Так вот кто это всё делает.

~$ sudo nmap -O linux.com -PN

Starting Nmap 5.00 ( http://nmap.org ) at 2011-09-11 15:40 EEST

Interesting ports on korgmaint.linux-foundation.org (140.211.169.32):

Not shown: 999 filtered ports

PORT STATE SERVICE

80/tcp open http

Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port

Device type: general purpose

Running (JUST GUESSING) : Linux 2.6.X (92%)

Aggressive OS guesses: Linux 2.6.18 (CentOS 5.1, x86) (92%)

No exact OS matches for host (test conditions non-ideal).

OS detection performed. Please report any incorrect results at http://nmap.org/submit/ .

Nmap done: 1 IP address (1 host up) scanned in 21.72 seconds

Индиффирентен.

> Они хранились в открытом виде, да? И почему я неудивлён…

В большинстве способов аутентификации либо пароли лежат на сервере в открытом виде, либо пересылаются при каждом логине. Так что тут вопрос стоит что проще защитить - сервера компании или все каналы передачи данных с сервера.

А что, у линукс была репутация системы, которую никогда не взламывали?

Я так понял, подорвана репутация Линукс, как безопасной отказоустойчивой платформы?

Попытка скомпрометировать линукс как безопасную платформу. Вот мол, ребята, мы взломали их ключевые ресурсы. Просто заказали и долбанули конкурента, чтобы не отнимал долю рынка.

По крайней мере, по сравнению с вендой.

>Я так понял, подорвана репутация Линукс, как безопасной отказоустойчивой платформы?

Не бывает безопасных платформ, бывают безопасные сисадмины и прочие люди. А при их наличии платформа не так важна.

Когда же мой ЛОР взломают?

Мда, рано BSD закапывать. Интересно, это целенаправленно или совпадение?

ну хз-хз.

Всё выглядит как компрометация не только kernel.org и прочей инфраструктуры Linux Foundation, но и как наличие трояна у кого-то из высокопоставленных админов.

+2 взлома ничего не поменяют в общей расстановке сил

> Мда, рано BSD закапывать. Интересно, это целенаправленно или совпадение?

Имхо, целенаправлено.

> взлом, который мог скомпрометировать данные пользователей, включая пароли и почтовые адреса

Может это подтолкнет народ на более активное использование OpenID.

> Кто-то не на шутку разозлился на линукс.

И кто же это у нас там такой? Ах, чьи же это такие ушки? Ах, и зачем же это тебе такие большие зубки?

+2 взлома ничего не поменяют в общей расстановке сил

Это отличный пиар для винды и возможнотсь продавить Win Server через многих государственных чиновников. Это реально большие бабки.

Всё выглядит как компрометация не только kernel.org и прочей инфраструктуры Linux Foundation, но и как наличие трояна у кого-то из высокопоставленных админов.

Очень может быть, что кого-то из них купили. Игра стоит свеч.

> Все серверы Linux Foundation будут отключены в ближайшее время, чтобы сделать переустановку.

Иногда дешевле сделать переустановку после взлома, чем красноглазить с OpenBSD и разными Hardened решениями.

Когда уже напишут новость: «вслед за kernel.org и linux.com взломан linux.org.ru»?

Мы работаем над этим

> Я так понял, подорвана репутация Линукс, как безопасной отказоустойчивой платформы?

Никто и не говорил, что Linux идеальная система без ошибок. Это только Oracle рассказывал сказки про свои Ubbreackable решения. Остальные четко представляют, что «безопасной отказоустойчивой платформы» это не значит, что система без единой уязвимости. Да и не важно это никому, кроме школьников и любителей померяться у кого больше и длиннее. Остальные выбирают систему наиболее подходящую для работы по сумме критериев, а не медитируют на неуязвимость, невзламываемость и сказки из рекламы этой системы.

Воистину epic fail.

> Это отличный пиар для винды и возможнотсь продавить Win Server через многих государственных чиновников. Это реально большие бабки.

Что-то мне подсказывает, что тут размер отката перекрывает любые аргументы.

>Сейчас в любую базовую софтину могут внедрить бэкдор и всё — пиши пропало
не надо поднимать панику! в любом нормальном SCM будет заметно любое «левое» изменение.

linux.com был взломан не из-за линукса.

Чувак с долларами?

Win Server

Да эту х-ню и взламывать не надо, и так downtime порядочный сам по себе, там на каждый апдейт надо перезагрузка, и не просто перезагрузка, а апдейт ставиться во время перезагрузки, а если еще оно решит проверить свои ntfs диски, то это на полчаса может затянутся.

Мелкософт вроде ломали. Apple - молчат как партизаны.

> взлом мог привести к утечке базы данных пользователей, включая SSH-ключи

Кто-нибудь объясните мне, что пользовательские SSH ключи делают на сервере Linux.com. Ну забрали чуваки публичную часть ключа (приватная в меня локально лежит и на сервер я ее точно выкладывать не стану), ну и что? Кому надо, я могу и сам на e-mail выслать. А что там приватная часть делает?

>в любом нормальном SCM будет заметно любое «левое» изменение.
Разве кроме git кто-то проверяет контрольную сумму файлов?

Это отличный пиар для винды и возможнотсь продавить Win Server через многих государственных чиновников. Это реально большие бабки.

Что-то мне подсказывает, что тут размер отката перекрывает любые аргументы.

Теперь размер откатов станет на n% меньше. Как известно, сэкономленные деньги --- заработанные.

а что, кроме контрольной суммы нет больше никаких способов проверки изменений версий? o_O

>А при их наличии платформа не так важна.

Безопасные сисадмины могут телами закрыть незакрытые дыры в безопасности?

Если с сервера ходили на другой сервер, то могли хранить и закрытый ключ.

Пора ставить новый ssh с песочницей...

Это война, ребята. Ломайте сервера майкрософта и яблока — на войне все средства хороши!

У него была такая репутация?

>а что, кроме контрольной суммы нет больше никаких способов проверки изменений версий? o_O
А как ты найдешь вражеский коммит среди тысячи подобных?

Red Hat ломали в 2008 году: Атака на Red Hat и Fedora [BTW, почему он перечислен дважды? :)]

> включая пароли

а как же хеширование паролей, нескомпрометированные алгоритмы вроде blowfish и так называемая соль ? кто там проектировщик системы ? можно ж было всё это дело как-то солиднее сообразить, уж пароли в открытом виде хранить это явное дилетантство.

можно предположить, что и на другие аспекты безопасности так же забили, как и на хеширование паролей.

теперь вовсю будут волать про решето. а ламерью и невдомёк, что даже навороченную систему можно сгубить плохой настройкой и забиванием на элементарные рекомендации по безопасности .

Кстати, почему .com?

Я-то думал, что линупс — свободный и открытый, а это коммерческая побелка, получается?

>Ша за херня? Почему как я зайду на какой бы то ни было сайт, скачаю/зарегистрируюсь/etc. на следующий день выясняется, что его взломали?

Когда этим летом взломали Nokia Developer, то после этого возросло количество сообщений в папке спам, даже не хочется думать, что сейчас это повторится...

А то я думаю, куда iZEN пропал. А он занят был последнее время.

Если снаряжать космические аппараты Линукс, они не начнут падать?

Что разорались? Социальная инженерия опять рулит. Поломали кернел.орг, проанализировали добытое там и ломанули линукс.ком... Если вслед за ним полетит фсф.орг, ничего удивительного не будет — у них же много общих пользователей.

а где тут социальная инженерия?

> проще все снести нафиг и переустановить

линуксвейненько

> Если снаряжать космические аппараты Линукс, они не начнут падать?

Все падают... Но если ставить на них венду, велика вероятность, что зависнут ещё на старте.

>а где тут социальная инженерия?
kernel.org ломанули через какого-то юзера. Дальше как по учебнику.

А что там было-то, на linux.com этом? Что за «Linux Foundation» ещё?
Ни разу за пять с лишним лет не слышал о таком.