• Revista PROGRAMAR: Já está disponível a edição #53 da revista programar. Faz já o download aqui!

falco

20 razões pelas quais o GNU/Linux é mais seguro que o window$

34 mensagens neste tópico

Notas prévias:

Este artigo não é um ataque à m$ é apenas uma constatação de factos.

Este artigo não pretende dizer que o GNU/Linux não tem falhas de segurança, porque tem e graves, nem que é o sistema operativo mais seguro, porque não é!

Este artigo apenas pretende mostrar que por omissão o GNU/Linux e de forma geral os sistemas *nix, são mais seguros que o window$. E que se utilizarmos ao máximo as ferramentas de segurança disponíveis nos dois sistemas operativos o GNU/Linux continua a ser bem mais seguro.

Não há nenhum software 100% seguro! Mas há uns que são definitivamente mais seguros que outros.

A segurança de um software não depende do numero de utilizadores. Pois por exemplo os sistemas operativos que são mais usados em servidores são pelos dados que guardam, pela quantidade de pessoas que servem e pela sua importância, alvos muito mais apetecíveis, para além de estar provado que o software da m$ é históricamente mais inseguro (quantidade de incidentes) do que software da concorrência, mesmo em mercados em que a m$ não lidera o mercado.

Dizer que a segurança depende essêncialmente do numero de utilizadores é um disparate colossal, que é ainda mais grave quando vem de pessoas com formação técnica, pois têm obrigação de saber que o design, a implementação, os mecânismos de segurança e o tempo de exposição à ameaça, têm bem mais influência. A quantidade de utilizadores tem alguma influência, mas é apenas mais um dos factores, que pode ser mitigado com algumas soluções.

A segurança nunca depende apenas de uma coisa, mas a falha de uma pode condenar o todo.

20 razões pelas quais o window$ não pode ser considerado tão seguro como o GNU/Linux:

1. Não é seguro por design;

2. Tem um numero de falhas considerável para corrigir desde 2001;

3. Demora 4 a 5 meses a corrigir falhas criticas, havendo casos conhecidos de demorar anos;

4. A m$ tem fortes incentivos de Marqueting que a incentivam a abafar problemas de segurança em vez de os resolver, pois se em algumas circunstâncias resolvesse esses problemas, estaria a admitir que nas tais circunstâncias o sistema era afinal de contas vulnerável. Por isso, teria de perder certificações relacionadas com segurança, que lhe permitem ser fornecedores de algumas entidades mais exigentes a esse nível, e que compram em quantidades muito grandes (por exemplo o Departamento de Defesa dos EUA);

5. Há falta de qualidade nos patchs;

6. As distribuições de GNU/Linux têm projectos paralelos, ou equipas dedicadas a analizar as falhas mais comuns e a recomendar/aplicar e se necessário desenvolver ferramentas e técnicas para evitar essas falhas mais comuns. A malta do GNU/Linux está a aprender e adaptar à sua realidade boas práticas do bom exemplo chamado OpenBSD (que é na minha opinião o sistema operativo mais seguro de todos).

Tenho visto coisas em alguns projectos e distribuições de GNU/Linux que estão já integradas em distribuições e outras que vão estar (algumas estão incluídas mas não integradas), segundo as minhas previsões até dentro de um ano, ou seja, são dois ciclos de releases para muitas distribuições. Essas coisas vão diminuir muito drásticamente os tipos de bugs mais comuns, principalmente à medida que forem aproveitadas ao máximo por quem cria aplicações.

Por exemplo o projecto Ubuntu, tem em estudo e previstas a utilização de medidas que vão impedir até perto de 82%, das falhas que tem tido, mesmo antes de elas existirem, graças a medidas de segurança pro-activas. E existem propostas de medidas preventivas que podem impedir e/ou limitar um numero indeterminado de problemas;

7. Só a próxima versão começará a adoptar um principio com quase quarenta anos no mundo da informática, que é o principio do mínimo privilégio;

8. É bloated não usa outro principio básico da informática como o KISS, que é ainda mais velho que o mencionado anteriormente;

9. O instalador não permite implementar medidas de segurança ao nível do acesso ao sistema de ficheiros;

10. O window$ só tem um mecânismo de controlo de acesso quando o sistema está a funcionar stand-alone, pois só tem Role Based Access Control (RBAC) recorrendo ao Active Directory, ou seja, um mecânismo desenhado para funcionar em rede em não em sistemas stand-alone e com um over-head gigantescamente maior que os existentes para GNU/Linux e outros sistemas *nix, e que por tudo isso é pouco usado. Também não tem mecânismos de Mandatory Access Control, e também não tem um mecânismo chamado Rule Set Access Controlo que combina vários mecânismos de controlo de acesso para uns cobrirem as limitações dos outros e usar o melhor de cada técnica.

11. Não tem mecânismos de virtualização integrados no sistema operativo, só recorrendo a software de terceiros, é que o window$ tem virtualização e mesmo assim, o único sistema de terceiros destinado a fazer uma virtualização de serviços dentro do sistema, para window$ é conhecido por já ter tido vários problemas, quebrando o funcionamento do sistema operativo e de aplicações.

12. Ambientes jail, onde os utilizadores podem fazer tudo sem que afectem o sistema e outros utilizadores e onde só têm disponível aquilo que lhes foi explicitamente fornecido, também não tem;

13. Por consequência de não ter os 3 mecânismos mencionados anteirormente e/ou de não os ter em várias circunstâncias (que são a maioria) e de não funcionarem correctamente também não tem Multi-level Security.

14. Integração feita de forma perigosa.

Uma coisa que a m$ sempre se esforçou muito por fazer nos seus sistemas é integrar o seu ambiente de computação, para melhorar a experiência de utilização e aumentar a produtividade e verdade se diga teve sucesso nesses dois objectivos. Contudo, a m$ fez as coisas de forma errada no que toca à segurança, pois acontece que essas componentes confiam demasiado umas nas outras, nos utilizadores do sistema e até mesmo nos utilizadores de outros sistemas. A consequência disso é obvia, quando há uma falha o dano é sempre muito grande e com frequência há mesmo escalada de privilégios. Na maior parte dos outros sistemas operativos não há essa confiança excessiva e as componentes forma pensadas para serem mais robustas e para lidar com problemas;

14. A quantidade de serviços a correr por omissão, principalmente o serviços de rede que na ausência de uma firewall estejam acessíveis por rede (alguns serviços de rede só estão disponíveis localmente por questões de configuração). E acreditem que as firewalls também falham e têm elas próprias falhas de segurança (há vários casos em que se comprometeu sistemas inteiros graças a falhas de segurança na firewall);

15. A separação de privilégios no window$ não é tão eficaz como em sistemas GNU/Linux e a falta de integração da separação de privilégios com mecânismos de controlo de acesso a actividades administrativas, em conjunto criaram um boicote genérico de utilizadores e criadores de software às contas de utilizador sem privilégios;

16. Falta de diversidade no ambiente de computação instalado por omissão.

Não há compatibilidade binária entre a maior parte das distribuições, muitas vezes não há compatibilidade a nível do código fonte em muitas aplicações. As instalações por default são bastante diferentes entre distribuições, e mesmo dentro da mesma distribuição é muito comum haver instalações muito diferentes. Há uma grande diversidade de software e de versões do mesmo software. E isto é um ambiente extremamente hostil para vários tipos de ataques usando virus, worms, etc...

17. Falta de utilização de linguagens de programação de alto nível que são inerentemente mais seguras.

Os sistemas *nix são normalmente escritos em C e as suas aplicações são na sua maioria escritas em C e C++. O window$ é escrito na sua maior parte no derivado proprietário de C++ da m$.

C e C++ também mas muito menos, são linguagens algo perigosas, porque permitem que sejam cometidos erros com um impacto maior. Um cuidado adicional por parte do programador, um bom design, boas estratégias de implementação e teste e ainda revisões por muita gente, mitigam os perigos significativamente.

Os programadores da m$ são um numero limitado (e estão dividos por departamentos e projectos) e não são super-humanos, por isso mesmo os que têm mais consciência dos problemas de segurança não vão conseguir evitar todos os problemas, para além de terem prazos para cumprir. A comunidade de Software Livre e em especial a comunidade de developers do kernel Linux é muito maior, tem um kernel mais bem desenhado e usa principios de desenvolvimento amplamente provados, também tem uma dimensão muito maior que equipa de desenvolvimento do kernel do window$. Ou seja, existem razões para o kernel Linux ser bastante superior.

O software incluído no window$ é criado usando C++ (essêncialmente), enquanto que as distribuições de GNU/Linux, apesár de terem muito software em C e C++, também fazem a utilização intensiva de outras linguagens de programação de mais alto nível e mais seguras (devido a caracteristicas técnicas das linguagens alguns erros sintácticos e semânticos não pode ser cometidos e/ou quando são não resultam em determinados tipos de problemas e/ou com tanto impacto). Claro que estas linguagens não são perfeitas e também têm os seus bugs, mas são bem mais seguras, o que faz com que de forma geral haja mais segurança nas distribuições de GNU/Linux.

18. O Código que entra no kernel Linux (e também em outros projectos) é revisto várias vezes. No caso especifico do kernel Linux o código é revisto pelo mantainer daquela àrea do kernel e discutido muitas vezes na própria Linux Kernel Mailing List (aka LKML), depois é revisto por outros (existe uma estruta pirâmidal de mantainers até ao mantainer daquela versão do kernel e após isso ainda está o Linus a cima), mais ainda há uma quantidade fenomenal de pessoas a trabalhar no kernel, o que faz com que os bugs sejam mais rápidamente detectados e corrigidos. Estas quantidade de gente vinda de diversos sitios e que pensa de forma diferente entre eles é algo que só pode existir se o software for licenciado como Software Livre.

19. Não estamos dependentes do criador do software para corrigir bugs. Por exemplo é conhecido publicamente quer observação directa, por indiscrições de funcionários da m$, quer por fugas de código-fonte, que a m$ não corrige alguns bugs no seu software porque existe software empresarial de terceiros que para funcionar depende da existência desses bugs. Para além de não corrigir os bugs em algumas das versões do window$ por não haver interesse comercial nisso. Ora, isto pode ser bom, ou não importante para alguns, mas é certamente mau para muitos mais.

20. Há mais razões, eu é que me fartei de escrever o artigo...

Conclusões:

O GNU/Linux é mais seguro por omissão;

O GNU/Linux é mais seguro se usarmos todos os mecânismos ao dispor dos dois sistemas;

Epilogo:

Para ser honesto, acho que a m$ já percebeu parte da coisa e está a começar a tentar resolver algumas destas insuficiências do window$. Contudo apenas na próxima versão do window$ é que algumas das medidas mais básicas vão estar disponíveis e outras ainda demoraram bem mais a ser incluídas. Mais ainda, nem todas estas medidas de segurança estão activadas nas distribuições de GNU/Linux, mas o facto é que estão disponíveis, e as versões mais recentes das distribuições de GNU/Linux têm começado a activa-las. Para além disso a medida de segurança pro-activa introduzida no service pack 2 do xispê, que se destina a impedir buffers overflows, não tem tido sucesso digno de nota, pois segundo os media o ie estaria a usar esse mecânismo e logo na primeira semana após a introdução desse mecânismo ele sofreu vários problemas de segurança por haver buffers overflows.

Quando o window$ começar alcançar este nível de segurança, já os outros estarão um ou vários outros patamares à frente (se alguma vez o chegar a fazer). Mas de qualquer forma, vale a pena esperar? Ou a segurança é algo para ter agora?

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

Notas prévias:

Este artigo não é um ataque à m$ é apenas uma constatação de factos.

[...]

20 razões pelas quais o window$ não pode ser considerado tão seguro como o GNU/Linux:

1. Não é seguro por design;

2. Tem um numero de falhas considerável para corrigir desde 2001;

3. Demora 4 a 5 meses a corrigir falhas criticas, havendo casos conhecidos de demorar anos;

4. A m$ tem fortes incentivos de Marqueting que a incentivam a abafar problemas de segurança em vez de os resolver, pois se em algumas circunstâncias resolvesse esses problemas, estaria a admitir que nas tais circunstâncias o sistema era afinal de contas vulnerável. Por isso, teria de perder certificações relacionadas com segurança, que lhe permitem ser fornecedores de algumas entidades mais exigentes a esse nível, e que compram em quantidades muito grandes (por exemplo o Departamento de Defesa dos EUA);

[...]

Falco, não encares isto como um ataque ao teu post, mas há uma certa contradição entre o titulo do tópico, o texto introdutório que escreves e os pontos usados para defender a segurança do Linux...

Dando o devido desconto de que o post é tendenciosos, uma vez que pretende defender o Linux e mostrar a sua superioridade, há algumas falhas que não posso deixar de apontar.

Apenas se diz que o Windows tem falhas, por vezes sem apresentação de qualquer fundamento/facto (exemplo: ponto 1), outras vezes há pontos que não fazem qualquer sentido na comparação da segurança entre os dois SOs (exemplo: ponto 4), efectivamente não é feita nenhuma comparação com o Linux (exemplo: pontos 1, 2 e 3).

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

O artigo não é em nada tendêncioso. É absolutamente factual. Não prolonguei alguns pontos para que não se tornasse aborrecido e porque eu próprio aborreci-me a escreve-lo.

Se conheceres a arquitectura do window$ sabes que ela é insegura por design. Para além disso já o próprio vice-presidente encarregado do desenvolvimento do window$ admitiu isso publicamente (não tenho aqui o link mas posso colocar mais tarde). Mas podes procurar algures no newsforge por um artigo de 2001, ou 2002 em que o tipo era entrevistado e admitiu isso.

Podes confirmar a questão das falhas por corrigir no site da Secunia.

O Kernel Linux tem um numero maior, mas também é brutalmente maior em tamanno (suporta muito mais drivers, mais muito arquitecturas, e muito mais features) e por isso a comparação não pode ser feita directamente, para além disso segundo vários estudos a maior parte dos bugs no kernel são em drivers, ou seja, só afectam os sistemas em que esses drivers correm, o que reduz o numero de instalações afectadas.

Os bugs sem patch no kernel também são todos de impacto baixo ao contrário dos da m$, a maior parte é explorável remotamente (58%) enquanto que em GNU/Linux é só 18% são exploráveis remotamente.

52% das falhas do window$ davam acesso ao sistema operativo, enquanto no kernel Linux apenas 2% davam. E o mesmo se pode dizer em relação às aplicação que vêm por omissão com um e com outro.

Também vi recentemente um estudo sobre as falhas de dia 0 em software empresarial, e a maioria esmagadora afecta software proprietário para window$ (apenas perto de meia duzia afectava GNU/Linux e normalmente são também de menor impacto).

Para além disso o desenvolvimento do GNU/Linux é aberto e as falhas são anunciadas publicamente, por isso é normal que se descubram mais falhas e também que estas tendam a ser corrigidas mais rápidamente.

A questão dos 4 a 5 meses a corrigir falhas, podes encontrar num artigo do The Register que cita um estudo (os dados foram confirmados pela própria m$). Segundo vários estudos em média as correcções no GNU/Linux para problemas criticos demoram poucos dias e o mesmo acontece com os fabricantes de software proprietário quando os problemas não são escondidos do publico.

Quanto ao ponto 4. A m$ tem vários certificados de segurança chamados Common Evaluation Criteria, que são necessários para os caso de se querer vender a algumas entidades nos EUA (incluindo a algumas do Governo Federal), a admissão da existência de falhas que segundo a avaliação da certificação não deveriam existir, mostra que a cetificação não vale pevide, e as próprias regras de certificação dizem que o fabricante deve voluntáriamente deixar de usar a certificação para propósitos de marketing e considera-la perdida. Tendo isto em conta e tendo em conta a politica assumida publicamente da m$ em esconder as falhas de segurança, é fácil haver suspeitas de não haver incentivo a tratar a questão de segurança de forma séria. Alias históricamente está provado que a m$ não o faz, o que faz com que as suspeitas sejam muito fortes.

O ponto 4 é uma comparação implicita, é um facto que desincentiva a tratar a segurança de forma séria, factor esse que não existe para o GNU/Linux, porque a segurança não depende de aspectos comerciais, nem de marketing no GNU/Linux.

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

O artigo não é em nada tendêncioso.

Desculpa, mas é totalmente tendencioso uma vez que o que fazes não é uma comparação mas sim um "deita abaixo" do Windows. Aliás, o próprio titulo do tópico indica essa tendência.

É absolutamente factual. Não prolonguei alguns pontos para que não se tornasse aborrecido e porque eu próprio aborreci-me a escreve-lo.

Desculpa, mas sou apologista de que as coisas são para se fazer bem feitas... Se te aborreceste, porque não fizeste uma pausa e continuaste mais tarde?...

Se conheceres a arquitectura do window$ sabes que ela é insegura por design. Para além disso já o próprio vice-presidente encarregado do desenvolvimento do window$ admitiu isso publicamente (não tenho aqui o link mas posso colocar mais tarde). Mas podes procurar algures no newsforge por um artigo de 2001, ou 2002 em que o tipo era entrevistado e admitiu isso.

Sei muito bem ao que te referes, no entanto esse era apenas um exemplo e o que eu apontei foi unicamente o facto de se estarem a listar pontos sem se explicar o porquê das coisas.

Podes confirmar a questão das falhas por corrigir no site da Secunia.

O Kernel Linux tem um numero maior, mas também é brutalmente maior em tamanno (suporta muito mais drivers, mais muito arquitecturas, e muito mais features) e por isso a comparação não pode ser feita directamente, para além disso segundo vários estudos a maior parte dos bugs no kernel são em drivers, ou seja, só afectam os sistemas em que esses drivers correm, o que reduz o numero de instalações afectadas.

Os bugs sem patch no kernel também são todos de impacto baixo ao contrário dos da m$, a maior parte é explorável remotamente (58%) enquanto que em GNU/Linux é só 18% são exploráveis remotamente.

52% das falhas do window$ davam acesso ao sistema operativo, enquanto no kernel Linux apenas 2% davam. E o mesmo se pode dizer em relação às aplicação que vêm por omissão com um e com outro.

Também vi recentemente um estudo sobre as falhas de dia 0 em software empresarial, e a maioria esmagadora afecta software proprietário para window$ (apenas perto de meia duzia afectava GNU/Linux e normalmente são também de menor impacto).

Para além disso o desenvolvimento do GNU/Linux é aberto e as falhas são anunciadas publicamente, por isso é normal que se descubram mais falhas e também que estas tendam a ser corrigidas mais rápidamente.

A questão dos 4 a 5 meses a corrigir falhas, podes encontrar num artigo do The Register que cita um estudo (os dados foram confirmados pela própria m$). Segundo vários estudos em média as correcções no GNU/Linux para problemas criticos demoram poucos dias e o mesmo acontece com os fabricantes de software proprietário quando os problemas não são escondidos do publico.

É precisamente este tipo de explicação que estou a dizer que falta no post original.

Quanto ao ponto 4. A m$ tem vários certificados de segurança chamados Common Evaluation Criteria, que são necessários para os caso de se querer vender a algumas entidades nos EUA (incluindo a algumas do Governo Federal), a admissão da existência de falhas que segundo a avaliação da certificação não deveriam existir, mostra que a cetificação não vale pevide, e as próprias regras de certificação dizem que o fabricante deve voluntáriamente deixar de usar a certificação para propósitos de marketing e considera-la perdida. Tendo isto em conta e tendo em conta a politica assumida publicamente da m$ em esconder as falhas de segurança, é fácil haver suspeitas de não haver incentivo a tratar a questão de segurança de forma séria. Alias históricamente está provado que a m$ não o faz, o que faz com que as suspeitas sejam muito fortes.

O ponto 4 é uma comparação implicita, é um facto que desincentiva a tratar a segurança de forma séria, factor esse que não existe para o GNU/Linux, porque a segurança não depende de aspectos comerciais, nem de marketing no GNU/Linux.

Esta é a explicação que não está no ponto 4 e deveria estar.

Mais, sendo uma comparação, para cada ponto deveria estar a resposta do Linux.

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

Na 4ª edição da revista portugal-a-programar tem lá algumas razões sobre o facto do linux ser considerado mais seguro...

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

M6 o artigo não é absolutamente nada tendencioso. Nem está mal feito. O titulo do artigo reflecte as conclusões do artigo. E não é um ataque à m$ é apenas a constatação de factos. Acredita eu atacar a m$ (e outros fabricantes proprietários), sou muito mais arrasador.

Sei muito bem ao que te referes, no entanto esse era apenas um exemplo e o que eu apontei foi unicamente o facto de se estarem a listar pontos sem se explicar o porquê das coisas.

Uma é dar a lista de razões, outra é andar a explicar todas as razões para absolutamente tudo, daqui a nada teria de escrever uma enciclopédia de segurança para escrever um artigo que tinha o objectivo de ser simples.

É precisamente este tipo de explicação que estou a dizer que falta no post original.

Não sei o que é que fazes na vida mas eu andei a escrever este artigo durante muito tempo (ando mesmo muito ocupado). Este tipo de explicações para quem tem duvidas pode ser dado posteriormente. É por isso que coloquei o post num forum, quem tem dúvidas pergunta.

O artigo não deixa de ser menos factual e por isso nada tendencioso, por não ter explicações técnicas para todos os pontos.

O artigo como um todo não é uma comparação, são algumas das conclusões a que podemos chegar depois de fazer várias comparações e estudos.

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

Já agora tenho plaenados vários outros artigos, um sobre usabilidade, outro sobre deployment de software, e outro sobre enterprise level software (no qual eu vou explicar porque não considero que várias das distribuições de GNU/Linux e outros *nix são plataformas de desenvolvimento pouco satisfatórias para os developers que integram aplicações nessas plataformas em muitas situações).

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

começo por dizer que este artigo foi criado desconheçendo completamente a realidade dos ambientes windows e active directory... este artigo apenas quer mandar abaixo o windows em favor do Linux sem qualquer validação tecnica do que é afirmado... e não é verdadeiro em relação as questões técnicas em ambientes windows, mostrando um desconhecimento em realação a este assunto... quando alguem que não sabe tenta ensinar outros...é problemático

e depois... porque é que se passa a vida a dizer mal da segurança e não ensinam os users a operar em, segurança??? todos sabemo que um carro pode ser conduzido em segurança ou não... portantos o que há a fazer é usar o windows em segurança... e sincerament... estudem melhor o windows...

vou apontar alguns documentos no fim e vou preparar um artigo sobre segurança em windows porque o ppl desconheçe completamente o grande mundo (em tamanho e complexidade... para mim não há SOé melhores nem piores... são diferentes)

há tanta configuração a mexer... tanta implementação...sei lá... ninguem pode criar um artigo assim e ser tecnicamente correcto...

pergunto logo... que configuração base usas?? usas alguma template GPO???? member servers?? bastion hosts??? que configuração do 2003 usas para fazer este artigo??? não sei se sabes mas tudo muda conforme a configuração

nem vou entrar num ponto a ponto porque para mim anulam-se todos... até a nivel de programação a M$ tem dado passos muito importantes

vejam sobre Segurança CLR (commom language runtime) do dotnet

9. O instalador não permite implementar medidas de segurança ao nível do acesso ao sistema de ficheiros;

sinceramente isto não faz sentido nenhum.. .tu percebes de sistemas windows?? tenho muitas duvidas... numa emrpesa grande usam-se imagens para instalar, bem configuradas e usa-se as famosas GPO´s "grup policy objects".. tudo debaixo do Active Directory que pode ser bem ou mal configurado como tudo

quando crias uma politica de dominio sempre que uma maquina se loga na AD ela recebe uma serie de configurações centrais de segurança a todos os niveis... e conheçes o sistema de ACL´s do windows??? sabes o que é uma ACE?? Acess control entry... sabes o que faz uma ACE???? não sabes de certeza... como é possivel alguem que não conheçe sistemas windows estar a falar sobre o windows???

sinceramente não percerbo estas cenas.... será que o fervor religioso que tanto mal tem trazido à humanidade tambem anda nas vertentes técnicas?

porque é que alguem se dá ao trabalho de criar um artigo tão grande e sem qualquer compromisso técnico ou com a realidade?? estaremos a confundir emoções com questões técnicas?? calro que sim... e para mim é um caminho perigoso pois deixa-se de ver as coisas como elas são e isso prejudica saemrpe...

a historia do linux/windows surgiu numa altura me que fazia sentido... sim.. .com o windows 95 e o NT era realmente um abismo a diferença a nivel de estabilidade e segurança entre o fraquinho windows e o Linux... mas será ainda assim??

do XP e 2003 para cima a M$ introduzio grandes melhoramentos a nivel de segurança...

SIM... O WINDOWS JÁ É SEGURO SE BEM ADMINISTRADO...

o linux mal administrado tambem não é seguro...

Só a próxima versão começará a adoptar um principio com quase quarenta anos no mundo da informática, que é o principio do mínimo privilégio;

qualquer profisisonal digno desse nome usa esta técnica há muitos anos... que cena.. andam em que mundo??

se gerirem bem o sistema de ACLS e DACLS... podem ir ao pormenor da ACE... não há forma conhecida de passar pro cima disso...

peguem nos guias de hardening e segurança da M$ e tornem o vosso windows seguro... sim.. .BEM ADMINISTRADO O W"INDOWS é SEGURO..

a historia das contas... epa... TAMBEM no windows voçes devem usar uma conta de menores previlegios e criem contas especificas (podem ir ao detalhe nas configurações atraves de politicas bem criadas) para os serviços

tipo.. .quando é aplicado um exploit a um sserviço o que acontece é qeu se fica com uma shell com os previlégios do USER em que corre o serviço, logo, se gerirem bem as contas de serviço e os previl~egios podem trabalhar em segurança

eu vejo claramente pessoas sem conhecimentos profundos a opinar... se o windows é assim porque é que não está tudo rico?? os bancos usam e abusam do windows e não vejo o ppl a andar aqui a sacar o que quer???

agora... a utilização do comum dos mortais é windows é uma tragédia.. e é culpa do windows????

uma emrpesa com consultores de segurança consegue ter um ambiente windows em segurança.. .vejam os procedimentos de hardening, gestão de politicas ao pormenor, gestão de contas/AD...

por exemplo... uma AD mal criada não é segura... mas um AD bem criada e estruturada e configurada com GPO´s bem definidas é seguro...

gostava de ver esse ppl que diz que o windows 2003 não é seguro a entrar num que esteja bem administrado.. .isso faz parte do meu trabalho e posso dizer que temos sucesso muitas vezes nos testes de penetração... mas as coisas não são assim como se fala... depende da configuração

NOS DIAS DE HOJE A SEGURANÇA TêM MAIS A VER COM  O UTILIZADOR..... se o sistema está mal configurado pode ser "OWNED" se tiver bem confugrado é muito dificil mesmo.. seja que sistema for... eu digo que em muitos casos é mesmo impossivel seja em windows ou não... mas isso é outra historia

outra coisa importante é o programdor... oi programador entende os mecanismos de segurança??? não interessa o SO... um mau programador faz mau codigo seja em windows seja em linux

tenho pedido tanto para o ppl ter atenção visto ser um local de informação e as pessoas que nos visitam para aprender necessitam confiar em nós... agora imaginem um proffessor que percebe vir ao forum e ver certos artigos?? com que imagem de credebilidade do forum fica???

não há necessidade de PROVAR nada em relação ao windows e linux... á muito tempo que há uma campanha antio-windows e não mudou nada...

dediquem a questões t+ecnicas e ensinem os users a configurar correctamente em vez de se alimentar MITO QUE sÃO FALSOS...

estudem as técnicas de hardening... ~vão ver que a filosfia é a mesma para ambos os SO´s.. + ou -

todos os pontos mostrados não fazem sentido.. são manipulações dos factos e mostram um grande desconheciimento de ambientes windows... atenção que um ambiente windows É MUITO MAIS QUE INSTALAR UM XP POR DEFAUTL... PERCEBEM ISSO OU NÃO???

instalem lá um linux e usem no mal e vão ver

Recursos sobre Hardening de SO

tentei usar fontes diversificadas... há muito material sobre estes temas... estudem em vez de mandar a baixo

Windows Server 2003 Security Guide

Hardening XP

Hardening_Windows_NT2000XP_Information_Systems

Hardening Windows W2K Server

vejam sobre Segurança CLR (commom language runtime) do dotnet

Segurança TEckNet

ACL Teck overview

era bom que o windowns fosse assim tão inseguro.. não tinha de partir tanto a cabeça no trabalho..  :P:)

teckV

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

Se alguém desconhece a realidade és tu!

Usas active directory em dispositivos moveis que ligam a redes que não controlas?

Lá se ia a segurança!

Quantos instalações de home edition em máquinas residênciais é que conheces usando

active directory?

Não é possível ensinar utilizadores a operar em segurança num sistema tão inseguro

como o window$.

Não uso qualquer sistema operativo, nem aplicações proprietárias. O que inclui o window$.

Templates GPO, member servers? bastion hosts?

Isso não é possível usar em na maioria esmagadora dos casos e também não compensa todas as outras insuficiências.

.net? Quantas aplicações que usam .net é que conheces que sejam incluidas no window$?

Quantas aplicações da m$ conheces em .net?

Quantas aplicações em .net conheces (que não sejam feitas à medida).

Pois .net é mais uma cartada fora, pois conheço mais aplicações em .net para GNU/Linux do que para window$ (sim porque isso das aplicações de .net serem portáveis é uma cantiga).

Eu uso produtos da m$ à perto 20 anos. Trabalho em empresas com ambientes mistos.

As imagens não impedem problemas de segurança. Apenas permitem fazer um disaster recovery mais rápido.

Há carradas de casos em que não se pode usar active directory por variadas questões.

Mais ainda quando eu falo de politicas de segurança ao nível de acesso ao sistema de ficheiros, eu estou a falar de o sistema de ficheiros não ser montado com permissões de

escrita, ou ser montado apenas para um user, isto é um nível mais baixo que o que é possível fazer em window$, e ainda é possível ir mais a baixo.

As ACLs não permitem fazer isto, isto é outro tipo de mecânismo. E sim sei o que são ACLs e essas tretas todas que se usam com active directory, acho que até mencinei isso no artigo.

Mas como disse no artigo há muitos mais mecânismos de controlo de acesso, e todos eles têm falhas. O window$ só tem ACLs e quando usa active directory. Ou seja, nem sempre tem um mecânismo decente.

Usar active directory é apenas usar mais código, ou seja, ter mais bugs.

qualquer profisisonal digno desse nome usa esta técnica há muitos anos... que cena.. andam em que mundo??

Tens de perguntar isso à m$, porque a m$ não usa. Mais ainda isso reflecte-se no comportamento do windo$ e em vários aspectos não há volta a dar-lhe.

Quanto à história das contas de utilizadores, isso seria verdade se não houvessem carradas de aplicação para utilizador final que não necessitassem de permissões de administrador.

agora... a utilização do comum dos mortais é windows é uma tragédia.. e é culpa do windows?Huh?

Em muitos casos é! Dos outros é que podes crer que não é!

A segurança não tem mais a ver com o utilizador. Isso não é verdade.

A segurança tem sempre a ver com todos os envolvidos desde o designer do sistema ao utilizador.

Não é verdade que um sistema bem configura é muito dificil de ser owned. Há falhas de segurança em sistemas que não envolvem acções do utilizador e que funcionam em sistemas bem configurados.

Para ti o active directory é a unica medida de segurança do window$, esqueces-te é que só é possível/recomendável utilizar em algumas situações por questões técnicas, de gestão e financeiras. Para além de eu ter mencionado que o window$ simplesmente não tem nada ao nível de GNU/Linux em medidas de segurança e listei algumas.

Eu usei factos tu usaste baboseiras, e ataques pessoais e uma fé inabalável no active directory....

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

Se alguém desconhece a realidade és tu!

Usas tão mal as palavras ;) Depois o pessoal pica-se todo ;)

Quantos instalações de home edition em máquinas residênciais é que conheces usando

active directory?

Não é possível ensinar utilizadores a operar em segurança num sistema tão inseguro

como o window$.

Tenho de concordar em absoluto..., basta ver o caso da instalação do Windows em que a conta por default é logo com permissões de Administrador..., quem não está consciente dos riscos usa-a como conta pessoal..., isto é seguro?

.net? Quantas aplicações que usam .net é que conheces que sejam incluidas no window$?

Quantas aplicações da m$ conheces em .net?

Quantas aplicações em .net conheces (que não sejam feitas à medida).

Pois .net é mais uma cartada fora, pois conheço mais aplicações em .net para GNU/Linux do que para window$ (sim porque isso das aplicações de .net serem portáveis é uma cantiga).

Não fazia a minima ideia que existem mais aplicações .net para GNU/Linux do que para windows..., isso parece-me um pouco paradoxal demais..., e sim, também concordo com o facto de .net ser portatil ser apenas um mito...

Quanto à história das contas de utilizadores, isso seria verdade se não houvessem carradas de aplicação para utilizador final que não necessitassem de permissões de administrador.

Aqui falas de GNU/Linux, certo?

A segurança não tem mais a ver com o utilizador. Isso não é verdade.

A segurança tem sempre a ver com todos os envolvidos desde o designer do sistema ao utilizador.

Não é verdade que um sistema bem configura é muito dificil de ser owned. Há falhas de segurança em sistemas que não envolvem acções do utilizador e que funcionam em sistemas bem configurados.

Certo..., a segurança parte de todos..., mas um SO deve estar preparado também para o utilizador mais "newbie", ou não? Quando comecei a usar um pc nem sabia o que era anti-virus..., tive muita sorte de não apanhar até me instalarem isso..., e mesmo assim chateava-me quando queria jogar :)

abraços, HecKel

PS: Um bom debate é aquele em que ambos os intervinientes se respeitam...

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

Estou chocado!

Alguém que me ajude a mandar abaixo este pseudo-sabedores de informática!

http://www.btuga.info/viewthread.php?tid=109995

È engraçado o ponto de vista do man que fez a Review ele não deve saber nada de informática.Então o gaijo disse que a segurança do Linux é igual ao do Widnows.Ele anda mesmo bonito.

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites
Alguém que me ajude a mandar abaixo este pseudo-sabedores de informática!

Um tema de cada vez. Agora foi a segurança, depois vão ser outros, é preciso tempo para fazer a pesquisa necessária para estár a falar de factos correctos e não apenas de "ter a ideia que" e também para que o artigo seja suficientemente simples para que todos o possam compreender.

Não fazia a minima ideia que existem mais aplicações .net para GNU/Linux do que para windows..., isso parece-me um pouco paradoxal demais..., e sim, também concordo com o facto de .net ser portatil ser apenas um mito...

Não disse isso. Eu disse que conheço mais...

Alias só me lembro de uma aplicação em .net para window$ que é o paint.net. Para GNU/Linux lembro-me do Beagle e do fspot. Pelo menos dignas de nota parece não haver, Alguém conhece alguma?

Aqui falas de GNU/Linux, certo?

Não! Estava a falar do window$. Em GNU/Linux só aplicações de administração é que precisam de permissões de administração.

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

Estou chocado!

Alguém que me ajude a mandar abaixo este pseudo-sabedores de informática!

http://www.btuga.info/viewthread.php?tid=109995

Quanto a isto, não discuto pois desconheço a realidade dos Sistemas GNU/Linux, mas mesmo não conheçendo "cara-a-cara" o Linux, daquilo que leio dou mais razão aos Linux users em relação aquele texto...

Mas há lá uma coisa que foi dita lá no meio que é bem verdade:

Muitas vezes a ancia pela "razão", dos utilizadores linux levam a exageros e gozos que afastam muita comunidade!

Eu diria que muitas vezes a comunidade Linux "aparenta" ser seleccionada, ficando elitista! Nobbalhada em linux é gozada e acabam por abandonar o seu desejo por aprender linux!

Infelizmente, pareçe-me que isto é verdade...

Além disto, existe o constante "bota-a-baixo" ao Windows e este post é mais um a juntar a aos outros que fazem isso...

Cumps

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

Com o Ubuntu essa situação de elitismo tentou ser contornada, tem uns fórums onde está sempre tudo pronto a ajudar. ;)

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

e com o fedora...o fedora é uma distro linux acessivel a qualquer user...

agora a parte mais triste...comentar o post ridiculo do falco... tanto disparate tecnico...ora vejam

vejam no fim os links para os guias de segurança em XP e muitos mais links sobre esta tematica... questões técnicas claro...

epa.. .que cena...

tanto disparate junto como no post do falco é dificil... h3h3h3h33h3h3h

tanto desocnhecimento de sitemas informáticos... fogo.. quanto se manda cenas para o ar ao calhas sem se saber as bases do que se está a falar é assim que resulta

é exactamente como não se deve proceder... h3h3h33h3h3h

vamos lá a esta ingrata tarefa de anular 1 a 1 todos estes pontos ridiculos.. para o que eu devia tar guardado...

é impossivel debater com alguem que não percebe nada de sistemas windows empresariais e dos mecanismos mais serios de segurança do mesmo.. é claro que para se ter em casa ~´e uma coisa... mas para se usar um windows em alta segurança é outra completametne diferente.. o falco não têm cconsciencia disso como se pode ver... o que me faz questionar os seus conhecimentos técnicos no geral.. .logo não é a pessoa indicada para uma comparação destas...

não digo que o windows é mais seguro.. eu nem sequer faço essa comparação.. .estas coisas dependem de muita coisa e não esse o caminhho.. deve-se sim informar as pessoas de como usar em segurança e como tal não se pode dizer que é impossivel.. .e quando sabemos que é.. senão.. porque é que os tantos windows que bulem nas emrpeas e bancos não tao sempre a ser atacados e os gajos como o falco não estão ricos?? h3h3h3h3h ridiculo.. .mas então... que se pode fazer??

tantas instituições, empresas, bancos e serviços importantes a correr com windows... se fosse assim como dizem era o chaos.. nada funcionava... vontade não falta a muita gente.. só falta o resto h3h3h33h3h3h3h

Usas active directory em dispositivos moveis que ligam a redes que não controlas?

Lá se ia a segurança!

a sério.. tens de admitir que não fazes a minima ideia de como funciona e de como se administrar o active directory... é que é muito dificil passar info assim.... é mesmo muito dificil perceber o que queres dizer... é assim.. os problemas dos dispositivos moveis e temos de dizer que são perigoso apenas se não tiverem bem administrados e se não tiverem os componentes tipicos de segurança, como o anti virus e firewall e as comuns regras de boas praticas no uso de SO nos nossos dias..dizia que são comprometores de segurança se contaminados, sem precauções basics de segurança e isso é igual em qualquer rede sobre qualquer ambiente... até porque num sistema destribuido usam-se varios componentes com caracteristics e funções diferentes

mas mesmo assim a microsoft têm mecanismos de combater isso.. pode-se configurar o suporte de quarentena, que é um serviço que quando o PC movel pede para se ligar ao dominio, analisa esse dispositivo para problemas de segurança... analisa se tem firewall, se tem anti virus, se está com as ultimas actualizações.. enfim.. pode.se configurar ao pormenor...

e como semrpe faço... os pormenores técnicos para suportar o que digo

http://www.microsoft.com/technet/security/prodtech/windowsserver2003/quarantineservices/default.mspx

http://www.securityfocus.com/infocus/1794

http://www.microsoft.com/technet/itsolutions/network/vpn/quarantine.mspx

http://www.itarchitect.com/showArticle.jhtml?articleID=60401143

e claro que usando-se uma VPN cria-se um canal seguro.. podem ver detalhes disso nos links em cima...

Quantos instalações de home edition em máquinas residênciais é que conheces usando

active directory?

este topico serviu para comparar e mandar abaixo o windows... não especificamente o HOME edition que é logo o mais fraquinho e mesmo assim pode-se usar em segurança.. .eu vejo que certas pessoas desconhecem os pormenores de segurança do windows (e se calhar do linux.. as vezes fico curios)... é obvio que windows não é isso... windows é uma ambiente e surge em varios sabores e com muitas possiblidades de configuração... e se queremos analisar segurança temos de analisar uma configuração respeitando as normas de segurança... só assim se pode ver o que o sistema é a capaz.. não podes testar um ferrari numa varanda... se para ti o mundo windows é apenas o HOME edition tens de ser claro e dizer assim "o windows home edition mal configurado e usado por alguem sem conhecimentos como o falco é inseguro" ai eu nem criticava... mas tás a criticar o windows como familia de SO´s... e sobre segurança... queres testar uma arma com uma pessoa que nunca a usou?? tens de testar um uso em segurança

e há muito que se pode fazer em nivel de segurança no windows XP.. compreendo agora a posição de certas pessoas em relação há segurança em windows XP... falta de conhecimento... e em relação a isso só se pode fazer uma coisa.. INFORMAR...

analisem isto qu eé do vosso interesse... montes de links sobre politicas e questões diversas de segurança em windows XP... vão ficar impressionados no bom sentido... se procurarem no site da M$ até podem encontar webcasts sobre estes temas

http://www.microsoft.com/technet/security/prodtech/windowsxp.mspx

http://www.microsoft.com/technet/security/smallbusiness/prodtech/windowsxp/NetPrtct.mspx

http://www.microsoft.com/technet/prodtechnol/winxppro/maintain/rstrplcy.mspx

http://www.microsoft.com/technet/security/prodtech/windowsxp/depcnfxp.mspx

http://msdn.microsoft.com/library/default.asp?url=/library/en-us/dnnetsec/html/HTBaseAnal.asp

Não é possível ensinar utilizadores a operar em segurança num sistema tão inseguro

como o window$.

como vimos não só há as tradicionais boas práticas como muitas configurações avançadas, ao pormenor e para muitas situações especificas... muito se pode fazer em segurança com o windows... e nos docs em cima até é o XP que não é a versão principal do windows.. é o 2003 server... o servidor windows, logo o que se deve comparar ao linux...

Não uso qualquer sistema operativo,

já tinha reparado.. mas um pormenor.. como tas a escrever o topico se não usas um sitema operativo??

nem aplicações proprietárias. O que inclui o window$.

nemum joguito? nem o multibanco?? o multibanco é sobre windows... assim como muitos dos serviços que todos usamos...

Templates GPO, member servers? bastion hosts?

Isso não é possível usar em na maioria esmagadora dos casos e também não compensa todas as outras insuficiências.

o que dizes e a forma como baralhas e ligas as coisas mostra que não sabes destes assuntos de segurança em windows... é como isso é uma das bases tu tornas-te no exemplo de porque é que muitas utilizações do windows não são seguras... pois... com pessoas que não conhecem os mecanismos e procedimentos de segurança é obvio que não há segurança.. o SO só por si não faz milagres... nehum mesmo... é preciso mexer e configurar em segurança... uma prisão de alta segurança com as portas abertas é uma anedota não é? h3h3h33h com cada filme...

e com os politicas podes configurar tão ao detalhe.. tenho a certeza que é linux TU não vais mais ao detalhe... conheces todas as opções de configuração windows?? senão como podes compara-lo com o linux???

as politicas são muito poderosas e são uma das bases da segurança em windows... e como em qualquer SO a segurança é um compromisso entre funcionalidades e defesas.. faz parte de qualquer tecnologia.. é universal e muito obvio...

.net? Quantas aplicações que usam .net é que conheces que sejam incluidas no window$?

Quantas aplicações da m$ conheces em .net?

Quantas aplicações em .net conheces (que não sejam feitas à medida).

Pois .net é mais uma cartada fora, pois conheço mais aplicações em .net para GNU/Linux do que para window$ (sim porque isso das aplicações de .net serem portáveis é uma cantiga).

as aplicações são seguras quanto seguro o programador é... podes criar uma app segura ou uma não segura... como é em C++... a base do windows...  e tambem há muitas questões técnicas de segurança para o ambiente windows em si...

pela forma como falas do dotNet fico com a ideia que pensas que dotNet é originaria do Linux... humm... e o dotNet é recente... mas já há muitas apps que tiram partido do doNet e sendo o dotNet a nova framework M$ é obvio que não são apenas as appl por medida a usa-la... qualquer app para windows pode ser em dotNet e com varias linguagens para escolha.. tudo sobre o mesmo CLR

e para se ir a fundo nesta coisa de segurança em aplicações nada melhor que apresentar uma lista das ultimas vulnarabilidades descobertas... o sumo dos exploits... é aqui que está o cerne da coisa... para craking nos dias de hoje é usar exploits sobre as ultimas vulnerabilidades.. aquelas que podem ainda não ter sido actualizadas e mesmo que jjá tenha saido o patch.. as empresas não instalam logo e automaticamente os patches... é algo complexo em ambientes de produção este procedimento..

então o que temos a nivel de vulnerabilidades quentes de segurança....

fonte: a indecutivel credebilidade do securityfocus

http://www.securityfocus.com/vulnerabilities

Mozilla Firefox FTP Denial of Service Vulnerability

2006-08-31

All Topics phpBB module SQL Injection Vulnerability

2006-08-31

Cisco VPN 3000 Concentrator FTP Arbitrary File Access Vulnerability

2006-08-31

SSH Tectia Windows Path Specification Privilege Escalation Vulnerability

2006-08-31

SSH Tectia Manager Agent Process Local Privilege Escalation Vulnerability

2006-08-31

Drupal E-commerce Module Multiple Cross-Site Scripting Vulnerabilities

2006-08-30

CGI-Rescue Mail F/W System Unspecified Email Header Injection Vulnerability

2006-08-30

Libmusicbrainz Multiple Buffer Overflow Vulnerabilities

2006-08-30

Drupal Easylinks Module Unspecified Cross-Site Scripting Vulnerability

2006-08-30

Zope Docutils Information Disclosure Vulnerability

2006-08-30

Drupal Easylinks Module Unspecified SQL Injection Vulnerability

2006-08-30

Linux Kernel PROC Filesystem Local Privilege Escalation Vulnerability

2006-08-30

Trident Software PowerZip ZIP Archive Handling Buffer Overflow Vulnerability

2006-08-30

JIRAN Cool Messenger SQL Injection Vulnerability

2006-08-30

Linux Kernel Direct-IO.C Local Denial of Service Vulnerability

2006-08-30

Symantec Enterprise Security Manager Denial of Service Vulnerability

2006-08-30

Sun Solaris UCB/PS Command Local Information Disclosure Vulnerability

2006-08-30

Linux Kernel Non-Hugemem Support Local Denial of Service Vulnerability

2006-08-30

Apache HTTP Server Arbitrary HTTP Request Headers Security Weakness

2006-08-30

MySQL Server Str_To_Date Remote Denial Of Service Vulnerability

2006-08-30

PhpGroupWare Calendar Class.Holidaycalc.Inc.PHP Local File Include Vulnerability

2006-08-30

Headline Portal Engine HPEInc Parameter Multiple Remote File Include Vulnerabilities

2006-08-30

Sun Solaris Format(1M) Buffer Overflow Vulnerability

2006-08-30

AK-Systems Windows Terminals Remote Unauthorized Administrative Access Vulnerability

2006-08-30

Jetbox CMS Search_function.PHP Remote File Include Vulnerability

2006-08-30

Samba Internal Data Structures Denial of Service Vulnerability

2006-08-30

Doika Guestbook GBook.PHP HTML Injection Vulnerability

2006-08-30

Empire CMS Checklevel.PHP Remote File Include Vulnerability

2006-08-30

RedBlog Index.PHP Remote File Include Vulnerability

2006-08-30

CityForFree Indexcity List.PHP SQL Injection Vulnerability

2006-08-30

é preciso comentar ou basta a listagem para se perceber como anda a segurança em sistemas informáticos... atenção que o windows tambem vai aparecendo nesta lista... isto é a primeira pagina da listagem de vulnerabilidades, por mais recente...

para mim isto quer dizer que hoje há realmente a posibilidade de equilibrio... tem de se ter em conta a forma como se usa e configura o sistema... isto é o mais importante...

as vulnerabilidades são falhas de segurança em aplicações ou sistemas operativos... é usando exploits sobre estas vulnerabilidades que se "penetram" nos sistemas... nos sitemas com preocupações a nivel de segurança... mas mesmo assim já há mecanismos, como firewalls aplicacionais, IPS e procedimentos muito apertados em uso, que tornam muito dificil o ataque e fica apenas possivel a muito poucos...  :hmm:

quero voltar a dizer que realmente tem andado essa questão no ar.. de que o windows é muito inseguro.. isso deve-se a versões anteriores do windows que eram mesmo muito más e não tinham sequer a segurança em mente.. é verdade.. mas isso é passado..

há outra coisa tambem muito importante.. o windows tanto serve para uma empresa como para uma pessoa sem conhecimentos, sem tempo para estudar e que apenaas quer alguns resultados.. conectividade instantanea... sem configurações... multimedia e tudo o mais sem configurações e sem perceber nada... isto faz com que o windows tenha um espectro muito grande.. 8 ou 80... para se permiti o acesso da informatica a muitos é preciso nas situações default deixar uma configuração quase "toda aberta"... isto vai mudando e o SP2 é uma mostra disso..

mas o windows já tem muitos mecanismos, procedimentos e funcionalidades avançadas a nivel de segurança... as questões de segurança mudam muito consoante as funcionalidades desejadas, por isso um SO tem de permitir grandes configurações avançadas... o windows já pode ser configurado como Bastion Host e estar esposto para a net.. há tantas opções de config de segurança que se pode ir a um detalhe muito grande na relação ~funcionalidade/segurança...

estudem bem isso... há guias muito interessantes para segurança microsoft e até templates que se podem importar pelo gedit e mudar rapidamente e sem mexer, por entre muitas configurações de segurança muito diferentes e para varias situações...

eu não defendo a M$.. não gosto da atitude da M$ e da sua postura no mundo tecnico e na comunidade... apenas estou a falar das componentes técnicas... algo que certas pessoas se esqueçem, ou não sabem... como tal é necessário fazer referencia a essas questões técnicas... o Linux obviamente tambem têm muito a nivel de segurança para se investigar e explorar... o Linux teve desde sempre a segurança como preocupação no projecto, contrariamente à M$ com o windows no passado... mas as coias até võ mudando e temos de actualizar as nossas opniões e conhecimentos técnicos em questão... isso é muito importante.. e por motivos profissionais vão tambem precisar de saber de segurança em windows...

eu pessoalmente gosto mais do Linux.. gosto mesmo muito do linux e para o meu tipo de trabalho +e mesmo muito bom..  mas não podemos continuar a dizer que o windows não têm segurança nenhuma... uma coisa é uma coisa.. outra coisa é outra coisa..

vou deixar montes de links para conteudos sobre segurança em windows XP.. e tou so a falar no XP agora ... vejam por voçes... é interessante aprender estas coisas.. dá-vos mais poder sobre a maquina.. saber com as coisas funcionam ao mais baixo nivel...

e só uma coisa.. .hardening é um conceito referente à técnica e procedimentos para "blindar" "fechar" "tornar mais segur" um SO... existem guias e propostas de hardening muito bons.. e com o recurso de templates podem gerir isso de uma forma muito boa... podem até ter uma configuração para umas situações e outras para outras...  está muito simplificado o processo...

Um guia muito bom para segurança em windows XP da National Security Agency.. sim a NSA mesmo

http://www.cs.unibo.it/~montreso/doc/papers/NSA--GuideToSecuringWindowsXP.pdf#search=%22security%20guide%20xp%20microsoft%22

Manual de Segurança do Windows XP se quiserem procurem as versões noutras traduções ou linguas

http://www.microsoft.com/brasil/technet/Seguranca/windowsxp/securityguide.mspx

Threats and Countermeasures Guide

http://go.microsoft.com/fwlink/?LinkId=15159

http://www.microsoft.com/brasil/security/guidance/prodtech/winxp/secmod64.mspx

Home da segurança em ambientes M$

http://www.microsoft.com/technet/Security/default.mspx

Informação muito boa e importante sobre os serviços do SO windows... o hardening passa pela redução de serviços ao maximo, logo devem conhecer bem os varios serviços do windows.... importante para as decisões sobre o que é fundamental e sobre o que se pode retirar... tambem para entenderem certas coisas que se passam no PC... possibilidades de infecção e afins... apesar de haver tecnicas de Root Kit que escondem tudo...mas isso é outra coisa...

http://www.theeldergeek.com/services_guide.htm

checklists de segurança segundo o US gov

http://checklists.nist.gov/repository/1007.html

paletes, resmas de linkjs sobre segurança em XP... como é possivel haver tanto artigo escrito sobre um tema que alguem diz não existir??? h3h3h33h

http://mywebpages.comcast.net/SupportCD/SecureXP.html

http://www.windowsecurity.com/articles/Windows_XP_Your_Definitive_Lockdown_Guide.html

http://www.tweakhound.com/xp/security/page_1.htm

nada como estudar e aprofundar os conhecimentos.. .isso sim, tona o uso de PC´s seguro...

teckV

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

Podem existir algumas pessoas que gozam com os novos utilizadores, mas não é verdade que isso seja o retrato da maior parte da comunidade de GNU/Linux.

E não é verdade que isto seja um post de bota-a-baixo, é apenas a constatação da realidade, baseada em factos e ao contrário do que o outro utilizador diz, sim isto são aspectos técnicos em quase todos os pontos que mencionei e são todos verdade. De facto o window$ não tem aqueles mecânismos de segurança e isso torna-o menos seguro que o GNU/Linux.

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

Security focus querdibilidade? LOL

Com as asneiras que eles cometem, dificilmente...

Nem sempre é possível usar VPNs, por exemplo a partir de algumas redes não há acessos externos em alguns ambientes.

E não vais usar VPNs, apenas para usar Active Directory, isso é um disparate. Usa-se VPNs quando tem que se aceder a dados de trabalho.

Admite lá que por vezes os computadores têm que estár isolados da rede da sua empresa e que ainda assim têm que ter mecânismos de segurança.

Para além de não fazer sentido depender a segurança de um serviço de rede. O active directory é a única forma de implementar algumas das features de segurança em ambientes m$, e isso é mau, porque ele não pode ser usado em todas as situações, e porque até o active directory pode ser comprometido.

A m$ não é uma fonte querdível de nada, a não ser de trampa. É claro que eles vão dizer que o window$ é o sistema mais seguro que existe...

este topico serviu para comparar e mandar abaixo o windows..

Mentira!

não especificamente o HOME edition que é logo o mais fraquinho e mesmo assim pode-se usar em segurança.. .

Estou a comparar TODOS os window$. Porque não vais colocar um advanced server no computador residêncial.

E não! Não é possível usar em segurança.

A quantidade de falhas que há por corrigir, a gravidade do impacto da maior parte das falhas que aparecem no window, o tempo que a m$ demora a corrigir e a falta de mecânismos de segurança mostra isso.

já tinha reparado.. mas um pormenor.. como tas a escrever o topico se não usas um sitema operativo??

Porque conheço-o. Não preciso de ser actualmente utilizador do window$ para o conhecer.

Usei durante quase 20 anos software da m$, o window$ é alvo de estudo em todas as escolas, há carradas de documentação sobre sistemas operativos quer em livros, quer na WWW.

nemum joguito? nem o multibanco?? o multibanco é sobre windows... assim como muitos dos serviços que todos usamos...

Não uso software proprietário nos meus computadores. O multi-banco não é meu. De qualquer forma ainda à uns anitos andou um worm na rede do multi-banco que a parou durante uma tarde inteira...

e com os politicas podes configurar tão ao detalhe.. tenho a certeza que é linux TU não vais mais ao detalhe... conheces todas as opções de configuração windows?? senão como podes compara-lo com o linux???

Não é uma questão de politicas nem de configurações. É uma questão de mecânismos. O window$ tem menos, e apenas tem os menos eficiêntes. Porque está provado que até os mecânismos de segurança falham.

pela forma como falas do dotNet fico com a ideia que pensas que dotNet é originaria do Linux...

Mentira!

Eu falo do .net como não sendo uma realidade para a maior parte das pessoas. A maior parte das pessoas não usa uma única aplicação em .net. Por isso invocar isso como segurança no window$ é tentar iludir as pessoas, quando for utilizado pela maioria, sim aumentará a segurança, até lá, não. Enquanto em GNU/Linux a utilização de linguagens de alto-nível e mais seguras é uma coisa comum.

Listas de vulnerabilidades não dizem nada sobre segurança.

O que diz alguma coisa mas mesmo assim ainda precisa de ser interpretado, é a lista de vulnerabilidades por corrigir, o tempo que o fabricante demora a corrigir cada falha, o tempo medio que o frabricante demora a corrigir as falhas, se a falha pode ser explorada remotamente, o que é que a falha permite fazer (escalar privilégios, executar comandos, aceder a dados, etc...). Isto sim dá informação sobre a exposição às vulnerabilidades, sobre a sua gravidade e é nisto que está o perigo real, porque como eu disse falhas todos têm e o GNU/Linux até tem várias graves. Mas ainda é preciso analizar outra coisa nestas listas que está relacionada com o modelo de desenvolvimento e politica de segurança dos fabricantes. Se o modelo de desenvolvimento é aberto e se a politica é de full-disclosure, então é normal que se saiba muito mais sobre a segurança de um produto do que no caso em que o desenvolvimento é fechado e a politica seja esconder a informação, e nesse caso a comparação deve ter em conta que falta informação sobre o segundo caso e por isso não se deve assumir que o segundo é mais seguro caso tenha numeros publicos melhores, pois é apenas parte da história.

O window$ tem evoluido em termos de segurança também é verdade, eu próprio disse isso, também disse que vai evoluir ainda mais na próxima versão. Mas não está ao nível dos outros. E usa-lo como bastion é um disparate.

Então ainda estou à espera que refutes... É que em alguns pontos tentaste sem sucesso, mas não consegues desmentir o facto que o GNU/Linux tem mais e melhores mecânismos de segurança e que por isso o window$, porque o GNU/Linux está mais bem desenhado, porque a comunidade GNU/Linux leva a segurança mais a sério e porque a diversidade aumenta a segurança, não pode ser tão seguro quanto o GNU/Linux, aliás tens que admitir que é assim, porque são factos. Simplesmente não é possível fazer com o window$ muita coisa que se pode fazer em GNU/Linux a nível de segurança e o window$ tem em si poucos mecânismos de segurança.

Tens que ler o meu post inicial com mais calma e vais ver que é absolutamente verdadeiro do ponto de vista factual.

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites
Listas de vulnerabilidades não dizem nada sobre segurança

h3h3h3h3h3h3hh3 mil lamers de ouro... esta vai fazer historia.... um das afirmações mais ignorantes da historia da informatica.. pior que isso só dizer que o sol gira em torno da terra... 3h3h3h3h

o ppl partiu-se todo com esta.. este gajo merece uma estatua à sua ignorancia... é sobre ass vulnerabilidades que se criam os exploits...as vulnerabilidades são as tais falhas de segurança que dizes haver no windows... h33h3h3.... e é com recurso a exploits que se faz as principais coisas em hacking... o exploit permite a execução remota de codigo (nem sempre)... e o que é execução remota de codigo..

temos de começar a filtrar os conteudos.. assim não dá.. é mesmo demais.. ultrapassa os limites da loucura...

depois daquela afirmação escreve isto

O que diz alguma coisa mas mesmo assim ainda precisa de ser interpretado, é a lista de vulnerabilidades por corrigir, o tempo que o fabricante demora a corrigir cada falha, o tempo medio que o frabricante demora a corrigir as falhas, se a falha pode ser explorada remotamente, o que é que a falha permite fazer (escalar privilégios, executar comandos, aceder a dados, etc...). Isto sim dá informação sobre a exposição às vulnerabilidades, sobre a sua gravidade e é nisto que está o perigo real, porque como eu disse falhas todos têm e o GNU/Linux até tem várias graves

este gajo anda mesmo a fazer copy/paste de sites e sem perceber o que está a fazer... ppl...é com cada contradição que o melhor é anular tudo o que o falco diz.. ele diz que o preto não é preto e a seguir diz que o preto é preto.. isto é loucura no minimo

é a lista de vulnerabilidades por corrigir

errado.. o que interessa é as vulnerabilidades num alvo especifico por corrigir.. pode até haver correcções e não terem sido aplicadas ao alvo.. algo muito comum.. e se olhares para as datas da lista que mostrei ves que são vulnerabilidades quentinhas e não corrigidas

http://www.securityfocus.com/vulnerabilities

e é aqui na bugtraq que se acompanha passo a passo o desenvolvimento das vulnerabilidades e mais uma vez repara que todos os produtos são alvo e mais uma vez nem é o windows que mais vulns quentes têm... se trabalhasses com segurança sabias isso obviamente

e é assim menino... sabes o que é um buffer overflow por exemplo??? uma vulnerabilidade é uma vulnerabilidade seja em que SO for... no momento há muito mais formas para entrar num linux do que num windows.. a nivel de exploits claro... este gajo diz que se a vulnerabilidade for em linux não é vulnerabilidade mas se for em windows já é... tirame mesmo do serio.. que cena

O que diz alguma coisa mas mesmo assim ainda precisa de ser interpretado, é a lista de vulnerabilidades por corrigir, o tempo que o fabricante demora a corrigir cada falha, o tempo medio que o frabricante demora a corrigir as falhas, se a falha pode ser explorada remotamente, o que é que a falha permite fazer (escalar privilégios, executar comandos, aceder a dados, etc...). Isto sim dá informação sobre a exposição às vulnerabilidades, sobre a sua gravidade e é nisto que está o perigo real, porque como eu disse falhas todos têm e o GNU/Linux até tem várias graves

uma vulnerabilidade serve para se executar codigo remoto para "abrir" uma porta no alvo.. o resto é treta.. pois de estares "OWNED" é o fim do jogo.. o que é que interessa o fabricante nisso??.. e não faz sentido nenhum estas afirmações... as vulnerabilidades são publicas... pelo menos estas.. .conhecendo a vulnerabilidade sabe-se tudo o que interessa... os crackers não precisam de nada dos fabricantes.. h3h33hh3 lamer

não dá para debater questões técnicas com quem não têm noçoes técnicas minimas e apenas faz copy/paste de outros sites e adpata claro.. dá para ver pela forma como junta as frases.. ele altera ms como não percebe do tema comete GAFES daquelas mesmo h3h3h33h... e não perder muito tempo.. apenas quero que fica a imagem correcta para quem quer aprender segurança...

gostava de aproveitar esta situação para dizer umas palavras.. estão a ver o que dá quando se é preconceitoso, não imparcial, não se estuda e se quer mostrar o que não se é tentando ILUDIR a comunidade com chavões que ouviu aqui e ali, mas sem os perceber?? nota-se claramente que não são apresentadas questões técnias... termos e expressões que alguem foi ouvindo e não percebeu... é o que dá quando se quer fazer figura sem as bases necessárias recorrendo apenas ao que ouviu dos outros... só vejo frase feitas, mitos antigos e completamente ultrapassados...

foi um dos posts mais ridiculos e LAMER que vi em toda a minha vida.. quando se apresenta afirmações do tipo "não é possivel usar o windows em segurança" é obrigatorio que se apresentem os pormenores técnicos por detras dessa afirmação.. de outra forma fica sem sentido algum.. conversa da treta como diz o outro e com razão

é necessário que os useres consigam "FILTAR" certos topicos.. uma forma interessante é procurar artigo técnicos por user e ver a sua credebilidade... num mundo onde qualquer um pode escrever o que quiser é preciso que o user tome os seus cuidados proprios em relação à info que  ingere... posso dizer que os argumentos apresentados pelo falco são autenticos disparates.. são coisas que ele ouviu aqui e ali mas não percebeu.. nota-se isso pela forma como responde ao confronto directo.. nada de argumentos técnicos como podem reparar.. quererá dizer isso alguma coisa?? claro que sim... o algodão não engana

basta falarem com os profissionais de segurança para perceberem o que eu digo (já estão a falar com um  ;))

a realidade mostra algo diferente.. o mundo da informática é muito complexo e as grandes potencialidades de quem se envolve a fundo nisto, faz com que não haja qualquer conceito predefinido... é um mundo dinamico e nenhum produto está livre da grande capacidade intelectual de alguns hackers... seja windows, seja linux.. seja o que for.. é o hacker que faz a diferença... não o SO...

e mais uma vez digo.. antes do XP e do 2003 a microsoft era realmente uma anedota em termos de segurança, isto potque eles apenas queriam cumprir tempos de mercado e apresentar o maximo de funcionalidades sem as amadurecer... mas a microsoft sofreu bastante com isso e agora as coisas são um bocado diferentes...

e para se falar da M$ temos de falar da solução completa e de todos os extras de segurança disponivies... de outra forma não podemos analisar a M4 em termos de segurança... imaginem alguem querer testar um ferrari mas não levar o motor.. h33h3h3 tão a ver??? assim não dá né??

vamos lá então começar do principio do teu post...

Security focus querdibilidade? LOL

mais outro disparate... tás por dentro do mundo da segurança?? bugtraq mailing list diz-te alguma coisa?? fala assim em certos forum e ganhas o prémio maximo do Lamer do ano... eu compreendo que não nascemos ensinados e há um longo caminho a percorrer até se chegar certos niveis...

a securityfocus é uma referencia na comunidade de segurança e mais do que isso... as vulnerabiliades apresentadas não são vulnerabilidades encontradas por staff da securityfocus.. o portal securityfocus é um portal que REUNE infromação de toda a comunidade de segurança... as vulnerabilidades apresentadas são as vulnerabilidades que no momento estão em foco na comunidade independente de segurança..

vejo que não fazes ideia por exemplo do que é a bugtraq mailinglist.. eu explico... é uma LENDA (no bom sentido agora) no mundo dass vulnerabilidades e exploits da segurança informática... é usada para se apresentar instantaneamente o que se vai descobrindo.. é uma forma propria de créditos.. quando alguem descobre algo envia logo para a bugtraq para ganhar o respeito da restante comunidade.. a bugtraq é independente e é a maior fonte sobre questões quentes na segurança... o portal securityfocus mantem as principais mailins lists de segurança independentes ou comunitárias.. como quiserem

neste mundo as coisas acontecem depressa e as mailing lists são canais preveligiados de troca de info na comunidade... é claro que para os black hat as coisas podem ser diferentes.. tipo.. guardam dentro das teams a info mais quente.. mas para os restante é tudo às claras...

nada como ver por voçes..

BugTraq mailinglist

as outrass principais mailinglists de segurança

portantos... quando alguem diz que o portal securityfocus não têm qualidade é porque essa pessoa não está mesmo por dentro do mundo a segurança e torna-se muito ridiculo quando alguem que não percebe de um tema, tenta falar dele...

A m$ não é uma fonte querdível de nada, a não ser de trampa. É claro que eles vão dizer que o window$ é o sistema mais seguro que existe...

isto é o maximo da ignorancia e do preconceito.. isto quer dizer assim "mesmo que a M$ faça algo tecnicamente muito bom não presta porque é M$.. não é a técnica que interessa mas o facto de ser M$".. para o bem da humanidade este tipo de atitudes devem ser repudiadas... é incrivel com a historia nos dá lições incriveis do mau que é a intolerancia e mesmo assim ppl novo com estas atitudes...

como já tinha dito tambem não concordo com a politica comercial e a atitude em geral da M$... mas isso é outra coisa.. há varias emrpesas que não gosto da atitude mas tenho de admitir que fazem bons produtos.. .isto mostra o desconhecimento.. apenas que quer andar na onda mesmo sem perceber o que isso é... a M$ tambem tme coisas boas do ponto de vista técnico.. é claro que com a missão de permitir o uso facil de computadores, por vezes é compromete a robustez... mas há produtos bons na M$.. .a M$ é muito mais a nivel de produtos do que certas pessoas pensam... para muita gente o mundo da informática é apenas o XP e o Linux.. não critico isso, critico sim quando tentam falar da informática no geral...

Estou a comparar TODOS os window$. Porque não vais colocar um advanced server no computador residêncial.

E não! Não é possível usar em segurança.

A quantidade de falhas que há por corrigir, a gravidade do impacto da maior parte das falhas que aparecem no window, o tempo que a m$ demora a corrigir e a falta de mecânismos de segurança mostra isso.

analisem lá estas frases.. que cena.. eu é que faço papel ridiculo ainda em responder.. mas é por respeito a todos os users deste forum e que isso merecem que eu ainda respondo... mas a vontade é...

nota-se claramente que não estudou os links que apresentei em cima.. segurança não é para quem quer mas sim para quem estuda a fundo.. o saber não aparece por milagre.. .é o fruto de muito  trabalho

E não! Não é possível usar em segurança.

depois de ter apresentado os links que apresentei ainda mais ridicula fica esta afirmação.. tens de dizer antes assim.. "Eu, falco, não sei usar o windows em segurança mas claro que se operam windows em abiantes seguros. A maior parte dos desktops são windows e como é obvio há muitas situações em que a segurança é muito importante (bancos, governo, policias, tribunais)... portantos.. senão fosse possivel operar o windows em segurança em nenhum destes sitios vias o windows... tudo depende da configuração como te disse

diz assim.. estou a comparar todos os windows menos o advanced server... h3h3h3h3... que confusão vai em certas cabeças.. primeiro.. a questão não é o advanced server.. o SO de servidor da M$ é o windows 2003 server... este pode vir com varias distros diferentes.. o advanced é uma distro do 2003 com certas caracteristicas especiais.. mas a base é o 2003... e como mostrei não é só no 2003 que há a gestão de politicas e configs avançadas de segurança.. este menino em vez de quere mostrar algo fosse estudar os links que lhe dei tinha aprendido alguma coisa e não dizia estes disparates...

a 1º frase é logo uma grande contradição.. ."falo de todos, mas todos não são todos" h3h3h33h3h... lamer.. tem mesmo de ser.. é preciso manter a tradição na segurança... e como mostrei em cima, todos os sabores do windows XP recorrem a politicas de segurança.. há politicas de dominio e politicas locais..

vou aproveitar para ensinar umas coisas ao falco... pega num XP e vai ao Painel de Controle > ferramentas administrativas > Local Security Policy ou politicas de segurança locais

vais ver uma serie de configurações avançadas a nivel de segurança e aplicado ao ambiente da maquina local, seja qual for o sabor do windows XP ou 2003... é incrivel pessoass que não conhecem nada de segurança opinam sobre segurança...

A quantidade de falhas que há por corrigir, a gravidade do impacto da maior parte das falhas que aparecem no window, o tempo que a m$ demora a corrigir e a falta de mecânismos de segurança mostra isso.

mais uma vez conversa da treta.. ou falas das questões técnias ou escreve para a TV 7 dias... o ppl técnico não papa disso.. e como se pode ver nas listas de vulnerabilidades todos os softwares são alvo de falhas e no momento o windows até é dos que têm menos falhas de segurança activas...

e estou curioso para saber que falhas concretas tas a falar... ou ouviste isso por ai e pimba.. fazes um post sem saber o que dizes... podes apresentar os pormenores técnicos dessas falhas e a forma como as exploras??? vamos ser concretos ok... chega de conversa da treta.. diz-me como entras num XP configurado em segurança e ai até posso mudar a minha opnião sobre os teus conhecimentos (risos).. e diz-me outra coisa.. o facto de haver tambem vulnerabilidades em Linux faz com que o Linux não seja seguro?? começa a falar com o cerebro...ele serve para pensar bem no que se diz

Eu falo do .net como não sendo uma realidade para a maior parte das pessoas. A maior parte das pessoas não usa uma única aplicação em .net. Por isso invocar isso como segurança no window$ é tentar iludir as pessoas, quando for utilizado pela maioria, sim aumentará a segurança, até lá, não. Enquanto em GNU/Linux a utilização de linguagens de alto-nível e mais seguras é uma coisa comum.

o dotNet é para qualquer pessoa.. se tivesses por dentro das coisas sabias que as ultimas aplicações de uso geral a serem desenvolvidas recorrem ao dotNet.. mas obviamente tu não tens capacidade para ver a diferença... e como te disse.. qualquer ferramenta pode ser criada com dotNet

posso te fazer uma pergunta.. já alguma vez criaste um programa informático?? acho dificil com a confusão técnica que tens na cabeça teres criado alguma coisa em Linux.. é assim.. todos sabemos que Linux é mais dificil que o windows.. então se não percebes népia de windows como percebes de Linux que é mais dificil??? tenho duvidas nisso...

Enquanto em GNU/Linux a utilização de linguagens de alto-nível e mais seguras é uma coisa comum

não percebo o que dizes... podes ser concreto nas questões técnicas.. tipo.. diz assim... "a situação A por usar a técnica B é mais segura do que a situação D em windows".. é assim que se faz.. o que tu escreves áté um puto que sabe fazer copy/paste faz... será que acertei??? apenas copias o que ves noutros sitios mesmo sem entender nada.. acho que é isso

portantos.. ou dizes exactamente os pontos técnicos a que te referes e explicas para outros técnicos (e não para lourasa burrar) o porque da tua posição ou tudo o que dizes não server de nada.. a tal conversa da treta.. falam, falam e não dizem nada

http://msdn.microsoft.com/security/

http://msdn.microsoft.com/security/default.aspx?pull=/library/en-us/dnnetsec/html/netframesecover.asp

http://www.microsoft.com/mspress/books/5957.asp  --- lê este livro para aprenderes a programar em segurança..

a mior parte das questões de segurança aplicacional não estão relacionadas com o sistema operativo mass sim com a linguagem e com as técnicas do programador

site sobre segurança em programação sobre windows.. estuda e deixa de dizer asneiras.. e mais uma vez te digo.. o dotNet não é apenas aplicações tipo web.. sabes isso?? sabes que qualquer assembly criado hoje para windows é criado com dotNet?? até pequenas consolas binarias se escrevem com C# que opera sobre dotNet...

e digote mais... muitsa dass questões de segurança na programção estão ligadas à linguagem em si.. portantos podes programar em C++, C#, Java, python e tudo o mais sobre windows...portantos... se as linguagens são seguras... e se o programador programar de forma segura... e conheces o cygwin?  portabilidde de aplicações Linux para windows?? pois de certeza não sabes o que falo

http://www.cygwin.com/

primeiro tens de aprender e só depois podes criar artigo técnicos.. parecete logico não??

Não uso software proprietário nos meus computadores. O multi-banco não é meu. De qualquer forma ainda à uns anitos andou um worm na rede do multi-banco que a parou durante uma tarde inteira...

quem te ouve falar pensa que estas coisas existem apenas no mundo M$... a segurança está relacionada com a informática e não com os SO´s especificos.. até que as maiores preocupações em termos de segurança são as intrusões... os root kits... as bootnets... o acesso indevido a onformação e recursos... estas coisas acontecem tanto em windows como em Linux... basta acompanhar o mundo da segurança para se verificar isso

Porque conheço-o. Não preciso de ser actualmente utilizador do window$ para o conhecer.

Usei durante quase 20 anos software da m$, o window$ é alvo de estudo em todas as escolas, há carradas de documentação sobre sistemas operativos quer em livros, quer na WWW.

então tu admites que não usas o windows e como é que vens para aqui fazer uma artigo sobre segurança em windows?? como é possivel só lendo artigos e sem a experiencia do dia a dia saber de coisas tão complexas como a segurança?? apenas fazes figuras fatelas... e não te percebo bem.. dizes que não usas software proprietario e depois dizes que usas software M$ há mais de 20 anos... e em tanto tempo não aprendeste nada sobre windows???

com 20 anos e ainda fazes estas confusões com a segurança em windows??? h3h3h3h3h3... se calhar no ballet fazias futuro.. agora na informatica não sei mesmo

Não é uma questão de politicas nem de configurações. É uma questão de mecânismos. O window$ tem menos, e apenas tem os menos eficiêntes. Porque está provado que até os mecânismos de segurança falham.

mas quais mecanismos?? se fizeres um artigo ao detalhe técnico sobre segurança em windows ai até posso fazer caso.. agora só falasa em mecanismos e mecanismos e ainda por cima com uma confusão enorme.. então as poilitcas de segurança não são um mecanismo de segurança?? então são o que?? e o que é que é a segurança?? não são as configurações e isso tudo??? o que é o hardening?? e como se faz o hardening??? tas mesmo a ZERO

apresnta lá então esses mecanismos e as suas falhas... como podes passar por cima desses mecanismos e tal... claro que não sabes nada disso mas então porque escreves estes topicos??? sem saberes nada do assunto...

as politicas de segurança são um dos mecanismos de segurança do windows e como tu não apresentasa nenhum em concreto.. mecanismos, mecaninsmos... ya oh meu.. eu tambem perceno muito de engenharia espacial... sei que as naves usam mecanismos.. sou um génio da engenharia espacial h3h3h3h3h3h3 mais um grande Lamer

mas é preciso acabar-se com mitos antigos e que deixaram de ter fundamento... de outra forma como se pode encarar com seriedade a aprendizagem??

um conselho para estas pessoas... em vez de querem mostrar o que não são, porque é que não estudam e depois se apresentam com são... é que quando se fala com uma miuda que não percebe nada é uma coisa... agora, apresentar coisas sem sentido num forum onde há varias pessoas que percebem disso.. torna-se ridiculo e claro.. leva-se com:

UM LAMER DE OURO

claro que dentro do espirito da comunindade... e com os recursos e links que apresentei podem estudar e melhorar os conhecimentos...

teckV

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites
o ppl partiu-se todo com esta.. este gajo merece uma estatua à sua ignorancia... é sobre ass vulnerabilidades que se criam os exploits...as vulnerabilidades são as tais falhas de segurança que dizes haver no windows... h33h3h3.... e é com recurso a exploits que se faz as principais coisas em hacking... o exploit permite a execução remota de codigo (nem sempre)... e o que é execução remota de codigo..

Uma lista de vulnerabilidades não diz nada sobre a segurança. Falhas corrigidas não são ameaça. É preciso ir ao detalhe.

O único que se contradiz aqui és tu. É obvio que o que eu quero dizer é que lista de vulnerabilidades em si não diz nada sobre segurança que é preciso saber interpretar detalhes sobre as vulnerabilidades sobre a sua correcção e outras coisas para que possa obter alguma conclusão. Não é meramente por haver um numero maior ou menor de vulnerabilidades que se pode concluir sobre a segurança ou insegurança de um software.

errado.. o que interessa é as vulnerabilidades num alvo especifico por corrigir.. pode até haver correcções e não terem sido aplicadas ao alvo.. algo muito comum.. e se olhares para as datas da lista que mostrei ves que são vulnerabilidades quentinhas e não corrigidas

Para comparares plataformas não é! Uma coisa é comparares a segurança de uma instalação real de uma plataforma especifica com outra instalação de outra plataforma, outra é comparar a plataforma com outra plataforma. Ou seja, se um tipo não aplica patchs isso não quer dizer que a plataforma ainda está sob ameaça, apenas quer dizer que a instalação dele está.

e é aqui na bugtraq que se acompanha passo a passo o desenvolvimento das vulnerabilidades e mais uma vez repara que todos os produtos são alvo e mais uma vez nem é o windows que mais vulns quentes têm... se trabalhasses com segurança sabias isso obviamente

A security focus é conhecida pelas suas asneiradas em análises das estatisticas que fazem de tempos a tempos. E basta dizer que foi comprada pela Symantec, para mostrar que é enviesada.

e é assim menino... sabes o que é um buffer overflow por exemplo???

Sei pois!

uma vulnerabilidade é uma vulnerabilidade seja em que SO for... no momento há muito mais formas para entrar num linux do que num windows.. a nivel de exploits claro... este gajo diz que se a vulnerabilidade for em linux não é vulnerabilidade mas se for em windows já é... tirame mesmo do serio.. que cena

Estás a mentir mais uma vez. Eu nunca disse isso.

Eu disse que há vulnerabilidades mais graves que outras e que o window$ tem muito mais vulnerabilidades mais graves do que as que existem em GNU/Linux (ataques remotos, escalada de privilégios, e execução arbitrária de código). É um facto!

uma vulnerabilidade serve para se executar codigo remoto para "abrir" uma porta no alvo.. o resto é treta..

Nem todas! Nem todas as vulnerabilidades permitem isso. O que mostra que tu é que não sabes nada de segurança.

.conhecendo a vulnerabilidade sabe-se tudo o que interessa... os crackers não precisam de nada dos fabricantes..

Eu não disse que os crackers precisam o que quer que seja dos fabricantes... Voltas a mentir!

"não é possivel usar o windows em segurança" é obrigatorio que se apresentem os pormenores técnicos por detras dessa afirmação..

E eu apresentei razões técnicas e outras. 19 delas, e basta conhecer a realidade, dos utilizadores de window$ que apesár de usarem software de terceiros para se protegerem e de aplicarem patchs, continuam a ter problemas de segurança.

basta falarem com os profissionais de segurança para perceberem o que eu digo (já estão a falar com um

Então és bastante incompetente!

e mais uma vez digo.. antes do XP

E com o xp continuou a ser! Pelo menos até ao service pack 2, porque a média que um sistema window$ default ligado à Internet tinha até ser infectado era de segundos. Com a inclusão daquela pseudo-firewall a coisa melhorou muito no que diz aos ataques remotos mais simples.

e para se falar da M$ temos de falar da solução completa e de todos os extras de segurança disponivies...

Não! Há sempre vários cenários a comparar. Porque a realidade não é a de as pessoas usarem todos os extras. Até porque os sistemas devem ser robustos por si só e os extras, devem ser mesmo os extras e não o essêncial.

Temos de comparar os sistemas instalados por default, temos de os comparar instalados por default mas afinados, temos de os comparar com várias combinações de medidas de segurança.

Isto porque nem sempre é possível utilizar determinadas medidas de segurança, por várias razões, umas técnicas outras por outro tipo de restrições, incluindo financeiras, tempo, etc... Para além de haver medidas de segurança que só fazem sentido quando o sistema operativo está a ser utilizado em determinados ambientes e/ou para determinadas funções.

Falta-te aí realismo!

mais outro disparate... tás por dentro do mundo da segurança?? bugtraq mailing list diz-te alguma coisa??

Diz muito. Também dizem algumas análises estatisticas desparatadas, e o facto de a security focus ser da symantec, que é uma empresa com interesse económico na coisa, e que já provou mais que uma vez não ser uma empresa bem comportada (inclui rootkits nos seus produtos, lança ataques de FUD, etc...).

a securityfocus é uma referencia na comunidade de segurança e mais do que isso...

Eu sei o que a securityfocus é para muita gente, O que não quer dizer que eu tenha a mesma opinão sobre eles que a maioria. Lá por serem a maioria não quer dizer que tenham razão em tudo. E vê lá tu que até já fui assinante dessa mailing list à vários anos...

neste mundo as coisas acontecem depressa e as mailing lists são canais preveligiados de troca de info na comunidade...

Concordo! Eu até sou assinante de várias mailing lists, para os mais variádos temas técnicos.

isto é o maximo da ignorancia e do preconceito.. isto quer dizer assim "mesmo que a M$ faça algo tecnicamente muito bom não presta porque é M$..

Não é!

A m$ já provou, que mente repetidamente, engana os consumidores, viola as leis. Por isso é normal que eu me proteja deste padrão de acção da m$.

Nunca disse isso a respeito da qualidade tecnica de algo que a m$ ou outra empresa faça. Mas disse e digo o seguinte:

* qualquer software proprietário, não interessa, por muito bom que seja técnicamente (e há muitos que são excelentes do ponto de vista técnico);

* até gosto de algumas coisas criadas pela m$, como por exemplo o SOAP, que a m$ criou e tornou um standard do W3C. Era bom que a m$ fizesse as coisas sempre assim;

* quando a m$ faz alguma coisa que considero positiva, o que infelizmente acontece poucas vezes e gostava que acontecesse mais, eu costumo dizer que é positivo, mas mantenho sempre o meu sentido critico;

á varias emrpesas que não gosto da atitude mas tenho de admitir que fazem bons produtos.. .isto mostra o desconhecimento..

Muito pelo contrário! Mostra inteligência. Se as empresas têm má atitude e criam produtos proprietários não podes confiar naquilo que é práticamente uma caixa preta, porque o que viste do comportamento de quem a criou, é que não é um comportamente aceitável e por isso existe um risco grande associado à utilização de algo que essa entidade criou.

depois de ter apresentado os links que apresentei ainda mais ridicula fica esta afirmação..

Não é!

Estou farto de ver pessoas que tomam grandes medidas de segurança em window$ a ser afectadas e vê lá tu que até são profissionais compententes e experiêntes.

A maior parte dos desktops são windows e como é obvio há muitas situações em que a segurança é muito importante (bancos, governo, policias, tribunais)... portantos.. senão fosse possivel operar o windows em segurança em nenhum destes sitios vias o windows... tudo depende da configuração como te disse

A maior parte dos desktops são window$, mas não é verdade que seja assim em todas as instituições, ou que em determinadas instituições eles tenham acesso à infra-estrutura critica de alguma forma, ou ainda no caso de usarem window$ como desktop que as escolhas feitas de forma correcta.

Por exemplo nos bancos, a tradição não é window$, é OS/2, mais ainda, muitos bancos por todo o mundo estão a migrar para GNU/Linux, quer nos servidores, quer nos desktops.

Tens que saber destinguir que nas empresas com alguma dimensão e organização existem normalmente pelo menos duas redes, a rede corporativa e pelo menos uma rede operacional, é nessa rede operacional que está o que interessa proteger por parte da empresa e nos casos em que aí usam window$ para alguma coisa ele é visto com desdem pela sua falta de qualidade e acontecem de tempos a tempos pequenos incidentes de segurança causados por desktops window$, apesár de por vezes estarem protegidos pelo teu querido active directory, apesár de estarem sempre protegidos por anti-isto-e-mais-aquilo dos mais variados fabricantes, só que são incidentes que normalmente são abafados pelos próprios funcionários (eu já vi alguns casos destes).

No caso da rede multi-banco já houve um incidente de segurança grave causado pela introdução de um worm, felizmente o worm não tentava fazer nada em relação aos dados. Mas foi necessário parar a rede para proceder à limpeza.

Se conhecesses os processos de escolha de software verias que raramente são os motivos certos a provocar a escolha (mesmo em muitos casos em que a escolha é a correcta).

diz assim.. estou a comparar todos os windows menos o advanced server...

Não! Não é verdade!

a 1º frase é logo uma grande contradição.. ."falo de todos, mas todos não são todos"

Mais uma vez voltas a citar-me de uma forma MENTIROSA!

mais uma vez conversa da treta.. ou falas das questões técnias ou escreve para a TV 7 dias... o ppl técnico não papa disso.. e como se pode ver nas listas de vulnerabilidades todos os softwares são alvo de falhas e no momento o windows até é dos que têm menos falhas de segurança activas...

Não, não é conversa da treta, porque são os mecânismos de segurança, o design, e a qualidade da implementação e as configurações por omissão os factores que tornam à partida um sistema mais seguro, ou menos seguro!

Isso das falhas de segurança activas, não é verdade, como eu já disse citando estatisticas que podem ser vistas por todos no site que mencionei. Mais ainda o numero de falhas de segurança activas do window$ não é conhecido, porque a m$ não divulga e o window$ tem um desenvolvimento e um código fechado, e todos sabem que o window$ é o sistema mais exploitado de todos, existem muitas vezes carradas exploits para a mesma falha.

e estou curioso para saber que falhas concretas tas a falar... ou ouviste isso por ai e pimba.. fazes um post sem saber o que dizes...

Tu és burro? Ou simplesmente não leste o post? Eu falo de falta de mecânismos de segurança.

É assim tão dificil de entender que um sistema com mais e melhores mecânismos de segurança é melhor que um sistema com menos e/ou piores mecânismos de segurança?

Não estou a falar de coisas como a instalação do zé manel estár ou não segura. Mas num sistema que tenha mais mecânismos e melhores mecânismos por omissão, por omissão o sistema do zé manel vai ter o sistema mais seguro do que alguém que esteja nas mesmas condições, salvo ter um sistema com menos e/ou piores mecânismos.

E as falhas são as que aparecem aí todos os dias, e que a m$ só publica alguns patchs uma vez por mês (Patch Tuesday), o que me parece (não confirmei) aumentou o numero exploits de dia zero.

o facto de haver tambem vulnerabilidades em Linux faz com que o Linux não seja seguro??

O facto de haver uma vulnerabilidade num sistema, seja ele qual for, não o torna per si inseguro.

Então o que faz um sistema estár inseguro?

O tempo que o patch demora a estár disponível (e instalado no caso de estarmos a falar de instalações particulares e não de plataforma);

A ameaça que essa vulnerabilidade representa em termos de impacto (escalada de privilégios, execução arbitrária de código, roubo de informação, etc...) e de velocidade a que ataca sistemas;

A arquitectura ser ou não pensada para ser robusta de mitigar ou impedir ataques;

Haver ou não no sistema mecânismos que mitiguem ou impeçam o ataque com sucesso, apesár de ainda não haver patch (porque este tipo de mecânismos existe);

Haver ou não configurações que estejam vulneráveis (no caso de falarmos de instalaçoes particulares);

Haver ou não configurações por omissão vulneráveis (no caso de falarmos da plataforma como um todo);

No caso de estarmos já a falar de uma instalação e não das features da plataforma há ainda:

A forma como o deployment foi feito;

A forma como o sistema é mantido;

A forma como o sistema é usado;

Qualquer um destes pontos pode ser o ponto de falha. Mas um sistema que seja bem pensado limita, ou impede nos níveis mais baixos as asneiras que podem ser fetias nos níveis mais altos, o ter ao dispor mais e melhores ferramentas e mecânismos de segurança também faz da plataforma, uma plataforma como um todo mais segura (não que todas as instalações da plataforma estejam mais seguras). E é aí que o GNU/Linux (e não só), é claramente superior ao window$ e por isso mais seguro. Não é invulnerável, nem é o mais seguro sequer, até tem falhas graves, mas isto eu disse logo no primeiro post.

o dotNet é para qualquer pessoa.. se tivesses por dentro das coisas sabias que as ultimas aplicações de uso geral a serem desenvolvidas recorrem ao dotNet.. mas obviamente tu não tens capacidade para ver a diferença... e como te disse.. qualquer ferramenta pode ser criada com dotNet

Mais uma vez distorceste o que eu disse!

Eu não disse que o .net não é para todos. Eu disse que ainda não há muitas aplicações feitas em .net a ser usadas massivamente e que há mesmo poucas aplicações que sejam comuns a usar .net. Alias o .net nem está presente em muitos sistemas window$ (se calhar até na maioria).

posso te fazer uma pergunta.. já alguma vez criaste um programa informático?? acho dificil com a confusão técnica que tens na cabeça teres criado alguma coisa em Linux.. é assim.. todos sabemos que Linux é mais dificil que o windows.. então se não percebes népia de windows como percebes de Linux que é mais dificil??? tenho duvidas nisso...

Já criei várias vezes, até é a minha profissão!

GNU/Linux não é mais dificil que window$. Isso é um mito.

Utilizo computadores desde os 5/6 anos, e GNU/Linux à mais de 6. Tenho trabalhado profissionalmente sempre com GNU/Linux como meu desktop, e lidando na maior parte do tempo sistemas operativos a sério como o GNU/Linux, Solaris, HP-UX e Cisco IOS, para além da m**** do window$. E os meus conhecimentos de informática especialmente na àrea do Software Livre e de redes são o que me tem garantido empregos interessantes.

não percebo o que dizes... podes ser concreto nas questões técnicas.. tipo.. diz assim... "a situação A por usar a técnica B é mais segura do que a situação D em windows".. é assim que se faz..

Não é essa a inteção deste artigo, para isso existem 500 000 artigos na Internet a debater em detalhe esses temas, se eu fosse fazer o mesmo nunca mais acabava. A intenção do artigo é fazer um resumo.

É um facto que as linguagens de alto nível são mais seguras por abstrairem determinados aspectos, como por exemplo a gestão de memória e por muitas vezes terem mecânismos automáticos que combatem determinadas práticas de programação insegura. Mas não é o objectivo do meu artigo explicar o porquê e o como disto.

O propósito deste artigo é dar um conhecimento básico da situação a utilizadores não técnicos e que não querem ter conhecimentos técnicos.

e digote mais... muitsa dass questões de segurança na programção estão ligadas à linguagem em si..

E O QUE É QUE EU DISSE???????????????

e conheces o cygwin?  portabilidde de aplicações Linux para windows?? pois de certeza não sabes o que falo

Conheço pois e bem. Mas se tu o conheceres também vais saber que ele só permite fazer coisas relativamente simples.

estas coisas acontecem tanto em windows como em Linux... basta acompanhar o mundo da segurança para se verificar isso

Claro que sim! Mas eu nunca disse que não! O que eu disse é que o GNU/Linux é mais seguro por design, tem mais mecânismos de segurança, tem instalações por default mais seguras e podes fazer um hardning muito superior. E que por isso ele é mais seguro!

então tu admites que não usas o windows e como é que vens para aqui fazer uma artigo sobre segurança em windows?? como é possivel só lendo artigos e sem a experiencia do dia a dia saber de coisas tão complexas como a segurança??

Eu não disse que é apenas lendo artigos!

Eu tenho uma experiência muito longa de utilização de window$, por não usar agora, não quer dizer que nunca tenha usado. Já usei todas as versões de window$ excepto da edição especifica de bases de dados do 2k e do 2003. Vivo rodeado de utilizadores de window$ com os quais me informo. Bottom line conheço bem o window$ quer de experiência prática quer de estudos que vão muito para além da mera leitura de artigos na web.

fatelas... e não te percebo bem.. dizes que não usas software proprietario e depois dizes que usas software M$ há mais de 20 anos... e em tanto tempo não aprendeste nada sobre windows???

Nem sempre tenho o meu computador à mão, pelo que exporádicamente tenho de usar outro. Não uso de facto software proprietário nos meus computadores, mas uso no dos outros.

com 20 anos e ainda fazes estas confusões com a segurança em windows???

Quem está aqui a fazer confusões és tu!

mas quais mecanismos??

Listei vários. Só não sabes porque não leste o artigo.

então as poilitcas de segurança não são um mecanismo de segurança??

São pois. Nunca disse que não era. Mas de segurança são implementadas no que o código o permitir. E é aí que o window$ tem limitações. Politicas de segurança não criadas pelo sistema, são implementadas pelo sistema.

tas mesmo a ZERO

Tu é que estás!

as politicas de segurança são um dos mecanismos de segurança do windows

Errado!

As politicas de segurança são implementadas pelos mecânismos de segurança do window$ (ACLs, etc...).

como tu não apresentasa nenhum em concreto.. mecanismos, mecaninsmos...

Mentira! Apresentei! Vai ler o artigo de novo.

apresnta lá então esses mecanismos e as suas falhas... como podes passar por cima desses mecanismos e tal...

Vai aprender um pouco por exemplo sobre mecânismos de controlo de acesso e vais ver que as várias formas que eles assumem (ACLs, etc...) têm limitações em que determinadas cirunstâncias podem ser ultrapassadas, por haver por exemplo falhas nas definições de politicas, bugs no código que implementa esses mecânismos, etc... E que por isso o ideal é ter sistemas que implementam controlo de acesso de diversas formas ou seja ter multi-level security usado ACLs, Role Access Control, Mandatory Access Control, etc... E se possível utilizar mecânismos que isolem completamente os utilizadores (ir para além do controlo de acesso) metendo os utilizadores em chroots e jails, correr as aplicações recorrendo a virtualização, etc...

Conseguiste mostrar que és um mentiroso, que não percebe de segurança, não consegue refutar factos e por isso recorre ao ataque pessoal.

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

Para mim que não percebo nada de segurança, uma coisa salta a vista.

O codigo aberto em si é uma falha de segurança, pois permite a quem quiser ver como são feitas as coisas e arranjar uma forma de ultrupassar as defesas.

Logo a unica grande vantagem do proprietário é em principio ser mais dificil de aceder ao codigo e procurar falhas.

Isto não é uma critica ao codigo aberto, pois acho que tem o seu espaço em muitas áreas da informática. Mas acredito que em certas coisas não deve ser aplicado.

Atenção isso é o que penso , posso estar errado.

Quanto ao windows ter mais falhas e coisas assim . Bem é verdade.

Contudo também é verdade que é o sistema mais apetecido para quem procura falhas, apesar de acreditar que existem pessoas a procurar noutras.

Quanto a isto

Então és bastante incompetente!

Acho que neste forum devem se discutir ideias com mais ou menos ardor, mas evitar ser pessoal e mal educado quando não se concordam.

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

Para mim que não percebo nada de segurança, uma coisa salta a vista.

O codigo aberto em si é uma falha de segurança, pois permite a quem quiser ver como são feitas as coisas e arranjar uma forma de ultrupassar as defesas.

Logo a unica grande vantagem do proprietário é em principio ser mais dificil de aceder ao codigo e procurar falhas.

permite que se veja como ultrapassar as defesas, mas também te permite corrigir as falhas de segurança, em vez de ficares à espera que a empresa faça uma actualização do software.

e temos que ver este aspecto também de outro ponto de vista, assim podes detectar falhas olhando apenas para o código (isto é, sem que tenhas tido ainda qualquer problema derivado dessa falha), enquanto que no software de propietário, na maior parte dos casos, só são detectadas quando algumas (ou muitas) pessoas forem afectadas por essa falha.

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

vamos lá fazer o ponto de situação...

foi aqui dito que não é possivel haver segurança no windows e apenas disseram isso porque não conhecem o windows

como vi pessoas que não possuem conhecimentos técnicos a passar uma ideia completamente erra, apresentei os pontos técnicos que mostram que tudo mudou no windows e agora, as varias versões, possuem mecanismos de segurança.... como tudo, é preciso saber para configurar em segurança...

nota-se claramente que estas ideias erradas circulam e são alimentadas SEM NENHUMA BASE TÉCNICA POR TRAS..

apresentei os pontos técnicos sobre segurança em windows e perguntei se alguem podia detalhar os pormenores sobre a suposta falta se segurança em windows..

pelas repostas e pela forma como se confundiu tudo concluo que que apresentou esses pontos não tem conhecimentos técnicos sobre SO´e como tal não é possivel debater... não foi apresentado nada... só ideias ao mai alto nivel e que mostrei estarem erradas...

sobre isto so falo do ponto de vista técnico e como tal ou apresentam os pontos técnicos ou têm de mudar os titulos e conteudos dos topicos, porque assim estão a passar infromação errada...

mas uma vez e tendo em conta que a opnião contraria não APRESENTOU NEHUM PONTO TÉCNICO.. so conversa e mesmo assim sem sentido nenhum.. como se pode analisar um produto técnico sem apresentar os pormenores técnico??

o windows têm muitos mecanismos de segurança. vou criar alguns artigos sobre isso mas agora apenass posso colocar links porque é mesmo muita coisa a nivel de segurança em windows

É POSSIVEL OPERAR O WINDOWS EM SEGURANÇA... utilizo varios SO´s à muitos anos e com o hardining que uso nunca tive probemas e não sei o que é virus ou malware há muitos anos... portantos.. depende do utilizador e não do SO... o que acontece é que os users mais fracos estão todos em windows e isso faz o windows parecer pior...

Security Plocies - podem configurar de tudo... regras de password.. podem cancelar a conta de admin, podem impedir acessos remotos com a conta admin, podem criar regras de software.. dizer que este user só pode usar este programa.. que este progrma não pode ser usado por ninguem.. tipo.. podem impedir certos users de usar a linha de comandos cmd.exe ou o explorer.exe

control panel > ferramentas administrativas > politicas locais de segurança (local security policies)

ACL - access control lists - é possivel criar regras de permissões a um pormenor muito bom... o que se pode fazer, quem pode fazer e sobre o quê se pode fazer... no windows é tudo obectos e os objectos possuem ACL... a ACL contem ACE access control entry... isto está dentro do SO... cada pedido para fazer alguma coisa passa por este mecanismo de permissões

IP Security policies e muitos mais.. .é mesmo preciso muito estudo nisso... cada configuração tras grandes consequencias.. podem até se errare, nas configs deixarem de conseguir usar o pc

portantos... ñão entro em conversas da treta.. quem quiser usar o windows em segurança... basta estudar estes link

e quem quisser debater a este nivel tem de apresentar pontos e não conversa fiada.. não tenho tempo para isso e não faz sentido essas conversas sem nenhum ponto técnico envolvido

e por acaso neste momento é o windows até está muito bem (comparando com outros SO´s) a nivel de falhas graves de segurança.. e todos sabemos que é sobre os serviços que se deve atacar... na maior parte das vezes de outros fabricantes ou componentes  fora SO

Um guia muito bom para segurança em windows XP da National Security Agency.. sim a NSA mesmo

http://www.cs.unibo.it/~montreso/doc/papers/NSA--GuideToSecuringWindowsXP.pdf#search=%22security%20guide%20xp%20microsoft%22

Manual de Segurança do Windows XP se quiserem procurem as versões noutras traduções ou linguas

http://www.microsoft.com/brasil/technet/Seguranca/windowsxp/securityguide.mspx

http://go.microsoft.com/fwlink/?LinkId=15159

http://www.microsoft.com/brasil/security/guidance/prodtech/winxp/secmod64.mspx

http://www.microsoft.com/technet/Security/default.mspx

http://www.theeldergeek.com/services_guide.htm

http://checklists.nist.gov/repository/1007.html

http://mywebpages.comcast.net/SupportCD/SecureXP.html

http://www.windowsecurity.com/articles/Windows_XP_Your_Definitive_Lockdown_Guide.html

http://www.tweakhound.com/xp/security/page_1.htm

http://msdn.microsoft.com/security/

http://msdn.microsoft.com/security/default.aspx?pull=/library/en-us/dnnetsec/html/netframesecover.asp

http://www.microsoft.com/mspress/books/5957.asp  --- lê este livro para aprenderes a programar em segurança..

http://www.microsoft.com/technet/security/prodtech/windowsserver2003/quarantineservices/default.mspx

http://www.securityfocus.com/infocus/1794

http://www.microsoft.com/technet/itsolutions/network/vpn/quarantine.mspx

http://www.itarchitect.com/showArticle.jhtml?articleID=60401143

se com tudo isto não conseguires usar o windows emn segurança... pá.. então é um problema de aprendizaem.. não do windows

teckV

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites
O codigo aberto em si é uma falha de segurança, pois permite a quem quiser ver como são feitas as coisas e arranjar uma forma de ultrupassar as defesas.

Verdade!

Mas também é verdade que não é preciso ter código disponível para encontrar carradas de falhas (vejam o exemplo do window$ e dos outros softwares ao qual não têm acesso ao código fonte). E a verdade é que o facto do código estár disponível faz com que as falhas também sejam mais facilmente e rapidamente detectadas e corrigidas pela comunidade. Ou seja, não dá assim grande vantagem a quem procura falhas para explorar, mas dá uma enorme vantagem a quem as quer corrigir.

Em toda a História da informática houve software com código-fonte disponível, alias inicialmente só existia dessa forma, e nunca um software nessas condições foi mais vulnerável por isso.

Logo a unica grande vantagem do proprietário é em principio ser mais dificil de aceder ao codigo e procurar falhas.

Infelizmente não é verdade! Não é preciso ter acesso ao código fonte para detectar falhas, Há imensas forma de análise e engenharia reversa que permitem descobrir falhas e formas de as explorar, alias é isso que tem acontecido todos os dias.

Contudo também é verdade que é o sistema mais apetecido para quem procura falhas, apesar de acreditar que existem pessoas a procurar noutras.

Quem é que procura falhas?

As pessoas que as querem explorar por maus motivos e as pessoas que as querem corrigir.

No sofware proprietário o numero de pessoas que procura falhas para fazer ataques é sempre muito maior do que a quantidade de pessoas que desenvolve o software, por isso quem ataca está numa vantagem numérica enorme. No mundo do Software Livre/Open Source Software, já não é bem assim, o facto de o código estar disponível faz com que nos projectos mais interessantes haja muita gente a trabalhar sobre o código fonte do software, muito mais do que qualquer empresa sózinha conseguiria ter, isto faz com que quem ataque deixe de ter essa vantagem numérica, ou que pelo menos seja uma vantagem tão grande. Por exemplo há milhares de pessoas a trabalhar sobre o kernel Linux, e de certeza que esses milhares de pessoas são muitos mais do que os developers que a m$ tem para o kernel do window$, apesár dos recursos financeiros desta.

Mais ainda o Software Livre é lider em alguns mercados como no de servidores. A m$ só agora começar a crescer a sério neste mercado. E no entanto não me lembro de um único incidente de segurança nos ultimos 10 anos com aplicações Software Livre como o Apache, ou o MySQL Server, etc... que tenha tido o impacto (quantidade de máquinas afectadas e downtime de redes inteiras) que as que tiveram com o II$, $QL $erver e outros servidores da m$. E mesmo falando nos outros concorrentes à m$ que não são Software Livre, não houve também qualquer incidente desse tipo.

Acho que neste forum devem se discutir ideias com mais ou menos ardor, mas evitar ser pessoal e mal educado quando não se concordam.

Concordo totalmente!

Mas quando começam com ataques pessoais, eu respondo na mesma moeda. Chama-lhe o direito de resposta se quiséres.

Quanto ao resto, volto a dizer que o window$ tem menos mecânismos/features de segurança, tem mecânismos/features menos eficiêntes. E que estou farto de ver pessoas a usar todos os mecânismos de segurança do window$ e ainda a adicionar protecções de outros e ainda assim a serem vitimas de problemas de segurança, problemas esses que não são comuns em GNU/Linux e em outros sistemas porque têm mais e melhores mecânismos de segurança, porque os sitemas foram desenhados para serem seguros, e outras razões que já mencionei.

0

Partilhar esta mensagem


Link para a mensagem
Partilhar noutros sites

Crie uma conta ou ligue-se para comentar

Só membros podem comentar

Criar nova conta

Registe para ter uma conta na nossa comunidade. É fácil!


Registar nova conta

Entra

Já tem conta? Inicie sessão aqui.


Entrar Agora