Сообщение от LosAngeles если она всё равно окажется на securityfocus?

Баги обнаруженные внутри компании не попадут наружу, поэтому статистику ты здесь привести не можешь.

0

Небольшой эксперимент с гуглем:
1 "где можно получить инфу по уязвимостям продуктов популярных вендоров" нет вашего сайта в списке
2 "уязвимость продуктов популярных вендоров" нет
3 "уязвимость операционных систем" нет
4 "уязвимость Linux" нет
5 "баги Windows" и "Баги Linux" нет
6. security bugs нет
ну нафиг

7. "security bugs debian" первая строка security-tracker.debian.org вашего и тут нет


Но, я как пользователь конкретного дистрибутива буду искать скорее 7 вариант запроса

0

Сообщение от LosAngeles короче зайдите на любой сайт форум буржуйский или наш и задайте вопрос: "где можно мониторить бреши в безопастности в продуктах популярных вендоров?" я уже знаю ответ даже

Проверять не буду, но догадываюсь, что ответят...

Сообщение от LosAngeles парочку контрпримеров пожалуйста

Один из первых релизов WinNT4 позволял через веб-сервер команды оболочки выполнять (если интересно - поищите в сети, наверняка найдёте про это). Угадайте, что в описании к сервиспуку было написано, в котором эту дырень (в очередной раз замечу - в дорогостоящей программе) таки залатали? "Исправлена серьёзная ошибка, в безопасности системы", ну или как-то так... Мелкомягкие с завидным постоянством выпускают заплатки, вроде бы что-то улучшающие в и без того лучшей в галактике ос, но что там на самом деле меняется - не пользовательское собачье дело! Решили умники из MS, что надо бы ограничить количество одновременно открытых сетевых соединений, и тут же куча пользователей при переходе с WinXP SP1 на SP2 не хило удивилась... Официальное объяснение было вроде "чтоб вредоносные программы, которые пользователь нацепляет в свой компьютер, не могли активно действовать" - какой-то такой туман... Более реальное на мой взгляд объяснение - чтобы под сервера покупали серверную ОС, которая на порядок дороже. В большинстве небольших организаций в качестве сервака под 1С к примеру компа "чуть помощнее остальных" с ХР за глаза хватало, а тут на тебе...

0

Сообщение от LosAngeles можешь сначала разработчику сообщить, да хоть жене своей, какая разница через сколько рук пройдёт эта инфа, если она всё равно окажется на securityfocus? мне лично по барабану

Т.е. разницы нет О_о
Тогда да, персонально с тобой по этому поводу спорить совершенно бессмысленно. Лично я не отношусь к таким мазохистам, которые сообщают о найденом баге в используемой системе всему миру, в надежде, что ктото доведет до разработчика и что до тех пор ни кто не успеет ломануть систему используя данный баг..

Для безопасности системы совершенно не важно с какой скоростью оно дойдет (и дойдет ли вообще) до секьюритифокус, а вот скорость "дохождения" до разработчика - это самое важно для обеспечения безопасности. Вы с этим не согласны?

Добавлено через 6 минут

Сообщение от LosAngeles это вобще не моё утверждение. Так что задайте свой вопрос его автору

Меня интересует лично ваше мнение. Мне интересно под вашей уверенностью есть какаято база или вы так считаете потому, что "много где упоминается".

ЗЫ Лично я думаю, что автор с вами не согласен. Без условно ему интересно, чтобы все баги отражались и у него. Но в этом нет сильной заинтересованности у админов. Еще раз повторяю: единственное, что адекватного админа будет интересовать при нахождении бага в системе - скорость его устранения. Единственное, что может сделать сам админ для ускорения процесса закрытия дыры: сообщить непосредственно разработчику (возможно даже с готовым решением) минуя любые промежуточные звенья.

Добавлено через 15 секунд

Сообщение от LosAngeles это вобще не моё утверждение. Так что задайте свой вопрос его автору

Меня интересует лично ваше мнение. Мне интересно под вашей уверенностью есть какаято база или вы так считаете потому, что "много где упоминается".

ЗЫ Лично я думаю, что автор с вами не согласен. Без условно ему интересно, чтобы все баги отражались и у него. Но в этом нет сильной заинтересованности у админов. Еще раз повторяю: единственное, что адекватного админа будет интересовать при нахождении бага в системе - скорость его устранения. Единственное, что может сделать сам админ для ускорения процесса закрытия дыры: сообщить непосредственно разработчику (возможно даже с готовым решением) минуя любые промежуточные звенья.

0

Сообщение от voral Небольшой эксперимент с гуглем:

ни о чём не говорит

Сообщение от Vourhey Баги обнаруженные внутри компании не попадут наружу, поэтому статистику ты здесь привести не можешь

независимые пользователи также ничего не обязаны публиковать. Может захотят воспользоваться лазейкой пока никто не видит. В этом плане опенсорс не лучше закрытых проектов

Сообщение от voral Для безопасности системы совершенно не важно с какой скоростью оно дойдет (и дойдет ли вообще) до секьюритифокус, а вот скорость "дохождения" до разработчика - это самое важно для обеспечения безопасности. Вы с этим не согласн

пример то где? вы под сомнение ставили компетентнось securityfocus, короче нет примера - нет дела. А то так и будем ходить по кругу с одного на другое переключаюсь, вот с этим сначала и разбирёмся

Добавлено через 3 минуты

Сообщение от voral Почему указанный сайт обладает более полной информацией о багах в Debian, чем багтреккер дистрибутива Debian?

Сообщение от voral Меня интересует лично ваше мнение

моё мнение такого что это ложное утверждение

0

Сообщение от LosAngeles судя по твоим постам, ты про существование этого сайта узнал из этой темы. У любого кто как то интересуется проблемами безопастности вкладка с этим сайтам находится в "Избранном". Во многих книжках посвящённых проблемам безопастности упоминается этот сайт. Поэтому я не вижу смысла обсуждать компетентность этого сайта с экспертами какого то чахленького рускоязычного форума Добавлено через 1 минуту местные эксперты такие эксперты...

Попросил бы не обобщать.
Здесь люди сидят и помогают новичкам либо совместно разбираются в проблемах по мере своих сил и возможностей.
У вас в послужном списке только активность во флудилках.
Я бы попросил побольше уважения к форумчанам.

0

Сообщение от LosAngeles ни о чём не говорит

Говорит о том. Что чтобы найти ваш популярный сайт надо сначала о нем узнать из книжек.

Сообщение от LosAngeles пример то где? вы под сомнение ставили компетентнось securityfocus, короче нет примера - нет дела. А то так и будем ходить по кругу с одного на другое переключаюсь, вот с этим сначала и разбирёмся

Пример чего?

Ответь на конкретный вопрос. Без ответа на него я не сомгу дать ответ на твой.

Сообщение от voral Для безопасности системы совершенно не важно с какой скоростью найденный баг дойдет (и дойдет ли вообще) до секьюритифокус, а вот скорость "дохождения" до разработчика - это самое важно для обеспечения безопасности. Вы с этим не согласны?

0

Сообщение от voral Пример чего?

пример его некомпетентности в студию, ты ж гнал на него

Сообщение от voral Для безопасности системы совершенно не важно с какой скоростью найденный баг дойдет (и дойдет ли вообще) до секьюритифокус, а вот скорость "дохождения" до разработчика - это самое важно для обеспечения безопасности. Вы с этим не согласны?

ну согласен и?

0

Сообщение от voral Для безопасности системы совершенно не важно с какой скоростью оно дойдет (и дойдет ли вообще) до секьюритифокус, а вот скорость "дохождения" до разработчика - это самое важно для обеспечения безопасности. Вы с этим не согласны?

Полностью согласен с утверждением.
Для обеспечения информационной безопасности баги должны закрываться, а не выкладываться на посторонних ресурсах.
Выкладывание информации о найденных уязвимостях на секьюритифокус полезно только для информативности.
Отчет информации о найденных уязвимостях, отправленный разработчикам ПО дает большую вероятность закрытых уязвимостей в обозримом будущем.

При выкладывании Линуксовых уязвимостей они закрываются очень быстро и при ближайшем обновлении их можно считать устаревшими (секьюритифокус вроде как не мониторит состояние уязвимостей и не убирает устаревшие). В случае с Win эти обновления могут быть закрыты через полгода-год с момента обнаружения.
Это еще один немаловажный показатель информационной безопасности и отношении разработчиков к пользователям своих систем (в данном случае операционных систем).

0

Сообщение от LosAngeles ну согласен и?

Отлично.
Т.е. вы не отрицаете, что те кто найдет баг скорее всего обратятся непосредственно к разработчику?
Но как тогда баг попадает на ваш ресурс?
Лично я предполагаю несколько путей (вне зависимости от ОС):
1. Нашедший баг продублирует сообщение на данный ресурс. Без коментариев
2. Нашедший баг не знает о существовании официального треккера. И сообщит на данный ресурс. Без коментариев
3. По договоренности с официальным треккером (или тупо используя что то типа rss) данный ресурс бдит за новостями и копипастит себе.
4. В случае отсутствия возможности автоматического копипаста ручная работа по слежению за треккером (это скорее всего единичные случаи)

В первых двух случаях. Необходима ручная классификация бага и решение не ялятся ли он дубликатом. Но, в принципе, обычная работа треккера.
3 и 4. Не все секьюрные баги публикуются в виду очевидных причин. У виндус нет доступа к официальному треккеру.

Т.е. для Виндус путь попадания багов ограничен первыми двумя пунктами. (Хотя можно прибавить для всех ОС): нахождение сообщений о багах на различного рода форумах и специальная команда ресурса занимается поиском новых багов искусственно напрягая софт.

Добавлено через 11 минут

Сообщение от EvilVoodoo При выкладывании Линуксовых уязвимостей они закрываются очень быстро и при ближайшем обновлении их можно считать устаревшими (секьюритифокус вроде как не мониторит состояние уязвимостей и не убирает устаревшие). В случае с Win эти обновления могут быть закрыты через полгода-год с момента обнаружения.

Кстати да.
LosAngeles, выборка за период на вашем ресурсе по периоду даже если представить ситуацию, что туда попадает информация о всех 100% багов для всех ОС. То 10 найденых багов за месяц в одной ОС и 20 в другой не говорит о том, что вторая имеет больше дыр в защите

0

Сообщение от LosAngeles пример недостоверной инфы? не доказано - значит нету

научитесь читать подряд каждую строчку слева направо, а не по диагонали с нижнего правого угла и тогда вы найдете ответ

Сообщение от Vourhey Баги обнаруженные внутри компании не попадут наружу, поэтому статистику ты здесь привести не можешь.

Конечно не попадут, потому что это конфиденциальная информация, более того, официальная информация о багах закрытых продуктов вообще не попадет наружу, даже если и найдена пользователями. Странно, что LosAngeles этого не понимает, с его образованностью и подпиской на столь авторитетный ресурс!

Сообщение от LosAngeles ни о чём не говорит

Да вы что? Если это популярный ресурс, то он должен быть как минимум на первой странице результатов

Сообщение от LosAngeles пример его некомпетентности в студию, ты ж гнал на него

написал выше.

0

Сообщение от M128K145 Странно, что LosAngeles этого не понимает, с его образованностью и подпиской на столь авторитетный ресурс!

0

Сообщение от M128K145 Да вы что? Если это популярный ресурс, то он должен быть как минимум на первой странице результатов

так если так криво спрашивать, то вобще фиг чё найдёшь

Сообщение от M128K145 более того, официальная информация о багах закрытых продуктов вообще не попадет наружу, даже если и найдена пользователями

полно там виндовых багов публикуемых пользователями.

Сообщение от M128K145 научитесь читать подряд каждую строчку слева направо, а не по диагонали с нижнего правого угла и тогда вы найдете ответ

короче если тебе нечего сказать, то можно просто промолчать. Можете дальше не продолжать, и так уже ясно что вы некомпетентны в этом вопросе.

0

Сообщение от LosAngeles так если так криво спрашивать, то вобще фиг чё найдёшь

Подскажи нормальный запрос. Просто для меня правильны и естественный последний 7ой - остальные надуманы.

Сообщение от LosAngeles полно там виндовых багов публикуемых пользователями.

Понятие "полно" ни о чем не говорит. Реально их может быть от количества опубликованных на данном ресурсе до бесконечности. А также это не говорит о динамике устранения.

Добавлено через 4 минуты

Сообщение от LosAngeles жете дальше не продолжать, и так уже ясно что вы некомпетентны в этом

Сообщение от LosAngeles Можете дальше не продолжать, и так уже ясно что вы некомпетентны в этом вопросе.

На данный момент вы не привели ни одного аргумента в защиту своей позиции кроме пространных "это знают все нормальные пацаны, и это приводится во всех книжках"

Но все же давайте вернемся к обсуждению:
Вы согласны с моими вариантами пути попадания информации о багах в этот ресурс?

0

Сообщение от voral Но все же давайте вернемся к обсуждению: Вы согласны с моими вариантами пути попадания информации о багах в этот ресурс?

мы вобще это не обсуждаем и не обсуждали никогда. Мне до фени пути попадания чего то куда то. Передо мной стоит реальная проблема утечек памяти в kde, ktorrent конкретно. Насчёт статистики секуритифокуса можете верить или не верить, я просто привёл факт, который имеет место быть. Ты я смотрю от поста к посту хитро уходишь от темы, то на одно то на другое переключаешься. И определись уже в концов ты или вы, в последнем сообщении уже и так и сяк, а то читать уже смешно

0

Сообщение от LosAngeles короче если тебе нечего сказать, то можно просто промолчать. Можете дальше не продолжать, и так уже ясно что вы некомпетентны в этом вопросе.

это мне говорит человек, который не может совладать с парой примитивных приложений?

Сообщение от LosAngeles полно там виндовых багов публикуемых пользователями

Официально признать баг может только компания-разработчик, если вы этого не знали. Пользователь может только сообщить о возникновении подобной ситуации, потому что допускается, что пользователь называет некоторую, неизвестную ему особенность, багом. А так как доступа к официальной багтрекинговой системе MS нет, то и те данные с вашего "авторитетного сайта" не являются достоверными. Если вы не знакомы с принципом работы багтрекинговых систем и не знакомы с процессом разработки, то не надо что-то доказывать, т.к. вы проявляете свою некомпетентность.

Сообщение от LosAngeles так если так криво спрашивать, то вобще фиг чё найдёшь

ответ без аргумента считается пустым звуком.

Сообщение от LosAngeles Передо мной стоит реальная проблема утечек памяти в kde, ktorrent конкретно.

KTorrent - это не часть KDE, это только программа, написанная под KDE, так что KDE тут не при чем.
А вы уверены, что это утечки памяти? Вы смотрели сорсы, дебажили его, что пришли к такому выводу, или очередной пустой звук?

Сообщение от LosAngeles я просто привёл факт, который имеет место быть.

Вы привели предположение, а не факт.

Сообщение от LosAngeles а то читать уже смешно

ну пока смешно читать только ваши посты.

0

Сообщение от LosAngeles Передо мной стоит реальная проблема утечек памяти в kde, ktorrent конкретно.

не замечал... и утечки памяти это ж не уязвимость

0

Сообщение от LosAngeles Ты я смотрю от поста к посту хитро уходишь от темы, то на одно то на другое переключаешься. И определись уже в концов ты или вы, в последнем сообщении уже и так и сяк, а то читать уже смешно

Читать смешно ваши посты - яркий пример юношеского максимализма и бестолкового спора.
Пути попадания информации на ресурсы - немаловажная часть в данном обсуждении. И, прошу заметить, именно вы уходите от ответа на данный вопрос.
По поводу компетентности я уже выражал свое мнение в мягкой форме, видимо до вас не дошел смысл моих слов. Скажу более понятливым языком - на этом форуме именно вы показали себя никчемным специалистом, который только и может, что языком трепать. Абсолютно ничего полезного вы на данный ресурс не принесли, посему заявления о чьей-либо некомпетентности от вас звучат просто смешно.

0

Сообщение от oxotnik и утечки памяти это ж не уязвимость

нет, это как раз уязвимость, но ее надо суметь заюзать правильно, чтобы добиться хотя бы чего-нибудь

0

известная проблема, ktorrent memory leak в гугле очень популярный запрос. Периодически на их сайте появляется инфа, что они чё то там пофиксили, лично у меня меньше чем за день процесс разрастается до пол гига вполне стандартная ситуация

0