Баллмер решил сгноить микрософт?

[metaclass]

http://fas-tm.livejournal.com/31064.html
Я так понимаю, винда переходит на тот же уровень, что всякие iOS и андроиды - вуду-анально-огороженная платформа для хипстеров-мобильно-стартаперов?

При том, что всю жизнь вроде бы именно адекватное отношение к разработчикам прикладного софта было причиной такой популярности винды.

Comments

[tzirechnoy.livejournal.com]

Никакого подписа портиться не будет -- багнутый код будет лежать в данных.

[volodymir-k.livejournal.com]

Ваши программы запускают данные? Поздравляю вас, вы очень редкий дебил и представляете ценность для медицинской науки.

Обычно защите программы от эксплойтов данными типа sql injecion обучают в универе на втором курсе.

[metaclass.livejournal.com]

Браузеры, JavaScript, eval?
генераторы байткода и прочая инструментация для java или дотнета?

[volodymir-k.livejournal.com]

Смотрите, что вирусу для жизни и работы надо от системы?
1. запуститься после перезагрузки -- сколько программ на старте автоматически выполняют жаваскрипты? По-моему, несколько процентов, и все понимают, что это опасно. То есть это уже экзотик.
Поэтому МС офис ещё лет 10 назад начал требовать подписание бейсик-макросов сертификатами. Как только автостарт будет проверяться на тамперинг -- вектор будет закрыт.
2. размножиться через файлы
по-моему, это уже решённая проблема при включённом UAC
если знаете, как вирус может втихаря заразить файлы -- ну расскажите
3. что-то сделать по сигналу снаружи
потенциально жаваскрипт-вирус в браузере может связываться с управляющим центром, получать команды, но что конкретно он может сделать злого? Пароли с диска не прочитаешь, кейлоггер не поставишь, даже спам разослать проблематично. Остаются ДДОс компа бесконечным циклом и ДДОС внешнего сайта. Сами понимаете, тупым мониторингом ресурсов это всё ловится на раз.

Скомпилированный байткод проверить на тамперинг тоже элементарно -- и если ключ-блоб хранится в ядре, то вирус обламывается.

[metaclass.livejournal.com]

Я читал, как ломали защиту от запуска неподписанного кода в какой-то из игровых приставок. Кодом в графическом шейдере. Т.е. там будут возможные вектора атаки типа "показали картинку, вызвали срыв стека в графическом драйвере".

Простые вектора атак потиху прикрывают, да.

[tzirechnoy.livejournal.com]

>Ваши программы запускают данные?

1) Да, примерно половина моих программ запускает пользовательские данные. Если Вы программист и в то жэ время не знаете зачем это нужно -- то очень редкий дебил здесь именно Вы, впрочем, никакой цэнности для науки Вы не представляете.
2) Мы говорили об эксплойтах, которые смогли внедриться в программу каким-то образом. Вероятность, что либо этот жэ эксплойт либо какой-то рядом лежащий сможэт запуститься из читаемых при старте данных -- ну, не единица, но достаточно высока.

[volodymir-k.livejournal.com]

> Если Вы программист и в то жэ время не знаете зачем это нужно -- то очень редкий дебил здесь именно Вы,

Речь шла об автостарте. Вы можете кипеть как чайник, но вообще-то из сотни программ, которыми я пользуюсь, только 3 имеют возможность запуска -- ворд, эксель, клиент оракла. Я знаю, зачем это БЫВАЕТ нужно -- но по дефолту этот пользовательский код пустой.

> Да, примерно половина моих программ запускает пользовательские данные.

Вопрос в том, какого рода интерпретатор этих ваших данных. Если вслепую жабаскрипт-коммонлисп, то у вас бааальшие проблемы. Вы хотя бы целостность как-то проверяете?
Если DSL/XML с разметкой метаданных и структу -- то "язык" слабоват и эксплойта не будет.