Ještě ke bezpečnostnímu updatu a také k OS X 10.4.3
24. 08. 2005, 20:12 · Nakousnutá jabka
Jak se ukázalo, bezpečnostní update 2005-007 přinesl několik poměrně nepříjemných problémů, a tak se k němu ještě vrátím. Nejdříve jaké opravy obsahoval – jednalo se o řadu bezpečnostních chyb v systémech 10.3.9 a 10.4.2, jak ve vlastním kódu Apple, tak převzatých open source částech. Poměrně mě udivily jakési výkřiky v diskusi, že to Apple dělá pěkně špatné, že musí opravovat open source programy, či cosi podobného. Přiznám se že jsem podstatu výtky autora nepochopil, ale prostě stejně jako nejsou closed-source programy bez chyby, ani open source nejsou dokonalé a průběžně se objevují chyby. I Debian, který je v tomto směru nejkonzervativnější distribucí a obsahuje vpravdě historické verze aplikací, má stále nové a nové opravy chyb.
V tomto případě se jednalo o chyby například v open source projektech Apache 2, Open SSL, Kerberosu, zlib, X11 či SquirrelMail, a rovněž například v utilitách ping a traceroute. Prošel jsem si informace o opravovaných chybách (viz seznam na webu Apple) v open source částech, z čehož mi vyplynulo, že část chyb jsou opravy nalezených problémů přímo v daných open source projektech, část jsou opravy chyb, které se Apple nějak podařilo udělat při implementaci do Mac OS X (například chyby v ping a traceroute), či nedostatečně nakonfigurovali program pro prostředí Mac OS X (problém s přístupem Apache 2 k souborům .DS_store).
Další problémy byly samozřejmě v částech, které jsou vytvořené přímo Applem, například možnost spuštění kódu při otevření “nepřátelského” RTF nebo DOC souboru v TextEditu, možnost přístupu k účtu zalogovaného uživatele přes Fast User Switching, pokud útočník zná hesla dalších dvou uživatelů či možnost spuštění kódu pomocí přetečení zásobníku CoreFoundation při spuštění aplikace s argumenty v příkazové řádce, a rovněž se opravují drobnější chybky, například možnost přečtení hesla z formuláře pomocí VoiceOver nebo problémek se zobrazováním nastavení zabezpečení Bluetooth.
Jak je vidno, tak část aktualizací je pouze přenesením opravy z open source zdrojů, část je opravou implementace open source aplikací do Mac OS X a část opravou chyb vytvořených přímo ve vlastním kódu Apple. Pokud někdo argumentuje tím, že Apple na rozdíl od Microsoftu pracuje v uzavřené platforme (HW + SW), není to argument právě validní: chyby Microsoftu se týkají software, který je jeho, a nejsou zpravidla navázané na software nebo hardware třetích stran.
A proč dělá chyby Apple? Protože i jeho systém je již velmi komplexní, obsahuje mnoho komponent a funkcí a uhlídat vše je náročně, resp. nemožné (snad s výjimkou TeXu). Stále však mám dojem, že se v Mac OS X vyskytuje řádově méně chyb, které by bylo možné zneužít prostým masovým rozesláním mailu nebo útokem červa – nic podobného jsme v praxi na Macu zatím nezažily. Důležité je tedy to, že na Maca (zatím?) neexistují podobné útoky, červ, který se nekontrolovatelně šíří a zaplavuje další a další počítače, či mail, fungující na podobné bázi. A nepochybuji o tom, že existují na internetu hromady Maců, které nejsou za žádným firewallem (ani tím zabudovaným v Mac OS X). Není to tedy “security by obscurity”, i přes nepochybné snahy zatím nikdo neukázal ani funkční koncept nějakého červa pro Mac OS X.
Domnívám se totiž, že vývojáři Apple, i když chyby také radostně vytvářejí, se přece jen trochu poučili z přístupu Microsoftu a přistupují jinak už k návrhu funkcí. MS podle všeho řadu věcí implementoval do systému sice v dobré víře, ale poněkud lehkomyslně. I Apple občas uteče nějaká drobnost (viz právě opravený problém s RTF a DOC, nebo dřívější chyba se spouštěním aplikací stažených z internetu), ale nejsou to tak zásadní problémy, aby dokázaly masově, bez jakékoliv kontroly, kompromitovat deseti či statisíce počítačů – byť samozřejmě zneužitelné jsou, o tom není pochyb.
Co je však trochu horší, jsou problémy, které občas z podobných updatů vyvěrají. Přiznám se že nesleduji situaci u Windows nějak zevrubně, kde jsem se už také setkal s problémy, kdy po bezpečnostní aktualizaci knihovny odmítaly fungovat návazné aplikace, ale občas mám pocit, že v případě Apple se již staly podobné problémy pravidlem.
Nejnovější bezpečnostní záplata znamenala nejen již zmíněnou chybu s podporou 64bitových aplikací na G5, ale podle MacFixIt řada uživatelů má nyní problémy s AirPortem, nefunguje jim korektně Sherlock, nezobrazuje se informace o stavu Bluetooth v menu, případně přestane fungovat zcela, jsou problémy se stabilitou a rychlostí Safari a další. Některé problémy pomůže vyřešit oprava práv, u problémy s AirPortem pomohl downgrade na minulou verzi kernelového doplňku z AirPort 4.1, jinde pomůže jen downgrade systému.
Apple bohužel testuje bezpečnostní záplaty asi jen uvnitř firmy (vývojářům je rozhodně neposkytuje), což je pochopitelné s ohledem na možné zneužití opravovaných problémů, ovšem bohužel testování asi není tak důkladné, jak by mělo být (pokud se například podařilo zkompilovat část systému tak, že nefungují 64bitové aplikace, a nikdo na to nepřišel). Nemyslím si, že by Apple mohl vždy podobným testováním odstranit všechny problémy, které se mohou objevit, řada jich bude daná více prvky, další instalované aplikace, specificky chovající se hardware a podobně, ale možná by mohl uživatelům lépe pomáhat opravovat případné problémy. Neboli, doplnit do systému možnost zachování předchozích verzí komponent, tam kde to je možné (což by mělo u podobného updatu být možné snad vždy), a tedy umožnit provést downgrade na minulou verzi bez nutnosti komplikovaných zásahů. Pokud není možné být neomylný, je vhodné alespoň nabídnout rozumnou cestu jak minimalizovat následky těchto omylů.
Ostatně, proto platí zlaté pravidlo – jakékoliv update instalovat na důležitý pracovní počítač až poté, co se ukáží buď jako neškodné, nebo případné problémy neohrozí naši práci. Samozřejmě, pro někoho může být řešení znefunkčněného počítače naopak vítaným zpestřením ;).
Můj osobní závěr je, že určitě by šlo více a lépe testovat, více se věnovat kvalitě software, aby se následky minimalizovaly. V dnešní době však už bohužel díky komplexnosti zařízení, lenosti programátorů a marketingovým nákladům převyšujícím náklady na vývoj nemůžeme počítat s tím, že by nějaké zařízení bylo bezchybné – počínaje mobilními telefony (moje N-Gage se odmítá nastartovat co chvíli a padání SIM Toolkitové aplikace při timeoutu mě dovádí k zuřivosti), přes DVD přehrávače (downgrade na nejstarší FW vyřešil mé problémy) až po počítače (naopak upgrade vypalovačky na nejnovější FW snad také vyřeší problémy s médii).
S láskou tak vzpomínám na poslední dokonalý telefon, Nokii 5110, mé ZX Spectrum 128+ a gramofonový přehrávač, který nikdy nemuchlal pásky :).
Mac OS X 10.4.3
Poté, co jsem trochu depresivně pohovořil o problémech kvality software Apple, pojďme se podívat na Mac OS X 10.4.3, který je již nějakou dobu ve vývoji, a u kterého Apple nedávno zveřejnil další vývojářskou verzi.
Na Think Secret se objevily podrobnosti o v pondělí uvolněné verzi 8F15, která má podle vývojářů obsahovat více změn a oprav než jakýkoliv podobný update v minulosti. Hovoří se konkrétně o skoro 300 opravách chyb a anomálií a dotčeny jsou takřka všechny části systému. TS cituje následující části systému: .Mac Sync, AFP, AppleScript, AppKit, Audio, Automator, Bluetooth, Calculator, Carbon Applications, DVD Playback, Dashboard, Dictionary, Disc Recording, Finder, FireWire, Fonts, Font Book, Foundation, ftp, Graphics & Video, HIToolbox, iCal, iChat, Installer, Java, Keyboard Input Methods, Keychain, Mail, Navigation Services, Networking (AirPort, Ethernet, PPP), Printing, RSS, Safari, Screen Saver, Slideshow, SMB, Software Update, Spotlight, Sync, System Preferences, USB Storage Devices, X11 a XGrid.
U současné verze je známo pět chyb, vážné zahrnují pád systému po instalaci updatu, pokud je zapnutá automatická synchronizace iDisku a pád Finderu po zobrazení informací (Get info) v neanglických verzích.
O tom, kdy bude 10.4.3 uvolněna není nic známo, ovšem vzhledem k počtu chyb a změn se dá předpokládat, že to nebude dříve než za měsíc (obecně se spekuluje, že to bude v souvislosti s novými počítači, které by se měly objevit snad na Apple Expo koncem září v Paříži). Update má v současné době fascinujících 99,3 MB.
Pokud tu jsou vývojáři s přístupem k seedům – prosím, testujte v zájmu nás všech :)).
Do verze sytemu 10.3.9 se mi v Preview pri otevreni jakehokoli obrazku v nastrojove liste objevila takova „pacicka", kterou se dal obrazek (v pripade ze se cely nevesel do okna) uchopit a jednoduse s nim pohybovat – standardni funkce snad vsech prohlizecu.
Nyni, pri verzi OS 10.4, tam toto NENI. Je to tam jen pri otevreni PDF.
Vi nekdo, PROC to tam neni, resp. kde to mam najit? Nebo jsem JA takovy vul a neco chronicky prehlizim??
— Straw 24.8.2005 21:05 #
— Martin Lér 24.8.2005 21:31 #
— Wicky 24.8.2005 21:41 #
Simple Finder + Omezene Safari + vse ostatni zakazano spustit libovolnou aplikaci a to tak ze do adresniho radku zadata libovolnou cestu zacinajici na / (cesta v pocitaci) a safari otevre omezenej finder s tou slozkou a muzete poustet jako chcete aplikaci.
— hanali 24.8.2005 22:00 #
„Dokonce fungujou i kombinace meterník+command pro zvětšení a mezerník+command+alt pro zmenšení."
Problem nastava, kdyz se zmeni poradi klaves, tedy Commnad + mezernik -> skoci tam „lupa", ale navic se korektne prepnou klavesy. Cili na poradi ZALEZI.
Mimochodem, k tomuto poznatku se lze nekde oficialne (napr. na www.apple.com) docist?
Sam moc nestuduji manualy, tak me napadlo, jestli existuje „oficialni" manual k Mac OS X (kde jsou ty casy, co se Systemem 7 dorazila knizka s popisem systemu, prace s pocitacek, kurz zachazeni s grafickym rozhranim a prace s mysi a kdo vi co jeste).
— Straw 24.8.2005 22:44 #
— Roman Šula 25.8.2005 00:37 #
— Pepa 25.8.2005 10:16 #
— Martin Lér 25.8.2005 11:07 #
— Adam Nohejl 26.8.2005 20:34 #
— Štěpán Kříž 27.8.2005 21:26 #
— Jan Brašna 9.10.2005 19:55 #