bit.ate: (MOST SECURE OS EVER) - REDMOND, WE'VE GOT A PROBLEM.

quinta-feira, novembro 12, 2009

(MOST SECURE OS EVER) - REDMOND, WE'VE GOT A PROBLEM.

(disclaimer: este conselho não se destina aos meninos que apenas usam o computador para se armarem em piratas dos sete mares, brincar aos soldadinhos, génios do futebol e afins. Apenas se destina a pessoas responsáveis - BUSINESS IMPACT, see?)

26 comentários:

Ruben Alves disse...: Também recebi este e-mail! Ri-me como um perdido :P

Já é a segunda vez que o SMB2 tem direito a um exploit DoS tão simples que até mete medo.; 22:00
Anónimo disse...: Qual business impact? Achas mesmo que numa organização isto terá algum impacto? É um bug e depois? Não tens código a ser executado remotamente... enfim bloqueias o sistema e? Provavelmente este nem sequer terá direito a sair oob, e acabará por sair na próxima primeira terça-feira de dezembro, com tempo e com os testes de regressão devidamente realizados... pointless, o mais relevante é o ego do sr. e a sua irresponsabilidade, até porque reportou, terá sempre o problema resolvido e os seus créditos, até parece que teve receio que alguém lhe tirasse o momento... enfim.; 15:11
skizofrenik disse...: Este comentário foi removido por um gestor do blogue.; 15:16
jocaferro disse...: "Provavelmente este nem sequer terá direito a sair oob, e acabará por sair na próxima primeira terça-feira de dezembro, com tempo e com os testes de regressão devidamente realizados..."

Provavelmente...
Também provavelmente o outro bug do SMB2 iria ser resolvido antes da primeira Terça-Feira de Novembro.

Areia para os olhos?

"o mais relevante é o ego do sr. e a sua irresponsabilidade, até porque reportou, terá sempre o problema resolvido e os seus créditos, até parece que teve receio que alguém lhe tirasse o momento... enfim."

Obscuridade, hem?
Eu percebo bem a sua posição. Os milhares de bugs não reportados ou apenas reportados à M$, convém-lhes, não é?
Manter as pessoas na ignorância, não é?

Acho que todos os investigadores deveriam reportar livremente tudo aquilo que encontram, tal como é feito no mundo Livre. Caso assim não seja não passa de uma simples ditadura.
Enfim...

Quanto ao "Business Impact", alguém esperaria que um astroturfer viesse para aqui não defender a posição da M$!?
Enfim...

Quanto ao remoto, bem aqui é que é um grande ENFIM...; 15:32
jocaferro disse...: Ah!, esqueci-me de dizer apenas uma coisa que também me escapou no post:
- É que este bug é tão primário, que deveriam ter vergonha de o defender.

É que é anedótica a sua pseudo-assumpção em chico-esperto
- "e com os testes de regressão devidamente realizados."
Certamente foi para rir, não?; 15:40
jocaferro disse...: Quanto ao eliminado:
- já se sabe que V. Exa. tem por hábito comer na sanita e obrar na sala. Como já o tinha avisado, apesar desta tasca não ser grande coisa pelo menos não é como a sua casa.; 15:42
jocaferro disse...: Engraçado. Agora vem aos pares é?
Terapia de grupo?; 15:43
skizofrenik disse...: Este comentário foi removido por um gestor do blogue.; 16:52
Anónimo disse...: Este comentário foi removido por um gestor do blogue.; 20:39
jocaferro disse...: Um troll.; 20:52
jocaferro disse...: O mais que habitual e conhecidíssimo astroturfing:

Nada de novo?

Siga para o caixote de lixo.

PS: Aprenda a ler sff.. Quando tiver algo a discutir acerca do assunto mande que publico. Andar a divagar, tentar desviar o assunto para outros temas e a atirar areia para os olhos acerca de um grande problema é uma grande irresponsabilidade vindo de quem vem.
Aliás esse é sempre o seu procedimento nestes casosmas aqui e agora veio bater à porta errada.
Em resumo, não alimento trolls.

Adeus.; 20:58
Anónimo disse...: Este comentário foi removido por um gestor do blogue.; 22:46
jocaferro disse...: Pois, já só faltava a fase dos insultos.
Típico da gente desta laia.; 22:56
jocaferro disse...: "gente desta laia" - neste caso refere-se ao super-conhecido astroturfer da M$ e não o outro troll.
Bem me parecia que estudavam pelo mesmo catecismo.; 22:59
skizofrenik disse...: Este comentário foi removido por um gestor do blogue.; 13:15
Anónimo disse...: http://www.microsoft.com/technet/security/advisory/977544.mspx

Agora é esperar pelo fix, para já não parece ter potencial para sair oob. Se o sr. Laurent tivesse calma, o problema resolve-se e ele tem as luzes que pelos vistos tanto gosta e sem colocar ninguém em risco. Dar três dias e fazer o disclosure é estúpido, nem percebo porque reportou mais valia ter logo feito o disclosure, o interesse dele nunca foi ajudar ninguém por isso não entendo.; 15:31
jocaferro disse...: Apesar de mais uma vez estar a tentar criar uma diversão e desviar o assunto, até tem direito a publicação e resposta unicamente para repor os verdadeiros factos.

1º - (doutrina) Atacar o mensageiro
Não, não é estúpido. Apenas este não se vendeu como milhares por esse mundo fora. Quem parece ter um problema com o conhecimento de erros são apenas as empresas de código fechado e proprietário e como se tem visto são um autêntico mar de buracos, apesar de cobrar e BEM!
Só para repor os factos e a verdade a que parece querer pintar de outra cor servindo sabe-se lá quais dúbios interesses - após o erro ter sido reportado a M$ marimbou-se para o assunto e ao mesmo tempo para quem tinha descoberto esse erro. Como lhe parece ter escapado no post, torno a repetir o comentário em resposta a quem o acusava do mesmo:
- "That's the cost of security by obscurity and propaganda.
Like it or not, it's like that."

Adicionando a este ainda existe outro que também serve de resposta à sua triste e infeliz posição:
- "Maintenant si toi, tu pense que le système tel qu'il est avec ce genre de pensée unique est bon, ca ne regarde que toi, et ton nez brun, ne vas pas assumer que les autres doivent te suivre dans ce qui est un echec.
Je pense différement,tu parle de "communautée";
une communauté qui ne peut pas accepter que les gens peuvent penser différement, ce n'est pas une communautée,c'est de la dictature transparente."

Como se pode ver a sua infeliz e triste assumpção acerca da honestidade de uma pessoa já teve a respectiva resposta por parte da pessoa envolvida e tal como se pode verificar quem tem uma posição enviesada e subjugada aos interesses de quem tenta proteger é o conhecido anónimo.
(continua); 18:21
jocaferro disse...: (continuação)
2. (doutrina) Desviar do assunto principal com links e mais links, de preferência ligando a opiniões "independentes"
A M$ teve tempo. Muito tempo. Aliás, imenso tempo. Apesar de ter tido muito tempo agora ainda pede mais tempo como se pode ler pelo link que enviou.
Quanto?
Ninguém sabe.
Soluções?
Nada. "Ah! e tal estamos a pensar..."
Ou seja,o que me mandou foi um link completamente oco e sem qualquer sentido logo, apenas serviu para mera distracção.
Não fosse o caso desta descoberta ter sido imediatamente espalhada um pouco por toda a parte a M$ a esta hora ainda estaria a responder exactamente da mesma forma que respondeu:
- "Ah!, e tal talvez lá para o service pack. Mas não prometemos."
Agora, resolveram mexer-se graças à honestidade de um mero cidadão que em segundos descobriu o erro, relatou-o e após o ter relatado esteve 3 dias sem que lhe dissessem nada.
Mais um comentário de Laurent Gaffié que serve de resposta ao seu triste e infeliz link e à sua noção "temporal":
- "No, i dont believe in flawless software, but i do believe on hardened SMB/IP/RPC/NTB, and on fuzzing which
allow to spot theses kind of vulnerability very fast.
I dont believe in security by obscurity, which lead to this kind of dummy flaw.
You talk about linux; they dont have theses kind of no user interaction remote kernel panic.

What I'm trying to point out here is about 2 things:

They said new code go through stress testing,fuzzing, constant review, Bla.
It's false, and this bug proves it, it's brand new code.

The other thing is they concentrate way to much on IE and the Office suite, while SMB, IPv6, etc doesn't need any user
interaction, and are critical as they run with kernel privilege."
Como já deve ter reparado, em cada um dos pontos coloquei lá alguns mandamentos retirados da doutrina do catecismo evangélico segundo M$. Aliás, recentemente OSGEEX publicou uma música dedicada aos astroturfers de todo o mundo.
http://osgeex.blogspot.com/2009/11/comming-up-slog.html
Como pode verificar estão lá todas as técnicas que utiliza.

Ora, bela lembrança para um post. Graças a si sai já a seguir.

A seguir a conclusão.; 18:21
jocaferro disse...: Conclusão:
O que para aqui trouxe não passa de palha com o único intento de atear uma fogueira. Para além disso a palha é verde e encontra-se inundada de forma a criar uma cortina de fumo.
Estes são os seus/vossos habituais métodos e eu não os aprovo já que a única intenção é divergir do assunto principal e atirar com areia aos olhos das pessoas sob um assunto que é grave, embora por enquanto ainda ninguém se tenha dedicado a explorá-lo.
Assim, o aviso que dei continua de pé e mais palha = directamente para o lixo.; 18:32
jocaferro disse...: Quanto ao comentário eliminado das 13:15, continua o troll ao ataque.
Desta vez diz que acabou mas já o disse tantas vezes nem sei se acredito. De qualquer forma vou tentar acreditar e como resposta apenas lhe posso desejar:
- Adeus. Até nunca.; 18:34
Anónimo disse...: "Só para repor os factos e a verdade a que parece querer pintar de outra cor servindo sabe-se lá quais dúbios interesses - após o erro ter sido reportado a M$ marimbou-se para o assunto e ao mesmo tempo para quem tinha descoberto esse erro."

Isso é o que ele diz, mas não faz sentido nenhum a MS ter-se borrifado, se calhar não reagiu como ele estava à espera, mas daí a dizer-se que se borrifou... mas cada diz o que quer e acredita quem quer.

"Como se pode ver a sua infeliz e triste assumpção acerca da honestidade de uma pessoa já teve a respectiva resposta por parte da pessoa envolvida e tal como se pode verificar quem tem uma posição enviesada e subjugada aos interesses de quem tenta proteger é o conhecido anónimo."

"Ele pode dizer o que quiser, mas o que é certo é que fez aquilo que normalmente um investigador não faz... aceito a opinião dele, mas continuo a achar que está errado, tão simples quanto isto.
Ou seja,o que me mandou foi um link completamente oco e sem qualquer sentido logo, apenas serviu para mera distracção."

Eu vou explicar porque invariavelmente você não percebe. O link é a confirmação de que a Microsoft não se borrifou, mas ainda não tem o fix para entregar.

Se você percebesse como estas coisas funcionam, entenderia que numa primeira fase é realizada uma investigação para conhecer bem o problema reportado, e não poucas vezes essa fase dura uns quantos dias, depois a resolução tipicamente é rápida, o trabalho mais importante foi realizado no passo anterior e finalmente começam os testes e esta sim é a fase que demora mais, e é também aquela onde normalmente se corta se for mesmo muito importante lançar o fix asap, caso contrário serão realizados nas diferentes plataformas, idiomas, etc.

No resto como não diz nada de relevante, o que até é normal, nem sequer respondo.; 18:57
jocaferro disse...: "Isso é o que ele diz, mas não faz sentido nenhum a MS ter-se borrifado, se calhar não reagiu como ele estava à espera, mas daí a dizer-se que se borrifou... mas cada diz o que quer e acredita quem quer."

Pois. E eu sou obrigado a acreditar em si, não é?
Ainda por cima, com uma suposição do tipo:
- "não faz qualquer sentido a M$ ter-se borrifado"
Sentido é coisa que não tem não senhor - neste caso sentido do ridículo!

"Eu vou explicar porque invariavelmente você não percebe. O link é a confirmação de que a Microsoft não se borrifou, mas ainda não tem o fix para entregar."
Lá está mais uma vez a tentar matar o mensageiro. Não se ponha com as habituais tretas do "você não percebe" porque quem não percebe é justamente o conhecidíssimo anónimo. E é de tal forma simples de verificar como está a mentir deliberadamente, coisa já habitual e por diversas vezes desmascarado, bastando verificar o pormenor das datas:
- 11 de Novembro - publicação no blog;
- 13 de Novembro - a vazia notícia da M$ "ah! e tal a gente está a pensar"
Está a ver como é simples saber quem afinal não percebe?
Já agora, como não percebe, vou-lhe fazer um desenho:
- A M$ apenas decidiu colocar essa treta após a notícia ter corrido mundo. E mesmo assim, demorou dois dias a fazê-lo!
E para quê?
"Ah!, vamos pensar no assunto". E por aqui ficou e ficará mas já não é para admirar - afinal, é da M$ que estamos a falar!

"Se você percebesse como estas coisas funcionam,..."
Mais uma vez?
Felizmente eu percebo e há muita gente que percebe como estas coisas funcionam.
E o que é que toda gente percebe?
É que após a publicação passados dois dias ainda estavam completamente às aranhas!
E estão e continuarão a estar.
É que você nem sequer se apercebe do ridículo que é estar a atirar tiros ao mensageiro com frases tiradas do "evangelism is war" - "você(s) não percebe(m)"

"No resto como não diz nada de relevante, o que até é normal, nem sequer respondo."
Já se percebeu. Você é que diz coisas relevantes como já aqui ficou provado!
Como é óbvio, eu já sabia que não iria responder ou que se sairia com uma tirada deste tipo. Mais uma vez, confirma-se o acérrimo seguimento da doutrina do evangelismo.

Mas eu respondo-lhe com uma frase que deverá adorar só que desta vez aplicável a si/vocês:
- 3 strikes, out!; 20:23
Azathoth disse...: Este comentário foi removido por um gestor do blogue.; 22:29
jocaferro disse...: Bolas!
Afinal o troll ameaça, ameaça mas não desampara a tasca.

Xô melga.

Sacortox,
lixo; 22:47
Anónimo disse...: Os últimos comentários podem ser publicados? ou basicamente não lhe dá jeito responder.; 00:13
jocaferro disse...: Não.
Apesar dos avisos continua com o blá... blá... blá

Por isso = lixo.

Aliás, esqueço-me sempre que não se devem alimentar trolls.

Processe-me.; 00:43

Enviar um comentário

quinta-feira, novembro 12, 2009

(MOST SECURE OS EVER) - REDMOND, WE'VE GOT A PROBLEM.

26 comentários:

Acerca de mim

Apoio

A conselho

Etiquetas

Arquivo do blogue

Check