skip to main | skip to sidebar
83 commenti

Linux, sicurezza scavalcata premendo 28 volte Backspace

Linux ha una buona reputazione in fatto di sicurezza, e molti linuxiani si bullano della robustezza di questo sistema operativo. Per cui vederli umiliati da un difetto di sicurezza ridicolo come quello scoperto da due ricercatori del Politecnico di Valencia è piuttosto divertente.

I ricercatori, Hector Marco e Ismael Rispoli, hanno infatti trovato che si può scavalcare completamente la sicurezza di un computer Linux correttamente configurato semplicemente premendo il tasto Backspace 28 volte durante l'avvio, quando la macchina chiede il nome dell’utente. C’è infatti un difetto nel bootloader Grub2, per cui queste pressioni ripetute portano alla Rescue Shell di Grub.

Niente panico, comunque: la falla è sfruttabile soltanto da chi ha accesso fisico al computer, per cui è un rischio soltanto in ambienti promiscui, e il bello del software libero è che chiunque può apportare modifiche e correzioni. Infatti i due ricercatori hanno realizzato una patch che risolve il problema. Ubuntu, Red Hat e Debian hanno già pubblicato degli aggiornamenti ufficiali.
Invia un commento
I commenti non appaiono subito, devono essere tutti approvati da un moderatore. Lo so, è scomodo, ma è necessario per tenere lontani scocciatori, spammer, troll e stupidi: siate civili e verrete pubblicati qualunque sia la vostra opinione; gli incivili di qualsiasi orientamento non verranno pubblicati, se non per mostrare il loro squallore.
Inviando un commento date il vostro consenso alla sua pubblicazione, qui o altrove.
Maggiori informazioni riguardanti regole e utilizzo dei commenti sono reperibili nella sezione apposita.
NOTA BENE. L'area sottostante per l'invio dei commenti non è contenuta in questa pagina ma è un iframe, cioè una finestra su una pagina di Blogger esterna a questo blog. Ciò significa che dovete assicurarvi che non venga bloccata da estensioni del vostro browser (tipo quelle che eliminano le pubblicità) e/o da altri programmi di protezione antimalware (tipo Kaspersky). Inoltre è necessario che sia permesso accettare i cookie da terze parti (informativa sulla privacy a riguardo).
Commenti
Commenti (83)
mi meraviglia sempre di più la diffferenza di toni con cui vengono scritti gli articoli, in base all'argomento.
e la differenza tra questo e questo (http://attivissimo.blogspot.it/2015/12/siamo-nel-2015-e-un-pc-con-outlook-e.html) è patetica, francamente
per quanto mi sembra di aver letto (non ho avuto modo di sperimentare direttamente sulla mia Linux Box) si deve avere accesso fisico alla macchina. Infatti non si tratta di un problema dell'autenticazione utente ma di un problema sulla password del GRUB (che e' distinta dalla gestione degli utenti) e che viene richiesta al boot/reboot e non a macchina attiva (a livello di shell o di X)

il problema esiste ma diciamo che e' meno devastante di altri che si possono verificare da attacchi remoti su servizi di rete
Luca
È sicuramente un problema di sicurezza, però... francamente non ho mai visto mettere la password su grub (quindi il PC è sempre attaccabile).
Bisogna anche considerare che occorre accedere fisicamente al PC (se non altro per inserire una chiavetta emulatore di tastiera), quindi in sostanza la falla esclude l'uso "casalingo".
Potrebbe essere invece un problema se si è al lavoro, dove magari il PC viene lasciato incustodito anche per breve tempo, anche se qui è forse meglio mettere la password sul BIOS anziché su grub per evitare che qualcuno possa avviare il PC da chiavetta USB.
La stagranza maggioranza non usa il passwd del bootloader grub (dov'è la vulnerabilità) ma o il disco criptato con richiesta passwd dopo grub e/o il passwd di login con la /home/utente criptata. Quindi il titolo è un po' troppo stile repubblica.
Infatti mi chiedevo perchè tra gli aggiornamenti di sicurezza di Linux Mint c'era GRUB 2, che di solito non appare.
Comunque una vulnerabilità 0-day risolta in 1 day :-)
Ed era sfruttabile solo in locale, con accesso fisico e diretto al PC.
Ciao Paolo,
a dire la verità il problema non si pone: se hai accesso fisico alla macchina l'unica cosa che può proteggerti è aver criptato le partizioni con i dati sensibili. Basta fare l'avvio con un CD Live e puoi cambiare la password di amministratore di qualsiasi distro Linux o sistema Windows.
Anche con Mac la procedura è semplicissima:
Command+R all'avvio, scegliere utilità>Terminale
# resetpassword
Finally, reboot!
Comunque ben venga l'aggiornamento già pronto, grazie alla disponibilità del codice sorgente.
Stefano
Paolo, scusa, ma non ho capito.

La shell di rescue di grub se hai accesso fisico alla macchina (come per premere backspace) la puoi avviare comunque durante la selezione del sistema operativo da avviare (dal grub appunto)...

Forse intendi che lo si fa inviando il codice corrispondente alla backspace da remoto?

Tra l'altro il grub una volta partito l'so non dovrebbe neanche più essere attivo dato che il suo compito finisce nel dare i parametri al kernel (qui sta la pericolosità), ma i parametri al kernel si possono dare solo all'avvio dello stesso, non dopo.
Il bug (grosso) è nel bootloader non a livello di Os. Sfruttata avrei accesso ad una rescue shell e quindi che potrei farne? Installare un keylogger? In che modo è una vulnerabilità?
La sicurezza di Linux non è nell'avere software a prova di bug, sarebbe semplicemente improponibile, almeno al giorno d'oggi. La vera sicurezza del Pinguino è nell'apportare e rendere disponibili le correzioni ad una velocità che per altri OS è, per molti motivi, impossibile. IMHO.
Questo bug non mi sembra proprio un 'big deal'. Anche senza questa password *se il contenuto del disco non è cifrato* chiunque abbia accesso fisico ad un PC può leggerne i contenuti dal disco fisso! O peggio modificarne il bootloader etc... etc... (no UEFI). Riassunto per chi non ama i termini tecnici: questa password non forniva comunque alcun tipo di sicurezza.
Aggiunta al mio precedente commento: rimane comunque un bug GRAVISSIMO e PATETICO.
A quanto pare non permette di accedere al sistema operativo bypassando utente e password, ma permette di bypassare la richiesta di password del grub stesso, funzione che personalmente non ho mai visto usare.
http://www.miamammausalinux.org/2015/12/grub2-cancella-la-password-col-tasto-cancella/
Comunque non è necessaria questa falla per accedere a qualsiasi sistema linux o windows che sia. Se si ha l'accesso locale alla macchina l'unica salvezza è la crittografica dell'intero disco.
Quando riparo pc dei miei clienti con windows, che sia xp, vista, 7, 8 o 10, non chiedo mai utente e password, perchè non mi servono:
http://www.piotrbania.com/all/kon-boot/
La falla è certamente molto divertente (ed il modo di sfruttarla molto ingegnoso). Però per completezza bisogna dire che non è una falla di Linux, ma di GRUB. Ovviamente poi, una volta che uno riesce ad accedere come root, su Linux può fare quello che vuole. La falla di GRUB può essere sfruttata solo se ci si trova fisicamente davanti al computer e lo si può riavviare (ed il computer non richiede una password crittografica per partire): in casi come questo si è a poca distanza dal poter direttamente fare un attacco con il cacciavite, per cui l'effettiva portata di questa falla è piuttosto contenuta secondo me.
Non è così semplicistica la vicenda.
Il bug non è di "linux" bensi di Grub2, uno dei più utilizzati bootloader di default da molte distribuzioni GNU/Linux e non consente di "scavalcare completamente la sicurezza di un computer" bensì di bypassare solamente il controllo di sicurezza basato su user/passwd del bootloader, senza intaccare minimamente la sicurezza della distribuzione. Resta inoltre il fatto che se i dati su disco non sono crittati è assolutamente triviale accederci operando direttamente sul disco mentre se sono correttamente crittati restano tali e quindi non direttamente accessibili. Il bug inoltre è presente nelle sole versioni tra la 1.98 e 2.02.

-Ettore
La sicurezza di Linux non è declinata dall'avere software a prova di bug o impenetrabili che non credo sia fattibile al giorno d'oggi (ma sarei felicissimo di essere smentito), ma come anche ribadito nell'articolo, nell'essere open e quindi di realizzare e rendere disponibile la soluzione in tempi che per gli altri OS è di fatto impossibile.

Quindi direi sì, Linux è sicuro. :-)
"Il bug (grosso) è nel bootloader non a livello di Os." E che differenza fa, se mi permette di accedere a un prompt coi privilegi di root? Vado a leggere ma mi sa che è come il single user mode di OSX..

Non tutte le distribuzioni criptano i file personali. Di sicuro non lo fanno in automatico, oltretutto /etc/passwd non è in /usr quindi pure se fossero criptati posso accedere ugualmente.

Anzi è ancora peggio http://hmarco.org/bugs/CVE-2015-8370-Grub2-authentication-bypass.html se andare a leggere i dettagli.
2Quindi direi sì, Linux è sicuro. :-) " Non più o meno di altri OS. Non tutti quelli che scoprono una vulnerablità rilasciano immediatamente la patch.

Heartbleed ve lo siete già dimenticato?
Una specie di backdoor
Andrea,

mi meraviglia sempre di più la diffferenza di toni con cui vengono scritti gli articoli, in base all'argomento.


Mi meraviglio che non cogli la differenza d'importanza fra un bug sfruttabile da remoto e wormable e un bug sfruttabile soltanto se sei fisicamente davanti alla macchina.
Le regole di sicurezza dicono ceh l'accesso fisico ad una macchina equivale all'accesso di root (o equivalente).

Vero e' che se uno mette la password al boot manager lo fa per una ragione che non e' certo quella di impedire che la macchina venga clonata con l'accesso fisico (potrebbe non essere fisicamente accessibile a chi ha il controllo KVM), quindi quello di GRUB si configura come problema di sicurezza a tutti gli effetti.
28 volte di fila?
Ho pensato la stessa cosa che pensai quando lessi che certe specie di coleotteri differiscono solo per la forma degli organi genitali: come diavolo hanno fatto ad accorgersene?
@Luigi Rosa: sono pienamente d'accordo con la tua prima frase, ma non sono sicuro di aver compreso la seconda. Te lo dico perché io "gestisco" qualche macchinetta virtuale su KVM/QEMU per la piccola azienda dove lavoro, ma lo faccio avanzatempo. Sembra che tu stia consigliando di mettere la password al grub delle macchine virtuali, ma non capisco perché. Ho capito bene? Se sì, riesci a spiegare il motivo in due righe? Grazie per la consulenza. (Paolo scusa se frutto il tuo spazio, ma siamo in tema, la consulenza ci sta bene no? :-)
@martinobri: hai ragione. Ma come se ne saranno accorti? Avranno detto: mah,spingiamo la barra per 32 volte-di-seguito-proprio-durante-l-avvio...oh! Guarda ne sono bastate 28!:)
Grazie Paolo, per aver regalato qualche attimo di sana gloria a questo povero Winzozziano!
^_^
@martinobri Non penso che abbiano fatto tentativi a caso per scoprire il 28. La cosa di cui bisogna veramente accorgersi è il fatto che esiste un bug di buffer underrun, cosa che di per sé non è difficilissima. Chiaro, se leggi il codice rapidamente magari non te ne accorgi, però il tutto avviene in una funzione di 20 righe piuttosto standard e semplice, per cui non è complicato notare la possibilità di un buffer underrun (se ci fai caso). Quello è il punto chiave. Poi il numero 28 viene fuori quando cerchi un modo per sfruttare la falla e richiede una certa ingnerizzazione per nulla banale, ma a quel punto non stai più procedendo a caso. Comunque esistono anche test di sicurezza che prevedono di eseguire un programma tantissime volta dandogli ogni volta un output molto strano e cercando di capire quando il comportamento del programma non è normale. Però non penso che sia quello che è successo in questo caso.
@Paolo:

Credo che la differenza di toni fosse criticata nel senso opposto a quello che hai inteso tu. Come dici tu stesso, questo è un bug meno grave, eppure in quell'articolo non si parla di "sicurezza completamente scavalcata", "linuxiani che si bullano umiliati" e "difetto ridicolo".

Come da altri fatto notare, una volta ottenuto accesso fisico a un computer i dati non criptati sono da considerarsi compromessi a prescindere, quindi questo bug non cambia nessun equilibrio e non c'è una sicurezza completamente scavalcata. Anche secondo me rimane comunque un difetto ridicolo.
@Lupo della Luna:

Le password non stanno più in /etc/passwd da tanto (ma stanno in /etc/shadow comunque, quindi la situazione è la stessa), e le home degli utenti non stanno in /usr.
I file personali che io sappia non sono criptati di default in nessuna distribuzione, ma in questo caso come dici caso andrebbe criptato l'intero disco.

L'articolo riguarda però un bug che permette di scavalcare una misura di sicurezza anch'essa non di default, usata proprio negli scenari in cui si vuole proteggere un computer da accesso fisico (soprattutto a scopo di infezione).
Per la protezione da questo scenario però sarebbe comunque sempre obbligatorio criptare l'intero disco per avere una sicurezza accettabile, a prescindere dall'esistenza di un bug in un meccanismo di sicurezza secondario, altrimenti la sicurezza fisica sarebbe comunque poco più che nulla.
Caro Paolo, chiunque abbia un passato da sistemista sa che le procedure di reset della password di admin sono previste su qualunque sistema operativo. Nelle distribuzioni di Linux e Unix si fa accedendo al boot in single user mode. Esistono procedure analoghe per Windows server. La prima regola è infatti, segregare il server in un luogo sicuro... è perfettamente lecito smarrire la password di root, la vulnerabilità riportata è perfettamente inutile. Ciao Davide.
Si volevo dire /home o /users, hai capito cosa intendevo :p Linux non lo uso da 1 anno almeno e sul Mac a lavoro non posso usare il terminale.
peccato perché avviando in single user mi sono messo nel file sudoers :(


Comunque criptare il disco non serve a niente (vedere descrizione del baco).
@Laserium prima, tanto prima, che fosse un software di virtualizzazione, KVM era semplicemente l'acronimo di Keyboard, Video, Mouse :)
intendevo dire che esistono setup hardware in cui persone hanno accesso alla tastiera e al video, ma non al PC fisico. Un esempio per tutti: i totem.
@Tukler
@Lupo della luna

Inoltre, anche se un intruso ha accesso alla macchina, non può sottrarre le password degli utenti: {credo che} tutte le distribuzioni registrano solo l'hash delle password, non la password in chiaro:

stefano@home:~$ sudo cat /etc/shadow | grep stefano
stefano:$6$Gqi0/wmq$rLllLOQ9Ys0.N38mhoHNkAEtiKasVuc9KFP9jtATevQ4Qh6dli4QTgbOlBWTjU/Z7WQ0U9r9DSQkIurbR.2Xr/:16785:0:99999:7:::

Stefano
@Luigi Rosa: ora è tutto chiaro, quell'uso dell'acronimo me l'ero perso.
@Paolo: le due righe di spiegazione di Luigi spazzano via il 90% dei commenti polemici e "religiosi" apparsi sotto questo post. Mancano il bersaglio, non consapevoli (come me) dei casi in cui quella password è veramente utile. Se ti avanza tempo (eh eh) valuta un'integrazione... :-)
Certo, ma basta sostituire l'hash con uno noto ed è fatta. Hai accesso e una volta che sei entrato ti copi i file e sei a posto. Magari non hai il tempo di smontare il disco per fregarti i dati..

@Lupo della luan

"Comunque criptare il disco non serve a niente (vedere descrizione del baco). "

Beh, non proprio: se mi rubano il pc non riescono ad entrare nella partizione cifrata. Il metodo è installare un keylogger per scoprire la password dell'utente.

"As pointed before, our goal is to steal data of an user. Since the data is ciphered, the strategy we will use is to infect the system and wait until the user decrypts the data (by login into the system) and then access to the information in plain."

A questo punto:
-nessun rischio da remoto
-devono aver accesso fisico alla macchina
-la macchina deve contenere dati segreti tali da aver cifrato il disco, protetto con password il bios, password per GRUB, lucchetto sul chassis, installata in un luogo protetto e con controllo agli accessi (altrimenti non ha senso che metta la password su grub e che questo baco sia quindi utile)
-devo non aver aggiornato il sistema (a questo punto LOL)
-spegnere la macchina, tanto sicuramente non me ne accorgo
-fare il lavoro e riavviare
-andarsene senza far notare nulla
-devono attendere che l'utente acceda con la propria password
-recuperare la password per decifrare il disco

Poi dentro ci devono almeno trovare le prove che lo sbarco sulla luna è stato filmato nell'Area51!

Stefano
Ma scusate, se io ho l'accesso fisico ad un PC, posso compiere su di esso qualunque turpitudine; a che serve perdere tempo con GRUB2?
Metto una live di Linux su CD o pennetta e posso accedere a tutto il contenuto dell'hard disk; che ci sia Windows, Linux o MacOSX poco importa (se i dati sensibili non sono criptati).
Neppure la password del BIOS può fermarmi; basta staccare la batteria tampone e tutto il contenuto della CMOS (compresa la password) evapora!
@Lupo della luna
"ma basta sostituire l'hash con uno noto ed è fatta"
No... se fai così puoi accedere al sistema come utente, e ovviamente sei già dentro come root e la cosa non ti è di maggiore utilità (anche perchè come root non cambi l'hash, dai semplicemente "passwd stefano" e cambi direttamente la password).
Ma se non conosci la password originale dell'utente non riesci a decrittare i file della home. Per quelli non basta cambiare password/hash o quello che sia, ti serve la password giusta!
Stefano
Aspetta, a me non chiede niente a parte il login e la partizione é criptata
Perchè la tua password utente e quella per decrittare la partizione è la stessa, ed il sistema esegue in automatico il mount attraverso ecryptfs-mount-private.
Ma prova a spegnere il sistema, e riavviare come root (in grub aggiungi initi=/bin/bash)
montare la root come rw (mount -o remount,rw /)
cambia la password del tuo utente (passwd utente)
Poi riavvia e fai login. Se non usi la password vecchia non sblocchi la partizione criptata. Per il mount dovrai usare ecryptfs-mount-private e la tua vecchia password.
Ovviamente direi, altrimenti criptare il disco non servirebbe a niente.
Comunque non provare sul sistema in uso, prova con una macchina virtuale o almeno fai un backup prima (non occorre dirlo, giusto?).
L'altro unico modo per sbloccare la partizione crittata è usare la passphrase:
Durante la creazione della partizione il sistema crea una passphrase per il recupero, bisognerebbe segnarsi tale stringa, ottenibile tramite:
ecryptfs-unwrap-passphrase /home/.ecryptfs/utente/.ecryptfs/wrapped-passphrase
_BISOGNA_ inserire la password e si ottiene una stringa tipo:
aa4cbba551a30ae8efa991a31797f438 (non è la mia, eh!)
Se non ricordi la password e non hai segnato da qualche parte la passphrase i tuoi dati non sono recuperabili.
Per ulteriori informazioni molto utile è la pagina di arch (anche in italiano)
https://wiki.archlinux.org/index.php/System_Encryption_with_eCryptfs_%28Italiano%29

https://wiki.archlinux.org/index.php/Disk_encryption_%28Italiano%29
A questa pagina trovi altre informazioni sulla robustezza e le criticità delle partizioni criptate. Un metodo per superare la crittografia è il cold boot, ma stiamo sempre esaminando situazioni estreme.
Stefano
@Il Lupo della Luna:

Comunque criptare il disco non serve a niente (vedere descrizione del baco)

Non proprio, l'articolo parla di uno scenario in cui è criptata solo la home dell'utente, in questo caso è vero che root può trovare il modo di rubargli la password.
Verso la fine dice anche che basta avere in chiaro la partizione /boot che di default non è criptata (ma va? e da quando stiamo parlando di scenari di default?).

Ma se, come dicevo, è l'intero disco ad essere criptato, il keylogger dove lo installi?
Oh andiamo, ragazzi, inutile girarci intorno: chiunque abbia una chiavetta con Linux (magari persistente, per sapere già dove trovare ogni cosa) può prelevare i files che vuole da ogni PC e poi PIALLARE windows, rendendo quel PC solo un soprammobile con la scritta "OS Not Found" sul monitor.
Non lo facciamo perchè non vogliamo mettere nei guai gli amici e i colleghi, ma a ben vedere, questo problemino col GRUB2 che ha avuto Linux, per windows è la regola. Da quando è nato.
E non c'è nulla che Microsoft possa fare: Linux legge i file sistem di windows, ma non viceversa, e certamente non li legge su una pendrive.
rico: e invece chiunque non può fare la stessa cosa con un disco avviabile di Windows (o di OSX, o, santi numi, di MS-DOS, riuscendo a fare una pendrive bootabile) su una macchina Linux?

Nota, se il disco windows è criptato con Bitlocker puoi piangere in aramaico antico nel dialetto di Betlemme, ma non ci tiri fuori niente esattamente come non tiri fuori niente dalla partizione criptata di qualsiasi altro OS.
Ma qui si parla di crittografia, il che è leggermente fuori argomento dato che è abbastanza os-independent.

Tuttavia, se sei convinto che col computer davanti Linux sia inviolabile ti conviene un bel ripasso di informatica di base. O una più rapida ricerca su Google, oppure un nome: metasploit

http://linuxconfig.org/recover-reset-forgotten-linux-root-password

https://cyberarms.wordpress.com/2012/04/25/metasploitable-gaining-root-on-linux-system/

http://security.stackexchange.com/questions/84921/gaining-root-access-on-ubuntu-14-04

rico: *ehm* "Windows non legge le partizioni Linux" http://www.diskinternals.com/linux-reader/
Stefano: grazie delle info, non mi occupo di sicurezza ma l'argomento mi incuriosisce un sacco.
Tukler: non sapevo che si potesse criptare l'intero disco (compreso /boot)
'avvio, quando la macchina chiede il nome dell’utente. C’è infatti un difetto nel bootloader Grub2, per cui queste pressioni ripetute portano alla Rescue Shell di Grub
a parte che la procedura per accedere al rescue shell di grub e' una procedura prevista e documentata, e comunque se uno ha accesso fisico alla macchina non ci sono protezioni o password che tengano... a meno di non allucchettare fisicamente il case... (ma anche li' il lucchetto si rompe e se non si rompe il lucchetto si spacca un punto piu' debole, come la lamiera del case o il frontalino di plastica...
È stato già detto tutto, vorrei solo riassumere che:
1. il bug affligge Grub2 quando si usa la password. In più di 10 anni di uso di sistemi Linux non ho MAI impostato la password di Grub, quindi in teoria i miei sistemi sono più vulnerabili di quello che ha Grub bacato. :)
2. La storia, anziché mostrare la debolezza del modello software libero, in realtà ne dimostra la forza: il bug è stato scoperto, mostrato (il link mostra schermate dei sorgenti di Grub), commentato e risolto in tempi e modalità impossibili da realizzare in altri contesti, per non parlare del valore didattico che la storia possiede: grazie all'accessibilità ai sorgenti sappiamo tutto della vulnerabilità, di come funziona e di come si risolve. E lo sappiamo tutti, non solo gli autori del software.
@Lupo: non ho detto che un OS Linux non sia violabile, ho solo detto che windows lo è nativamente. In pochissimi minuti, aggiungo ora.
Inoltre non ho mai visto nessuno andare in giro con una pendrive "windows live", mentre per Linux è la regola (non potrei nemmeno re-installarlo, senza).
Guido: devo controllare se quel menù non sia accessibile in altro modo, tipo su una VM oppure che so tramite connessione di rete (tipo network boot..)
@Lupo
Guido: devo controllare se quel menù non sia accessibile in altro modo, tipo su una VM oppure che so tramite connessione di rete (tipo network boot..)
in sincerita' non me lo ricordo perche' e' una vita che non accedo in rescue mode (ed era solo per provare) - ora correggetemi se sbaglio, ma se proteggi grub con password e da live ti ce lo reinstallo sopra?
In ogni caso, mi sembra discutibile e offensivo iniziare un articolo con la frase: "Linux ha una buona reputazione in fatto di sicurezza, e molti linuxiani si bullano della robustezza di questo sistema operativo. Per cui vederli umiliati da un difetto di sicurezza ridicolo come quello scoperto da due ricercatori del Politecnico di Valencia è piuttosto divertente.
Nessuno si bulla di niente e non si capisce dove stia l'umiliazione nel momento in cui il presunto "difetto di sicurezza ridicolo" non è altro che una procedura prevista da chi ha sviluppato GRUB2 e destinata evidentemente agli amministratori di sistema; infatti, si sta parlando di premere 28 volte il tasto Backspace e questa dalle mie parti si chiama "procedura prevista" e non "difetto di sicurezza".
Ovviamente, finché tale procedura rimane segreta non succede nulla; se però viene sbandierata ai quattro venti, meglio eliminarla.
Infine, non serve a nulla parlare di sicurezza nel momento in cui la descrizione di una vulnerabilità inizia sempre con la solita frase: "Se si ha l'accesso fisico alla macchina ..."; se qualcuno lascia una Ferrari per strada con le chiavi nel cruscotto ...

Di nuovo grazie Paolo!... è davvero divertente leggere i commenti dei militanti Linuxiani che si affannano nel difendere il loro caro pennuto!
^_^
@Santana
Ovviamente, finché tale procedura rimane segreta non succede nulla; se però viene sbandierata ai quattro venti, meglio eliminarla.
non e' quello il concetto di "procedura prevista" - se e' prevista allora deve essere documentata e di pubblico dominio (come la rescue console sempre di grub) - la sicurezza tramite offuscamento non e' mai stata applicata nel software libero, perche' non e' possibile come concetto, visto che i sorgenti sono liberi e disponibili. Quindi mi sa che 'sta cosa non era proprio prevista, te lo dimostra il fatto che la correzione e' arrivata a tempo di record... Nessuno si sogna di eliminare la console di recupero di grub, nonostante anche questa possa comportare dei rischi di sicurezza, proprio per il fatto che e' voluta (e documentata).
@Santana (bis)
Infine, non serve a nulla parlare di sicurezza nel momento in cui la descrizione di una vulnerabilità inizia sempre con la solita frase: "Se si ha l'accesso fisico alla macchina ..."
su questo sono abbastanza d'accordo, nel senso se hai accesso fisico alla macchina non c'e' protezione che tenga, resta il fatto io (amministratore di sistema) devo e voglio sapere quali situazioni possono comportare un rischio di sicurezza affinche' possa prendere le giuste misure, se il comportamento non e' documentato allora non e' una feature e' un bug...
Il Lupo della Luna
Windows non legge nativamente partizioni formattate in ext, le legge solo con programmi terzi. Linux invece le legge nativamente da lustri.

Guido Pisano,
si il case lo puoi aprire da altre parti ma in genere questi case dovrebbero avere allarmi di vario tipo proprio per evitare l'apertura indesiderata.

Santana,
una backdoor non è mai sicura, difatti è stata scoperta.

Piuttosto, le password conservate con hash non sono attacabili con le Rainbows Tables, oltre che con dizionari e forza bruta?
@Scatola
si il case lo puoi aprire da altre parti ma in genere questi case dovrebbero avere allarmi di vario tipo proprio per evitare l'apertura indesiderata.
teoricamente te in sala server manco ci dovresti arrivare se non sei autorizzato, inoltre i vari rack dovrebbero essere accessibili solo al titolare dei server ivi contenuti per cui se sei arrivato davanti ad un case non tuo c'e' un grosso problema di sicurezza e l'allarme collegato al case e' l'ultimo dei tuoi problemi :)
@giovanni
la migliore difesa di linux te la da' l'identificazione del bug e la sua correzione, avvenute entrambe a tempo di record... Inoltre il fatto di disporre dei sorgenti facilita l'identificazione di problemi e potenziali rischi di sicurezza, cose che con altri sistemi operativi non e' possibile, e un bug per essere identificato come tale deve essere riconosciuto dalla casa madre, e poi corretto quando questa decide di farlo - cosa che in alcuni casi puo' non avvenire mai...
Che poi in realtà non basta neanche criptare tutte le partizioni del disco, in caso di accesso fisico l'attacco è comunque possibile. Si potrebbe installare un bootkit, modificando il bootloader in modo che dopo aver decriptato comunichi la chiave.
Serve qualcosa a livello ancora più alto, ovvero il TPM supportato a livello di BIOS, che permetta di criptare o firmare anche il bootloader (quale bootloader o quale sistema operativo è abbastanza ininfluente).

Questo è quello di cui tenere conto se si parla di sicurezza fisica, la "password del bootloader" scavalcabile è assolutamente marginale in questo contesto.
@Santana:

dubito che un buffer overflow sia una procedura prevista;)
Attenzione, avere accesso a grub non e' un difetti da poco, e' possibile avviare il sistema direttamente in una root shell (una specie di modalita' manutenzione).

Rimane il fatto che il sistema deve essere fisicamente accessibile e incostudito.
@gius
pero' non e' un difetto (quello della root-shell, non quello del 28voltebackspace), e' previsto e documentato, sta poi all'amministratore di sistema difendersi come meglio crede (tipo criptando gli hdd), o impedendo l'accesso fisico alla macchina (che in un server dovrebbe essere la norma)... Se invece una funzione non e' documentata e bagari nemmeno prevista, beh non la chiamerei "feature" quanto "bug"
bagari
refuso da raffreddore!
Bug risolto vedi qui http://hardware.hdblog.it/2015/12/20/Basta-un-solo-tasto-per-hackerare-alcuni-computer-Linux--Fix/?utm_source=dlvr.it&utm_medium=twitter
@guido

"la migliore difesa di linux te la da' l'identificazione del bug e la sua correzione, avvenute entrambe a tempo di record..."

Insomma, non direi proprio "a tempo di record"... se non ho capito male, si tratta di una "falla" (se così si può chiamare) risalente addirittura al 2009, ma che è stata scoperta solo pochi giorni fa... che poi sia stata "risolta" rapidamente è un altro discorso (anche le "falle" di Windows, una volta scoperte, vengono risolte quasi all'istante).

In ogni caso, il punto è un altro, infatti questo aneddoto, oltre a dimostrare per l'ennesima volta che Linux non è poi tanto "Chuck Norris" come si vuol far credere, deve far riflettere sul fatto che, così come un "difetto" del genere è riuscito a passare inosservato per ben 7 anni sotto gli occhi di migliaia di sviluppatori, chissà quanti altri "difetti", magari anche più gravi, sono lì nascosti da qualche parte e nessuno li ha ancora notati... o peggio, qualcuno forse li avrà pure notati, ma se li tiene per sé sfruttandoli a suo vantaggio finché può... chissà?!...
@Giovanni
nche le "falle" di Windows, una volta scoperte, vengono risolte quasi all'istante
hemmm no... Sono diversi i casi in cui mamma microsoft ci mette eoni per riconoscere un bug come tale, (per carita' e' giustissimo validare e verificare una segnalazione, un po' meno metterci troppo tempo), come altrettanti sono i casi in cui la correzione e' arrivata dopo molto, troppo tempo...
re a dimostrare per l'ennesima volta che Linux non è poi tanto "Chuck Norris" come si vuol far credere
come hanno gia' fatto notare, questo e' un bug sfruttabile solo e soltanto se sei davanti alla tastiera, cosa che per un server non e' la norma (e nessuna macchina e' sicura se puoi accederci fisicamente), inoltre se l'amministratore di sistema ha cifrati gli hdd puoi prendere il controllo della macchina, ma difficilmente potrai vederne il contenuto...
quindi direi che se e' una vulnerabilita' e' una vulnerabilita' non grave...
magari anche più gravi, sono lì nascosti da qualche parte e nessuno li ha ancora notati..
allora secondo te meglio un sorgente chiuso dove nessuno (a parte la casa madre) puo' guardare e metterci le mani?
@giovanni
ti riposto il link perche' mi sa che non lo hai notato:
bug di windows corretto dopo 19 anni - per carita' e' un caso limite, ma ti da' l'idea dell'arbitrio che ha mamma microfoft...
@Scatola: "Windows non legge nativamente partizioni formattate in ext, le legge solo con programmi terzi. Linux invece le legge nativamente da lustri."
E quindi? Sta di fatto che Windows sia in grado di leggere anche partizioni linux, non credo che importi il come. Ora, non è che leggere partizioni di formati "strani" sia indice della bontà o meno di un sistema operativo.

@Giovanni: oltre a quello che fai notare tu c'è anche da dire che si, questa falla è lì dal 2008 e solo pochi giorni fa ne è stata resa pubblica l'esistenza da parte dei due che l'hanno scoperta, ma chi ci dice che non fosse già nota a chi non ha interessa a farne conoscere l'esistenza (leggi hacker/cracker/malintenzionati).

rico: "Inoltre non ho mai visto nessuno andare in giro con una pendrive "windows live""
Il fatto che tu non l'abbia mai visto non implica che non esista. Il mio pendrive "rescue" è dualboot, c'è su trinityrescue e WindowsPE.
Che linux, per come è fatto, si presti a essere avviabile da qualsiasi media è semplicemente un modo per velocizzare l'installazione, anche perché molto spesso i dispositivi visibili dal sistema live poi non funzionano dopo l'installazione.
Tra parentesi windows offre di suo una sorta di shell minimale per la manutenzione (ripristino configurazione di sistema, riparazione della partizione di avvio, ecc..).

Dimenticavo, una installazione standard di linux permette di andare in modalità single user in modo banale, non mi ricordo se chiede la password di root ma credo proprio di no. Ho postato dei link a riguardo che ovviamente sono stati ignorati.

Ma quando si parla di Linux, esattamente come quando si parla di Mac, c'è questa buffissima tendenza a iniziare a fare i distinguo: "non è il sistema, è il bootloader" "e ma c'è sempre modo di evitare le conseguenze" eccetera eccetera. Quando invece il bug riguarda un prodotto Microsoft (tipo outlook) subito tutti a dire che "Windows fa schifo".
@guido

"ti riposto il link perche' mi sa che non lo hai notato..."

No no... l'avevo notato, il fatto è che si era già discusso di qualcosa di simile qua e qua... e guardacaso proprio con una altro GUIDO (Guido DR per l'esattezza)... ma vi chiamate tutti Guido voi Linuxiani??? ^_^

Insomma, riepilogando, si tratta, è vero, di bug presenti in Windows da tantissimi anni e mai notati fino a quel momento, ma una volta individuati sono stati comunque corretti rapidamente... forse meno rapidamente della stragrande maggioranza dei bug (stiamo parlando infatti di 2 o 3 eventi davvero estremi), ma in ogni caso, come avevo già scritto nelle discussioni che ti ho linkato, è fuorviante tentare di far passare la notizia che Microsoft, pur con tutti i suoi difetti, abbia impiegato 19 anni per correggerli... 19 sono gli anni in cui il bug è rimasto "nascosto", ma in realtà, dopo che è stato scoperto nel maggio 2014 e, dopo le verifiche di rito, Microsoft ha rilasciato la patch a novembre 2014, cioè dopo 5 mesi circa... che non sono pochi, per carità, ma non sono certo 19 anni!


"allora secondo te meglio un sorgente chiuso dove nessuno (a parte la casa madre) puo' guardare e metterci le mani?..."

Beh, non so se è meglio o peggio (chiuso o aperto, i bug vengono scoperti e corretti in entrambi i casi), ma vorrei comunque farti notare che, su un sorgente aperto, dove ci mettono le mani migliaia di sviluppatori in tutto il mondo, un bug è riuscito a farla franca per 7 anni... e come questo potrebbero essercene tanti altri nascosti chissà dove... o sbaglio?

Poi vorrei sottolineare anche un'altra particolarità piuttosto comica, ma alquanto emblematica, riscontrabile facilmente sui vari forum di software open source:
ogni qualvolta vengono individuati dei bug e rilasciate le relative patch, immancabilmente trovi centinaia di commenti di gente che bestemmia in aramaico chiedendo aiuto su come installare queste "benedette" patch (cosa che invece non succede con Windows grazie agli aggiornamenti automatici), perché, parliamoci chiaro, il 99% degli utenti di software open source non ha la più pallida idea di cosa ha in mano, ma lo usa lo stesso perché "fa figo"... poi però, al primo piccolo problema, soltanto leggendo parole come "SUDO", "ROOT", "GRUB" e roba simile, vanno i paranoia e tornano mestamente al caro vecchio Windows! ih ih ih... ^_^
Guido: "e ma non è il sistema operativo, è Internet Explorer" :D

Comunque bisognerebbe vedere se il bug è effettivamente sfruttabile, dato che grandissima parte di quelli che vengono scovati si verificano solo in determinate e precise condizioni.
@Lupo

concordo con tutto ciò che hai scritto!
^_^
Guido Pisano,

I computer sono e devono essere difesi dall'accesso fisico, lucchetti sul case, avvisi di case aperto, boot loader bloccato, richieste di login dopo periodi di inattivita', disattivazione di porte esterne, ecc. .

Una cosa e' dover impiegare molti minuti e attrezzi per guadagnare l'accesso, un'altra e poterlo fare in pochi secondi.

Con il bootloader sbloccato bastano pochi secondi per prelevare il file passwd e poi con comodita' e tranquillita' farlo elaborare dai 'rompitori di password'.
Giovanni Pracanica,

Concordo sul fatto che ci sia uno spiacevole doppio metro di giudizio.

Sulle patch sei rimasto molto indietro, ormai gli aggiornamenti si installano da soli o con un click del mouse.

Le patch a cui ti riferisci sono legate a chi vuole o necessita di compilare e installare dal codice sorgente (distribuzioni vecchie di decenni?).

P.S. Sono comunque mediamente piu' rapidi nel mondo linux, non possono nascondere gli scheletri nell'armadio.
@gius

"Sulle patch sei rimasto molto indietro, ormai gli aggiornamenti si installano da soli o con un click del mouse."

Eh sì, ammetto che da qualche tempo ho ridotto notevolmente la frequentazione di certi postacci. ^_^

Comunque la mia battuta sull'installazione delle patch era riferita più che altro a tutto il corollario di avvenimenti che immancabilmente vi orbitano attorno e che per la maggioranza degli utenti (poco competenti, diciamolo) sono grattacapi abbastanza stressanti... infatti devi riconoscere che i vari forum linux-derivati continuano ad essere stracolmi di segnalazioni di problemi legati a questa o quella installazione di patch, aggiornamenti, drivers, applicazioni, ecc. ecc... ad esempio, installi una patch come quella in questione ed il wi-fi ti smette di funzionare, poi finalmente aggiusti il wi-fi e la scheda video ti entra in modalità VGA a 16 colori, risolvi finalmente il problema della scheda video e ti sparisce il mouse... non è forse così? ^_^
Giovanni Pracanica,

Si e no, per un normale utente la situazione e' molto migliorata, forse rimane critica la gestione della scheda video (presumendo che l'utente non voglia usare di strumenti avanzati via console).

Sono un buon numero le distribuzioni che hanno un supporto a lungo termine e stabile di quanto installato.
Altre, per esempio la fedora, sono ' in the wild ', cambiano di continuo, non e' raro che arrivino cose troppo nuove.

In effetti c'e' poco rispetto verso il passato, non sono grandi cose, ma bastano per dover rilasciare una nuova versione del programma, driver, ecc. .

In linux si risolvono facilmente molte cose usando la console, va bene non voler diventare ' power user ', ma rifiutarsi del tutto e' come pretendere di guidare una macchina e non voler conoscere i segnali strdali.
@gius

"In linux si risolvono facilmente molte cose usando la console, va bene non voler diventare ' power user ', ma rifiutarsi del tutto e' come pretendere di guidare una macchina e non voler conoscere i segnali strdali."

Hai perfettamente ragione, il problema è proprio questo... di fatto sono tanti quelli che pretendono di guidare, ma purtroppo spesso, oltre a non conoscere i segnali stradali, non sanno proprio guidare! ^_^

Volendo restare in tema di automobili, paragonerei Linux ad una Ferrari di F1 e Windows ad una buona berlina di fascia media... ora, c'è gente, come te o Guido, che possono essere paragonati a dei piloti di F1, e che quindi sono in grado di saper gestire il mezzo, ma la maggior parte delle altre persone, che a stento sanno guidare un'utilitaria, se le metti al volante di una Ferrari da competizione, cosa combinerebbero?... nella migliore delle ipotesi, se non vanno a schiantarsi alla prima curva, condurranno la Ferrari come se fosse un'utilitaria, non sfruttandone quindi le reali potenzialità e rischiando inoltre, al primo imprevisto (una chiazza d'olio, l'asfalto bagnato, una foratura, ecc.), di non essere in grado di governarla in modo adeguato... è un paragone un pò forzato, e forse non proprio calzante sotto certi aspetti, lo so, ma è giusto per delineare in qualche modo il concetto.


In ogni caso, mi fa piacere che almeno un linuxiano riconosca che "ci sia uno spiacevole doppio metro di giudizio".
^_^
@Giovanni
ma vi chiamate tutti Guido voi Linuxiani??? ^_^
non prendi in considerazione l'ipotesi piu' ovvia... :)
cioè dopo 5 mesi circa... che non sono pochi, per carità, ma non sono certo 19 anni!
Forse l'ho posta male io, rimane il fatto che 5 mesi non sono comunque pochi (ma quello l'hai gia' detto tu), e' che comunque sei in "balia" del proprietario dei sorgenti. La patch esce se e quando te la rilasciano. Se teoricamente tu fossi in grado di scriverti la correzione da solo non potresti farlo perche' violeresti le condizioni della licenza
nella migliore delle ipotesi, se non vanno a schiantarsi alla prima curva, condurranno la Ferrari come se fosse un'utilitaria, non sfruttandone quindi le reali potenzialità e rischiando inoltre, al primo imprevisto (una chiazza d'olio, l'asfalto bagnato, una foratura, ecc.), di non essere in grado di governarla in modo adeguato
sai da quant'e' che dico che la maggioranza degli utenti non ha bisogno di un computer? Pero' poi passo da talebano...
una patch come quella in questione ed il wi-fi ti smette di funzionare, poi finalmente aggiusti il wi-fi e la scheda video ti entra in modalità VGA a 16 colori, risolvi finalmente il problema della scheda video e ti sparisce il mouse... non è forse così? ^_^
mai successo... Magari ho dovuto bestemmiare per i driver particolari (tipo wireless e scheda video) ma non mi e' mai successo che andassero in conflitto, nemmeno con Slack e ho detto tutto...
@Gius
I computer sono e devono essere difesi dall'accesso fisico, lucchetti sul case, avvisi di case aperto, boot loader bloccato, richieste di login dopo periodi di inattivita', disattivazione di porte esterne, ecc. .

Una cosa e' dover impiegare molti minuti e attrezzi per guadagnare l'accesso, un'altra e poterlo fare in pochi secondi.

Con il bootloader sbloccato bastano pochi secondi per prelevare il file passwd e poi con comodita' e tranquillita' farlo elaborare dai 'rompitori di password'.

non vedo il punto dove saremmo in disaccordo...
In linux si risolvono facilmente molte cose usando la console
trovami una cosa che puoi fare solo da gui e non da cli e ti pago da bere... :P
@guido

'non prendi in considerazione l'ipotesi piu' ovvia'

Siete nonno e nipote? O_O


'sei in "balia" del proprietario dei sorgenti. La patch esce se e quando te la rilasciano'

Vabbè dai, in fondo il 99,99% delle patch per Windows escono quasi subito, mentre i casi come quello che hai evidenziato tu, sono davvero rari e non credo proprio che i ritardi siano imputabili alla pigrizia del proprietario dei sorgenti nè tantomeno alla sua ignoranza... evidentemente, se alcuni interventi sembrano avvenire con una certa "rilassatezza", saranno certamente legati ad altri fattori determinanti, come ad esempio la necessità di svolgere test più approfonditi prima del rilascio, in modo da ridurre al minimo l'insorgere di eventuali altre problematiche, come i conflitti del wi-fi o della scheda video... che tu dici di non aver mai riscontrato, ma forse perché sei davvero bravo, mentre le testimonianze sui forum sembrerebbero dimostrare il contrario... e forse sta proprio qui il "difetto" della rapidità di rilascio delle patch nel software libero: si da priorità alla correzione del difetto nel più breve tempo possibile e quindi è verosimile che "nella fretta" si tralasci talvolta qualche altro aspetto che si traduce poi in un nuovo inghippo.


'trovami una cosa che puoi fare solo da gui e non da cli e ti pago da bere'

E qui si rientra infatti nel discorso della Ferrari e dell'utilitaria. ^_^
@Giovanni
Siete nonno e nipote? O_O
try again ;) (hint: "modifica profilo")
ma forse perché sei davvero bravo, mentre le testimonianze sui forum sembrerebbero dimostrare il contrario...
oppure ho avuto davvero cu... fortuna :P no seriamente, l'unico "problema" piu' grosso e'stata una scheda pci wireless asus (con hw brodocom) che ha richiesto un lspci e una googlata per i driver...
Seriamente, io credo che distro come imbuto & co. condividono con windows un grossissimo difetto: quello di spingere l'utente medio verso il basso con la scusa dell'essere looser-friendly quindi paradossalmente ha attirato tutta una fetta di gente che
a) sarebbe stato meglio evitare
b) non ha in effetti bisogno di un computer
poi ci sarebbe da aggiungere che spesso e volentieri i driver (che poi sono quelli che mi citi tu come fonte di incasinamenti) se non vengono rilasciati dal produttore sono frutto di retroingegneria e quindi e' facile che possano fare casino... mentre quelli che vengono inclusi nei rilasci di solito sono parecchio stabili, e di solito funzionano...
Vabbè dai, in fondo il 99,99% delle patch per Windows escono quasi subito
sarebbe interessante fare una statistica del tempo medio di rilascio...
la necessità di svolgere test più approfonditi prima del rilascio
in realta' molto tempo viene perso in fase di "accettazione" - ovvero quanto ci mette M$ a decidere che un bug e' davvero tale (penso passi dal reparto marketing per vedere se possono rivenderlo come feature :P)
Per quel che riguarda la qualita' degli aggiornamenti di windows te ne cito uno solo
Aggiornamento di test sfuggito di mano
ma la rete e' piena di computer windows che si incatastano dopo un aggiornamento (ti do' atto che essendo i computer windows milioni e' facile che qualcosa vada storto, ma non puoi negare che M$ ci metta del suo)
correzione del difetto nel più breve tempo possibile e quindi è verosimile che "nella fretta" si tralasci talvolta qualche altro aspetto che si traduce poi in un nuovo inghippo.
Mah - nel senso linux e' un s/o orientato ai server di conseguenza non puoi permetterti di fare casini per cui gli aggiornamenti devono essere testati e stabili (a meno che tu non usi qualche distro bleeding-edge dalla quale bisognerebbe guardarsi come dalla peste) con la differenza che essendo il sorgente pubblico e disponibile tutti possono vedere cosa e' stato fatto... Poi nessuno e' esente da bug, leggevo in un libro sulla sicurezza informatica che ci sono 4 errori ogni 100 linee di codice o giu' di li'...
E qui si rientra infatti nel discorso della Ferrari e dell'utilitaria. ^_^
don't underestimate the power of the dark side of the monitor ;)
@Guido Pisano

try again ;) (hint: "modifica profilo")

Niente da fare, non ci arrivo... sai com'è, in quanto Windows user, sono un pò tardone!...
Comunque stai in guardia, perché temo che Guido DR abbia creato un account su Google+ spacciandosi per te!
^_^
E' quasi cinquanta commenti che non sto capendo un tubo.
@Giovanni
Comunque stai in guardia, perché temo che Guido DR abbia creato un account su Google+ spacciandosi per te!
se e' una battuta vuol dire che hai capito :)
@martino
E' quasi cinquanta commenti che non sto capendo un tubo.
mea culpa, mea culpa mea maxima culpa ;)
Anche i linux esiste l'hardware compatibile o meno.
E' come per un hardware che per windows xp ha i driver e per winwdows 8/10 no, si puo' cercare di farlo funzionare, ma a costo di molta fatica e di successive regressioni.

Anche con linux l'utente (che non sia power user) deve acquistare l'hardware supportato dalla distribuzione che usa, altrimenti va' incontro a un sacco di difficolta'.

Una differenza e' che in linux, impiegando il tempo che serve, c'e' una qualche speranza di far funzionare hardware non supportato, con windows e' praticamente impossibile.
E che in windows un hardware funzioni e in linux no, non ha nessun significato sensato, e' come pretendere che windows veda i filesystem linux, insensato, semplicemente non lo fa'.
@gius
Anche con linux l'utente (che non sia power user) deve acquistare l'hardware supportato dalla distribuzione che usa, altrimenti va' incontro a un sacco di difficolta'.
ummm forse 10 anni fa, ora trovare hw non supportato e' davvero difficile, poi di solito se esiste un driver per una distro esiste anche per le altre...
Guido Pisano,

C'e' ne sono vari non supportati o supportati parzialmente o male.
Di solito sono i portatili, o hardware recenti, o hardware di cui il produttore cambia spesso il chipset (wireless, chiavette di rete, schede di rete a basso costo, e simili).
@gius
Di solito sono i portatili, o hardware recenti, o hardware di cui il produttore cambia spesso il chipset (wireless, chiavette di rete, schede di rete a basso costo, e simili).
hardware per il quale il generico non funziona e non esiste il porting linux? Beh se e' appena uscito ci credo, ma sono problemi che di solito scompaiono col tempo. Di incompatibilita' conclamata non ne ho mai sentito parlare... A parte winmodem...