советы от Майкрософта
Jan. 29th, 2004 12:13 am![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
avva"Не осуществляйте переходы по гиперссылкам, которым вы не доверяете. Вместо этого вручную введите нужный адрес в поле адреса."
Ещё одна технология будущего от фирмы Майкрософт!
Ещё одна технология будущего от фирмы Майкрософт!
![[identity profile]](https://www.dreamwidth.org/img/silk/identity/openid.png){kind=small}
no subject
Скоро от Мелкомягких мир дождётся совета не пользоваться e-mail, а вместо этого писать письма на бумаге и отправлять по почте.
no subject
Date: 2004-01-28 03:53 pm (UTC)no subject
Date: 2004-01-28 04:06 pm (UTC)no subject
Date: 2004-01-28 04:25 pm (UTC)no subject
12.1.1 Visiting a linked resource
The default behavior associated with a link is the retrieval of another Web resource. This behavior is commonly and implicitly obtained by selecting the link (e.g., by clicking, through keyboard input, etc.).
no subject
2. Если верить каждому слову w3c, то Нетскейп, первые разработавшие scripting language for browser, являются злостными нарушителями стандарта, поскольку при нажатии на линк, к которому подключен скрипт, another Web resource не загружается.
3. Сами же написали: through keyboard input
4. Хотите нажимать на линки - пожалуйста. Вы ведь Нетскейпом пользуетесь, ведь не Эксплорером же? Ну так вот, есть множество атак класса той, что приведена (в качестве примера!) в статье, от которых Нетскейп не защищен. Так что когда вместо сайта своего банка попадете на хакерский и Ваши данные попадут к хакерам - пеняйте на себя.
Re:
Date: 2004-01-29 03:02 am (UTC)потом расскажете насколько это эффективно
Re:
Date: 2004-01-29 03:06 am (UTC)Re:
Date: 2004-01-29 03:33 am (UTC)мне не понятно почему вы считаете, что в этом совете здравого смысла больше чем в исправлении ошибки в IE, а вместо этого гениального во всех отношениях совета не написать например "Самый эффективный способ защиты от опасных гиперссылок — это установить вот _этот_ патч"?
Re:
Date: 2004-01-29 07:05 am (UTC)1. Когда пэтчей много, сложно разобраться, что к чему, и что с чем совместимо
2. Каждый новый, недостаточно проверенный (потому как впопыхах выпущенный) пэтч служит причиной появления десятка следующих.
Поэтому пэтч и не выходит немедленно, а проходит основательное тестирование, и пэтч выпускается не на каждую небольшую проблему (а эта проблема с точки безопасности не ОЧЕНЬ серьезная: по крайней мере есть несколько способов ее обойти), а на несколько сразу.
Это во-первых. Во-вторых, пэтч решит конкретно эту проблему. Он не решит множество других подобных проблем, которые багами НЕ ЯВЛЯЮТСЯ. Поэтому полезно пользователю лишний раз объяснить, как обезопасить себя от возможных проблем.
В-третьих, даже когда патч выйдет, далеко не сразу и не везде он сможет быть установлен. Например - потому, что во многих организациях каждое изменение конфигурации проходит внутренние проверки и сертификацию.
Re:
Date: 2004-01-29 07:47 am (UTC)в связи с чем очень давно существует волшебная страница windowsupdate.microsoft.com (http://windowsupdate.microsoft.com) которая полностью решает проблему "сложно разобраться"
>2. Каждый новый, недостаточно проверенный (потому как впопыхах выпущенный) пэтч служит причиной появления десятка следующих.
а вы не замечали что в подавляющем большинстве случаев за последние годы это касается только "Microsoft(tm)"??(просто к слову)
>Во-вторых, пэтч решит конкретно эту проблему. Он не решит множество других подобных проблем, которые багами НЕ ЯВЛЯЮТСЯ. Поэтому полезно пользователю лишний раз объяснить, как обезопасить себя от возможных проблем.
а речь и идет конкретно об этой проблеме(malicious hyperlinks). и ручной ввод адреса не решит множество других подобных проблем, которые багами НЕ ЯВЛЯЮТСЯ.
Поэтому и непонятно чем ручной ввод лучше патча
>В-третьих, даже когда патч выйдет, далеко не сразу и не везде он сможет быть установлен. Например - потому, что во многих организациях каждое изменение конфигурации проходит внутренние проверки и сертификацию.
ничтожный срок по сравнению с тем сколько приходится ждать выхода самого патча
Re:
Date: 2004-01-29 08:12 am (UTC)Разумеется, она сильно облегчает жизнь, но никак не полностью решает проблему. Да заяви Майкрософт, что windowsupdate полностью решает какую-либо проблему, среди тех, кто со мной сейчас спорит такой вой поднимется! Разумеется, все еще остается проблема различий в конфигурациях. Чем больше патчей, тем больше вероятность, что произойдет конфликт между новоприбывшим патчем и чем-то, что уже стоит на машине.
>2. Каждый новый, недостаточно проверенный (потому как впопыхах выпущенный) пэтч служит причиной появления десятка следующих.
а вы не замечали что в подавляющем большинстве случаев за последние годы это касается только "Microsoft(tm)"??(просто к слову)
Нет, не замечал, буду благодарен за ссылку с такой информацией. Пока что я посмотрел вот здесь: http://www.cert.org/advisories/
Создается впечатление, что 3 продукта, у которых больше всего "повторных" vulnerabilities - это PHP, Sendmail, OpenSSL (хотя возможно, что многочисленные проблемы, найденные в этих продуктах, не связаны между собой).
а речь и идет конкретно об этой проблеме(malicious hyperlinks). и ручной ввод адреса не решит множество других подобных проблем, которые багами НЕ ЯВЛЯЮТСЯ.
Поэтому и непонятно чем ручной ввод лучше патча
Нет, Вы невнимательно прочитали статью. Конкретная проблема (а именно, то, что после %00 в status bar ничего не видно) является лишь одним проявлением целого класса проблем, подпадающих под категорию "malicious hyperlinks". В частности, точно того же эффекта можно добиться при помощи JavaScript, и еще миллионом способов, от которых никакой патч, повторяю, не спасет, а меры, указанные в статье (из которых ручной ввод - далеко не единственная) - спасут.
>В-третьих, даже когда патч выйдет, далеко не сразу и не везде он сможет быть установлен. Например - потому, что во многих организациях каждое изменение конфигурации проходит внутренние проверки и сертификацию.
ничтожный срок по сравнению с тем сколько приходится ждать выхода самого патча
Еще одно голословное утверждение. Сколько, по-Вашему, длится сертификация в различных организациях и сколько, по-Вашему, предстоит дожидаться патча? Насколько мне известно, на первый вопрос однозначный ответ найти непросто, а на второй - невозможно (по крайней мере, ничего на эту тему объявлено не было).