Vlákno názorů k článku Superstabilní server s NetBSD, varování před chytrými auty od Mmmartan - Netuším jak je na tom BSD s aktualizací...

Netuším jak je na tom BSD s aktualizací jádra (a dalších služeb), ale znamená ta zpráva jinými slovy, že se někdo chlubí tím, že 10 let neaktualizoval server?

Uptime se dneska nehoní na úrovni serveru, ale na dostupnosti služeb.

A mimochodem, kromě soft-resetu je jednou za čas dobré udělat i úplné vypnutí serveru (routeru, ...) - odcházející hardware se velmi často ozve právě v tuto chvíli a během plánovaného servisního zásahu se dá lépe reagovat

Proc? Na serveru muzes mit klidne i zcela nesitovy provoz, a neni duvod ho aktualizovat. Naopak, zvysujes tim razantne pravdepodobnost, ze se neco podela. I se sitovym provozem postaci aktualizovat tu servisu. Zdaleka ne vse se da provozovat na vice serverech a nektere veci startuji i hodiny.

Ten HW se neozve, on chcipne prave proto, ze si to vypnul.

Jasne, ono "staci" akualizovat servisu, v kernelu na urovni sitoveho stacku zadna dira byt nemuze... :D V ktere ze instituci to takhle diletantsky resite bezpecnost? ;-)

Naplanovany maintenance i u aplikace, co startuje hodiny je lepsi, nez hrdinny boj o co mozna nejvetsi uptime s rizikem, ze to neplanovane vypadne v ten nejmene vhodny okamzik a nejlepe tak, ze si po letech nebude moct nikdo vzpomenout, jak to spravne znovu nastartovat... :-)

Ve vhodně zkompilovanym (read: ořezanám) kernelu zase těch remote vulnerabilit za ta léta tolik nebylo...

Navíc, když z firmy odejdu, tak to už není můj problém, jestli to někdo kontroluje a updatuje, že ano.

Coz pod beznym supportem nejake megadistribuce vetsinou znamena ze prijdes o support. Coz se rad dovi tvuj sef.
Jakmile to clovek udela uz si to musi supportovat sam. Je to stejne jako s forky projektu.
Naposledy jsem takove opicarny delal pri vyvoji jedne VoIP brany. Tam jsme ale byli vyjma podpory/sdk daneho boardu vetsinou pod supportem jako partneri/vyvojari embedded reseni.

12. 9. 2023, 16:11 editováno autorem komentáře

Diletant jsi tu zjevne ty. Adminuju mimo jine aplikace v desitkach mega na porizeni, a ackoli bezi na vicemene standardnich distribucich, je jejich aktualizace i smluvne zakazana. A neni k ni ani naprosto zadny duvod, ty aplikace bezi interne a pristup k nim je pro uzivatele tak maximalne prostrednicvim 20 dalsich zprostredkovatelu. Zato bezi destiky let bez vypadku, narozdil od vseho, co si ty vubec dovedes predstavit.

Nerekl bych ze se jedna o diletanstvi, ale o jisty rozpor mezi generacemi adminu a securitaku kdy jedna bere situaci tak jak je a druha uz nikoliv. Taky jsem adminoval i 30 let stare veci co byly vetsinou nejake prumyslove hovadiny nebo terminaly na radar kde kdyz to nejde, dojde k velkym skodam ci muze nekdo realne pri nedodrzeni krizovych planu i zemrit. Tim ale netvrdim ze je to tak spravne. Jen riziko je znacne zmenseno doprovodnymi opatrenimi (lokalni uzavrena sifrovana sit, airgap, fyzicke zabezpeceni, "divne" sitove technologie a protokoly atd.) ale nikoliv eliminovano tim ze ta potvora je spatne dostupna zvenci.
U dodavatelu reseni uz se trochu mentalita nainstaluj a zapomen diky tlakum na zmeny predpisu meni. Je to ale beh na dlouhou trat.

Tak za dekadu muzem cekat vysledky. Mozna to zasadne urychli valka na ukrajine.

Ta dira tam klidne muze byt, ale mezi tou dirou a siti muze byt treba IPS ktery ti pokus o exploitaci zarizne… jsou systemy ktere se neaktualizuji treba z duvodu validace (fda - leky), kazda zmena znamena revalidaci coz muze znamenat klidne desitky milionu $. A presto jsou tyhle reseni pri spravne implementaci dostatecne zabezpeceny a nejaka dira v kernelu nikoho nerozhodi.

Jo, to jsme videli v praxi treba v pelhrimovskem spitale... :D Diky za teoreticke poucky, ty ja take znam... ale take vim, jak to v praxi doopravdy byva.

IPS toho moc nevidí teda ;-)
Ale jo, varianta strčit to do izolované VLAN, a přístup tam nechat jen přes dobře nastavenou WAFku je reálná.
Jen je tu pár drobných ošklivých ale, které tenhle nápad poněkud kazí. Dobře nastavit WAFku (==whitelist na přesnou specifikaci pro každý parametr pro každou url) i na tu nejjednodušší aplikaci zrovna není nejtriviálnější, spíš by se dalo říct, že je to pořádná pakárna, se kterou automatické učení pomůže jen částečně.
Tudíž to celé pěkně leze do peněz, a není moc technologií, které by se vyplatilo takhle chránit. Jo, mašinu za 30 megaEuro řízenou XPčkama asi jo...

Škoda, že mikrokernely sa okrem niektorých špeciálnych aplikácii neujali viacej. Chápem dôvody, prečo sa neujali. (dajú sa vygoogliť)

Zostreliť len niektoré servicy a updatnuť ich, to by bolo pekné.

Jak víte, co a kde ten server dělal? Pokud mi něco poběží na k internetu nepřipojené síti, kde kromě toho něčeho oxidují nějaké dvě tři další stanice, třeba navíc taky bez uživatelů, můžeze tam zcela bezpečně pustit klidně něco, co je staré třicet let.