Newsgroup: it.comp.sicurezza.varie
Titolo: Super falla di Apache (was: Microsoft, .NET, Linux, la GPL, ecc ecc)

 (modificando i sorgenti quindi) parziale ed incompleta
Dal che è evidente: 
- che chiunque si può avvantaggiare del meccanismo open source, in
closed source non avrebbero potuto farlo. 
- che in ISS hanno provato a "giocare alla GPL" e non ne sono stati
capaci :-)
Ci sarebbe poi da ragionare sui beceri motivi di tutto questo:
|Chris Rouland, a capo del team ricerca e sviluppo di ISS, sostiene poi 
|che molti membri dell'Apache Foundation lavorano per società concorrenti 
|alla sua e non possono dunque essere considerati dei validi referenti. 
|Uno di questi è proprio Cox, sviluppatore di spicco di Red Hat.
|"Potrebbe non essere nell'interesse dei miei clienti far sapere a Red Hat 
|che qui c'è una vulnerabilità di sicurezza", ha detto Rouland. 
Xpost e fup.
-- 
Luca - e-mail: p.stevens at 
libero.it

capaci :-)
Già.
Domanda: se ho capito bene alla Apache Foundation sapevano del bug, ma
l'informazione non è stata divulgata. Ho capito bene? se sì, che mi dici
del loro comportamento?
Ciao
-angelo-
www.geminisoft.com

 ha scritto nel messaggio
news:aepm2t$8pq8l$1...@ID-50463.news.dfncis.de...

Io non so com'è andata, ma so solo che i rari bug di Apache vengono fixati
in poco tempo, ed è stupido annunciare il bug prima della correzione.
Invece i (frequentissimi) bug di IIS restano lì per tempo immemorabile
finchè qualcuno (estraneo alla M$) li fa saltare fuori.
Allora abbozzano una patch in fretta e furia (e anche se fa + che correzioni
fa niente, vedi il commerce server e i file lunghi...) e non si preoccupano
più di tanto, visto che ci sono tanti "mitigating factors"...
Hai notato che molte patch sono sconsigliate dalla stessa M$? E' da ridere
leggere la kb: ci sono un miliardo di minipatch che però loro sconsigliano
di utilizzare se proprio non ne puoi fare a meno perchè non sannno che danni
potrebbe fare: ti sembra serietà?
La serietà è la differenza.
Ciao. Radel
--
PS. Per risposte in email togliere le due ".remove" dall'indirizzo
      To reply remove both ".remove" in the address.

 del loro comportamento?
Immagino la domanda sia:
che vantaggio poteva esserci nel divulgare la cosa,
rispetto a tenerla per se?
Potrei pensare alle seguenti risposte:
1) non si divulga, per non fare una figura barbina
2) non si divulga, se non quando il patch e` disponibile
3) si divulga e si spera qualcuno provveda un patch
4) dato che non vi e` stato nessun caso riportato di
attacco usando questo bug, non vale la pena divulgare la
cosa (prima che il patch sia disponibile, simile a 2).
5) si divulga e si spera nessuno ci provi (almeno finche`
il patch non e` disponibile).
Da valutare...
bye,
-- 
  Piergiorgio Sartor

La serietà è la differenza.
Una volta si ricercava l'uguaglianza... oggi la differenza... :-)) E' solo
una battuta dialettica senza retroscena - giuro, non occore che mi
risponda, ok?
Ciao
-angelo-
www.geminisoft.com

del loro comportamento?
Che dipende tutto dai tempi implicati.
Generalmente:
	100 i bugs vengono segnalati *documentatamente* al produttore
	110 si aspetta una sua risposta 
	120 Sono passati piu' di 7/10 giorni? GOTO 300
	130 E' arrivata una risposta? GOTO 150
	140 GOTO 110
	150 La risposta conferma il bug? GOTO 200
	160 Effettuare nuovi controlli
	170 I controlli non trovano piu' il bug? HALT
	180 Siamo gia' al terzo giro di controlli? GOTO 300
	190 GOTO 100
	200 Viene data una timeline per la patch? GOTO 220
	210 Timeline = 15 giorni
	220 Attendere
	230 Non e' scaduta la timeline? GOTO 220
	240 C'e' la patch? GOTO 160
	250 Pubblicare tutti i dettagli
	260 HALT
	300 Pubblicare un "advisory" con pochi dettagli tanto per
	    mettere il pepe al culo
	310 GOTO 210
In questo caso mi sembra che Apache abbia rispettato le timelines. SSI ha,
al contrario, saltato un po' di passi (diciassette-diciotto linee su 19).
Tuttavia, quando l'Apache Team manterra' il silenzio su un bug noto per un
totale di tre mesi, negandone l'esistenza e rilasciando poi una patch poco
stabile, saro' d'accordo che non si sara' comportato meglio di Microsoft.
Leonardo obiettivo
-- 
Says I, "My young lassie, I canna' weel tell ye,
The road and the distance I canna' weel gie,
But if you'll permit me tae gang a wee bittie,
I'll show you the road an' the miles tae Dundee".

 Generalmente:
[...]
Scusa, potresti riscriverlo in maniera "strutturata",
che non capisco :-)
bye,
-- 
  Piergiorgio Sartor

stabile, saro' d'accordo che non si sara' comportato meglio di Microsoft.
Benissimo... La tua scaletta dei tempi mi sembra sensata, anche se i tempi
che dai sono soggettivi, magari vanno bene per te e per me, ma non per
tutti. Anche i 3 mesi di cui sopra possono essere tanti o pochi.
L'importante č l'idea, poi il resto va da sč.
Ciao e grazie,
-angelo-
www.geminisoft.com

 del loro comportamento?
La prassi e' questa:
- trovi il bug
- avverti il produttore (e non l'FBI)
- emetti l'advisory con descrizione del bug e soluzioni.
Chiaramente quelli di ISS hanno saltato il 2 passo, ed in piu' hanno
analizzato male il problema. Il perche' non mi interessa sinceramente.
Quelli si Apache stavano lavorando alla patch. Se quelli di ISS avessero
chiesto, magari si sarebbero risparmiati la magra figura.
Quanto al comportamento della Apache Foundation, forse in questo caso
sono stati un po' polli, ma non trarrei conclusioni da questo.
bye
Gianluca
-- 
We are the opensource. Existence as you know it is over. We will add
your proprietary features and technological distinctiveness to own
opensource project. Resistence is futile. Windows is closed.

 del loro comportamento?
Cosa c'entra il non divulgare un known bug a cui si sta gia' lavorando con 
il non volere che si dica in giro che esista il bug, dopo che qualcuno ti 
aveva gia' avvisato privatamente in precedenza?
-- 
il Vide - ICQ# 5301833
IAMM - it.arti.musica.metal 
IAMMol webzine: 
http://www.iammol.com

aveva gia' avvisato privatamente in precedenza?
Secondo me si sono comportati correttamente. Però come ho già detto in
altri messaggi, alcuni criticavano lo stesso comportamento riferendosi a
Microsoft. Ecco il perchè della mia domanda.
Ciao
-angelo-
www.geminisoft.com

 Microsoft. Ecco il perchè della mia domanda.
Uhm, forse pero` vi e` una piccola differenza,
cioe` dato che i prodotti Microsoft si pagano,
uno si aspetterebbe un "supporto" di un certo
livello. Credo sia per questo che ci si lamenta,
non per altro.
bye,
-- 
  Piergiorgio Sartor

non per altro.
Raccolgo la tua critica e la condivido nell'idea principale... però non
credo sia per questo che si lamenti. Stiamo confrontando due "filosofie" o
modelli di business in modo relativamente svincolato dal costo, visto che
nulla esclude che anche il software open sia a pagamento. La questione era
sulla disponibilità pubblica dei sorgenti, principalmente.
Ciao
-angelo-
www.geminisoft.com

 non per altro.
No, la differenza sta fra closed e open source.
Non dico che con l'OS i bachi non esistano..ma se nessuno in 5 anni coi 
sorgenti a disposizione l'ha mai segnalato o corretto, quante possibilita' 
reali ci sono che qualcuno lo abbia usato per attacchi?
Mentre se un bug lo scopro su un software chiuso, poche balle, vuol dire 
che era un bug macroscopico  ma e' piu' difficile da correggere per una 
persona benintenzionata che l'ha trovato.
Se io sono bravissimo e trovo un baco in un prodotto M$ e glielo segnalo..o 
loro prendono atto della segnalazione e coi loro tempi (magari lunghissimi) 
lo correggono, oppure mi assumono, mi danno i sorgenti e mi dicono "tie', 
correggilo, ma ora non potrai piu' fare cose del genere".
Con software opensource..beh e' ovvio cosa succede. Posso correggerlo da 
solo, oppure aiutare a correggerlo in cooperazione con gli autori. 
E magari il lavoro me lo trovo lo stesso a partire da quell'episodio.
(spero di non essere stato troppo confusionario nell'esposizione)


 sulla disponibilità pubblica dei sorgenti, principalmente.
Si parlava di patch in tempo oppure no,
di patch pubblici o nascosti.
Un patch puo` essere sorgente o binario,
quindi, in sostanza, con il discorso di
Apache non c'entra.
bye,
-- 
  Piergiorgio Sartor

 signori di ISS...<g>
... pare che dalla prossima grossa release si possano importare le rules di
snort come se fossero le policy di controllo...
--
 ==> Atlantis <==
 Icq # 18752702
http://thenomad.homeip.net

Apache non c'entra.
Controlla meglio nel subject. Comunque le posizioni sono chiare.
Ciao
-angelo-
www.geminisoft.com

 E magari il lavoro me lo trovo lo stesso a partire da quell'episodio.
Sempre molto piu` ottimisticamente.
Nessuno dubita che il SW OS consenta patch piu`
facili, ma ad un provider web serve la soluzione,
non serve sapere che *potrebbe* averla in una
condizione o nell'altra.
Infatti il SW OS non garantisce niente di nulla,
neanche supporto, d'altronde non si paga, per cui
il compromesso potrebbe essere accettabile (alla
fine il patch lo paghi comunque, se vuoi averlo
nei tuoi tempi).
Il SW CS si paga, ci si aspetta quindi un certo
livello di supporto... Se questo fosse carente ci
si sente in diritto di lamentarsi.
bye,
-- 
  Piergiorgio Sartor

 Raccolgo la tua critica e la condivido nell'idea principale... però non
Dimenticavo, non e` una critica, e` solo
un'osservazione da un punto di vista diverso,
da quello dell'utente che vuole qualcosa, non
si interessa di sorgenti o binari, ma deve
bilanciare tra costi e benefici.
bye,
-- 
  Piergiorgio Sartor

 Controlla meglio nel subject. Comunque le posizioni sono chiare.
Infatti, secondo me vi e` una forzatura
nel discorso.
Apache e` OS, ha avuto un bug con certi
tempi e modalita` di risposta.
Non vedo stretta correlazione tra le due
cose, tra l'altro non mi risulta che
Apache sia sotto GPL... Mi sembra sia
sotto qualche BSD, ma potrei sbagliare.
bye,
-- 
  Piergiorgio Sartor

Microsoft.
No, non lo stesso comportamento: quando si segnala un bug a Microsoft, e
della segnalazione non si sa piu' niente, QUELLO e' un comportamento che
va stigmatizzato.
Su NTBUGTRAQ c'è stato un (lungo) periodo in cui gli advisories andavano
piu' o meno cosi': "Avendo segnalato la cosa e non avendo ricevuto manco
mezza risposta nel merito per piu' di due settimane...".
Se uno segnala un bug a MS, questi dicono "Faremo il possibile" e quindi
tirano fuori una patch ragionevole in tempi ragionevoli, come - per dire
la verita' - hanno preso a fare, nessuno dovrebbe criticare MS.
E se uno piglia e annuncia un bug MS senza averli interpellati, e', pure
questo, un comportamento da stigmatizzare... E *pericoloso*, non solo un
po' stronzolo.
Nel caso di ISS, che mi pare fossero "pro obscurity", buttare l'asso con
questi modi e' doppiamente disdicevole.
Leonardo


 ognuno	comunque resterebbe sulle sue posizioni.
Fup senza icol.software.


 Benissimo... La tua scaletta dei tempi mi sembra sensata, 
Leonardo ha inventato questo meccanismo? Proprio qui e adesso? Ma no?
Quell'uomo non finisce mai di stupirmi :-)
(Fup senza icol.software)


del loro comportamento?
dico che o puoi _dimostrare_ questa affermazione (pi non e` una
dimostrazione...) oppure stai facendo banalmente della disinformazione
di comodo.
-- 
Maurizio - Tannoiser - Lemmo
STIGE Srl Servizi Informatici
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

 nei tuoi tempi).
Questo magari per ickle, o dvd::rip, ma MySQL o Apache, se paghi il 
supporto te lo danno alla grande drei..


 wrote:

Il problema e' che la Microsoft vorrebbe che i buchi non fossero mai
divulgati. Ecco dov'e' il problema. 
La Apache Foundation avra' fatto una cappellata questa volta, ma la sua
contestazione era sul _come_ e' stato divulgato e non per il fatto che
sia stato divulgato. 
Che poi se ci pensi e' abbastanza logico: tu quando hai un difetto ad un
prodotto, cosa fai ? Avverti prima la polizia o il produttore ?


prodotto, cosa fai ? Avverti prima la polizia o il produttore ?
Come vedi (da sopra) la pensiamo allo stesso modo.
Ciao
-angelo-
www.geminisoft.com

 Come vedi (da sopra) la pensiamo allo stesso modo.
Non-è-ve-ro.
(F-up senza icol.software)


 supporto te lo danno alla grande drei..
Ovviamente, vale anche per Redhat, per esempio.
Altrettanto ovviamente questo causa un differente
trattamento tra cliente pagante e cliente dowloadante...
Pero` al cliente pagante poco interessa se il SW
e` OS oppure no. Come ho gia` scritto chi paga
vuole avere qualcosa di utile, non una "filosofia",
di solito...
bye,
-- 
  Piergiorgio Sartor

 In piu', si paga.
Appunto, ma anche in questo caso, come nel
caso AF, dipende dal cliente.
bye,
-- 
  Piergiorgio Sartor

 | Dal 96 ad oggi IIS oltre 60.
Pensa che noia!
Ma vuoi mettere patchare una volta al mese, anzichč una volta l'anno?
I MS-Bulletin ormai hanno la frequenza di una mailing list promozionale ;-)
e ti tiene attaccato affettivamente a micro$oft, guardate il lato positivo
=:-)
Ciao
--
Se cecate vostra madre o il cane 
www.google.com
Ho il KLEZ! 
www.google.com
Ho un virus! 
www.tuopoliclinico.roma.it/

 Non-è-ve-ro.
Appunto. Ma lasciagli persare che sia vero...


caso AF, dipende dal cliente.
Office localizzato in ebraico per mac non lo ottengono neanche
pagando.
-- 
Quando di notte soffro d'insonnia prendo dei lassativi. Non 
dormo lo stesso, ma almeno ho qualcosa da fare.   ( Leonardo 
Manera )

 pagando.
Veramente mi risulta che esista...
Oppure mancava un :-) ?
bye,
-- 
  Piergiorgio Sartor

 positivo
Che' loro ci tengono alla customer care. :-)
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
cERCCHI VIRUSZZZ?    : 
http://viruz4lamers.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 Che' loro ci tengono alla customer care. :-)
Usano il plurale: customers care ... o forse quello e' customer scare.
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net

Oppure mancava un :-) ?
Forse la conosco male, ma e' comparsa una polemica su Punto
Informatico sul fatto che non e' stata localizzata la versione per
Mac, e che anche la proposta di pagare la MS per avere la
localizzazione sia caduta nel vuoto. 
Onestamente non ricordo di quale versione parlavano.


Onestamente non ricordo di quale versione parlavano.
Proprio della versione ebraica. Il distributore israeliano di Apple ha
offerto di finanziare totalmente il lavoro di internazionalizzazione ma
microsoft ha rifiutato.
-- 
ciao, | "You're one of those condescending Unix computer users!"
Marco | "Here's a nickel, kid. Get yourself a better computer"  -- Dilbert
      | (Ri)scoprire fidonet: 
http://bbs.bofh.it

 microsoft ha rifiutato.
Mi pare strano, probabilmente vi e` qualcos'altro
sotto, dato che il team di localizzazione in ebraico
(per Office) lavora, guarda caso, proprio in Israele.
bye,
-- 
  Piergiorgio Sartor

microsoft ha rifiutato.
Potrebbero provare a fare la stessa domanda alla sun (per staroffice)
ed al gruppo di lavoro di openoffice.
Oddio, in quest'ultimo caso possono pure fare da soli, ci sara' pure
un programmatore che sappia fare il suo lavoro.
Ah, gia' poi ne usufruisce chiunque legge e scrive i ebraico. Meglio
(sperare con ) la versione di office localizzata (se mai sara' fatta)


Usano il plurale: customers care ... o forse quello e' customer scare.
No, no, e' "customers care" (sottotitolo in piccolo: "We don't").
Leonardo
-- 
Questo messaggio è NAGWARE. Per disattivare ironia trita, giochi
di parole, volgarita' gratuite ed inviti a rileggersi i messaggi
gia' passati e/o consultare 
http://groups.google.com
, effettuare
un versamento di 25 euro come tariffa di registrazione helpdesk.

 No, no, e' "customers care" (sottotitolo in piccolo: "We don't").
No, No, spesso proprio lo terrorizzano, il cliente.


perché qualcun altro ha messo mano ai sorgenti.
No. L'AF ha protestato per una serie di ragioni che *niente*
avevano a che fare con il mettere mano ai sorgenti, e molto,
invece, con il mettere mano dove non si sa guardare. Tant'e'
che ISS, nel creare la sua "patch", ha introdotto un _altro_
bug sostanzialmente equivalente.
<buone letture>
http://www.atstake.com/research/reports/acrobat/atstake_injustice.pdf
http://www.atstake.com/research/reports/acrobat/atstake_app_unequal.pdf
</buone letture>
Leonardo
-- 
Microsoft Outlook: il primo news reader con supporto messaggistica RAID 1.