forum.opennet.ru - "Взлом инфраструктуры LineageOS" (64)

"Взлом инфраструктуры LineageOS"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Взлом инфраструктуры LineageOS"	+/–
Сообщение от opennews (?), 03-Май-20, 20:47
Разработчики мобильной платформы LineageOS, пришедшего на смену CyanogenMod, предупредили о выявлении следов взлома инфраструктуры проекта. Отмечается, что в 6 часов утра (MSK) 3 мая атакующему удалось получить доступ к основному серверу системы централизованного управления конфигурацией SaltStack через эксплуатацию неисправленной уязвимости. В настоящий момент идёт разбор инцидента и подробности пока недоступны. Сообщается только, что атака не затронула ключи для формирования цифровых подписей, систему сборки и исходные тексты платформы... Подробнее: https://www.opennet.me/opennews/art.shtml?num=52872
Ответить \| Правка \| Cообщить модератору

Оглавление

Кто посмел , InuYasha (?), 20:47 , 03-Май-20, (1) +7

Видимо опять безжалостные кровожадные боевики корпорастов-проприетастов , Аноним (2), 20:54 , 03-Май-20, (2) +6
Более правильный вопрос нахрена кому-то понадобилось их ломать Может просто бо, A.Stahl (ok), 20:54 , 03-Май-20, (3) +16
https e foundation , Naraku (?), 20:59 , 03-Май-20, (4) +1
Это дети тренируются А кому ещё это нужно , пмс у рмс (?), 21:35 , 03-Май-20, (7) +6

Это нужно майнерам чтобы майнить monero И судя по коду того же kinsing - писали , тройной (?), 18:40 , 04-Май-20, (56)

Это нормальная практика рулить хостами через интеренет через эти системы управле, аегшнеа (?), 16:07 , 04-Май-20, (46) +1

Вполне нормальная При наличии авторизации и TLS ни чем не отличается от over S, тройной (?), 18:50 , 04-Май-20, (57)

более того - и уже успешно находили, прям сразу рут в openssh и не рут но хороши, пох. (?), 09:40 , 05-Май-20, (68) +1
Хз я только ссш и доверяю Сколько лет уже серьезных дыр не было , ffh (?), 19:54 , 06-Май-20, (71)

Нет конечно, ни в коем случае Через ssh over vpn only Даже те серваки, что тор, InuYasha (?), 23:29 , 04-Май-20, (66) –1

О, заминусовали, девжопсы У кого-то прогорело , InuYasha (?), 17:03 , 07-Май-20, (73)

и вовсе необязательно девжопсы тебя история с heartbleed в том числе во всемилюб, пох. (?), 19:51 , 07-Май-20, (74)

Ну, хреновая организация конторы - это другая проблема И я сказал что нужно И то, InuYasha (?), 21:00 , 07-Май-20, (76)

ну ты продолжай, продолжай мантру - что это все конторы хреново организованные, , пох. (?), 17:17 , 08-Май-20, (77)

Разломали очередное недоразумение на питоне Никогда такого не было и вот опять , Аноним (11), 22:19 , 03-Май-20, (11) –1

Control and secure your digital infrastructureInfrastructure automationControl , Аноним (11), 22:21 , 03-Май-20, (12)

Всё правильно, любое secure увеличивает attack surface , Аноним (15), 22:56 , 03-Май-20, (15) +3
About SaltStackSaltStack develops award-winning software used by IT and security, Sw00p aka Jerom (?), 00:38 , 04-Май-20, (23) +3

Вот и вин налицо , Страдивариус (?), 00:53 , 04-Май-20, (24) +1

Выставить CMS голой опой в интернет Эпик вин, чо Безотносительно уязвимостей , Адмирал ЯсенБуй (?), 08:59 , 04-Май-20, (33)

Слышал немного неприятного о salt насчёт криворукости разрабов, что пакеты ломаю, Аноним (13), 22:28 , 03-Май-20, (13) +1

Немного ковырял ansible, там никакие порты не должны торчать, всё через ssh , лютый жабби__ (?), 08:19 , 04-Май-20, (31) +1

Юзали питонсибл корпоративно Жизнеспособно Папид в другом месте был, тоже юзаб, InuYasha (?), 11:12 , 04-Май-20, (37)

Вам он может и не нужен, он в основном важен для больших количествах серверов в , Всем Анонимам Аноним (?), 23:33 , 16-Май-20, (79)

Фух, главное исходники не скомпрометированы, собираем сами себе , Anonim (??), 22:41 , 03-Май-20, (14) +1

Ты уверен , Аноним (17), 23:37 , 03-Май-20, (17)

Легко же проверить, Аноним (-), 03:51 , 04-Май-20, (27)

как , дохтурЛол (?), 13:03 , 04-Май-20, (39)

тысячикрасныхглас, же Не , Аноним (67), 00:20 , 05-Май-20, (67) +2

На главной странице saltstack слова security secure встречаются 21 разНа страниц, э2 (?), 23:27 , 03-Май-20, (16) +5

oversecured , б.б. (?), 00:33 , 04-Май-20, (22) +1
Где-то я это уже видел, КО (?), 06:07 , 04-Май-20, (28)
Как на Тео де Раадта похоже, блин -D, Fyjy (?), 10:58 , 04-Май-20, (36) +1

Просто шикарная стратегия дождаться появления критической уязвимости в SaltStac, Аноним (17), 23:38 , 03-Май-20, (18) +3
У них там прошивок сущий мизер, в большинстве для давно устаревших устройств Т , Аноним (19), 23:46 , 03-Май-20, (19) –1
чем только не жертвуют, чтобы не юзать pf там, где он нужен , Аноним (21), 00:30 , 04-Май-20, (21) –2
О пользе стандартов ГОСТ 58412, ISO 2700x и регулярном тестировании на проникнов, Consta (?), 01:27 , 04-Май-20, (25) –3
Ну вот, о критических уязвимостях объявили, а залатать забыли, ну никогда такого, Аноним (29), 06:30 , 04-Май-20, (29)
Девляпсики опять нарвались на оборотную сторону удобства Системы управления , Онаним (?), 08:56 , 04-Май-20, (32) –2

Со всей инфраструктурой LineageOS справится один DevOps, не представляю, что там, Аноним (34), 09:32 , 04-Май-20, (34) –1

Ну вот он и справился , как девляпсы обычно и делают , Онаним (?), 10:13 , 04-Май-20, (35)

Девляпсов для начала надо нанять Когда дрочка в одиночку - это вообще другая ис, InuYasha (?), 11:14 , 04-Май-20, (38)

то есть если бы их было двое - они бы не нах евертили вдвое больше дыр, are yo, пох. (?), 13:08 , 04-Май-20, (40) +1

Представь себе - нет Возможно один из них увидел бы недостатки в коде и архитек, двойной (?), 15:51 , 04-Май-20, (44) –1

Для этого опыт и знания нужны, а не петоны с докерами , Аноним (11), 17:15 , 04-Май-20, (51) +1

Вот только упоротое ретроградство наличие знанийИ по суперстейбл энтерпрайз р, двойной (?), 18:21 , 04-Май-20, (54) –3
все что не пихон и докер - в глазах этих новоделанных - дремучее ретроградство А, пох. (?), 22:03 , 04-Май-20, (64) +2

или не только не увидел, но и своего дерьма добавил Это вот как раз и называетс, пох. (?), 19:53 , 04-Май-20, (59) –1

До 15 лет назад пользовались uucp в режиме execute, где секурностью не пахло Сей, я (?), 21:34 , 04-Май-20, (62)

ну мне не очень интересно чем вы там пользовались - я вроде достаточно внятно оп, пох. (?), 22:01 , 04-Май-20, (63)

clusterssh, pconsole попробуйте , Михрютка (ok), 18:18 , 06-Май-20, (70) +1

спасиб похоже, второе и есть примерно то чем мы пользовались пятнадцать лет наз, пох. (?), 16:17 , 07-Май-20, (72)

в смысле удалил автор все на гитхаб вынес, там оно и киснет , Михрютка (ok), 19:52 , 07-Май-20, (75)
а, и правда, киснет неудачное название дало пачку false positives и даже внутри, пох. (?), 17:27 , 08-Май-20, (78)

Системы управления конфигурацией нельзя внедрять так, как это делается каждым , двойной (?), 15:59 , 04-Май-20, (45)

В очередной раз облажались, но методология хорошая, даа , Аноним (11), 17:24 , 04-Май-20, (52) +1

Кто облажались Какое отношение имеет данный конкретный индивид и то что он за, тройной (?), 18:24 , 04-Май-20, (55) –1

Как автоматизировать развёртывание конфигурации, так молодец, девопс А как серв, www2 (??), 21:26 , 04-Май-20, (61) +2

Вот в ансибле всё-таки гораздо разумнее - просто доступ через ssh, а не какой-то, vitalif (ok), 15:15 , 04-Май-20, (42)

https docs saltstack com en latest topics ssh https docs saltstack com en la, двойной (?), 15:45 , 04-Май-20, (43) –1
Да в принципе дополнительные демоны это, даже если их голой дупой в инет не став, Fyjy (?), 16:48 , 04-Май-20, (49)

если своя цель - предоставить плохому парню сразу все ключи от всего и сразу с, пох. (?), 10:28 , 05-Май-20, (69)

Скрыто модератором, Аноним (65), 22:30 , 04-Май-20, (65) +1

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от InuYasha (?), 03-Май-20, 20:47 +7 +/–

Кто посмел!? >:(

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #2, #3, #4, #7, #46

2. Сообщение от Аноним (2), 03-Май-20, 20:54 +6 +/–

Видимо опять безжалостные кровожадные боевики корпорастов-проприетастов.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

3. Сообщение от A.Stahl (ok), 03-Май-20, 20:54 +16 +/–

Более правильный вопрос: нахрена кому-то понадобилось их ломать? Может просто бот, тупо перебирающий экспойты?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

4. Сообщение от Naraku (?), 03-Май-20, 20:59 +1 +/–

https://e.foundation/

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

7. Сообщение от пмс у рмс (?), 03-Май-20, 21:35 +6 +/–

Это дети тренируются. А кому ещё это нужно?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #56

11. Сообщение от Аноним (11), 03-Май-20, 22:19 –1 +/–

Разломали очередное недоразумение на питоне.
Никогда такого не было и вот опять.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #12

12. Сообщение от Аноним (11), 03-Май-20, 22:21 +/–

"Control and secure your digital infrastructure
Infrastructure automation
Control and optimize any cloud-native or on-premises infrastructure at scale
Security automation
Find and ﬁx vulnerabilities and enforce continuous compliance
Network automation
Audit, conﬁgure, and secure your entire network from a uniﬁed platform"

Такое вот secure your entire network случилось.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #15, #23

13. Сообщение от Аноним (13), 03-Май-20, 22:28 +1 +/–

Слышал немного неприятного о salt насчёт криворукости разрабов, что пакеты ломают, не тестируют и катят в репозиторий. Была проблема с бубунтой 18 (чз кто дров наломал - мейнтейнеры убунты или каноникл). Теперь вот уязвимость.
Из альтернатив (папет, ансибл) солт казался самым здравым и простым.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #31, #79

14. Сообщение от Anonim (??), 03-Май-20, 22:41 +1 +/–

Фух, главное исходники не скомпрометированы, собираем сами себе.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #17

15. Сообщение от Аноним (15), 03-Май-20, 22:56 +3 +/–

Всё правильно, любое secure увеличивает attack surface.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

16. Сообщение от э2 (?), 03-Май-20, 23:27 +5 +/–

На главной странице saltstack слова security/secure встречаются 21 раз
На странице ansible - 5
chef - 4
puppet - 2

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #22, #28, #36

17. Сообщение от Аноним (17), 03-Май-20, 23:37 +/–

Ты уверен?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #27

18. Сообщение от Аноним (17), 03-Май-20, 23:38 +3 +/–

Просто шикарная стратегия: дождаться появления критической уязвимости в SaltStack и эксплуатаровать её

Ответить | Правка | Наверх | Cообщить модератору

19. Сообщение от Аноним (19), 03-Май-20, 23:46 –1 +/–

У них там прошивок сущий мизер, в большинстве для давно устаревших устройств. Т.ч. исходники не скомпрометированы, а остальное не важно.

Ответить | Правка | Наверх | Cообщить модератору

21. Сообщение от Аноним (21), 04-Май-20, 00:30 –2 +/–

чем только не жертвуют, чтобы не юзать pf там, где он нужен...

Ответить | Правка | Наверх | Cообщить модератору

22. Сообщение от б.б. (?), 04-Май-20, 00:33 +1 +/–

oversecured :)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

23. Сообщение от Sw00p aka Jerom (?), 04-Май-20, 00:38 +3 +/–

About SaltStack
SaltStack develops award-winning software used by IT and security operations teams to help modern business more efficiently secure and maintain all aspects of their digital infrastructure.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #24

24. Сообщение от Страдивариус (?), 04-Май-20, 00:53 +1 +/–

Вот и вин налицо!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #33

25. Сообщение от Consta (?), 04-Май-20, 01:27 –3 +/–

О пользе стандартов ГОСТ 58412, ISO 2700x и регулярном тестировании на проникновение.

Ответить | Правка | Наверх | Cообщить модератору

27. Сообщение от Аноним (-), 04-Май-20, 03:51 +/–

Легко же проверить

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #39

28. Сообщение от КО (?), 04-Май-20, 06:07 +/–

Где-то я это уже видел

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

29. Сообщение от Аноним (29), 04-Май-20, 06:30 +/–

Ну вот, о критических уязвимостях объявили, а залатать забыли, ну никогда такого не было, и вот опять!

Ответить | Правка | Наверх | Cообщить модератору

31. Сообщение от лютый жабби__ (?), 04-Май-20, 08:19 +1 +/–

>Из альтернатив (папет, ансибл) солт казался самым здравым и простым.
Немного ковырял ansible, там никакие порты не должны торчать, всё через ssh.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #37

32. Сообщение от Онаним (?), 04-Май-20, 08:56 –2 +/–

Девляпсики опять нарвались на оборотную сторону "удобства".
"Системы управления конфигурацией" нельзя внедрять так, как это делается каждым вторым девляпсом. Доступ таковой к инфраструктуре должен быть строго ограничен, причём с разделением прав.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #34, #45

33. Сообщение от Адмирал ЯсенБуй (?), 04-Май-20, 08:59 +/–

Выставить CMS голой #опой в интернет? Эпик вин, чо. Безотносительно уязвимостей.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

34. Сообщение от Аноним (34), 04-Май-20, 09:32 –1 +/–

Со всей инфраструктурой LineageOS справится один DevOps, не представляю, что там нужно разграничивать

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32 Ответы: #35

35. Сообщение от Онаним (?), 04-Май-20, 10:13 +/–

Ну вот он и "справился", как девляпсы обычно и делают.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34 Ответы: #38

36. Сообщение от Fyjy (?), 04-Май-20, 10:58 +1 +/–

Как на Тео де Раадта похоже, блин :-D

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

37. Сообщение от InuYasha (?), 04-Май-20, 11:12 +/–

>>Из альтернатив (папет, ансибл) солт казался самым здравым и простым.
> Немного ковырял ansible, там никакие порты не должны торчать, всё через ssh.
Юзали питонсибл корпоративно. Жизнеспособно. Папид в другом месте был, тоже юзабельно, но более требователен к серверам (на больших ЛА могут быть проблемы). Это что навскидку вспомнил.
Я бы лично для себя хотел шефа завести, но тоже надо время на изучение (

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31

38. Сообщение от InuYasha (?), 04-Май-20, 11:14 +/–

> Ну вот он и "справился", как девляпсы обычно и делают.
Девляпсов для начала надо нанять. Когда дрочка в одиночку - это вообще другая история.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35 Ответы: #40

39. Сообщение от дохтурЛол (?), 04-Май-20, 13:03 +/–

как?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #67

40. Сообщение от пох. (?), 04-Май-20, 13:08 +1 +/–

то есть если бы их было двое - они бы не нах...евертили вдвое больше дыр, are you serious?
P.S. а расскажите кто-нить, вот лет пятнадцать назад, до всей этой девляпсьей муры - были у нас, помнится, такие аналоги screen+ssh - я успел начисто забыть названия всех х-ни, и, к своему удивлению, не сумел быстро найти что-то похожее поиском - ничего такого в модную-современную эпоху в живых не осталось?
То есть идея - ssh {список из сотни хостов} - открывается сотня обычных консольных сессий, с дублированием клавиатурных символов во все сразу. И возможностью видеть фидбэк (хрен с ним, вручную переключая все сто). Та хрень, что была у нас, умела при этом разные авторизации (где ключи, где не получается - переспросить не знаешь ли ты универсальный пароль от всего), но это опционально.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #44

42. Сообщение от vitalif (ok), 04-Май-20, 15:15 +/–

Вот в ансибле всё-таки гораздо разумнее - просто доступ через ssh, а не какой-то ещё доп.демон...

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #43, #49

43. Сообщение от двойной (?), 04-Май-20, 15:45 –1 +/–

https://docs.saltstack.com/en/latest/topics/ssh/
https://docs.saltstack.com/en/latest/topics/tutorials/quicks...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42

44. Сообщение от двойной (?), 04-Май-20, 15:51 –1 +/–

>то есть если бы их было двое - они бы не нах...евертили вдвое больше дыр
Представь себе - нет. Возможно один из них увидел бы недостатки в коде и архитектурных предложениях другого. Это называется code review.
>То есть идея - ssh {список из сотни хостов} - открывается сотня обычных консольных сессий
Не забудь предсказать полный список комманд, засунуть в VCS, пройти review и аппрув на изменения (у тебя ведь серьезный Production, ты работаешь в команде и не хочешь его положить одной опечаткой в вызове rm, да?). Ну и не забудь что на сотне хостов могут быть разные ОС с разным окружением. И желаю удачи перепечатывать одно и то же по 100 раз (модулей у тебя ведь нет).

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40 Ответы: #51, #59

45. Сообщение от двойной (?), 04-Май-20, 15:59 +/–

"Системы управления конфигурацией" нельзя внедрять так, как это делается каждым вторым девляпсом.
У вас есть статистика для таких утверждений? Или это личные влажные фантазии?
>Доступ таковой к инфраструктуре должен быть строго ограничен, причём с разделением прав.
Ясное дело. И это все даже описано в официальной документации https://docs.saltstack.com/en/master/topics/hardening.html
В любом ПО бывают уязвимости и то что данный индивид не настроил firewall - это его личный факап к девопс-методологии не имеющий никакого отношения.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32 Ответы: #52

46. Сообщение от аегшнеа (?), 04-Май-20, 16:07 +1 +/–

Это нормальная практика рулить хостами через интеренет через эти системы управления конфигурациями не овер ssh? Серьезно интересно. Просто я то на локалхосте очкую, но есть же смелые корпорации.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #57, #66

49. Сообщение от Fyjy (?), 04-Май-20, 16:48 +/–

Да в принципе дополнительные демоны это, даже если их голой дупой в инет не ставить, дополнительная точка отказа, а потому Ansible это правильно и хорошо, для своих целей, а Salt не нужен в принципе.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #69

51. Сообщение от Аноним (11), 04-Май-20, 17:15 +1 +/–

> Возможно один из них увидел бы недостатки в коде и архитектурных предложениях другого.
Для этого опыт и знания нужны, а не петоны с докерами.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44 Ответы: #54, #64

52. Сообщение от Аноним (11), 04-Май-20, 17:24 +1 +/–

В очередной раз облажались, но методология хорошая, даа.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45 Ответы: #55

54. Сообщение от двойной (?), 04-Май-20, 18:21 –3 +/–

Вот только упоротое ретроградство != наличие знаний
И по суперстейбл энтерпрайз решениям уровня "открывается сотня обычных консольных сессий" это хорошо видно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51

55. Сообщение от тройной (?), 04-Май-20, 18:24 –1 +/–

> В очередной раз облажались
Кто "облажались"?
Какое отношение имеет данный конкретный индивид и то что он забил на firewall к devops-методологии?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52 Ответы: #61

56. Сообщение от тройной (?), 04-Май-20, 18:40 +/–

Это нужно майнерам чтобы майнить monero.
И судя по коду того же kinsing - писали совсем не дети.
Ранее такое уже неоднократно проиходило с кучей других RCE:
https://www.zdnet.com/article/docker-servers-targeted-by-new.../
https://habr.com/ru/post/485300/
https://otx.alienvault.com/pulse/5c437e066b31ef12eb67bc2b
https://www.lacework.com/blog-attacks-exploiting-confluence/
https://latesthackingnews.com/2019/02/08/new-linux-backdoor-.../
https://www.auscert.org.au/blog/2018-01-05-attackers-using-r...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

57. Сообщение от тройной (?), 04-Май-20, 18:50 +/–

Вполне нормальная. При наличии авторизации и TLS ни чем не отличается от "over SSH" - в SSH точно так же могут в любой момент найти RCE. Даже VPN не дает 100% гарантий безопасности - в том же OpenVPN внезапно время от времени находят RCE.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46 Ответы: #68, #71

59. Сообщение от пох. (?), 04-Май-20, 19:53 –1 +/–

> Представь себе - нет. Возможно один из них увидел бы недостатки в коде и архитектурных
или не только не увидел, но и своего дерьма добавил. Это вот как раз и называется "работа в команде".
> у тебя ведь серьезный Production
нет, у меня несерьезный - не оправдывающий самостоятельное написание скриптов централизованной раздачи конфигураций (чем мы занимались еще в 2009м, когда ваших пихоноподелок еще в помине не было - кстати, взломав (как?) эту штуку - не удалось бы просто так получить ровно ничего, разьве что уронить управление - админы, не девляпсы делали).
Я вполне конкретный вопрос задал - остался ли такой софт в принципе, и как называется.
Поскольку напрочь забыл, чем мы там пользовались 15 лет назад.
Твои девляпсовые страдания с опечатками в вызове rm - оставь себе, мне они неинтересны.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44 Ответы: #62

61. Сообщение от www2 (??), 04-Май-20, 21:26 +2 +/–

Как автоматизировать развёртывание конфигурации, так молодец, девопс. А как сервисы ставить, торчащие голой жопой в интернет - так девопс тут не виноват. Нет уж, давайте разберёмся.
Во-первых, всем кто решил податься в девопс, неплохо было бы поработать для начала просто опс - поадминить ручками. А то развелось программистов, которые считают, что раз они быдлокод научились писать, то с админством справятся на раз-два. Админство - это не про автоматизацию, по большому счёту, а про ответственность. Админ может быть и тратит много времени на первоначальную настройку системы, но время и нервы бережёт за счёт того, что заблаговременно подготовился ко многим возможным проблемам - отсутствию электричества (поставил ИБП), поломкам жёстких дисков (настроил RAID-массив с избыточностью, хот-свапом и резервом в ЗиПе), настроил кластер высокой готовности, зарезервировал внешние каналы, заготовил резервные копии и инструкции по восстановлению, закрыл всё фаерволами, SELinux'ами, держит минимум программ с suid-битом, своевременно обновляет пакеты в системе и т.д. и т.п. Народная мудрость говорит, что спешка бывает нужна лишь в трёх случаях: при ловле блох, при поносе и при сношении с чужой женой.
При этом админам неплохо разбираться во внутреннем устройстве администрируемых ими сервисов, чтобы выбрать наиболее надёжные и аккуратно написанные, и при необходимости ткнуть разработчиков сервиса носом в их же фекалии, указав, как надо делать правильно (прислав по возможности готовый патч). А не тащить в свои системы всё подряд и жаловаться потом на проблемы разработчиками.
Ну и во-вторых, девопс-подход в данном случае позволяет справиться с одной сомнительной проблемой автоматизации, но позволяет себе отодвинуть на второй план множество других не иллюзорных проблем, в том числе проблему безопасности системы.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

62. Сообщение от я (?), 04-Май-20, 21:34 +/–

До 15 лет назад пользовались uucp в режиме execute, где секурностью не пахло.
Сейчас есть pssh и gnu parallel.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59 Ответы: #63

63. Сообщение от пох. (?), 04-Май-20, 22:01 +/–

ну мне не очень интересно чем вы там пользовались - я вроде достаточно внятно описал задачу - параллельные сессии с визуальным фидбэком. Позволяющие хоть vi запускать.
ни одна из упомянутых вами поделок и близко к той софтине не лежала и нахрен не нужны в принципе - если задача исчерпывается удаленным запуском единичной команды - я просто напишу скрипт, перебирающий хосты.
А давайте вы мне сделаете удаленный запуск команды, требующей sudo - и не в режиме nopasswd?
Я понимаю что для девляпсов это полная фантастика, у них атсосибль с рутовыми ключами от всего - только и ждет, пока эти ключи достанутся кому-то левому (впрочем, о чем это я, один у них ключ). Но такая софтина уже ж, блжад, была!
Неужели никто не вспомнит ни названия, ни современных аналогов?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #62 Ответы: #70

64. Сообщение от пох. (?), 04-Май-20, 22:03 +2 +/–

все что не пихон и докер - в глазах этих новоделанных - дремучее ретроградство.
А энтерпрайз у них - сотня систем, ага.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51

65. Сообщение от Аноним (65), 04-Май-20, 22:30 +1 +/–

БОЛЬШЕ сложных ынтырпрайзных технологий
С КОТОРЫМИ ДАЖЕ ОБЕЗЬЯНА КАК ПРОСЕФИОНАЛ!!1111

Ответить | Правка | Наверх | Cообщить модератору

66. Сообщение от InuYasha (?), 04-Май-20, 23:29 –1 +/–

> Это нормальная практика рулить хостами через интеренет через эти системы управления конфигурациями
> не овер ssh? Серьезно интересно. Просто я то на локалхосте очкую,
Нет конечно, ни в коем случае. Через ssh over vpn only. Даже те серваки, что торчат в интернет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46 Ответы: #73

67. Сообщение от Аноним (67), 05-Май-20, 00:20 +2 +/–

#тысячикрасныхглас, же. Не?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39

68. Сообщение от пох. (?), 05-Май-20, 09:40 +1 +/–

более того - и уже успешно находили, прям сразу рут в openssh и не рут но хороший шанс вытащить годный авторизационный серт в openvpn.
Поэтому никакого явного смысла в оборачивании оберток - нет. Система централизованного управления ВСЕМ - лакомый кусочек для атакующего в любом случае. А уж тем более - плохо спроектированная. А они - упс, все. Как раз salt казалась мне сравнительно разумно придуманной (в реализации я не копался, время, когда мне надо было такое, давным-давно прошло - так что не исключено что на практике там ад, трэш и п-ц).

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57

69. Сообщение от пох. (?), 05-Май-20, 10:28 +/–

если "своя цель" - предоставить плохому парню сразу все ключи от всего и сразу с максимальными правами - то безусловно.
Уровни доступа, разграничение полномочий для разных частей конфигурирующего софта - нее, девляпс не слышал.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49

70. Сообщение от Михрютка (ok), 06-Май-20, 18:18 +1 +/–

clusterssh, pconsole попробуйте.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63 Ответы: #72

71. Сообщение от ffh (?), 06-Май-20, 19:54 +/–

Хз я только ссш и доверяю =) Сколько лет уже серьезных дыр не было.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57

72. Сообщение от пох. (?), 07-Май-20, 16:17 +/–

спасиб! похоже, второе и есть примерно то чем мы пользовались пятнадцать лет назад - правда, быстрое гугление приводит к неутешительному результату что уцелела только в солярисе - автор даже страницу проекта выпилил со своего сайта. (да и хрен с ним - без наших патчей оно было малопригодно, а я их не сохранил)
первая вроде бы живая.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #70 Ответы: #75

73. Сообщение от InuYasha (?), 07-Май-20, 17:03 +/–

О, заминусовали, девжопсы )
У кого-то прогорело.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #66 Ответы: #74

74. Сообщение от пох. (?), 07-Май-20, 19:51 +/–

и вовсе необязательно девжопсы.
тебя история с heartbleed в том числе во всемилюбимом openvpn не заставила ничего такого заподозрить-насторожиться?
И это пока ты один - а когда тебя станет человек десять из разных отделов - ты изумишься, если каким-то образом узнаешь, сколько они себе понаделали джампхостов и вебшеллов в обход твоего чудовепене.
"у одного моего друга" (там не сто, а, наверное, под полтысячи если не больше человек могущих порулить теми или иными частями энтерпрайзной помойки, как впрямую, так и косвенно, выкатив какие-нибудь изменения в обход стандартных процедур) вот слуцилась - так до сих пор понять не можем, кто и откуда. Понятно что кто-то то ли свой, то ли бывший свой, слишком много знал - но совершенно непонятно ни как попал, ни что делал, ни кто это был.
Правильная система управления (правильно) торчащая наружу - имеет _меньшую_ attack surface.
Потому что прикольно, наверное, продолбать доступ, позволяющий добавить или поменять роли десятку коробок, или, даже, в модных современных реалиях, потратить кучу денег на ненужные инстансы aws - но последствия от этого чинить гораздо легче, чем последствия неведомокого залезшего к тебе в ssh и сделавшего там неведомочто.
И взламывать ее бесполезно - она не хранит ssh-ключи от всего, она просто база хост-значения.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #73 Ответы: #76

75. Сообщение от Михрютка (ok), 07-Май-20, 19:52 +/–

в смысле удалил? автор все на гитхаб вынес, там оно и киснет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #72 Ответы: #78

76. Сообщение от InuYasha (?), 07-Май-20, 21:00 +/–

Ну, хреновая организация конторы - это другая проблема.
И я сказал что нужно И то И другое, а всякие ансиблы и папиды, лезущие в ссш от рута, в интернете ну никак не нуждаются, а узел, который их контролирует, тоже не в другом государстве находится. Ну, если вы вместо ансибла 200 индусов из аутсосинга не наняли, конечно )

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #74 Ответы: #77

77. Сообщение от пох. (?), 08-Май-20, 17:17 +/–

> Ну, хреновая организация конторы - это другая проблема.
ну ты продолжай, продолжай мантру - что это все конторы хреново организованные, вот у тебя-то - и что тебя не поломали именно потому что ты охрененно организованный, а не потому что неуловимый джо.
> И я сказал что нужно И то И другое, а всякие ансиблы и папиды, лезущие в ссш от рута, в
> интернете ну никак не нуждаются,
ну то есть продолжаешь накручивать костыли на подпорки, потому что слаще морковки не едал, и надеяться что чудо-вепеэн и сесехе тебя спасет?
Какое слово тебе непонятно в описанной мной схеме, когда в системе НЕТ вообще никакого места с ключами-от-всего - и она в нем совершенно не нуждается?
(теоретически ансибл так умеет, а для салт это основной рабочий вариант, но оба переусложнены и умеют много фатально-лишнего из-за необходимости угодить одновременно всем)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #76

78. Сообщение от пох. (?), 08-Май-20, 17:27 +/–

а, и правда, киснет (неудачное название дало пачку false positives и даже внутри самого шитхаба - а на собственно сайте автора, куда до сих пор смотрит ссылка с шитхаба - 404 без редиректа - видимо, ему стало стыдно), я с первого тыка живых ссылок не нашел, а дальше лень было.
Судя по тому что почти все правки десятилетней давности - можно не париться.
(я уже не помню деталей, что там не работало или работало не так как нам хотелось, но что-то мы его много патчили в свое время. К сожалению, те патчи сгинули вместе с лавкой.)
Скорее надо на clusterssh смотреть - он вроде живой, и, помнится, я на него уже где-то натыкался, но забыл за ненадобностию. А теперь под столом завелся настоящий кластер, и тюнить все вручную несколько осточертело.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #75

79. Сообщение от Всем Анонимам Аноним (?), 16-Май-20, 23:33 +/–

Вам он может и не нужен, он в основном важен для больших количествах серверов в тысячах.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от InuYasha (?), 03-Май-20, 20:47	+7 +/–
Кто посмел!? >:(
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #2, #3, #4, #7, #46

2. Сообщение от Аноним (2), 03-Май-20, 20:54	+6 +/–
Видимо опять безжалостные кровожадные боевики корпорастов-проприетастов.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

3. Сообщение от A.Stahl (ok), 03-Май-20, 20:54	+16 +/–
Более правильный вопрос: нахрена кому-то понадобилось их ломать? Может просто бот, тупо перебирающий экспойты?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

4. Сообщение от Naraku (?), 03-Май-20, 20:59	+1 +/–
https://e.foundation/
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

7. Сообщение от пмс у рмс (?), 03-Май-20, 21:35	+6 +/–
Это дети тренируются. А кому ещё это нужно?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #56

11. Сообщение от Аноним (11), 03-Май-20, 22:19	–1 +/–
Разломали очередное недоразумение на питоне. Никогда такого не было и вот опять.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #12

12. Сообщение от Аноним (11), 03-Май-20, 22:21	+/–
"Control and secure your digital infrastructure Infrastructure automation Control and optimize any cloud-native or on-premises infrastructure at scale Security automation Find and ﬁx vulnerabilities and enforce continuous compliance Network automation Audit, conﬁgure, and secure your entire network from a uniﬁed platform" Такое вот secure your entire network случилось.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #11 Ответы: #15, #23

13. Сообщение от Аноним (13), 03-Май-20, 22:28	+1 +/–
Слышал немного неприятного о salt насчёт криворукости разрабов, что пакеты ломают, не тестируют и катят в репозиторий. Была проблема с бубунтой 18 (чз кто дров наломал - мейнтейнеры убунты или каноникл). Теперь вот уязвимость. Из альтернатив (папет, ансибл) солт казался самым здравым и простым.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #31, #79

14. Сообщение от Anonim (??), 03-Май-20, 22:41	+1 +/–
Фух, главное исходники не скомпрометированы, собираем сами себе.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #17

15. Сообщение от Аноним (15), 03-Май-20, 22:56	+3 +/–
Всё правильно, любое secure увеличивает attack surface.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12

16. Сообщение от э2 (?), 03-Май-20, 23:27	+5 +/–
На главной странице saltstack слова security/secure встречаются 21 раз На странице ansible - 5 chef - 4 puppet - 2
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #22, #28, #36

17. Сообщение от Аноним (17), 03-Май-20, 23:37	+/–
Ты уверен?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14 Ответы: #27

18. Сообщение от Аноним (17), 03-Май-20, 23:38	+3 +/–
Просто шикарная стратегия: дождаться появления критической уязвимости в SaltStack и эксплуатаровать её
Ответить \| Правка \| Наверх \| Cообщить модератору

19. Сообщение от Аноним (19), 03-Май-20, 23:46	–1 +/–
У них там прошивок сущий мизер, в большинстве для давно устаревших устройств. Т.ч. исходники не скомпрометированы, а остальное не важно.
Ответить \| Правка \| Наверх \| Cообщить модератору

21. Сообщение от Аноним (21), 04-Май-20, 00:30	–2 +/–
чем только не жертвуют, чтобы не юзать pf там, где он нужен...
Ответить \| Правка \| Наверх \| Cообщить модератору

22. Сообщение от б.б. (?), 04-Май-20, 00:33	+1 +/–
oversecured :)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16

23. Сообщение от Sw00p aka Jerom (?), 04-Май-20, 00:38	+3 +/–
About SaltStack SaltStack develops award-winning software used by IT and security operations teams to help modern business more efficiently secure and maintain all aspects of their digital infrastructure.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12 Ответы: #24

24. Сообщение от Страдивариус (?), 04-Май-20, 00:53	+1 +/–
Вот и вин налицо!
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #23 Ответы: #33

25. Сообщение от Consta (?), 04-Май-20, 01:27	–3 +/–
О пользе стандартов ГОСТ 58412, ISO 2700x и регулярном тестировании на проникновение.
Ответить \| Правка \| Наверх \| Cообщить модератору

27. Сообщение от Аноним (-), 04-Май-20, 03:51	+/–
Легко же проверить
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #39

28. Сообщение от КО (?), 04-Май-20, 06:07	+/–
Где-то я это уже видел
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16

29. Сообщение от Аноним (29), 04-Май-20, 06:30	+/–
Ну вот, о критических уязвимостях объявили, а залатать забыли, ну никогда такого не было, и вот опять!
Ответить \| Правка \| Наверх \| Cообщить модератору

31. Сообщение от лютый жабби__ (?), 04-Май-20, 08:19	+1 +/–
>Из альтернатив (папет, ансибл) солт казался самым здравым и простым. Немного ковырял ansible, там никакие порты не должны торчать, всё через ssh.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13 Ответы: #37

32. Сообщение от Онаним (?), 04-Май-20, 08:56	–2 +/–
Девляпсики опять нарвались на оборотную сторону "удобства". "Системы управления конфигурацией" нельзя внедрять так, как это делается каждым вторым девляпсом. Доступ таковой к инфраструктуре должен быть строго ограничен, причём с разделением прав.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #34, #45

33. Сообщение от Адмирал ЯсенБуй (?), 04-Май-20, 08:59	+/–
Выставить CMS голой #опой в интернет? Эпик вин, чо. Безотносительно уязвимостей.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #24

34. Сообщение от Аноним (34), 04-Май-20, 09:32	–1 +/–
Со всей инфраструктурой LineageOS справится один DevOps, не представляю, что там нужно разграничивать
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #32 Ответы: #35

35. Сообщение от Онаним (?), 04-Май-20, 10:13	+/–
Ну вот он и "справился", как девляпсы обычно и делают.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #34 Ответы: #38

36. Сообщение от Fyjy (?), 04-Май-20, 10:58	+1 +/–
Как на Тео де Раадта похоже, блин :-D
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16

37. Сообщение от InuYasha (?), 04-Май-20, 11:12	+/–
>>Из альтернатив (папет, ансибл) солт казался самым здравым и простым. > Немного ковырял ansible, там никакие порты не должны торчать, всё через ssh. Юзали питонсибл корпоративно. Жизнеспособно. Папид в другом месте был, тоже юзабельно, но более требователен к серверам (на больших ЛА могут быть проблемы). Это что навскидку вспомнил. Я бы лично для себя хотел шефа завести, но тоже надо время на изучение (
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #31

38. Сообщение от InuYasha (?), 04-Май-20, 11:14	+/–
> Ну вот он и "справился", как девляпсы обычно и делают. Девляпсов для начала надо нанять. Когда дрочка в одиночку - это вообще другая история.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #35 Ответы: #40