On 23.04.2010 16:07, sysdev wrote:

>>>> Точно... nginx-0.5.20-alt2.i586.rpm идет в составе сертифицированного
>>>> набора.
>>>> Спасибо...
>>>>
>>> Не забудьте про патчи с http://sysoev.ru/nginx/download.html, если их
>>> нет в сборке.

>> Интересная дискуссия. Можно пояснить вопрос? Я правильно понимаю, что
>> если накатывать официальные патчи разработчика пакета (не
>> дистрибутива) на исходники взятые из сертифицированного дистрибутива,
>> то это не наружает действие сертификата?

> Это его отменяет. В если слегка обобщить, сертифицируется определенная
> сборка и конфигурация, которая и проходила тестирование. То есть чтобы
> выполнить требования не достаточно просто иметь сертифицированное ПО, а
> еще необходимо выполнить требования по конфигурации.

> На примере виндов, то ты покупая сертификацию ранее сделанную, получаешь
> определенный билд всех програмных продуктов и описание конфигурации, как
> это все должно быть настроено, чтобы было безопастно (типа доступ к IIS
> обязательно по SSL, определен перечень открытых портов и так далее).
> Если что-то из этого (требований по конф. или билды продуктов) не будет
> выполнено, все хозяйство считается не окредитованным по безопасности.

если не установить патчей из http://sysoev.ru/nginx/download.html
то такая система будет гарантированно уязвима "по безопасности".

возможно проблему можно будет решить, сертифицировав более
новую версию ALT Linux, в которую включен nginx со всеми
патчами, которые закрывают известные на сегодня уязвимости.

с виндами еще более интересная ситуация - там каждый месяц
выходит пачка апдейтов, которая закрывает по 5-10-15 новых
уязвимостей со статусом critical и комментарием к каждому
"The vulnerability could allow remote code execution..."

--
Best regards,
Gena


_______________________________________________
nginx-ru mailing list
nginx-ru@nginx.org
http://nginx.org/mailman/listinfo/nginx-ru