IE7 e sicurezza

[gioi]

io come browser principale utilizzo firefox, ho i.e. dedicato all'home banking ed uso opera per i siti a rischio...

Faccio solo una battuta metaforica...

è come se per auto principale, per girare in città e parcheggiare in centro, avessi un SUV di grosse dimensioni, con blindatura e dotazioni di sicurezza da agente segreto, però quando vai a portare/prelevare i soldi in banca, invece che in furgoncino blindato ci andassi in bicicletta, ed infine, per farti un giro nei quartieri malfamati usassi una ferrari.

[op.lock]

Faccio solo una battuta metaforica...

è come se per auto principale, per girare in città e parcheggiare in centro, avessi un SUV di grosse dimensioni, con blindatura e dotazioni di sicurezza da agente segreto, però quando vai a portare/prelevare i soldi in banca, invece che in furgoncino blindato ci andassi in bicicletta, ed infine, per farti un giro nei quartieri malfamati usassi una ferrari.

tanto per parlare a vuoto vero?

spero che non ci creda davvero ai paragoni che hai fatto (soprattutto a quello di i.e.7 su VISTA in user mode paragonato ad una bicicletta... ti assicuro che sei molto più a rischio ad usare firefox su linux loggato come root, come fa moltissima gente. vorrei ricordarti che non stai parlando con uno sprovveduto).


EDIT: lo sai che il 90% delle critiche che girano su vista sono alimentate da quelli come te che parlano a vanvera senza neppure sapere davvero di cosa stanno parlando e senza alcuna esperienza diretta dei problemi di cui parlano?

[gioi]

Forse ti sfugge il significato di battuta metaforica....

Ad ogni modo se vuoi spostarla sul tecnico, utilizzare lo stesso browser di sistema (con accesso alle api di sistema stesse, quindi) per navigare su Internet è come giocare a Baseball con una barra di plutonio...

Usare firefox come root su linux non è tanto più pericoloso che usarlo come qualsivoglia altro utente su qualsivoglia sistema operativo...

Le cose che non dovresti fare con i permessi di root sono ben altre!!!!

[op.lock]

Forse ti sfugge il significato di battuta metaforica....

Ad ogni modo se vuoi spostarla sul tecnico, utilizzare lo stesso browser di sistema (con accesso alle api di sistema stesse, quindi) per navigare su Internet è come giocare a Baseball con una barra di plutonio...

Usare firefox come root su linux non è tanto più pericoloso che usarlo come qualsivoglia altro utente su qualsivoglia sistema operativo...

Le cose che non dovresti fare con i permessi di root sono ben altre!!!!

grazie per avermi dato ragione, hai dimostrato di non sapere di cosa stai parlando

i.e. 7 in vista gira in user mode, all'inteno di una sorta di sandbox. ogni singolo processo iexplorer è separato da ogni altro processo, gira in un'area ristretta ed isolata di memoria, per qualunque cosa extra navigazione (es.installare un activex) si attiva l'uac (quindi si ha il completo controllo di cosa sta succedendo sul sistema) e pensa te, esegue 2 processi separati anche solo per navigare tra internet ed intranet in modo che non possa un malware elevarsi a standard mode sfruttando l'area sicura intranet locale...

e qui siamo sul tecnico, continuo a demolire le tue convinzioni o la smetti di parlare per sentito dire? ti prego, critica vista su quello che vuoi (poco supporto driver, ma qui linux non brilla affatto), ma non sulla sicurezza...

[gioi]

grazie per avermi dato ragione, hai dimostrato di non sapere di cosa stai parlando

i.e. 7 in vista gira in user mode, all'inteno di una sorta di sandbox. ogni singolo processo iexplorer è separato da ogni altro processo, gira in un'area ristretta ed isolata di memoria, per qualunque cosa extra navigazione (es.installare un activex) si attiva l'uac (quindi si ha il completo controllo di cosa sta succedendo sul sistema) e pensa te, esegue 2 processi separati anche solo per navigare tra internet ed intranet in modo che non possa un malware elevarsi a standard mode sfruttando l'area sicura intranet locale...

e qui siamo sul tecnico, continuo a demolire le tue convinzioni o la smetti di parlare per sentito dire? ti prego, critica vista su quello che vuoi (poco supporto driver, ma qui linux non brilla affatto), ma non sulla sicurezza...

Forse sei tu quello che non sa bene il significato di user mode... IE7 è la shell di default di VISTA, tutti i comandi di sistema passano attraverso le sue api, la prova è l'insulsa e fastidiossa procedura di "validazione" di ogni operazione... Il fatto che l'applicativo giri in user mode, non significa che non acceda a funzioni di sistema che girano in modalità super-user... vatti a vedere anche la più banale chiamata è fatta attraverso le stesse API che utilizzi per installare le varie applicazioni, autenticare la rete ecc ecc Controlla e poi parliamo sul "sentito dire"...

[op.lock]

tu NON SAI DI COSA PARLI.

innanzitutto se lo UAC è insulso lo sono anche SU e SUDO in linux perchè il principio è simile, anzi decisamente più evoluto per come implementato su windows vista.

explorer in vista NON E' INTERNET EXPLORER. questo è una tua convinzione, ma non è la stessa cosa.

il protected mode di IE prevede che il processo di i.e. giri con i minor privilegi possibili. questo significa che se anche un malware riuscisse ad andare in esecuzione in IE7 non potrebbe scrivere ne sul registro ne sul disco.


comunque ti ribadisco qualche concetto:

- IE7 non è una shell, è un web browser
- IE7 in protected mode gira come all'interno di una sandbox, completamente isolato dal resto dei processi in esecuzione. non può scrivere sul registro e sul disco se non nella temporary che oltretutto tramite shim dello UAC è virtualizzato, così come le aree a rischio di registro con cui può avere a che fare
- IE7 su vista NON E' EXPLORER di windows, sono 2 cose separate

quale altro luogo comune vuoi ravvivare in questa discussione?


VISTA è un sistema operativo SOLIDO e SICURO, ha problemi di compatibilità con alcune periferiche legacy, ma come questi problemi li ha avuti XP, 2000 ecc... e come MOLTISSIMI problemi in più li ha anche qualunque distro linux e ti posso assicurare che io con i sistemi *nix ci lavoro, non parlo per supposizioni.

VISTA è un grosso passo avanti nell'evoluzione dei sistemi operativi Microsoft e per questo presenta caratteristiche che la maggior parte degli utenti faranno un po fatica a digerire, quali ad esempio lo UAC.



comunque per chiarirti un po le idee:
IEBlog : Protected Mode in Vista IE7

[AndreA]

noto con piacere che gioi continua la sua campagna simpatia

[AndreA]

sia nell'inserimento del testo, sia nel ridimensionamento delle immagini ha seri problemi.

Hai WP 2.5.1? Io sono riuscito a entrare e postare senza particolari problemi (esclusa la lentezza di Alice sulla portante internazionale...)

grazie per avermi dato ragione, hai dimostrato di non sapere di cosa stai parlando

dovrei fare il Social Group "Nemici di Gioi"

[gioi]

Prima di dire alla gente che non sa cosa dice, accertati di sapere cosa stai dicendo tu...

Punto primo se paragoni UAC a su (o sudo) significa che non sai nè cos'è UAC nè su (nè sudo): su serve a cambiare utente, e se proprio lo vuoi assimilare a qualcosa di winsozz, è appunto il comando di cambio utente senza fare il logout. Sudo, invece, ti assicura i privilegi di super-user, ma non quelli di root... il che significa che puoi eseguire determinate operazioni, ma non altre... e cmq le azioni sono sempre riconducibili all'utente e non al super-utente (quindi eventuali "file" malevoli utilizzati dall'utente, non potranno mai guadagnare i privilegi di super-utente automaticamente).

Punto secondo... ma tu, che ti dici professionista del settore, hai la minima idea di come giri un qualsiasi programma su un qualsivoglia sistema operativo? Hai l'eseguibile, che viene lanciato con i privilegi adeguati, che usa delle librerie di sistema che sono pre-caricate. Poi c'è un "modulo" (nel SO) che dice a quali funzioni di libreria può accedere il sudetto programma e a quali no...

Il sistema (geniale) di protezione di VISTA è quello di mettere una parte del modulo di controllo (che per altro si occupa anche dell'UAC), come "funzione di libreria" (perchè non tutte le applicazioni le fa mamma microsozz! accidenti!) accessibile da tutti (IE7 e Firefox inclusi)...

Questo in soldoni significa che anche se IE7 gira in un fortino blindato, c'è "una porticina" che dà direttamente sul sistema operativo. Una volta che sei riuscito a sfruttare un exploit su IE7, hai accesso alle librerie di sistema, esattamente come se IE7 girasse in modalità "meno protetta".

Rispetto a winsozz 98 in cui lo stesso processo explorer (già in winsozz 2000 lanciavano due processi diversi per shell locale e browser internet, anche se in modalità shared memory) veniva usato sia per navigare su internet che per lanciare modifiche al registro, è stato introdotto un livello di complessità in più...

Ma finchè ci si ostinerà ad autenticare tutto a livello di sistema operativo, invece che a livello utente... c'è poco da fare... una vlta dentro sei dentro il sistema...

Metaforicamente è come se in una grossa azienda, venisse controllata l'identità dell'utente solo all'ingresso, e poi lo si accompagnasse alla sua postazione... quando poi i singoli pc non sono protetti da username e password specifici per ogni utente.

Ovviamente il medesimo meccanismo che rende insicuro IE7, è usato anche dagli altri browser (così come da un po' tutte le applicazioni), le quali però non hanno il medesimo accesso a le stesse funzioni di sistema di IE7 (questa è la differenza tra open e closed source, chi fa software closed si può permettere di utilizzare funzioni che ad altri non sono concesse), il che, in soldoni, si concretizza in un minor numero di maniere "di far danno" ...

Se poi tu sei convinto del contrario, amen...

Però dare dell'incompetente a qualcuno su una cosa che tu stai dimostrando di non aver capito minimamente, è un tantino pretenzioso, non trovi? Anche e soprattutto se questo qualcuno si occupa di quella cosa per mestiere ed ad un livello un po' più "basso" che quello del semplice sistemista...

[op.lock]

Prima di dire alla gente che non sa cosa dice, accertati di sapere cosa stai dicendo tu...

Punto primo se paragoni UAC a su (o sudo) significa che non sai nè cos'è UAC nè su (nè sudo): su serve a cambiare utente, e se proprio lo vuoi assimilare a qualcosa di winsozz, è appunto il comando di cambio utente senza fare il logout. Sudo, invece, ti assicura i privilegi di super-user, ma non quelli di root... il che significa che puoi eseguire determinate operazioni, ma non altre... e cmq le azioni sono sempre riconducibili all'utente e non al super-utente (quindi eventuali "file" malevoli utilizzati dall'utente, non potranno mai guadagnare i privilegi di super-utente automaticamente).

il meccanismo che implica l'utilizzo di UAC o SU o SUDO è praticamente lo stesso e consiste nel non dare all'utente i privilegi necessari a fare danni rendendolo consapevole, tramite prompt con lo UAC o tramite inserimento a manina del comando SU o SUDO che sta andando a compiere azioni che possono portare modifiche al sistema.

Punto secondo... ma tu, che ti dici professionista del settore, hai la minima idea di come giri un qualsiasi programma su un qualsivoglia sistema operativo? Hai l'eseguibile, che viene lanciato con i privilegi adeguati, che usa delle librerie di sistema che sono pre-caricate. Poi c'è un "modulo" (nel SO) che dice a quali funzioni di libreria può accedere il sudetto programma e a quali no...

ma dai? davvero? non so se la mia parte di sistemista o quella di programmatore dovrebbe avere queste conoscenze, dopo guardo su nonciclopedia se trovo spiegazioni

Il sistema (geniale) di protezione di VISTA è quello di mettere una parte del modulo di controllo (che per altro si occupa anche dell'UAC), come "funzione di libreria" (perchè non tutte le applicazioni le fa mamma microsozz! accidenti!) accessibile da tutti (IE7 e Firefox inclusi)...

Questo in soldoni significa che anche se IE7 gira in un fortino blindato, c'è "una porticina" che dà direttamente sul sistema operativo. Una volta che sei riuscito a sfruttare un exploit su IE7, hai accesso alle librerie di sistema, esattamnte come se IE7 girasse in modalità "meno protetta".

leggiti un po di documentazione tecnica su IE7, a partire da quella che ti ho linkato nel mio precedente post... davvero, continui a dimostrare di parlare per sentito dire, complimenti!

Rispetto a winsozz 98 in cui lo stesso processo explorer (già in winsozz 2000 lanciavano due processi diversi per shell locale e browser internet, anche se in modalità shared memory) veniva usato sia per navigare su internet che per lanciare modifiche al registro, è stato introdotto un livello di complessità in più...

Ma finchè ci si ostinerà ad autenticare tutto a livello di sistema operativo, invece che a livello utente... c'è poco da fare... una vlta dentro sei dentro il sistema...

Metaforicamente è come se in una grossa azienda, venisse controllata l'identità dell'utente solo all'ingresso, e poi lo si accompagnasse alla sua postazione... quando poi i singoli pc non sono protetti da username e password specifici per ogni utente.

ti rispondo così: Security Watch: Services Hardening in Windows Vista

e ti dimostro un'altra volta che non sai di cosa stai parlando... il resto del tuo discorso è un nonsense legato alle tue false convinzioni che ti ho smontanto con l'articolo technet linkato qui sopra...

Però dare dell'incompetente a qualcuno su una cosa che tu stai dimostrando di non aver capito minimamente, è un tantino pretenzioso, non trovi? Anche e soprattutto se questo qualcuno si occupa di quella cosa per mestiere ed ad un livello un po' più "basso" che quello del semplice sistemista...

non credo tu te ne sia mai occupato più approfonditamente di me di questi argomenti, fidati... comunque ripeto: rileggiti quanto ti ho linkato, leggitelo 1, 2, 20 volte... cerca su google se non ti basta...

cerca "windows service hardening"... studia che potrebbe farti molto bene...