Newsgroup: it.comp.sicurezza.unix
Titolo: Virus per Linux e non solo per Linux ELF iINTEL

mc3...@mclink.it
 wrote:
 >Praticamente, gli Amministratori di Sistema Unix devono passare la vita
 >a tappare buchi. In barba alle favolette e ai buoni propositi propalati
E` il loro lavoro verificare e mantenere la sicurezza del sistema.
Nessun sistema e` esente da bug, ma in piu` chi usa unix ha il beneficio
di sapere celermente quali bug vengono trovati.
 >da Macro D'Itri. L'ottima sintesi fatta da Piergiorgio Carozzo in questo
 >newsgroup, D'Itri dovrebbe recitarla a se stesso tutte le sere, prima e
 >dopo cena. Posologia minima, naturalmente.
Per la cronaca sono d'accordo al 100% con quanto scritto da lui, mi sembrava
che si capisse dai miei articoli precedenti.
 >realta'. Ogni anno si verificano penetrazioni abusive in sistemi Unix.
Ma non ci sono ancora virus in the wild, che e` quanto sostenevo.
 >La stragrande maggioranza dei siti su Internet sono gestiti da Unix e,
 >tanto per fare un esempio, gli autori di SATAN ne hanno "scoperchiati"
 >parecchi. Il tutto, non scordiamolo, ricorrendo a tecniche di cracking
 >assolutamente note.
E quindi? Ho gia` scritto anche questo.
 >Persino i primi virus furono scritti sotto Unix. Frederick Cohen,
Non ricordo l'anno di pubblicazione del libro di Cohen, pero` e` *molto*
vecchio. A quei tempi non c'erano molti altri sistemi oltre a unix che
fossero abbastanza potenti per provare a scriverci un virus.
 >praticamente il padre delle ricerca antivirus, nel suo libro "A short
 >course of computer viruses", afferma che e' estremamente semplice
 >scrivere virus sotto Unix. E infatti i primi esperimenti condotti su
Questa affermazione non e` comprovata da nessun fatto. Trascurando il
fatto che lo unix dei tempi di Cohen e` ben diverso da quello di adesso,
se fosse cosi` semplice scrivere virus sotto unix non capisco perche`
non ce ne sono di veramente funzionanti.
-- 
ciao,			[To reply remove "+nospam" from my address.        ]
Marco			[Per rispondere togli "+nospam" dal mio indirizzo. ]

mc3...@mclink.it
 wrote:
 >> Questo e` vero, ma da quando unix e` stato inventato e` passato un bel >po' di tempo. Adesso si e` formata tra gli amministratori unix una >/cultura/ > della sicurezza, 
 >Che di fatto non impedisce le continue intrusioni che si registrano.
Cosa si puo` fare contro la negligenza? Questo e` un problema comune a
tutti i sistema operativi.
 >L'esperienza fatta da Venema e Farmer dovrebbe insegnare qualcosa a tale
 >proposito.
Io (e mi pare anche loro) ne ho tratto l'insegnamento che molti amministratori
non fanno bene il loro lavoro, o per negligenza o per palese incompetenza.
 >> cosa che gli amministratori NT (che molto spesso sono
 >> programmatori riciclati) non conoscono neppure di striscio.
 >Anche se fosse vero, rispondo: e con cio'? Le competenze di un
E con cio` sono sicuramente meno preparati a gestire grosse reti e sistemi
multiutente di quanto lo e` un sistemista vero.
 >amministratore di sistema sono molto diverse da quelle di un
 >programmatore. E questo e' un discorso valido per qualsiasi sistema
 >operativo di rete. A un programmatore non e' vietato diventare
Sicuramente si, ma di solito per amministrare una macchina unix e` richiesta
una maggiore competenza che per una NT.
 >Amministratore di Sistema, purche' ovviamente sia ben preparato
 >sull'argomento. Ho conosciuto diversi SysAdm Unix che erano anche
Appunto, deve essere ben preparato. Microsoft propaganda molto la facilita`
d'uso di NT, e per ora l'unico beneficio che ho potuto vedere e` un mucchio
di sedicenti amministratori dalla competenza dubbia.
(Nota: non sto negando che esistano amministratori NT capaci, solo che in
molti casi le aziende preferiscono non assumerli per risparmiare.)
 >Perche'? Hai forse dei dati statistici alla mano che dimostrano quanto
 >sia semplice o comune penetrare la sicurezza di Windows NT? Se li hai,
No, purtroppo non c'e` una base installata sufficientemente grande e
presente da abbastanza tempo per permettere di fare delle statistiche
confrontabili con unix.
 >mi piacerebbe vederli. Sono sempre disposto a cambiare idea, ma con dei
 >dati verificabili, non con delle opinioni per sentito dire o per partito
 >preso.
Non ho mai preteso di parlare vangelo, quella di sopra e` una mia *opinione*,
basata su mie deduzioni e su quanto ho gia` potuto osservare del software
made in Redmond.
 >> Comunque non ho la minima fiducia
 >> per quanto riguarda la sicurezza nei confronti di software per cui non
 >> sono disponibili i sorgenti per il peer review. 
 >Sei libero di avere o non avere fiducia in quello che ti pare. Ma il tuo
 >e' un discorso improponibile all'atto pratico. Anche se fossero
Per favore, vai a spiegare che e` improponibile a chi scrive su bugtraq
o in comp.security.unix e segue questa politica di sicurezza. Strano ma
vero i loro sistemi sono sicuri.
 >disponibili tutti i sorgenti di Unix nelle sue varie implementazioni,
 >credi che un Amministratore di Sistema stia li' ad esaminarli riga per
 >riga ogni volta che gli arriva un aggiornamento? Andiamo, su'. Ma anche
Forse non conosci il concetto di peer review, non intendo dire che ogni
amministratore deve studiare tutto il codice di tutti i tool che usa, ma
piuttosto che il codice deve essere disponibile per il pubblico scrutinio
da parte di chi e` interessato (magari perche` lo fa di mestiere) a trovare
i bug. Forse dovresti anche informarti un po' su OpenBSD.
 >trovando qualcuno tanto folle da fare una cosa del genere, che cosa mi
 >garantisce che tale verifica sia infallibile? Esiste sempre un momento
Niente, ma cosa ti garantisce che del software che non e` stato verificato
sia piu` sicuro?
 >in cui ci consegnamo mani e piedi legati a chi realizza software di
 >sistema o applicativo. Magari i bug - se ce ne sono - vengono scoperti,
Questo non e` vero. Se si usa software di cui e` disponibile il sorgente
si e` molto piu` garantiti. Se si hanno abbastanza soldi per controllare
tutti i punti critici lo si e` ancora di piu`, e si sa a chi dare la colpa
quando qualcosa andra` male.
 >divulgati e corretti in un secondo tempo. Ma ripeto: una verifica
 >real-time e' *impossibile*.
La realta` ti contraddice. (Ovviamente non si tratta di real time come lo
intendi tu, l'importante e` che una volta scoperti i buchi le informazioni
per tapparli vengano diffuse celermente.)
 >> E senza la minima possibilita` di patcharli una volta scoperti, visto > che bisogna rimanere in ostaggio del supporto tecnico di MS. 
 >Microsoft realizza i sistemi operativi per *venderli*, quindi ha tutto
 >l'interesse a proporre delle soluzioni a bug verificati nel piu' breve
 >tempo possibile.
Appunto, a bug *verificati*. MS annuncia pubblicamente i bugfix solo quando
il problema diventa di dominio pubblico, in tutti gli altri casi tappa
i buchi nel massimo silenzio.
 >Infine, sostengo che non e' tutto oro quello che riluce, cioe' che la
 >divulgazione dei bug porti sempre e comunque dei vantaggi pratici. Io
 >non ho un approccio "idealistico" o teorico nei confronti di questo
 >argomento, mi limito a valutare i dati di cui dispongo.
Potresti essere un po' piu` preciso? A me sembra che i dati sostengano
la tesi opposta.


 non ce ne sono di veramente funzionanti.
Questo non dimostra assolutamente nulla. Si possono scrivere virus per
OS/2, eppure ci sono in giro soltanto un paio di esempi molto primitivi.
Si possono scrivere virus per Windows 95 e NT, eppure la stragrande
maggioranza dei virus vengono ancora scritti per il solo DOS.
Teoricamente, si possono scrivere virus per qualsiasi sistema operativo
che abbia memoria operativa e che ne permetta la modifica.
Riguardo ai virus su Unix forse dovresti leggere il documento di Peter
Radatti: The Plausibility of Unix Virus Attacks.
regards,
Paolo.
-- 
Future Time di Paolo Monti     
ftp://ftp.io.com/pub/usr/pmonti/avp
AVP & IDA Distribution Italy   e-mail: 
mc3...@mclink.it
Rome (Italy)                   BBS: +39-(0)6-9456041 (8N1) - 33.600
Phone/Fax: +39-(0)6-5003161    (BBS Note: press J 7 to enter AVP Conf.)

 non fanno bene il loro lavoro, o per negligenza o per palese incompetenza.
Divertente: in altri messaggi hai insistito sulla grande competenza che
si riscontra nella media degli Amministratori di Sistema Unix. 
Preferisco non quotare altro, questa discussione mi ha stancato. Le mie
opinioni le ho suffragate con dei fatti circostanziati e precisi, come
e' mia abitudine, e non trovo utile perdere altro tempo a leggere delle
repliche basate su sofismi da opinionista della domenica: "le aziende
non assumono amministratori di NT per poter risparmiare", "gli
amministratori di NT sono dei programmatori riciclati"... eccetera,
eccetera. Ma fammi il piacere.


 fossero abbastanza potenti per provare a scriverci un virus.
Mio Dio, che cosa mi tocca leggere. Secondo te nel 1984 non c'erano
altri Sistemi Operativi al di fuori di Unix? E poi cosa *diamine*
c'entra la potenza di un Sistema Operativo con la possibilita' di
scrivere virus? Basta che abbia uno straccio di file system e gli
strumenti per modificarlo. Prova a scrivere queste fesserie in VIRUS-L,
e poi di te non rimarranno nemmeno gli occhi per piangere.
un Paolo sempre piu' sconcertato,


 >assolutamente note.
 Se fose per NT:
 Internet non esisterebbe. (nel sensoche nt non e' capace, non puo'...
 non ce la fa'...)
 L'intero sistema di DNS mondale sarebbe giu'.. e noi qui ad aspettare
 MS che fa il service pack 3.
 Ci sarebbero dei fessi che giocano con quake in un server.
 In termini di sicurezza siamo a zero... C'e' gente che fa le share world
 readable con NT :-) 
 ciao.
-- 
   ol     Carrer Yuri   Pubblicita': usa \documentstyle{athenaslide}  
   |--	  Tel: 0421/211239 *new*     e non usare Power Point :-)
  000 *** WARNING ***   
http://www.dei.unipd.it/~carrery/
http://www.geocities.com/TheTropics/1797/
 
http://www.alfa.it/
 :) *new!*

Future Time di Paolo Monti     
ftp://ftp.io.com/pub/usr/pmonti/avp
[yurj@servizi download]$ ftp 
ftp.io.com
Connected to 
ft-meade.io.com
.
220 
ft-meade.io.com
 FTP server (Version wu-2.4.2-academ[BETA-12](1) Mon Feb 17 00:47:07 CST 1997) ready.
 Attento che hai i file sotto unix ;)


 wrote:
 >E' molto semplice scrivere uno script virus su qualsiasi
 >implementanzione di Unix, passata o presente. Dal momento che Unix (come
Si capisce che e` molto semplice, te ne posso scrivere anche io qualcuno in
poco tempo. E` pero` molto piu` difficile scriverne uno che possa danneggiare
altre cose oltre i file degli utenti e/o che si possa replicare in modo
da essere veramente contagioso.
C'e` anche da aggiungere che il modus operandi tradizionale degli utenti
unix rende piu` difficile il contagio, visto che di solito si scaricano
i sorgenti dei programmi, e scambiarsi dei binari tra utenti e` una
abiutdine decisamente poco diffusa.
 >altri sistemi operativi di rete) consente di impostare dei privilegi di
 >accesso, allora si pensa che un virus non possa avere briglia sciolta.
 >Questo e' vero, se il virus non contiene anche del codice capace di
 >ottenere dei diritti di root in modo abusivo, ma non c'entra
 >assolutamente nulla con il concetto di virus, cioe' di codice
Pero` deve poterlo fare, e se il sistema e` aggiornato non ci riesce, come
dimostra il virus pubblicato su VLAD.
 >autoreplicante. Inoltre, se il virus viene installato da chi possiede
 >diritti di root, allora il discorso riguardo alla barriera posta dai
 >privilegi nemmeno si pone.
Vedi sopra. Un amministratore non ha l'abitudine di eseguire come root
binari scaricati dalla rete che non siano firmati con md5 e pgp, e se lo
fa e` un cattivo amministratore.
 >Riguardo ai virus su Unix forse dovresti leggere il documento di Peter
 >Radatti: The Plausibility of Unix Virus Attacks.
La plausibilita` non l'ho mai negata e credo che nessuno sano lo farebbe.
Da qui a decidere che i virus per unix sono una reale minaccia pero` c'e`
una grossa differenza.
- ----
 >Divertente: in altri messaggi hai insistito sulla grande competenza che
 >si riscontra nella media degli Amministratori di Sistema Unix.
 >Preferisco non quotare altro, questa discussione mi ha stancato. Le mie
 >opinioni le ho suffragate con dei fatti circostanziati e precisi, come
 >e' mia abitudine, e non trovo utile perdere altro tempo a leggere delle
Che succede, hai mangiato male?
Problemi di digestione?
Problemi di ego?
Non dovevo contraddirti?
Forse dovresti scendere dal piedistallo e venire a vedere come vanno le
cose nel real world, piuttosto che affidarti a MSJ e DDJ.
 >repliche basate su sofismi da opinionista della domenica: "le aziende
 >non assumono amministratori di NT per poter risparmiare", "gli
 >amministratori di NT sono dei programmatori riciclati"... eccetera,
 >eccetera. Ma fammi il piacere.
Ed ecco una bella distorsione di quanto ho scritto, tanto per concludere.


mc3...@mclink.it
 wrote:
 >> Si capisce che e` molto semplice, te ne posso scrivere anche io 
 >> qualcuno in poco tempo. E` pero` molto piu` difficile scriverne uno 
 >> che possa danneggiare altre cose oltre i file degli utenti e/o che si 
 >Un momento. Prima sostenevi che la scrittura di virus su Unix e la
 >semplicita' nel farlo non erano argomenti comprovati da alcun fatto.
 >Adesso, sostieni che e' davvero molto semplice (come avevo affermato io)
 >e che persino tu potresti scriverli. Insomma, credo proprio che dovresti
Ho detto che e` semplice scrivere un virus, non che sia semplice scrivere
un virus che abbia possibilita` piu` che minime di sopravvivere e fare
danni. C'e` una bella differenza.
 >danni provocati. Non sei sulla giusta lunghezza d'onda. Prova a pensare
 >a cosa potrebbe fare un virus in una rete aziendale. Cancellare,
Ci penso. Per prima cosa dovrebbe essere eseguito dagli utenti. Poi ottenere
i permessi di accesso.
 >modificare o "rubare" informazioni riservate. Paralizzare una rete
 >chissa' per quanto tempo. E cosi' via dicendo. Provocando danni per
Vedi sopra. Finche` non ottiene permessi sufficienti e` relativamente
innocuo (relativamente, in relazione a che permessi ha l'utente impestato).
 >milioni, se non per miliardi. 
Come vedi non e` cosi` immediato il problema.
 >> possa replicare in modo da essere veramente contagioso.
 >Non e' detto. Un virus potrebbe anche comportarsi come un Worm, e quindi
 >diffondersi su vari host. C'e' un precedente famoso: l'Internet/Unix
Deve riuscirci ad arrivare ai vari host. Mi spieghi come puo` fare?
Senza avere binari di 200Kb possibilmente.
 >Worm di Robert Tappan Morris, che nel 1988 paralizzo' piu' di 6000 host.
Il worm sfruttava una backdoor di sendmail, uno dei programmi piu` buggati
della storia, ed e` un pessimo esempio, visto che la situazione attuale
e` molto diversa.
 >> C'e` anche da aggiungere che il modus operandi tradizionale degli utenti
 >> unix rende piu` difficile il contagio, 
 >ho sempre affermato che la sicurezza sotto Unix, per tutta una serie di
 >motivi gia' discussi, non esclude la possibilita' di scrivere virus o di
Che non la esclude siamo d'accordo, nessun sistema esclude i virus al 100%.
Quello che viene ridotto e` la possibilita` di fare danni, che e` molto
bassa.
 >una facile penetrazione abusiva nel sistema.
Questo e` molto discutibile, non e` per niente facile entrare in un sistema
correttamente configurato e aggiornato.
 >"In the paper "From Little Acorns Mighty Viruses Grow" by Alan Glover of
 >Pineapple Software, it is disclosed that the Acorn Archimedes computer
 >which holds all of its operating system and windowing systems locked in
 >hardware based Read Only Memory has been successfully infected by
 >computer viruses. This is an extreme case of hardware based protection
 >and yet it failed. As of January 1994 there were 52 virus families
 >totaling 84 viruses affecting the system. When compared to the Acorn
 >computer, UNIX and NT systems have very little chance of magical
 >immunity." 
Mi sembra molto poco significativo questo frammento di testo. Non viene
spiegato ne come funzionano i virus per Acorn ne come mai il sistema e`
infettabile facilmente e quindi non capisco perche` l'Archimedes dovrebbe
essere cosi` facilmente paragonato a unix o NT.
Anche se ha il SO in rom (l'amiga lo aveva su floppy protetti da scrittura,
e allora?) non mi risulta che sia una macchina multiutente e/o con protezione
della memoria e permessi di esecuzione, quindi non capisco il confronto.
 >> Pero` deve poterlo fare, e se il sistema e` aggiornato non ci riesce, come
 >> dimostra il virus pubblicato su VLAD.
 >Mi spiace, ma non ci siamo. Lo STAOG non c'entra nulla in tutto questo
 >discorso. Continui a pensare che la sicurezza di un sistema si
Si che c'entra, tu avevi posto un problema specifico.
 >concretizzi solo perche' di base puo' contare su un comportamento
 >"sicuro". Questo puo' minimizzare un certo tipo di problemi, ma non puo'
Allora su cosa dovrebbe essere basata la sicurezza di un sistema? Potresti
spiegare come funziona un sistema operativo sicuro? O almeno uno piu`
sicuro di unix? (Scendi pure nei dettagli).
 >eliminarli. Anche il migliore degli Amministratori non puo' tenere tutto
 >sotto controllo. Il virus - o piu' genericamente il "malicious code" -
Sottovaluti un sysadmin unix. Non deve fare tutto lui necessariamente,
tool come il perl, swatch, tripwire, cops e molti altri sono fatti apposta.
 >potrebbe sfruttare bug non ancora conosciuti, potrebbe essere introdotto
 >da qualcuno che ha scoperto la password per un accesso privilegiato... o
 >potrebbe sfruttare altre vie. Potrebbe persino essere introdotto
 >dall'Amministratore stesso, incidentalmente o per dolo. Tu continui a
Questi non sono problemi specifici si alcun sistema operativo, continui
a non spiegare perche` unix dovrebbe essere meno sicuro di altri OS.
Sorvolando sulle vaghe "altre vie", i bug li ha qualsiasi OS, e si combattono
aggiornando il proprio software. Anche le password di root si possono
scoprire per gli altri OS. Se l'amministratore infetta la macchina allora
e` un pessimo amministratore, perche` e` una pessima norma di comportamento
eseguire (sopratutto come root) binari scaricati dalla rete.
 >parlarmi di situazioni vere sono il un mondo ideale, e io continuo a
 >ripeterti che la realta' pratica e' ben diversa. Dolorosamente diversa.
La realta` e` esiste anche per gli altri OS.
 >Potrei citarti dozzine di esempi riscontrabili, ma so gia' che non
 >servirebbe a nulla.
Prova.
 >I virus per Unix (ma il discorso puo' essere applicato tranquillamente
 >anche a NT) *sono* un pericolo reale. Basta documentarsi per prenderne
 >atto. Piuttosto e' vero che attualmente non sono diffusi, ma questo e'
 >tutto un altro discorso. Se lo capisci, bene. Altrimenti non so proprio
 >cos'altro dirti.
Non lo capisco, non e` che con questo articolo hai dimostrato qualcosa
di particolare. Sopratutto: se i virus per unix sono un pericolo reale,
perche` non ce ne sono in the wild? E quanto sarebbe pericoloso questo
pericolo? E come si puo` fare a combatterlo?
