnome 3 говорят крайне нестабилен несмотря на все старания и поддержку разработчиков. Gnome 2 писали ещё по старой школе программирования, а не так как сейчас пишут - кой как сляпали баг на баге.

tyler19
()
Ответ на: комментарий от tyler19

Откуда же они найдутся если за столько лет не нашлись?

Прочитай немного про эпичненькие баги, которые не могли обнаружить годами.

Gnome 2 писали ещё по старой школе программирования, а не так как сейчас пишут

Да-да, там еще более «старая закалка» была - не помогло.

P.S. баги есть везде, в любой программе сложнее helloworld (да и в таких бывают). А следовательно их нужно кому-то исправлять. В MATE и Gtk2 их исправлять некому.

Boba_Fett
()
Ответ на: комментарий от Boba_Fett

Сравнение некорректно. Как я уже сказал ошибка в коде DE не является критичной. Если прошло уже много лет в течении которых баг не был обнаружен значит он крайне редок. Ничего страшного если раз в 3 года DE будет выпадать в segfault. Gnome 3 падает гораздо чаще.

tyler19
()
Ответ на: комментарий от tyler19

Сравнение некорректно.

Сравнение не может быть некорректным, т.к. это было не сравнение, а пример того, как могут находить критичные баги несколько лет спустя,

Откуда же они найдутся если за столько лет не нашлись? Что же за баги такие замедленного действия?

о чем ты и спрашивал.

Если прошло уже много лет в течении которых баг не был обнаружен значит он крайне редок.

Это не означает, что в коде нет критичных багов и их не нужно исправлять.

P.S. ты свою позицию высказал, я тебя понял. Уверен, что и ты меня.

Boba_Fett
()
Ответ на: комментарий от Boba_Fett

Вы ведь сами отметили выше что баги могут встречаться практически везде. Разве они не могут встречаться в Gnome 3? (и я думаю вероятность найти их в Gnome 3 значительно выше).

Приведите хотя бы один пример критичного бага в DE. Думаю вы не сможете т.к. DE вообще не критичная система некорректное поведение которой не может привести к плачевным последствиям как в случае который вы привели.

Вы занимаетесь абстрактными рассуждениями о том что же будет если вдруг в Gnome 2 обнаружится баг который миллионы регулярных пользователей не смогли обнаружить за несколько лет. Расскажите пример того как этот баг может проявляться. Очевидно что код не может без каких либо причин внезапно прекратить корректно работать.

У вас есть выбор - вы можете взять Gnome 3 и наблюдать там баги каждый день или воспользоваться Gnome 2 и вспоминать о багах только в абстрактных рассуждениях о теоретической возможности их внезапного появления.

tyler19
()
Ответ на: комментарий от tyler19

У вас есть выбор - вы можете взять ущербный Gnome 3 или воспользоваться никем не поддерживаемым Gnome 2

Fix. Шило на мыло.

Вы занимаетесь абстрактными рассуждениями о том

Если честно, то мне надоела пустая болтовня. Пользуйтесь Gnome2 без ошибок и стабильным Gtk2, все остальные будут пользоваться тем, чем смогут, как вы и великодушно разрешили.

Boba_Fett
()
Ответ на: комментарий от Boba_Fett

Возможность выбора заложена глубоко в идеалогии open source. Не понятно почему вам потребовалось чьё то великодушное разрешение для этого. Выбор DE субъективен и является делом вкуса, в отличии от например выбора DBMS где следует учитывать множество объективных факторов.

tyler19
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.