Нерукотворное обновление Windows

[arkenoi]

http://windowssecrets.com/2007/09/13/01-Microsoft-updates-Windows-without-users-consent

Суть, в двух словах, в том, что Windows может обновить самое себя по щучьему велению, при выключенном автоматическом обновлении - просто так.

Меня, собственно, интересует пара занятных нюансов.
Есть такая штука - сертифицированные ФСТЭК версии Windows. Которые, вообще говоря, обновления должны брать тоже только свои - сертифицированные. Есть даже опциональные подсистемы доверенной загрузки. И что будет, если оно полезет неизвестно куда? А оно полезет: сертифицированная версия бинарно идентична обыкновенной. Да и как вообще с требованиями по НДВ? Ладно, отвлечемся от российских реалий - тут всем на все наплевать - как насчет сертификации по Common Criteria? Дисквалификация не предусмотрена? Напрасно.

Comments

[msh.livejournal.com]

А для windows бывает intrusion detectors типа tripwire?

[arkanoid.livejournal.com]

конечно. мало того, для аттестации автоматизированных систем по некоторым классам их использование является обязательным.

ну и если отвлечься от официоза, для простых смертных тоже их есть..

[iskatel.livejournal.com]

да.

[auto194419.livejournal.com]

что за сраная манера умалчивать детали? русских газет начитался? само-обновился только windows update.

[arkanoid.livejournal.com]

Ну вообще говоря да, но все равно, как минимум, странно.

[arkanoid.livejournal.com]

Слэшдота, это гораздо хуже, чем русские газеты ;-)

[dpak0h.livejournal.com]

зато и кухоньки просторные, на несколько сотен человек

[auto194419.livejournal.com]

вот тех, кто добровольно читает эту клокау, я вообще не понимаю, да.

[arkanoid.livejournal.com]

Ну я полез читать по наводке, конечно. Так-то она тупая шо пиздец.

[dpak0h.livejournal.com]

LOR хужее

[gass.livejournal.com]

чота хуйня какая-то, параноидальные буржуи с жиру бесяца походу. у меня ниче не обновилось само. xp чесная, автоапдейт выключено.

[dpak0h.livejournal.com]

Насколько я соображаю в том, как сертифицируется софт, без глобального просмотра всех исходников (не только того, что компилируется, но и чем компилируют) и наличия сборки с самого начала, никто софтину никуда в серьёзные места не пустит (ни на атомную станцию, ни на авианосец, ни в самолёт). Но с ними всё проще, там винда применяется только для UI, все критические задачи выполняются софтом при полном отсутствии ненужной прослойки, называемой OS.

[ignik.livejournal.com]

Размечтался...

Без глобального отката бабла - да. А на исходники то чего смотреть? Тама мнго буков, да ещё и язык какой-то нерусский.

[dpak0h.livejournal.com]

теперь понятно, почему вы АЭС боитесь

[luarvique.livejournal.com]

Да ладно, лучше ответь на более практический вопрос: что нужно заткнуть в firewallе чтобы эта тварь не стучалась к себе домой и не тянула оттуда черт знает что?

[xsaper.livejournal.com]

*.microsoft.com ;-) звездочек там много и activex и codecs и winupdate ...

[luarvique.livejournal.com]

Логично.

[ex-ivlad.livejournal.com]

у нас винда сертифицирована в конфигурациях без подключения к сетям передачи данных общего пользования

[ex-ivlad.livejournal.com]

если не без сети вообще

[iskatel.livejournal.com]

>>у нас винда сертифицирована в конфигурациях без подключения к сетям передачи данных общего пользования

гыгыгы. Зато с подсключением к откатингу.

[arkanoid.livejournal.com]

Уже нет. Это в 90-х так было.

[xsaper.livejournal.com]

А вот и нет, их там четыре варианта, и только первый не предполагает подключения к сети Internet: "Минимальный пакет для сертифицированного ПО поставляется только государственным режимным организациям и предприятиям, не имеющим выход в Интернет.
Минимальный пакет не содержит абонемент на получение онлайн обновлений. Обновление происходит путем передачи доверенному лицу организации-заказчика носителя с сертифицированными обновлениями.
Минимальный пакет не содержит Программу безопасной настройки и контроля сертифицированного ПО, поэтому настраивать ПО в соответствии с сертифицированными настройками безопасности заказчик будет вручную..."

[iskatel.livejournal.com]

Сколько оплатили - стольков ариантов и сделали. Винда не имеет права на жизнь там, где важна безопасность.
Проблема в том, что ничего кроме откатинга синуши делать не то, чтобы не хотят - они не умеют, не могут.. уже не могут.
так что или винда там будет, или что-то такое, похожее.

[luarvique.livejournal.com]

А также без флопа, клавиатуры, и монитора...

[egorfine.livejournal.com]

бугага. винда. без монитора и клавы.

[luarvique.livejournal.com]

Ничего смешного, ее сертифицировали для американских служб в такой конфигурации.

[egorfine.livejournal.com]

да-да, этот анекдот про NT все помнят, спасибо:)

[balamutang.livejournal.com]

насколько мне известно из практики - начиная от райвоенкоматов, отделений МЧС и выше:
1) компьютеры не имеют связи с интернетом (для интернетов - отдельный комп, у него связь с локалкой через флоппинет)
2) установлена "глушилка" для подавления сигналов радиозакладок
а вообще сертификация винды (насколько мне известно) прошла кусками, весь код не изучали.

[arkanoid.livejournal.com]

Не любая сертифицированная установка требует неподключения к интернету.

[wrar.livejournal.com]

А чего СС?
Или вопрос в том, что скачанный винапдейт сертфиикацию не проходил?

[arkanoid.livejournal.com]

Во-первых, это, во-вторых, сертификация включает проверку на отсутствие недокументированных возможностей.

[o-iv.livejournal.com]

Возникает совершенно резонный вопрос: если MS оставили себе такую лазейку, то 1. Что помешает им вот так вот втихушку закачать какой-нибудь менее безобидный софт?
2. А что теперь может помешать всем желающим через этот же механизм закачать на все компьютеры в сети произвольные файлы, которые будут автоматически использованы операционкой???

Блин! Ну сколько же раз они будут наступать на эти грабли? Встраивать в свои ОС средства для облегчения жизни вирусописателям!!! Доколе!

[arkanoid.livejournal.com]

2) цифровая подпись, по идее, но..

[iskatel.livejournal.com]

хм, не замечал пока.

>>Есть такая штука - сертифицированные ФСТЭК версии Windows

Арк, выражайся уж корректнее - откат-анная ФСТЭК версия Windows :))

>>А оно полезет: сертифицированная версия бинарно идентична обыкновенной. Да и как вообще с требованиями по НДВ?

Да пофиг. Откаты уплачены. Желающие использовать windows там, где нужна высокая надежность и безопасность - используют и далее, строя особянки с откатов.

[iskatel.livejournal.com]

Пока что не вижу у себя таких обновлений.. Правда, у меня сам сервис-обновлялка стоит в manual и не стартует автоматом.

[(Anonymous)]

Обновление было 24-25 августа 2007г., в зависимости от часового пояса, как я понимаю.

Как его обнаружить описано здесь: http://windowssecrets.com/2007/09/13/01-Microsoft-updates-Windows-without-users-consent (подзаголовок "How to check which version your PC has", чуть ниже Step1 и далее.)