Fałszywe pozory bezpieczeństwa?

[systemsoft]

Znalazłem w Internecie artykuł o tytule "Mozilla Warns of Firefox Security Holes", w którym serwis PCWorld.com udowadnia, że przeglądarki od Mozilla wcale nie są takie bezpieczne.

Uważam, że najbardziej interesujący jest ostatni akapit:

False Sense of Security?

The public warning of the security vulnerabilities is evidence that the Mozilla Foundation's products give a false sense of security, says Thor Larholm, a senior security researcher with PivX Solutions in Newport Beach, California.

"The only reason Mozilla and Firefox have a good track record in security with a low number of security vulnerabilities is simply because they don't tell anyone about them," Larholm says via e-mail.

"The Mozilla Foundation has fixed hundreds if not thousands of security vulnerabilities over the last few years without notifying the world and without providing security patches, instead they have simply just told their users to upgrade," he says. "We have to remember that all software has security vulnerabilities, the only difference is in how we anticipate them and inform the world about their existence."

Źródło: http://www.pcworld.com/news/article/0,aid,119833,00.asp

Ja nie chcę nic sugerować, ale jako fanatyczny użytkownik przeglądarki Firefox odrobinę zwątpiłem. Może Thor Larholm się myli? Jak to jest naprawdę z tym bezpieczeństwem?

[Ludwik]

Rozwój Mozilli/Firefoksa odbywa się publicznie. Nie tylko istnieje Bugzilla, ale udostępniany jest kod i można dokładnie śledzić każdą zmianę poczynioną w programie.
Także producenci takich przegladarek jak IE czy Opera rzeczywiscie mają teoretyczną możliwośc żeby ukrywać wprowadzane poprawki bezpieczeństwa. Mozilla - nie.

[Olhado/256]

ZTCW niektóre bugi na Bugzilli nie są dostępne zwykłum śmiertelnikom dopóki nie zostaną rozwiązane. Chodzi zapewne o to, żeby hackerzy nie zaczęli danej dziury wykorzystywać zanim zostanie załatana. Natomiast z tym fałszywym poczuciem bezpieczeństwa to jest to dość dziwny wniosek - M$ musi wydawać patche i informować o nich, bo kolejne wersje IE wychodzą raz na kilka lat. Bugi w produktach MF można spokojnie łatać w kolejnych wersjach (a jeśli trzeba - wypuścić bugfix). Jest to z punktu widzenia usera bardzo wygodne, bo zamiast sprawdzać, czy na pewno ma zainstalowaną łatkę Q3421474 może się upewnić, że ma najnowszą wersję Fx i spać w miarę spokojnie.

A jak ktoś naprawdę chce wiedzieć o każdej załatanej dziurze, może czytać nieoficjalne changelogs, które bazują na Bugzilli.

[Adrianer]

co do bezpieczeństwa to znalazłem coś takiego niedawno:

To be precise (and I believe I'm within the bounds of the mozilla.org security
policy of "don't say what the specific issues are" here), there are currently 64
open security-sensitive bugs in the "Core" product (this excludes bugs on
chatzilla, etc; also excludes firefox-specific bugs, of course) that are
"confirmed" (that is, not UNCONFIRMED). There are 12 more Core UNCONFIRMED bugs
with the security flag set.

choć:

Now of these bugs, a number should not be security-sensitive, imo (and in the
opinion of Dan Veditz, who explicitly said as much in the comments on the ones
that I looked at which looked particularly egregious). The number of actual
open security issues in Core is likely much significantly lower than the "64" we
have for confirmed security-sensitive bugs....

Ale tak czy siak: luki są i będą - ale to nic nowego, gdyż chyba każdy program ma luki bezpieczeństwa

[Olhado/256]

Pewnie, że są i będą, a jeśli ktoś myśli, że może być inaczej, to sam sobie tworzy złudne poczucie bezpieczeństwa i nie ma co zwalać na MoFo. Różnica w poczuciu bezpieczeństwa jest tylko taka, że user produktów MoFo może w ogóle nie myśleć o żadnych dziurach, tylko grzecznie wykonywać aktualizacje - będzie w miarę bezpieczny. A wydaje mi się, że dziury w przeglądarce to nie jest domena ZU.

BTW - "fałszywe pozory" to masło maślane

[stroozyk]

to, że wiadomosci o lukach nie sa publikowane, to moim zdaniem bardzo dobrze.. "Nie istnieją" do póki nie zostaną wykryte bo nie wiadomo jak ich użyć.. Nie rozumiem po co pisze sie, że: "...wykryto błąd bezpieczeństwa w programie xx mogący doprowadzić do yy, poprzez wykonanie zz, w taki sposób można uzyskać swobodny dostęp do komputera..."
Jak bym oglądał program Uwaga! pt. Dziś pokażemy jak łatwo można zdobyć podrobiony dowód osobisty..

[lotan]

to, że wiadomosci o lukach nie sa publikowane, to moim zdaniem bardzo dobrze..

Wolne Oprogramowanie jest tworzone z myślą o użytkownikach i mają oni prawa wiedzieć, że jest dziurawe.

"Nie istnieją" do póki nie zostaną wykryte bo nie wiadomo jak ich użyć..

Microsoft ma taką samą strategię. Też im się wydaje, że jak nie opublikują informacji to nikt inny o dziurze nie wie. Niestety to nieprawda. Wiedza o lukach pozwala na ich załatanie. Nawet samodzielne. Brak wiedzy oznacza, że trzeba czekać na reakcję producenta. Siłą Mozilli jest otwartość. Nie wyobrażam sobie ukrywania takich informacji. Choć zdaje się, że były takie próby?

[Adrianer]

Microsoft ma taką samą strategię. Też im się wydaje, że jak nie opublikują informacji to nikt inny o dziurze nie wie. Niestety to nieprawda. Wiedza o lukach pozwala na ich załatanie. Nawet samodzielne. Brak wiedzy oznacza, że trzeba czekać na reakcję producenta. Siłą Mozilli jest otwartość. Nie wyobrażam sobie ukrywania takich informacji. Choć zdaje się, że były takie próby?

Tak jak pisałem wyżej - tutaj podejście Mozilli.org pod względem ukrywania luk przed ich załątaniem się nie różni zbytnio od M$...
Np. nie tak dawno temu wykryta luka z certyfikatami - jak dobrze pamiętam to była już znana od lat, tylko że była ukrywana...
To, że luki przed ich załataniem są ukrywane to jest dobre, gdyż inaczej byłoby duże zagrożenie bezpieczeństwa, ale nie dobrą sprawą jest znajomość luki i jej jednoczesne ukrywanie miesiącami czy latami... Bo jak po latach ktoś wykryje lukę, np. tą z certyfikatami, to nagle się okaże że nie ma już żadnego człowieka który kiedyś nad tym pracował ( i dlatego załątanie tego zajęło trochę... ).

[lotan]

To, że luki przed ich załataniem są ukrywane to jest dobre, gdyż inaczej byłoby duże zagrożenie bezpieczeństwa, ale nie dobrą sprawą jest znajomość luki i jej jednoczesne ukrywanie miesiącami czy latami...

Ok. W sytuacji, gdy zamierza się od razu załatać dziurę można zaakceptować kilkudniowe wstrzymanie się z publikacją info o błędzie. Ale jeśli łatanie ma trwać dłużej to bezwzględnie powinno się poinformować użytkowników o problemie. Bo fakt, że o lukach wie garstka daje tylko pozory bezpieczeństwa.

Rozwiązanie: Szybko wprowadzać poprawki (się łatwo mówi)