Тематические комментарии из новостного топика про диверсификацию операционных систем

На первый взгляд кажется, что unknown прав: действительно, раз Tor везде завязан на OpenSSL, то ошибка в нём самом или в OpenSSL ставит крест на безопасности. Однако, действительность намного тоньше. Во-первых, умолчальные версии OpenSSL'я в разных системах обычно разные, а уязвимостям, как правило, подвержены только некоторые его версии (видно на примерах [1], [2]), поэтому фактически получается так, что на одной ОС уязвимость будет, а на другой нет. Во-вторых, разработчики ОС могут накладывать на OpenSSL свои даунстримовские патчи, как это стало широко известно после дыры с Debian OpenSSL в 2008-ом. Та дыра была наглядным примером: будь Debian доминирующ в Tor, последствия дыры были бы ещё хуже. Как раз диферсификация очень помогла в том случае, и лишь небольшой процент цепочек можно было полностью расшифровать. В-третьих, любые эксплоиты — это, прежде всего, экономика, и на этом моменте стоит остановиться подробней.

Есть аргументы про неуловимого Джо, основанные на том, что какие-то хакеры найдут уязвимость в каком-то редком софте, а открытое сообщество не найдёт, после чего узкий круг взломщиков будет знать о дыре годами и использовать её, а все остальные будут оставаться в неведнии сколь угодно долго. Этот аргумент, вообще говоря, ложный, потому что при понижении популярности софта желание искать в нём ошибки уменьшается у всех, поэтому верно и то, что взломщикам также будет не очень прибыльно или интересно в нём ковыряться. Я бы назвал это аргументом о пропорциональности. Почему, когда у одной категории (открытое сообщество) интерес к поиску дыр снижается, у другой он должен расти или оставаться на том же уровне? Звучит неестественно.

Кажется, что если есть бюджет на поиск дыр, и его вгрохать в редкую систему, то это выгоднее — её мало кто анализировал, и там баги наверняка найдутся, но как окупить вложенные средства? Есть цитата, позволяющая почувствовать масштаб:

Linux стоит в среднем на одной из 130 машин, FreeBSD – на одной из 7500 машин, OpenBSD – одна из 170 тысяч, NetBSD – одна из 780 тысяч.

Допустим, потратили уйму ресурсов и нашли специфичную для NetBSD дыру. Где её применять? 780000/130=6000. Лишь на одной из 6000 машин по статистике может оказаться NetBSD. Если это не целевой взлом, а массовый, тратить ресурсы невыгодно, да и при целевом взломе интерес должен быть существенным, поскольку поиск дыры с нуля — непростая задача.

В-четвёртых, даже если дыра есть везде, разработка эксплоита под весь зоопарк систем часто оказывается невыгодной. Например, даже если дыра в браузере эксплуатируется в любой ОС, делать рабочий эксплоит под зоопарк Linux-систем невыгодно. Эксплоит от ФБР тоже был только для винды. Это такой довольно общий принцип, который работает на всех масштабах, он виден даже на уровне железа и бирусов: computrace тоже поддерживает только винду. Одним словом, исторический опыт говорит о том, что при прочих равных банальная диверсификация помогает из-за экономики ресурсов, даже если уязвимо всё.

В-пятых, есть общий аргумент: если в самом Linux будет серьёзная дыра, пострадает всё, что завязано на Linux. Если на него завязано абсолютно всё, ущерб будет максимальным. Соответственно, люди стараются не класть все яйца в одну корзину. Против этого есть возражение, что зоопарк ОС ведёт к рассредоточению усилий открытого сообщества по анализу их безопасности и доводке до ума. Однако, как показывает опыт, близкая к 100% распространённость Linux среди открытых UNIX-подобных ОС всё равно не привела к тому, что багов в Linux стало существенно меньше (чего стоило бы ожидать): серьёзные ошибки находят во всех ОС, и в Linux их тоже достаточно много. Linux может оправдать свои ошибки количеством поддерживаемых фич, но это не меняет факта того, что ошибки есть. К тому же, есть аргумент, что действительно безопасная система должна быть специально заточенной под безопасность, а не соревнующейся по количеству фич с самыми распространёнными ОС общего пользования. Этот аргумент спорный, потому что любая специализированная ОС теряет в популярности у пользователей и, следовательно, в популярности у желающих её анализировать, однако, как было сказано выше, аргумент о пропорциональности говорит о том, что даже в таком случае, скорей всего, всё не так плохо.

В общем, если взвесить все «за» и «против», то все 5 аргументов, в конечном счёте, говорят в пользу диферсификации, что несёт совершенно противоположный посыл по отношению к мысли в посте unknown'а.

[moderator]
Весь флуд в этом посте и ниже, который не по теме, утоплен.
[/moderator]

unknown не категоричен в своем ответе, что подразумевает – "да, метод годный. Но копать нужно в другую сторону".
Как раз в сторону живучести цепочек, отказоустойчивости, более глубокой анонимности и тд. По крайней мере – я так понимаю его ответ.
То, что OpenBSD считается более безопасной системой – всем известно, и все средства в ее популяризации хороши, но на сам Tor это, собственно, влияет минимально. То, что появится с десяток узлов, работающих под BSD – хорошо, но не достижение. Так, лишним не будет.

Могу опровергнуть, резюмировав Вашу простыню одной фразой: с точки зрения выживаемости, монокультуры всегда зло.

Это утверждение без должного обоснования, и оно звучит как штамп (расхожая фраза). Потом, оно слишком общее, что пораждает дополнительные вопросы о его применимости. Вот когда есть развёрнутая статья, итог которой выражен подобной фразой, получается другое дело. В таком случае при отсылке к короткой/крылатой фразе реально идёт отсылка ко всей аргументации в статье.

В мире UNIX есть понятия «UNIX-way — для каждой задачи свой инструмент — это хорошо» или «Worse is better», но, на самом деле, за каждой из этих цитат стоят статьи, а то и книги, где подробно разбираются плюсы и минусы UNIX-подхода.

Про короткие фразы обычно говорят «есть такой принцип» или «есть такая идея/тренд», которые в среднем скорее верны, чем нет, поэтому если требовать ответ в виде истино/ложно, скорее стоит выбрать «истино». На деле принцип/тренд/идея работает не везде, имеет свои минусы, свои нюансы, и всё там не настолько просто и однозначно, а для описания всего этого нужна статья или книга. Если такая статья уже есть, и обе стороны её читали, достаточно на неё сослаться крылатой фразой, а если нету?

Сколько припоминаю срачей на ЛОРе на тему «всё, что не Linux — ненужно», а также обсуждений на эту тему здесь, никто не удосужился дать ссылку на хорошее рассмотрение этого вопроса на уровне, допустим, развёрнутой респекатебльной статьи или википедии. Т.е. вопрос регулярно поднимается, а стандартного ответа не видно. Нисколько не претендуя на истину в последней инстанции, я просто просуммировал аргументы обеих сторон во что-то единое и сделал предварительный вывод. Может быть, потом появятся веские аргументы в защиту противоположного мнения, но пока их не видно, всё говорит против них. Наверно, ещё можно сказать, что отсутствие конкуренции всегда ведёт к стагнации, это почти то же самое, но на деле таким штампом ничего не обоснуешь, потому что бывают случаи, когда конкуренция вредит (см. про рассредоточение ресурсов). Короче, как ни крути, расхожий штамп — он и есть штамп.

Интересно "послушать" аргументированный комментарий, по поводу использования Debian'a в таких проектах, как Tails, JonDO и Whonix?

Это вопрос? Не знаю, интересно вам или нет. Ничего не имею против Debian'а (скорей, даже всеми руками «за»), но я против того, чтобы складывать все яйца в одну корзину, какой бы хорошей эта корзина ни казалась. Пример с дырой в OpenSSL 2008-го года наглядно подтверждает эту истину. Конечно, механическая диверсификация по ОС и версиям софта — экстенсивный подход, много с него не выжмешь, но если ставить вопрос в целом, «хорошо» это или «плохо», то это, скорее, всё же «хорошо».

Гость, а у тебя самого разве основная система не Debian?

Каких именно узлов не сказано. Если exit, то это вообще не возможно популяризировать.
А это дает вообще понимание перспектив предложенного:

Другой вопрос, если бы проект Tor-BSD дал "народу" виртмашину аля Whonix (из коробки) для разворачивания промежуточных узлом на ПК, имхо что-то дернулось бы в этом направлении. Кто будет заморачиваться на настройку BSD для запуска ноды?

Важно лишь в твоем выборе. Ну то есть, если ты отдаешь предпочтение BSD и используешь ее в качестве десктопа – одно, а если все-таки Debian и признаешь, что он менее безопасен – другое. Тогда я сделаю для себя вывод, что BSD и щупать не стоит, ибо она на десктопе неюзабельна.

Ну и вообще, мне интересен подход подкованных людей в плане выбора дистрибутивов.
SATtva, на сколько я понимаю, выбрал Gentoo потому, что ее один раз настроил под себя и все, можно годами не соваться в нее. Ему, под его специфические задачи – вполне себе и нужен подобный конструктор, единожды заточенный под свои нужды. Ну и наверное виртуалочки, видимо пишет софт под винду, раз не забыл ее и куда охотнее дает ответы на вопросы, касательно windows.
unknown, скорее всего потому, что ему важнее безопасность, и задачи куда более широкие, постоянно собирать из исходников – затратно по времени, и важны скорее всего не "среды разработки" (blender и тд), а свои конфиги и костылики, которые писались для себя и своего удобства.
Поэтому и спросил – на чем же сидит третий главный участник GPGru.

Мне же наоборот – нужно чтобы работало, и поэтапно в неспешном режиме осваивать Linux, поэтому я остановился на Linux Mint, хотя грезил Gentoo'ой, в период эпатажной Liberte – уж очень завораживает ее компилировать. Но потихоньку щупаю Debian, чтобы совсем себя "домохозяйкой" не чувствовать.
Всякие Arch, Mandriva, RH, OpenSusi и прочие – вообще не прижились. И почему Arch так любят – непонятно.. Падает и пакеты отваливаются постоянно. Недогента какая-то.

[а тор здесь при том, что…]

Кстати, срывы на такой адский адхоминемный срач, что сейчас летит в удалённые, в коментах был и раньше, вот отсюда и до конца, к примеру. Участники, судя по всему те же, что и сейчас. Это, что находится из ранее неудалявшегося.

[/а тор здесь при том, что…]

Подозрительно безобидно. Откуда такая информация?
Я думал, что Tor'ом пользуются в основном шизоиды, педофилы, торчки и кулхацкеры.
Ну то есть основную массу составляют эти люди, остальные либо по личным, либо по политическим причинам.

Роджер упоминал про некий проект, который мониторил трафик с экситов и разбирал контент.

Впоследствии, что-то похожее подтвердилось даже для скрытых сервисов (из-за дыры, позволяющей собирать онион-адреса с узлов), хотя там тоже сначала думали, что должны был быть прямо сплошные притоны.

Whonix — вообще новый проект, странно к нему цепляться, а у BSD история, не помню точно, но лет 15-то точно есть.

Те, кто имеет опыт работы с ней. Многие Linux'оиды, кстати, имеют.

Мне кажется, тебе, с твоим подходом, точно щупать не стоит, это больше для тех, кто в командной строке как рыба в воде или хотя бы стремится к этому. Вопрос предпочтений слишком индивидуальный, чтобы давать какие-то общие рекомендации, и я считаю, что все обсуждения на эту тему (а их было тут много) в целом провальны. Вместо рекомендаций можно озвучивать конкретику: в такой-то ОС такая-то фича есть, а в такой-то нету и т.д. Например, в OpenBSD для дискового шифрования есть только blowfish, большие объёмы данных им шифровать плохо, поэтому по-хорошему для шифрования современных дисков надо либо городить самопальные костыли поверх их шифрования, либо выбирать другую систему. В NetBSD таких проблем нет, зато initramfs там, в отличие от Linux'а/Debian'а, штатно не поддерживается (хотя оно вроде есть, и можно сделать). С виртуалками полноценно дружит только NetBSD и Linux, но NetBSD плохо дружит с железом. Потом, если вам нужен Linux-софт, пожалуй, проще не извращаться с эмуляцией каждый раз, а просто поставить Linux в тот же Xen. После учёта этих нюансов под свои потребности/нужды выбирать становится практически не из чего, у всего будут какие-то существенные минусы, но, тем не менее, можно отбраковать канидатов на основную ОС более желательных от менее желательных.

Если тебе этого для твоих задач хватает, пользуйся, в чём проблема? Когда осознаешь, что нужно большее или лучшее, посмотришь на что-то иное. Если нет претензий к ОС, зачем что-то менять?

Unknown, я читал те статьи в оригинале. Кажется, даже постил выдержки из них. Выводы из статей здесь озвучивались, они были противоположными вашим. Если подводить итог, то мне ближе вот это ваше мнение:

Можно только сожалеть о том, что средства инфобезопасности не расширили границы эффективнее дальше первого круга (радикалов, преступников, параноиков) и не используются массово. Рядового применения как раз не хватает.