Vlákno názorů k článku Linuxový malware vypíná antiviry, krade hesla a šíří se dál po SSH od Věra Pohlová, 72 let, důchodkyně - Malware na linuxu ? Není to omyl ?

Cituji: "na Linuxu toho z GUI docela dost nenastaví", "když už to chce udělat, dá to víc práce a víc hledání". To je podle tebe co?

Pokud jdeš třeba do nastavení v Gnome, máš tam základní věci, který si můžeš přizpůsobit. A který jsou vesměs bezpečný, jako pozadí plochy, heslo uživatele a další. Pokud chceš pokročilejší akce, tak potřebuješ příslušný nastavení "odemknout" kliknutím na tlačítko a zadáním sudo hesla (nebo root hesla, pokud nejsi v sudoers).

Pokud chceš dělat pokročilejší věci, třeba pustit ven disk po NFS, změnit port pro SSH, povolit nějakou službu po startu a další, potřebuješ editovat soubory v /etc, zase jako root nebo přes sudo. Tam už toho musíš vědět víc.

Osobně když dávám někomu na stroj Linux, tak tam mám svůj účet v sudoers (jako jediný), roota zakázanýho. Když vím, že dotyčný není jelito, můžu mu vysvětlit základy co a proč a hodit ho do sudoers. Co je na tom nestandardního?

Je rychlejší cokoliv pořešit po VPN a SSH, než mít rozdrbaný widle a co dva týdny svatou reinstalaci (letos pro tři známý asi pět hodin času, z toho jednou rozbitý upgrade na vyšší verzi a jinak jenom instalace programů). U widlí bych jim taky dal maximální práva a nechal je dělat co umí, tam bych toho času potřeboval 100x víc a nemělo by to

Kdo říkal, že je na tom něco nestandardního? Já říkám jen tolik, že když je konfigurace zašitá někde v /etc/něco/kdo­víco/jelito/ko­pyto.conf a nějaký matlák uživatel se k tomu jednoduše neprokliká (ale třeba si vygooglí, jak to zprasit), tak to není vůbec nic ve prospěch bezpečnosti a je blbost to takto prezentovat. To je to, na co narážím. Systém se nestává bezpečnějším tím, že je složitější, kolikrát je to spíš naopak, zvlášť pokud se dostane do rukou fušerovi, co jede slepě podle "zaručených" návodů.
A když jsme u těch Windows, tam se přece dá taky nastavit, že pro akci vyžadující eskalaci práv je třeba zadat heslo. A naopak, i v Linuxu můžu mít sudo bez hesla. A ty bláboly o tom, že je nutné Windows reinstalovat co dva týdny, svědčí o tom, že jsi nejspíš jeden z těch linuxových puberťáků, co si myslí, že když budou blbě lhát o Windows, tak Linux bude o to lepší. Víc než 20 let profesní praxe s Linuxem už mě dávno vyléčilo z představ, že je to takový zázrak, jak se ho někteří rádoby velcí borci jako ty snaží prezentovat.

Ad 1), dětem a blbcům sirky do ruky nepatřej. Nemůžeš se divit, že ti fušer rozvrtá systém, když k tomu má práva. Když neví, jak se zachází s cirkulárkou, tak si taky dřív nebo později ufikne prst (nebo se naučí s cirkulárkou zacházet).

> A naopak, i v Linuxu můžu mít sudo bez hesla.
Ano, ale musíš si o to explicitně říct. Teda aspoň nevím o distribuci, která by měla sudo bez hesla.

> A ty bláboly o tom, že je nutné Windows reinstalovat co dva týdny, svědčí o tom, že jsi nejspíš jeden z těch linuxových puberťáků, co si myslí, že když budou blbě lhát o Windows, tak Linux bude o to lepší.

Co se takhle držet meritu věci a přestat po sobě házet ad hominem? Nehledě k tomu, že můj poslední pokus o troubleshooting windows byla základní diagnostika a následně návrh na reinstalaci...

> Víc než 20 let profesní praxe s Linuxem už mě dávno vyléčilo z představ, že je to takový zázrak, jak se ho někteří rádoby velcí borci jako ty snaží prezentovat.

Pro mě konkrétně linux je docela zázrak. Zvlášť při porovnání s W10... Neříkám že to nemůžeš mít jinak, ale nesnaž se tvrdit, že tvůj názor je lepší než názor kohokoliv jiného.

Absolútny súhlas - aj to najlepšie auto na ceste sa chová len tak, ako mu šofér dovolí, ak je šofér blbec, tak je to katastrofa a ak je auto krám, tak je to katastrofa**ka­tastfrofa. Win sú katastrofa od samého začiatku, zlátanina bez koncepcie a dodržiavania elementárnych zásad, tak sa moc nečudujme. Vo svete profesionálnych IT technologií sú Win na úrovni hračky - k systémom, ktoré musia bežať mesiace/roky absolútne spolahlivo sa Win nikdy ani nepriblížili a ich uživatelia sú už tak zblbnutí, že nemajú ani tušenia, že sa dá žiť bez pravidelného reštartu, permanentného upgrade akýchsi pofidérnych antivírov lepiacich diery v spackanom systéme, poldňovým čakaním na akési update, po ktorom je ten krám zvyčajne v horšom stave ako predtým a prípadným zachraňovaním zmazaných dát. No a reinštalácia kompletného (samozasraného) systému sa už stala obvyklým folklórom s intenzívnym vymieňaním poznatkov o tom, ktorý update treba a ktorý sa nesmie inštalovať.

Linux/Unix nie je zázrak, je to len poriadne, systematicky a korektne implemetovaný systém na základe pravidiel, ktoré boli vygenerované múdrymi ľuďmi hádam pred 50-timi rokmi. Chyby sa samozrejme stávajú všade, ale ešte som na Linuxe nezažil, že by akýkoľvek problém prekročil rozsah chlieviku, v ktorom mal program dovolené bežať a nikdy som nepočul o tom, že by jeden linuxový počítač zaprasil nejaký druhý. No a Linuxové servery, ktoré mám v správe sa zvyčajne napchajú do rackov, zapnú ako nové ... a vypnú sa po pár rokoch, keď ide HW do šrotu. Medzitým sa vypli len raz - a to len vtedy, keď bol výpadok elektriky, blesk upiekol trafák, UPS-ky vybili baterky a Fero údržbár predtým po troche ukradol naftu z diesel-agregátu do svojeho domáceho traktora.

Budeš se asi divit (protože to je subjektivní), ale jo. Protože když mám systém zcela bez zabezpečení A UVĚDOMUJU si to, můžu tomu svoje chování přizpůsobit. Navíc u systému, který není v síti a s ničím s výjimkou ovládacího panelu a vnitřního servisního rozhraní nekomunikuje (tedy jede v režimu přístroje), nemusí mi to až tak moc vadit (teď nechám stranou důsledky typu hacknutelnosti apod., protože to patří jednoznačně do kategorie zneužití).

Jenomže když mám systém s nějakou neupřesněnou úrovní zabezpečení, aniž bych chápal co a jak a proč, přičemž nutnost to všechno nastudovat mi zabrání dělat svoji práci, a "jenom" po mě "někdy" chce "nějaké" heslo, někdy jen ohlásí že na provedení operace (kterou chci a nebo ještě hůř potřebuju provést, ale "jen" neznám všechny její důsledky a hlavně důvod proč by měla být chráněná) potřebuju zadat navíc klíčové slovo (a je úplně jedno jestli 'sudo' nebo '/runas:admin') a heslo, tak si doslova koleduju o to, aby každý kdo s tím přijde do styku udělal všechno pro to, aby to "zjednodušil" vyřazením bezpečnostních mechanismů. Takový systém, pokud "hloupému" uživateli (ve smyslu uživatele který do toho nemá co vrtat) ukazuje a zpřístupňuje cokoli víc než mu přísluší (nebo mu naopak blokuje něco co potřebuje), je navržen blbě. Když ten uživatel k něčemu nemá práva, tak nemá co vidět ani rozhraní funkcionaliti tato práva vyžadujících; nesmí vidět klikátka a nesmí mu reagovat ani příkazy. Musí se to chovat, jako by to tam vůbec nebylo. A naopak musí vidět a mít na svojí úrovni přístupné všechno, co potřebuje.

Jakmile je to jinak, je to blbě.

Ne, padlo tady, že uživatel bude "všechno dělat pod rootem", "neblokovat přístup k souborům",... Takže nastavený jako maximálně zmršený. Nikdy v historii nebylo nic víc zmršený a pokud na tom někdo trvá, není problém se na tu úroveň snížit. Nejnovější Linux totiž zvládne i tohle.

Akorát to nastavit dá práci a nedává to smysl. Na widlích se jede jako admin kvůli prasáckým programům, co ukládají data do adresáře s programem. Tam si ale stejně uživatel ani neuvědomuje, že ty data ani nemá zálohovaný a další zrady, a že by to místo změnou vlastních práv měl řešit s autorem toho softu.

U Linuxu je nějaký standard a setkal jsem se s potřebou modifikací mimo /home jenom u KiCADu, kde jsou knihovny v /usr. Tam stačilo je zkopírovat jinam a překonfigurovat aplikaci. Roota potřebuješ jenom na instalaci aplikaci údržbu systému, na instalaci to jde omezit úplně v pohodě pravidly pro sudoers.

Fedora, Gnome (výchozí):
1) <super>softwa­re<enter>
2) Výběr aplikace
3) Rozkliknutí detailů aplikace
4) Klik na tlačítko "instalovat"
5) Vyskočí dialog pro zadání hesla s vysvětlením, že je to kvůli instalaci nové aplikace. heslo<enter>
6) Počkáš, až dojede progress bar
7) Máš možnost software zavřít, přidat další, nebo rovnou z infa o aplikaci tu aplikaci spustit.

Pokud si někdo nepřečte, proč má zadat heslo a nezamyslí se, že přece právě nic neinstaluje, tak je něco špatně, ale ne v systému. K ovládání stroje je vždycky potřeba o něm něco vědět a počítač není výjimka.

P.S. To samý na Widlích:
1) Hledání instalačky po všech čertech (slunečnice, sourceforge, uložto,...)
2) Klik na stažení, výběr adresáře k uložení
3) Otevření adresáře v průzkumníkovi, klik pravým tlačítkem, výběr "kontrola antivirem", čekání na optimistickou zprávu.
4) V případě, že antivir řekne, že tam není hrozba starší jednoho roku, spuštění instalačky
5) Odklepnutí, že jsi admin
6) Procházení průvodce a kontrola výchozích nastavení. Vykopnutí věcí jako Yahoo! toolbar a podobných výkalů
7) Potvrzení instalace
8) Čekání, až dojede instalace
9) Reboot
10) Pokus o spuštění
11) Googlení, kterou verzi .NET stáhnout a instalovat.
12) Kroky 1 až 9 pro .NET runtime
13) Druhý pokus o spuštění. Často úspěšný

Tak mi prosim nainstalujte PHPStorm Vami popsanym postupem pro obe platformy a zaznamenejte si body, ktere Vam chybi nebo naopak prebyvaji.

Bavíme se o BFU, který do systému nevidí a sestřelí si zabezpečení. Pak existuje ještě řada dalších lidí - vývojáři, admini, webadmini,... kteří by měli mít páru o tom, co a proč dělají a proč používají věci, který nejsou v repu.

sudo snap install phpstorm --classic

na těch Widlích jsem viděl 2 (jiné) možnosti instalace

instalačka jako exe:
1) vyhledání a stažení instalačky
2) otevření adresáře "Stažené" v průzkuníkovi
3) klik pravím tlačítkem a "spustit jako zprávce"
4) potvrzení UAC
5) pruvodce kontrola výchozích nastavení
6) potvrzení instalace
7) čekání až dojede instalace
8) potvrzení pro vytvoření zástupce / spuštení (někdy součástí kroku 5)(často ůspěšné)

intalačka jako zip:
1) vyhledání a stažení instalačky
2) otevření adresáře "Stažené" v průzkuníkovi
3) klik pravím tlačítkem "rozbalit"
4) výběr adresáře pro instalaci
5) potvrzení rozbalit a otevřít v průzkuníkovi po rozbalení
6) přetazení souboru program.exe na plochu
7) klik na vytvořit zástupce
8) spuštěni (casto ůspěšné)

P.S.
naposledy jsem na widlích něco instaloval hodně dávno a bylo to na W7 tak třeba se od té doby něco změnilo nebo jsem na něco zapoměl
jo a neuvádím tady různé speciální metody jako apt-get do WSL nebo exáč spustitelný bez instalace
pořadavky jako ukončení všech ostatních programů na pozadí a restart po instalaci nemusí být součástí každé instalace ale občas když ta instalace třeba něco mění v registrech nebo instaluje služby systému windows tak to byvá nutné

A tohle delat (minimalne bod 1. kontrola, jestli neni nova verze a pokud je, tak x dalsich bodu) kazdych 14 dni u vseho, takhle nainstalovaneho, softwaru.
Brrr ...

proč kontrolovat nové verze každých 14 dní u všeho ? dokud stará verze funguje a nechybí mi tam žádné (nové) funkce
jasně není to ideální z hlediska bezpečnosti ale snad se dá aspon věřit antiviru že na takto způsobenou díru někde upozorní (třeba nějaký waring ve výsledcích...)

Tohle je krásná ukázka toho, že Widle jsou otevřenější, než Linux. Už jenom bod číslo 1) v obou seznamech o tom svědčí - Na Linuxu, pokud to není v repozitáři, který někdo schvaluje, jsem odkázaný na tak složitý postup, že se na to radši vykašlu.
Klidně bych mohl říct, že mám pro winy složený svůj vlastní repozitář programů a ty používám. Pokud někdo hledá instalačky po všech čertech, je blb. SW se stahuje zásadně u vydavatele SW.
K těm dalším bodům:
2) lež - kromě kliku není třeba
3) lež - není třeba
4) lež - není třeba
5) wau, dohnali jsme sudo...
6) Ano, rád si nastavím, na který disk aplikaci nainstaluji, kde chci mít umístěná její data, když dovolíte. Potvrzení instalace je součástí nastavení, nestojí to ani za bod navíc.
8) Najednou z osmého bodu se stává 4) oproti Linuxu. Malý zázrak.
9) Většinou lež. Zažil jsem snad v jediném případě, když to bylo vyloženě třeba a to byla instalace MSQL serveru, což se dělá jednou, pořádně a souvisí to s hlubokou integrací do systému.
10) To si děláte srandu...
11) Nesmysl, integrované ve windows, tedy včetně kroku 12)
13) Absurdní a zbytečné natahování.
Tadá

Mimochodem, popisované problémy se vyskytovaly kdysi, často na sobě časově nezávisle a v době, kdy se Linuxové instalace kompilovaly, protože se ještě evolučně nevyřadily zbytečné forky. Když nebyl SW na image, čekaly admina dlouhé noci. A mimochodem, když tučňákofil neví, jak se program jmenuje, tak je v pr.... tak jako tak a nepomůžou mu ani čtyři repozitáře, stejně se musí sebrat, jít na ten google a začít hledat taky.
A popisovat tady metody hledání softwaru chudého školáka z doby, kdy se GIMP blížil funkčností MSPaint mi nepřijde fér.

K smíchu. Já neobhajuju Widle, ale popírám kecy někoho, kdo je viděl naposledy ve školce a zjevně píše nesmysly. A kromě toho, kam se poděla ta Linuxácká nezávislost? Vážně jsou tučňáci tak neskutečně závislí na repozitářích, že hledají jen v nich? Roztříštěnost Linuxu je to, co jej zabilo. Repozitáře se pro něj staly nezbytné, aby jej vůbec někdo používal. Z Linuxu se pomaličku stává uzavřený systém, stejně jako Appleverse. Až vymřou nadbytečné forky, zbydou z něj jen kusy podporované Microsoftem a HW firmami, zatímco zbytek se rozpustí v moři digitálního zapomnění.

[Včera 13:45, Dr.Str. (neregistrovaný) ---.loreco.cz]

> Tohle je krásná ukázka toho, že Widle jsou otevřenější, než Linux.
??? ?????????????­???????????

> Už jenom bod číslo 1) v obou seznamech o tom svědčí - Na Linuxu, pokud to není v repozitáři, který někdo schvaluje, jsem odkázaný na tak složitý postup, že se na to radši vykašlu.
Složitý postup spočívající ve stažení balíčku přímo, přidání příslušného repozitáře, kde je program zahrnutý, stažení a spuštění vhodného formátu (appimage) nebo - bože chraň - spuštění nějaké binstalačky jako z windows.

> SW se stahuje zásadně u vydavatele SW.
Chci program -> hledám vydavatele -> hledám u něj instalačku -> stahuju instalačku -> spouštím instalačku -> odklikávám admina -> proklikávám se instalačkou -> ignoruji doporučený restart.

> 3) lež - není třeba
Spustit jako správce je potřeba některé instalačky i dneska. Bohužel.

> 6) Ano, rád si nastavím, na který disk aplikaci nainstaluji, kde chci mít umístěná její data, když dovolíte. Potvrzení instalace je součástí nastavení, nestojí to ani za bod navíc.
Osobně mi daleko víc vyhovuje model "programy programům, data datům". Tedy použití standardního umístění. Nakonec když je ta instalačka slušně udělaná tak to neotravuje tolik - horší jsou ty prasata, kde se to musí vyplňovat při každé aktualizaci.

> Mimochodem, popisované problémy se vyskytovaly kdysi, často na sobě časově nezávisle a v době, kdy se Linuxové instalace kompilovaly
I když v menší míře, vyskytují se stále. Za tu dobu, kdy linuxové instalace byly potřeba kompilovat (soudím že dle tebe je to daleko horší způsob) by to přeci šlo vychytat, když to vychytat stihly i linuxové instalace, které měly startovní čáru o 200 metrů dál?

> protože se ještě evolučně nevyřadily zbytečné forky
Jakže to funguje, ta evoluce? Ach ano, používá větší množství kandidátů. Tedy z definice nemůžou být zbytečné.

> A mimochodem, když tučňákofil neví, jak se program jmenuje, tak je v pr.... tak jako tak a nepomůžou mu ani čtyři repozitáře, stejně se musí sebrat, jít na ten google a začít hledat taky.
Člověku vyhovuje něco jiného než tobě a už je tučňákofil. Meh... Může hledat na googlu (kde kolikrát stačí podívat se jak se ten projekt jmenuje, místo toho, aby otevíral stránky které se tváří jako že obsahují informaci, kde se dá instalačka najít) nebo přímo v repozitáři (ano, i řádkové programy dokážou v datech z repa hledat). Nebo může projít repo podle jiných metadat.

> 3) lež - není třeba
Spustit jako správce je potřeba některé instalačky i dneska. Bohužel.

-> Na linuxu skoro nutnost mit root access.

> SW se stahuje zásadně u vydavatele SW.
Chci program -> hledám vydavatele -> hledám u něj instalačku -> stahuju instalačku -> spouštím instalačku -> odklikávám admina -> proklikávám se instalačkou -> ignoruji doporučený restart.

-> To same je na linuxu (az na posledni bod).

>-> Na linuxu skoro nutnost mit root access.

S tím rozdílem, že slušná instalačka na win ti vyhodí admina na tu kterou operaci admina potřebuje. Stejně jako když místo suda použiješ pkexec. 1) ten program spustíš normálně bez "admina", 2) ten program si sám řekne o admina, když ho potřebuje.

Chci program -> hledám vydavatele -> hledám u něj instalačku -> stahuju instalačku -> spouštím instalačku -> odklikávám admina -> proklikávám se instalačkou -> ignoruji doporučený restart.

-> To same je na linuxu (az na posledni bod).


$ sudo apt install doublec[tab][ta­b][vyberu z nabízených]
(dávám heslo k sudo)
(instalace vč. závislostí)
(dostanu prompt a je hotovo)


V grafice to funguje dost obdobně. Vidíš ten rozdíl? Zpravidla nehledám vydavatele, instalačka se najde, stáhne, spustí a prokliká sama. Srovnej s windows: google>Double commander, vybrat web s projektem, hledat Download, stáhnout exáč, extra exáč spustit, (zarazit se na adminovi, hledat exáč na disku a spustit ho extra jako admin,) zatrhávat různá zaškrtávátka, kontrolovat cesty atd atd a nakonec odmítnout otevření readme.txt a přestát otevření prohlížeče s nějakou úžasnou-novou-počítací-stránkou, o kterou jsem se na 100% neprosil.

Kdo má nějaké zařízení s Androidem tak si ani nezaslouží nic jiného než nějaký pořádný průšvih.

No já tě nechci děsit, ale SourceForge mělo po prodeji veliký problém právě s přibalováním sraček, a málem to celý server zabilo. Stáhnout odtud jsem si troufnul naposled tak 3~4 roky nazpátek. CNET a obdobné servery jsou s tím provařené už léta. Osobně vůbec nechápu, jaký je důvod odtud něco stahovat, když 1) google domovskou stránku projektu najde, a 2) samy tyhle "agregátory špíny" odkazy na domovskou stránku musí samy uvádět a taky ji uvádějí.

Ve chvíli, kdy děláte nějaký výzkum a rešerši, tak prostě musíte na podobné servery zabloudit.

A nenechte se zmást, plno projektů používá Sourceforge dodnes. I když mají vlastní stránky, tak download vás přivede na Sourceforge. Z těch známějších projektů například PlantUML. A znáte třebas k němu nějakou alternativu, co by schroustala lidsky čitelný textový soubor a vyplivla diagram v SVG s aktivními linky? Takže zuby skřípou, ale jede se dál.

Z sourceforge som už roky nič nepoužil, prevažná väčšina projektov (výnimky sa nájdu) sa už z neho odsťahovala na github / gitlab / ... alebo je možnosť inštalácie / aktualizácie rovno zo stránky projektu (ppa). Toto garantuje zaručene vyšší stupeň kontroly zdroja ako kadejaké *Store, kde neviem, či ide o nejakú fake rebrandovanú kópiu prípadne aj s pribaleným darčekom. Pokiaľ projekt neuplácal zrovna nejaký IT učeň, tak aj pri inštalácii zo zdrojákov svatá trojica configure-make-make install funguje bez problémov - len na toto treba o tom, čo sa deje v počítači aj dačo vedieť, čo je v tejto dobe silne nepopulárne.