大马微软自欺欺人

杨大侠

精彩！！！
事隔几月了，不知道这话题会有什么进展？
各位大哥大姐，请圆了小弟的求知欲。
期待。。。

[ Last edited by 杨大侠 on 20-6-2005 at 12:21 AM ]

iamsky

flycrab 于 5-2-2005 03:32 PM  说 :
可我相信微软比LINUX安全多了
至少有了SP2后也没什麽大事发生了
因为它是非开源的，就算源码有问题，也不容易被骇客捉到，骇客只能从外测试找到问题
而且大多数安全测试都是针对视窗，很多问题在骇客没找到前 ...

那你就太小看linux hacker了.他们要有一定的工夫才能成为Core Developer,而且他们不全是为了钱才设计软件,所以大部分都是他们的心血之作.更何况linux kernel可是有Linus本人领导. 谁有追踪linus及open source事迹的人,就知道linux不是盖的.

haroldlbc

flycrab 于 5-2-2005 03:32 PM  说 :
可我相信微软比LINUX安全多了
至少有了SP2后也没什麽大事发生了
因为它是非开源的，就算源码有问题，也不容易被骇客捉到，骇客只能从外测试找到问题
而且大多数安全测试都是针对视窗，很多问题在骇客没找到前 ...

其实微软的主要客户是家庭用户，市场比较大嘛～它们比较不鸟大公司

flashang

一篇旧文章

http://www.netaction.org/msoft/cybersnare.html
http://www.lslnet.com/linux/docs/linux-2699.htm

糯米鸡 于 5-2-2005 07:31 PM  说 :
微软每十万行code有两个bugs，linux每十万行有五个bugs，你说那个强？
你如果是黑客， 你对要用钱买的软件有兴趣， 还是免费兼开放原始码的软件有兴趣？

以一般的installation 来讲， windows 的安全性是绝对 ...

redhat linux default installation CLOSE ALL PORT, block everything
for windows, you MUST install anti-virus, update all patches !!

flashang

johe07 于 11-2-2005 09:38 AM  说 :


如果公司里有个很会linux的，你说公司会选需要大笔执照费的东西，还是只需付少少钱就能建立起比较稳定的司服机？我相信，现在已经很多公司有在用着linux当email server或proxy server 了。。。

其实，work ...

以前的公司就是用 linux当 email server, proxy server
workstation 全都是 windows.

flashang

全文，请耐心的看完它

http://brisy.xplore.cn/news/display_news.php?id=1174


分段
http://www.lslnet.com/linux/docs/linux-2699.htm
http://www.lslnet.com/linux/docs/linux-2698.htm
http://www.lslnet.com/linux/docs/linux-2697.htm
http://www.lslnet.com/linux/docs/linux-2696.htm
http://www.lslnet.com/linux/docs/linux-2695.htm

[ Last edited by flashang on 30-6-2005 at 09:38 PM ]

东风不破

好帖！看了之后，受益不浅。

视窗是由桌面版发展到伺服版，所以桌面版的会比Linux来的好。
linux则是由伺服版发展到桌面版，所以伺服版会比视窗来的好。

至于安不安全，也很难给予定论。
我只能说双方也有优与弊，只有不断地增强才能提升系统安全。

视窗系统
由于是不开源，大家只能靠猜测方式来不断地测试，所以比较难找到系统漏洞。

用户群比较多与电脑骇客比较喜欢攻击视窗系统，所以发现系统漏洞比较多。

电脑黑/骇客发现系统漏洞，不一定会向微软报告，可能会收藏占为自用。

参与发掘系统漏洞通常都是微软本身与保安软体公司，而修正的部分唯有等微软本身。


Linux系统
由于内核与大部分的系统软件是开源码，不必去猜测可以直接测试，可能会比较容易找到系统漏洞。

用户群比较少与电脑黑客比电脑骇客多，所以发现系统漏洞比较难。
(要有电脑骇客的思想与动机，发现漏洞的机率才会比较大。)

电脑黑/骇客发现系统漏洞，也不一定会报告，也有占为自用的可能性，
不过应该数量不多吧，要不然就不能在Linux社区里混了。

可能会比较多的电脑黑客与开发员主动愿意参与发掘与修正Linux系统漏洞。

以上是小弟愚见，如有错请指示。

小虫

有什么好比的！管他哪家好，“令北”就是喜欢用“昏倒XP”,可以吗？吹得着吗？

haryewkun

原帖由 东风不破 于 1-1-2006 10:09 AM 发表

视窗是由桌面版发展到伺服版，所以桌面版的会比Linux来的好。
linux则是由伺服版发展到桌面版，所以伺服版会比视窗来的好。

这句话很中肯，值得一推。或者说，不是软件好不好的问题，是应用理念的问题。

视窗从一开始就是以广大使用者为对象，加上了教育培训、广告等种种推广行动。它的对象是那些对何谓电脑完全没有概念的普通人。Linux 则一开始就是以电脑精英、骇客这些高手为对象，它的使用者都是精通操作系统内核、知道要怎样去优化、自行 DIY 的超级高手。市场不一样，得到的评价自然南辕北辙。

jangancari

原帖由 haryewkun 于 5-1-2006 02:50 PM 发表


这句话很中肯，值得一推。或者说，不是软件好不好的问题，是应用理念的问题。

视窗从一开始就是以广大使用者为对象，加上了教育培训、广告等种种推广行动。它的对象是那些对何谓电脑完全没有概念的普通人。Linux 则一开始就是以电脑精英、骇客这些高手为对象，它的使用者都是精通操作系统内核、知道要怎样去优化、自行 DIY 的超级高手。市场不一样，得到的评价自然南辕北辙。

正是如此， 在使用方式， 界面方面正是如此。微软是以使用者没电脑知识来为开发方向， 而GNU/Linux 则是由个别不同的component 组成， 每一个component 都是一开始都是根据它的开发者的要求为开发方向， 这可以从Linus Torvalds 在newsgroups 上初次发布开发 Linux kernel 的标题 Subject: What would you like to see most in minix?

其实Linux 能够发展， GNU 的功劳才是最大的。

Linus Benedict Torvalds         Aug 26 1991, 12:12 am
Newsgroups: comp.os.minix
From: torva...@klaava.Helsinki.FI (Linus Benedict Torvalds) - Find messages by this author
Date: 25 Aug 91 20:57:08 GMT
Local: Sun, Aug 25 1991 2:57 pm
Subject: What would you like to see most in minix?
Reply to Author | Forward | Print | View Thread | Show original | Report Abuse

Hello everybody out there using minix -

I'm doing a (free) operating system (just a hobby, won't be big and
professional like gnu) for 386(486) AT clones.  This has been brewing
since april, and is starting to get ready.  I'd like any feedback on
things people like/dislike in minix, as my OS resembles it somewhat
(same physical layout of the file-system (due to practical reasons)
among other things).

I've currently ported bash(1.08) and gcc(1.40), and things seem to work.
This implies that I'll get something practical within a few months, and
I'd like to know what features most people would want.  Any suggestions
are welcome, but I won't promise I'll implement them :-)

                Linus (torva...@kruuna.helsinki.fi)

PS.  Yes - it's free of any minix code, and it has a multi-threaded fs.
It is NOT protable (uses 386 task switching etc), and it probably never
will support anything other than AT-harddisks, as that's all I have :-(.

不过在安全， 程序优化， 核心，设计概念方面是值得拿来客观地技术性比较和讨论的。

donynam

视窗是由桌面版发展到伺服版？

伺服版、客户版其实只是粗略的分类而已（给外行人看爽而已）。

理解电脑运作的人，应该分出哪一类的设计，会有哪一种好处和坏处。如何优化，如何完成。

hackintosh

其实是个人喜好。大家为什么那么吵。MS当然也有他的强项。你可知道MS的windows是使用mircokernel的？

在中国，有一个20来岁的freeBSD人才。他才20来岁而已，已经是freeBSD的committee了。你可以在kernel里面看到他的名字。以前他只是一个linux hacker，现在已经是freeBSD kernel hacker。可是，他对linux的批评就是一文不值。以下是他的一些评论：-


我不认可从“Linux只是kernel”来解释的说法。如果一个进程(隶属于另一个用户)能够随随便便地知晓另一个进程对内存的访问情况，我们可以说它是一个安全弱点。而另一方面我们用的许多加密算法，其内存访问情况又和不应公布的密钥这类秘密信息密切相关，这又是一个弱点。无论如何，第一个安全弱点是一个实在的弱点，而配合第二个安全弱点以及适当的攻击程序(例如Colin报告中提到的那个)，已经证实这两个安全弱点能够形成安全威胁，这是一个实在的威胁，任何读过、运行过那个程序的人，都已经可以得到相应的私密数据，在验证过的平台上，已经包括了Linux。这种情况还不认为是安全问题的话，那么是否brk()可以从普通用户切成root或获取某段内核内存也可以认为不是安全问题呢？

但哪怕是“这是用户配置导致的问题”，或者简单地承认“kernel有问题”这样的话他都是不愿意说的，似乎承认一个存在的问题，并将这一事实诚恳地告知用户，哪怕挂个路标说“地板湿，当心滑倒”这样的动作都没有。在我看来，他作为那个项目的至少具有精神领袖地位的人，这样做绝对不是一个可以接受的“过失”，而是在逃避责任并且置用户安全于不顾的、不可饶恕的行为。

最后，从技术角度说，HTT问题是可以通过改进调度策略来规避的(为避免出现问题，隶属于不同用户的进程不应轮替地调度到同一CPU上)。最后，禁用HTT这一措施尽管很粗暴，但这是目前我们能够采取的一种及时有效的规避措施；对服务器来说，其影响并非负面。IBM Watson研究院的研究和我们日常使用的经验都显示，HTT对于网络服务的性能影响，即使在Linux上面也经常是负增长(2.4/2.6都是如此)。另外，HTT的作用对桌面更大一些，因为它避免了单个线程将CPU吃满，并以牺牲吞吐量为代价来改善相应时间。

[ 本帖最后由 hackintosh 于 10-1-2006 09:50 PM 编辑 ]

hackintosh

在这里顺便帮freeBSD打个广告。这个也是dj老大写的，超欣赏他的技术。


选择*BSD的几大理由：

高水平的参与者

我还是要说，出现4个主要的BSD分支的原因绝不是什么BSD授权“过于宽松”导致的(这么说的人不妨去fork一个他们喜欢的，哪怕仅仅是kernel试试看，是不是一个月就得累得吐血？)，*BSD拥有大量非常高水平的开发者，有能力去fork并维持开发一个也许风格迥异的分支，去证明他们自己的实力；*BSD中也有很多同时参与多个项目的开发人员，仅从commit bit看，就有例如IAB委员Jun-ichiro "itojun" Hagino (OpenBSD+NetBSD+早期FreeBSD)、M. Warner Losh (FreeBSD+NetBSD)、早期TCP/IP协议栈的开发者Jeffrey Hsu (华裔、FreeBSD+DragonFly)，等等。如果仅从活跃参与看，Mach VM的主要继承和维护者Matthew Dillon(FreeBSD+DragonFly)、BSD教父级人物Marshall Kirk McKusick(所有*BSD)、著名*BSD hacker Poul-Henning Kamp(FreeBSD+NetBSD)等等，都在活跃地参与*BSD的开发。

在开发团队中，突然发现某个人竟然是IEEE/ACM委员(注意，不是IEEE Member)、教授或者某相关专业的PhD的概率非常高。这些人不仅有相关领域的广博知识，而且也对操作系统开发和架构具有丰富的经验。

FreeBSD core team成员Robert Watson曾在一次访谈中提到，尽管自己已经加入FreeBSD的committer团队5年以上，但仍然时时刻刻感觉自己依旧是一个新手，因为每天仍然能够从整个团队的那些，可能有超过20年开发经验的开发人员那里学到新的东西。任何人想要成为任何一个BSD的committer的话，开发团队都会要求有一个mentor(“导师”)来指导这个人头几个月，甚至前半年乃至一年的commit操作，而这个mentor给你写的第一封信就会简单地介绍那些非常有经验的开发者，并鼓励将涉及他们专业领域的代码在提交mentor复审之前或同时也发给他们，让他们帮忙看一看。良好的开发传统使得*BSD的开发人员品质能够不断提高。开发团队除了非常多专长于某一领域的专家之外，还有很多熟悉整个操作系统架构的，也许写过我们大学教材的人来阻止不正确的代码或设计进入系统，并在实际编写代码之前帮助完善设计。

良好的开发传统、严谨的开发习惯和正确的开发流程

开发传统和习惯对于软件的品质至关重要。所有的*BSD从项目开始的第一天开始，就从BSD上继承了良好的开发传统。没有任何一个主要的*BSD系统不使用CVS，代码的每一行是从哪来的、因为什么这样写，都可以随时在全球的数百个CVS[,up,sync,web]镜像上查阅。开发团队的每个人在每一次代码改动时都会收到通知邮件，除此之外，所有的*BSD开发团队还鼓励事前的同组复审(peer-review)和监护人复审(maintainer-review)，以便最大限度地保证代码品质。

尊重统一的代码编写习惯是所有*BSD的共识。NetBSD和OpenBSD直接继承了来自UC Berkeley的BSD KNF("内核代码范式")，在FreeBSD和DragonFly上，这一规范被称作style(9)。对于代码的持续清理，使得代码的可读性和品质有了更大的改善。

更为重要的是，*BSD的开发流程有正确的交付工程步骤。从代码冻结、集中复审、测试、修正问题、交付的过程看，每一个RELEASE都会成为最近一个阶段这一分支上最为稳定可靠的版本。修正bug时，所有*BSD都鼓励编写衰退测试案例(Regression Tests)，使得交付工程组能够对新的RELEASE中是否有引入了之前发现过的问题进行集中而有效的测试。*BSD从不赶日期推出RELEASE，如果一个RELEASE有问题，甚至不惜把公告前已经发出的.iso文件全部销毁，或甚至将已经打过tag的版本取消并推出另一个版本以避免混淆。

重视安全、尊重别人的版权、高品质的代码

*BSD非常重视安全，从不故意掩盖安全问题。最近几年曾经有一次，FreeBSD的Security Officer发现有一个问题在数月前有人在重写一个函数时无意中修正了一处安全问题，结果也发布了一个安全公告。“将风险告知用户”是*BSD通行的做法，所有的*BSD的安全页面都会写上这么一句话：“[某个BSD]的Security Officer欢迎[经过一定时间延迟的]对安全问题的彻底揭露”，因为我们相信，昨天发现的一个安全弱点，在今天就会成为一个实实在在的安全威胁。在第一时间修正问题并发布安全公告，有助于帮助用户及时修补问题、规避风险。

除了“亡羊补牢”的安全公告之外，*BSD更重视未雨绸缪的安全防范。在配置方面，目前默认安装的*BSD都不开放任何有安全隐患的服务端口。在代码方面，*BSD严格的代码复审机制(在2001年前后，*BSD做了一次统一的代码复审工作；而新加入的代码则被所有人复审)，以及持续不断的安全改进，特别是来自OpenBSD的特权分离等安全措施和理念，使得*BSD得以成为最为安全的系统。2004年公布的TCP RST攻击，当所有厂商都在补漏洞和发布补丁时，只有OpenBSD按兵不动——因为那个问题早已在1999年就被这些执着的安全狂热分子修正了。

当你听说一个rsync远程漏洞的时候，在FreeBSD上面，做过非特权化，或者说，默认设置时最严重的后果是“可能让rsync服务崩溃”，而在其他系统上面，则是“靠！被人root了！！”——因为那些人即使只维护一个kernel，也是在不停地往里引入安全问题的。

和重视安全的*BSD形成鲜明对比的是，某个kernel的项目领导者，在HTT安全漏洞被发现时，竟然采取鸵鸟态度，声称“这是OpenSSL的问题”，并阻止别人修正这个问题。此前，这个人还多次悄悄修正安全漏洞，并借助那个kernel不大力公布开发过程中进行的修改，而避免公众注意到安全漏洞的存在。具有讽刺意义的是，正是由于鸵鸟政策，使得这个总在指责Windows如何不安全的团体，在每个季度出现的内核级特权提升漏洞，能够达到Windows一年全部漏洞的一半之多。

尊重别人的版权是*BSD的另一个显著的特点。早期，由AT&T的Unix系统实验室(USL，目前这个实验室在SCO，历史总是重复的 8) )对BSD的诉讼曾经使开发停滞近一年之久。然而，由于BSD严谨的开发习惯，使得它得以通过代码历史向法庭证明自己的清白，并要求对方重印所有的抄袭BSD代码而未给出适当署名的说明书，并最终达成和解：USL及其继承者永远不得起诉*BSD。

这之后*BSD更为重视尊重版权。每一个committer都有责任确保大段代码来源的纯洁性，使得使用*BSD代码成为规避知识产权风险的一项非常好的途径——只要尊重BSD授权的署名要求，就可以自由地使用代码。BSD授权通过简单的两条条件和两项声明，有效地确保了代码使用者的自由，以及确保代码不发生被窃取并只以*PL授权重新发布的问题(使用*PL授权并同时以BSD授权发布文件的双授权做法是符合授权的，但删除BSD授权并只以*PL授权发布则违反授权，有意思的是，某个kernel经常这样做，并最终导致同是大段抄袭BSD代码的SCO公司的起诉威胁)。

使用*BSD意味着能够规避信息安全和知识产权两方面的困扰。*BSD尊重使用代码并对其进行改进的人的意愿，不强迫别人开放源代码，因为*BSD的开发者认为设计要比实现更为重要，而开放不开放源代码并不能阻止他们通过测试去了解设计。

对于技术的执著追求

*BSD的开发人员很多在各大高校从事操作系统的研究工作，因此其开发具有很大的前瞻性，并不为那些并不懂技术的所谓“最终用户”随意左右。*BSD每设计一个新的结构，往往能够被广泛接受，并用上很久，而不是几个月大换血一次。为*BSD开发驱动程序，即使不开放源代码，也不必担心随*BSD的版本升级而不得不重新写一遍——当然，开放源代码意味着整个开发团队能够对这些驱动进行更好的优化——在台湾，已经有一位开发人员获得了src/ tree的commit bit，除了已经在做的WiFi工作之外，他也将作为那家硬件厂商在FreeBSD的联络人，帮助他们的硬件更好地在FreeBSD上使用；而在国外，在*BSD社区的努力下，包括Adaptec、LSI、Intel在内的许多大公司，更是鼓励员工为*BSD撰写驱动。

它是一个随你的需要和贡献而成长的系统

*BSD重视，但并不放纵开发人员。新的OpenBSD上提供了包括ProPolice、W^X等辅助手段帮助发现代码中的潜在问题和阻止缓冲区溢出攻击；新的FreeBSD上则提供了一系列帮助发现代码中潜在问题的选项，这些为内核开发人员提供了很好的“防护网”，阻止他们写出有问题的代码。

在*BSD上也提供了许许多多的开发工具和辅助的调试工具。任何人都可以为*BSD编写代码，即使这些代码最终没有被接受，也会有人告诉你为什么，甚至帮你写一份更好的版本。为*BSD开发程序，能够认识很多高水平的人，也有助于自己的学习和提高。

[ 本帖最后由 hackintosh 于 10-1-2006 09:58 PM 编辑 ]

yongkahfai

Windows或者是Linux都没有办法保证你100%的安全。没有一个平台是骇客没有办法入侵的，这个是手法高不高明的分别罢了，就算要入侵了而不让你知道也是可能的。微软之所以可以垄断大部分的桌面平台，背后可是花了千军万马的血汗，从开发到推销，几乎都是精打细算。大家可有看到最近无论在Dell,HP,Panasonic,Samsung,或者是Acer的广告单中，都会有一句：“XXX Recomends Windows XP”。这句话对我们干IT的人乍看之下没什么大不了，但是在其他人眼里，就像是一枝盲人拐杖。Linux在推销以及开发方面已经远远不及微软，时间一拖，Linux就会被微软大抛远。如果说未来只有Windows，没有Linux，理论上，这个可能性很高。

hackintosh

除了MS，Linux，世上还有很多很好的OS，如Solaris， BSD家族等等。

OpenSolaris的实力更是不能忽略。

flycrab

精彩，连freeBSD也参战了
大多数平台使用者要求的不是绝对的安全
就像一般人的住所不要求守卫森严，三步一岗，只要当地治安良好就行
反而会要求近学校、买菜易、上班快等等

Sirius

原帖由 yongkahfai 于 11-1-2006 03:09 PM 发表
大家可有看到最近无论在Dell,HP,Panasonic,Samsung,或者是Acer的广告单中，都会有一句：“XXX Recomends Windows XP”。

这件事就足以控告MS违反垄断法令。想象一下如果现在所有的油站，商场，都放"xxx Recomends Proton" 哈哈。

goatstudio

原帖由 Sirius 于 12-1-2006 08:12 PM 发表


这件事就足以控告MS违反垄断法令。想象一下如果现在所有的油站，商场，都放"xxx Recomends Proton" 哈哈。

应该不至于, 除非那些商家可以证明微软使用手段逼使他们放出这样的标语.
印象中没记错的话, 微软惹上反垄断官司也是因为用了这类的手段.

对于end user来说，不管是Linux, *BSD还是Solaris，基本上都是一样的。（牵涉到硬件的不说）
我一样可以在以上三个系统执行ls, top, grep, make, gcc... 而且可以得到我要的结果。
至于内部系统运作……抱歉我还没上过这堂课。（我还没上大学）

Windows我是越看越不爽了。要不是有个.NET 2.0的project要做，我就要开始做系统移植的工作了

jangancari

回顾旧帖，一些我预测的东西的大多成了事实， 自己也用了Linux ， 开源码软件 年多。

开源码的发展果然渗透到每一个角落。 可惜的是， 马来西亚政府的金钱至上和短视， 让马来西亚的开源码运动发展不如印尼，泰国和新加坡。 最近的OOXML 投票听说马来西亚就准备投支持票， 虽然MAMPU 已经表态不支持了。

我还是想说一句， 别把开源码当作敌人， 开源码能够发展， 才能让有能力的IT人员得到尊重，　提高IT 人员的专业水平。