論Debian Project遭攻擊事件

[moto]

本新聞來自 : http://free.tnc.edu.tw/modules/news/art ... toryid=515

原文來自 : http://www.winnetmag.com/globals/ads/ds ... DZ=wininfo

Paul Thurrott報導 / November 24, 2003

上週一位駭客破壞好幾個屬於Linux套件製造商Debian Project重要的伺服器。該事件似乎與兩年前駭客入侵微軟的網路事件大同小異。不過,Debian被入侵的事件要比微軟遇到的更嚴重，不單是錯誤追蹤系統,通信論壇,網站伺服器, 還有安全元件伺服器都遭到損壞。還好Debian Project的Linux套件程式碼，在歷經此浩劫後仍能安然無恙。

Debian共同創辦人Ian Murdoch向eWeek表示，所幸開放原始碼開發者常愛在檔案上加密與準備多個備份以防萬一。Murdoch說,這名駭客只對原訂於本週釋出的Linux最新版感興趣。據推論, 試圖攻擊微軟的駭客也是有相同的動機。據說,那些駭客渴望得到Windows原始碼,儘管微軟否認此事。

雖然,常有微軟伺服器被攻擊事件被報導,但上週Debian遭到攻擊也不是今年第一次有開放原始碼支持者提供的基本設施被入侵。Richard Stallman的自由軟體基金會(FSF)在三月也被入侵, 但當時是在一個月後才發現此事。至少這次很快就注意到被攻擊了。

我覺得最有趣的是Murdoch針對這類攻擊及開放原始碼軟體安全性所做的評論。他指出，這種攻擊是不可避免的。令人擔心的是,這樣的入侵行動可能是出自一位關在地下室無所事事的15歲少年之手。Debian穩定版釋出管理者Joey Schulze也贊同這個說法 。他表示，很難去消除所有的問題。每個GNU/Linux套件都是有弱點的,即使是OpenBSD也面臨安全漏洞的問題，但是發生的機率並不高。

令人訝異的是，有位 IDC分析師居然稱此種入侵事件為一個 "補給品"，我想這種論調絕不會被用在微軟被攻擊的時候。雖然這位分析師沒諷刺意味,但他卻說至少有人覺得入侵Debian的伺服器夠困難，值得去做都只是更加證明Linux已逐漸成為主流，此外,駭客事件馬上被逮到並加以處理也正顯示出開放原始碼軟體社群的力量。

但是,話說回來,有沒有人對這位分析師看待相同事件卻用雙重標準的論調感到生氣呢?

[Tetralet]

我的感覺是：令人憂心。

每當 MS Windows 出現類似事件時，
大家總抱著幸災樂禍的心理，
我想是因為 MS Windows 是 Microsoft 的產品，
所以出了什麼問題可以說『完全是』Microsoft 的責任，
並且使用者除了呆呆等 Microsoft 提出解決方案之外也沒有別的方法。

並且 Microsoft 的過往記錄實在是令人印象深刻，
即使出了事大家只是想：『又來了！』，
其實是早已麻痺，見怪不怪了。


而 Linux 呢？
它可以說是一群高手中的高手的智慧結晶，
同時，我想 Debian 的安全防護措施應該是有如銅牆鐵壁吧？
如果 Debian 都有失手的時候，
那麼我們這些 End User 該怎麼辨呢？


不知大家在 Linux 的安全方面採取了什麼樣的防護措施呢？

[Tetralet]

令人訝異的是，有位 IDC分析師居然稱此種入侵事件為一個 "補給品"，我想這種論調絕不會被用在微軟被攻擊的時候。

在這裡的『補給品』翻譯得怪怪的，原文為『恭維』才是。

[moto]

呵呵...如果不討厭英文的話..建議直接看英文原文...

[kahn]

>同時，我想 Debian 的安全防護措施應該是有如銅牆鐵壁吧？
俗話說家賊難防,要是真的是有心人防也防不了.

[moto]

說的好..看來 dd 可能會更難考了...

[kahn]

說不定以後還要作身家調查.
另外一點:內政部近來推"自然人憑證( 網路身分證 )"小弟很懷疑這種東西的效益有多大,資料安全性的問題又有多大保障.網路上實在不是什麼安全的地方.別去申請一些有的沒的,連yahoo拍賣還要信用卡認證,他是不是瘋了,卡號一但被取得損失的錢要跟誰討.

[阿信]

說不定以後還要作身家調查.
另外一點:內政部近來推"自然人憑證( 網路身分證 )"小弟很懷疑這種東西的效益有多大,資料安全性的問題又有多大保障.網路上實在不是什麼安全的地方.別去申請一些有的沒的,連yahoo拍賣還要信用卡認證,他是不是瘋了,卡號一但被取得損失的錢要跟誰討.

嗯...小弟也是認為在網路能不留下資料就盡量不留...

而線上刷卡透過ssl安全性上應該頗高了，至少比磁卡上的加密來的多。

[kahn]

ssl 加密理論上是比較安全,但是ssl 也不是沒出過漏洞問題,誰敢保證現在的ssl也是安全無疑.
就算ssl加密再怎樣安全,有心者要竊取資料也可以不必動到ssl加密的資料,從本機端就可以知道你到底按了那些字,還有路人,錄影機,到處都有監視人們一舉一動,連現在大馬路上,十字路口還有那個沒裝監視器的?
到處都是不安全的地方,活了幾十年,從來沒用過什麼叫信用卡,因為那也不是安全的交易方式.

[huki]

說實話啦！
我很贊同kahn兄擔心的這些事
可是必竟這些安全機制都是「防君子，不防小人」的
若真的有心，抓封包來取得資料的人也是做的到的
不過若真的每件事都這樣想的話
那想久了可能真的會得瘋掉喔！
不過還是小心一點為妙

[moto]

大家說的都對... 很多事情都是一體兩面... 使用刀子可能會傷到手..但沒有刀子..要切割一些東西就很不方便...取捨都在每個人的方寸之間囉...

[damon]

基本上呢
ssl只保證你跟server之間的資料傳遞是有加密保護的，出問題的機會不大
但資料傳到對方手上之後呢？天知道對方的admin有沒有做好安全防護