Newsgroup: it.comp.os.linux.sys
Titolo: maggior sicurezza distro pacchettizzate

Mi scuso per il soggetto idiota, ma di lunedě non mi viene niente di meglio	
E` piů che altro una curiositŕ personale (no flame, please)
Si dice sempre che i sw pacchettizzati a la debian sono meglio seguiti a 
livello di patch e sicurezza, perň mi trovo di fronte a cose strane:
Il 15/9 secunia segnala una buca in thunderbird e firefox, tale segnalazione 
mi arriva DOPO che firefox e thunderbird si sono auto aggiornati alla 
versione patchata
Sempre secunia mi segnala che il 21 č disponibile la stessa patch ma per 
ubuntu... in questo caso direi che la maggior sicurezza č andata a donnine 
allegre.
Oppure (peggio, visto il tipo di sw): sempre secunia segnala il 18/8 un 
problema su php 4/5 (download disponibile dal 17/8), mandriva aggiorna a 
settembre, idem red hat:
Sbaglio qualcosa a fare questi paragoni oppure ho letto giusto?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Ogni donna ha il diritto di essere brutta, ma lei esagera.
Ha le borse sopra gli occhi.
		-- Boris Makaresco

 
Ciao,
immagino che le distro debbano sperimentare bene le patch prima di 
distribuirle.
Se ti interessa, i miei server basati su Trustix si sono aggiornati 
intorno al 25/8 con una build di PHP del 22/8 (versione 5.1.5, quella 
che rettifica la vulnerabilità da te citata del 18/8). Considera che il 
18 era un Venerdì.
Tutto sommato una settimana... ma per una distro gratuita non mi sembra 
male! :-)
Alex.

APB ha scritto:

Non è male ma se chi scrive il PHP ti consiglia un upgrade *immediato* per 
rischi di sicurezza direi che c'è da tenerne conto.
Magari è più un problema del sistemista: tanto c'è l'upgrade della distro 
che mi tutela (e in questo caso direi col piffero)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Il cloroformio ha permesso a qualsiasi incapace di fare il chirurgo.
		-- George Bernard Shaw

 Sbaglio qualcosa a fare questi paragoni oppure ho letto giusto?
Se l'obbiettivo è quello di avere la massima rapidità di deployment
delle patch, allora l'unica soluzione è quella di compilarsi
autonomamente i programmi ed aggiornarli nonappena esce la versione
patchata. Nessuna distribuzione, gratuita o a pagamento che sia, potrà
mai essere più rapida, perlomeno per bachi non noti solo ai vendor.
Il vantaggio di affidarsi ad una distribuzione pacchettizzata consiste
nel non doversi spulciare tutte le ML dei software utilizzati (e sono
TANTI anche se non sembra), e quindi sfruttare il lavoro di un pool di
"esperti" che già lo fa.
Spesso inoltre le informazioni sui bug, prima di essere divulgate,
vengono comunicate agli autori dei software ed ai gruppi che gestiscono
la sicurezza delle varie distribuzioni quindi può capitare che i
pacchetti aggiornati delle distro escano contemporaneamente all'upstream
release e quindi siano disponibili in tempi pressoché identici alla
cpompilazione manuale.
Considera che il 90% dei problemi di sicurezza non sono normalmente
subito sfruttabili o perlomeno sono in genere disponibili workaround che
ne limitano l'applicabilità; è quindi raro che una settimana di
scopertura per una falla rappresenti un rishio concreto per i server.
Il vantaggio nell'utilizzare distribuzioni pacchettizzate è che quella
settimana (che in realtà spesso sono solo uno o due giorni), seppur
superiore all'effettivo tempo di "scopertura" dell'applicazione,
consente di eseguire l'aggiornamento in modo rapido e completamente
indolore, consentendo quindi di gestire anche molte macchine in modo
semplice ed omogeneo.
Se dovessi manualmente ricompilarti da sorgenti per ogni vulnerabilità
il software di decine di macchine i costi sarebbero elevatissimi e
probabilmente resteresti scoperto più a lungo che non utilizzando il
pacchetto originale della tua distro.
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 distro che mi tutela (e in questo caso direi col piffero)
Concordo con il discorso di "Zipman".
Se devi assolutamente rimanere protetto fino all'ultimo, allora ti devi 
preoccupare tu stesso di leggere i bollettini di sicurezza rilasciati 
dai produttori e dagli advisor e quindi la tua critica trova fondamento.
Certo però che qui siamo quasi a livelli di paranoia visto che la 
vulnerabilità è solitamente segnalata ma non sfruttata. A parte 
chiaramente questa nuova moda degli zero-day exploit. In questi casi 
credo che basti una lettura quotidiana di /. per restarne al corrente :-)
IMHO, ovviamente.
Alex.

THe_ZiPMaN ha scritto:

Questo mi può tornare a livello server (io da buon slackwarista compilo), ma 
in distro desktop oriented il ritardo (esempio banale) nell'uscita di 
firefox può essere problematico..
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Mi sono sempre chiesto: ma chi va in giro a costruire quadrati
sull'ipotenusa?
		-- Walter Waldi

 firefox può essere problematico..
Premesso che la parte più importante resta comunque l'ambito server (un
server compromesso può fungere da testa di ponte per compromettere
migliaia di client), il discorso fatto sopra è analogo anche per il desktop.
Se l'utente non è uno smanettone, l'aggiornamento da sorgenti non è
facilmente applicabile ed è prono ad errori. Alla fine è probabile che
l'utente, compilando, generi più problemi di quanti ne risolva. Peraltro
un utente di questo livello ben difficilmente è uno di quelli che segue
le ML di sicurezza, e quindi sarebbe più probabile trovarlo ancora con
un Phoenix installato al posto di Firefox.
Se l'utente invece è catalogabile tra gli esperti, nel 99% dei casi avrà
installato il suo bel "NoScript" che lo protegge dal 99% dei problemi di
sicurezza e attende la sua settimana come farebbe con tutti gli altri
sistemi operativi. L'ora di tempo necessaria per compilare Firefox non è
gratis, e chi il PC lo usa per lavorare non ha tempo da perdere
inutilmente. Senza contare che con i pacchetti della distribuzione si
mantiene il livello di manutentibilità della propria installazione, cosa
che si perde quando si compila a mano (ed è per questo che distribuzioni
come Debian creano dei pacchetti ausiliari apposta per pacchettizzare
anche le applicazioni proprietarie più diffuse, come 
p.es
. GoogleHearth)


 
Benissimo.. mi chiedo però che senso ha pacchettizzare roba come firefox o 
thunderbird che si autoaggiornano direttamente (a parte qualche versione 
custom per altri so).. Oppure su debian, ubuntu o altro le versioni standard 
non girano ?
(chiedo per cultura, non avendole non lo so!)
Se girano mi sembra un inutile doppione
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Quando Dio stava distribuendo i cervelli, ti deve aver scambiato per un
cactus.
		-- Da "Laverne & Shirley"

 Oppure su debian, ubuntu o altro le versioni standard non girano ?
Per girare girano, tant'è che in passato le avevo installate. Poi ho
visto che mi richiedevano tempi di gestione maggiori e sono tornato ai
pacchetti binari. Pigrizia :-)
