Microsoft demora 7 anos para corrigir um bug

“E se fosse no Linux ?”

Já estaria consertado em alguns meses, mas ninguém ia dar tanta atenção porque flames sobre segurança no Linux não são tão explorados quanto os do Windows.

E se fosse no MacOS X?

Jamais seria consertado, seria varrido para baixo do campo de distorção da realidade. “Segurança(?)… mas olha só esse design…”

Excelente notícia velha.

[quote=wiltonpaulo]E se fosse no Linux ? Essa eu respondo. Tenho certeza que este problema não existiria mais, são milhares de programadores no mundo todo que têm acesso ao código fonte e já estariam com uma correção pronta, em no máximo alguns meses.[/quote]

É claro que existem diversas vantagens no código aberto. Se fosse no Linux, não seria um bug mas sim um feature. Ele teria sido feito exatamente dessa forma, para fazer exatamente isso. Se alguém não gostar, que se dane.
____________________
It is pointless to resist…

O problema não é a notícia ser velha, mas o bug ser velho e a correção tardia…

Linux User #201715

Graças à Zeus as correções no mundo do código aberto não demoram tanto quando essa correção, ou até mesmo A PUBLICAÇÃO DESTE ARTIGO.

—————————————–

“Em todo o caso, casai-vos. Se vos couber em sorte uma boa esposa, sereis felizes; se vos calhar uma má, tornar-vos-eis filósofos, o que é excelente para os homens”. – Sócrates

Seria um bug sim, só que como software é coisa séria, não levaria quase uma década pra ser corrigido.

Com certeza. Não há desculpas para isso.
____________________
It is pointless to resist…

Não querendo defender Redmond, mas e aquele bug do Debian Debians-like que demorou um bom tempo (não lembro quanto)??

Besteiras?
Aqui

Calma cobalto
o Hamilton está aproveitando as ferias da temporada 2008 para atualizar o Blog

__________________________________________________________
Tem Dias que a noite é F****

Sim. (besteiras)

Um erro não justifica o outro. Não é uma competição sobre quem é mais incompetente.

Essa correção de bug foi tardia porém fácil de corrigir.

Quero ver corrigirem um mega bug chamado Windows Vista.

(Será o Windows 7 um “Vista full demo expanded enterprise plug and prey patch edition”?)

__________________________________
Só assino se rolar 50% de sinal.

Você reclama de um problema que não existe (mais), a menos que seu PC seja um pau velho com mais de 5 anos.

Aí, solamento…
____________________
It is pointless to resist…

depois do Windows 7, a Microbug pretende lançar o “Windows – The Bugs Life”

MSN – Leosaomz@hotmail.com

O Win7 pré-beta mostra que eles corrigiram sim, a menos que criem outro até a versão final

—————————————–

“Em todo o caso, casai-vos. Se vos couber em sorte uma boa esposa, sereis felizes; se vos calhar uma má, tornar-vos-eis filósofos, o que é excelente para os homens”. – Sócrates

Há. Mercado. Mercado não quer segurança. Faça o que o mercado quer e cale-se. Não são bugs, mas features.

O portal se abriu e que venhm os trolls, sim tem trolls que usam windows, mas foi uma boa correcao tardia mas boa.

amanhã eu assino tá

No caso do Debian, o bug demorou para ser *descoberto*. Eles não tinham como corrigir um bug que eles não conheciam (ok, eles poderiam não ter cometido o erro, que foi simplesmente ridículo, mas isso aí já é outra história).

Já nesse caso da MS, o bug está há 7 anos engavetado esperando boa-vontade de algum desenvolvedor para corrigir ele. Isso é… inaceitável.

O mercado quer segurança, nem que seja a falsa. Por isso, Mac vende entre a “elite” e Linux entre a “plebe”. Ambos se acham imunes.
____________________
It is pointless to resist…

É, e teve aquele outro também que demorou um tempão, fora aqueles outros três.

Para uma plataforma do tamanho do Windows e derivados… 7 anos e meio é muito tempo mesmo.

Um troll alimentando outros trolls… pfff

E a comparação foi a mais infeliz de todas, no maior estilo “o meu é maior e mais grosso que o seu”

*******************************

Boa, essa!!

Silas Lopes – SilasIUB
http://silasiub.blogspot.com

Nenhum S.O. é imune, mas existe uns mais que os outros.
_____________
Música independente de qualidade.
http://www.loaded-e-zine.net

O titulo deveria ser:
“Meio Bit demora 7 anos para publicar uma matéria”
_____________
Música independente de qualidade.
http://www.loaded-e-zine.net

Sabe aquela reforma no telhado que tu precisava fazer? Então, deixa lá, enquanto não cair na cabeça deixa assim. Resumindo… Só uma preguicinha

Isso de fato foi sacanagem…
Lembro a dor de cabeça que foi quando o SP2 do XP saiu ha alguns anos atrás, trabalhava numa empresa de desenvolvimento e a comunicação entre aplicação e servidor, utilizava-se de algumas bibliotecas de comunicação do Windows, e quando o bendito saiu, o sistema parou…
A Microsoft já que mudou tanta coisa no SP2, não deveriam ter corrigido isso também??? sacanagem.

Aquilo que você chama de “Elite” e “Plebe” não são 92% do mercado ou coisa parecida ou pior. Esses, o verdadeiro mercado, tão pouco se cagando pra segurança, desde que o bagulho não queime as bolas dele tá tudo beleza e sossegado.

Segurança é sobre escolhas, leia aquele livro do Schneier, nem que seja pelos pêlos faciais dele.

Pessoal,

Não sou muito participativo no meio bit, mas a linha aqui não é de *tards (micro de um e free do outro)? Em geral problemas de segurança, qualquer que seja a origem, são terríveis. Se a microsoft não teve competência (ou interesse) de resolver um problema por 7 anos acho que ela deve ser criticada sim! Todo o software tem seus pontos altos e baixos, extremar a discussão só “varre pra debaixo do tapete” a questão maior: O que nós, consumidores (ou prosumidores) queremos do sistema operacional que usamos, seja lá ele qual for.

Imaginem que quando compramos um carro que apresenta o mesmo problema durante um tempo exagerado (umas 2 revisões) a grande maioria das pessoas o vende, coloca a revenda e a montadora no juizado especial e conta para meio mundo que a marca “x” é uma droga. Façamos o mesmo com o software que usamos e o (canastrice on) mundo será um lugar melhor (canastrice off)

Adorei seu artigo! Continue assim!

Maldoso!
____________
Abraços!
Palavras Sussurradas
Flickr

isso quer dizer que se tiver um bug no windows 7 só vai ser corrigido no windows 14??? rs

E não esqueçam, visitem o:
Blog do Monthiel

Bom… o Windows 14 vai sair daqui a uns 20 anos, ai já é forçar a amizade.
_____________
Música independente de qualidade.
http://www.loaded-e-zine.net

Fazendo o papel do advoGato do Diablo, pergunto.

Se era um bug tão SEVERO e URGENTE, pq não existem pelo menos uns 1.000 worms de rede fazendo SMB-Relay e se propagando por todas as redes TCP/IP, da Terra até Cybertron, contaminando PCs, Autobots e Insecticons ?

Pq vamos ser sinceros. Hj em dia a produção de pragas digitais atingiu um grau de qualidade ISO9001 tal que em menos de 15 dias da publicação de uma falha grave, já tem pelo menos um russo e um Spy-Banker sulamericano trabalhando no código do próximo exploit.

Fica aí a proposta de filosofia de boteco para os colegas meiobitistas ponderarem.

Estou no meiobit mesmo?

Mas se formos fazer as contas 1.0, 2.0, 286, 386, 3, 3.11, NT 3.11, NT 3.5, NT 4, 95, 98, 2000, ME, XP, 2003 Server, Vista, 2008 Server se não faltou nenhum na minha conta deu 17, logo não entendo o porque do nome do novo windows se chamar 7, então imagino que a solução para um possível bug baseado na conta da microsoft venha daqui uma 15 versões. [RS]

…de bit a bit se faz uma canoa?
http://worldofbit.com

è realmente impressionante quando comparamos os comentários dessa notícia aqui com aqueles do bug do Android. Tem gente criticando o cara só por quê ele disse uma verdade:

[quote]E se fosse no Linux ? Essa eu respondo. Tenho certeza que este problema não existiria mais, são milhares de programadores no mundo todo que têm acesso ao código fonte e já estariam com uma correção pronta, em no máximo alguns meses.[/quote]

Não vi nada de errado ai, quando o Cardoso faz um texto em que cita o Opensource como aquele Androide muita gente mete o pau no código aberto, aqui neste caso apenas se constatou a realidade, um bug desse, não no linux, mas em qualquer sistema aberto não ficaria tanto tempo sem um correção, principalmente quando se trata de algo tão crítico.

Mas que a notíca é velha isso é.

Acesse My blog

[quote]pq não existem pelo menos uns 1.000 worms de rede fazendo SMB-Relay e se propagando por todas as redes TCP/IP, da Terra até Cybertron, contaminando PCs[/quote]

Ao contrário do que se prega, acho que não deve ser tão fácil fazer um exploit tão específico assim, eles preferem atacar pelos meios mais comuns: engenharia social, e-mail com link para o vídeo da lua de mel da Sandy/Linsay Lohan, uma carta do filho do ministro do petróleo da Somália, etc.

O cara com que faz um exploit desses normalmente pode ser enquadrado no grupo do cara que fez um scanner cantar “Ode to Joy”, um drive de disquete tocar a marcha imperial e aquele professor do MIT que consegue Hélio líqüido sempre que quiser.

Mas que parece, parece.
___
Blog do Keaton

E se fosse linux?

Ele não estaria corrigido, vc ia ter que procurar no porão de algum forum opensource a solução e recompilar o kernel.

Ja que é pra ser radical.

P**** sempre admirei o meio bit por não ter essa visão miúda de freetard agora vão começar com isso?

Já chega meus professores de aula que perder horas durante a aula andando em forums atras de uma correção pra fazer um simples powerpoint funcionar… vergonhoso.

Quando é que essa história vai acabar???

Gente, PELO AMOR DE DEUS!

Se o cara quer usar Linux, Fdasssee! deixa ele (e eu) usar, “procurar solução em porão de fórum” ( o que não é verdade), recompilar kernel… que se dane! O usuário (e eu) quer usar. pronto.

A mesma coisa é com usuários Windows. Deixem eles usarem! problema deles se tem ou não uma falha.

TODOS AQUI SABEMOS QUE O SISTEMA OPERACIONAL DE NÓS USAMOS TEM UM MILHÃO DE DEFEITOS, MAS FICAMOS PERDENTO TEMPO TENTANDO MOSTRAR OS DEFEITOS DO S.O. ALHEIO!

Isso é chato, é infantil.

O Wilson sópostou mais uma notícia. Assim como o Cardoso tamém postou uma notícia a respeito da falha no android.

Querem fazer comentários, bons ou ruins. Ótimo!

Mas ficar discutindo qual é o melhor S.O. ou tentando se acharem melhores que outros só por que usam o Sistema X ou Y, é VIADAGEM!

O descaso da Microsoft com o problema é relevane sim. Assim como vários outros problemas tanto do Windows quanto do Linux ou MAC ou FreBSB ou qualquer outro.

Parem de ficar se ofendendo e foquem-se na NOTÍCIA. pense no que essa notícia interfere em sua vida (digital) e tome (ou não) alguma atitude a respeito. Pronto. é assim que uma NOTÌCIA deve ser explorada.

Vamos parar de galinhagem?

——————————————————————–
Conhecimento existe para ser compartilhado.

Verdade. Sempre escolho o sistema operacional das minhas máquinas levando em conta sua capacidade de manter minhas bolas sadias.
____________________
It is pointless to resist…

O anonimato imuniza. É o melhor amigo do Open Source.
____________________
It is pointless to resist…

Wilton,

O bug realmente existe há 7 anos (ou até mais), e era conhecido por todo mundo que trabalha com segurança em Windows. Não era nenhum segredo.

O SMB Relay é um tipo de bug que se chama “Man-in-the-middle”, ou seja, o atacante se finge ser a pessoa do outro lado da comunicação para poder manipulá-la. Este não é um bug de codificação, é um bug na especificação do produto. Ter acesso ao código fonte não muda nada, porque o problema não está no código.

Mesmo sendo uma vulnerabilidade conhecida, você não via ninguém por aí se descabelando por ele. Por que? Porque desde o Windows NT 4 SP3 o Windows tem o recurso de SMB Signing, que corrige esta vulnerabilidade. O SMB Signing inclusive é habilitado por default a partir do Windows 2003.

Portanto enquanto o problema existe há muito tempo, uma solução também já estava igualmente disponível há muito tempo. Por isso o patch foi considerado na verdade “Importante” (“Moderado” no Vista) e não crítico como você menciona no seu post.

E se fosse no Linux ? Essa eu respondo. Tenho certeza que este problema não existiria mais, são milhares de programadores no mundo todo que têm acesso ao código fonte e já estariam com uma correção pronta, em no máximo alguns meses.

Não sei se você está sendo irônico aqui, levando em conta que o SAMBA tem a mesma vulnerabilidade.

Por favor, alguém providencia um SP1 para esse
tópico? Está muito caloroso.
___________________________________
Só assino se rolar 50% de sinal.

Mas se formos fazer as contas 1.0, 2.0, 286, 386, 3, 3.11, NT 3.11, NT 3.5, NT 4, 95, 98, 2000, ME, XP, 2003 Server, Vista, 2008 Server se não faltou nenhum na minha conta deu 17, logo não entendo o porque do nome do novo windows se chamar 7, então imagino que a solução para um possível bug baseado na conta da microsoft venha daqui uma 15 versões. [RS]

286 e 386 são PROCESSADORES! 3 e 3.11 não contam como “outro windows”, é por isso que chamam de 3.x . a familia NT andou em paralelo com os 95, 98 e ME. 2000 é da familia NT. Edições Server são iguais os NT, são paralelas com as XP e Vista.

São 7 Kerneis diferentes SOMENTE. (alguns dizem 6 1/2, já que o 7 será kernel 6.1)

—————————————–

“Em todo o caso, casai-vos. Se vos couber em sorte uma boa esposa, sereis felizes; se vos calhar uma má, tornar-vos-eis filósofos, o que é excelente para os homens”. – Sócrates

Alguém disse “CHUPA!” ?

—————————————–

“Em todo o caso, casai-vos. Se vos couber em sorte uma boa esposa, sereis felizes; se vos calhar uma má, tornar-vos-eis filósofos, o que é excelente para os homens”. – Sócrates

[quote=tiagozortea]Porra sempre admirei o meio bit por não ter essa visão miúda de freetard agora vão começar com isso?[/quote]

Isso que é respeito à imparcialidade.
_____________
Música independente de qualidade.
http://www.loaded-e-zine.net

Não, você é sempre o primeiro a pensar nessa palavra, não sei por que.
_____________
Música independente de qualidade.
http://www.loaded-e-zine.net

[quote=fcima]…
Não sei se você está sendo irônico aqui, levando em conta que o SAMBA tem a mesma vulnerabilidade.
[/quote]

Sim, porque o SAMBA tenta imitar o Windows, sai perfeito não é?
_____________
Música independente de qualidade.
http://www.loaded-e-zine.net

Se for isso, demonstra uma política de desenvolvimento totalmente absurda por parte da equipe por trás do SAMBA. Já que é para copiar descaradamente, pelo menos que sejam as coisas boas.
____________________
It is pointless to resist…

Não sei se você foi informado, mas o SAMBA serve para comunicar-se com redes Windows. Mas fica a dica.
_____________
Música independente de qualidade.
http://www.loaded-e-zine.net

Eu? Primeiro? Eu não xD
Só lembrei porque isso já tá aqui faz um tempinho e ninguém comentou isso }:)

—————————————–

“Em todo o caso, casai-vos. Se vos couber em sorte uma boa esposa, sereis felizes; se vos calhar uma má, tornar-vos-eis filósofos, o que é excelente para os homens”. – Sócrates

Sim, eu fui. E qual o ambiente que ele roda mesmo?
____________________
It is pointless to resist…

Linux, mas como ele foi feito para funcionar com rede Windows ele herdou tudo necessário para rodar, isso inclui os bugs.

A rede nativa do Linux não se usa SAMBA. Com SAMBA você DANÇA.
_____________
Música independente de qualidade.
http://www.loaded-e-zine.net

[quote]
O bug realmente existe há 7 anos (ou até mais), e era conhecido por todo mundo que trabalha com segurança em Windows. Não era nenhum segredo.
[/quote]

Correto. Mas o que chama atenção aqui nem é o bug propriamente dito, e sim como algo tão importante foi ignorado por tanto tempo.

[quote]
O SMB Relay é um tipo de bug que se chama “Man-in-the-middle”, ou seja, o atacante se finge ser a pessoa do outro lado da comunicação para poder manipulá-la. Este não é um bug de codificação, é um bug na especificação do produto. Ter acesso ao código fonte não muda nada, porque o problema não está no código.
[/quote]

“Man-in-the-middle” é a forma de atacar e não o nome do bug, isto é, é usado um terceiro elemento que fica no meio da comunicação client-server e escuta toda a comunicação entre os dois, podendo inclusive capturar informações sensíveis como os passwords hashs do ntlm para depois descriptografá-los e conseguir senhas para uso posterior.
O nome do bug é smbrelay mesmo.

[quote]
Mesmo sendo uma vulnerabilidade conhecida, você não via ninguém por aí se descabelando por ele. Por que? Porque desde o Windows NT 4 SP3 o Windows tem o recurso de SMB Signing, que corrige esta vulnerabilidade. O SMB Signing inclusive é habilitado por default a partir do Windows 2003.
[/quote]

Você não via nimguém se descabelando justamente porquê a fabricante ignorou solenemente a existência do bug e os adminitradores consentiram…
o Recurso de SMB Signing é nada mais que desabilitar o NTLM padrão e habilitar o NTLMv2 que implementou chaves de 128 bits para encriptar chaves. Porém isso desabilitava também a comunicação com clients antigos como o win98/95… etc… e alguns sistemas antigos que não usam o método novo, isto é, em alguns casos, remover o suporte ao NTLMv1 não foi possível pois implicava em perder funcionalidades.

[quote]
Portanto enquanto o problema existe há muito tempo, uma solução também já estava igualmente disponível há muito tempo. Por isso o patch foi considerado na verdade “Importante” (“Moderado” no Vista) e não crítico como você menciona no seu post.
[/quote]

Mesmo que você implemente um server 2003 mas tem sistemas que ainda usam o método antigo, obrigatoriamente teria que voltar a usar o NTLMv1 e ficar sujeito ao bug. Então esse bug não tinha sido corrigido como você afirma.

[quote]
E se fosse no Linux ? Essa eu respondo. Tenho certeza que este problema não existiria mais, são milhares de programadores no mundo todo que têm acesso ao código fonte e já estariam com uma correção pronta, em no máximo alguns meses.
—–

Não sei se você está sendo irônico aqui, levando em conta que o SAMBA tem a mesma vulnerabilidade.
[/quote]

O SAMBA é um SMB que foi escrito com engenharia reversa, isto é, foi feita uma cópia funcional do protocolo, inclusive de sua arquitetura falha, isto é, um workaround para esse problema também foi desabilitar o NTLM antigo e usar o NTMLv2, mas isso também implicava em perder comunicação com clients legados. O bug é de arquitetura e somente agora a sua implementação foi revista, sendo este o foco do texto.

Linux User #201715

Não há o que herdar, já que ele foi feito para Unix.

[quote=O Desenvolvedor Burro um dia]A gente fez do jeito errado porque tinha que ser compatível com o Windows.[/quote] Que tipo de desculpa é essa? Se realmente soubessem o que estavam fazendo, tinham feito certo, pero compatível.
____________________
It is pointless to resist…

O SAMBA (SMB “Server Message Block”) é a reimplementação do SMB/NETBIOS (víde a RFC do CIFS/SMB) da Microsoft usando engenharia reversa, isto é, como não obtiveram o código fonte, foi na forçada mesmo. Como o negócio foi feito para implementar interoperabilidade entre as plataformas unix/linux/windows, corrigir ou alterar qualquer aspecto funcional implicaria em perder justamente a interoperabilidade que é o foco do SAMBA, isto é, a falha de arquitetura também foi copiada por questões de compatibilidade, isto é, a cópia foi tão bem sucedida que até os bugs foram copiados.

Linux User #201715

Primeiro, o samba é uma “gambiarra” que funciona muito bem para o Linux ficar em rede com o Windows, se a Microsoft não tivesse medo que os usuários migrassem para o Linux iriam fazer algo parecido.

Segundo, ele foi feito para Linux, para simular uma rede Windows, não faz mais que a obrigação. Mas isso já foi dito ai em cima.

Terceiro, se a rede fosse a do Linux mesmo não teria esse bug, mas você não entendeu ainda que SAMBA serve para redes Windows, então nem vale mais a pena discutir.
_____________
Música independente de qualidade.
http://www.loaded-e-zine.net

Leia novamente o comentário do fcima: “Este não é um bug de codificação, é um bug na especificação do produto.”

Por default, o Samba não vem com esse problema, mas para sistemas com servidores Linux e clientes Windows antigos, é preciso desabilitar o SMB Signing.

Estou rindo até agora.

Não sou o Jonny Walker, mas walk mais que ele…

A falha não foi “copiada”. Cópia seria usar o mesmo código. Se o problema é na especificação do protocolo, a afirmação “cópia foi tão bem sucedida que até os bugs foram copiados” não se aplica.

[quote=Salsinha]A falha não foi “copiada”. Cópia seria usar o mesmo código. Se o problema é na especificação do protocolo, a afirmação “cópia foi tão bem sucedida que até os bugs foram copiados” não se aplica.[/quote]

[quote]
…
a falha de arquitetura também foi copiada por questões de compatibilidade, isto é, a cópia foi tão bem sucedida que até os bugs foram copiados.
…
[/quote]

Salsinha, o conceito de cópia não se aplica somente a código. É extensível a processos, procedimentos, técnicas, arquiteturas, modelos, métodos, táticas, estratégias, idéias, conceitos, etc…

E como eu disse, a cópia deu-se na arquitetura, inclusive os bugs (de arquitetura). Pois nem acesso ao código existiu, já que a implementação open-source do SMB ocorreu usando engenharia reversa do protocolo.

Quando alguém copia um produto (por ex. iphone) está copiando código somente?

Linux User #201715

[quote]se a Microsoft não tivesse medo que os usuários migrassem para o Linux iriam fazer algo parecido.[/quote]

MELDEOZ! Agora que você falou, clareou minha mente. Finalmente eu entendí porque a Coca-Cola não dá a fórmula pra Dolly! É medo de ser suplantada no mercado!

[quote]mas você não entendeu ainda que SAMBA serve para redes Windows[/quote]

Ele entendeu sim, é você que não está entendendo o ponto de vista dele.

Façam suas apostas:

Este bug no Kernel do Linux de Junho de 2004, baterá o record do smbrelay ou não?

Tem potencial.

[quote=Cobalto]Alguém disse “CHUPA!” ? [/quote]

[2]

Correto. Mas o que chama atenção aqui nem é o bug propriamente dito, e sim como algo tão importante foi ignorado por tanto tempo.

Não foi ignorado, tanto que o SMB Signing foi desenvolvido especificamente para resolvê-lo.

“Man-in-the-middle” é a forma de atacar e não o nome do bug

Exato, eu não falei que era o nome do bug e sim o tipo dele.

o Recurso de SMB Signing é nada mais que desabilitar o NTLM padrão e habilitar o NTLMv2 que implementou chaves de 128 bits para encriptar chaves.

Na verdade não, SMB Signing e NTLMv2 são coisas totalmente distintas. SMB Signing é uma forma de proteger o canal de comunicação SMB, assinando todos os pacotes. NTLMv2 é um protocolo de autenticação. Você pode ter SMB Signing sem NTLMv2 e vice-versa.

Mesmo que você implemente um server 2003 mas tem sistemas que ainda usam o método antigo, obrigatoriamente teria que voltar a usar o NTLMv1 e ficar sujeito ao bug. Então esse bug não tinha sido corrigido como você afirma.

SMB Signing não tem nada a ver com NTLMv1. Também não disse que o bug tina sido corrigido, apenas que existia desde sempre uma solução para ele.

O bug é de arquitetura e somente agora a sua implementação foi revista, sendo este o foco do texto.

Eu não sei exatamente qual era o foco do post do Wilton, mas ele se perdeu totalmente quando veio com essa que “no Linux o bug seria consertado rapidamente porque o fonte está disponível”. Bug como estes estão na especificação, não na codificação. Ter o código não adianta nada. Você precisa revisar o seu protocolo, verificar o impacto nas aplicações existentes, como seria feita a mudança, etc.

Duplicado

Essa da engenharia reversa eu não sabia…

Sem querer gerar discussão, você acha que não seria possível “melhorar” essa reimplementação? Afinal, ela teve que ser adaptada ao Unix, já que não é o ambiente “nativo” dela. Da mesma forma que o SMB Signing corrige o problema (tapa buraco), uma implementação semelhante poderia ter sido feita durante o desenvolvimento, o que não foi o caso.

O que acontece é que esse problema não foi grande o suficiente para ser levado a sério. Como foi “remendado” já tem algum tempo, foi largado num canto qualquer e, quando deu um tempinho, eles foram lá e arrumaram. Não é o correto a se fazer, eu sei, mas a equipe do SAMBA pensou da mesma forma.
____________________
It is pointless to resist…

1º) Quem tem marketshare, tem medo. O Windows nem sequer reconhece ext3 (ao menos, não nativamente; me corrijam se estiver errado).

2º) Ou seja: funciona e mais nada. Essa é a filosofia empregada no Linux.

3º) Foi VOCÊ quem não entendeu o que eu quis dizer, “então nem vale mais a pena discutir”.
____________________
It is pointless to resist…

Em um servidor por exemplo, se a Microsoft liberar o acesso a rede do Linux e ao ext3 vai ser um passo andado para algumas pessoas trocarem para o Servidor Linux. Eles não são besta, e deixam tudo no padrão deles, para dificultar.
_____________
Música independente de qualidade.
http://www.loaded-e-zine.net

SMB Signing funciona no Samba e é padrão desde que a falha foi “remendada”. Vou repetir, já que parece que não entendeu: “Este não é um bug de codificação, é um bug na especificação do produto.”

É uma falha no protocolo de rede do Windows. Se mudar o protocolo, eles não se comunicam.

Imagine que tenha uma falha na especificação do formato de arquivo do Word. Você quer que o pessoal da Sun grave o arquivo que possa ser lido pelo Word ou quer que eles corrijam a especificação do formato?

fcima, acho que você não entendeu que o NTLMv2 não resolveu nada, pois sua implementação quebra a retrocompatibilidade com o NTLMv1. O problema é que praticamente nimguém poderia deixar de usar o NTLMv1 e passar a usar o novo e mais seguro NTLMv2 simplesmente porquê sistemas e SO´s mais antigos deixariam de funcionar. Releia meu comentário mais umas duas vezes e talvez você entenda.

Linux User #201715

Quem quer marketshare tem medo. Also há gambiarras pra montar ext2 e ext3 no windows 2k pra frente, eu já usei. É um bagulho bem precário, mas funciona até melhor que ntfs. Dá bugs com arquivos com nomes japarongos e de vez em quando um node solto ou coisa pior, mas você consegue resolver usando o fsck no linux/unix da vida. Quando dá uns bugs bizarros em ntfs só formatar o filesystem resolve.

Esse é o dever deles. É assim que o mercado funciona.

Sim, isso que eu quis dizer mesmo, espero eles.
_____________
Música independente de qualidade.
http://www.loaded-e-zine.net

Sim, exatamente, na visão de mercado (adequadíssima) da Microsoft, compatibilidade com sistemas legados é mais importante do que segurança. Tanto que foi essa a opinião do cara que descobriu o ataque (se não me engano foi o Dildog) lá por 2001 do seu calendário.

FABIÃO.

Você tem que usar o HURD. É tão bom que todos os bugs deles foram corrigidos lá por volta de 2004, depois disso não acharam mais coisa alguma pra arrumar.

Nao, pra chegar la tem que apertar ctrl+w.

Hahahahahahaha… }:)

Para continuar acompanhado as discussoes…

Você já tinha postado lá em cima!

Será que você leu no meu comentário que eu estou falando de SMB Signing, não de NTLMv2?

fcima, o “SMB Signing” é apenas uma funcionalidade que visa assinar a comunicação entre dois nós com o “SMB Signing” habilitado, porém caso a comunicação SMB com um nó que não tenha o “SMB Signing” habilitado ou não tenha funcionalidade, a comunicação é feita do modo normal (sem assinatura de entrada ou saída), isto é, a vulnerabilidade continua existindo. Até a correção que tardou quase 8 anos para chegar, somente o uso do NTLMv2 resolvia efetivamente o problema de segurança mas tirava a capacidade de comunicação com clients e sistemas legados.

Linux User #201715

o “SMB Signing” é apenas uma funcionalidade que visa assinar a comunicação entre dois nós com o “SMB Signing” habilitado

-> E ao fazer isso evita o ataque de SMB relay.

caso a comunicação SMB com um nó que não tenha o “SMB Signing” habilitado ou não tenha funcionalidade, a comunicação é feita do modo normal (sem assinatura de entrada ou saída),

->Não. Se você estiver *requerendo* SMB Signing a comunicação simplesmente não acontece se o outro nó não tiver SMB Signing habilitado.

Até a correção que tardou quase 8 anos para chegar, somente o uso do NTLMv2 resolvia efetivamente o problema de segurança

->Não. O SMB Signing também resolve efetivamente o problema, sem necessidade de NTLMv2.

mas tirava a capacidade de comunicação com clients e sistemas legados.

->Sim, tirava a capacidade de comunicação com sistemas legados (NT 4 antes de SP3 e Windows 9x sem hotfix), e isso era ruim. Mas é bem diferente de dizer que não havia nenhuma solução disponível. Este é o meu ponto.

Acho que agora deve estar claro.

Mas tenho uma dúvida: quando SMB Signing está habilitado, isso também deve ser habilitado nos clientes antigos (Windows 98 e um pouco mais complicado no W95). Senão, não há comunicação. Com essa nova “solução” também deve haver uma alteração nas máquinas antigas ou funcionará sem alteração alguma? Imagino que seja necessária alguma alteração, mas nesse caso, qual a vantagem sobre o SMB Signing, que era uma solução paliativa?

Outra dúvida é para o editor: se não é um erro no código, deveríamos chamar de “bug”? Não me parece que o termo seja adequado. Como minha formação é de programador, o termo “bug” me remete a uma falha na lógica do programa, ou seja, o programa não faz corretamente o que foi proposto.

O bug não é na implementação, é no design do protocolo. Por isso qualquer solução de terceiros que implementa o mesmo protocolo vai necessariamente manter o mesmo buraco.

Sim. Já havia comentado isso antes.

Mas “na minha cabeça”, se o programa não faz o que se propõe, ele tem um bug (o programa tem uma falha).

Se a especificação está mau feita, temos aquele clássico “problema do balanço”. Se a especificação é falha, deve ter outro nome para isso. Bug é um erro de implementação de um projeto.

Urgh, problema na postagem, desculpas.

Man In The Middle não é nome ou tipo de bug, é uma forma de ataque, que não tem nada a ver com bugs. O que acontece é que alguns bugs abrem brecha para ataques MITM, mas a relação é só essa.

ARP Poisoning é um tipo de ataque MITM que não envolve exploração de nenhum tipo de bug.

Aliás, até mesmo grampos telefônicos podem ser considerados um MITM. Por favor não diga que nossas linhas estão bugadas.

[quote]286 e 386 são PROCESSADORES! 3 e 3.11 não contam como “outro windows”, é por isso que chamam de 3.x . a familia NT andou em paralelo com os 95, 98 e ME. 2000 é da familia NT. Edições Server são iguais os NT, são paralelas com as XP e Vista.[/quote]

É verdade, mas 6 1/2 não é 7. [RS]

por enquanto só tiveram o trabalho de alterar o skin que de fato se parece bem com o KDE 4.

_________________________________
Programação de bit a bit.
http://worldofbit.com

Eu não sei onde que enxergam semelhança do Seven com o KDE4.

Barra de tarefas grande e ícones maiores já é considerado cópia?

Aquelas janelas “envidraçadas” dos plasmoids, podemos dizer que são cópias do Vista?

Se vão criticar, que pelo menos seja com razão…

Estou me informando já.

Me pergunto: Direto eu leio de gente que usa Linux que “adora desafios”, prefere sempre o caminho mais desafiador…

E aqui tem tão poucos usuários de Gentoo, nenhum que tenha se aventurado em um LFS, e NINGUÉM que instalou o HURD?

Contagem de bugs do NTFS que exigiram formatação pro Fabio até hoje:

0

Taskbar my ass, é panel. Qualquer um que já viu alguém usando o KDE (tipo eu, e a última vez que eu vi isso foi a uns 4 anos atrás) nota a semelhança.

“por enquanto só tiveram o trabalho de alterar o skin que de fato se parece bem com o KDE 4.”

Eu acho que se parece com o KDE 4 sim, não disse que é uma cópia.

http://macmagazine.com.br/blog/2008/10/31/kde-chama-o-juridico-o-ballmer-ta-de-olho/

_________________________________
Programação de bit a bit.
http://worldofbit.com

Sim.

Não é bem o “caminho mais desafiador”, é mais o “caminho que não assume que você é um completo idiota”.

Pra alguns a semelhança não é tão visivel assim. [RS] “Wintards maleditos”

_________________________________
Programação de bit a bit.
http://worldofbit.com

1 – Blog suspeito.

2 – Posso dizer que o Gnome parece com o Windows porque tem uma setinha que se mexe quando o mouse se move?

Nas screens que você postou:

O botão iniciar já é assim desde o Vista. Tem outro jeito de se suprimir o texto sem deixar apenas ícones? Sem contar que aqueles ícones não são lançadores, são botões para janelas minimizadas mesmo. Isso é completamente diferente da função que tinham no KDE, nas imagens exemplo. E a data naquele formato, já é assim desde sempre, basta aumentar a barra de tarefas.

E, mesmo que tudo isso não ocorresse, a barra de tarefas do KDE não é transparente por default: É cinza.

Ela se parece com o KDE postado na imagem daquele blog, tanto quanto um Ipod se parece com aqueles MP3 Xing Ling imitação.

THX for the info. Eu tive alguns problemas no win2k com arquivos que não podiam ser deletados ou sobrescritos, por algum motivo esquisito dizia que o arquivo estava em uso (um caso) ou não havia permissão (outro). Não é bem algo crítico ou muito grave, mas só resolvi quando formatei a partição.
Se você por algum motivo procede na atitude inadequada e completamente idiota de usar a mesma partição pro SO e pros dados pessoais pode ser muito ruim e talz.

Talvez não fosse necessário, talvez exista realmente alguma tática misteriosa pra fazer isso, mas eu preferi usar o modus operandi corriqueiro do sistema, que é EXATAMENTE esse, e você há de concordar comigo. Ressuscite o tiramento do ruim pinguim se achar adequado.

Se bem que talvez se eu tivesse usando ntfs-3g (fora do windows lol) eu conseguisse deletar os bichinhos.

Se tivesse lembrado bem de alguém USAR o KDE, lembraria das funções diferentes dos ícones, e principalmente que ele não vinha com aquela cor de TASKBAR.

[quote]Se você por algum motivo procede na atitude inadequada e completamente idiota de usar a mesma partição pro SO e pros dados pessoais pode ser muito ruim e talz.[/quote]

Nunca fiz isso.

[quote]Se bem que talvez se eu tivesse usando ntfs-3g (fora do windows lol) eu conseguisse deletar os bichinhos.[/quote]

1 – Você podia usar o Unlocker. Ou pelo menos tentar.
2 – Se não desse, tentar em safe mode.
3 – Geralmente problemas destes resolvem-se com um chkdsk. Lembrando também que todo e qualquer sistema de arquivos está sujeito a problemas deste tipo.

4 – Vá confiando no NTFS-3g.

SIM FABIÃO COR É TUDO.

É a merda de um panel, o KDE chama assim, se quer inventar nomes estranhos e inadequados pq não chama de “favoritos inteligentes não identificados” ou algo mais nonsense q?

Como assim funções diferentes dos ícones? O a config padrão panel KDE (que tem um nome que começa com K, KPane?) tem tinha várias gadgets cornas rodando, tipo launchers e essas coisas, se refere a isso?

“E, mesmo que tudo isso não ocorresse, a barra de tarefas do KDE não é transparente por default: É cinza.” Oi relevância.

Botões pra janelas minimizadas não são coisas novas. O próprio Windows tem isso desde o Windows 95. É a PRINCIPAL FUNCIONALIDADE da Taskbar – mostrar botões que alternam entre as janelas.

Sim, todo sistema de arquivos está sujeito a problemas desse tipo.

Porém eu consigo resolver os problemas dos ext2 e ext3 nos nix de um jeito:
fsck quando a partição está desmontada. Simples.

Quanto ao ntfs no windows, você tem uma lista com 3 itens…
Ah, pra sua informação eu tentei usar chkdsk em uma falha dessas, não me lembro qual, e não resolveu.

[quote=fcima]
o “SMB Signing” é apenas uma funcionalidade que visa assinar a comunicação entre dois nós com o “SMB Signing” habilitado

-> E ao fazer isso evita o ataque de SMB relay.
[/quote]

Evita somente quando os dois nós estão com a funcionalidade habilitada. Em nós que não tem essa funcionalidade a vulnerabilidade continua existindo. Achei que isso já estava claro.

caso a comunicação SMB com um nó que não tenha o “SMB Signing” habilitado ou não tenha funcionalidade, a comunicação é feita do modo normal (sem assinatura de entrada ou saída),

[quote]
->Não. Se você estiver *requerendo* SMB Signing a comunicação simplesmente não acontece se o outro nó não tiver SMB Signing habilitado.
[/quote]

fonte: http://support.microsoft.com/kb/887429
…
Quando a assinatura SMB está habilitada, é possível que os clientes que oferecem e os que não oferecem suporte à assinatura SMB se conectem.
…

Negativo, caso seja habilitada a flag para somente comunicar-se com outro nó que também tenha “SMB Signing”, perde se a compatibilidade com nós que não tenham a mesma funcionalidade, isto é, o problema continua existindo, e o workaround passa a ser não se comunicar com os clients e/ou servers legados.

Até a correção que tardou quase 8 anos para chegar, somente o uso do NTLMv2 resolvia efetivamente o problema de segurança

[quote]
->Não. O SMB Signing também resolve efetivamente o problema, sem necessidade de NTLMv2.
[/quote]

Perder funcionalidades não é resolver o problema.

mas tirava a capacidade de comunicação com clients e sistemas legados.

[quote]
->Sim, tirava a capacidade de comunicação com sistemas legados (NT 4 antes de SP3 e Windows 9x sem hotfix), e isso era ruim. Mas é bem diferente de dizer que não havia nenhuma solução disponível. Este é o meu ponto.
[/quote]

Ruim? Vai explicar para o pessoal que o sistema xyz vai parar de funcionar porquê você resolveu habilitar uma funcionalidade… é catastrófico.

O ponto é que o “bug de segurança” existia até então e existiam workarounds para minimizar os impactos, porém nem todos podiam usar esses workarounds sem comprometer algo em produção, pois em alguns casos usar alguma das alternativas (“SMB Signing” ou “NTLMv2″) seria o equivalente a tirar o cabo de rede para proteger a máquina de um ataque.

Linux User #201715

3 OPÇÕES, não necessitam ser todas seguidas.

Geralmente se resolve com uma delas. Nunca todas.

“Ruim? Vai explicar para o pessoal que o sistema xyz vai parar de funcionar porquê você resolveu TAPAR UM BURACO… é catastrófico.”

Oh, então você entende porque a Microsof preza mais compatibilidade com o legado do que segurança. Então fique na sua.

Sim, fsck. Uma ferramenta para todos os problemas com filesystem resolver. Genial, não? Como formatar :p.

Tá, esqueça-se das demais opções, use apenas o chkdsk, que é o fsck do Windows.

Se ele não funcionou pra você, já é outros quinhentos. O chkdsk não resolve falha física no HD, por exemplo.

Então vamos bater palmas a Microsoft pelo quesito inovação. danhr!

_________________________________
Programação de bit a bit.
http://worldofbit.com

Relevância pra poder taxar uma interface gráfica de “parecida” com a outra tem sim, e bastante.

Eu acho o gnome com tema totalmente alterado para parecer com um Mac uma cópia de um Mac.

Botões para janelas minimizadas não são coisas novas. Tem TODA a razão.
Por isso mesmo é que eu não saio olhando o KDE e taxando de cópia do Windows 95 por isso.

Não. Sem palmas.

Nem pra Microsoft, nem pra você que quis demonstrar uma pseudo falta de criatividade da MS copiando um KDE que nem se parece com o Seven.

Oi fabião. Isso é o que você pensa. Ele já te desmentiu, vil fantoche de madeira narigudo.
“Eu acho que se parece com o KDE 4 sim, não disse que é uma cópia.”

Se parece, ou pelo menos se parece com o kde de 4 anos atrás. Não é exatamente uma cópia, primeiro pq é da grandiosa Microsoft e ela não copia coisa “de pobre” ou não, segundo pq, diabos, essas porcarias de interface gráfica são quase todas “inbred” mesmo. Como browsers. Só o meu que é necronazista ou coisa pior.

Omg o mzilla firefox em BRASILEIRO! é uma CÓPIA do Internetete Explorer lol por isso que não presta.

Tudo é uma questão de ponto de vista.

Se eu acho que é uma “pseudo falta de criatividade da Microsoft” em copiar o KDE, eu acho e ponto!

Agora, a semelhança é visível, mesmo aos olhos de um “cego”.

_________________________________
Programação de bit a bit.
http://worldofbit.com

Sim, o gnome já era desde os tempos antigos bem parecido com o mac os preten.

Não, você não diz que o KDE de 4 anos atrás ou coisa pior é semelhante semelhança ou cópia semelhante ao Windows 7 porque você crê fielmente e cegamente na viagem unidirecional através do tempo e em como ela implica na consistência da timeline quando observada da direção contrária à natural.

É um direito seu.

E é um direito meu achar isso forçado.

E acho a semelhança ainda mais visível aos olhos de um cego que tenda ao Stallmanismo.

A Microsoft copia bastante coisa sim.
Mas não copiou nada neste caso, este é o problema.

Uso o ntfs-3g há alguns anos e jamais tive problemas, ao contrario, com o passar das versões foi ficando cada vez mais rápido a tranferencia de arquivos entre uma partição e outra, antigamente tinha que se fazer umas configurações manuais mas hoje em dia é tudo automatico nas distros de respeito, e olha que tenho uma partição em ntfs só para dados que acesso pelo linux.

Acesse My blog

Fabião, koeh, tu tá de zoa. Eu já emiti meu parecer a uns 3 ou 4 posts anteriores: o fsck do Windows é o format. Discorda?

Qual a utilidade disso? Você fica sem poder usar links simbólicos e as permissões vão todas para o espaço (execução, usuário, grupo,…).

Uso ext3 até em uma pendrive de 4GB que uso para sincronizar arquivos do trabalho e casa (via rsync).

O pessoal deve achar parecido com o KDE (eu incluso) por causa do aspecto “quadradão” e até meio plano da barra de tarefas. Isso não é padrão da Microsoft, que desde o XP vem montando janelas com composições mais arredondadas e tridimensionais. Una esses motivos aos ícones grandes na barra (que também não são o padrão), tire o texto do iniciar e pronto: KDE-like.

Com certeza não foi intencional e muito provavelmente deve ser apenas coisa de beta. Até a versão RTM eles consertam isso (espero; ficou muito feio…).
____________________
It is pointless to resist…

Salsinha, no meu caso é que tenho o windows em outra partição, pra mim o lance das permissões não tem problema, a questão mesmo é por causa do windows que possuo, se não eu nem utilizaria o ntfs-3g, se windows suportasse tão bem o ext3 quanto no linux seria diferente.

Acesse My blog

“Evita somente quando os dois nós estão com a funcionalidade habilitada. Em nós que não tem essa funcionalidade a vulnerabilidade continua existindo. Achei que isso já estava claro”

Para mim isto sempre esteve claro.

“fonte: http://support.microsoft.com/kb/887429
…
Quando a assinatura SMB está habilitada, é possível que os clientes que oferecem e os que não oferecem suporte à assinatura SMB se conectem.
…”

Correto. Por isto o mesmo artigo fala da chave de registry RequireSecuritySignature, que faz com que o SMB Signing seja *requerido* e não opcional. Desta forma se o outro lado não suportar SMB Signing a comunicação não é feita.

“Perder funcionalidades não é resolver o problema.”

Corrigir a vulnerabilidade é resolver o problema.

“O ponto é que o “bug de segurança” existia até então e existiam workarounds para minimizar os impactos, porém nem todos podiam usar esses workarounds sem comprometer algo em produção, pois em alguns casos usar alguma das alternativas (“SMB Signing” ou “NTLMv2″) seria o equivalente a tirar o cabo de rede para proteger a máquina de um ataque.”

Anderson, eu mesmo já falei tudo isto antes. Existem locais onde SMB Signing não pode ser usado. Acredite, eu sei MUITO BEM isso.

O meu ponto é que existe uma solução, está disponível há dez anos, é habilitada por default e é usada já na enorme maioria dos ambientes. O que a Microsoft fez agora foi prover uma nova solução para aqueles outros locais, por exemplo empresas que usam WAN Optimizers.

“Com essa nova “solução” também deve haver uma alteração nas máquinas antigas ou funcionará sem alteração alguma?”

A solução só protege contra SMB Relay se estiver implementada nos dois lados. Senão a comunicação é feita mas continua vulnerável a SMB Relay.

“Imagino que seja necessária alguma alteração, mas nesse caso, qual a vantagem sobre o SMB Signing, que era uma solução paliativa?”

Basicamente compatibilidade com WAN Optimization. Para você entender, o SMB Signing assina digitalmente cada pacote enviado na rede, impedindo que ele seja alterado maliciosamente ou não.

O que os WAN Optimizers fazem no entanto é remontar o tráfego SMB na rede para obter maior performance, e ao fazer isso eles obviamente invalidam a assinatura colocada pelo SMB Signing. Como resultado a comunicação é quebrada.

SMB Signing não é uma solução paliativa, é a solução definitiva para este e para vários outros ataques. Mas como não pode ser usada em todos os locais, a Microsoft desenvolveu uma outra solução que impede o SMB Relay sem necessitar assinar digitalmente cada pacote.

“Outra dúvida é para o editor: se não é um erro no código, deveríamos chamar de “bug”?”

Acho que o termo bug está correto. Bug pode estar em todo local: no projeto, no código, até na documentação.

Vamos resumir?

Só agora terminaram o trabalho e funciona sem gambiarras, workarounds, paliativos, etc… portanto só agora existe uma solução “completa” e “eficaz”. E isso demorou quase 8 anos, FATO.

Linux User #201715

2x ainda.
Boiei… sorry.

Sim, discordo.

Nem discuta com esse cara aí, ele têm problemas mentais…

Esse aí eu ignorarei sempre, não vale a pena gastar bytes no site com uma pessoa assim, além de ser fanático, é arrogante…

Você que é fresco demais, ele tem um avatar com um bigode secsy, pra mim é o bastante.

Parece que ele tirou a imagem do John Holmes e voltou com a do velhinho (algum político FDP?)…

Seu porco infiel, tu não reconhece a linda face e porn stache (tipo, se não for o original é uma falsificação excelente) do grandioso Ron Jeremy? Poser.

Vou colocar uma foto do stallman beijando o ballmer na boca, e vc vai me achar mais sexy ainda… :sick: :sick: :sick:

Exatamente.

Não sou o Jonny Walker, mas walk mais que ele…

Mas a especificação não é uma das partes do projeto?

Mas concordo que o termo Bug fica muito ambiquo.

Não sou o Jonny Walker, mas walk mais que ele…

Soluções Microsoft para problemas Microsoft.

Não sou o Jonny Walker, mas walk mais que ele…