Linux (wbrew pozorom) również podatny na ataki? Sprostowanie

Głośno było ostatnio w internecie na temat zainfekowania pliku instalacyjnego Unreal3.2.8.1.tar.gz  na serwerze UnrealIRCd które przez ponad pół roku zostało niezauważone!

Na vortalu (w komentarzach) jak w i na innych serwisach zawrzało... fani linuksa rzucili się do obrony systemu, przeciwnicy opiewali triumf. Ale czy na to wszystko nie jest jeszcze za wcześnie? Mam wrażenie że ~98% komentujących nawet do końca nie wie o co chodzi. Na vortalu news także nie do końca był moim zdaniem obiektywny (nie podano istotnych informacji odnośnie całego zdarzenia) także wypada by całą sprawę naprostować. Wpis ten może mieć charakter nieco subiektywny, jednak mimo wszystko chciałbym przedstawić pełniejszy obraz sytuacji na podstawie informacji znalezionych w internecie.

O co chodzi? Jak już napisałem na pewnym serwerze podmieniony został plik instalacyjny przeznaczony dla systemów z rodziny linux. Jak do tego doszło? Wina leży w 100% po stronie administratorów owego serwera. Z tego co się dowiedziałem czytając o tym zajściu zawartość repozytorium nie była w żaden sposób monitorowana, co więcej nie opublikowano sum kontrolnych plików, do tego serwery lustrzane również w żaden sposób nie sprawdzały sum kontrolnych, pobierając i rozpowszechniając tym samym automatycznie zainfekowane zbiory. Pojawiły się już słuchy że administratorzy feralnego serwera celem wyeliminowania podobnych sytuacji w przyszłości postanowili wdrożyć cyfrowe podpisy (GPG).

Pieniacze i tak stwierdzą że era bezpiecznych dystrybucji minęła. A ja pytam na jakiej podstawie tak twierdzą? W całym zajściu rozchodzi się o to że źródła zostały zainfekowane, następnie zostały pobrane przez twórców dystrybucji, skompilowane, spaczkowane i udostępnione w repozytorium lub bezpośrednio ściągnięte przez końcowego użytkownika i zainstalowane. Nie można pominąć tutaj winy developerów że udostępnili zainfekowane oprogramowanie jednak należy pamiętać że zawinił tu tylko czynnik ludzki. Gdyby ktoś W MS dopuścił trojana do windows update z etykietką automatycznej instalacji wszyscy by nagle stwierdzili że poziom bezpieczeństwa diametralnie spadł? Bezpośrednio zawinił człowiek, najdoskonalsze systemy nie są odporne na takie niespodzianki.

Jedyne uzasadnienie jakie mi przychodzi do głowy to fakt że linuksem interesuje się coraz więcej osób, jednak przecież przez to sam poziom zabezpieczenia systemu nie spada. Co najwyżej rośnie zagrożenie.

Owe zajście ujawnia jedynie starą jak pierwsze komputery prawdę że to użytkownik jest najsłabszym ogniwem. Złośliwy kod został uruchomiony z jego udziałem na prawach administratora! Nieświadomość nie zwalnia z odpowiedzialności!

Coś więcej na ten temat? Czego tu się uczyć? Wydawać service packi? Nie neguję podejścia Microsoftu do tematu bezpieczeństwa ale równie dobrze Microsoft mógłby wziąć lekcje od developerów freebsd, oni zaś od developerów openBSD i tak w koło macieju...

Podsumowanie

Wszystko to mogło trochę chaotycznie wyjść za co przepraszam. Podsumowując: zerowy poziom zabezpieczeń na serwerze oraz nieświadomość użytkownika w kwestii bezpieczeństwa + zaniedbanie ze strony developerów którzy spaczkowali a następnie udostępnili końcowemu użytkownikowi zainfekowany program doprowadziła do tego do czego doprowadziła. Linux na ataki w jakimś stopniu podatny oczywiście jest lecz nie można negować jego wysokiego poziomu bezpieczeństwa przez to że ktoś własnoręcznie z prawami administratora (mimo że nieświadomie) uruchomił wirusa.

Wpis zapewne w jakimś stopniu jest subiektywny oraz doprawiony szczyptą niewiedzy zatem wszelkie uwagi mile widziane. Źródło:Plichu.pl