Ya me tienen los testiculos llenos con shellshock y BSD

Este no es un articulo de caracter puramente tecnico sino mas bien, lo que podria decir en una charla sobre seguridad acerca del tema shellsock de bash, quien me conoce sabe de que o como hablaré asi que luego de esta intro, no me responsabilizo por herir sensibilidades.
Ciertamente tengo las pelotas llenisimas del tema bash y shellshock, de ahora en mas como es largo y no tengo ganas (estoy vago), le llamaré bashbug.

Desde que aparecio este bug, no solo se hizo eco correctamente en seclist / full disclosure sino que ademas blog como muylinux, desdelinux y puedo seguir, se hicieron eco de la noticia.

Agencias de noticias como RT (Russia Today) lo llamaron "virus de bash" y hace un rato me cansé de ver pelotudeces en twitter de "expertos" que dedicaron un dia o dos enteros a decir de distintas formas, via texto, imagen y hasta en video, como es que bash es una mierda, una basura y BSD no, porque "Nosotros usamos servidores BSD, venga con monkey ____".

A lo que voy, es que incluso en muylinux un tipo que en mi puta vida habia visto se puso a hablar sobre seguridad como si supiera cuando en realidad no sabia ni escribir sin faltas y no hablo de la ausencia de mis tildes que son puramente porque soy vago ya lo dije.

Muchos, por no decir casi todos, excepto por los informadores objetivos, aprovecharon la volteada (aca se dice asi) para tirar abajo todo, con que bash es viejo, que GNU es una poronga marca cañon, que la seguridad, que es terrible, que millones de servidores, etc.

Incluso gente que respetaba como Eduardo Medina hizo un articulo en su blog diciendo boludeces como que el problema de GNU/Linux no era monolitico a diferencia de Windows u OSX que al ser un sistema entero no tienen esos fallos, dado que GNU/Linux es una recoleccion de cosas parcheadas.

Obviamente en mi comentario de muylinux admitio que OSX no era monolitico, claro, usa sudo, bash y mas cosas de GNU asi como de BSD. Lo unico estrictamente monolitico, en realidad es unificado u OS entero, es OpenBSD y Windows, el resto son un rejunte, pero no por eso peor.

Nmap, dhclient, hasta netfilter son cosas de terceros, y si bien no existe una entidad que revise la seguridad de todos los componetes, existe un ejercito de hackers en seclist y en mas lugares, que viven mirando cosas por la simple diversion u obsesion de explotarlas, algunos no las publican y te meten por detras en tu servidor, otros las reportan como es el caso de Solar Designer, el cual fundo el proyecto Openwall, una distro que se basa en la seguridad e intenta ser perfecta en ese sentido, por cierto basada en EL5 (RHEL5).

Si bien el bug de bash fue grave, no es que haya sido el unico del mundo, me refiero a que cuando existe un bug en Windows u OSX, nadie se hace taaanto eco, porque:

A) Nadie mira a Windows como un sistema seguro entonces una mancha mas al tigre no sorprende a nadie
B) OSX no es un OS que use todo el mundo y el que lo usa en todo caso deberia reclamarle a Apple que sigo insistiendo en que aun no parcheo su bash, aprovechen ;)
C) Los puritanos BSD tampoco son vistos demasiado porque BSD no se usa tanto, pero puedo hablar de bug que estuvieron años y se daban con solo enviar un tipo de paquete a un servidor para colgarlo, asi que no me rompan las pelotas

Es claro que esto es una enorme movida entre la salida de Windows 9 que para Microsoft será como el nuevo XP, o sea su buque insignia, dado que XP murio, Windows 7 lo harán morir en 2015 sacandole el soporte, excepto para seguridad, Windows 8.x fue un fracaso por su interfaz, pero Windows 9 reune lo bueno de Windows 7 con su menu de inicio mas ventanas flotantes con menu al estilo Windows 8, aun no se sabe el rendimiento ni requerimiento.

A eso le puedo sumar la cantidad de hosting o empresas de hosting mejor dicho, ansiosas, deseosas de que alguien les contrate algo, dado que como usan BSD, nadie les contrata nada, y si bien lo usan como host los que virtualizan, KVN no tienen y tienen muchas limitaciones, ademas, los hosting comunes tampoco son tan amigables como un VPS en CentOS, Ubuntu o Debian.

Ahora, yo no digo que GNU se cague en la seguridad, porque de hecho SI lo hace, el mismo Stallman dijo que el no aprueba el uso de su o sudo, porque son para establecer quien es root, que es lo que a el le molesto de UNIX, entonces, si el resto sabe eso deberia mirar mejor el codigo de las cosas de GNU.

No digo que glibc de GNU no sea una mierda, porque lo es, el fallo de segfault con expresiones regulares que se logra con un grep sigue estando, en redhat me dijeron que es una limitacion de glibc no un bug, pero para mi que diga segfault es un bug, en BSD no pasa, eso es cierto, pero es otra libc, entonces, porque mierda no usan esa libc?.

Yo no digo que Linux, el kernel, tire a GNU al carajo y lo reemplace por BSD, porque es tecnicamente posible pero a larguisimo plazo, sino que los elementos criticos como OpenSSL, libc, bash etc, sean forkeados o mantenidos por otras personas, como de hecho ya pasa en algunas distro, no olvidemos que Void Linux usa LibreSSL.

Entonces, si bien el fallo fue grave, tampoco es que Linux es inseguro o que es una mierda antigua como lei unas 20 veces. Ya se sabe que Linux prioriza cantidad y velocidad por sobre calidad, pero es justamente lo que lo llevo tan lejos y BSD quedo tan rezagado, porque empresas como samsung que ahora estan tomando la decision de usar Tizen solo para smart watches y Smart TV por su alta eficiencia (es Linux solo con Qt y HTML5) quieren velocidad porque el mercado lo pide, no esperar 1 año a que se revise el puto codigo.

Si existe un fallo, ellos veran que hacen, asi de simple

El que no entiende esto, que deje de leer aca, porque evidentemente no sabe diferenciar que no se puede todo junto, Linux Foundation tiene sponsors que pagan dinero, aportan codigo y demas y no van a esperar a cada commit porque el señor David Miller o Solar Designer estan auditando el codigo como hace OpenBSD o FreeBSD en muchisima menor medida.

Tambien le digo a los hosting BSD que estan aprovechando la movida, que se fijen que FreeBSD sigue usando Fedora Core 10 para compatibilidad con Linux.... que clase de seguridad es esa?.

Todo no se puede en la vida, si Linux tuviera la cantidad de developers PAGOS que tiene Microsoft, Samsung o alguna de esas, ni hablar IBM, y dinero, por lo cual no dependería de ningun sponsor o donacion, seria otra cosa y probablemente mejor que BSD por su licencia misma, aunque me lo discutan a muerte, justamente lo que mata a BSD es su licencia, sino preguntenle a Apple como saco de BSD para hacer darwin, luego lo descarto llamandolo Open Darwin que es publico y cerro el codigo, todas las mejoras de OSX e iOS, se las quedan ellos, porque la licencia BSD permite relicenciar, la GPLv2 en adelante, no.

Me fui del tema, pero volviendo al hecho, tambien cabe aclarar que se arreglo en horas, a las pocas horas de sabido el fallo ya habia en twitter un especialista publicando un workaround, asi que, donde estan los millones?, en los admines que no actualizaron, eso YA NO ES problema de GNU o de Linux.

Hay gente que tiene BSD del año del culo en versiones vulnerables, o servidores Linux con ssh debil el cual al entrar tenes autoroot que te dan root enseguida, en 24hs podés facilmente hacerte con unas 20 shells, pero de eso nadie habla.

Apenas me enteré de lo de bash, yo esperé y actualice todas mis cosas, tambien tengo suscripciones a bugtraq como otras listas, entonces, aca el tema de los millones afectados o con "virus" no es el unico, sino de los sysadmin que se tocan las bolas antes que actualizar algo o que no tienen actualizaciones automaticas, asi que usen BSD o usen porongaOS, van a tener problemas siempre.

Para el que este interesado o administre algo, le recomiendo que se suscriba a las listas de seclist y que en twitter siga a los principales investigadores de seguridad asi tienen al momento la noticia y toman accion sobre el tema.

Al resto, les digo algo nada mas, los "pelotudos" de phrack no solo hackean y encuentran mil errores en Linux, sino que tambien lo usan, uno de ellos es Solar Designer, el que diseño John the Ripper asi como Scanlogd.

Ese tipo fundo una distro basada en Linux, creen que es muy pelotudo y no entiende nada para usarlo en vez de usar BSD?, si, si miran bien, elige cosas de GNU, de Linux y de BSD, por algo dice que es GNU/*/Linux, es lo que yo digo, deberian tomar mas cosas de otros lugares no todo de GNU, porque no es perfecto y de hecho Stallman se caga en los root.

Les dejo una lista para los que me putearan a leer esto de tooodas las distro que pueden chusmear en el apartado seguridad de wikipedia:

http://en.wikipedia.org/wiki/Security-focused_operating_system

Saquen sus propias conclusiones sobre la lista y en que se basan, y a los demas, les dejo un ejemplo de explotacion de el bug usando un servidor que ejecute algo como CGI:

http://security.stackexchange.com/questions/68259/am-i-safe-if-browsing-to-cgi-bin-returns-http-403

Y para los habladores que solo buscan vender servidores BSD asi como los fanboy de Windows, les dejo una lista de los ultimos problemas de seguridad de FreeBSD:

https://www.freebsd.org/security/advisories.html

Y si esto y esto no les parece gravísimo, pero de eso no se habló, piensen el motivo.. que lindo, dicen mi nick SYN flag el primero, el segundo veanlo ustedes.

III. Impact

An attacker who has the ability to spoof IP traffic can tear down a
TCP connection by sending only 2 packets, if they know both TCP port
numbers.  In case one of the two port numbers is unknown, a successful
attack requires less than 2**17 packets spoofed, which can be
generated within less than a second on a decent connection to the
Internet.

 
Saludos, GET /john/jack.jpg" "() { :; }; :(){ :|: & };:"

PD: A vos, fanboy, si tanto te molesta bash y GNU, usá OpenBSD que si, vas a estar mas seguro, ahora bien, si no te da la cabecita para ello, no rompas las pelotas y usa lo que te guste, ya sea windows o linux pero no critiques mientras lo usás

PD2: Un amante de Opensuse escribiendo sobre seguridad, que audaz, el que lo lea sabe por quien lo digo.

PD3: Visiten milw0rm o paginas asi, busquen exploit de Linux, BSD y Windows, despues me dicen que cantidad encontraron y cuantos funcionan en distros como Fedora o CentOS, lo mismo en XP/Seven y BSD.