mboost-dp1

unknown

6 fejlagtige antagelser omkring pc sikkerhed

- Via Slashdot - , redigeret af peter_m

Marcus Ranum har skrevet en lille humoristisk artikel omkring, hvad han mener, er de seks absolut dummeste ideer, der findes omkring sikkerhed på computeren.

Han mener blandt andet, at antivirus er noget af det dummeste der findes.





Gå til bund
Gravatar #1 - Disky
17. sep. 2005 08:05
Har vi lige en bug i systemmet ?:

Overskriften ' WNZ: 6 fejlagtige antagelser omkring computer sikker'

Der bliver vist skåret lidt hårdt.



Antivirus 'det dummeste der findes' jeg tror en computerejer der mener dette er endnu dummere.
Gravatar #2 - demiurgos
17. sep. 2005 08:08
#1 (Disky)
Der er begyndelsen til et "h" i slutningen af titlen :)

Artiklen er forresten ganske underholdende skrevet.

#3 (hgul)
Fejl 40 er et omfattende problem ja!
Gravatar #3 - hgul
17. sep. 2005 08:10
Det største problem indenfor computersikkerhed er vist de individer der sidder bag skærmene .. ;-)
Gravatar #4 - Klok
17. sep. 2005 08:23
Som sådan tror jeg ikke han mener anti-virus er noget af det dummeste, han forstår bare ikke hvorfor de ikke laver et pro-program og hans pointe er at der findes 100.000+ programmer derude som vi skal beskytte imod (Anti), hvorimod der findes mellem 30-200 programmer på en almindelig computer som skal havde tilladelse til at gøre ting (Pro).
Gravatar #5 - Torcia
17. sep. 2005 08:30
#2 og #3

Faktisk bliver der i artiklen argumenteret meget fint for at uddannelse af brugerne er en dårlig ide (dårlig ide #5).
Kort formuleret er hans pointe den at hvis uddannelse (indenfor sikkerhed) skal føre til noget, skal man holde sine brugere opdateret hver uge. Han mener at det er sys adm's ansvar at tilegne sig den viden og sætte sit system op så den er overflødig for brugerne.

/Torcia
Gravatar #6 - hgul
17. sep. 2005 08:40
#5 Jeg mener så hovedsageligt private brugere .. Jeg er klart af den opfattelse, at hvis de vidste hvad de lavede, ville diverse sikkerhedsproblemer simpelthen ikke eksistere ..

Mine udtalelser er baseret på 3 måneder som praktikant i en amerikansk computerforretning, samt hvad jeg ellers har oplevet herhjemme igennem de senere år ..
Gravatar #7 - tgr
17. sep. 2005 08:50
Flere nyheder af den slags! Gode, fyldige og redegørende!
Gravatar #8 - The-Lone-Gunman
17. sep. 2005 09:04
Jeg har lige ændret nyheden lidt, bl.a. så overskriften ikke er for lang til feltet :-)
Gravatar #9 - buch
17. sep. 2005 09:07
hvem er det nu lige Marcus Ranum er?
Gravatar #10 - nielsbuus
17. sep. 2005 09:52
#9, det er en Marcus som kommer fra Ranum i Nordjylland.
Gravatar #12 - lean
17. sep. 2005 10:01
Han tager desværre fejl m.h.t antivirus - og skriver selv hvorfor!

Så først siger han at man ikke kan få virus hvis man skriver sit software godt nok, og bagefter skriver han at "Operating systems have security problems because they are complex..."

Det er lige præcis det der er pointen! Linux kernen har _mange_ sikkerhedshuller, især lokale, fordi det er 30 millioner linjer koder, som er umuligt at undersøge til bunds. Ligegyldigt hvor mange abstraktionslag man laver, vil der altid være en virus der kan komme igennem dem. Derfor skal man have antivirus, som kan fjerne en virus som har inficeret ens dokumenter.

Det er også helt forkert at antallet af orme vil stige hurtigere end programmerne. Grunden til dette er at man kan patche alle computere på konstant tid. Alle virus som er frigivet i dette tidsrum, skal der så antivirus til. Alle nyere virus er ligegyldige, da de ikke kan komme ind i systemet.
Så der bliver lavet få vira hver gang et sikkerhedshul bliver udnyttet, men det er ikke sikkert at der bliver lavet særlig mange.
Se for eksempel på Linux. Der er stort set ingen virus, bare fordi at systemet er nogenlunde sikkert, ikke bliver brugt til lokal adgang (abstraktionslag) og der kommer hurtige opdateringer.

Folk der så får få vira, har selvfølgelig et problem da de skal betale regningen for oprydningen - selvom de bare har været uheldige.
Her må man selvføglelig bare bruge forsikringer, hvor man går sammen med andre, og betaler et fast månedligt beløb for at få ordnet sikkerhedshuller / fjernet virus.
Man vælger så det computer system som er det billigste for forsikringsselskaberne - som så også er den med færrest sikkerhedshuller.
Så bliver system udviklerne nødt til at lave så få huller som muligt, eller vil folk ikke vælge systemet.

Hans "penetrate and patch" har nøjagtig samme fejl. Hvis softwaren er kompleks nok, vil der altid være sikkerhedshuller. Det gælder om at lave så få huller som muligt (holde kompleksiteten nede), men der er aldrig nogen garanti for at man ikke har lavet en fejl.

Så den største fejl i artiklen er at han ikke tager hele systemet med. Han siger at man 'bare' skal lave et perfekt system fra starten, og så går det af sig selv...
Gravatar #13 - PRaabjerg
17. sep. 2005 10:01
Rigtig god artikel, faktisk. Den slags burde være obligatorisk viden for firmaer der laver software/styresystemer og folk der implementerer netværk :)
Kan selvfølgelig være at spyware og antivirus producenterne ville blive utilfredse med at tabe deres enorme marked. Men "where you win some you lose some..." ;)
Gravatar #14 - lollypork
17. sep. 2005 10:47
#12
"Så den største fejl i artiklen er at han ikke tager hele systemet med. Han siger at man 'bare' skal lave et perfekt system fra starten, og så går det af sig selv... "

Jeg vil nu ikke give dig helt ret, for han siger at man skal designe systemerne fra bunden af på en anden måde, i stedet for den "Default Allow" der kører på stort set alle systemer lige nu. Der er ingen der forlanger af nogen at man kan programmere et perfekt system, og jeg tror da også det er umuligt, men hvis man griber tingene anderledes an, som han foreslår i artiklen, er der en masse ting der i virkeligheden kan undgås.

#6
Meningen er jo netop, som #5 pointerede, at det IKKE skal være en nødvendighed for brugere at vide hvad de laver, fordi det er udviklernes/programmørernes/whatevernes ansvar at designe systemerne så de virker UDEN de skal fatte noget som helst af det. Det er klart du udtaler det der når du har været praktikant osv., de nuværende systemer er jo netop baseret på at brugerne bliver nødt til at vide hvad de laver for at kunne opretholde et virkende system. Ikke at jeg mener at brugere ikke skal vide hvad de laver.. ;) Det er jo altid godt. Men det skal bare ikke være en nødvendighed.

Virkelig en god artikel! Og manden har jo ret.. Den tror jeg jeg vil printe ud, gemme, læse og give væk til andre i løbet af tiden.
Gravatar #15 - CableCat
17. sep. 2005 11:22
Et stort problem for mange Windows brugere er at de uhemmet exekvere programmer downloadet fra Internettet med admin retigheder. Også klager de bagefter over at deres PC er langsom og fyldt med spyware.

Men det er ikke brugerne skyld, det er Microsoft der lægger op til at man køre som admin, og at man bare installer ting fra Internettet. På Unix køre brugerne aldrig som admin, og installation af software foregå oftet ved hjælp at et pakke system.

Antivirus og antispyware er syntom behandling, og ikke en løsining. Ligesom man ikke løser dårlig hygiejne ved at tage pencilin. Men som det er lige nu er man nødtil at bruge dem på Windows.

Personlig køre jeg som admin og uden firewall på mine Windows PC'er, fordi så virker skitet. Jeg har forsøgt at lavær.
Gravatar #16 - lorric
17. sep. 2005 11:36
#10 mht din signatur. En standart er et flag eller fane. Så jo, ordet findes på dansk.
Gravatar #17 - lollypork
17. sep. 2005 12:19
#15
"Antivirus og antispyware er syntom behandling, og ikke en løsining. Ligesom man ikke løser dårlig hygiejne ved at tage pencilin. Men som det er lige nu er man nødtil at bruge dem på Windows."

Fed sammenligning. :D
Gravatar #18 - dividebyzero
17. sep. 2005 13:46
#12

Det er lige præcis det der er pointen! Linux kernen har _mange_ sikkerhedshuller, især lokale, fordi det er 30 millioner linjer koder, som er umuligt at undersøge til bunds. Ligegyldigt hvor mange abstraktionslag man laver, vil der altid være en virus der kan komme igennem dem. Derfor skal man have antivirus, som kan fjerne en virus som har inficeret ens dokumenter.


Og det samme gælder vel også for anti-virus-programmerne? Folk installerer anti-virus fordi de har hørt, at det skal man have for at være sikker. Typisk ved de bare ikke i hvilke situationer anti-virus beskytter og hvornår det ikke gør. I stedet er det blevet til en sovepude, så de gladeligt klikker på alt hvad der klikkes på kan. Uddannede brugere er en nødvendighed.

#15
Men det er ikke brugerne skyld, det er Microsoft der lægger op til at man køre som admin, og at man bare installer ting fra Internettet. På Unix køre brugerne aldrig som admin, og installation af software foregå oftet ved hjælp at et pakke system.


Jeg vil ikke sige, at det er Microsofts skyld. Er det også Linux skyld hvis en bruger logger ind som root til dagligt? Jeg vil dog medgive, at Microsoft kunne gøre mere for at få folk til at køre son non-admin og ellers gøre en default-installation af Windows mere sikker (og det skulle vist også ske med Vista) men skyld vil jeg ikke give dem.

Antivirus og antispyware er syntom behandling, og ikke en løsining. Ligesom man ikke løser dårlig hygiejne ved at tage pencilin. Men som det er lige nu er man nødtil at bruge dem på Windows.


Vås. Jeg har hverken firewall, anti-virus eller -spyware. Og min maskine er i topform på 4. måned siden den blev installeret.
Gravatar #19 - faddikiller
17. sep. 2005 14:24
Jeg synes i ser forkert på artiklen, han henvender sig ikke til den alm. bruger, men til sikkerhedfolk i firmaer.

Det er deres job at sørge for at der ikke slipper virus og andet snavs ind. Dette kan gøres ved at lukke for brugerne så de ikke kan lave ballade på systemet, og jeg mener heller ikke at anti-virus kan bruges til noget, da din maskine aldrig skal være "first line of defense", men det skal din firewall og den skal selvfølgelige være "Default deny".

Jeg synes helt klart artiklen er værd at læse.
Gravatar #20 - DUdsen
17. sep. 2005 14:45
#19 en maskine vil skulle have noget forsvar, og han skriver da også at en firewall ikke kan erstatte andre metoder.
Noget bliver en firewall altså nødt til at slippe igennem.

Problemet med antivirus er at det aldrig kommer på forkant med noget som helst ved at det "kun" lister gamle usikkerheder og er fuldstendigt forsvarsløs over for "nye" trusler mens en deny by default, løsning ikke er ligeså reaktionær i sin natur, eller den er vel nætop så reaktionær at nye trusler bliver kategoriseret som ukendt og ukendt bliver forbudt.
Gravatar #21 - futski
17. sep. 2005 15:16
Og siden hvornår er blog-materiale blevet aktuelt på Newz ?

edit : ultra-hurtig rettelse af mig selv her. Der står "WNZ" foran. :-) Sorry.
Gravatar #22 - Octafed
17. sep. 2005 23:27
Jeg vil sige manden tager fejl på nogle punkter.

I afsnittet "Enumerating badness" skriver han jo indirekte at security sites og security lists som buqtraq og lign. ikke burde eksistere, for de enumerater badness.
Han siger at fejl skal eksistere kun for dem der selv kan finde de, og udnytte dem, for så vil der være mindre malware.

Senere i artiklen skriver han at udviklerne skal tænke sig om før de skriver software, og ikke lave "Hardened by trial and error" kode.

Well, de lister han ikke vil have eksisterer, er dem der gør mange af programmørerne bedre til hvad de laver ved at se hvad andre fejler på.
I punkt 6 i artiklen beskriver han det endda en ekstra gang. "Se hvad de andre har gjort... gør det derefter bedre", kort sagt.

Det står for mig som om dokumentet er skrevet langt tid efter dets egentlig relevans.
Gravatar #23 - TullejR
18. sep. 2005 08:30
#18:

microsoft lader folk være admin som default, alle linux-distroer jeg har set har forlangt at oprette en normal bruger hvor der tydeligt står det er til dagligdags brug ;) (okay, pånær gentoo, men der er så heller ikke nogen installer...)
Gravatar #24 - lean
18. sep. 2005 09:31
#20
Det løser jo overhovedet ikke problemet at have deny by default - hvis der er fejl i denne. Ligesom der er firewalls der har huller - dvs at man ville være mere sikker hvis man kørte uden firewall. Selv cisco routere har sikkerhedshuller! Man bliver nødt til at have antivirus installeret, opdateret og kørende før man kan klare denne type problemer.

Og som jeg skrev før, så behøver man jo ikke at liste alle viruser der bliver lavet - men kun dem som bliver spredt imens der er et upatchet sikkerhedshul.
Gravatar #25 - lean
18. sep. 2005 09:40
#23
Men det er jo fuldstændigt ligegyldigt om en virus får adgang til hele maskinen eller kun brugerens data. Det er jo dokumenterne der er det vigtige!
En Linux dist med mange programmer fylder omkring 2GB, det tager 4 minutter at installere en hel maskine over netværk. Hvis man bruger hash algoritmer og sørger for at checke at filerne er intakte før man bruger dem, kan det gøres meget hurtigere (medmindre virusen virkelig har været grov).

Så lige så snart man finder ud af at maskinen har fået en root virus, så rebooter man den, og den bliver automatisk installeret igen ved boot.

Dokumenterne er en hel anden sag, dem bliver man nødt til at rense for virus - eller gå tilbage til en tidligere version af dem (hvilket er utrolig meget dyrere end de få minutters ekstra opstartstid).

Husk på at det ikke er programmer der er problemer i forhold til virus, men dokumenter.
F.eks. er der lige fundet et sikkerhedshul i OpenOffice.org. Så hvis man åbner et OpenOffice.org dokument kan der være virus i den. Så alle du får de dokumenter fra kan der være virus i. Den kan så sprede sig til alle andre OO.org dokumenter du har, og når du sender en videre får modtageren også virus.
Virusen har så indbygget en timer, hvor den gradvist over tiden ødelægger dine dokumenter. Efter en måned bliver sikkerhedshullet opdaget og rettet. Hvad vil du så gøre? Gå tilbage til en måned gammel backup? Eller bruge dokumenter der er i stykker?
Jeg ville personligt installere en antivirus som kan gendanne dokumenterne. Men det er jo så fjollet at være reaktiv...
Gravatar #26 - nwnissen
18. sep. 2005 16:31
#25 De fleste programmører er trial'n'error programmører som ikke designer en løsning, men bare prøver sig frem indtil det lykkedes (se nu virker det! ... tror jeg nok). Du hører sikkert til i denne kategori. Marcus Ranums appel til at programmører lærer at designe sikkerhed ind i deres produkter er vel ikke for meget forlangt? Dit eneste modargument er "se alle de dårlige programmer der er .. . det bliver aldrig bedre" men som Marcus Ranum siger så ville folk ikke finde sig den slags hvis deres liv afhang af det (f.eks. flymaskiner m.v.). Anyway nu er Marcus Ranums track record lidt bedre end din så det er nok ikke så svært at vælge hvem man skal lytte til ;)
Gravatar #27 - hullo
18. sep. 2005 18:56
Det passer ikke helt at Windows som default lader brugeren være admin. Hvis i prøver at installere XP og rent faktisk læser hvad der står under installationen så rådes man til at oprette en user account (på user level - ikke admin) som man bruger til hverdag og kun logge ind som admin for at administrere.
Gravatar #28 - hullo
18. sep. 2005 19:01
#25 og jer andre AV fanatikere

Prøv at læse artiklen som en ide til hvordan systemer kunne laves bedre fra bunden og ikke som endnu et hotfix til hvordan du beskytter data lige nu og her.
Gravatar #29 - InsaneBoy
18. sep. 2005 19:04
Er det kun mig der synes at hans ide om at tracke de "gode" programmer, og lade alt andet blive blocket, lyder rigtig meget som TCPA?
Gravatar #30 - knasknaz
18. sep. 2005 20:12
Antivirus er symptombehandling og ikke en rigtig løsning på problemet, efter min mening.

Hans pointe med Default Deny er iøvrigt så evigt rigtig. Og den kan overføres til mange andre ting end fx. bare firewalls.
Gravatar #31 - DUdsen
19. sep. 2005 14:18
#29 det er precist det der var ideen med TCPA, og det er også først et problem når man kobler DRM ind over og betlutter af IFPI's MS sponsoreret organ og ikke brugeren selv udarbejder listen over good software.
Gravatar #32 - rabonzo
19. sep. 2005 23:21
Til alle jer der ikke mener at AV er en god ting at have i baghånden...

Hvis jeg får en dundrende hovedpine og jeg har travlt, så ville jeg da sætte pris på at have nogle panodiller i skabet... Jeg vil ikke først gå ud og købe nogen når skaden er fremme, og selvom jeg så ikke skulle få hovedpine imens jeg har beholderen med piller hjemme, så er jeg da på den sikre side at hvis jeg får hovedpine, så kan problemet trods alt løses hurtigere end uden.

Jeg har pt. ikke noget antivirus på min computer, min windows firewall er pr. default slået fra (af mig :P) og jeg bruger MSN og IE... For at være ærlig så følte jeg mig mere sikker da jeg havde en AV på computeren end nu, og det tæller altså alligevel for mig om jeg kan starte computeren op idag, eller om jeg skal geninstallere lortet en gang til...

Men, hver person sin smag
Gravatar #33 - Klok
21. sep. 2005 15:10
#32: Diskutionen går jo ikke på om det er en god ide at beskytte sig mod virus eller ej. Den går bare på hvordan.

I bloggen foreslåes det at man godkender de programmer der skal havde lov til at køre på en PC, frem for som det er med alm. antivirus, at man beskytter sig imod alle de andre.

Dvs. godkend 100 programmer, eller beskyt dig mod 100.000+
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login