Не все эксперты впали в панику dl // 14.02.04 15:49
После того как отстрелялись традиционные паникеры и любители покричать "Волк! Волк!", стали слышны и более трезвые оценки. [Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2004/02/23.html] Общий настрой, с которым я полностью солидарен, сводится к следующему.
Да, теоретически утечка исходников может привести к упрощению поисков дырок. Но нельзя сказать, что отсутствие исходников существенно мешало находить эти самые дырки раньше. Кроме того, неизвестно вообще, есть ли в утекшем коде дырки, и если есть, не были ли они исправлены за прошедшие 3 с половиной года.
Наконец, ребята, вы уж определитесь, open source - это хорошо или плохо. Если мы договорились, что open source положительно влияет на безопасность, позволяя всем миром отлавливать плюхи, то откуда столько паники в тот момент, когда крупнейший производитель софта по сути вплотную приблизился к этой концепции? :))
> Да, теоретически утечка исходников может привести к > упрощению поисков дырок. Но нельзя сказать, что отсутствие > исходников существенно мешало находить эти самые дырки > раньше. Кроме того, неизвестно вообще, есть ли в утекшем > коде дырки, и если есть, не были ли они исправлены за > прошедшие 3 с половиной года.
Конечно, есть. "Дырки" есть в любом коде даже в плавленом, и это отличает код от сыра.
Если Вам кажется, что Вы исправили последнюю "дырку", то см. п. 1.
> Наконец, ребята, вы уж определитесь, open source - это > хорошо или плохо. Если мы договорились, что open source > положительно влияет на безопасность, позволяя всем миром > отлавливать плюхи,
На мой взгляд, для профессионалов, а они в основном действуют во благо, наличие или отсутствие исходных кодов не принципиально. В частности, я встречал мнение, что исходные тексты только затемняют суть, отвлекают и путают.
Но, есть огромное количество (~10^7) любителей, которые даже если чего и найдут, то не опубликуют, а если и опубликую, то разработчики не прочитают. А нарушители могут прочитать их творчество, а быть может, и они сами что-нибудь яркое сотворят, для привлечения внимания. Такая вот "отрицательная" публика. Этим исходные тексты дают много пищи для их жизнедеятельности.
> то откуда столько паники в тот момент, > когда крупнейший производитель софта по сути вплотную > приблизился к этой концепции? :))
Пока "открытый софт" стоит где-то там, в "серверной", да и то не факт, что стоит, то это не так задевает. А вот когда он, быть может, стоит у тебя на столе, то страшновато становится. :) Вот и паникуют.
по-моему, пустые это переживания о том, что все сразу обвалится, новые вирусы все пожрут, дыры понаходят только любители...
Уже давно масса профессионалов роется в чужем коде, и роется, как правило, в созидательных целях - работа эта уже востребована. Исходники и им помогут в работе. Так что эта деятельность сбалансирует возможный разрушительный эфект от "невостребованных полупрофессионалов", пишущих вирусы...
ну вот багу в эксплорере уже нашли :)17.02.04 15:40 Автор: DgtlScrm Статус: Member
Я что-то не заметил, чтобы кто-то из серьёзных людей впадал в панику. Посмотрел в листе NTBugtraq, на сайтах eeye и Гунинского. Тишина. Я так думаю что сейчас по телевизору начнут эту историю крутить. Касперский опять выступит :) И прочие деятели такого рода.
о них и речь14.02.04 17:28 Автор: dl <Dmitry Leonov>
Кому на руку все эти разговоры, эмитация паники? Все опять крутиться вокруг МС, появится новый софт написанный темиже МС якобы повышающий безопасность. Напуганный народ побежит все это покупать, БГ опять обогощается. Или вообще это прилюдия к выпуску очередно массово оси, которая пока держится в секрете и которая "прзвана всех спасти". И если учесть, что утечка произошла по вине сотрудников МС то можно сделать вывод, ане самили они все это специально устроили? Хотя на эту тему можно рассуждать долго и выдвигать множество гипотез и т.п., но сам факт такого подхода (который сейчас демонстрируется в свете) к такой "проблеме" честно говоря смущает.
подробно о проекте
Анализ криптографических сетевых...
