Легенда:
 новое сообщение
 закрытая нитка
 новое сообщение
 в закрытой нитке
 старое сообщение
|
- Напоминаю, что масса вопросов по функционированию форума снимается после прочтения его описания.
- Новичкам также крайне полезно ознакомиться с данным документом.
| | | | | | | | | | |
Кстати, тут у майкрософта была антипиратская акция "Его пример другим наука" 07.12.05 13:38 Число просмотров: 3801
Автор: amirul <Serge> Статус: The Elderman
|
> В условиях реализации Вашей модели авторского права никакое
> свободное мышление не будет возможно в принципе. Т.к.
> патентообладатель в праве дозировать информацию и
> ограничивать условия ее использования по своему усмотрению.
Из победителей - единственный хороший рассказ "Лицензия на справедливость" Норвежского Лесного. Весьма рекомендую прочитать:
http://www.microsoft.com/Rus/Antipiracy/TellAStory/Stories/license.mspx
|
|
<site updates>
|
Требования к криптографической системе защиты информации от санкционированных пользователей 29.11.05 03:59
Publisher: dl <Dmitry Leonov>
|
Требования к криптографической системе защиты информации от санкционированных пользователей
А.Ю.Щеглов, К.А.Щеглов info@npp-itb.spb.ru
Введение
При создании и использовании средств шифрования данных (криптографической защиты данных), важнейшим вопросом является реализация ключевой политики, включающей в себя правила хранения и ввода ключевой информации, используемой для преобразования данных и, как правило, для идентификации пользователей, с целью получения ими доступа к данным (если в системе реализуется разграничение прав доступа к файловым объектам на основе ключевой информации).
При разработке ключевой политики (соответственно, и реализующего ее средства защиты) необходимо учитывать следующие, отчасти исключающие друг друга, факторы:
Ключ шифрования не должен храниться вместе с закодированными (зашифрованными) им данными;
Ключ шифрования должен принадлежать пользователю для его ввода при доступе к зашифрованным данным;
Ключ шифрования должен быть не известен пользователю, в противном случае невозможно...
Полный текст
|
|
Вообще имеется целое направление в криптографии, которое... 13.12.05 19:53
Автор: netcipher Статус: Незарегистрированный пользователь
Отредактировано 14.12.05 10:30 Количество правок: 4
|
> При создании и использовании средств шифрования данных
> (криптографической защиты данных), важнейшим вопросом
> является реализация ключевой политики, включающей в себя
> правила хранения и ввода ключевой информации, используемой
> для преобразования данных и, как правило, для идентификации
> пользователей, с целью получения ими доступа к данным (если
> в системе реализуется разграничение прав доступа к файловым
> объектам на основе ключевой информации).
Вообще имеется целое направление в криптографии, которое занимается управлением ключевым материалом и связанными политиками. Более того давно прошел процесс стандартизации (см. например ISO 11568-2:2005, где достаточно подробно рассмотрены вопросы управления ключами для симметричных алгоримов, или ISO/IEC 11770-2). Там рассматривается не только правила хранения и ввода ключевого материала, а его полный жизненный цикл.
> Ключ
> шифрования не должен храниться вместе с закодированными
> (зашифрованными) им данными;
Вообще ключ шифрования может, а зачастую должен, храниться с зашифрованными на нем данными, в защищенном виде.
> - Ключ шифрования не должен храниться вместе с закодированными (зашифрованными) им данными;
> - Ключ шифрования должен принадлежать пользователю для его ввода при доступе к зашифрованным данным;
> - Ключ шифрования должен быть не известен пользователю, в противном случае невозможно воспрепятствовать пользователю в хищении конфиденциальных данных
Имеются разнообразные подходы связанные с использованием иерархий ключей, а также криптографические модули (смарткарты, специализированные HSM, где пользователь может только активировать ключевой материал, хранимый на них, для использования, но не иметь доступа к нему) совместное использование которых с легкостью решает подобные задачи.
>Предлагаемое нами запатентованное решение (Патент № 2207619) состоит в следующем. В общем случае
>при управлении доступом к ресурсам следует различать два самостоятельных субъекта доступа -
>"пользователь" и "процесс". При этом предлагается управлять доступом (разграничивать права доступа) не
>только для субъекта пользователь, но и для субъекта процесс, причем могут быть выделены следующие
>схемы задания разграничительной политики доступа к ресурсам:
>Разграничение прав доступа к объектам процессов вне разграничений пользователей (эксклюзивный >режим обработки запросов процессов - доступ к объекту разрешается, если он разрешен процессу - права >доступа пользователя, запустившего процесс не учитываются. Данная схема разграничений может >использоваться в том случае, когда процессу следует расширить права доступа к ресурсам, по сравнению с >пользователем, запустившим процесс);
>Разграничение прав доступа к объектам пользователей, вне разграничений процессов (эксклюзивный
> режим обработки запросов пользователей - доступ к объекту разрешается, если он разрешен >пользователю >- права доступа процесса не учитываются. Это обычная схема разграничений прав доступа, >используемая >современными ОС, не позволяющая учитывать свойства отдельных процессов, в частности, >уровень >доверия к ним);
>Комбинированное разграничение прав доступа - разграничение прав доступа к объектам процессов в
> рамках разграничений пользователей (совместное разграничение доступа процессов и пользователей - >доступ к объекту разрешается, если он разрешен и пользователю, и процессу. Данная схема разграничений >может использоваться в том случае, когда пользователю следует сузить права доступа к ресурсам - ему >разрешается доступ только заданными процессами).
>В нашем случае, как видели, должен использоваться третий режим, при котором доступ к файловому >объекту, содержащему ключ, разрешается пользователю (если ему разрешено право доступа - после >идентификации для доступа к соответствующему объекту) и только соответствующим процессом системы >защиты данных, поэтому пользователь не может ни похитить ключ (прочитать содержимое файла), ни его >модифицировать (подобных возможностей процесс системы защиты ему не предоставляет).
По сути изобретение решает задачи, которые описаны для DRM, только там понятие "процесса" значительно расширено. Я вспоминаю пример, когда заявка на патент пневматических замков для контейнеров провалилась из-за того, что был зарегистрирован патент на пневматические замки аналогичной конструкции для гробов. Может не совсем удачное сравнение, но отражает тот факт, что или эксперт не обладал соотвествующей квалификацией, или патентный поиск не был проведен с достаточной полнотой.
|
|
А велики ли затраты на подобное патентование? 07.12.05 13:14
Автор: Anty Статус: Незарегистрированный пользователь
|
Прошу ответить кратко и по существу:
> Замечание. СЗД "Панцирь" для ОС Windows 2000/XP/2003 поставляется на рынок и
> как самостоятельный отдельный программный продукт, и в составе комплексной системы
Проводился ли патентный поиск (в т.ч. в зарубежный) на этапе проектирования и разработки данного ПО?
По каким международным стандартам сертифицирован процесс проектирования и разработки ПО в Вашей организации?
Если не сочтете за призыв к антирекламе ;) и если это не подразделение НПП - какая организация обеспечивает(ла) патентную поддержку при регистрации Вашего патента.
> В заключение отметим, что о разработках ЗАО "НПП "Информационные технологии в бизнесе",
> в частности о КСЗИ "Панцирь-К" для ОС Windows 2000/XP/2003, можно получить дополнительную
> информацию на сайте компании: www.xxxxxxxxxxxxxxxxxx
(off) Полагаю, рекламу Вашего ПО и Вашего бизнеса в целом нужно было поместить в начале поста, до статьи. Это показало бы истинное назначение Вашего поста и сэкономило бы время мне лично (честно прочел, попытался найти нечто новое и ниасилил) и нервы остальным. А подобное патентование сродни пресловутым "оранжевым" патентам и творчеству семейства Лужкова :(( Только с той поправкой, что такой софт не сможет выйти на зарубежный рынок, в отличие от кокошника трапециевидной формы или расстегая с рыбой по уникальному рецепту, известному еще при Жане Ужасном. :))
|
|
Замечание по патенту 02.12.05 15:13
Автор: leo <Леонид Юрьев> Статус: Elderman
Отредактировано 02.12.05 15:15 Количество правок: 1
|
> Предлагаемое нами запатентованное решение (Патент № 2207619) состоит в следующем.
> В общем случае при управлении доступом к ресурсам следует различать два самостоятельных
> субъекта доступа - "пользователь" и "процесс". При этом предлагается управлять доступом
> (разграничивать права доступа) не только для субъекта пользователь, но и для субъекта процесс...
Как им выдали патент в такой формулировке :) ?
Как вообще можно отличить "пользователя" от "процесса" на уровне действий субъекта? Если только пользователь налижется до состояния "газонокосильщика" и лично влезит внутрь CPU, вот операционка-то обрадуется :)
Пользователь всегда представлен в системе своим "агентом" - "процессом" или их группой. А процесс - это, по сути, запущеный на выполнение исполнимый образ (файл-объект переведенный в качество субъекта). Тогда чем это "изобредение" принципиально отличается от механизма suid-бита в Unix.
Понятно, что ребята сделали софт (и наверное не плохой) и теперь пытаются его продать, ну зачем же бредить...
|
| |
LIDS, grSecurity, rsbac и пр. 02.12.05 17:32
Автор: amirul <Serge> Статус: The Elderman
|
> > Предлагаемое нами запатентованное решение (Патент №
> 2207619) состоит в следующем.
> > В общем случае при управлении доступом к ресурсам
> следует различать два самостоятельных
> > субъекта доступа - "пользователь" и "процесс". При
> этом предлагается управлять доступом
> > (разграничивать права доступа) не только для субъекта
> пользователь, но и для субъекта процесс...
>
> Как им выдали патент в такой формулировке :) ?
Как им вообще выдали патент. А как же проверка на патентную чистоту? В сабже как минимум 3 программных продукта, использовавших "запатентованную технологию" ЗАДОЛГО до подачи заявки на патент.
> Как вообще можно отличить "пользователя" от "процесса" на
> уровне действий субъекта? Если только пользователь
> налижется до состояния "газонокосильщика" и лично влезит
> внутрь CPU, вот операционка-то обрадуется :)
Просто на данный момент в винде все процессы одного пользователя имеют одинаковые права. И соответственно каждый процесс может ВСЕ, что должна уметь ХОТЬ ОДНА программа, нужная пользователю. Различать процессы при раздаче прав - следующий шаг за различением пользователей на одном компьютере.
> Пользователь всегда представлен в системе своим "агентом" -
> "процессом" или их группой. А процесс - это, по сути,
> запущеный на выполнение исполнимый образ (файл-объект
> переведенный в качество субъекта). Тогда чем это
> "изобредение" принципиально отличается от механизма
> suid-бита в Unix.
Не знаю как там, но назначение разным процессам разных прав - весьма неплохая идея и suid-бит здесь ни при чем.
|
| | |
Уважаемые Господа, 05.12.05 12:54
Автор: А.Ю.Щеглов Статус: Незарегистрированный пользователь
|
Уважаемые Господа,
почему так много негатива, не разобравшись в вопросе?
Ваши мотивации не верны.
Объяснять ахитектурные принципы построения современных ОС в форуме, наверное, незачем.
Один лишь вопрос - попытайтесь на него ответить.
Как запретить пользователю System модифицировать системный диск, если все системные процессы запускаются с правами этого пользователя - вот Вам причины атак на расширение привилегий?Разрешив же нескольким процессам (всего пяти) эксклизивный доступ, Вы можете поставить подобный запрет, при этом становится бессмысленным расширять привилегии.
НЕ надо безосновательных гневных утверждений, лучше попытайтесь понять, как новые свойства защиты информации можно получить. И ГЛАВНОЕ, не нужно считать всех вокруг дураками.
|
| | | |
Нет никакого особого негатива, разве что только... 07.12.05 12:03
Автор: leo <Леонид Юрьев> Статус: Elderman
|
> Уважаемые Господа,
> почему так много негатива, не разобравшись в вопросе?
Нет никакого особого негатива, разве что только эмоциональность.
> Ваши мотивации не верны.
> Объяснять ахитектурные принципы построения современных ОС в
> форуме, наверное, незачем.
> Один лишь вопрос - попытайтесь на него ответить.
> Как запретить пользователю System модифицировать системный
> диск, если все системные процессы запускаются с правами
> этого пользователя - вот Вам причины атак на расширение
> привилегий? Разрешив же нескольким процессам (всего пяти)
> эксклизивный доступ, Вы можете поставить подобный запрет,
> при этом становится бессмысленным расширять привилегии.
> НЕ надо безосновательных гневных утверждений, лучше
> попытайтесь понять, как новые свойства защиты информации
> можно получить. И ГЛАВНОЕ, не нужно считать всех вокруг
> дураками.
Никто не спорит, что назначение прав на уроне процессор очень полезная вещь.
На самом деле такого механизма не хватает в NT, точнее говоря в Win32. Соответственно ваш продукт нужен и найдет своего потребителя/покупателя.
Я хотел сказать о другом - формулировка в патенте неадекватная (мягко говоря). И к чему сам патент №2207619 на этот принцип (не на буквальную реализацию) защиты, если на рынке уже несколько лет присутствуют продукты, в которых этот "принцип" уже давно использован/реализован. При этом никто не спорит с тем, что вы сами сделали ваше "колесо", но вы же его не изобрели.
Другими словами (IMHO), в такой формулировке патент заведомо нелегитимен, а его получение - нечистоплотная игра на безграмотности и раздолбайстве.
|
| | | | |
Спасибо, хоть кто-то высказался с одобрением. Кстати, для ОС... 07.12.05 14:23
Автор: А.Ю.Щеглов Статус: Незарегистрированный пользователь
|
> Никто не спорит, что назначение прав на уроне процессор
> очень полезная вещь.
> На самом деле такого механизма не хватает в NT, точнее
> говоря в Win32. Соответственно ваш продукт нужен и найдет
> своего потребителя/покупателя.
>
Спасибо, хоть кто-то высказался с одобрением. Кстати, для ОС Linux, Free BSD, HP-UX
субъект доступа к ресурсам формируется нами еще интереснее (посмотрите, есть статья на сайте), позволяя контролировать и сервисы олицетворения и заимнствование маркера безопасности.
Замечу, это лишь одна из набора особенностей наших разработок (используемых решений), проблем в защите много, и мы пытаемся их решить, в чем-то удачно, в чем-то не очень, но мы не говорим, мы делаем. Если говорить о квалификации наших разработчиков - достаточно сказать, что разработаны драйверы под HP-UX (это в части сложности разработки не Windows и, тем более, не Linux)
> Я хотел сказать о другом - формулировка в патенте
Вы тоже о другом.
> неадекватная (мягко говоря). И к чему сам патент №2207619
> на этот принцип (не на буквальную реализацию) защиты, если
> на рынке уже несколько лет присутствуют продукты, в которых
> этот "принцип" уже давно использован/реализован. При этом
> никто не спорит с тем, что вы сами сделали ваше "колесо",
> но вы же его не изобрели.
>
> Другими словами (IMHO), в такой формулировке патент
> заведомо нелегитимен, а его получение - нечистоплотная игра
> на безграмотности и раздолбайстве.
Удивляет то, что все на форуме судят о патенте, но никто на него не взглянул (кстати говоря, в статье приведен номер патента - запатентовано техническое решение (в статье описан сам принцип). Если уж обсуждать, то посмотрите, что обсуждаем (замечу, статья посвящена совсем иным вопросам, что, к сожалению не обсуждается). А то хорощий диалог, обсуждает то, что не видели, но заранее клеймим. Мы изобрели то, что изобрели, а то что изобретаем, пыаемя патентовать, на рынке средств защиты конкуренция жесткая и завтра наши решения могут появиться у конкурентов (свободно распространяемое ПО меня мало волнует).
К сожалению на ближайшие пару недель я вынужден приостановить свои ответы, буду на объектах
(я возглавляю коммерческую организацию, а сейчас конец года - время тяжелое).
Приятно, что мои публикации вызывают обсуждение, но обидно, что не на ту тему, а, порою, в недопустимой (по крайней мере, в моем понимании) форме.
Как бороться с инсайдерами, чтобы базы не воровали - вот тема, достойная внимания (а то, что и как мы патентуем - это, конечно, важный вопрос, но чтобы его обсуждать, обсуждаемым требуется дополнительная информация - когда подана заявка на изобретение, в чем отличительная часть и т.д., ну кто этим поинтересовался? а "морду бить" стали сразу).
А патентовать надо - это мое глубокое убеждение. Таким образом, если через пару недель интерес останется, готов подолжить обсуждение. Если есть конкретные вопросы, можете их задавать на мой адрес (по-возможности, буду отвечать), есть в статье. Кстати говоря, то, что многие в форуме не представляют себе процедуры патентования, условий, пошлин и т.д., не делает им чести, возможно они создабт (или создадут) что-то исключительное и очень быстро потеряют свои права на это.
|
| | | | | |
Опять бла-бла 07.12.05 14:43
Автор: amirul <Serge> Статус: The Elderman
|
> Спасибо, хоть кто-то высказался с одобрением. Кстати, для
> ОС Linux, Free BSD, HP-UX
Здрасте-приехали. Скажите мне зачем я пишу, если Вы все равно не читаете?
> Удивляет то, что все на форуме судят о патенте, но никто на
> него не взглянул (кстати говоря, в статье приведен номер
> патента - запатентовано техническое решение (в статье
http://bugtraq.ru/cgi-bin/forum.mcgi?type=sb&b=17&m=129559
Ваши слова?
На сайте написано: "...могут быть корректно реализованы только в случае применения запатентованного нами решения по реализации контроля доступа к ресурсам для субъекта "процесс" (т.е. не могут быть реализованы иными производителями средств защиты без нарушения соответствующих авторских прав)."
Либо Вы сознательно врете (недобросовестная реклама - это уже полегче, чем грязный патент, но все равно мерзко), либо несознательно. Когда у Вас ПРЯМЫМ текстом спрашивают в чем новизна, Вы начинаете лить воду о том, что кто-то начал обсуждать даже не поинтересовавшись. В своих оценках я руководствуюсь Вашими же словами. Скажите мне, если им не стоит доверять и направьте прямиком за патентом.
> описан сам принцип). Если уж обсуждать, то посмотрите, что
> обсуждаем (замечу, статья посвящена совсем иным вопросам,
> что, к сожалению не обсуждается). А то хорощий диалог,
> обсуждает то, что не видели, но заранее клеймим. Мы
Ну так давайте, может с третьего раза у Вас получится объяснить в чем суть запатентованного решения и в чем его принципиальное отличие от существующих на рынке?
> изобрели то, что изобрели, а то что изобретаем, пыаемя
> патентовать, на рынке средств защиты конкуренция жесткая и
> завтра наши решения могут появиться у конкурентов (свободно
> распространяемое ПО меня мало волнует).
Вы меня извините, но аргументация Ваша, мягко говоря аморальна. Вы самый гениальный и никому кроме Вас эта идея в голову прийти не может? От кого защищаетесь? Каким образом конкурент сможет доказать, что пришел к идее сам, а не взглянув на Ваш продукт. Каким образом ВЫ собираетесь доказывать, что пришли к идее сами, а не взглянув, скажем на grSecurity.
> Приятно, что мои публикации вызывают обсуждение, но обидно,
> что не на ту тему, а, порою, в недопустимой (по крайней
> мере, в моем понимании) форме.
Так Вы отвечайте на прямые вопросы, а не увиливайте и беседа будет больше напоминать диалог, а не разговор слепого с глухим.
> Как бороться с инсайдерами, чтобы базы не воровали - вот
> тема, достойная внимания (а то, что и как мы патентуем -
Нет. Борьба с инсайдерами как раз не такая острая тема, как борьба с интеллектуальной свободой посредством авторского права и патентов.
> это, конечно, важный вопрос, но чтобы его обсуждать,
> обсуждаемым требуется дополнительная информация - когда
> подана заявка на изобретение, в чем отличительная часть и
> т.д., ну кто этим поинтересовался? а "морду бить" стали
> сразу).
Ну так расскажите нам. За чем дело стало? Патент то все равно - фактически обнародование идеи.
> А патентовать надо - это мое глубокое убеждение. Таким
> образом, если через пару недель интерес останется, готов
Да-да. Бороться конкурентными методами не можем, поэтому будем бороться патентами. Знаете чего Вы боитесь? Что у конкурентов получится ЛУЧШЕ (иначе все равно покупали бы у Вас, а не у них). Таким образом Ваше "глубокое убеждение" контрпрогрессивно.
> подолжить обсуждение. Если есть конкретные вопросы, можете
> их задавать на мой адрес (по-возможности, буду отвечать),
> есть в статье. Кстати говоря, то, что многие в форуме не
> представляют себе процедуры патентования, условий, пошлин и
> т.д., не делает им чести, возможно они создабт (или
> создадут) что-то исключительное и очень быстро потеряют
> свои права на это.
Опять вода. Мне плевать на бюрократическую процедуру, мне достаточно лишь того, что в общем случае невозможно запатентовать public domain идею.
|
| | | |
Уважаемый господин 05.12.05 14:02
Автор: amirul <Serge> Статус: The Elderman
Отредактировано 05.12.05 14:04 Количество правок: 1
|
> Объяснять ахитектурные принципы построения современных ОС в
> форуме, наверное, незачем.
Действительно незачем, ибо и leo и я вполне неплохо представляем себе архитекрутные особенности ядра WinNT (основная специализация - написание драйверов)
> Один лишь вопрос - попытайтесь на него ответить.
> Как запретить пользователю System модифицировать системный
> диск, если все системные процессы запускаются с правами
Принцип необходимого минимума прав - благое дело, но как Вам удалось это запатентовать?
> можно получить. И ГЛАВНОЕ, не нужно считать всех вокруг
> дураками.
Вот именно. А после заявлений типа:
"...могут быть корректно реализованы только в случае применения запатентованного нами решения по реализации контроля доступа к ресурсам для субъекта "процесс" (т.е. не могут быть реализованы иными производителями средств защиты без нарушения соответствующих авторских прав)."
Мне в голову пришло только одно слово (простите мой французский) - %@дакИ.
Сильно сомневаюсь, что работая в этом направлении, Вы не заметили названные мной продукты (LIDS, RSBAC, grSecurity). Сильно сомневаюсь, что Вы придумали схему "процесс - субъект при распределении прав" проводя фундаментальные исследования в подземной лаборатории, отключенной от внешнего мира. Скорее уж позаимствовали идею (в ЛУЧШЕМ случае НЕМНОГО развили ее) и сразу же побежали патентовать, чтобы не приведи господь кто нибудь еще не позаимствовал ее. Прошу обратить внимание позаимствовал не у Вас, а из того же места, откуда ранее позаимствовали Вы.
Вот из-за такого мудаческого отношения к авторскому праву (неплохой в общем то идее), я и начинаю ненавидеть его всей душой.
|
| | | |
Во первых. пользователю system можно раздавать права и... 05.12.05 13:47
Автор: Killer{R} <Dmitry> Статус: Elderman
Отредактировано 05.12.05 13:50 Количество правок: 1
|
> Как запретить пользователю System модифицировать системный
> диск, если все системные процессы запускаются с правами
> этого пользователя - вот Вам причины атак на расширение
> привилегий?Разрешив же нескольким процессам (всего пяти)
> эксклизивный доступ, Вы можете поставить подобный запрет,
> при этом становится бессмысленным расширять привилегии.
> НЕ надо безосновательных гневных утверждений, лучше
> попытайтесь понять, как новые свойства защиты информации
> можно получить. И ГЛАВНОЕ, не нужно считать всех вокруг
> дураками.
Во первых. Пользователю SYSTEM можно раздавать права и привилегии так же как и остальныма другим. Правда стандартная консоль раздачи прав этого не умеет, но это не значит что это не возможно.
Во вторых. Системный процесс (сервис я так понимаю вы имеете ввиду) можно запускать не только от имени пользователя SYSTEM. Надо всего ничего указать логин и пароль под которым он будет работать в его настройкахю
|
| | | | |
Речь идет о *защите* 05.12.05 14:20
Автор: amirul <Serge> Статус: The Elderman
|
> Во первых. Пользователю SYSTEM можно раздавать права и
> привилегии так же как и остальныма другим. Правда
> стандартная консоль раздачи прав этого не умеет, но это не
> значит что это не возможно.
> Во вторых. Системный процесс (сервис я так понимаю вы
> имеете ввиду) можно запускать не только от имени
> пользователя SYSTEM. Надо всего ничего указать логин и
> пароль под которым он будет работать в его настройкахю
Если бы защита ограничивалась только стойкостью пароля, то никаких антивирусов с файрволами в помине не было бы. К сожалению в реальном мире в программах существуют ошибки, и эти ошибки иногда приводят к компроментированию безопасности (срыв стека в системном процессе - удаленное исполнение - удаленный шелл). Вот здесь то и возникает вопрос, а на фига ДАННОМУ системному процессу делать ВСЕ, что должны уметь другие процессы того же пользователя.
Пример: в IE открывается картинка, эксплоитирующая старую уязвимость с отображением bmp. В контексте IE запускается код злоумышленника. Это вводная.
Развитие событий при наиболее частом варианте:
Пользователь работает под административным аккаунтом и с его компьютером происходит ВСЕ, что заблагорассудится злоумышленнику
Развитие событий при правильной (но очень трудоемкой) настройке прав стандартными средствами:
Злоумышленник получает права пользователя. Если пользователю нужна работа с офисными приложениями - злоумышленник получает доступ ко всем документам (потому как тот же word будет запускаться от имени того же пользователя и соответствующие права будут этому пользователю выданы), если пользователь работает с почтовым клиентом, то аналогично с предыдущим случаем, злоумышленник получит полный доступ к архиву переписки, кроме того - полный доступ в HKCU (в том числе и ветку Run). Словом слегка ограниченный доступ, но все равно весьма большой
Развитие событий при назначении процессу iexplore.exe прав на запись ТОЛЬКО на временный каталог с кешем, куки и историю страниц, и на чтение из СВОЕЙ ветки реестра и системного каталога (dll-ки то нужны всем):
В лучшем случае злоумышленник сможет только просмотреть кеш и историю самого эксплорера. Ни оставить бекдор, ни заразить компьютер какой либо другой заразой он не может
Это просто принцип минимума прав. Если процессы друг от друга не отличаются (как субъекты при распределении прав), то права никак не являются минимальными: это суперпозиция ВСЕХ прав ВСЕХ процессов, которые будет запускать данный пользователь.
Идея здравая, но уж больно мне режет глаз апелляции к патентам. Тьфу
|
| | | | |
Попробуйте запретить доступ процессам winlogon, lsas и т.д. 05.12.05 14:18
Автор: А.Ю.Щеглов Статус: Незарегистрированный пользователь
|
Попробуйте запретить доступ процессам winlogon, lsas и т.д.
Наверное, мы сейчас переходим к некоторым поверхностням утверждениям,
а не глубокому анализу.
Если Вам действительно интересна эта проблема, предлагают познакомиться с нашими публикациями на нашем сайте: www.npp-itb.spb.ru Высказывайте свое мнение, мы его выслушаем,
возможно именно Вы осуществите прорыв в вопросах защиты информации.
Поймите, строить-то куда сложнее, чем ломать, а уж тем более критиковать.
В частности, мы не обсуждаем в форуме
основу нашей статьи, как бороться с инсайдерами - вот ключевой вопрос, вот что интересно.
Мы предлагаем свой вопрос и "нарываемся" на явную грубость со стороны некоторых обсуждающих.
Давайте говорить и спорить по существу, возможно Вы нас научите, скажем спасибо.
Относительно патента. Приоритет на это решение получен уже более пяти лет назад (подана заявка на изобретение), поэтому, кто чьи результаты использует, можно посмотреть. А свои решения мы пытаемся патентовать, в противно случае мы не сможем защититься от их тиражирования, а некоторые из наших решений позволяют в корне пересмотреть подходы к защите информации, опять же Вы можете найти их описания на нашем сайте.
|
| | | | | |
А сами тем временем запатентуем. Нет уж спасибо. Если у меня... 05.12.05 14:34
Автор: amirul <Serge> Статус: The Elderman
Отредактировано 05.12.05 14:36 Количество правок: 1
|
> Давайте говорить и спорить по существу, возможно Вы нас
> научите, скажем спасибо.
А сами тем временем запатентуем. Нет уж спасибо. Если у меня и будет чему Вас учить, то я это непременно запатентую, и предложу Вам купить лицензию.
> Относительно патента. Приоритет на это решение получен уже
> более пяти лет назад (подана заявка на изобретение),
Не странно ли, что это произошло тогда, когда как минимум у двух из трех продуктов был РЕЛИЗ. У Вас же в это время только сформировалась идея. Первым делом спижженую идею надо патентовать, хуле ж.
> поэтому, кто чьи результаты использует, можно посмотреть. А
> свои решения мы пытаемся патентовать, в противно случае мы
> не сможем защититься от их тиражирования, а некоторые из
Тьфу пропасть. Защититься от тиражирования они боятся. Боитесь конкуренции?
> наших решений позволяют в корне пересмотреть подходы к
> защите информации, опять же Вы можете найти их описания на
> нашем сайте.
Вашим "запатентованным" идеям лет уже наверное поболе чем мне, а Вы боитесь, что их будут "тиражировать" (авторы то не боялись)
http://web.archive.org/web/*/http://www.lids.org/
http://web.archive.org/web/*/http://www.rsbac.org/
grsecurity.net запретил вебархивскому роботу себя индексировать, так что о нем без дополнительного поиска (истории CVS например) ничего сказать не могу.
Это только поверхностный поиск. Стоит полазить по этим сайтам, посмотреть на публикации, на которые они ссылаются.
|
| | | | | | |
Возможно, Вы считаете подобную форму самовыражения достойной... 05.12.05 15:21
Автор: А.Ю.Щеглов Статус: Незарегистрированный пользователь
|
> > Давайте говорить и спорить по существу, возможно Вы
> нас
> > научите, скажем спасибо.
>
> А сами тем временем запатентуем. Нет уж спасибо. Если у
> меня и будет чему Вас учить, то я это непременно
> запатентую, и предложу Вам купить лицензию.
>
> > Относительно патента. Приоритет на это решение получен
> уже
> > более пяти лет назад (подана заявка на изобретение),
>
> Не странно ли, что это произошло тогда, когда как минимум у
> двух из трех продуктов был РЕЛИЗ. У Вас же в это время
> только сформировалась идея. Первым делом спижженую идею
> надо патентовать, хуле ж.
>
> > поэтому, кто чьи результаты использует, можно
> посмотреть. А
> > свои решения мы пытаемся патентовать, в противно
> случае мы
> > не сможем защититься от их тиражирования, а некоторые
> из
>
> Тьфу пропасть. Защититься от тиражирования они боятся.
> Боитесь конкуренции?
>
> > наших решений позволяют в корне пересмотреть подходы к
> > защите информации, опять же Вы можете найти их
> описания на
> > нашем сайте.
>
> Вашим "запатентованным" идеям лет уже наверное поболе чем
> мне, а Вы боитесь, что их будут "тиражировать" (авторы то
> не боялись)
>
> http://web.archive.org/web/*/http://www.lids.org/
> http://web.archive.org/web/*/http://www.rsbac.org/
>
> grsecurity.net запретил вебархивскому роботу себя
> индексировать, так что о нем без дополнительного поиска
> (истории CVS например) ничего сказать не могу.
>
> Это только поверхностный поиск. Стоит полазить по этим
> сайтам, посмотреть на публикации, на которые они ссылаются.
Возможно, Вы считаете подобную форму самовыражения достойной (я не о русском языке, который, для Вас, видимо "не родной", а о Вашем элементарном хамстве)
но мне, после подобных выссказываний, как-то общаться с Вами не хочется.
Видимо, наш круг общения несколько различен.
|
| | | | | | | |
Правда глаза режет. По существу есть что возразить? Где... 05.12.05 15:41
Автор: amirul <Serge> Статус: The Elderman
|
> Возможно, Вы считаете подобную форму самовыражения
> достойной (я не о русском языке, который, для Вас, видимо
> "не родной", а о Вашем элементарном хамстве)
Правда глаза режет. По существу есть что возразить? Где можно почитать Ваши научные разработки, идеи из которых украли авторы указанных мной продуктов? Как так получилось, что подача Вами заявки на патент совпала с выходом в свет РЕЛИЗОВ (Вы должны понимать, что до релиза идея витала в воздухе достаточно долго, а после этого еще был достаточно долгий период разработки) продуктов использующих НУ ОЧЕНЬ ПОХОЖУЮ технологию.
> но мне, после подобных выссказываний, как-то общаться с
> Вами не хочется.
Уж кто бы поучил меня моральности.
> Видимо, наш круг общения несколько различен.
Видимо так. Я в отличие от Вас не ворую идеи, а если и использую ЧУЖОЕ, то не пытаюсь монополизовать свою право на использование ЧУЖОЙ идеи.
Не так давно я постил ссылку с номерами патентов на фразы "Я люблю тебя", "Никто тебя не любит так как я", "FlashMob". Авторы этих фраз очень долго работали над идеей, положенной в их основу. Предлагаю Вам не мелочиться и патентовать не "новую уникальную систему безопасности", а сразу, скажем, алфавит. Я, к моему глубочайшему сожалению, не могу, ибо у меня нет каналов проталкивания заведомо патентно-грязных идей через патентное бюро (да и моральные установки не позволяют, ибо тогда мне придется самого себя признать "мудаком", а я этого не хочу). Верю, что у Вас все получится, ибо ни с тем ни с другим у Вас, как видно, проблем нет.
|
| | | | | | | | |
Верный девиз, кстати, на сайте. 06.12.05 19:49
Автор: ncux Статус: Незарегистрированный пользователь
|
> (да и моральные установки не позволяют, ибо тогда мне придется самого себя признать "мудаком", а я
> этого не хочу).
"Мы не лучше, мы другие." (с) www.npp-itb.spb.ru
|
| | | | | | | | |
Молодой человек, откуда столько злобы на тех, кто сегодня не... 05.12.05 17:25
Автор: А.Ю.Щеглов Статус: Незарегистрированный пользователь
|
> > Возможно, Вы считаете подобную форму самовыражения
> > достойной (я не о русском языке, который, для Вас,
> видимо
> > "не родной", а о Вашем элементарном хамстве)
>
> Правда глаза режет. По существу есть что возразить? Где
> можно почитать Ваши научные разработки, идеи из которых
> украли авторы указанных мной продуктов? Как так получилось,
> что подача Вами заявки на патент совпала с выходом в свет
> РЕЛИЗОВ (Вы должны понимать, что до релиза идея витала в
> воздухе достаточно долго, а после этого еще был достаточно
> долгий период разработки) продуктов использующих НУ ОЧЕНЬ
> ПОХОЖУЮ технологию.
>
> > но мне, после подобных выссказываний, как-то общаться
> с
> > Вами не хочется.
>
> Уж кто бы поучил меня моральности.
>
> > Видимо, наш круг общения несколько различен.
>
> Видимо так. Я в отличие от Вас не ворую идеи, а если и
> использую ЧУЖОЕ, то не пытаюсь монополизовать свою право на
> использование ЧУЖОЙ идеи.
>
> Не так давно я постил ссылку с номерами патентов на фразы
> "Я люблю тебя", "Никто тебя не любит так как я",
> "FlashMob". Авторы этих фраз очень долго работали над
> идеей, положенной в их основу. Предлагаю Вам не мелочиться
> и патентовать не "новую уникальную систему безопасности", а
> сразу, скажем, алфавит. Я, к моему глубочайшему сожалению,
> не могу, ибо у меня нет каналов проталкивания заведомо
> патентно-грязных идей через патентное бюро (да и моральные
> установки не позволяют, ибо тогда мне придется самого себя
> признать "мудаком", а я этого не хочу). Верю, что у Вас все
> получится, ибо ни с тем ни с другим у Вас, как видно,
> проблем нет.
Молодой человек, откуда столько злобы на тех, кто сегодня не перепродает что-то, а создает -
все Ваши утверждения не обоснованы. И ничего мы не проталкиваем (видимо Вы не знакомы с этими вопросами, тогда зачем судить о том, что не знаете?). Ведь, возможно Вы не правы (человек что-то утверждая должен сомневаться), но не смотря на это Вы направо и налево кроете матом и выставляете себя достаточно в жалком обличии. Неужели общение на форуме - анонимность и мат - это норма (легко хулиганить анонимно!)? О какой морали Вы тогда говорите? Я готов убедить Вас в том, что Вы не правы, но ведь есть же определенные нормы общения, наверное, надо начинать не с обвинений, тем более, в подобной форме, тем более что Вы совершенно не владеете вопросом. Я на этом форуме первый раз, и, честно говоря, ранее не сталкивался с подобным, возможно мне везло, и я посещал иные форумы! По крайней мере, я нигде не сталкивался с личными оскорблениями, что при анонимности - просто подло!
|
| | | | | | | | | |
Откуда столько злобы? Я скажу: 07.12.05 03:34
Автор: Zef <Alloo Zef> Статус: Elderman
|
Вы и подобные Вам под руководством Билла Г ведут человечество к информационному фашизму - кошмару, который не снился даже Оруэллу.Гитлер со Сталиным порабощали тело человека. Исламские фундаменталисты, под руководством Бин Ладена порабощают души. Вы пытаетесь поработить то, что неподконтрольно даже Господу Богу - интеллект.
В условиях реализации Вашей модели авторского права никакое свободное мышление не будет возможно в принципе. Т.к. патентообладатель в праве дозировать информацию и ограничивать условия ее использования по своему усмотрению.
|
| | | | | | | | | | |
Кстати, тут у майкрософта была антипиратская акция "Его пример другим наука" 07.12.05 13:38
Автор: amirul <Serge> Статус: The Elderman
|
> В условиях реализации Вашей модели авторского права никакое
> свободное мышление не будет возможно в принципе. Т.к.
> патентообладатель в праве дозировать информацию и
> ограничивать условия ее использования по своему усмотрению.
Из победителей - единственный хороший рассказ "Лицензия на справедливость" Норвежского Лесного. Весьма рекомендую прочитать:
http://www.microsoft.com/Rus/Antipiracy/TellAStory/Stories/license.mspx
|
|
|
подробно о проекте
Анализ криптографических сетевых...
