Haavoittuvuuksia Mozilla, Firefox ja Thunderbird -ohjelmistoissa

Tarkoitat ilmeisesti daimonin ideaa? Okei, tässä lyhyesti: luot uuden käyttäjätilin, sitten loggaat siihen käyttäjään (joo, voit logata sisään useampana käyttäjänä), ja sitten joko asennat firefoxing järjestelmälaajuisesti tai vain sille käyttäjälle ja rajoitat sen käyttäjän oikeudet vain siihen firefoxiin ja omaan kansioon. Tuskin on tarvetta automaattiselle työkalulle.

No yksinkertainen fakta on se että oman tietokoneen turvaaminen mahdollisimman hyvin vaatii hiukan työtä ja se vaatii hiukan konfaamista ja hiukan oma-aloitteisuutta. Toivoisimme kaikki ettei meillä olisi krakkereita, viruksia, skriptikakaroita, yms mutta valitettavasti on. Ja niiltä kaikilta suojautuminen vaatii hiukan töitä. Jos haluaa välttyä tältä ongelmalta, pidä koneesi poissa verkosta.

Samoin sitten teet sen kuvakkeen työpöydälle joka sallii tämän käyttäjän näyttää sinun X:ssäsi ohjelmaa, vaihtaa käyttäjätunnuksen siihen ja ajaa selaimen. Kyllä todellakin on tarvetta automaattiselle työkalulle, tuo ei todellakaan keneltä tahansa suju antamillasi ohjeilla yhtään mitenkään. "Mitkä oikeudet? Miten missä HÄ?" tulee ensimmäisenä jos nuo ohjeet lukee moinen.

Saman voi halutessaan tehdä vaikka XP:henkin muuten.

No en oikeastaan kirjoittanut ohjeita, vain nopean kuvauksen miten tuon voisi tehdä. Mutta lyhyesti kyseessä on ihan minkä tahansa käyttöjärjestelmän perustyökaluista; käyttäjien luontia, ohjelmien asentamista, ja oikeuksien määrittämistä. Näiden ei pitäisi olla vaikeita asioita, vaikka varmasti suurinosa kotikäyttäjistä niistä ei paljon tiedä. Mielestäni tietokoneet tarvitsevat vähemmän automatiikkaa, esim. Windowsissa suurinosa asioista on jo tehty harvinaisen helpoiksi ja monet linux asiatkin ovat aika helppoja. Automatiikan sijaan tarvitsisimme enemmän osaavia käyttäjiä, enkä nyt tarkoita bitti nikkareita ja nörttejä vaan kotikäyttäjän perusosaamisen nostamista, edes hitusen. Tietokoneet ovat levinneet, laajakaistaliittymien kanssa laajalle alueelle mutta niitä käyttävien ihmisten osaaminen on tekniikkaan nähde melkein nolla.

Uusien työkalujen luonti on melkein merkityksetöntä jos enemmistö käyttäjistä ei edes ymmärrä miksi ne luotiin. Automatiikalla on etunsa mutta liika automatiikka tekee käytäjistä tietämättömiä ja laiskoja. Mitä monimutkaisempia asioita yritämme automatisoida sitä suuremmalla todennäköisyydellä automaatiikka epäonnistuu tehtävässään.

Tuota. En ole hetkeen tarkistanut, mutta osaako KDE/Gnome/muut softat kauniisti määrittää käyttäjälle tuon "anna ajaa vain Firefoxia"-osan? Tai edes helposti hakemistoa napsauttelemalla sanoa, että nämä gruupit saa tehdä näitä, nuo ei saa tehdä noita ja nämä käyttäjät voi tehdä näin? Viimeksi kun tarkistin ei tällaisia helppouksia vielä ollut olemassa.

Tässä ei voi eri mieltä olla millään. Popularisoituminen on suuri ongelma, mutta minkäs teet. Elitismiksi menee jos alat jotain sääntöjä vääntää ja sitten syytetään vaikka mistä. Pitäähän tavallisen kansalaisen päästä tekemään mitä tahtoo ja samalla vähän häiriköimään muita verkon käyttäjiä. Eihän se niitä näe missään, ei sen tekemiset niitä haittaa.

Ei tarvita uusia työkaluja vaan se uusi nappi joka hoitaa hommat. Suurimmalle osalle ei liene merkitystä ajautuuko se selain samalla käyttäjällä, mutta eipä se pahasta olisi vaikka vakiona tietyt ohjelmat ajautuisivatkin eri oikeuksilla. Helpointa olisi kun voisi ohjelma heittää oikeuksiaan pois, mutta tällä hetkellä helpompaa vain ajaa rajoitetuilla oikeuksilla. Itse en ole vaivautunut, vaikkakin voisi ihan hyvä lisäturva ollakin.

En voi sanoa että olisin itsekkään tarkistanut, kun itse nautin olostani fluxbox:ssa ja kaikki järjestelmä konfaukset teen komentoriviltä, lukuunottamatta softia joilla on omat työkalut asetusten muokkaamiseen, esim. firefox, openoffice, jne. Ainoa resurssinhallintaa muistuttava softa jota käytän on midnight commander. Mutta luulisi että erilaisissa resurssinhallinta työkaluissa (kuten nautiluksessa) olisi oikeuksien muokkaamiseen olisi helppo toiminto hiiren oikeaa korvaa klikkaamalla. Jos ei ole niin olisi kyllä aika sellainen tehdä.

Miten tuon että saa ajaa vain firefox:a voisi tehdä, voisi esim. tehdä käyttäjän, joka ei kuulu mihinkään ryhmään, tai ei ainakaan vakioon users ryhmään, ja sitten asentaa sen käyttäjän kotihakemistoon firefox:n. Ko. käyttäjällä ei siis ole oikeuksia muualle kuin omaan kotihakemistoonsa ja niin kauan kuin siellä ajetaan vain sitä firefox:a niin ei siellä ole mitään tärkeetä.

Ja tosissa väität jonkun 40-vuotiaan koskaan konetta käyttäneen tuon osaavan? Mitä jos asennankin vain Winkkarin, pistän päivitykset päälle ja virusturvan sekä palomuurin joka päivityy automaattisesti ja sisältyy laajakaistan hintaan. En vieläkään ymmärä jos se muka on niin helppo ja hyvä asia miksei se sitten ole vakiona ja automaattinen. Minusta PC-koneiden käytettävyyden parantuminen on suurin syy hinnan ohella siihen miksi ne on yleistynyt niin nopeasti. Se että nyt aiotaan ampua käytettävyyttä jalkaan tietoturvalla on tyhmää.

Niinpä, pointti on vaan siinä että tuo alkaa olemaan jo niin ylivedetty ratkaisu. Helpompaa onkin vain suhtautu realismilla näihin uhkiin ja todeta ettei jokainen niistä satu omalle kohdalle. Tietoturvaa minusta edelleenkin paisutellaan aivan järjettömästi ja sitä ei ymmärretä oikein.

En yritä, mutta olen sitä mieltä että pitäisi osata (katso mitä kirjoitin yllä feenixille).

Tämä on vakio joka pertin asennus kotitietokoneessa. Ongelmana on vain se että kun jokin menee rikki (niin kuin tietokoneissa aina menee) niin joka pertti ei osaa korjata asiaa, eikä automaatiikka osaa korjata itseään. Jos joka pertti taas osaisi korjata vian, hän luultavasti selviäisi myös ilman automatiikkaa, jolloin taas en tiedä kuin hyödyllistä se automatiikka sitten oikeastaan on.

No ongelmana on myös se että softan/laitteen on palveltava useita erilaisia käyttäjiä; laidasta laitaan. Toiset haluavat automatiikkaa, toiset ei. Toiset haluat että asia A toimii näin ja toiset haluavat että se toimii noin. Olen jos selittänyt pitkälti miksi en itse luota paljon automatiikkaan ja miksi mielestäni on epäviisasta tuudittautua siihen että automatiikkaa olisi ratkaisu esim. tietoturva ongelmiin. Ongelmat kasvavat ja muuttuvat aina monimutkaisemmiksi, jolloin automatiikan lisääminen on laastarin laittamista, jo paikalla olevien, laastarien päälle.

Tässä ole samaa mieltä, mutta valitettavasti tietoturva on suhteellisen monimutkainen asia, eikä siitä pääse yli yksinkertaisilla työkaluilla. Ja jos pääseekin, niin ko. yksinkertainen työkalu on yksinkertainen vain niin kauan kun sitä ei tarvitse konfata, mitä yleensä aina jossain vaiheessa on tehtä, syystä tai toisesta.

No, en tiedä kuinka paisuteltu asia se on. Minusta tuntuu ettei yksikään ratkaisu mitä luomme koskaan auta vaan ongelmat vain muuttavat muotoaan ja tulevat isommiksi. Siitä olen samaa mieltä ettei ongelmaa ymmärretä oikein, mutta eri näkökulmasta; minusta kulutamme liikaa aikaa ja vaivaa paikkaamaan ongelmaa, kun ongelmasta pitäisi hankkiutua eroon.

Mutta jotain olisi syytä voida tehdä myös hankalalle tietoturvalle. Ajokortinkin saa ilman että osaa korjata autoa, tietokonetta tarvitsee nykyään vähän joka duunissa ja lisäksi myös normaalielämä (onko sitä?) helpottuu kun on nettipankki, saa hakemuksia netisä, voi ostaa netin kautta käytettyä tavaraa (tai uutta), jne. Mielestäni ei _voi_ vaatia että jokainen peruskäyttäjä hallitsee tietoturvan, joka on varsin abstrakti asia peruskäyttäjän kannalta. Kun peruskäyttäjä ei tiedä mitään edes eri käyttäjätasoista, niin mitä sitten hänelle sanovat auki olevat portit, taikka edes sähköpostimato... Siis lähinnä peräänkuulutan ohjelmistojen tekijöiltä parempaa tietoturvaa oletuksena. Tottakai kaiken voi kiertää, mutta vähän pitäisi rimaa nostaa.

No ehkä paremmat softatuotteet on liian paljon vaadittu, kun eivät kuluttajatkaan sitten halua kauheasti maksaa ohjelmistaan...