Kommentar: Apple må endre praksis før det er for sent

[Del]

@Del:

for å begynne bakerst - det du betegner som webutviklere har intet med webutviklere å gjøre.

Flott om du er konkret her. Hva var det du ikke kjente deg igjen i?

Og er du seriøs - så bruker du ikke repository på WordPress eller Drupal - det gjør du på helt andre måter etter å ha testet konflikter

OK, la oss høre. Hvordan ser du for deg at en typisk web-utvikler holder sitt Drupal nettsted oppdatert?

Driver du seriøst og utvikler mer omfattende løsninger basert på WordPress, Drupal eller annet vil du med stor sannsynlighet knekke installasjonen om du bruker apt.

På Debian? Vet du hvordan pakking og oppdatering av wordpress og drupal gjøres på debian? Har du lest dokumentasjonen?

I tillegg er det fleste sikkerhetshull i WordPress og Drupal i plugins, noe som ikke håndteres via apt

Merkelig, jeg har en drøss drupal moduler ferdig pakket her, samt pakken dh-make-drupal som lar deg lage debian pakker av drupal moduler og themes.

Bare i år er det kartlagt over 30 sikkerhetshull i plugins - noe som bare er toppen av isfjellet.

Og hvordan synes du så vår gjennomsnittlige Mac'er eller windows bruker som utvikler web-løsningene håndterer dette?

Og når det gjelder f.eks Ubuntu 10.04 LTS så har den ikke nyere versjon enn 2.9.3 av WordPress, så da må du enten backporte eller installere manuelt.

Nå snakket jeg om Debian, men jeg må nesten ta en titt på pakkingen av wordpress i ubuntu før jeg uttaler meg.

Dette er også et klart eksempel på at pakkebrønner faktisk ikke nødvendigvis betyr sikker programvare.

Interessant holdning. Da er vi nok ikke helt på bølgelengde nei, for alternativet til pakkebrønner er...

Og WordPress er et problem - rett og slett fordi den har gjort det for enkelt å sette opp nettsider uten kunnskap om sikkerhet etc. Men det er ikke et problem fordi mange "utviklere" sitter på Mac. Det samme hadde det vært om "utviklerne" hadde brukt Windows eller en Linux Desktop

Kanskje i fremtiden. I dag er linuxbrukere generelt mye bedre rustet til å drifte nettsteder. Mye av det skyldes måten ting gjøres på i linux. Jeg har blitt mørkredd av å se hvilket forhold en del har til drifting og sikkerhet.

[Gjest Slettet-t8fn5F]

Fra et objektivt synspunkt, har der enda ikke kommet noe fornuftig uttalelse..

Endret 20. april 2012 av Slettet-t8fn5F

[Bolson]

@Del:

Jeg kaller det "utvikler" i hermetegn fordi svært mange av disse (særlig de som setter opp WordPress) i utgangspunktet er folk med moderat kunnskap til å utvikle nettsider. De kan en del HTML/CSS og passelig med PHP - men riktige webutviklere vil jeg ikke kalle de. Personlig kaller jeg meg heller ikke webutvikler, selv om jeg har vært med å implementert langt større løsninger enn det som er normalt for Drupal og WordPress.

 

Jeg skal innrømme at jeg ikke kan nok om Drupal i Debian, men så vidt jeg vet bruker Debian Lenny 6.x versjonen av Drupal, og ikke 7.x som er den nyeste. Jeg vet man kan backporte 7.x. Så jeg skal innrømme at du da trolig har rett i at man kan patche hele med apt. Om man da ikke har gjort modifikasjoner - noe som ikke er uvanlig - særlig på moduler og themes.

 

Men Drupal er annerledes enn WordPress - da Drupal hverken for 6.x eller 7.x har upatcha sikkerhetshull. Det har nemlig WordPress. I versjon 2.9.3 er 21 % av kjente sikkerhetshull ikke patcha. Når det gjelder Debian 6 så kjører de så vidt jeg vet versjon 3.0.5, mens Debian 7 (testing) kjører versjon 3.3.1 (nyeste). Wordpress har heller ikke politikken til Debian og noen andre at man også patcher eldre versjoner. Mulig de aktuelle hullene patches for Debian sin pakkebrønn på Debian 6 - jeg vet ikke. Backport finnes så vidt jeg vet ikke av WordPress 3.3.1 for Debian.

 

Når det gjelder sikkerhetshull i plugins så tror jeg de blir håndtert likt uansett plattform. Noen er flinke, og følger med på hva som har sikkerhetshull med mere - andre ikke. Men dette har også med kundeavtaler å gjøre. Mange "utviklere" har avtaler med kunder hvor det i realiteten ikke er noe support - mest fordi kundene ikke vil eller forstår nødvendigheten av dette - de valgte jp WordPress (særlig WordPress) fordi det er enkelt og billig. Derfor blir ikke drift av installasjonen tatt alvorlig av mange av disse aktørene. Men det er heller ikke et plattformproblem, det er igjen snakk om kunnskap/holdninger. Vi nekter faktisk å utvikle/implementere løsninger om vi ikke også får håndtere sikkerhet i løsningene.

 

Og det finnes alternativer til pakkebrønn - systemet vi bruker melder fra om Core eller plugins er usikre (det som er kjent), om systemet er satt opp til å gjøre dette. Vi må gjøre oppdateringene manuelt (direkte i systemet) - men det vil vi måtte gjøre uansett pga behovet for testing/modifisering i en de fleste tilfeller.

 

Egentlig er det vi har diskutert OT, men aksepter ikke en påstand om at rene desktop Linuxbrukere er så grassat mye mer kompetente på dette området enn Mac og Windowsbrukere. Forskjellen er at mange Linuxbrukere også driver en del med servere (%-vis langt flere enn for Mac/Windows) - og er entusiaster som har lært seg en del eller administrerer servere i større eller mindre grad. Og man trenger ikke vite en tøddel om SSH, ftp, filrettigheter etc for å være en desktop Linux bruker.

 

Problemet med de fleste såkalte webutviklere er at de kan ikke/forstår ikke noe om sikkerhet - og hva som kreves. Det er jo ikke det de er interessert i - langt fra. Interessen for sikkerhet hadde nok ikke endret seg om de brukte Linux på desktoppen. WordPress har også hatt lite fokus på sikkerhet utad. Drupal er her langt bedre. Systemet vi bruker har egne sikkerhetskonferanser, og sikkerhet er et av hovedtemaene på alle andre konferanser.

 

PS! De jeg har kontakt med når det gjelder Drupal (relativt stor aktør) - bruker faktisk ikke Debian eller Ubuntu. Og så vidt jeg vet kjører de delvis scripta oppgradering - for mange av installasjonene via en "staging" server (testinstallasjon). Men de har tross alt en 3 - 4 stk som bare drifter installasjonene.

[Del]

Jeg skal innrømme at jeg ikke kan nok om Drupal i Debian, men så vidt jeg vet bruker Debian Lenny 6.x versjonen av Drupal, og ikke 7.x som er den nyeste. Jeg vet man kan backporte 7.x. Så jeg skal innrømme at du da trolig har rett i at man kan patche hele med apt.

Det kan man, men det var forsåvidt ikke poenget. For Drupal er fortsatt versjon 6 å foretrekke hvis du har komplekse nettsider rett og slett fordi 7 ikke har så stor verdikjede ennå. Sikkerhet taes seriøs hos Debian, og du får fikser.

PS! De jeg har kontakt med når det gjelder Drupal (relativt stor aktør) - bruker faktisk ikke Debian eller Ubuntu. Og så vidt jeg vet kjører de delvis scripta oppgradering - for mange av installasjonene via en "staging" server (testinstallasjon). Men de har tross alt en 3 - 4 stk som bare drifter installasjonene.

De bruker drush tenker jeg, hvilket er Drupal sitt forsøk på innebygget pakkesystem. Jeg velger å påstå at en Debianbruker vil typisk foretrekke denne fremfor manuelt gjennom web-interface. Hvis man da i tillegg har lest dokumentasjonen som følger med Drupal i Debian har man et meget godt utgangspunkt for å enkelt skille mellom produksjon og staging, samt at begge er sikre. Endret 20. april 2012 av Del

[sinnaelgen]

Hva er poenget med artikkelen her egentlig ?

 

argumentenes som brukes her virejer å ta den retningen vinde blåser.

I det ene øyeblikket er Windows sikrest i det neste er osx , alt etter hvem man spør

[ATWindsor]

Hva er poenget med artikkelen her egentlig ?

 

argumentenes som brukes her virejer å ta den retningen vinde blåser.

I det ene øyeblikket er Windows sikrest i det neste er osx , alt etter hvem man spør

 

Folk er uenig om ting, det er vel ikke akkurat hverken nytt eller særlig overraskende.

 

AtW

[sinnaelgen]

Hva er poenget med artikkelen her egentlig ?

 

argumentenes som brukes her virejer å ta den retningen vinde blåser.

I det ene øyeblikket er Windows sikrest i det neste er osx , alt etter hvem man spør

 

Folk er uenig om ting, det er vel ikke akkurat hverken nytt eller særlig overraskende.

 

AtW

 

ja vel, men jeg ser ikke poenget med en slik lite seriøs diskusjon

[missilecatcher]

Jeg testet Kaspersky antivirus på min MacBook Pro, for moro skyld - den fant to "farlige" filer som begge var vedlegg til to eposter i spam-mappen. Ingen av filene kunne gjøre skade på min Mac da de var .exe-filer. Har hatt mac i snart åtte år, og aldri hatt virus eller "ondsinnede" programmer på mine maskiner...

[sinnaelgen]

Kan du virkelig ikke kjøre EXE filer ( på en eller annen måte ) på MAC? . De er jo programfiler.

[Lycantrophe]

For Windows, ja.

 

Edit: og ikke engang det trenger å bety noe.

Endret 21. april 2012 av Lycantrophe

[del_diablo]

Programfiler mellom OS er som forskjellen mellom jpeg bilder og .wav lydfiler. De har ikke spesielt mye til felles.

[Serpentbane]

Så vi henter ut en masse kommentarer fra en tidligere artikkel, for å lage en ny debatt der vi skal fortsette å kommentere akkurat det samme?

Skal vi om en uke hente ut et utvalg kommentarer og fortsette debatten på nytt?

 

 

Forøvrig synes jeg det er en imponerende mengde kunskap om diverse OS, malware og antimalware på disse sidene. Samt en drøy andel innsidekunskap om diverse selskaper og deres produkter. Merkelig ingen av dere har toppstillinger i de forskjellige selskapene? Spesielt hos Apple...

[tommyb]

Nå er vel stillinger der man trenger kunnskap om diverse OS, inkludert malware og antimalware faktisk representert her. Og dersom du tror at man prioriterer slik kunnskap i toppstillinger, har du overdrevet tiltro til bredden av det man lærer på business school...

 

*tongue in cheek*

Endret 22. april 2012 av tommyb

[bOMS]

Det er vel heller ikke det man skal lære spesielt mye om for å sitte i en topplederposisjon. Det de skal lære om er hvordan de bruker de under seg og ta sine avgjørelser basert på gode anbefalinger derfra.

En mellomleder derimot bør sitte på en del teknisk kompetanse.

[Battaman]

Jeg testet Kaspersky antivirus på min MacBook Pro, for moro skyld - den fant to "farlige" filer som begge var vedlegg til to eposter i spam-mappen. Ingen av filene kunne gjøre skade på min Mac da de var .exe-filer. Har hatt mac i snart åtte år, og aldri hatt virus eller "ondsinnede" programmer på mine maskiner...

Det kalles å arbeide preventivt, hva om du hadde sendt disse filene videre til en Windows maskin? Bedre at de ble stoppet hos din Mac eller? (For alt jeg vet hadde du gjort det, fordi "Windows suger og fortjener det", men jeg velger å annta at du ikke er en kuk.) Ellers er det jo fint for deg at du ikke har malware. Men husk at mye av bruken til AV er å hindre å hindre spredningen av malware, så da er det jo bare bra at den finner .exe filer så du kan slette disse før de for gjort noe skade. Ikke at dette i seg selv er grunn nok til å skaffe betal-AV.

 

At AV-produsenter har et ønske om å tjene penger på Mac-brukere er det lite poeng å så tvil om, men det er også det faktum at de sitter med masse kunnskap om problemet og de kan nok helt klart være til hjelp når det kommer til å sikre Mac-platformen nå som den er blitt en mål.

[The Norwegian Drone Pilot]

Jeg har sagt det flere ganger og sier det igjen. Skaff dere et antivirus / antimalvare program på Mac OSX før det er for sent.

 

http://www.zdnet.com...nt;feature-roto

 

Når skal dere Mac brukere starte å høre på folk som har mere erfaring med hva virus og slikt er?

 

Men neeeeeeida.

 

Dere kan tro i all deres Apple tro på at dere er sikker selv uten noe Antivirus eller Antimalware programmer mens dere i realiteten IKKE er det.

Endret 24. april 2012 av Vindicator

[The Norwegian Drone Pilot]

Og nyhetene strømmer inn: http://www.neowin.ne...are-for-windows

 

Så som dere kan se, så er ikke et antivirus / antimalware program bare bra for å kun stoppe virus og malware på macs, men også for å kunne stoppe spredning av virus og malware for Windows i OSX f.eks.

 

Så igjen, å bruke et antivirus / antimalware program hjelper mye på.

Endret 25. april 2012 av Vindicator

[The Norwegian Drone Pilot]

http://malware.cbronline.com/news/apple-10-years-behind-microsoft-on-security-kaspersky-250412

[Zepticon]

Dagens Lunch stripe tar jo hele greia veldig på kornet: