FreeBSD.org Hacked, Users Urged to Check All Binary Packages

[dinosb]

The FreeBSD Security team has announced that two machines in the FreeBSD.org cluster had been compromised and had been taken down for analysis.

On Sunday 11th of November, an intrusion was detected on two machines within the FreeBSD.org cluster. The affected machines were taken offline for analysis. Additionally, a large portion of the remaining infrastructure machines were also taken offline as a precaution.

Kao razlog navode

The security breach was probably made on September 19, and it was due to the leak of an SSH key from a developer who legitimately had access to the machines in question.

http://www.freebsd.org/news/2012-compromise.html
http://news.softpedia.com/news/FreeBSD- ... 7797.shtml

P.S: Nije vijest usko vezana uz GNU/Linux, ali svejedno zaslužuje pažnju.

Btw, možda zaslužuje zasebnu temu, no nekako mi se nameće pitanje koliko su ustvari sigurni, recimo, Ubuntuovi repozitoriji. Naveo sam Ubuntu jer nije tajna da mnogo ljudi ne voli Canonical i smjer kojim ide Ubuntu. Štoviše, bi li Canonical uopće objavio ovakav upad?

[pootzko]

auuuuuuuuuu, ovo im je šaka u oko :DDD

žao mi je da se dogodilo ali mi je svejedno funny.. lol

[stefan]

Btw, možda zaslužuje zasebnu temu, no nekako mi se nameće pitanje koliko su ustvari sigurni, recimo, Ubuntuovi repozitoriji. Naveo sam Ubuntu jer nije tajna da mnogo ljudi ne voli Canonical i smjer kojim ide Ubuntu. Štoviše, bi li Canonical uopće objavio ovakav upad?

Dobro pitanje. Iskreno se nadam da bi. Koliko ja znam, zasad se nisu dešavali ozbiljniji security problemi sa repositorijama popularnijih distribucija. Mislim da se ne treba bojati da će se to tako skoro desiti. Ali definitivno održavatelji repoa trebaju poduzimati preventivne mjere.

Ali i korisnici moraju paziti kakve repozitorije uključuju. Jer danas svatko može napraviti svoj repo i u njega podvaliti što god poželi. A brojni će korisnici pohrliti za instaliranjem... Srećom, sve pakete (za 90% korisnika) se može pronaći u official repoima - koji su ipak dobro zaštićeni. Problemi se dešavaju kad se iz nekog razloga (licence, novi softveri itd.) paketi ne mogu naći u official repoima. Tada se poseže za uključivanjem raznih nonofficial repoa. Možda bi bilo bolje buildati iz sourcea nego vjerovati tim manjim repoima.

[Medojedni jazavac]

Znam da se arch dosta brine o sigurnosti pekiđa s time sto su ne tako davno uvedeni signature keyevi za pacomano

[glaskoncILLa]

sve vaznije distre su imale upad, ukljucujuci i linux.org..

[stefan]

sve vaznije distre su imale upad, ukljucujuci i linux.org..

Na web ili u repoe?

[glaskoncILLa]

pa sad se ne sjecam tocnik detalja za sve, ali zasigurno znam da su arch, debian i kernel imali nekoga sa stecenim root ovlastima na kantama, a gentoo je redistribuirao zarazenu aplikaciju.

[4ndY]

pa sad se ne sjecam tocnik detalja za sve, ali zasigurno znam da su arch, debian i kernel imali nekoga sa stecenim root ovlastima na kantama, a gentoo je redistribuirao zarazenu aplikaciju.

Fedora je imala prije gotovo dvije godine upad u svoju infrastukturu ali nije načinjena nikakva šteta...

To je s jedne strane i za očekivati da će se takve stvari događati kad zajednice broje toliko doprinositelja (i toliko vektora za upad).

No ne mora biti ni upad izvana - evo, prije par dana je CyanogenMod ostao bez domene jer ih je ucjenio tip iz osnovnog tima koji je imao nadzor nad domenom (tražio je $10,000 od ostalih za domenu!).

[glaskoncILLa]

sto se tice deb paketa, oni jesu digitalno potpisani i promjena bi se vjerojatno primijetila, sto je vjerojatno i slucaj sa ubuntu repozitorijima.

third party repo, vise-manje se svi ograduju od toga, pa je koristenje na vlastitu odgovornost.