Proc ne MS-antivir na MTA (Re: Amavis a ...)

[David Rohleder]

kaspar na cnb.cz (Lubos Kaspar) writes:

> > From: David Rohleder <davro na ics.muni.cz>
> > Subject: Re: Amavis a prilis mnoho jedoucich antiviru
> > To: sendmail na linux.cz
> > Date: Sun, 1 Jul 2001 21:44:43 GMT
> > ...
> > > Tibor Bartos:
> > > Takyto pristup ma jeden drobny problem - mail nie je jediny zdroj
> > > moznej antivirusovej nakazy. Na klientsky pocitac sa virus moze dostat
> > > akymkolvek inym sposobom, ci uz po sieti alebo na prenosnom mediu.
> > 
> > Kdyz si kupuji auto, tak si vyberu takove, ktere ma co nejvice
> > nezavislych bezpecnostnich prvku a nebudu tvrdit, ze kdyz do mne
> > narazi kamion, tak mi to stejne nepomuze a tyto prvky jsou tedy nanic.
> 
> To je ovsem ponekud nepripadne prirovnani. Kdyz uz jsme u primeru, taky si
> dovolim jeden: sroubovani antiviru do MTA je podobne nevhodne, jako treba
> pozadavek, aby ridic autobusu kontroloval jizdenky cestujicich. Sice mozna
> nepojede cerny pasazer, ale: bude-li ridic kontrolovat za jizdy, treba se
> autobus (i s platicimi cestujicimi) vyboura, kdyz kvuli tomu zastavi, bude
> vsechny (i platici cestujici) zdrzovat (a zastavi-li nevhodne, mozna i
> jen tim ohrozovat plynulost nebo dokonce bezpecnost provozu).
> 
> Absence jizdenky neohrozuje bezpecnost jizdy autobusem, proto ridic jizdenky
> kontrolovat nemusi; absence jizdenky ohrozuje hospodareni provozovatele, proto
> jizdenky kontroluje revizor, ktery obvykle neni soucasne ridicem. Viry
> neohrozuji provoz MTA, proto je zbytecne, aby se MTA zabyval jejich chytanim;
> viry ohrozuji MS-systemy, proto staci, kdyz jsou antiviry primo na nich.
> 
> Kazdemu, co jeho jest: MS-systemy at si se svymi viry hraji samy.

Kdyz uz jsme tedy u te dopravy, tak bych to videl spise nez na autobus
na porovnani s vlakem. Take mame vlakvedouciho, strojvedouciho a
pruvodci, kteri se sami staraji o svou cast prace. Pruvodci kontroluje
jizdenky (MDA), strojvedouci ridi lokomotivu (MTA) a vlakvedouci se
stara o rizeni svych podrizenych.

Pruvodci take dava pozor, aby cestujici nedelali ve vlaku bordel,
neohrozovali ostatni a pod.


> 
> > ...
> > > 
> > > > zalezitosti pouze M$ systemu? Co treba exploit do mutt, ktery byl
> > > > schopen spustit libovolny kod pri cteni zpravy? A to nemluvim o tom,
> > > > ze vetsinu emailovych agentu je mozne nastavit pro automaticke
> > > > spousteni priloh.
> 
> Tato poznamka ma zakladni chybu v tom, ze antiviry, ktere cizopasi na MTA,
> jsou zamerene vyhradne na to, co funguje pod MS-systemy. Videl uz nekdo
> nejaky "OS-univerzalni" antivir, antiworm ap.?
> 
> > > Niekde mam odlozeny mailovy worm pre pine, ktory vsak fungoval len ak ho
> > > cital root.
> > 
> > Mezi normalnim uzivatelem a rootem neni az zas takovy rozdil. Jen
> > drobna modifikace a worm mohl napadnout uzivatelovy data nebo vyuzit
> > nejaky lokalne zneuzitelny exploit (a tech neni malo).
> 
> Ve srovnani s principialni neodolnosti proti tomu, co muze
> delat program bezici pod neprivilegovanym uzivatelem MS-systemu, jsou
> takove uvahy dosti teoreticke. Videl uz nekdo neco takoveho v "masivni"
> akci? Tvrzeni, ze "mezi normalnim uzivatelem a rootem neni az zas
> takovy rozdil", je jako vtip dobre. Kdyby nebyl, k cemu by asi root byl
> definovan?
> 

Tak naschval, jestli najdete jiny rozdil nez ten, ze rootovi se
nekontroluji pristupova prava a uzivatelska opravneni.



> > > Nie je to default. Navyse ludia bez samovrazednych tendencii necitaju
> > > postu ako root, ale maju na to spraveny alias, cim sa mozne riziko
> > > dost znizuje.
> > 
> > To nezalezi na rootovi.
> 
> Takze podle toho je jedno, spusti-li se program pod rootem nebo ne.
> Zajimave...

Pokud mate lokalne zneuzitelny exploit, tak je to opravdu jedno.


>  
> > Jak si prohlizite PostScript? Jste si jisty, ze gs je prelozeny s
> > prepinacem -dSAFER ?
> 
> Kdo si prohlizi pod rootem, tak asi nedela dobre. Kdyz si nekdo prohlizi
> pod beznym uzivatelem, tak co? I kdyby byl onen gs prelozen s jakymkoliv
> prepinacem, tak by to nemelo shodit cely system, jako je tomu notoricky
> pod MS.
> 

Opravdu? 

Co treba jiz zminovana dira v pine nebo mutt? V kombinaci s lokalne
zneuzitelnym exploitem (a ze jich na unixech neni malo)?



-- 
-------------------------------------------------------------------------
David Rohleder						davro na ics.muni.cz
Institute of Computer Science, Masaryk University
Brno, Czech Republic
-------------------------------------------------------------------------