Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

Door , , 82 reacties
Submitter: jcvw

Zowel servers van Linux-distributie Fedora als van Red Hat zijn door hackers aangevallen. Indringers wisten op de Red Hat-servers gemanipuleerde Openssh-pakketten te plaatsen.

De servers van Fedora zijn kort nadat de kraak werd opgemerkt offline gehaald, meldt Paul Frields, hoofd van het Fedora-project. Die gelegenheid is aangegrepen om het serverpark te voorzien van de laatste beveiligingsupdates. Een van de getroffen Fedora-servers waar hackers binnen wisten te geraken werd gebruikt voor het digitaal ondertekenen van Fedora-packages. De beheerders stellen echter dat de indringers er niet in zijn geslaagd om de passphrase te stelen die nodig is om softwarepakketten te signen. Voor de zekerheid heeft het Fedora-team er toch voor gekozen om de signing key te wijzigen.

Ook het serverpark van Red Hat is vorige week met succes aangevallen, zo laat de firma weten. Onbekenden wisten een aantal gemanipuleerde Openssh-pakketten voor Red Hat Enterprise Linux 4 en 5 te signen, maar zij slaagden er volgens het Linux-bedrijf niet in om de code via het Red Hat Network verder te verspreiden. Inmiddels heeft Red Hat een script uitgebracht om na te gaan of een systeem eventueel besmette Openssh-code bevat. Ook zijn er voor de zekerheid nieuwe Openssh-pakketten op het Red Hat Network geplaatst. Hoewel Fedora gelieerd is aan Red Hat, is het nog onduidelijk of het gaat om losstaande aanvallen, of dat de krakers er in slaagden om beide netwerken tegelijkertijd te infiltreren.

Moderatie-faq Wijzig weergave

Reacties (82)

Mensen zeggen altijd wel van, windows wordt veel gebruikt, daarom zijn er veel virussen en andere dingen voor, maar vergeten die mensen niet alle servers waar Linux op draaien? Tuurlijk het zijn er nog altijd minder dan het aantal windows computers, maar het aantal linux servers is ook niet heel laag geloof ik.

Ik bedoel, een server hacken lijkt mij net zo interessant als een windows PC.
Servers hacken is zelfs veel interessanter. Je hebt over het algemeen toegang tot een dikke internetpijp en andere resources, en mensen vertrouwen er vaak op dat het veilig is (bijvoorbeeld de software-repositories in dit geval). Je kan gigantisch veel meer schade aanrichten met 1 gehackte Linux-server dan met 10 gehackte Windows pc's. Als Linux-servers ter wereld massaal gehackt zouden worden, dan zou het hele internet instorten. Het feit dat het internet nog niet ingestort is, wil dus zeggen dat Linux zeer veilig is.

[Reactie gewijzigd door DOT op 23 augustus 2008 15:27]

Waar iedereen aan voorbij lijkt te gaan is waarom een belangrijke machine voor het ondertekenen van packges open staat voor de gehele wereld. In de Red Hat organisatie zullen hooguit een tiental personen zijn welke toegang tot deze machine nodig hebben. Deze mensen kunnen hun (fixed) IP dan doorgeven en voor de rest van het internet behoort de machine onbereikbaar te zijn.

SSH toegang dient via ssh-keys te verlopen en deze keys behoren niet thuis op servers, maar op de PC van een werknemer. Je kunt dan niet van de ene server naar de andere server 'hoppen'.

Uit de RHSA-2008-0855:
In connection with the incident, the intruder was able to sign a small
number of OpenSSH packages relating only to Red Hat Enterprise Linux 4
(i386 and x86_64 architectures only) and Red Hat Enterprise Linux 5 (x86_64
architecture only). As a precautionary measure, we are releasing an
updated version of these packages, and have published a list of the
tampered packages and how to detect them at
http://www.redhat.com/security/data/openssh-blacklist.html
De hackers waren er bij Red Hat dus WEL in geslaagd om een aantal pakketten te ondertekenen.

Op zich kan ik nog wel begrijpen dat je SSH weet te kraken, maar dat men ook nog eens de signing key (PGP/GPG) weet te kraken lijkt mij sterk. Of Red Hat vertelt niet het hele verhaal of er was iemand van de Red Hat organisatie zelf bij betrokken.

Wij hebben zelf een debian mirror (met enkele interne packages), maar de onze packages ondertekenen we niet op de machine waarop we deze builden of verspreiden. Het ondertekenen gebeurt op de machine van de systeembeheerder en deze scp'ed deze dan naar de mirror.
En Linux was zo veilig ;)

Altijd al gezegd, linux is op sommige punten echt een stuk veiliger als windows, maar door dat het aantal windows gebruikers en tools in een veel groter aantal aanwezig zijn zal windows ook automatische doelwit zijn van kwaadaardige mensen.

Linux is meer voor de geanvanceerde gebruikers en wordt in een kleiner aandeel gebruikt wereldwijd.

maar zo zie je maar weer ook Linux is niet 100% proof voor hackers. :|
Huh, dit heeft weinig met veiligheid van OS te maken.

Stel dat er bepaalde microsoft servers gehacked worden en dat de hackers slagen om een windows update te distributeren, die zou dan gelijk automatisch geinstalleerd worden bij duizenden windows pc.
Daar zou je windows OS, je dan ook niet tegen beschermen.

Ja, kans dat het gebeurt is hopelijk nihil, maar geef het voorbeeld alleen maar om aan te tonen, dat dit niet om veiligheid van OS gaat, maar om veiligheid van bepaalde servers.
Ik vraag me af hoe vaak er bij bedrijven als Apple of Microsoft servers gehackt worden. Redhat, Fedora en ook Debian zijn gewoon open over het feit dat hun servers gehackt zijn. Van andere bedrijven zoals Microsoft of Apple heb ik nog nooit een persbericht gezien waarin ze aangeven dat een of andere server gehackt is.

Ik vroeg me vorige week al af waarom cvs.fedoraproject.org het niet meer deed, kon niet bij de viewvc om patches te bekijken :P
Er is nooit door de Linux of Unix community beweerd dat Linux/Unix 100% hackproof was. Er is beweerd, met reden, dat Unix-achtigen zijn opgebouwd vanuit de security gedachte wat heeft geleid tot een mindere gevoeligheid voor hacks.

Het argument dat Windows meer gebruikers heeft en dus meer hackers aantrekt met als gevolg meer hacks vind ik niet sterk. Unix-achtigen zijn er al veel langer dus meer tijd voor het ontwikkelen van exploits en hacks en op de servermarkt is Windows helemaal niet dominant.

Serieuze hackers richten zich doorgaans minder op de desktops dan op de servers.
Met verstand van zaken en de laatste updates is elk OS zo goed als veilig.
Hier lijkt dat niet alle updates waren geinstalleerd. Linux de schuld geven als beheerders hun werk niet goed doen, kan wel, maar is niet correct.
Hoe naief kun je zijn. Een OS is nooit veilig; not even close. Voor thuisgebruikers is alle updates + anti-virus + anti-spyware + firewall misschien veilig genoeg, simpelweg omdat thuisgebruikers toch minder interessant zijn voor de echte aanvallen en het niet eens zo heel, heel, heel erg is als je toch een keer slachtoffer wordt.

Maar zeker voor servers gaat jouw bewering absoluut niet op. Je bent dan misschien redelijk beschermd tegen geautomatiseerde batch-aanvallen (granted, veruit de meeste), maar tegen een doelgerichte aanval als deze? Nonsense.
Een OS is nooit veilig
Tenzij mathematisch bewezen kan worden dat dat wel zo is; en daar wordt gelukkig her en der aan gewerkt. Zie bijv. CoyotOS.
Tja.... mathematisch bewezen... Tegen de tijd dat je bent uitgerekend met betrekking tot een OS ben je ongeveer 10 versies verder en kun je opnieuw beginnen... In theorie is het leuk, de praktijk was/is anders...
Een mathematisch bewijs is geen berekening. Het is een bewijs zodŠt je het niet na hoeft te rekenen.
Ben ik nou gek of is de enige manier om een mathematisch bewijs geldig te verklaren het door te rekenen?

Evengoed maakt het niet uit, alles wat door mensen gemaakt wordt kan door mensen gekraakt worden. Je wil een perfect OS, maar perfectie zou iets zijn wat blijft bestaan ondanks dat al het andere verandert, wat weer strijdig is met de aard van het universum.

Het maken van een OS is een actie, het kraken ervan een reactie en in zichzelf weer een actie waarop het verbeteren van het OS een reactie is. De cyclus is eindeloos. Het enige relevante is de tijd tussen de actie en de reactie.
Hier lijkt dat niet alle updates waren geinstalleerd
Er is geen duideljkheid gegeven over de oorzaak van de hack.
Dus dat nu de laatste updates wel zijn geinstalleerd geeft geen zekerheid dat de servers niet nog steeds kwetsbaar zijn.
maar nadien heeftmen wel van de gelegenheid gebruik gemaakt om patches te installeren...
Dat had toch al eerder met een planned maintenance moeten gebeuren :? Ze hebben de patches nota bene als ťťrste!!!
Niet helemaal, voor zover ik het uit het artikel op kan maken: Na de hack zijn de servers offline gehaald, en doordat de servers offline waren kregen de beheerders de kans om de updates te installeren. Dit lijkt er volgens mij op dat de servers sowieso offline gehaald moeten worden om updates te installeren.

Daar komt nog bij, het installeren van patches / updates betekent niet automatisch dat het veiliger wordt. Als versie 1.0 veilig is en goed draait, waarom zou je dan updaten naar 1.1 als dat betekent dat je servers een X-aantal uren offline gehaald moeten worden?
Daar komt nog bij, het installeren van patches / updates betekent niet automatisch dat het veiliger wordt. Als versie 1.0 veilig is en goed draait, waarom zou je dan updaten naar 1.1 als dat betekent dat je servers een X-aantal uren offline gehaald moeten worden?
Er wordt in het bericht dan ook specfiek gesproken over veiligheidsupdates, dat wil zeggen dat 1.0 in dit geval dus niet veilig draaide.
Je kunt je niet altijd wapenen tegen 0-days, daarom zijn ze ook zo gevaarlijk.
Met verstand van zaken en de laatste updates is elk OS zo goed als veilig.
Met de nadruk op "zo goed als". Je kan geen slot verzinnen of een inbreker weet er wel een weg omheen, of doorheen. Hetzelfde geldt voor besturingssystemen: vraag is niet of je paranoÔde bent, maar of je paranoÔde genoeg bent. Want ook hier is weer aangetoond dat alles te kraken valt...
Nee, hier is bewezen dat de gebruikte versies van Fedora en Red Hat te kraken waren.
Wie zegt dat de beheerders hun werk niet doen?

Misschien waren de veranderingen dermate ingrijpend dat de updates niet zomaar 1-2-3 geinstalleerd konden worden, dat hangt van de impact van de updates af. En aangezien het belangrijke servers zijn, wordt daar dus wel enigszins voorzichtig mee omgesrongen neem ik aan.

[Reactie gewijzigd door Jeanpaul145 op 24 augustus 2008 00:44]

Ter info: misschien een interessante link om eens te lezen:

http://www.theregister.co..._report_windows_vs_linux/

Absoluut niet als authoriteit te zien wat de vergelijking van security tussen Linux en Windows betreft, maar vooral de "myth busters" vormen stof tot nadenken. Er staan enkele goeie opmerkingen wat de klassieke mythe rond "Windows is door de grote getalen vlugger doelwit dan Linux".
Dat stuk is eigenlijk precies het tegenovergestelde van hen die de zogenaamde "mythe" over het aantal gebruikers aanhangt, net zo fout, maar dan vanaf de andere kant bekeken.
Hoe kan het nou een mythe zijn als de praktijk is dat Wormen en Virussen vooral bedoeld zijn voor de thuismarkt en het stuk gaat over Webservers? Het zou pas een mythe zijn als Linux / Unix / ander-OS het marktaandeel van Microsoft zou hebben in de huiskamer en er dan inderdaad geen last van hebben.
En Linux was zo veilig ;)
maar zo zie je maar weer ook Linux is niet 100% proof voor hackers. :|
Wat is de definitie van veilig?

Een goed geconfigureerd systeem met alle p[atches erop geinstalleerd en gebruikers die zich verantwoordelijk gedragen is veilig voor alle nu bekende exploits. Maar NIET voor de exploit die nog niet gekend zijn.

Het is wel zo dat er verschillende OSen een ander security model hebben waardoor het effect van een exploit verkleind kan worden. Zoals zaken als chroot, apparrmor, selinux (imo ook virtuele installaties) etc waardoor je na een exploit nog steeds geen toegang hebt tot het hele systeem
Wat is de definitie van veilig?
Typisch nerd-antwoord :+

Veilig is als er niet ingebroken kan worden. Mijn huis is veilig omdat er niet of heel moeilijk ingebroken kan worden. Ook niet met tools die nog niet bestaan.

En natķķrlijk kan een OS niet opgewassen zijn tegen een exploit die nog niet bekend is. Dat is het hele doel van een exploit :D
Elk OS zal onveilig zijn als het verbonden is met internet, of als het WIFI / Bluetooth aan heeft staan. Haal je je PC offline, dan is er niks aan de hand. Je zult een OS nooit 100% kunnen beveiligen, misschien wel als je voor elk pakketje een password gaat vragen, bestaande uit 64 tekens. :)
Het is zeker 100% proof voor hackers, die schrijven het namelijk. Crackers kunnen inderdaad inbreken, maar dat kan in elk systeem.
Tsja... er wordt ergens 1 keer een linux server gehacked en meteen staan de windows fanboys in de rij om linux af te kraken, totaal vergeten dat er dagelijks windows server worden gehacked, maar dat het nieuws is als het met linux gebeurt, omdat dat niet zo vaak voorkomt.
Nou weet ik verder de aard van de hack niet, maar er worden ook regelmatig fouten in bvb php-gebaseerde software pakketten gevonden. Als je via zo'n stukje software een server hackt heeft dat weinig met het OS te maken...
En linux was zo veilig, zo speculeer je het net of redhat, fedora de enige linux distro's zijn.
En dat is dus niet zo!

Neem b.v. centOS...
even voor de noobs hier kan iemand uitleggen wat ze met deze hack wilden bereiken ?
Als ik het goed gerijp probeerde ze in het installatie of updatesysteem van Fedora openssh pakketten te zetten die zeer waarschijnlijk een backdoor hebben.
Op deze manier kunnen ze computers die dit paket geinstalleerd hebben bijvoorbeeld in een botnet gebruiken.

Dat ze pakketten konden signen is een kwalijke zaak. Daardoor vertrouwt het update systeem deze paketten automatisch.

IMO niet zo verstandig om een systeem dat het signeren doet aan het internet te koppelen c.q. de key hier op de laten staan. Ipv bijvoorbeeld met een losse key te werken die alleen gebruikt wordt als er gesigneerd moet worden.

Gelukkig is de exploit in een vrij vroeg stadium opgemerkt.

IMO netje van zowel Fedora als Redhat om hun klanten c.q. gebruikers over te informeren.
Dit was ook een van mijn eerste bedenkingen toen ik naar linux overstapte.
Ik heb er destijds nog een vraag over gesteld in een ubuntu forum

Ik denk dat nu dus bewezen is dat het wel degelijk mogelijk is....

Helaas
das toch heel simpel, proberen de beveiliging te door breken en laten zien dat geen 1 besturingssysteem of beveiligings systeem 100% waterproof is tegen hackers en kwaadaardige software.
en dat is het doel van een hacker, proberen in een systeem te komen dat is beveiligd of wordt geacht niet te kraken te zijn ,dit geeft hackers een kick om in te breken.
en wees blij dat hackers bestaan, dankzij dit soort lui komen beveiligings lekken bovenwater en vaak gaan hackers zelf voor beveiligings bedrijven werken om de beveiliging te testen en te verbeteren.
en wees blij dat hackers bestaan, dankzij dit soort lui komen beveiligings lekken bovenwater en vaak gaan hackers zelf voor beveiligings bedrijven werken om de beveiliging te testen en te verbeteren.
Deze lui waren van een ander soort 'hackers'. Ze hebben namelijk ook pakketten aangepast die je nodig hebt om op afstand in te kunnen loggen.
Oftewel een open deur creeeren.
Als dit een tijd onopgemerkt zou zijn gebleven, dan zou dat een zeer grote dreiging voor alle machines/netwerken zijn waarop deze 2 distro's gebruikt worden. RedHat tegenwoordig steeds meer op bedrijfsnetwerken, dus met waarschijnlijk best wel rappe verbindingen en toegang tot vertrouwelijke documenten.
Ho stop, alle Open Source dwepers gillen altijd om het hardst dat Open Source juist zo veilig is omdat iedereen de source kan inzien. Jij beweerd hier dus het tegenovergestelde. Als deze crack ongemerkt was gebleven dan hadden veel servers in de wereld, waarop deze distri inclusief aangepaste pakketjes zou zijn geÔnstalleerd, deze infectie gehad. So far so good dan voor alle dwepers...

Even dan in het algemeen... het valt me op nu een Linux product blijkbaar ook niet veilig is dat nu ineens iedereen hier wel aangeeft dat geen enkel OS 100% veilig is.
Wel weer een typische houding. Ik herinner me de hysterie die uitbreekt als er iets over Microsoft in het nieuws komt.
Overigens is de kwetsbaarheid in OpenSSH al enige maanden bekend dus hoe het kan gebeuren dat nota bene een Red Hat het slachtoffer word is onbegrijpelijk.
@regmaster: RH is geen slachtover geworden van "de kwetsbaarheid in OpenSSH". RH weet niet hoe men binnen gekomen is (of beter: heeft het nog niet vrijgegeven). Zou ook heel goed met een zwak password van iemand gebeurd kunnen zijn, waardoor er helemaal geen sprake is van een hack.
Ho stop, alle Open Source dwepers gillen altijd om het hardst dat Open Source juist zo veilig is omdat iedereen de source kan inzien. Jij beweerd hier dus het tegenovergestelde. Als deze crack ongemerkt was gebleven dan hadden veel servers in de wereld, waarop deze distri inclusief aangepaste pakketjes zou zijn geÔnstalleerd, deze infectie gehad. So far so good dan voor alle dwepers...
Dat het mogelijk is om de source in te zien, wil niet zeggen dat iedereen dat ook doet.
Daarnaast zijn packages vrijwel altijd al gecompileerde binaries en maar weinig mensen compileren de boel opnieuw.
Zodra de binaries vervangen zijn door gemodificeerde versies en deze zijn ook nog eens gesigned en afkomstig van een vertrouwde server, dan kan het dus heel lang duren voordat mensen ontdekken dat ze een niet betrouwbare versie gebruiken.
Dit is iets wat overal kan gebeuren, zelfs IRL. Als jij van een vertrouwde bron je medicijnen/eten haalt, kijk je dan ook altijd of er foute stoffen in zitten, of dat de pilletjes wel precies zijn wat je zou moeten krijgen? Zolang de boel verzegeld is, ga je ervanuit dat het wel goed zit. Dat is precies hetzelfde met deze inbraak. Vergelijk het met iemand die bij de medicijnen-fabriek ingebroken heeft of de voedsel-inpakfabriek.
Of om een botnet te creŽren. Mensen willen macht en een botnetwerk zorgt daar voor. Met een groot botnetwerk kun je bijvoorbeeld:
* Encryptie brute forcen.
* DDOS aanvallen plegen.
* Spam verspreiden.
* Jezelf anonimiseren.
* Gegevens stelen van de netwerk nodes in het botnetwerk.
* Iemand de schuld in de schoenen schuiven door te relayen.
* etc....
Ik denk wat hij bedoelt wat de hackers kunnen als je bent gehackt. Het programma waar de exploit in zit is OpenSSH en dat is het programma waarmee je vanaf buitenaf kan inloggen op je server. En dan zou je dus eigenlijk alles kunnen doen met de server die je gehackt hebt.
Ik vermoed dat ze een soort backdoor account hebben ingebakken in de openssh, daarmee zou je bijv. remote access kunnen krijgen tot de machines die die package draaien.
De linux distro software aanpassen die vanaf de Redhat servers werd verspreid zodat iedere Redhat installatie die daarmee werd geupdate besmet zou worden met een lek of zelfs direct met malware ?
Jammer dat tweakers en alle reaguurders het nog altijd over 'hackers' hebben terwijl men 'crackers' bedoelt !
Een 'hack' is een slimme oplossing voor een lastig probleem, of zie het zo je wilt als het hakken op je toetsenbord. Hackers schrijven code, veelal gratis (open source) en vooral 's-nachts ;)

Het aantal gebruikers verhaal is natuurlijk onzin. Als crackers makkelijker een Linux of OS X boxje in zouden kunnen kraken dan deden ze dat, of dacht men dat den boef liever de CC van een M$ gebruiker plundert dan van een GNU/Linux of OS X gebruikert ?

Verder blijft goed lezen moeizaam.
a. De POGINGEN werden op tijd ontdekt
b. Actie werd onmiddellijk genomen
c. Schade was er niet
a. De POGINGEN werden op tijd ontdekt
De hackers zijn er echter wel in geslaagd gemanipuleerde pakketten te signen. In mijn optiek is die "poging" geslaagd.
c. Schade was er niet
Redhat schijnt daar niet 100% zeker van te zijn, aangezien ze een script hebben gemaakt om te controleren op deze besmette ssh code.
Over je hackers en crackers verhaal... dat is zo jaren 80 :P In dagelijks taalgebruik heet de cracker van toen hacker en de hacker van toen werkt nu gewoon als software engineer.
De hackers zijn er echter wel in geslaagd gemanipuleerde pakketten te signen. In mijn optiek is die "poging" geslaagd.
Nee, de poging is juist niet geslaagd. Als je een keer op die server bent kun je paketten door de server laten signeren, maar daarmee worden ze nog niet in de distributie geaccepteerd. Daarvoor is een sleutel van buiten nodig.
Het beveiligingsmodel heeft dus prima gewerkt. Hoewel de server is gekraakt (wat je nooit helemaal kan uitsluiten), hebben de inbrekers er niks aan gehad.
Redhat schijnt daar niet 100% zeker van te zijn, aangezien ze een script hebben gemaakt om te controleren op deze besmette ssh code.
Redhat is wel zeker, voor zover je ooit helemaal zeker kan zijn. Ze hebben de software in het huidige archief gecontroleerd, en daar is niks mis mee.
"Maar", zeggen ze, "vertrouw ons niet op onze mooie blauwe ogen, maar controleer het zelf." Daar is dat script voor.
Voor de zekerheid, voor het theoretische geval dat de beveiliging toch gekraakt, hebben ze een nieuwe key uitgegeven, zodat je zeker weet dat je de meest recente versie van de software hebt. Mocht de gebruikte encryptie inderdaad gekraakt zijn, dan is dat veeel groter nieuws dan dat deze servers zijn gekraakt. Dan zouden er wereldwijd miljoenen servers kwetsbaar zijn (onafhankelijk van het gebruikte OS).
Dagelijks taalgebruik is wel vaker abominabel.
Maar goed lees vooral eens een goed rapport door experts op het gebeid;
http://www.theregister.co.uk/security/security_report_windows_vs_linux/
Correctie: het rapport is erg op de hand van M$.
Rofl, het is belachelijk dat hier sommige mensen beginnen met 'Dat kan toch niet, linux is 100% hack-free' Als je een beetje verstand hebt, weet je dat Linux ook door mensen is gemaakt (nee niet door perfecte aliens of dergelijke) en dat het menselijk brein niet fout-vrij is --> Niets is perfect, 100% hack-free of wat dan ook. Dus moet je ook niet beginnen zeiken daarover. Elk OS heeft zijn vulns, de ene wat meer dan de ander. Is het eenmaal zo, dan moet je dat maar aanvaarden.
Is het omdat Linux veel minder gebruikers heeft dan Windows? Misschien wel, misschien niet. Zolang dat Linux en Windows de rollen niet omdraaien kan men fundamenteel niet voorspellen of Linux dan ook 'evenveel onveilig wordt als het evenveel gebruikers heeft als Windows nu'. Het argument van 'Windows heeft dan ook veel meer gebruikers' kan je niet toepassen tenzij je een echte toekomstvoorspeller bent (maar daar geloof ik niet in).
Het is toch ook logische dat windows meer aanvallen krijgt van hackers dan linux, bedoel het grootste gros thuisgebruikers en bedrijven draaien op windows.
Linux wordt in mindere maten gebruikt dan windows dus het aantal aanvallen zal dan ook groter zijn op windows dan linux.

En geen 1 OS is 100% veilig, zelfs DOS 3.1 uit de jaren "80 was niet veilig via het netwerk met het IPX protocol dat vie een seriele of paralelepoort verbonden was.
Linux mag een leuk OS zijn maar al zou iedereen op Linux hebben grdraaid dan had het zelfde eruit gekomen als nu met windows veiligheid.
Zodra een pc wordt verbonden via een netwerk/infranet of internet dan staat het bloot om aangevallen te kunnen worden.

maar Windows is gewoon het meest gebruikte os waar veel virussen en botnets trojans voor zijn gemaakt en dat is met Linux een heel stuk minder omdat gewoon Linux niet het grooste aandeel heeft met besturingssytemen op internet.
De meeste servers draaien Apache als webserver .
maar dat wil niet zeggen dat er dan geen kritiek op linux mag gegeven worden, dit gebeurt met windows net zo goed.
al zou iedereen op Linux hebben grdraaid dan had het zelfde eruit gekomen als nu met windows veiligheid.
Bedoel je dat je voorspellende gaven hebt of bedoel je dat Linux en Windows eigenlijk identieke OS-en zijn?

Ze hebben alleen maar in kunnen loggen in de servers ze hebben waarschijnlijk geen schade aangericht.
Bedoel je dat je voorspellende gaven hebt of bedoel je dat Linux en Windows eigenlijk identieke OS-en zijn?
Over het algemeen is het kennis-niveau van de Linux-gebruikers op dit moment. Dat komt puur en alleen omdat Linux niet het mainstream-OS is. Als Linux een groot marktaandeel zou hebben, zou het aandeel onwetende gebruikers een stuk groter zijn. Dat is het grootste veiligheidsrisico van elk OS.
Ze hebben alleen maar in kunnen loggen in de servers ze hebben waarschijnlijk geen schade aangericht.
Nee ze hebben packages aangepast, nog voordat ze gesigneerd waren en dat is potentieel heel gevaarlijk, met een potentie tot veel meer schade dan alleen een webpagina defacen.
Als je enkel naar de aantallen zou kijken zoals jij beweerd dan zou bijv. Apache ook veel meer aangevallen moeten worden dan IIS, toch zien we daar net het omgekeerde. IIS dat minder gebruikt word, word meer aangevallen.
IIS dat minder gebruikt word, word meer aangevallen.
IIS wordt op veel kleine (bedrijf)servers gedraaid waarbij de persoon met de meeste affiniteit (of minste aversie) de boel draaiende moet houden. Dat is bijna een garantie voor veiligheidslekken.
Niet dat alle apache-servers nu zo geweldig beheerd worden, maar de verhouding goed/slecht beheerde sites is volgens mij bij Apache wat anders dan bij IIS. Daarnaast zijn de meeste slecht beheerde Apache servers vaak thuisgebruikers en dan is de impact toch een stuk minder, danwel de bruikbaarheid voor minder fatsoenlijke toepassingen. (illegaal fileshosten bijv)
Nee het is een normale reactie omdat wanneer er iets over WIndows wordt gepost wordt er door alles en iedereen schande gesproken.
Wordt Linux nu een keer gehacked en dan wordt er schande gesproken dat iemand commentaar er op heeft.
Hypocriet?
Dit is dan ook zo'n beetje het eerste nieuwsbericht dat ik me kan herrineren over een linux-hack..
Zeker niet het eerste hoor, het is in het verleden nog gebeurd. Maar over het algemeen is men er vrij snel bij.
Jammer dat tweakers en alle reaguurders het nog altijd over 'hackers' hebben terwijl men 'crackers' bedoelt !
Een 'hack' is een slimme oplossing voor een lastig probleem, of zie het zo je wilt als het hakken op je toetsenbord. Hackers schrijven code, veelal gratis (open source) en vooral 's-nachts ;)
van Dale:
hac∑ker (dem; hackers)
iem. die inbreekt in een computer om gegevens te achterhalen of te wijzigen, meestal met het doel de zwakke plekken aan te tonen

crac∑ker (dem; crackers)
droge biscuit van bladerdeeg

Houden we nu een keer op?

[Reactie gewijzigd door blorf op 24 augustus 2008 00:18]

Dit is wat er echt is gebeurd:
http://www.cs.arizona.edu...n/packagemanagersecurity/
en ja als je de mirrors van de updates niet kan vertrouwen ja...
it's all about wie wordt de mirror!

Maar hier de officiele email van Paul W Frields.


Last week we discovered that some Fedora servers were illegally
accessed. The intrusion into the servers was quickly discovered, and the
servers were taken offline.

Security specialists and administrators have been working since then to
analyze the intrusion and the extent of the compromise as well as
reinstall Fedora systems. We are using the requisite outages as an
opportunity to do other upgrades for the sake of functionality as well
as security. Work is ongoing, so please be patient. Anyone with
pertinent information relating to this event is asked to contact
fedora-legal@redhat.com.

One of the compromised Fedora servers was a system used for signing
Fedora packages. However, based on our efforts, we have high confidence
that the intruder was not able to capture the passphrase used to secure
the Fedora package signing key. Based on our review to date, the
passphrase was not used during the time of the intrusion on the system
and the passphrase is not stored on any of the Fedora servers.

While there is no definitive evidence that the Fedora key has been
compromised, because Fedora packages are distributed via multiple
third-party mirrors and repositories, we have decided to convert to new
Fedora signing keys. This may require affirmative steps from every
Fedora system owner or administrator. We will widely and clearly
communicate any such steps to help users when available.

Among our other analyses, we have also done numerous checks of the
Fedora package collection, and a significant amount of source
verification as well, and have found no discrepancies that would
indicate any loss of package integrity. These efforts have also not
resulted in the discovery of additional security vulnerabilities in
packages provided by Fedora.

Our previous warnings against further package updates were based on an
abundance of caution, out of respect for our users. This is also why we
are proceeding with plans to change the Fedora package signing key. We
have already started planning and implementing other additional
safeguards for the future. At this time we are confident there is little
risk to Fedora users who wish to install or upgrade signed Fedora
packages.

In connection with these events, Red Hat, Inc. detected an intrusion of
certain of its computer systems and has issued a communication to Red
Hat Enterprise Linux users which can be found at
http://rhn.redhat.com/errata/RHSA-2008-0855.html. This communication
states in part, "Last week Red Hat detected an intrusion on certain of
its computer systems and took immediate action. While the investigation
into the intrusion is on-going, our initial focus was to review and test
the distribution channel we use with our customers, Red Hat Network
(RHN) and its associated security measures. Based on these efforts, we
remain highly confident that our systems and processes prevented the
intrusion from compromising RHN or the content distributed via RHN and
accordingly believe that customers who keep their systems updated using
Red Hat Network are not at risk. We are issuing this alert primarily for
those who may obtain Red Hat binary packages via channels other than
those of official Red Hat subscribers."

It is important to note that the effects of the intrusion on Fedora and
Red Hat are *not* the same. Accordingly, the Fedora package signing key
is not connected to, and is different from, the one used to sign Red Hat
Enterprise Linux packages. Furthermore, the Fedora package signing key
is also not connected to, and is different from, the one used to sign
community Extra Packages for Enterprise Linux (EPEL) packages.

We will continue to keep the Fedora community notified of any updates.

Thank you again for your patience.


-- Paul W. Frields gpg fingerprint: 3DA6 A0AC 6D58 FEC4 0233 5906 ACDB C937 BD11 3717 http://paul.frields.org/ - - http://pfrields.fedorapeople.org/ irc.freenode.net: stickster @ #fedora-docs, #fedora-devel, #fredlug

[Reactie gewijzigd door marcelkraan op 24 augustus 2008 09:40]

Dat kan toch niet? Het is linux? :z

Wel goede zaak dat ze het snel hebben opgemerkt en gelijk actie hebben ondernomen door de signing key te veranderen (Fedora) en bij Redhat een script uit te brengen voor controle van je openSSH pakket.

Toch benieuwd hoe ze binnen zijn geraakt, maar dat horen we vanzelf hopen we

[Reactie gewijzigd door ThaNetRunner op 23 augustus 2008 12:33]

even voor de noobs hier kan iemand uitleggen wat ze met deze hack wilden bereiken ?
Als ze toegang hebben tot die servers en eenmaal in het netwerk zitten, kunnen ze misschien hun eigen releases van pakketjes op de distributie servers zetten. Met andere woorden, soort van malware/botnet/etc verspreiden.

Fedora en Redhat zijn toch beide gelinkt aan elkaar? Naar mijn weten was Fedora het zusje van RedHat (eruit voort gekomen) net als CentOS de gratis server versie is van RH:Enterprise

Ik vraag me wel af HOE ze dit hebben gedaan :? Redhat heeft zeker de SSH Random Key generator van Debian gekopieerd en niet op zitten letten :Y)
Fedora en Redhat zijn toch beide gelinkt aan elkaar? Naar mijn weten was Fedora het zusje van RedHat (eruit voort gekomen) net als CentOS de gratis server versie is van RH:Enterprise
Fedora is de gratis versie van Redhat. Ze gebruiken Fedora als input voor de volgende versie van RHEL (Red Hat Enterprise Linux). Fedora wordt gebouwd met hulp van Redhat en de Fedore community.
Ik werk zelf mee aan openSuSE als beta tester, Novell gebruikt het zelfde model voor SLES. SLES 10 is algeleid van openSuSE 10.1. SLES 11 zal waarschijnlijk afgeleid worden van openSuSE 11.1. Novel/SuSE voert de regie over de basis openSuSE distro.

IMO is dit een slim ontwikkel model. Je hebt een gratis distro waar mensen graag aan welekn en gebruiken. Waardoor je IMO een betere en stabielere server versie krijgt.

Op dit item kan niet meer gereageerd worden.



Apple iOS 10 Google Pixel Apple iPhone 7 Sony PlayStation VR AMD Radeon RX 480 4GB Battlefield 1 Google Android Nougat Watch Dogs 2

© 1998 - 2016 de Persgroep Online Services B.V. Tweakers vormt samen met o.a. Autotrack en Carsom.nl de Persgroep Online Services B.V. Hosting door True