Newsgroup: it.comp.os.dibattiti
Titolo: In meno di 24 ore

http://bugzilla.kernel.org/show_bug.cgi?id=9924
Trovati ieri notte potenziali bug nel kernel per eseguire Root Exploits, 
applicabili pure con una certa facilità. Questa stessa sera le mie 
macchine si collegano per l'aggiornamento e... puff, scaricano quello 
che fixa il tutto. Meno di 24 ore per avere un fix che correggesse un 
bug di sicurezza del kernel, in maniera pressoché automatica, su tutte 
le macchine del pianeta con quel sistema operativo (in pratica in 
maniera indipendentemente dalla distro).
Ecco una delle tante cose per cui l'OSS e' *oggettivamente* migliore.
-- 
BArrYZ

 
Anche nell'azienda dove lavoravo prima e idem in quella dove lavoro 
adesso se ci segnalano un problema bloccante l'errore lo si sistema in 
giornata e viene pubblicata la patch sul sito pronta per l'aggiornamento 
e non facciamo software OSS.
Siamo anche noi *oggettivamente* migliori.
saluti
Max

 applicabili pure con una certa facilità. 
per quanto "facili" sono comunque dei local exploits e bisogna 
sottolineare che in altri ambiti dei ben piu' pericolosi remote exploits 
rimangono senza soluzione per "giorni"

 Siamo anche noi *oggettivamente* migliori.
senza fare polemica, credimi, non e' proprio cosi'.
la tua azienda produce sw con un numero di "clienti" paragonabile a 
quelli del kernel di linux?
puo' sembrare una domanda polemica ma non lo e' per questo motivo:
devi infatti chiederti se una azienda con un bacino di utenze ed una 
visibilita' mondiali e' in grado di gestire un processo come lo gestisce 
una comunita' opensource.
perche' dietro quei tempi di reazione ci sono dei processi aziendali o di 
comunita' e per fare dei paragoni accettabili occorre parlare di sw dello 
stesso calibro: per una azienda di 10 persone che fa sw per 100 clienti i 
processi sono inevitabilmente semplici...ovviamente e' solo un esempio 
non mi riferisco alla tua realta' che non conosco.

 non mi riferisco alla tua realta' che non conosco.
Beh, qui cosa vuole dire? Barryz usa (IIRC) Ubuntu. In pratica
tradizionalmente sono *molto* veloci, oggettivamente. Io dovrei essere
ancora iscritto alla mailing list slackware per la sicurezza e non mi
pare sia arrivato nulla. Non so, ma sono anche abbastanza convinto che
altre distribuzioni non abbiano aggiornato.
Allo stesso modo ci sono aziende commerciali *molto* solerti e altre
meno. Un po' come alcuni bachi sul bug-tracker di Ubuntu che sono li da
anni. Che dire: non è nelle loro priorità.
Io credo che il senso del post del Barryz era sulla vecchissima e nota
teoria di Raymond esposta nella cattedrale e il bazaar. Su cui per
inciso sono perfettamente d'accordo: più occhi (qualificati) trovano
molto più di meno. Anche con tante persone (non qualificate) i bachi si
incontrano più spesso, ma nella fattispecie bachi di sicurezza nel
kernel direi molto difficilmente.
Il secondo pezzo del tutto, ovvero sul fixare rapidamente i bachi, beh,
Linux ha una forza lavoro immensa dietro. Non mi stupisce che siano
celeri (e parlo di Linux Kernel, non di Linux Caravan). 
-- 
cc = callcc {|cc| cc.call cc}; cc.call cc

 celeri (e parlo di Linux Kernel, non di Linux Caravan).
ok.

 con altri sistemi questa possibilita' non ce l'hai
Possibilità relativamente teorica in molti casi: a seconda dei contratti
di assistenza/policy aziendali non è detto che ti puoi fare il tuo
pacchetto kernel e usare quello.


IlMax wrote:

tanto di cappello allora, però nelle grosse aziende non è così....
vedi Apple o Microsoft....ok capisco che nel loro caso vale la pena proporre
cerettoni periodici piuttosto che distribuire patch per ogni singolo bug
riscontrato
in fondo il modello dell'OSS è diverso e si basa su aggiustamenti continui
piuttosto che cambiamenti ufficiali scadenzati e pre-programmati

 riscontrato
Si' ma qui si parla di bug mica da ridere.
-- 
     Daniele Giglio       Dona i tuoi cicli di clock alla ricerca!
     dgiglio(a)
iol.it
 
http://boinc.berkeley.edu/
                          --------------------
           - Dottore, mia moglie si sente male in macchina...
           - Metta un'antenna!
           		-- Da it.hobby.umorismo

 Si' ma qui si parla di bug mica da ridere.
macchè gli sviluppatori hanno parlato di una cazzatella, ingigandita ad arte
dal frichettone che l'ha scoperto, altro che bug gravi

BArrYZ wrote:
: 
http://bugzilla.kernel.org/show_bug.cgi?id=9924

Alla faccia dei test di regressione.

 Alla faccia dei test di regressione.
Mi pare che sia noto che i test di regressione di Linux sono come
dire... incompleti. A meno che non abbiano cambiato le cose nel recente
passato.


 piuttosto che cambiamenti ufficiali scadenzati e pre-programmati
Uhm. Non sono d'accordo. In primo luogo perchè questa è questione di
gestione di progetto, piuttosto che essere o meno open source.
Uno sviluppatore di shareware potrebbe fare nuove release 'quando sono
pronte' (eppure è closed source), viceversa progetti open seguono
schedule piuttosto tight (ogni 6 mesi una nuova release, per dire).
Non solo: gli aggiustamenti continui sono più parte del modo di essere
di gentoo che di altre distro. Debian è molto rapida negli
aggiornamenti; altre distribuzioni meno. Insomma, dipende da mille
fattori.


 passato.
direi di no, durante lo sviluppo del 2.6.24 si sono mangiati la gestione
della batteria, poi l'hanno recuperata
infine hanno corretto il bug ma altrove hanno introdotto una regression da
panic nel... sì, lo sapete, dai... nel driver della mia scheda wireless :D
-- 
NoWhereMan (e.v.)
-- 
http://www.nowhereland.it
-- 
http://www.flatpress.org

 Alla faccia dei test di regressione.
Come questi, fatti dagli utenti? :P
http://forums.microsoft.com/TechNet/ShowPost.aspx?siteid=17&PostID=2748299
-- 
Vide

 panic nel... sě, lo sapete, dai... nel driver della mia scheda wireless :D
LOL :)


 panic nel... sì, lo sapete, dai... nel driver della mia scheda wireless :D
Devo dire che hai veramente culo :D
-- 
Sensei <Sensei's e-mail is at Mac-dot-com>
There are 10 types of people in the world:
those who understand binary, and those who don't.

 Devo dire che hai veramente culo :D
vero, eh? :D



Assolutamente d'accordo ! In un kernel rilasciato stabile un'era
geologica fa vengono scoperti Root Exploits (notare il plurale) e
vengono fixati. Poi, solo dio sa come, vengono applicati "in maniera
pressochè automatica" su tutte le macchine del pianeta con quel
sistema operativo (che, per magia, si sono riconnesse ad internet alla
facciazza delle statistiche per cui erano andate dietro a proxy e NAT
e firewall di ogni tipo).
Vado subito giù a chiedere se è successo anche alle nostre RHAS e le
nostre Centos e il loro kernel tweakato da RH, così posso decidere se
è peggio che questa merda si aggiorni da sola (cosa ovviamente non
vera, si fa per ridere) o l'avere *dei* Root Exploits in un sistema
operativo spacciato come 'stabile' e 'sicuro'.
Solo io mi immagino il Barryz con colbacco e baionetta ?
  ngw

 nostre Centos e il loro kernel tweakato da RH,
http://distrowatch.com/weekly.php?issue=20080218#feature
Cutto il resto della trollata.
-- 
Vide

 wrote:

Quindi:
1) In meno di 24 ore un cazzo, per entrambe
2) Manca la parte del patching "automatico" - a partire dalle
modalità: è una cosa tipo "i log di internet" di cui si parlava
pochissimo tempo fa
3) Tutte le macchine del pianeta con quel sistema operativo ? Users of
Sabayon Linux have been left completely to their own devices - the
project provides no security advisories or package updates. And
although Zenwalk Linux does have a security section in the forum,
there is no mention of the vmsplice() vulnerability at all. Many other
distributions provide very few clues on whether or not they have
provided a patch for the vulnerability or even whether they are aware
of it; this includes SimplyMEPIS, VectorLinux, Puppy Linux and others.
Grazie per il link
4) Ste merdate richiedono un reboot ? Tipo quelli di cui vi lamentate
da 20 anni per le varie patch Windows che escono ogni 35 anni ? Deve
essere divertente rebootare macchine in produzione.
Cutta pure, non so se sono più abituato alle merdate di linux o ai
fugoni dei linuxari. Fortuna che anche la retorica da radiogiornale
(qualunquista e modaiola per una moda che non seguono più neppure gli
arrapati da configure;make;make install = sono un hacker) si leva dai
coglioni.
  ngw

 essere divertente rebootare macchine in produzione.
Aggià che MagicBSD (per non parlare di CoOlSX) aggiorna il kernel senza fare
reboot.
PS Vide <> BArrYZ, segnatelo su un post-it, grazie.
PPS Tu hai fatto una domanda (quella citata nella mia risposta), io ti ho
passato il link con la risposta a quella domanda specifica. Il resto del
cinema l'hai montato su tu tutto da solo. La chiamerei quasi "sbroccata".
-- 
Vide