Интервью с Юджином Спаффордом: Windows безопасна так же, как и Linux

Вполне логичная статья ! Действительно - если взять два диска (с linux и windows) и использовать как подскавки под чашки с кофе - нет абсолютно никакой разницы !!! Если выключить компьютер с linux и компьютер с windows - опять же нет никакой разницы !!! Оба компьютера одинаково защищены !!!

ГМ, а когда я ее(линк) постил, oxonian почему-то счел эту статью за ОТ и удалил: http://www.linux.org.ru/profile/_white2/view-message.jsp?msgid=422402

2dotcoder (*) (10.11.2003 13:26:18):

> ГМ, а когда я ее(линк) постил, oxonian почему-то счел эту статью
> за ОТ и удалил

Ладно тебе обижаться. Oxonian человек, в конце концов.

Вполне жизнеспособная версия происходящего. Вот только скоро БСДоиды скоро начнут так же кричать на Линух, что он "ацтой коммерческий".

Похоже, что Юджин не силен в Linux. Никакой админ не будет использовать Linux с настройками по-умолчанию, а обязательно добавит свои настройки и обновления. Такие системы и надо с Виндой сравнивать.

А то я тоже могу наставить РедХатов, и потом системы быстро слетят.

В одной фирме на сервере, который одновременно являлся почтовым и ВЭБ сервером, Mandrake 8.0 4 года нормально проработал (вовремя ставились обновления). Почему-то

на такую статистику некоторые глаза закрывают.

Мда... Товарищ написал заранее оплаченный макросаксом бред, привел "статистику" о том, что в Linux дырок больше (без указания дистрибутива), чем в оффтопике... Кстати, про оффтопик: делается упор на наличие дырок в NT/2000, но нет инфы про 95/98/ME/XP/2k3... ;-)))

В общем, согласен с запостившим: "искажая и извращая факты делается утверждение о том что linux более дыряв чем windows".

> ГМ, а когда я ее(линк) постил, oxonian почему-то счел эту статью
> за ОТ и удалил

Ладно тебе обижаться. Oxonian человек, в конце концов.

Нет. Он - БОТ

Рабята, а может хватит, а? *просяще*

Я уже задолбался видеть новости "N счиатет, что (Linux|*BSD|Windows|Solaris) (отстой|рулит|(менее|более) безопасен, чем (Linux|*BSD|Windows|Solaris))

8(

>До недавнего времени, безопасность и качество не являлись основными >приоритетами Microsoft Хм. Чёй-то я не заметил, чтобы что-нибудь изменилось.

>Похоже, что Юджин не силен в Linux.

Да куда уж ему, старый пердун, он и ядро лялиха никогда

скомпилить не сможет, а сам все учить мОлодежь лезет :)

Он только забыл, что дырки в виндах находят даже без исходных кодов.
Были бы исходники, ни одна бы лаборатория с эксплоитами не справилась бы.

P.S. Меня вот эта фраза порадовала:
Следует также обратить внимание, что средний пользователь Windows является менее опытным и подготовленным, чем средний пользователь Linux.

Дяде срочно пора в дурку:

TaNaT: А не указывает ли столь частое появление патчей и заплаток для Linux на то, что эта система защищена лучше?

Юджин Спаффорд: Нет. Это указывает лишь на то, что у Linux проблем с безопасностью еще больше, чем у Windows.

->

TanaT: "Баги" в продуктах Microsoft оказываются более критическими, чем ошибки в Linux.

Юджин Спаффорд: Понимаете, тут смысл в том, что Windows более популярна не только среди пользователей, но и среди "кодокопателей". Поэтому и вредоносный код, имеющий целью проникнуть в Windows, имеет намного больше шансов на успех, чем аналогичный для Linux. И не потому, что Windows менее защищена, а потому, что компьютеров под управлением Windows - намного больше.

-- Про то, что имея исходный код видится куда глубже, дядя скромно умолчал.

TanaT: Но ведь Microsoft имеет тысячи хорошо тренированных программистов, многие из которых вполне компетентны в вопросах безопасности. Они постоянно следят за тем, чтобы уязвимостей было меньше. Но Windows по-прежнему далека от идеала. Почему? В чем здесь дело?

Юджин Спаффорд: Потому что Windows разработана для бизнеса.

-- Я ху%ю с его логики. Раз разработана "для бизнеса", то поэтому и такая дырявая. По слову "бизнес" пи%дунов издалека видно.

"у нее (windows) более дружелюбный интерфейс и более подробная документация."

Я никогда не пользовался лицензионной виндой. Скажите у нее действительно есть документация ?

Вот когда тебя цитировать начнут, тогда и будешь

решать кому в дурку.

2seb (*) (10.11.2003 14:18:51): Наверное, имелась в виду какая-нибудь MSDN... Потому что в коробках (а тем более в OEM) идёт небольная брошюрка для начинающего пользователя и больше ничего... Даже не полностью описан процесс установки... Оcбенно, не рассматриваются сложные случаи установки маздая. Например, не описано как убить из-под DOS NTFS-раздел, находящийся в дополнительном разделе DOS... ;-)

Более-менее что-то написано в книжках типа "Секреты Windows {$Вставить_номер_версии}"... Но они такие же коммерческие, как и любые подобные книженции о Linux.

Но уж однозначно, в дистрибутиве Windows нет ничего подобного юниксовым MAN, HOWTO и FAQ...

Ох как ловко надергал :) Надо было уж полностью фразы приводить, а то поотрывал от контекста и счастлив :)

В своих комментариях помните: Юджин Спаффорд - тоже человек и иногда хочет отдохнуть на канарах и покушать свежих устриц.

> "Тем не менее, при некоторых условиях Windows может ничем не уступать и даже превосходить Linux. Например, представьте себе начинающего пользователя, работающего на ПК без выхода в сеть. Здесь Windows будет лучшим выбором, так как у нее более дружелюбный интерфейс и более подробная документация."

Дайте почитать "подробную документацию" для Windows 2000 & XP !!!

Cколько можно постить ссылки на такой бред ?

Да ладно козел какой-то бородатый. У нас в универе у каждого второго профессора шиза, их на медицинском заодно и потчуют. И никогда один с другим не согласится. Поэтому слушать таких надо, но фильтровать. Он может нести как и умные вещи так и полный бред. Человек ничего не сделавший в безопасности (не написавший кода, не разработавший алгоритма и т.п.), смыслить в этой безопасности не может!
Вот djb смыслит в безопасности, а этот балобол какой-то.

Его цент замызганый получил гнант от МС, вот он и выеживается.

"Эксперты тоже могут ошибиться. Эксперты, использующие такие опасные инструменты, как С, и создающие заплатки на код, написанный другими людьми, вполне могут допускать ошибки. Переполнения буфера, отсутствие проверки параметров и неправильное использование библиотечных вызовов - наиболее частые гости каждого дистрибутива Linux. До настоящего времени самые серьезные ошибки отыскивались в коде, написанном лишь профессиональными программистами. Хотя велико количество и менее опытных программистов, каждый из которых может добавить свой неграмотный код в систему.
Суть же в том, что обычное для сегодняшнего дня проектирование приложений чаще всего приводит к проблемам. Если архитектура проекта с самого начала не учитывает проблем безопасности и во время разработки не проводится контрольный мониторинг (отслеживание всех связей и взаимодействий объектов друг с другом), то получившийся проект будет почти наверняка содержать множество уязвимостей, которые потом будут отысканы и использованы со злым умыслом. Требуется, как можно раньше прилагать как можно больше усилий к тому, чтобы улучшить защищенность приложений.
Безопасность - это не дополнительный приз. Это то, что надо ставить во главу угла еще во время проектирования проекта."

Вот это наверно про винду надо было рассказать, а не про линух. Можно подумать винда не на С пишется, и безопастность в винде стали делать не "дополнительным приказом".

>Его цент замызганый получил гнант от МС, вот он и выеживается.

центр, грант

Нет, мужики. Никаких явных извращений фактов там нет. По крайней мере я их не заметил. В целом он прав. Дело в том, что наверное известная часть сдесь присутствующих фанатеет к Linux, поэтому любой выпад в его сторону принимает за личное оскорбление. Товарищ прав - каждая ОС хороша на своем месте. Я верю, что у кого-то Linux работает ну просто супер-пупер. Я не являюсь поклонником и защитником Windows. Я уже давно ушел от нее и не хочу возвращаться. Мне так удобнее. На серверах я исполоьзую *BSD. Но самое ценное, что я смог сохранить в себе - отсутствие фанатизма в отношении к какой-либо ОС. Дома на компе у меня Windows 2k, и при всем уважении к свободным ОС я ее ни на что менять не собираюсь. Вообще Windows не так уж плоха, но в ней идею дибилизма пользователя начинают доводить до абсурда. В ней многое погублено чисто из маркетинговых соображений. А если и так покупают, то зачем делать лучше? Но тем не менее для некоторых Windows - это лучший выбор. А при правильных руках она работает не хуже других. Но лично мне администрирование мышиной возней не нравится.

> Его цент замызганый получил гнант от МС, вот он и выеживается.

Так чувак бсд хвалит. Хотя конечно, куда ему до лора. Лор - это собрание экспертов по линуксу. Они все знают. И даже то, что в линуксе нет ошибок (хотя статистика говорит об обратном. Но это же не важно - это буржуйская статистика, а не лоровская)

Дятлы! Дядя говорит не что linux хуже win, а что оба хуже. Совершенно закономерно и обоснованно, обижаться бессмысленно. Очевидно, что обоих надо патчить еженедельно, так что высота столбиков на диаграмке имеет такое же отношение к качеству как степень свежести осетрины к ее съедобности.

>Его цент замызганый получил гнант от МС, вот он и выеживается.

Из этого, как Вы изволили выразится, "замызганного" центра CERIAS,

9 чел. - участвуют в работе IEEE, 2 - ACM, 1 - IETE и т.д.

Если это Вам о чем то говорит :)

>Так чувак бсд хвалит. Хотя конечно, куда ему до лора. Лор - это собрание экспертов по линуксу. Они все знают. И даже то, что в линуксе нет ошибок (хотя статистика говорит об обратном. Но это же не важно - это буржуйская статистика, а не лоровская)

Вот блин, не врублюсь, вроде сервисы в BSL и Linux одни и теже, заплатки для сервисов выходять одновременно, но дядя делает вывод, что BSD более защищённый ...

Секьюрных патчей на само ядро линуха и glibc - вроде бы не больше чем для BSD..

>Вот когда тебя цитировать начнут, тогда и будешь решать кому в дурку.

Когда меня начнут цитировать на Ф-центре я добровольно сам пойду в дурку или ... застрелите меня ...

anonymous:

>Ох как ловко надергал :) Надо было уж полностью фразы приводить, а то поотрывал от контекста и счастлив :)

Надергал - это да, но остальная часть слишком скучная.

>Вот блин, не врублюсь, вроде сервисы в BSL и Linux одни и теже,
>заплатки для сервисов выходять одновременно, но дядя делает вывод,
>что BSD более защищённый ...

Не хочу никого обидеть, но может дело в том, что *средний* пользователь BSD более грамотен, чем у Linux?

Не, они изначально security by design код делают, иногда

в ущерб производительности, фичастости, удобству и т.д.

>Когда меня начнут цитировать на Ф-центре я добровольно сам пойду в >дурку или ... застрелите меня ...
>Murr (*) (10.11.2003 15:10:59)
Угумс... Согласен.
А вобще-то, когда человек говорит, что _все_ эксперты ошибаются, то его девизом может стать такая фраза:"Я не страдаю манией величия. Гении ей вобще не страдают."
Статья действительно искажает факты и вилами по воде пиасана.
Но вот то, что Фряка секурнее линуха...извините, читайте Changelog к релизу 4.9 - скока там дыр фиксят. У них _перманентно_
траблы с безопасностью. Ну да хрен-то с ним. По дефолту все равно мало кто юзает. Но, имхо, график пецдит относительно того, что macos и НедоБЗДЯ секурнее Опны... Ну это субьективное мнение человека, который юзал и то и другое.
А вобще у Опны самый user-friendly инсталлятор... =)

а мне очень понравилась статья... абсолютно согласен с выше выступившим товарищем насчет отсутствия фанатизма, как залога успеха в адекватном понимании ситуации... мне кажется что большинство выступающих здесь коллег по цеху :) действительно забывають о наиболее распространенном занятии не около-компьютерных людей... это зарабатывание денег используя компьютер лишь как инструмент для ускорения той или иной деятельности.. большинству из них все равно до темы, вида иконок и даже скажу больше AA или не-AA шрифтов :) им нужно решать задачи... WinXX гораздо лучше интегрирована для решения большинства среде-пользовательских задач... в большинстве своем ситуация у рядового пользователя... поставил и работает... гораздо более вероятна в Windows чем в линукс... и это факт..

"Дайте почитать "подробную документацию" для Windows 2000 & XP !!!"

Win-F1 нажми...

>А вобще у Опны самый user-friendly инсталлятор... =)
Да, есть шанс, что ее можно из ANSI терминала поставить (если не из dumb). Какая еще ОС кроме DOS может этим похвастать? ;)

А какая из OS ещё может похвастать тем, что у неё из консоли правильно работает одна половина клавиатуры, а из гуя - другая. А вместе - не умеют? Ась?

Картинка показывает не "секурность" а ЧИСЛО уязвимостей, найденных

за 3 года.

Кстати, интересная закономерность, чем старше код Unix, тем меньше

уязвимостей SunOS - рулит, в этом дядя прав, старый Unix писали

профессионалы, наверное там и код намного чище и не такой сложный.

МАС не в счет, на серверах его практически нет.

на роутере FreeBSD на сервере Debian , а cs,unreal на win. ......

>anonymous (*) (10.11.2003 15:19:44)

Че нам безопасность, нам мамонта бить и пещеру рыть!

NetBSD вообще на чем угодно ставится, и загрузчик консоль на

serial port переключает

Консоль можно и в Linux переключать на serial (если ядро поддерживает). Другой вопрос сможет ли интерфейс работать в dumb/ANSI.

2anonymous (*) (10.11.2003 15:19:44)
>WinXX гораздо лучше интегрирована для решения большинства среде-пользовательских задач...

Список как всегда забыли? Средний пользователь==обычный стиральный порошок?

>в большинстве своем ситуация у рядового пользователя... поставил и работает... гораздо более вероятна в Windows чем в линукс... и это факт..

Это шутка такая? В большинстве случаев ОДНАЖДЫ установленный и настроенный Linux работает надежнее, чем винда с автоапдейтами, антивирусами, etc ...
P.S. Не забывайте про grsec, на одном из моих серваков стоит Slackware 8.1 ядро 2.4.19-grsec Aug 20 2002 сборки, без апдейтов, и ... :-)

>>Cколько можно постить ссылки на такой бред ?
Я это специально запостил - нужно воспитывать в себе ненависть благородную к врагу нашему 8-) Аргументированную конечно 8-)

Не вопрос.

Там пункты меню буквами выбираются

a - Yes b - No

>>Аргументированную конечно 8-)
Знай и люби НАШ выньDOS 8-)

Гы, а у меня Windows 98 работает, какого года сборки не знаю,

наверное 98, а Х там уже не давно запускаются, не говорю уже

про KDE

А ты DOS своими грязными пингвиньями лапами не трожь!!!!!! Это святое!!!!!

Да, насчет частовыходящих заплаток - он явно погорячился... Идеальный код сделать невозможно, равно как и невозможно предусмотреть все возможные способы взломать систему. Ведь давно известно, что любая программа сложнее Hello World - уже потенциально не лишена ошибок. А уж если эта программа активно взаимодействует с другими программами и процессами, и уж тем более в интернете - она не просто потенциально содержит ошибки, а фактически их имеет, просто их не видно. Но они есть. Вопрос лишь в том - при каких обстоятельствах они проявятся. Палочки Коха тоже не видно просто так, однако же туберкулез лечить научились. Частое же появление патчей свидетельствует о том, что за безопасностью линукса внимательно следят и при обнаружении малейшей дырки - тут же выпускают заплатку на нее. Ведь нельзя знать заранее насколько безопасна система. Ведь чаще всего дырки в ней находятся случайно.

Что же касательно "среднего пользователя виндовс" - он вообще не является подготовленным в какой бы то ни было степени, в сравнении со средним пользователем линукса.

Винда написана на том же самом Си, что и Линух - является ли это аргументом вообще - не понятно.

Насчет "предназначены для бизнеса" - тоже не совсем ясно. Если оно предразначено для бизнеса - это значит, что защищать его не надо? Можно построить мощнейшую защиту, которая будет абсолютно прозрачна для пользователя. Было бы желание.

Насчет статистики - не думаю, что ей можно верить. Особенно если глянуть на то, что пишется на CERT... Тем более, что я что-то уж больно редко слышу о каких-то мелких дырах, найденых в виндах. Я вообще о них мало слышу. Оно в принципе - не на слуху. Оно - замалчивается. Разумеется, Микрософту не выгодно, чтобы пользователи знали о дырках в ее операционках. И сильно об этом не распространяется, предпочитая втихаря все это фиксить и выпускать сервис-паки...

В целом - я бы сказал, что старик в чем-то прав. А в чем-то - нет. Просто он на оси смотрит именно с позиции безопасности. А неумело настроенный линукс - ничуть не безопаснее обыкновенной винды. Та же фря - какой нормальный человек в трезвой уме и памяти поставит на сервак фрю с дефолтным GENERIC-ядром? Всегда будет много асей, всегда будет много воплей. А прямые руки - всегда будут основным аргументом. Хорошо настроить можно и винду и линух и любую другую ось. Вопрос лишь в том - какую из них предпочтительнее использовать для той или иной цели. Так уж повелось, что для винды безопасность высокого уровня - просто не нужна. Ибо она - просто мешает пользователю, как и кованные доспехи - защищают от повреждений, но зело мешают передвигаться. Винда ориентирована на пользователей. На пользователей в широком смысле слова. Т.е. - и на полных чайников - в том числе. Разве чайник сможет управлять хорошо защищенной осью? Конечно нет. Он и фаервол-то настроить не сможет. А значит - защита должна быть автоматической, управления у нее должно быть по минимуму. Фактически - включить, выключить и уровни защиты. Все. Дальше чайник просто не поймет. Опять же - области применения винды _в быту_ - очень широки, намного шире, чем в любой другой оси. В большинстве из них степень безопасности - не имеет никакого значения.

Другими словами - винде хорошая защищенность - как пятая нога.

Что же касательно линуха... Он просто сложнее винды. А чем сложнее программа - тем больше в ней ошибок. Тем более, что линух имеет более широкие области применения. Все зависит от того - где и для чего используется линукс. Домашний линукс - ненамного безопаснее винды. Дома высокий уровень безопасности - не нужен. А на сервере, настроенном хорошим спецом с прямыми руками - безопасность будет ненамного уступать даже OpenBSD.

Разумеется, это все - лишь мое имхо. Каждый имеет право на свое мнение.

я емю ввиду под средне-пользовательской задачей... чтение почты, word, excel, internet + поиграть... IMHO большим пользователи В СРЕДНЕМ не занимаются.

>в большинстве своем ситуация у рядового пользователя... поставил и >работает... гораздо более вероятна в Windows чем в линукс... и это >факт..

>Это шутка такая? В большинстве случаев ОДНАЖДЫ установленный и >настроенный Linux работает надежнее, чем винда с автоапдейтами, >антивирусами, etc ... >P.S. Не забывайте про grsec, на одном из моих серваков стоит Slackware >8.1 ядро 2.4.19-grsec Aug 20 2002 сборки, без апдейтов, и ... :-)

господа, вы стебетесь?????? :))))) на "одном из моих серваков"... и рядовой пользователь...

я буквально недавно (1-2) ставил себе на нотик свежую систему и могу сказать что блин.. линукс ИЗ КОРОБКИ и линукс под себя сделанный принципиально разные вещи... и от первого до второго очень много знаний и умений... я не спорю о стабильности... о зависаниях и т.д. не об этом речь... но я думаю все согласятся, что WinXX + автообновление + word/excel с разумными документами (плз. не надо про 5000 страниц документ)... это вполне стабильная и адекватная конфигурация, которая будет долго и счастливо жить...

2Sun-ch (*) (10.11.2003 15:51:43)
>Гы, а у меня Windows 98 работает,
Сама на себя работает, или ты на ней что-то делаешь? И как часто работает? Выходные дни бывают ? :-)

Все-таки дядя однозначно передергивает.

Вот кто бы мне объяснил, как соотносят "уязвимости в linux" и "уязвимости в windows"? Кривой wu-ftpd - это уязвимость чего? Линукса? А дыра в пионерской говнозвонилке под венды - это уязвимость чего? Венды?

Неужели столь маститый дядя этого не понимает?

в дополнение к предыдущему посту.. я имел ввиду 1-2 месяца... у меня ASP 9 + обновления + 2.4.22 + что то сам собирал ...