Segnalazione originale per Tevac di: Furio Neri

La scansione periodica di Aggiornamento Software mi ha appena segnalato un "Security Update", il numero 2008-005 per l'esattezza, della bellezza di 65,1 MB. Riporta la solita e generica indicazione che è "...consigliato a tutti gli utenti e che migliora la sicurezza di OSX...".
La cosa strana è che cliccando sul link che porta alla pagine della storia degli aggiornamenti, questo non compare: l'ultimo è il 2008-004 di luglio.
Mah!?
Per il momento aspetto un attimo ad installarlo...

NdR: la pagina con le informazioni è disponibile, bisogna cercarla un po' ma c'è. L'aggiornamento riguarda sia le versioni Client che Server di Mac OS X 10.4.11 e 10.5.4.
Molti i problemi di sicurezza interessati, Bind, OpenSSL, OpenLDAP e PHP per citare alcune delle cose più importanti riguardanti i Server, ma anche molte parti del sistema operativo apparentemente inoffensive, come QuickLook e Disk Utility.
http://support.apple.com/kb/HT2647

Leggi questa segnalazione per intero (con eventuali immagini mancanti) su Tevac

Io non ho nulla
Però ho installato qualcosa qualche giorno fa.

Ciao,
per vedere il comunicato bisogna un po' lavorare di fantasia, ovvero modificare a mano l' url; adesso non ho di fronte il mac ma ricordo che alla fine dell' url c'era qualcosa che faceva riferimento alla versione italiana (qualcosa tipo "locale=IT"...). Eliminando la parte finale dell' url si va a finire alla versione inglese del comunicato che spiega tutto.
Quanto all' aggiornamento in sè risolve un bel po' di cose, tra cui due di quelle che mi davano più fastido; aggiorna BIND ad una versione che non soffra dei noti problemi sui DNS (quindi questo utile solo per sistemi che agiscano anche da server) e soprattutto l' orrenda vulnerabilità di Arda (Apple Remote Desktop Agent) ampiamente discussa qui su tevac:

http://forum.tevac.com/sudo-senza-password-t64501.html

Insomma il mio personalissimo consiglio, per quello che può valere, è di installarlo al più presto...

P.S.: dimenticavo, anche a me in effetti è stato proposto ed installato un paio di giorni fa

Messaggio modificato da Riccardo Cossu il 7 Aug 2008, 08:38

Confermo, anch'io ho installato l'aggiornamento qualche giorno fa. Ma come mai questi aggiornamenti si fanno sempre più frequenti, rispetto a 4-5 anni fa?

io 4-5 anni fa ero altrove, però personalmente ritengo che gli aggiornamenti di sicurezza vadano rilasciati spesso, nel senso che se c'è un problema di sicurezza preferisco che sia risolto oggi piuttosto che il mese prossimo!
per esempio la Canonical per ubuntu ne rilascia di continuo, anche più di uno a settimana alle volte...

Ci sono due spiegazioni a riguardo. Una bella e una brutta.
La bella è che sono aumentati gli cattivi rispetto a 4-5 anni fa ma Apple (che è tanto brava e tanto attenta) riesce ad installare una serratura sempre nuova alla porta di Mac OS X prima che un ospite indesiderato riesca a rompere il primo lucchetto.
La spiegazione brutta è che gli cattivi sono aumentati e Apple fa fatica a concentrarsi su Mac OS X per via di MobileMe e iPhone. Ecco che ogni due per tre ci rifila un lucchetto arrugginito che non assicura una protezione ottimale contro i cattivi ma fanno perdere loro un po' più di tempo.

Sul mio MacBook Pro C2D con Tiger l'aggiornamento era di 145MB. Comunque tutto OK.

Io questo aggiornamento l'ho installato il primo di agosto (Leopard).

Gli aggiornamenti di sicurezza di MacOSX, che io ricordi, sono sempre stati a scadenza mensile (forse legati anche a qualche scadenza simile del mondo *nix), salvo casi particolari che hanno richiesto un bugfix immediato. In ogni caso, più passa il tempo, più i sistemi diventano complessi, più è probabile che ci siano bux, più è necessario rilasciare bugfix

a mio avviso "gli cattivi" sono sempre quelli e macosx è perforabile come qualsiasi altro sistema (solo che ha il 5% di installato di quota mercato invece che il 90);

le patch sono dovute dalla casa madre per una questione di standard minimi ma non blindano un os che sta sulla rete, diciamo che tappano le falle più evidenti quelle bucabili anche da un dilettante

non esiste un sistema sicuro
se teniamo alla sicurezza dovremmo evitare di tenere dati sensibili su un computer collegato in rete

ogni protezione, per definizione, è violabile

marketshare pc:
consumer 30%
enterprise 70%

marketshare apple:

worldwide 3% - consumer 10%
u.s.a 10% - consumer 21%

pensi veramente che nn sia appetibile l'attacco al 21% dei computer consumer degli stati uniti da parte dei criminali informatici?

fonte: fortune-cnn

non so risponderti
bisognerebbe chiederlo a un criminale informatico

per il resto
non ho capito le tue moltiplicazioni:
mi hanno ricordato un candidato x che si era candidato qualche mese fa alle primarie del partito y
aveva preso lo 0,16% dei voti
ma siccome si era presentato solo in una frazione delle sezioni dove si era votato, aveva scritto sul suo blog che aveva preso l'equivalente del 12% o giù di lì
un folle

voglio dire se apple ha il 3% del mercato mondiale quello è
un criminale informatico non sceglie le vittime in base alle proporzioni che fai tu:
in america... il mercato consumer...
colpisce e basta: e le sue vittime sono in proporzione all'installato globale (perché dovrebbe essere più interessato a una carta di credito americana rispetto a una italiana?)
?

mi dispiace apprezzo la battuta ma dimostri di non capire molto di dati statistici

apple ha dei mercati di riferimento, per scelta o per costrizione - io propendo per la prima. non ha nel mercato aziendale un cliente di riferimento ma nei mercati dove, citando fortune, apple "compete" apple ha quote interessanti, negli stati uniti quelle quote sono piu' che interessanti

cmq nn sono certo io che ti devo far cambiare idea su queste cose... leggi un po di letteratura in materia, ma un esempio te lo voglio fare

lucasarts ha ripreso a sviluppare giochi per apple, perche' ha ripreso? per il 3% mondiale, o per il 20% di possibili clienti nel mercato di riferimento ossia quello consumer usa?



dici? forse il brufoloso che sparge schifezze dalla scrivania della cameretta...

a sia chiaro io nn faccio proporzioni.. le fa IDG le fa fortune nella persona di philip elmer-dewitt... oppure ha ragione chi dice che bisogna paragonare i prezzi degli assemblati a quelli dei mac?? perche' se dici si bisogna abbiamo una visione del mercato totalmente diversa...

comunque questa e' interessante come affermazione... "un criminale informatico non sceglie le vittime in base alle proporzioni che fai tu:" hai qualche criminale informatico che possa confermare?? perche' mi sembra una affermazione un po cosi'... campata in aria, legittima come opinione personale, ma quando la si esprime in un forum bisognerebbe avere un po di fonti alle quali rifarsi

Messaggio modificato da neumann2k il 9 Aug 2008, 01:15

hai ragione non ho fonti (non conosco criminali informatici)

ma a te l'onere della prova: che fonti hai tu?
non venirmi a dire che chi sparge virus usa gli stessi criteri che usa il marketing di lucasarts...

Bisogna vedere cosa vuol dire “appetibile” nel contesto dello sviluppo di malware per colpire la massa.

Cioè, se le potenziali vittime sono 100, e di queste 20 hanno Mac e il resto hanno Windows, è appetibile per un criminale informatico investire nello sviluppo di un malware per Mac per colpire quei 20, quando può invece colpire gli altri 80 con un investimento più basso (es.: può sviluppare una variante di un malware già esistente)?

O, in breve: sviluppare malware per Windows costa meno (know-how diffuso) ed è più profittevole (per il marketshare) che sviluppare malware per altre piattaforme.

Del resto le caratteristiche intrinseche del sistema operativo non spiegano l'assenza di tutto il malware che infetta tramite ingegneria sociale piuttosto che vulnerabilità dei programmi per l'accesso ad Internet o del sistema (che comunque, vediamo dai changelog degli aggiornamenti di sicurezza, su OS X non mancano).

Per quanto riguarda LucasArts... se farà come Electronic Arts, che usa Cider per far girare le versioni per Windows su MacIntel, il paragone cade.

qua si parlava di sicurezza intrinseca di osx e della sicurezza indiretta dovuta al poco interesse che la piattaforma mac ha verso i "criminali".
alcuni ricorderanno i virus per macos9 spero!:) erano pochi rispetto a quelli per dos/win ma esistevano, io ne beccai un paio trasportati dai floppy ma c'era disinfectant che faceva un egregio lavoro (se nn si usava msoffice) ora tutto e' capibile, argomentabile e questionabile ma in 8 anni non si ha notizia di virus veri per osx(non quelli nei laboratori di questa o quella azienda che produce software antivirus)

come ti dicevo precedentemente il brufoloso dalla cameretta che vuole fare solo danni (simil pesto le formiche o faccio esplodere le rane) ovvio che punta alle cose facili e alla quantita'... il criminale organizzato nn avra' un reparto marketing come quello di lucasarts ma quando si parla di furti d'identita ecc sono i pc "da casa" (il famoso mercato consumer) e non i pc delle segretarie ad essere interessanti.

visto che tu hai argomentato sulla sicurezza per "oscurita'" (usiamo impropriamente il concetto... ma visto che tu dici poca diffusione, minor conoscenza, minor interesse puo' applicarsi il concetto), gia' di per se questionabile come presupposto di sicurezza, senza portare altro che un "secondo me", alla richiesta di fonti o alla dimostrazione di dissenso sei tu che devi portare le "prove"

ok, d'accordo... ma in 8 anni e con lo straripare dell' "odio" contro apple non mi venire a dire che nn c'e' stato un programmatore, uno, che conosca abbastanza bsd, per fare danni ad osx!?

io nn me lo spiego ma la storia del e' poco diffuso con le percentuali attuali proprio nn la bevo, ovvio se qualcuno mi porta dati, analisi autorevoli e dichiarazioni sono pronto a cambiare idea...

E i meccanismi di sicurezza di OS 9 erano molto meno evoluti di quelli di OS X. Ma allora, per quale motivo, non ce n'erano di più, se il marketshare non centra?!



Beh ma il malware si sviluppa per fare soldi, non per un generico “fare danni”.

Comunque se dici che “non c'è stato un programmatore che uno”... si vede che non segui Tevac :)

Se cerchi trovi la testimonianza di un utente che s'è beccato il trojan che altera i DNS. Se non ricordo male, l'utente veniva reindirizzato a siti porno quando provava ad andare su youtube.



Bene, spiegaci quali sono le caratteristiche di OS X che impediscono la diffusione di ogni genere di malware, allora :)