О взломе Linux Mint: а адекватны ли вообще пользователи Mint?
На днях хакер по кличке Peace легко взломал форум фанатов Linux Mint и сделал сразу две гадости: во-первых, протроянил установочные образы ISO, во-вторых, слил базу данных форума. И неизвестно еще что хуже: Mint с бэкдором внутри хоть и опасен, но его успело скачать не так много людей. А вот база форума содержала свыше 70 тыс. записей с логинами, паролями, адресами почты и персональной информацией. И эти данные уже продаются в даркнете за $85. Что же, бывает. Но гораздо интереснее другое — реакция фанатов Mint на случившееся.
Казалось бы, стоит задать себе такой вопрос: если мосье Лефевр не в состоянии обеспечить безопасность, то что мешает взять Ubuntu или Debian, самостоятельно установить Mate или Cinnamon и получить тот же Mint, только из более надежного источника? Если дилетант поставил под угрозу безопасность ваших данных, то разве это не сигнал к тому, чтобы держаться от таких профи подальше?
Но реакция получилась совсем иной. Фанаты Mint восприняли взлом, как... подтверждение огромной популярности Mint на десктопе. Характерная цитата с одного из фанатских сайтов:
Хакеры взламывают только, что приносит дивиденды. Раньше Linux не ломали вообще, потому как пользовались им лишь очень немногие и усилия на взлом не оправдывались. Друзья, случилось знаменательное событие: Mint наконец-то взломали! Кто-то расстроится, а я рад! Это подтверждение того, что Linux становится таким же популярным, как и Windows. Ура!
Кроме самого факта взлома, публика активно обсуждает опубликованные цифры и видит и в них повод для гордости:
1 000 загрузок. Именно столько человек скачали инфицированный ISO за то время, пока взлом оставался необнаруженным (около суток). «Аналитики» сразу подсчитали примерное количество загрузок Mint в год. Получилось около трети миллиона. Только Mint. Представляете, сколько загрузок будет вместе с Ubuntu, Debian и т.д.? Кто после этого скажет, что у Linux низкая популярность? Уж точно больше, чем у Windows 10.
71 000 зарегистрированных пользователей. Таким образом, форум Mint представляет собой одно из крупнейших IT-сообществ в мире. Тоже можно гордиться.
Вопросы для внеклассного обсуждения
- Взлом сайта, подмена ISO, слив базы форума. Насколько это вообще серьезное событие? Будет ли оно иметь какие-нибудь последствия?
- Как бы вы поступили на месте пользователя Mint?
- Есть ли повод для гордости?
Комментарии
Чингачгук
24 февраля, 2016 - 07:08
Взломали не Минт систему а сайт.. это же разные вещи правильно? я бы сказал что БЫВАЕТ и все дела.
Чингачгук
24 февраля, 2016 - 15:30
Ну так поставь себе тогда. Инфицированный бинарник уже выложили на файлопомойку. Скачивай и наслаждайся, раз Mint не взломали.
Чингачгук
24 февраля, 2016 - 07:16
Какая интересная статейка пингвин клюет пингвина
Чингачгук
24 февраля, 2016 - 07:26
Все ломают рано или поздно. Если тебя не ломают, значит ты, возможно, еще никому не нужен :)
Я использую LMDE (Mint на Debian), радости у меня эта новость не вызвала, скорее наоборот...
Что пароль от форума ушел — да пусть подавятся, у меня они генерируются иногда каждому сайту — свой пароль (в этом случае так и вышло). На тот mail, указанный в регистрации и так идет спам — он для спама и создан :)
На Debian ставить Cinnamon то можно, только сам Debian установщик дурацкий, а еще он избегает проприетарных драйверов — проблема всегда определить WiFi на компах (надо пихать флешку с заранее скачанными firmware для wlan карточек. Дебилизм такой в Дебиене, я считаю.
Чингачгук
24 февраля, 2016 - 10:43
Поддерживаю данный комментарий, все по-делу.
З.Ы. В минте, в отличие от других дистрибутивов, никогда у меня не было проблем с драйверами или определением оборудования.
Nemial
24 февраля, 2016 - 19:17
Это вы [спам] Linux еще не пробовали.
Чингачгук
24 февраля, 2016 - 19:19
И не попробуем. Спасибо, нам и Минта хватило.
Nemial
24 февраля, 2016 - 19:21
А, вот это зря. Потому что, [спам] будет намного лучше Mint
Чингачгук
24 февраля, 2016 - 19:29
Cпам от фаната никому не нужного миллионного дистрибутива Linux. Где факты? Чем лучше? Где подтвержденные преимущества?
Nemial
24 февраля, 2016 - 19:49
Вот факты http://liberatum.ru/blog/obzor-rosa-desktop-fresh-r5. И можно самому опробовать live образ Rosa
Чингачгук
25 февраля, 2016 - 18:22
Это не факты.
Nemial
25 февраля, 2016 - 20:20
А что и что тогда по-вашему факты? И как я уже говорил хотите фактов, попробуйте живой образ росы
Чингачгук
25 февраля, 2016 - 23:02
Примеры фактов:
В Африке жарче чем в Арктике;
Зимой заяц белый, а летом серый;
Килограмм пуха и килограмм гвоздей весят одинаково...
Пару лет назад пробовал, не понравился. Почему, не помню. Выяснять не хочу.
Факт заключается в том, что кому-то что-то очень нравится, а кому-то, не очень.
В статье по ссылке отражено субъективное мнение автора, и только.
Texnoline
28 февраля, 2016 - 12:34
про инерционные и гравитационные массы слышали!? Так, что это уже не факты...
Субъективизм- есть у любого автора, в зависимости от его эго!;)
comrade
28 февраля, 2016 - 12:53
Что-то Вы загнули – "про инерционные и гравитационные массы" (-:
Всё гораздо проще: У килограмма пуха будет гораздо больший объём, соответственно больше будет подъёмная сила в воздухе (будет малость "всплывать":-), и вес – меньше.
(Точнее, раз весы проградуированы в "килограммах", а не в ньютонах, то взвешенный в атмосфере "килограмм" пуха в вакууме окажется тяжелее "килограмма" гвоздей!)
Так же и про остальные "истины". Они истинны только в среднем, так-скть в первом приближении:)
Виды зайцев, наверняка, разные бывают – в тёплых краях им белая шкура без надобности.
В Арктике (т.е., за Северным полярным кругом) и в Антарктиде летом бывает достаточно тепло, в Арктике > +20°, а в Антарктиде только что > +17° зафиксировали. В Алжире и ЮАР зимой бывает холоднее.
Lessa
28 февраля, 2016 - 13:09
"(будет малость "всплывать":-), и вес – меньше." рукалицо))
comrade
28 февраля, 2016 - 13:20
Килограмм – это мера массы, а не веса. Как Вам хорошо известно из курса физики средней школы (-:
И, хотя весы у нас проградуированы в "килограммах", всё равно одинаково не получится! Тогда мы, при одинаковом весе, пуха больше навешаем по массе.
Чтобы более-менее одинаковую массу взвесить, надо гвозди и пух при взвешивании класть в герметичные ёмкости одинаковых объёмов, и воздух оттуда откачивать.
(Попробуйте, к примеру, взвесить килограмм гвоздей и килограмм дерева под водой... ;–)
Чингачгук
28 февраля, 2016 - 14:07
Если учитывать плотность среды
Чингачгук
28 февраля, 2016 - 17:57
Ну так зайдите в ближайший продуктовый магазин и объясните продавцам, что весы, на самом деле не вес взвешивают, а массу измеряют. И вообще, весы называть весами — признак необразованности. :))
Чингачгук
28 февраля, 2016 - 18:16
Чингачгук
28 февраля, 2016 - 18:17
поправка:
Так-то оно так, да тока в повседневной жизни, мы чаще измеряем вес в килограммах, а не ньютонах. ;-)
comrade
28 февраля, 2016 - 18:35
Так я вроде оба варианта рассмотрел: и килограммы – массы, и "килограммы" веса?:)
Чтобы окончательно всё "прояснить", предлагаю разогнать продавца с весами, пухом и гвоздями до скорости, близкой к скорости света – чтобы ещё учесть эффект релятивистского увеличения массы.
:-)
Чингачгук
28 февраля, 2016 - 18:18
Попробуйте в серной кислоте.
comrade
28 февраля, 2016 - 18:32
Это уже химия начнётся. Вы все науки сразу решили охватить?
Ну, просто, Леонардо-да-Винчи... Уважаю, уважаю!
Чингачгук
28 февраля, 2016 - 19:28
Вам наверное никто не сказал что вода состоит из атомов кислорода и водорода? Советую заглянуть в таблицу химических элементов Менделеева.
comrade
28 февраля, 2016 - 20:07
Так я и говорю, что Вы грамотный чел!
Заглянули в таблицу химических элементов, и сразу поняли, что кислород и два водорода в воду могут объединиться...
Чтобы по таблице Менделеева предсказывать химические соединения, скилл у Вас должен быть неплохой (-;
Чингачгук
28 февраля, 2016 - 17:47
Кажется, писали:зимой заяц белый. Зачем вы зайца подменили?))
Lessa
29 февраля, 2016 - 15:40
он может и фанат, но с Вами еще хуже, не нужно ходить на форумы линуксоидов и тратить свое время на разговоры о "никому не нужных" дистрибутивах..
Чингачгук
25 февраля, 2016 - 20:36
не согласен(не совсем) так как дистры разные, не надо rpm сравнивать с deb'ом. Все имеет право на жизнь — но поход в использовании разный;)
зы: минут если и сравнивать — то только с "deb дистрибутивами", а так вы не правы — рпм база рпм, а дыб это деб — про а-ля ленту вообще не говорю;)
Чингачгук
25 февраля, 2016 - 20:37
не хрена себе=)) меня мак ос(на лету поправила)
Чингачгук
25 февраля, 2016 - 20:39
На Линуксе у меня нет таких траблов;) — максимум красным подчеркнёт слова — НО! мак это же мак(сраный эпэл) луче меня знает что надо писать.. гадёныш
Чингачгук
24 февраля, 2016 - 07:54
Это показывает как легко внедрить вредоносный код в дистрибутив. В вроде хотя бы никто кроме Майкрософта ничего не внедрит
Platon
24 февраля, 2016 - 12:40
Взлом форума — это репутационная проблема для владельца ресурса, поскольку система безопасности ресурса оказалось не продуманной, административная консоль форума давала доступ на внесения изменений к FTP-серверу с образами дистрибутива, а уязвимости оказались не замечаны и как итог, утекли данные пользователей и основной источник дистрибутивов был серьезно скомпроментирован подменой/модификацией.
Но это еще большая проблема для наивных пользователей с короткой памятью, речь о тех кто использует 1 официальный(зарегистрированный на реальные паспортные данные) почтовый ящик паралельно, и для обыденной деловой коммуникации, и для регистрации на различных ресурсах (форумы, блоги, социальные сети, новостные сайты и т.п.).
Особенно печально, когда индивидум не может запомнить всю вариативность своих логинов и паролей, поэтому применяют один-единственный логин/пароль везде: на всех интернет-ресурсах, этот же логин/пароль на ОС и в онлайн-банкинге — вот тогда начинается истинный шухер - ценность слитой БД именно в нахождении такого единообразия.
Да, запонить разные пароли и логины — сложно, особенно, когда используется несколько десятков ресурсов, но есть простое решение — офлайновый менеджер паролей — от вас требуется запомнить только один-единственный пароль(от контейнера его БД) и храните все явки-пароли в нем, дополнительной полезной опцией менеджеров паролей является встроенный генератор паролей, поскольку сгенерированные пароли имеют большую криптостойкость, а проблему введения длинного и сложного пароля ИМХО оптимально компенсирует возможность настроить автоматический ввод непосредственно из менеджера паролей. Осмелюсь порекомендавать, хорошо зарекомендовавший себя, кроссплатформенный менеджер паролей - KeePassX или KeePass (несмотря на схожесть названий это разные направления разработки).
Заведите обезличенный (зарегистрированный на псевдоним) почтовый ящик специально для регистрации на интернет-ресурсах.
Чингачгук
24 февраля, 2016 - 15:32
Как может оказаться непродуманным то, чего нет? Это каким надо быть мудаком, чтобы ISO выкладывать на том же сервере, где работает форум? Форум — это PHP, дыры, SQL-инъекции и т.д. Кто мешал на отдельном хосте поднять один только FTP и заливать исошки туда?
Sunrise
24 февраля, 2016 - 16:04
Вообще-то, там подменили ссылку на образ, а не сам образ.
pomodor
24 февраля, 2016 - 17:05
Согласен с анонимусом. ISO нужно располагать на доверенном поддомене на отдельном сервере. И там только Very Secure FTP и больше ничего. Как это делают все нормальные линуксоиды:
А Лефевр — фантастический ламер.
Чингачгук
24 февраля, 2016 - 09:10
Хрен знает, конечно не приятно что форум(сайт взломали) — тут самое критичное что база с данными пользователей ушла(так как примерно 8-9 из 10 людей используют один и тот же пароль на всё).
А в остальном детский лепет, сколько сборок вантуза маловарного по инету лежит О_о(кстати по этому и цепляются люди за возможности скачать исошку той же винды с сайта макрософт).
зы: ИМХО для меня "хорошая работа", это взломать "головную" репу и там заменить пару тройку популярных пакетов на протрояненые — вот тогда бы да это было бы событие.
Чингачгук
24 февраля, 2016 - 12:04
В Debian уже включен cinnamon и mate, можно выбрать во время установки. Или скачать готовый лайф образ с cinnamon или mate.
Можно конечно и в ubuntu сунуть cinnamon, но нет никакой гарантии что будет работать, об этом сами убунтоводы говорят. Да и нафик нужна глючная убунта с cinnamon, если минт отлично пашет?
С debian тоже самое, нет гарантий что последний cinnamon заработает как надо.
Ваш совет, мимо. Остаюсь при своем мнении.
Lessa
24 февраля, 2016 - 13:53
Как уже правильно сказали, сам минт никто не взломал. Что мешает поставить корицу на другой дистр? Мне — ничего кроме глючности корицы, ставила — жалею о потерянном на нее времени.. Конечно, простому обывателю, который меняет дистр только ради другого окружения, данная ситуация это большой плевок в огород линукса.. Им по большому счету плевать каким образом троян оказался в их системе, они просто сделают вывод, что системы на линукс не так уж надежны..
woller
24 февраля, 2016 - 14:09
А почему собственно взломали. Админский пароль мог уйти совершенно случайно, как было уже много раз продемонстрировано в всякого рода репортажах, публичных фото и т.д. с засвеченными логинами и паролями.
Недавно сам находясь на презентации в одной государственной конторе по контролю и ХХХХХХ за ХХХХ. Имел счастье любоваться засвеченным логином и паролем от их сайта со всей регистрационной информацией на российские организации занятые в сфере ХХХХХХ. Логин и пароль оказались частью адреса и были дважды скопированы в соответствующие поля на экране медиа проектора.
Чингачгук
24 февраля, 2016 - 18:56
Если не ошибаюсь, то ломали и более серьёзные конторы, включая kernel.org. Так что всякое бывает. Зачем тут злорадствовать, не понятно — будто муха на говно села и жужжит.
Чингачгук
24 февраля, 2016 - 18:58
Где ты тут злорадство увидел, чудило? А за ISO с трояном нужно этого лефевраста в шею гнать из профессии. И сочувствующих типа тебя тоже.
Чингачгук
24 февраля, 2016 - 19:15
Никто и ни что ни вечно -Ваш Линь :) уйдёт с арены когда придёт его срок и он близок
Чингачгук
24 февраля, 2016 - 19:18
Linux имеет таких "предсказателей" уже 2 десятка лет. ;)
Чингачгук
24 февраля, 2016 - 19:25
Когда там первый раз объявили год линукса на десктопе, в 1999 вроде?
Чингачгук
24 февраля, 2016 - 19:32
Кто объявил? Дурачье типа тебя? Нормальные пацаны ничего не объявляли, а просто тихо пользуются классной ОС, пока такие бараны как ты сидят на дырявом вантузе и почему-то обсирают Linux.
Чингачгук
24 февраля, 2016 - 23:38
ZDNet, Linux Magazine, Slashdot, Express Computer и так далее. Знакомые слова?
Ты только анально упоролся или ещё и по вене пустил?
Чингачгук
24 февраля, 2016 - 23:46
Сразу видно — интеллектуал к нам пожаловал. Типичный пользователь вантуза. ;)
Чингачгук
24 февраля, 2016 - 19:25
Подоплёка дела такова что -это не предсказание это реальное будущее И там место Вантузу не будет как и Линю :) тоже
Чингачгук
25 февраля, 2016 - 18:53
Так будут звать бьющихся на дубинах вождей враждующий племён.
Чингачгук
25 февраля, 2016 - 11:24
Взломали сайт, при чем тут сам Mint? Как пользователь Mint я не стал делать ничего, так как скачал образ, с которого установлена система, задолго до обсуждаемого события.
Чет вы тут это... Зря страсти нагнетаете, ИМХО.
Чингачгук
1 марта, 2016 - 21:51
Подскажите пожалуйста, помогите, это очень важно, у меня огромные проблемы!
Мне пришлось скачать и много пользоваться Linux Mint как раз именно в эти дни. Я качал его 23 февраля по ссылке mirror.yandex.ru/linuxmint//stable/17.3/linuxmint-17.3-cinnamon-32bit.iso
Это зеркало на загрузку мне выдало с сайта blog.linuxmint.com/?p=2947
Я был заражен? Там вроде речь только о подмене на главном сайте и бразильские серверы?
Невозможно всё полностью удалять, только саму ось и образ я удалил.
Столько работы пропадет, как и замена всех паролей!
И по какой причине мне вообще не доступны сайты linux mint? Их мне блокирует роскомнадзор с 25 февраля!
Я вообщем в шоке! Вот вам и линукс, больше никогда!
Чингачгук
1 марта, 2016 - 21:54
Пожалуйста гуру ответье
Чингачгук
1 марта, 2016 - 22:11
Писали же, что протрояненные дистры качались 1 день, 20 февраля.
Сверь контрольные суммы, если есть сомнения.
Чингачгук
7 марта, 2016 - 00:07
Тот дистр, что был скачан, был сразу удален, сейчас там вроде все совпадает. Если смотреть, то на этот ftp данный дистр вообще был залит в 2015 году. Но подозрение, что яндекс иог быть фейком, какие зеркала были заменены в тот день на зараженные, все что-ли?
Комментировать