Решето или не решето, философский вопрос

Изначально общались тут

Ну да, нашли место. :)

Небольшое пояснение для темы. Конечно мы далеки от того, чтобы доказать это утверждение и вообще взяться его доказывать, но исторически очень похоже, что утверждение, тезис, что «чем больше нашли и исправили, тем продукт становится безопаснее» в абсолютных характеристиках ложно. К сожалению.

С другой стороны, давно-давно читал о каком-то почтовом сервере, в котором типа за 20 лет не нашли ни одной серьезной дыры… – это таки вселяет надежду на разрушение моей догадки.

Не, я против высказываний на уровне школоты «винда решето», здесь это может и прокатит, но серьезные люди, вроде меня, работающие с вендой не первый год такого примитивного мышления не приемлют.

но серьезные люди

работающие с вендой

давится смехом

возможно ли создать полностью совсем безопасную систему

Возможно, если на ней не надо будет делать никакой серьёзной работы.

Линуксоид-одинэсник (комментарий)

Да-да, я тоже со смеху под столом. Ну очень серьезные люди, аха-ха. Спрятали винду за слоем инфраструктуры из линукса, где винду тщательно оберегают и серьезность так и хлещет.

Есть идея – начать переписывать линукс с нуля файл за файлом начиная с asm и start() и на каждом этапе прогонять полученный код через все известные нейросети. Правда есть нюанс, обучались все эти нейросети на том же самом коде..

Ну, насчёт багов есть надежда. Ибо во времена ОС на IBM System/360 каждый релиз ОС сколько ошибок исправлял, столько же и вносил. А вот на ПК ситуация колебалась, в том числе и в лучшую сторону.

возможно ли создать полностью совсем безопасную систему.

Сферическую в вакууме, изолированную от неправильных внешних данных – возможно (конечный автомат с проверкой состояний полным перебором),
а на безопасность реальных систем (на графы потоков данных и управления) наложено «проклятие размерности» © (wikipedia.org).

теоретически возможно ли создать полностью совсем безопасную систему

теоретически нельзя даже сформулировать что такое «полностью совсем безопасная система». Кроме вырожденных случаев, когда она просто кирпич и ни с чем никак не связанна. Совсем никак, никакого I/O

Вообще, в plan9/inferno интересно придумали, там каждый пользователь это сам себе контейнер по идее контактирующий только сам с собой. Очень жаль, что в Bell Labs когда-то свернули программу исследования ОС.

Интересно, а в OpenBSD уже искали дыры с помищью ИИ?

И что, если я на восьмёрке вирус подхвачу, то мне дядя из фсб с извинениями денек отвалит? «Виноват-с, ваше благородие, недосмотрел! Ущерб возместим! Больше не повторится! Разшшшите итти?»

Возможно, конечно. Но сначала надо выкинуть дефективную идеологию «клепаем новое ненужно поскорее».

А если ты себе хрен отстрелишь из табельного? Претензии только к тебе, тебе его не для баловства выдали.

Я вот о чем, казалось бы находят дыры, исправляют. Чем больше находят – здорово, значит будет что исправить – еще один шаг к безопасной системе. Но!! Что-то дыр меньше не становится. Яркий пример Винда. Сколько в ней исправляли. Повернется ли у кого язык назвать винду эталоном безопасности?

Медленные системы порождают эффективных программистов.

Эффективные программисты порождают быстрые системы.

Быстрые системы порождают безруких программистов.

Безрукие программисты порождают медленные системы.

Сертификат соответствия, выдан: ФСБ России, формуляр: ЖТЯИ.00106-01 30 01"

«ОС Microsoft Windows 8.1 VL (Rus/Eng) Update 3 build 6.3.9600.17415 x86/x64

из кота того сделали шапку, а её износил мой дед...

Решето, не решето, но есь много устройств с заблокированным загрузчиком, на которых даже рутшелл за всё время жизни получить не смогли. Чем не безопасная система? Конечно вендорских бэкдоров там хватает, но это ведь изначально так задумано

А что это такое - серьёзная работа?

На Русте? 😁

Тут надо понять, что такое уязвимость. Ведь иногда для этого нужно спросить автора ПО/архитектора/манагера/пользователя. И у них у каждого может быть разное мнение по поводу конкретного поведения ПО.

Все остальные метрики бесполезны, пока не дано исчерпывающее определение уязвимости.

Но она же решето. Ты никак не избавишься от утечки данных в микрософт.

Каких данных? Документов? Ты тупой, если не понимаешь, что никто этого делать не будет?

Да, хоть документов. Нет, не тупой. И нет, берут и делают. А уж что делают с этими данными в M$, дело, в общем-то, десятое, главное сам факт. Снимание галочек в процессе установки тут никак не поможет.

Т.е. из ФСБ документы прямиком передают в ЦРУ? Правильно я понял?

А что, наличие сертификата от ФСБ прямо гарантирует отсутствие багов и закладок? Вангую, код винды не особо ретиво читали, если вообще читали.

Вангую, что ребята передают код без закладок. Иначе как потом работать?

Вот видишь, даже ты не уверен на все 146%, что в Винде нет закладок. Но почему-то топишь за нее.

. Яркий пример Винда. Сколько в ней исправляли. Повернется ли у кого язык назвать винду эталоном безопасности?

Конечно, естественно. Венда - эталон безопасности. Последняя ревльная эскалация локальных прав в Windows - два года назад. Линукс - вчера с десяток проскакивало.

Боишься закладок, покупай винду с сертификатом. Кстати, может ты знаешь, какие линуксы уже получили сертификат от ФСБ? Альт или астра? А то непонятно на что переходить с сертифицированной восьмерочки.

Так та же XP до SP2 вполне была не решетом без подключения к этим вашим интернетам. Всё относительно.

Оставайся на сертифицированной дисяточке же, очевидно.

Меня мучает только один вопрос. Не является ли эта сертификация больше политическим явлением, связанным с бывшей обстановкой в стране.

Я выше почти прямо об этом и сказал, выразив сомнение в том, что сертификация даёт настоящую уверенность в софте. Я считаю, что она даёт ложную уверенность, иначе ни о какой телеметрии в системе речи бы не стояло. Но раз она есть – следовательно, такой системе доверять нельзя.

Есть идея – начать переписывать линукс с нуля файл за файлом

Ещё «буква за буквой» скажи. «Переписывать с нуля» начинается прежде всего с создания архитектуры с нуля, и уже на этом этапе становится очевидно, что если в новый код и попадёт что-нибудь из старого, то скорее по недоразумению.

Напомнило, что на ЛОРе кто-то (ЕМНИП, hateyoufeel) утверждал, что опёнок на деле лютое (на фоне менее маргинальных систем) решето, в котором просто почти никто не ищет дыры.

Да об этом тут много кто говорил. В этом-то весь цимес. Они ж там где-то хвастали, мол за все время три с половиной дыры… И ни у кого не возникло желание потестить ИИ?

ЗЫ Была ж история, когда им чувак из NetBSD репорт завел, а оне с первого раза не осилили: https://www.opennet.ru/opennews/art.shtml?num=52418

Доо, мурзилки с ЛОРа лучше всех всегда знаеют. Маня, прежде чем нести эту чушь, познакомься с нормативной базой. Все есть в открытом доступе.

Дело не в том, является ли оффтоп каким-то там эталоном. Он тупо ограничен в возможностях.

Это было бы циклом, если бы не более новое мощное железо.

Да как бы подозрения не совсем беспочвенны. Участвовал в проекте, который тоже сертифицировалм

Ты непонел. Идея не в создании чего-то лучшего, а в поиске ошибок в уже существующем.

Т.е ты хочешь сказать, что венда с закладками используется в правительстве или ЦБ? Участник, блин.

По крайней мере мы не можем этого опровергнуть

И винда используется не потому что она такая вся сертифицированная и безопасная.

На то есть много причин, исторических, социальных и политических.

Схоластика пальцем в небо. Из того факта, что у АЛЬТушек и АСТРАлопитеков нет ни одного сертификата я тоже могу сделать вывод, что серьезные люди считают «ваш этот линукс решето».

Винда безопасная и не волнует, товарищ майор лично расписался в формуляре.

шутка про переписать на раст уже была?

теоретически возможно ли создать полностью совсем безопасную систему

Конечно возможно. Пустая система абсолютно безопасна.