Vlákno názorů k článku Polemika: Přeceněná softwarová diverzita? od Vaclav Kabat - nic samozrejme rozhodnuto neni ;-), zeptejte se US...

nic samozrejme rozhodnuto neni ;-), zeptejte se US Army a zjistete si bezpecnostni certifikace a audity kterymi jednotl. systemy disponuji :-), zvlastne pak napr. linux

Morfing může odstranit (a ani tak ne zcela) jen velmi malou část chyb (buffer overflows a podobné problémy na úrovni strojového kódu). Nemůže už z principu odstranit logické chyby aplikace - ty musí zachovat, jinak by se nejednalo o funkčně stejný kód.

takhle jako trochu sikmo dolu...

Nevim, proc jedina komunikace mezi zivymi organismy, kterou ve svem prispevku pripoustite je prenos geneticke informace. Organismy vytvareji slozite ekosystemy, presto (nebo spis prave proto), ze jsou odlisne a fungovani techto ekosystemu odlisnost prospiva, ne skodi.

Analogie prenosu geneticke informace mezi organismy ve svete softwaru je spis prenos kodu (zdorojveho, binarniho...) a to u sw taky nefunguje mezi libovolnymi "exemplari".

Obávám se, že bezpečnost closed versus free software byla už dávno rozhodnuta ve prospěch toho free. Jde prostě o to, že "víc očí víc vidí" a nějaký pochybný modul, který je v podstatě černou skříňkou nejen pro uživatele, ale i pro ty, kdo se nějak podílejí na jeho vývoji, a jejichž práce se promítá do jeho bezpečnostních parametrů, prostě bezpečnější být nemůže.
A další věcí je laxnost některých výrobců closed software k upozorňování na chyby, kdy jsou bazální chyby v bezpečnosti často řešeny až tehdy, kdy je objevitelé po několikaměsíčním neúspěšném bombardování výrobce urgencemi na opravu chyby zveřejní na netu.
A ještě další věcí je skutečnost, že k open source projektům si může v podstatě každý uživatel dobastlit nějaké vylepšení bezpečnosti, které jistě nebude nic závratného, ale bude se vyskytovat vzácně ve stejném provedení (asi jako když si u auta doděláte skrytý vypínač elektriky nebo skrytý kohoutek na benzín - vysoké procento zlodějů tím odradíte, i když je naprosto jasné, že profesionála, který chce odjet zrovna s vaším autem, nezastaví v podstatě nic - leda skrytá bomba, připojená k zapalování, ale i její analogie by byla u free OS amatérsky proveditelná).

V tom vám odporovat nehodlám :-)

ano netrpi, pokud nesdileji kod (a i tak je velka sance, ze nakonec se v jednom chyba neprojevi).. nicmene, i tak si myslim, ze to neni cesta k bezchybne aplikaci a jde /li skutecne o bezpecnost, postupuje se jinak...

Kudy to kopou? :-)

Vsechny organismy prece dychaji stejny kyslik, jejich metabolismus je velmi podobny, a presto jsou ruzne. Takze bych v tom nevidel problem i v diversite software.

Ano, nezije sexualnim zivotem, ale jeho kod byl tajny, takze zatimco v open source programech muze utocnik chybu nalezt jednoduchym proctenim zdrojaku, u Win se musel vic snazit coz Win zajistovalo castecnou ochranu proti opravdu "vnitrnimu" utoku (chyby typu uzivatel muze otevrit zavirovany EXE soubor v priloze, beru za chybu uzivatele ne systemu)

Ne ne, prece k tomuto spolecnemu rozhrani jde dost dobre prirovnat vzduch nebo vodu ve ktere zivocichove ziji. A kdyz ta se bere jako internet, pres vzduch na nas take stale utoci spoustu viru bakterii apod a treba v pripade moc velkeho znecisteni vzduchu, preziji jen ti vodni zivocichove a naopak

Pokud jsem si dobře všiml, šlo tu ke konci už hlavně o různorodost, ne o opensource vs. closedsource. Reagoval jsem na názor, že programy používající stejný formát (nebo protokol apod.) trpí stejnými chybami. To přece není pravda, to, že se spolu jsou schopny bavit, přece ještě neznamená, že mají stejnou implementaci - a že tudíž jsou sestřelitelné stejným způsobem. Např. s využitím chyb ve zpracování unicode, kterými svého času trpěl IIS, byste si u Apache neškrtl (a naopak v případě chyb Apache, aby to někomu nebylo líto ;-). Přitom oba servery zpracovávají HTTP protokol.
Pokud použijeme tu paralelu s jazykem, když někomu nejdou sykavky a někdo jiný si z něj bude dělat srandu, že ráčkuje, bude za blba ten někdo jiný ;-)

morfing je vicemene nesmysl - protoze vetsina chyb v systemu, se chova jako regulerni vlastnost, tim padem by se pri morfingu museli tyto "vlastnosti" menit a doslo by k tomu, ze program bude delat neco jineho nez mel

exactly :-).. a je jedno, je -li aplikace proprietarni nebo open source.. to neni to co urcuje, zda -li je spravne napsana

mate pravdu, jen dement pise stejny kod pokazde a pokazde, myslim, ze o platnosti tohoto rceni si muzete udelat priklad na mnoha projektech z http://sourceforge.net/.

jinak, bohuzel to nemohu akceptovat uz jen proto, ze mnoho know-how, a uz jen proto, ze neni nutne technickeho razu, nebude rozprostreno po open source komunite a take proto, ze vas vyrok je pravdivy jen kdyz by open source komunita byla nutne nad urovni indickych "programatoru". A i kdyz vim, ze to neni tak tezke, nemohu s klidnym srdcem rici, ze je... Samozrejme doufam, ze nechcete IT svet uplacavat cepicemi, tedy holym poctem...

ano, souhlasim, ze morfing je - alespon docasne - reseni, myslim, ze jsem to v clanku take zminil. pro uzivatele stejne GUI, uvnitr jiny kod.

Pročež by je správně napsaná druhá strana měla poslat do řiti.

no a ted se zrejme dostavame k jadru pudla. viry jsou aplikace, ktere nejsou eticky napsane.

Videt DO znamena to co to znamena. Tedy videt "Dovnitr"=> znat metody zpracovani, moznost primeho ovlivnovani. Aplikace(tedy pokud jsou dobre(dle etiky) napsane) se naopak navzajem primo neovlivnuji. Mluvi NA sebe a v klidu nechaji druhou stranu at si prichozi data/instrukce zpracuji...

Me to prijde jako zbytecna akademicka debata. Nekdo rekne, ze se pocitacove systemy podobaji biologickym a nekdo odpovida, ze ne tak uplne. Kdyz k sobe prirovnate kterekoliv dve veci, tak najdete spolecne znaky a stejne tak najdete velke rozdily. Pokud chceme jit ve srovnani techto systemu do hloubky, tak se pochopitelne podobnost postupne vytraci, ale kazdopadne bych rekl, ze pocitacove a biologicke systemy se rozhodne podobaji v tom, ze monokultura je mnohem nachylnejsi k vnejsim nebezpecim. A je uplne jedno, jestli se druhy den opatchovane systemy rozjedou znova, nebo ze duvod existence pocitacovych a biologickych systemu je odlisny. To ze monokultura prinasi zase jiste vyhody, (a jeste dalsi nevyhody) je vec druha. To ze spolu pocitacove systemy komunikuji pomoci znameho rozhrani sice znamena, ze mohou byt napadeny "univerzalnim kodem", ale porad lepsi, nez kdyz mohou byt napadeny specializovanym kodem. Jeho vyskyt je totiz podstatne pravdepodobnejsi. Tady se bohuzel michaji 2 ruzne veci. Zaprve cervi vyuzivajici nejaky bezpecnostni bug v monokulture (napr blaster utocici na port 135). Tady by diverzifikace velmi pomohla. A zadruhe cervi radici v poslednich tydnech. Ti ale utoci predevsim na zazite zlozvyky nezkusenych uzivatelu (spustit vse co jim prijde). Tady by diverzifikace pomohla sice malo, ale take. Nebyt monokultury OS a prohlizecu, kteri defaultne skryvaji pripony souboru, tak by se cerv siril o neco pomaleji.

Podivejte se... v tomhle state vetsina z nas mluvi Cesky. To je ten protokol. A me slecne blondynce(OS) opravdu nakecam, ze se stavi tunel do australie, kdezto muj bratr(jinej OS) si to overi.
Stejny protokol, jiny zpusob zpracovani...

no ale prece kdyz muze existovat protokol, ktery zajistuje "vzajemnou citelnost", uz z principu je mozne vytvoreni protokolu, ktery umoznuje "vzajemnou nakazitelnost". prece aby ten protokol mohl fungovat, nemohou byt ty aplikace na sobe uplne nezavisle (coz by byla maximalni mira diverzity). musi splnovat nejake spolecne standardy (=ubytek diverzity). mozna tomu nerozumim spravne, ale proste mi pripada ze porad je nutne se vejit do nejakeho kompromisu mezi snadnosti komunikace a bezpecnosti. Jak je mozne zajistit, aby aplikace byly pro sebe citelne a pritom do sebe alespon v jistem slova smyslu nevidely? prece vzdy kdyz existuje nejake rozhrani, tak tim aplikace ziskavaji schopnost "cist" se navzajem. je fakt ze nerozumim tomu, jak presne viry ctou kod. a myslel jsem ze komunikacni protokoly jsou od toho, aby do sebe ruzne aplikace navzajem "videly". mozna mame nejasnost v terminologii - jaky je rozdil kdyz do sebe aplikace "vidi" a kdyz se jenom "domluvi"?

Pod pojmem krabicka si dokazu predstavit i mnoho dalsich krabicek:)
Nicmene... myslim, ze se nemusime dohadovat o takovych vecech jako je stredni cas odhaleni a zalepeni chyby u OpenSourcu a cernych krabicek at uz s okenky ci bez...

K volnemu casu... no to vite, my si pomahame, sdilime sve vedomosti, nepiseme jak dementi stejnej kod kazdej znovu a znovu zvlast a chybove. Vite jabko spadlo na Izaka taky jenom jednou a vsichni vime, ze pada dolu. Pokud by spadlo na Billa tak si porad myslime(a jeje, vite ze nevim co si tenkrat mysleli?:) )..., anebo mame vsichni na hlave bouli

vypadlo slovicko v zapalu boje, ale vy to pochopite...

Ale neeeeee... Lide z MS a vybrani partneri samozrejme pristup ke zdrojovym kodum, jenze, ONI APRIORI NECHTEJI PRISTUP ke zdrojakum, oni chteji kvalitni krabicku -

Zda se mi, ze lide pracujici s open source maji podezrele mnoho volneho casu.

PS: nesmite si pod pojmem krabicka predstavit jen prkotiny typu knihovnu odesilajici mail.

Svoboda kodu naopak sovisi VELMI s kvalitou vysledku. Pokud totiz dostavate do pracek cernou krabicku o ktere Vam Vas subdodavatel z Indie tvrdi, ze je super, Vam nezbyva, nez mu verit, nebo se vrhnout na reverz-izenyring(:) ), ktery je ovsem podle M$ nelegalni.
Oproti tomu pokud dostavate vzdy svobodny otevreny kod, tak se do krabicky podivate, vyndate bordel a omlatite ho milemu bengalci o palici... nebo ho spravite...
A o tom to je...

Pro komunikaci mezi sebou nemuseji byt systemy navzajem citelne. Staci, kdyz se bavi urcitym "jazykem". Dnes nejrozsirenejsi protokol TCP/IP je toho prikladem. Pouzivaji ho "vsechny" platformy a mate snad pocit, ze ackoli navzajem do sebe nevidi, tak se nedomluvi?

Vcera zde vysel clanek o morfovani kodu. A to je imho cesta. Pokud kod sam sebe pri kazde instalaci upravi, pak muze byt klidne na celem svete jeden jediny OS a prece to nebude monokultura(na urovni strojoveho kodu).

presne tak - potrebujete, aby spolu pocitace nejak komunikovaly, sdilely spolecne rozhrani, byly kompatibilni apod. to je zasadni odlisnost od biologickych systemu, kde je horizontalni prenost genu mezi ruznymi druhy velmi omezen.
a jakmile existuje nejake spolecne rozhrani (typu ze urcity mejl muzete precist z libovolneho postovniho klienta), nejspis nutne existuji i spolecne bezpecnostni problemy

Snad jen zakladni problem...

Nejdriv neco k vyvoji, kdyz zahrnu nejaky kod, knihovnu apod do sve aplikace, delam to proto, ze neco dela, jeji kod je provaden pri "pozadavcich" skrze nejake interface, GUI event, HTTP request apod... predpokladam, ze mrtvy kod v aplikaci, ktera je rozumne spravovana a neni dostatecne velika, aby to neslo, v ni neni...

Kdyz tedy preberu jen nejaky kousek kodu, udelam aplikaci zrejme podobnou prvotni A nebo B, protoze sdileni kodu je o funkcnosti, mohu byt stejne nachylny jako puvodni A nebo B, chybu si nesu s sebou. Pokud si dopisete nejake validace, nez zavolate puvodni kod, je to samozrejme jen oprava nekvalitni prace autora a dost mozna jste na nej mel tlacit, nebo pouzit jinou implementaci. I kdyz jsem znam jako priznivce MS, dovolim si predikovat, ze i kdyz zacali dbat na mnohe veci ohledne testovani kodu a jeho spravy, s narustem vyuziti outsourcingu (a to je momentalne obecny problem IT) nekde v Indii, bude zase kvalita kodu klesat. Je to jakasi obdoba Made in Japan :-)
S vasim zaverem tedy souhlasit nemohu, svoboda kodu nijak primo ci neprimo nesouvisi s kvalitou kodu a tedy nema vliv na bezpecnost.

hmm, to mi pripada chytre - ale na druhou stranu si myslim, ze s nazory pana Housera to neni v nijak zasadnim rozporu - pokud tomu dobre rozumim. jde spise o to jak nalezt nejaky rovnovazny bod mezi nulovou diverzitou - ktera by ohrozovala system jako celek - a maximalni diverzitou, ktera by ovsem narusovala samu zakladni funkci internetu a pocitacu jako komunikacnich(!) technologii. Protoze si tezko dokazu predstavit, jak by bylo mozne zajistit, aby pocitace a programy rychle a snadno komunikovaly mezi sebou (byly pro sebe navzajem citelne), a pritom pro viry by byly navzajem vuci sobe nepodobne (a tudiz necitelne). ale je fakt ze nejsem IT specialista - dalo by se to nejak zajistit?

Předložená argumentace o sexualitě ve skutečnosti nahrává proti argumentům prezentovaným autorem článku.

Za sexualitu ve světě softwaru lze považovat křížení a odvozování od softwarových projektů. Řekněme že existují dva svobodné programy A a B, a přijde nový autor, z každého vezme kus kódu, něco dopíše a vydá program C. Tento program C má odlišný kód od programů A i B a tedy je obtížnější pro viry se do něj strefit.

Naproti tomu komerčně-proprietární taktika Microsoftu se dá přirovnat k neplodnému jedinci. Žádným sexuálním životem nežije, nekříží se s ostatními projekty. Nepoužívá proto mechanismus sexuality k tomu, aby se ochránil před viry.

Z toho plyne přesně opak, než se autor snaží obhájit - diverzita indukovaná svobodou kódu je účinnější zbraní proti virům než monokultura indukovaná Microsoftem.