Все новости от 4 октября 2001 г.

Microsoft решает проблемы защиты

Софтверный гигант пытается унять беспокойство, вызванное обнаружением все новых уязвимых мест в его программах и недавними атаками вирусов Nimda и Code Red, что заставило экспертов предупредить о недостаточной защищенности веб-сервера Microsoft Internet Information Server. Во вторник Microsoft обратилась примерно к тысяче своих крупнейших клиентов, предложив им программу Strategic Technology Protection Program (STPP), в рамках которой корпорации должны получить средства краткосрочной и долгосрочной защиты от существующих и новых вирусов.

Аналитики предупреждают, что подорванное доверие к некоторым продуктам Microsoft будет трудно преодолеть, что может помешать планируемому наступлению компании на рынок веб-сервисов с инициативами .Net и .Net My Services. «Осваивая рынок веб-сервисов, Microsoft может столкнуться с проблемой доверия. Стараясь продавать свое ПО как услуги, компания добавляет все новые механизмы защиты, — говорит аналитик Gartner Джон Пескатор (John Pescatore). — Кто же станет подписываться на веб-сервисы, автоматически обновляющие десктоп, если в серверном ПО Microsoft то и дело обнаруживаются баги?»

Первая часть STPP, называемая Get Secure, предусматривает предоставление заказчикам Microsoft комплекта инструментов защиты, который собирает в одном месте все «патчи», «хот-фиксы» и «апдейты». Кроме того, Microsoft предложит бесплатную техническую поддержку по вопросам защиты и будет работать с заказчиками через региональные представительства, гарантируя безопасность их сетей.

Однако многие из этих мер уже принимаются. Тем или иным способом Microsoft собирает поправки и апдейты к продуктам в единый простой для загрузки пакет. Если бы все пользователи установили у себя существующие заплатки, последние атаки на IIS были бы невозможны. В прошлом Microsoft возлагала обязанности по установке поправок на самих пользователей, но теперь признает этот подход неэффективным. По оценкам Microsoft, IIS приходится латать каждый месяц; аналитики же считают, что проблемы возникают гораздо чаще. «Эти патчи выходят так часто, что Microsoft не хватает ресурсов на их своевременный выпуск и распространение; здесь уж не до улучшения качества продукта», — говорит Пескатор.

Microsoft планирует примерно раз в месяц выпускать новый security-kit CD, одновременно предлагая более действенные процедуры обновления через веб. «Сейчас нет эффективной системы оповещения о пробелах в защите, на которую каждый мог бы легко подписаться, — как, впрочем, и простого способа доставки поправок», — признался старший вице-президент отделения Microsoft Windows Брайан Валентайн (Brian Valentine). Новые онлайновые инструменты позволят быстрее оповещать заказчиков Microsoft о проблемах безопасности и обеспечат возможность быстро загружать патчи.

С Windows ХР, в которой используется более активный метод доставки апдейтов, такие проблемы возникать не должны. Если пользователь этой ОС разрешает функцию автоматического обновления, то Microsoft может доставлять ему любые поправки сразу же, как только они выходят.

Компания надеется также развеять опасения заказчиков по поводу вирусов, предложив поддержку по бесплатному телефону каждому, у кого возникают вопросы в связи с вирусами, будь то индивидуальный пользователь или крупная корпорация. «Это вселит в людей чувство уверенности: им всегда будет к кому обратиться за помощью», — говорит Валентайн.

Заточено под предприятия

В рамках долгосрочной программы под названием Stay Secure Microsoft планирует автоматизировать обновление Windows и ввести дополнительные средства защиты в будущий набор поправок Windows 2000 Service Pack 3, а также выпустить версию IIS 6 с более высоким уровнем защиты при установке значения параметров настройки по умолчанию. «Microsoft стала софтверным гигантом потому, что передала управление в руки пользователей. Подход был такой: „Пусть сами отключают все лишнее”, — говорит Пескатор. — Но проблема в том, что слишком многие предприятия, купив продукт, ничего не меняют в настройках».

«На нашем сайте всегда есть перечни компонентов с предупреждением „Если вам не нужны те или иные компоненты, запретите их” и пояснением, как это сделать, — говорит руководитель информационного центра Microsoft по вопросам защиты Стив Липнер (Steve Lipner). — Но заказчики не всегда обращают на них внимание и не делают этого».

Пескатор поясняет подход Microsoft на примере аттракциона — прыжков на эластичном тросе. «Резинку нужно сделать покороче, — говорит он. — В прошлом Microsoft обычно давала вам длинный трос и говорила: „Упс, что-то шлепнулось. Смотрите, как нужно укорачивать резиновый канат”». Но Валентайн переводит стрелку на отношение самих компаний к вопросам безопасности. По его версии, «не то, чтобы они не желали быть неуязвимыми — они просто не знают правил».

По словам Пескатора, в случае IIS у компаний есть выбор из трех вариантов: смириться с судьбой и «постоянно чиститься после этих атак», улучшить защиту, в том числе при помощи регулярной установки патчей для IIS, или перейти на какую-нибудь другую платформу. Security Toolkit помогает идти по второму пути, но Microsoft, говорит он, «следовало бы предложить четвертый: выпустить продукт, который требовал бы меньше поправок».

Тортон Берфайн (Thorton Burfine), главный технолог компании KelbySoft, сравнивает две части программы STPP с наживкой и крючком. «Меня беспокоит то, что STPP позволит Microsoft диктовать мне модель защиты NT/2000, а также то, как она будет относиться к нашим системам, — говорит он. — Когда потребность в безопасности и защите возросла, Microsoft предложила нам инструмент, который защищает наши сети как ей кажется нужным, и собирается обновлять наши системы, желаем мы того или нет».

Для повышения надежности IIS в будущем Microsoft намерена использовать инструменты своего исследовательского подразделения для выявления уязвимых мест в коде ПО. «Мы усовершенствовали процесс проектирования, так что он стал еще строже, чем при создании Windows 2000», — говорит Валентайн. По его словам, в инструменты разработки, которые использовались в процессе создания Windows ХР и Windows .Net Server, куда входит II 6, Microsoft вложила около 50 млн $.

«.Net станет очень наглядным показателем зрелости Windows и серверов Microsoft, — говорит аналитик Patricia Seybold Group Питер О'Келли (Peter O'Kelly). — Если выявятся новые существенные проколы, доверие к компании и ее бизнесу будут подорваны».

Однако Валентайн отводит эти опасения. «По-моему, это вопрос общего доверия к индустрии, — говорит он. — Всех беспокоит безопасность интернета в целом. Не думаю, что это проблема исключительно Microsoft».

 В продолжение темы:

Обсуждение и комментарии

	Skull - sibskullmail.ru 4 Oct 2001 3:35 PM
Теперь каждый раз, законнектившись по модему под Windows, ты, дружок, получаешь отличный геморрой размером в сидюк, который каждый месяц будет скачиваться на твою маленькую машинку. :)) И это будет происходить каждый раз через месяц после выхода нового вируса, работающего для популяризации защиты твоего любимого ПО!
	vIv 4 Oct 2001 4:35 PM
причём естественно это будет даваться без докачки 8)
	glassy 4 Oct 2001 5:10 PM
В скором будущем не будет неломаемых алгоритмов шифрования, отсюда -- сертификация в дауне, прикидываем, делаем дос, подставляем свой патч... Имеем миллионы серваков в миллионы дыр. PS только не вздумайте меня к хакерам причислить.
	vIv 4 Oct 2001 5:15 PM
а вот насчёт неломаемых алгоритмов можно бы и поподробнее... а то их стойкость ведь - того-с - экспоненциально растёт от длины ключа. ну будет тебе ключик в мегабайт - и что? скорострельность перебиралок тоже научится расти по экспоненте от количества процов? 8-)
	MV 4 Oct 2001 7:03 PM
А мне понравился сам подход к проблеме. Вместо того чтобы делать менее дырявый софт Microsoft предлагает создать технологию автозатыкания дырок ,причем наверняка по дефолту не спрашивая хозяина тачки (типа -упсс, а вы уже в Хопре). Очень в стиле M$ Так что кто тут недавно с пеной у рта доказывал. что IIS 6 будет "ну как скала прямо, зуб даю!"? Обломитесь ребята, уж и технологию вам создают, не пропадать же ей. Вы "пойдете другим путем" В. И (Гейтс) Ленин. И идите ...
	aksakal 4 Oct 2001 9:52 PM
2MV: ============ Обломитесь ребята, уж и технологию вам создают, не пропадать же ей... ============ Вот у нас скорая помощь с недогрузом работает. А ну выпустим-ка ОМОН с дубинакми на улицы , не пропадать же ей (скорой помощи) ;)
	aksakal 4 Oct 2001 10:13 PM
IMHO наверное лучше жить с системой "дыркозатыкания" , чем без таковой ;) Да и никто не заставляет (пока :)) ею пользоватся. Рынок МS-овских продуктов изначально ориентирован "на стол", и его пользователи по-проще (ну не кернел-хацкеры :( ). Так что появление ентой штучки - закономерно. Кто доверяет MS, (НЕ Я!!!) и согласен отдаватся ей с закрытыми глазами, будет это только приветствовать. 2 glassy: # rpm -i|-U ftp://etc... Хе-хе-хе ;) 2 Skull: Читай внимательнее: "...раз в месяц выпускать новый security-kit CD, одновременно предлагая более действенные процедуры обновления через веб..." Кроме того CD не обязан быть заполнен "по самые помидоры" :)
	MV 4 Oct 2001 10:22 PM
2 aksakal Точно, IIS6 и будет тем ОМОНОМ. Прозорливый Билл уже сейчас форсирует движки и увеличивает количество машин. Ну чтоб справились с ожидаемой нагрузкой ;)
	MV 4 Oct 2001 10:33 PM
>IMHO наверное лучше жить с >системой "дыркозатыкания" , чем без таковой ;) IMHO лучьше вынуть руки из задницы, устроить капитальный ремонт и перекрыть крышу чем вбухивать бабки в систему по автоподставлению тазиков.
	aksakal 4 Oct 2001 10:41 PM
2 MV: Согласен! Лучше быть богатым и здоровум, чем бедным и больным. Еще лучше жить при коммунизме и ездить на тачке с вечным двигателем. Есть только маленькое но :((((
	MV 4 Oct 2001 10:45 PM
Даже MicroHo :(
	aksakal 4 Oct 2001 11:00 PM
Каким бы микро/пико/нано оно не было, именно оно НЕ ПОЗВОЛИТ произойти всему нижеперечисленному. Уважаемый MV! Спуститесь пожалуйста с небес на землю! Все мы люди, все человеки, а человеку свойственно ошибатся. Разумеется багов надо давить, но наивно полагать, что удастся раздавить всех. Ну еще можно добавить про сложность самой системы, про то, что масса проколов происходит от неправильной конфигурации (так что, теперь все hard-coded прописать?), про то, что end-user это Вам не sysadmin, etc... Так что лучше и багов меньше и автоподставлялку тазика (автоподстилалку соломы) :) О, кажись сам себе противоречу, однако хороше-бы:)))
	MV 4 Oct 2001 11:41 PM
Бесит не сам факт создания подобной системы, а то как это все преподноситься. Что делают приличные люди в подобной ситуации: - говорят "извиняюсь обгадился" - пытаються устранить последствия - пытаються не допустить подобного в будущем Что делает M$: - постоянно "делает" не презнавая что это проблема - устранение последствий преподносит под лозунгом "Самая крутая технология" - не предпринимает ни каких видимых в реальности попыток исправится. Качество и безопасность продукта приносяться в жертву скорости выпуска, простоте работы и настройки. Я не думаю что неadvansed user ждет именно этого. Скорее падучие и дырявые develop поделки предназначены для профи. Потому и начинают автопатчить систему прям из M$, что простой юзер уже не в состоянии ее поддерживать в рабочем виде
	RSM 5 Oct 2001 2:41 AM
Кстати о ключах.... помнится в районе 19-21 января у верисайна (контролируемого в том числе и MSом) уплыли два закрытых ключика за именем MS... так что глядишь ими подписывать и будут... =)
	hamet 5 Oct 2001 6:36 AM
Retata... A mozhet vy ne o tom govorite?
	glassy 5 Oct 2001 7:48 AM
2aksakal: раз в месяц? Да я поставлю rh6.2 и годами рпм запускать не буду.
	boom 5 Oct 2001 7:49 AM
Интересно, а сколько будет дыр в самой системе обновления :) И самое интересное, насколько я понимаю Б.Г. считает, что интернет подключение ничего не стоит, и людям больше делать нечего, как выкачивать его заплаты на заплаты.
	glassy 5 Oct 2001 7:57 AM
Кто забыл, < пишется как &lt;
	Stargazer 5 Oct 2001 7:58 AM
2 Aksakal: Сложность систем от Микрософт - НЕ то же самое, что сложность систем, допустим, от IBM. Когда винды были в стадии гнилого зародыша, IBM выпустила системку такую, OS/2 звалась (она и по сей день здравствует и помирать не собирается). Две большие разницы, если кто помнит. Так что говоря про новые технологии, системы и конфигурации, надо уточнять - ЧЬИ это технологии.
	В.К. 5 Oct 2001 8:52 AM
Дыры в MS нельзя заткнуть еще и потому, что архитектура IBM PC не позволяет этого сделать только за счет софта. Этот проект - из серии "Без паблисити нет просперити", а в этом смысле он раскручивается как всегда безукоризненно - красивый для уродов предлог и все больший контроль над сетью. А все рассылаемые патчи будут: 1. Подменять на закладки 2. Успользовать как указание на дыры - и их использовать. Готов на тотализатор поставить - так и будет.
	Практик 5 Oct 2001 10:49 AM
2MV: Скажите уважаемый а КАК писать ПО без багов? Как одновременно удовлетворять Ваши экспотенциально растущие желания о возможностях ОС под вашей мышкой и продумывать все возможные сценарии использования это ПО? Вы сами насколько шагов вперед свои действия продумываете? Microsoft как УСПЕШНАЯ софтверная компания не делает ничего такого, за что ее можно ругать. Она просто УДОВЛЕТВОРЯЕТ желания потребителя. Т.е. следует основному принципу экономики. Да код в microsoft пишут люди. Да им свойственны недостатки. Может простим им их? Или они (кодеры и проектировщики microsoft) должны быть внеземными существами и все знать и за все быть в ответе? Не надо ожидать того, что ошибок не будет. Ошибки будут всегда - это аксиома. НО! Предлагается способ "мягкого" (удобного) избежания неизбежного (я не говорю о реализации). Так чего вопить? Может стоить лучше потестить (похакерить если хотите) этот новый механизм и обо всех найденных проколах сообщить куда следует? И тем самым поспособствовать повышению надежности этого ПО и опосредованно дать всем счастья? ЗЫ А дождь на улице пройдет, а солнце выйдет и виноватых в шлепанцах дырявых уже искать не будет хотца:)
	George - melissa3hotmail.ru 5 Oct 2001 11:27 AM
2Практик: 1. Microsoft не "УСПЕШНАЯ софтверная компания", а МОНОПОЛИСТ. Она не удовлетворяет, а формирует желания потребителя, навязывает потребности. (следуя тем же самым законам экономики). 2. Речь идет не просто о наличии ошибок, а о системе их массового образования, т. е. об исполняемых без предупреждения и распостраняерых повсеместно с данными СКРИПТАХ. Древние говорили: "излишества вредят". А тут на лицо явные излишества и полное пренебрежение безопастностью системы в угоду простоте разработки, установки и эксплуатации. Разрабатывая новые технологии фирма ВООБЩЕ не думает о защите.
	CHOP 5 Oct 2001 11:55 AM
ПО без багов конечно не бывает, но есть баги, а есть Баги. Уменьшить кол-во Багов очень просто: надо хорошо продумать структуру ПО. Например (грубый, конечно, примерчик), проследить, чтобы из сокета читала только одна функция и она же следила за, допустим, не переполнением буфера чтения. Это легко, но это и есть самое сложное в программировании. Я бы сказал, что, чем больше работает людей, тем сложнее становится эта задача, но не скажу этого по тому, что есть примеры создания отличного ПО большими коллективами людей. У МС беда не в размахах производства, а в том, что они сами не понимают, чего они делают. За примером далеко ходит не надо. Куда они собираются прикрутить свою новую технологию? Да просто очевидно, что они породят ещё несчётное количество дырок. Им теперь можно уже через неделю закатывать новую презинтацию ''супер новой технологии автоматического латания дыр в защите новой технологии автоматического латания дыр'' :-) Золотое дно! :-)
	CHOP 5 Oct 2001 11:59 AM
И ещё подумалось мне, что современные системы дошли до такого уровня развития, что их либо сложно настроить (типа UNIX), либо невозможно настроить (там, где возможность настройки не предусмотрена). Диалектика.
	Rym 5 Oct 2001 12:25 PM
ПО без багов бывает. Надо только очень захотеть и использовать нужные инструменты для отладки. Я тут общался с программерами из NASA, так у них в программе контроля спутников нет багов хоть там и 1,5 миллиона строк. Думаю и у наших тоже так. Когда программера торопят, когда вместо того чтобы использовать дебагеры программу просто передают сотням тестеров, которые прошу заметить далеко не хакеры, вот тогда и виснут программы, а о всяких ошибках узнают много позже. Была даже статья директора отдела тестеров MS (непомнюкакзвать) "Игра в профессионалов", он в этой статье рассказывал как начал работать тестером умея только включать/выключать комп!
	Rym 5 Oct 2001 12:30 PM
2Stargazer: OS/2 вышла, была просто супер, но Win почему-то стала популярней? Именно простоте в обращении Win мы обязаны тем что сейчас в мире есть миллионы пользователей ПК и в каждом офисе есть ПК. Попробуй старого бухгалтера совка заставить пользовать Linux в промпте и самостоятельно запукать XWin когда они даже в телевизоре настройки неспособны/боятся сделать...
	MV 5 Oct 2001 12:40 PM
2 Практик > Как одновременно удовлетворять Ваши > экспотенциально растущие желания о возможностях > ОС под вашей мышкой и продумывать все возможные > сценарии использования это ПО? У меня нет "экспотенциально растущих желаний". Наверно поэтому я отказался от "услуг" M$ в пользу Unix like систем с их более взвешенным подходом. > Да код в microsoft пишут люди. Да им > свойственны недостатки. Может простим им их? > Или они (кодеры и проектировщики microsoft) > должны быть внеземными существами и все знать > и за все быть в ответе? Да нет конечно. Вопрос в подходе компании. У меня есть ощущение что M$ поощеряет своих кодеров на написание полусырого софта в обмен на скорость и "вал". Люди везде одинаковы, условия работы и приоритеты разные. А тестить код M$ я не буду, увольте. Я больше с ним не работаю, я про него читаю :) PS. я не "воплю". Я просто делюсь мнением. Вопят когда больно, а мне M$ дыры по боку.
	wanderer - y6b6f7374696eyahoo.com 5 Oct 2001 2:03 PM
2MV: "M$ поощеряет своих кодеров на написание полусырого софта в обмен на скорость и "вал"" - вряд ли, чтобы явно поощряет, но вообще такая тенденция есть. С точки зрения рынка, в большинстве случаев лучше выпустить хорошую программу сейчас, чем отличную завтра. И MS здесь далеко не худший пример.
	MV 5 Oct 2001 2:13 PM
>И MS здесь далеко не худший пример. Просто самый большой пример. Кому интересно обсуждать политику коипании vasya.pupkin.com Максимум скажут "а что вы хотите от этого убогонького". У MS же есть все возможности делать качественный софт, у нее нет самого главного - ЖЕЛАНИЯ. Вот это и противно.
	2Rum 5 Oct 2001 2:33 PM
У них в 1.5 млн строк не НЕт, а ПОКА НЕ НАЙДЕНО багов. А не найдено - ибо пользователей чуть меньше чем у MS. NASA тоже неоднократно теряло спутники из за ошибок в управляющем ПО, а у французов Arian из за ошибки в программе вообще на старте взрывалась. А на МКС - висли оба управляющих компьютера Так что не надо ля-ля ...
	Maximka - justmmail.ru 5 Oct 2001 2:42 PM
*** ПО без багов бывает. ...NASA, так у них в программе контроля спутников нет багов хоть там и 1,5 миллиона строк. *** Гон, извините. Если бы это ПО использовалось миллионами людей - нашлись бы тысячи дыр. И количество обнаруженных багов прямо пропорционально популярности системы, что наводит на определенные размышления. Если бы *нихами пользовалось такое же количество людей, как виндой, то дыр бы там нашли не меньше... Хотя, может действительно стоит поставить себе самописную ос с нулевой совместимостью, зато можно быть уверенным, что под неё никто вирей не напишет.. :) *** 1. Microsoft не "УСПЕШНАЯ софтверная компания", а МОНОПОЛИСТ *** А как она стала бы монополистом, если бы не была успешной софтверной компанией? И судить о её "успешности" можно только по результатам: Результат - она стала монополистом.
	wanderer - y6b6f7374696eyahoo.com 5 Oct 2001 3:27 PM
2MV: мне кажется, это политика двойных стандартов. У любой фирмы есть возможность делать качественный софт, однако если ошибки делают все остальные, то "что ж вы хотите, ПО без ошибок не бывает", зато ошибки в продуктах MS воспринимаются всеми как "ну конечно, разве ж они могли не облажаться".
	MV 5 Oct 2001 3:38 PM
2 wanderer Вобщим мы поехали по кругу.:) Вместо дальнейшей писанины можно просто начать читать с начала. Я с этой новостью завязываю (тем более что она уже почти старость:). Может над чем еще потом подискутируем. Всем by!
	Perechrest Roman - romanperechrest.ru 5 Oct 2001 4:19 PM
2Stargazer К Вашему сведению, операционная система OS/2 выпускалась совместно компаниями IBM и Microsoft. Но MS не устроило что то и он сказал, что будет сам разрабатывать свою OC...
	Gordey - gordeynm.ru 5 Oct 2001 5:25 PM
2Rym /* Я тут общался с программерами из NASA, так у них в программе контроля спутников нет багов, хоть там и 1,5 миллиона строк. Думаю, и у наших тоже так. */ Не знаю, как у НАСА и наших, но вот несколько лет назад на какой-то там секунде после старта взорвалась французкая АРИАН 4, помните, "ну дело то громкое было"(с):-). Так вот, причиной аварии было названо ошибка в ПО этого звездолета (что-то там французы поделили на ноль). А наверняка тоже тестировали.
	PTO - kruchkovkgb.ru 5 Oct 2001 6:39 PM
2 Rym: "в каждой программе есть как минимум 2 ошибки" - это теорема доказываемая в одной из классических книг по программированию. Касательно софта для систем типа спутника могу с достоверностью сказать, что там примерно 85% кода занимается тем "а что делать, если бага здесь, а если бага в проверяльщике баг, а если тут"... да и баги все-равно есть... вспомнить хоть зонд на Марс - упал и все тут - просто формулы брали для футов на дюйм, а коэффициенты для килограмм на метр.
	Влад Косулин - kosulinyahoo.com 5 Oct 2001 9:59 PM
To Rym: > Попробуй старого бухгалтера совка заставить > пользовать Linux в промпте и самостоятельно > запукать XWin когда они даже в телевизоре > настройки неспособны/боятся сделать... 1. Что, Мастдай уже стал проше в использовании, чем телевизор?2. _ЗапУкать_ Линукс - это надо очень много гороха скушать:-)3. Никто не мешает логиниться сразу в Иксах. Была бы бух. программа.
	Val - vkalenicukr.net 5 Oct 2001 10:29 PM
2Perechrest Roman. В оське МС не удовлетворили сроки. Потому что тогда перед IBM PC сообществом реально встала угроза макинтошей. МС не могла просто так вот бросить рынок РС - не было никакой другой раскрученной персональной платформы, кроме Маков и РС. На Маки их бы никто не пустил. Эплы были реальными МОНОПОЛИСТАМИ на своей платформе. Вплоть до того, что выдавали вполне официальные _разрешения_ (лицензии) на выпуск программ под Маки другими производителями. И тогда МС вышла на рынок с Вин3.1. Это был шаг назад. Но этот шаг оказался победным, потому как МС смотрела в рот сторонним разработчикам и выполняла ЛЮБЫЕ их желания по части платформы. И выпустила 95ю. ИБМ же была строга и целомудренна. В результате бывшая программерская проститутка, МС, теперь знатная дама. Целка ИБМ стала старой девой. И появилась новая девственица с благородными намерениями и желанием быть невестой на всех свадьбах...
	aksakal 7 Oct 2001 3:05 AM
К вопросу о гм... полуоси. MS начала выходить из проекта, когда у них стала выкристализовываться Windows, и возникло противоречие, т.к. Полуось изначально замышлялась как "крутая" ОС, жрущая кучу ресурсов, итд итп. А Винды вскакивали на комп с 1Мб памяти и не жужжали. Так-что тут именно MS повернулась к "тонким клиентам" передком, а IBM стояла-таки задом ;) 2 Антон Блинков: А Вы уверены, что до 1.3 , а не до 2.0? Эппл давала писать софт. Но процесс сертификации был еще большим геморроем, чем сертификация от MS сегодня. 2 MV ================== У меня есть ощущение что M$ поощеряет своих кодеров на написание полусырого софта в обмен на скорость и "вал". ================== Это лишь Ваше ощущение :) MS, скорее, закрывает глаза на баги, если поджимают сроки. А какая коммерческая организация этого не делает? Это пардон, только Линукс могли 2 года держать в версии 0.99(9...). Любая лавка, работающая за бабки при этом дажным-давно бы в форточку (sic!) вылетела. Нет уважаемый, Вы просто неконструктивно злобствуете.
	ViRUS - sibvicchat.ru 7 Oct 2001 8:08 AM
Ещё один повод для переход на Linux.
	eXOR 8 Oct 2001 1:23 PM
А мне вот понравилось предисловие к статье: --------- В среду Microsoft выступила с важной инициативой, призванной развеять опасения заказчиков по поводу слабой защиты ее ПО и вирусных атак. --------- ЕЕ по и вирусных атак ;-))
	VicTor 8 Oct 2001 4:54 PM
2aksakal: именно до 1.3. И еще носила гордое название MS OS/2 (до сих пор работает в некоторых банкоматах). И багов там таких не было, потому как IBM хорошо дрессировала этих криворуких умельцев. А по поводу работы на рынке, то, честное слово, M$ все больше напоминает известного героя из "Королей и капусты" О.Генри, как хорошо это озвучил Джигарханян в кино (не без отсябятины, конечно): "Вы плохо учили политэкономию, мой мальчик. Спрос создать нельзя,... но можно создать условия, которые вызовут спрос." Вот собственно и все новаторство M$ в высоких технологиях - не берут башмаки, значит ночью набросаем колючек. Не даром Балмер в свое время сказал следующее: "Мы не будем следовать стандартам. Мы будем стоять у истоков стандартов." Т.е. будьте проще и люди за вами потянутся. К чему искать и исправлять баги во время разработки - проще отыграться на конечных пользователях. Мазохистов хватает - они еще и деньги будут платить (и не только за то, что называется конечным продуктом, но и за бета-тестирование!!!). 2Практик: да, софт пишут люди и им свойственно ошибаться. Да, на МКС два управляющих компьютера повисли (кстати, в американском секторе, и под управлением NT :)) Ошибаются не только софтверные компании, но хардверные - Intel, в том числе. НО!!! Что делает Intel, обнаружив ошибку в своих пнях, - он отзывает уже проданные миллионы чипов и приносит извинения за доставленные неудобства. А что же делает M$ - см. лицензию "Мы ни за что не отвечаем!" Но в рекламе - "У Вас есть проблема? Мы ее решим!!!" (но все равно ни за что не отвечаем).
	quadic - quadicmail.ru 8 Oct 2001 8:21 PM
2VicTor: ----------------------------------------------- на МКС два управляющих компьютера повисли кстати, в американском секторе, и под управлением NT :)) ----------------------------------------------- А ссылочку можно? Только не на дешевую сплетню из компьюленты, где утверждается, что на фотографии виден компутер с повисшей NT, а виден (причем крайне хреново) некий лаптоп с черным экраном и несколькими белыми строчками на нем, мне лично напоминающие текстовую консоль чего угодно, включая Unix.
	Val 9 Oct 2001 1:05 AM
2VicTor. "Что делает Intel, обнаружив ошибку в своих пнях..." Интел делает круглые глаза и начинает убеждать всех, что ошибочка-то несущественная и столь редкая, что даже смешно. Так Интел ломается где-то пол-года, после чего, поняв, что ее "доброе" имя уже стало синонимом слова "жлоб" потихонечку начинает менять пни "с документально подтвержденной ошибкой", а затем (после спада продаж и падения курса акций) все остальные пни.
	Антон Блинков - bavinfopac.ru 9 Oct 2001 4:49 AM
2 aksakal угу. и завела МС со своим "тонким клиентом" всю индустрию на 16-битный патч для 8-битной ОС (линия Win 3.x - 95), с которого потом прищлось мучительно (в течении десятилетия) уходить на что-то более нормальное. если Эппл предъявлял при сертификации к МС такие же требования как и к остальным, то это нельзя назвать "запретом".
	glassy 9 Oct 2001 12:09 PM
2quadic: А консоль-то точно не линуксовская. Линукс более информативен, и экранчик дисплея содержал бы раз в 5 больше белых строчек.
	Val - vkalenicukr.net 10 Oct 2001 8:18 AM
2Антон Блинков. 2001-1995=6 лет. Но не 10 лет. (Ах, как недавно все началось-то!) Эпл МСу тогда спину лизал, только чтобы он свой Эксель под Мак сделал. У Эплов всегда все не очень хороше с софтовой обвязкой было (для домохозяек).
	aksakal 10 Oct 2001 1:05 PM
2Антон Блинков: А кто же говорит про запрет? Мы, типа, Вам ничего не запрещаем, но: 1. Это делать нельзя... 2. Это делать не рекомендуется... 3. Работать ТОЛЬКО в скопе опубликованного API ( а мы сами кстати будем использовать рацширенный API)... 4. Итд/итп. Следует понимать, что это не MS такие плохие, а ВСЕ! Сиреч MS, Apple, Sun, HP, IBM, etc. Ну-ка слобай железку, что-бы ее потом легко было в Спарк/ЭрЭс/Эйч-Пи 9000.
	quadic - quadicmail.ru 10 Oct 2001 2:34 PM
2glassy: ----------------------------------------------- Линукс более информативен, и экранчик дисплея содержал бы раз в 5 больше белых строчек. ----------------------------------------------- Так ведь компутер повис...
	Snake - tomilinrambler.ru 10 Oct 2001 4:12 PM
Уважаемые коллеги, поддерживающие "новацию", ответьте на несколько вопросов: 1. Как вы будете избавляться от маскировки троянов и закладок под Ваши апдейты? 2. Как Вы будете договариваться с администраторами безопасности, чтобы они позволили какому-то коду проходить ч/з уровни защиты и регулярно ставиться на критически важные серверы? 3. Как Вы вообще будете часто обновлять критически важные системы - если на них поставили НТ/2К? Рестарты не всегда допустимы? 4. А если нет ответов - так для кого вся кампания? Для чайника, выставившего ИИС в Инет - так тут ответ на 1 архиважен, а то он такого получит... Оченно было бы интересно услышать.
	Skull - sibskullmail.ru 11 Oct 2001 4:46 AM
2quadic: в случае Linux при Kernel panic выдался бы нифиговый стек. :)
	Антон Блинков - bavinfopac.ru 11 Oct 2001 5:50 AM
2 Val я воощето говорил про Win 3.x. так что 10 лет. про Маки я совсем не понял. то "На Маки их бы никто не пустил", то "Эпл МСу спинул лизал". непоследовательно, доктор :) 2 aksakal про запрет говорил Val.
	aksakal 11 Oct 2001 11:46 AM
2 Snake. Ответы: 1. VPN 2. А почему РЕГУЛЯРНО? Даже на сегодня у MS есть не так много, чего надобно срочно обновить. Кроме того сами MS имели ввиду в первую очередь настройки, а не обновление двоичного кода. 3. А точно так-же, как это делается в других ОС-ах не имеющих подобного фича. Что по Вашему,Солярис или Эйчпукс позволяют все "на лету" обновлять? 4. Эмоции батенька, эмоции ;)... Лозунг: Чайнику с ИИС не место в ИС! :)
	aksakal 11 Oct 2001 11:47 AM
2 Антон Блинков: Извините, ошибся.
	quadic - quadicmail.ru 11 Oct 2001 12:39 PM
2Skull: --------------------------------- Так ведь компутер повис... в случае Linux при Kernel panic выдался бы нифиговый стек. :) --------------------------------- Даже если процессор физически накрылся медным тазом? CPU not found, press any key to continue.
	Skull - sibskullmail.ru 11 Oct 2001 1:53 PM
2quadic: а разве это не будет ясно еще ДО загрузки ОС?? :)) А если во время работы - то не знаю. Полагаю, висели бы хвосты от работы.
	quadic - quadicmail.ru 11 Oct 2001 2:46 PM
2Skull: -------------------------------------------- Полагаю, висели бы хвосты от работы. -------------------------------------------- Ну, вот они и висят. А что по существу вопроса? Откуда все-таки дровишки про NT на МКС? Что-то все молчат...
	glassy 11 Oct 2001 6:12 PM
на фотографии -- комп явно уже размороженный и явно с виннт.
	quadic - quadicmail.ru 11 Oct 2001 7:37 PM
2glassy: ---------------------------------------------- на фотографии -- комп явно уже размороженный и явно с виннт ---------------------------------------------- На этой фотографии -http://www.compulenta.ru/pubimages/3140.jpg ? Если да, то не сможет ли дорогой сэр объяснить, на основании чего он опознал NT? Это и есть "сообщение об ошибке NT"? Так вот он какой, север.., то есть - синий экран смерти. Черный оказался.
	glassy 12 Oct 2001 8:27 AM
2quadic: мне нет никакого смысла с тобой словами перекидываться. в линухе: 1. для чисто консольного режима разрешение ставится 135х80 знакомест 2. приглашение по умолчанию -- имя+хост+директория -- на с:\ абсолютно не похоже 3. у линуксовых пользователей есть привычка жать Enter пока не получится столбик приглашений 4. содержимое консоли очищается Ctrl+l -- еще одна привычка 5. "имя команды или файла указано неправильно" и пара чистых строк -- на твоем jpeg-е имхо это можно разглядеть. Интересно, какие такие команды в линуксе оставляют после себя чистые стоки? -- для линукса это абсурд. И в конце концов, как в инете могла появиться фотография с синим экраном смерти? Увеличение тебе было дано, чтобы показать, что консоль энтёвая. Кто-то говорил, что я люблю за собой последнее слово оставлять -- может быть :)
	PTO - kruchkovkgb.ru 12 Oct 2001 10:41 AM
2 glassy: 1. ну давай, на нотебуке поставь разрешение свое любимое 2. а кто говорил, что там по умолчанию... там "спец настройки для героев"... все сделано так, что если произошло то-то, то он открывает справочник и нажимает комбинацию из нескольких кнопок... он космонавт/астронавт, а не программист 3. у космонавтов нет привычек что-то жать - есть инструкции 4. ты не путаешь свой домашний комп с БЦВМ космической станции? 5. а кто сказал что это линукс? кто вообще сказал что это БЦВМ? судя по фото это комп, с которого заливают в лучшем случае апдейт софта в БЦВМ, а скорее всего снимают показания с каких-то приборов и вообще никакого отношения оно не имеет к ПНК и БЦВМ
	quadic - quadicmail.ru 12 Oct 2001 1:55 PM
2glassy: 1.Допустим, ты меня убедил, что консоль не линуховая (старался ведь). Откуда следует, что она именно NTвая? 2.Много ли ты видел извращенцев, работающих в NT в текстовой консоли? Особенно среди непрофессионалов (космонавты профессионалы в другом). 3. "как в инете могла появиться фотография с синим экраном смерти?" А что бы ей, фотографии, помешало?
	glassy 12 Oct 2001 2:41 PM
ок, вы оба меня тоже убедили :)
	Snake - tomilinrambler.ru 12 Oct 2001 2:50 PM
2aksakal 1. Не панацея - даже для случая с асимметричным шифрованием. Где появилось слово "крипто", там ждите слова "DoS". Кто на связь выходит? Почему удаленный абонент не может выдать себя за МС? ПГП? Будет Ваш пограничный узел входа в VPN висеть долго... 2. Потому, что если нерегулярно - неадекватно внутрь сетки дырку открывать. Проще самим забрать, например, по почтовой рассылке. 3.Прикол в том, что без такой "фичи" я сам определяю момент перезапуска. А тут опаньки - и в разгар делового дня система ушла ;-) А если она будет ждать моей команды на перезапуск, а изменения пока не в силе - так что мы выиграли? Та же лень/тупость/неквалификация могут привести к невыполнению перезапуска. По сравнению с риском доп. входа в сеть - просто ноль удовольствия. Или нет? 4. Конечно, эмоции. Виден бред, который с апломбом пытаются выдать за новое слово в технологии безопасности. Предлагаю создать публичный депозитарий секретных ключей асимметричного шифрования - чтоб если вдруг потеряется, было откуда взять его обратно;-). Тоже новое слово ;-)
	Snake - tomilinrambler.ru 15 Oct 2001 11:16 AM
2alex_127 Разрешите пояснить: не хочу я рутовый сертификат, не нужно пока ;-) Просто в поток ваших данных - мегакриптозакрытых, но передаваемых по сети - я вставляю порцию своих данных (например, делаю TCP-hijacking или парой других веселых способов). Ну и всё... Либо, если не могу прослушать трафик - не удалось вскрыть близкий к Вам сегмент и не в нём я - начинаю обновлять Вашу машину дурацкими данными. А она их расшифровывает, проверяет, говорит - опять не то... Выч. мощность падает вниз со скоростью света. Наконец, если обновляемая машина ходит обновляться сама - пускаем трафик через меня и модифицируем там *пару десятков" байт. Опять же, придётся обновляться заново... Любая регулярная деятельность позволит нам похулиганить. А касательно криптостойкости алгоритмов МС я пока не говорю - хотя, если экстраполировать результаты Шнайера и Мюджа двухгодовалой давности - см., например, мой перевод http://www.ssl.stu.neva.ru/psw/crypto/pptp.html или оригинал http://www.counterpane.com/pptp.html там может быть много интересного ;-) Возможно, рут сертификат и не потребуется...
	aksakal 15 Oct 2001 11:23 AM
2 Snake: 1. Не панацея, но работает приемлимо. Пользуйтесь нормальным VPN, и приемлимость Вам обеспечена. 2. Тоже вариант - забирать по почте. Я так думаю чти из MS и его включат в комплекс мер. 3. Когда Вы в последний рас SPx ставили? Он прежде чем залезть 200 раз спросит, а прежде, чем перегрузить 300 раз ;) 4. Мои эмоци. Вот Вы пишете: ======================================= ... с апломбом пытаются выдать за новое слово в технологии безопасности ... ======================================= Перечитал статью. Не нашел ни одного намека на апломб. Зато наездов на MS, ну все эти сравнения с тросом итд, массу. Кроме того подход лишь аннонсирован, а Вы уже наделили его к-то функциями, тут-же "раскрыли" нам глаза на их убогость? Вы что, из Майкрософт, и уже знаете жсе фичи продукта который еще разрабатывается?
	Snake - tomilinrambler.ru 15 Oct 2001 12:18 PM
2aksakal 1. Прочтите, пожалуйста, мой ответ. Я говорю - да, работает, но легко вывести из строя. Результатами готов делиться. К тому же, см. ответ alex_127. Выйдет релиз, посмотрим криптостойкость алгоритма. Возможно, он тоже будет "extremely vulnerable" - но это просто экстраполяция, близкая к флейму. 2. "С Windows ХР, в которой используется более активный метод доставки апдейтов, такие проблемы возникать не должны." - вот их ориентир. А описаний механизмов ХР и их проообразов - масса. Посмотрите TechNet, поищите в Инет. Не надо придумывать, надо читать ;-) 3. Ну, про это я и спросил. Если не сам - кто обеспечит перезагрузку, если никто - на фиг внутрь пускать ;-) 4. Апломб - заголовок, полужирное "саммари". Какие ж намёки. Открытым текстом. Иными словами, никаких претензий - просто идеи такие анализировались лет 7 назад, и вроде все уже выводы приняли. А МС помчался на поиски велосипеда (или граблей), и, похоже, вполне успещно их находит.
	alex_127 16 Oct 2001 3:05 AM
1. Вывести из строя можно что угодно. Но это является теперь террористическим актом :) Кстати, вы знаете сколько атак в секунду обрушиваются на www.microsoft.com и www.hotmail.com? Это не так просто как кажется... За ислюченим случая когда вы пишете очередной вирус, но тогда нам вряд ли есть о чем разговаривать... 2. Вставиться в промежуток сессии можно, хотя и требует взлома 128-битного ключа. Вопрос только успеете ли вы это сделать за то время пока соединение открыто? Я _знаю_ что так можно сломать, но не слышал ни об одном случае когда это было бы успешно проделано. Это ведь основа большей части e-commerce. 3. Наиболее вероятный путь - через дыры в программном обеспечении... будем стараться не допускать!
	Snake - tomilinrambler.ru 16 Oct 2001 12:52 PM
2alex_127 1. Нет, статистики ваших сайтов не знаю, хотя в силу профессии было бы интересно - может, поделитесь открытыми данными, или ссылочку подбросите. Моё мыло реальное, а любое NDA - на тему "кроме как в исследованиях не использовать" - подпишу и факсану ;-). Я представляю себе статистику популярных российских сайтов. Не впечатляет... После отброса пионэрских атак, отсекаемых фильтрацией на FW+IDS, остается не более 5-6 (пяти-шести) инцидентов за неделю, требующих вмешательства службы безопасности. Если отбросить попытки раскрытия структуры системы - а именно с ними, по-моему, и надо бороться ;-), чтобы дальше не заходило - остаётся не более одного инцидента, который может вызвать интерес. И то часто такой инцидент - просто глупость удаленного абонента. Что считать атакой? Сканирование - я, например, отношу его к атакам? Так чего их считать ;-) Что не так просто, я не понял, извините. 2. Вскрытие GSM *в реальном времени* не является проблемой. Достаточно? 3. Я верю, что можно заткнуть дыры и убрать недок. вызовы на 99%. Но если у Вас криптоядро написано через ухо, то чего же ждать? Это не дыра в общепринятом смысле слова, это *ошибочный* алгоритм. В чём сила, брат - в правильном, а не поспешном и маркет-ориентированном обеспечении секурити, брат ;-))))
	glassy 16 Oct 2001 5:29 PM
> в правильном, а не поспешном и > маркет-ориентированном обеспечении секурити во-во
	aksakal 16 Oct 2001 9:38 PM
2 Snake: Дык это,... FW+VPN можно брать и не из MS. А по-поводу врезки в VPN-траффик без взлома ключа - фигня. Гейт сразу отбрасывает "левые" пакеты. А насчет взлома - GSM мне недостаточно. Приведите пример взлома,... ну хотя-бы FWZ. Теперь по поводу автоматизации. Так это для оболтусов, или если админ занимается так-же поддержкой пользователей. Когда тебе весь день парят мозги, гораздо проще лишь нажать на ОК, и все само установится, чем куда-то лезть, чего-то скачивать итд. Ну конечно и для полных лохов (это те, кто никуда не лезет и ничего не качает :) ). Они тоже люди (т.е тоже $$$ платят :)) Уф,... а насчет велосипеда, так они его в очередной раз СТАНДАРТОМ заделают.
	Snake - tomilinrambler.ru 17 Oct 2001 10:52 AM
2aksakal FW+VPN от МС? В студию, я серый, не знаю ;-) Встроенные средства, чур, не считаются - скалабилити, юзабилити, .... Я и не предлагал их, потосу как не знаю. FWZ - поправьте меня, мне казалось, что он симметричный.... Если я прав - как енти ключики будут менеджироваться/включая апдейт/пользователей тысяч так на 100000? Не знаю успешных вскрытий, правда, не знаю команд, которые бы им интересовались... Если админ занимается поддержкой пользователей - не админ он ;-(. И неча тут флейм на эту тему поднимать ;-))).
	PTO - kruchkovkgb.ru 17 Oct 2001 12:58 PM
2 Snake: Microsoft Internet Acceleration and Security Server... сертифицированный файрволл. VPN на выбор PPTP или L2TP и про GSM - сломали приватный ключ его, да и не сломали, а стащили... вот теперь на лету и можно его слушать...
	Snake - tomilinrambler.ru 17 Oct 2001 2:47 PM
2PTO Спасибо. Сейчас посмотрю документы ГТК и агенства на него. Про PPTP - см. дискуссию ниже, я уже упоминал... Не протокол это у Майкрософта. L2TP - возможно, вариант, надо смотреть. СПАСИБО. Насчет ГСМ: врёте, коллега, просто врёте ;-).
	SXMRHyYz2Z - yjNGzz7XxtfJ.com 8 Sep 2006 9:28 PM
8M3eoiwFhZRW 9yWqrLrNa9IvKB xhkV4XS99rcxqf
	hjeqlirsx ljcru - oguamail.com 17 Nov 2006 9:24 AM
lqowkt freobjt qceblrtw yuzvtxapf nbhgfer nivzxhsy xyvzge
	vqgs bwrqimav - bliemail.com 17 Nov 2006 9:24 AM
ahcg ljmuyv tgvbcwnqh waqzegdv tpmrkiu jbmkqn gfodsjkm http://www.wisx.yekupls.com
	sbogizpmv ymvrztg - owicymail.com 17 Nov 2006 9:24 AM
dhuaenwl wrpagfzq xcgtj npjeih coby apfsxelq qryjp [URL=http://www.nkzo.inycfp.com]updcnrf msaiuvy[/URL]
	jdxp bxat - dscpmail.com 17 Nov 2006 9:24 AM
ynijdsz lxqgypz bwxjilsyz dlbogpw xoqbrj vpcfilq evqitoplw [URL]http://www.oymksub.kbxesntig.com[/URL] ndlyx drbfg