Temat jest prosty(?) Vista, UAC i opinia o nim przedstawiona przez Joannę Rutkowską. A teraz do rzeczy. Najpierw oczywiście mrożący krew w żyłach artykuł o sporze Microsoftu i Joanny Rutkowskiej. Swoją drogą zjeżyło mnie tłumaczenie pojęcia integrity level jako poziom integracji. Temat żyje swoim życiem, pisze o nim nawet Bruce Schneier w swoim blogu. Ale można przeczytać również u źródła, czyli na Invisible Things, a konkretnie tu (Running Vista Every Day!), tu (Vista Security Model – A Big Joke?) itu (Confiusion About The “Joke Post”). A na koniec warto przeczytać to, co napisał Mark Russinovich. ...i w sumie wszystko OK, tylko gdzie ten wielki spór? Gdzie ta ziejąca ogniem dziura w Windows Vista? Teksty Joanny Rutkowskiej i Marka Russinovicha (mimo różnicy zdań, a może właśnie dlatego) są bardzo interesujące i inspirujące. Otoczka wokół jest trochę żałosna... A ja i tak swoje wiem. Pracuję jako “zwykły użytkownik” od lat wielu (tak, dało się na Windows 2000, dało się na Windows XP, tak samo będzie w Vista). Ale i tak wiem, że przed uruchomieniem złego kodu nie uchroni mnie nic, poza mną samym. I to nie tylko w Windows. I ponownie przypomnę o takim pomyśle (Core Forece).
Od pewnego czasu irytowało mnie wyraźne “przymieranie” połączeń TCP po WiFi, szczególnie, gdy siedziałem sobie wygodnie na łóżku z laptopem na kolanach. Po długich zmaganiach chyba doszedłem do przyczyn mojej irytacji. Mam wrażenie, że zachowanie takie spowodowane jest ustawieniami oszczędzania energii w trakcie pracy na baterii. W chwili obecnej zamiast wartości domyślnych poprzestawiałem suwaki w taki sposób, że siedząc sobie na łóżku sesja SSH do obszczymurka jest responsywna i się nie wiesza... Ech, ta nowoczesna technologia. A podejrzewałem, że pf ma problemy ze scrub albo modulate state.
...w którym pobożni kanibale jedzą rybaków. A co robią pobożni rybacy? Jedzą kosmitów! Rybacy z rosyjskiego portu Taganrog wyłowili z morza ufoludka. Nie ma jednak szans na przeprowadzenie przełomowych badań, bo przestraszeni odkryciem rybacy uznali, że najbezpieczniej będzie kosmitę zjeść – informuje “Fakt”.
...jakiś czas zrobiłem sobie IPSec w trybie tunelowym między moim laptopem i AP. Wszystko w tym celu, by zabezpieczyć się przed ewentualnym podsłuchem ruchu WiFi. Niestety, jest jeden, mały problem: You can configure Windows XP as the endpoint of a tunnel mode IPSec connection. However, we do not recommend this. If you use the IPSec connection in tunnel mode, the Windows XP SP2 Windows Firewall feature does not filter any packets that come out of the IPSec tunnel. However, packets that come from other directions are filtered by the Windows Firewall feature.
Wcześniej pisałem, że w trakcie fazy analizy wymagań dla aplikacji webowej i tworzenia jej projektu, warto zdefiniować dokładnie jakie dane będą do niej wchodziły i określić na podstawie tych informacji reguły ich walidacji. Sama walidacja to nie wszystko, bo może okazać się, że w określone pole powinno się dać wpisać wszystko... I wówczas pojawia się kolejne zagrożenie, czyli interpreter injection.
...ja wiem, że nie jestem już młody, ale... Jeszcze nie tak dawno grywałem w ping-ponga. Nie była to może gra na najwyższym poziomie, ale niewątpliwie dawała całkiem sporo frajdy, dwa razy w tygodniu można było się w zimowym czasie porządnie zmęczyć. Niestety, to, jak mi się grało zależało w znacznym stopniu od mojego barku, który po prostu bolał. Z czasem było to na tyle uciążliwe, że zrobiłem sobie (dłuższą) przerwę. Ostatnio na urodzinach znajomego chwilę poodbijałem piłeczkę. Niestety, bark znowu zaczął boleć. Ja rozumiem, że być może z uwagi na różne napoje mój forehand przypominał bardziej prawy sierpowy, ale mimo wszystko...
Wczoraj napisałem, że przy walidacji nie należy stosować “rozwlekłych” wyrażeń regularnych, z uwagi na ewentualne problemy z wydajnością. Dzisiaj na szybko sprawdziłem jak ta teza ma się do rzeczywistości.
Pierwsze miejsce na OWASP TOP10 zajmuje brak walidacji danych wejściowych. Wydawać by się mogło, że sprawa jest prosta do zrozumienia, ale jak się często okazuje – nie do końca. Ponieważ już z niejednym dostawcą na temat walidacji danych wejściowych gorące dyskusje miałem, mogę coś na ten temat powiedzieć. Uwaga – zaczynam :)