יולי 2006 היה חודש בעיות האבטחה בדפדפנים (פרויקט MoBB - Month of Browser Bugs).
נובמבר 2006 היה חודש בעיות האבטחה בקרנל של מערכות ההפעלה (פרויקט MoKB - Month of Kernel Bugs).
ינואר 2007 היה חודש בעיות האבטחה במוצרי אפל (פרויקט MoAB - Month of Apple Bugs)

חודש מרץ, המתחיל מחר, מוקדש לבעיות אבטחה בשפת צד השרת PHP (פרויקט MoPHPB - Month of PHP Bugs).
הפרויקט מנוהל ע"י Steffan Esser, שהחליט להקים את הפרויקט לאחר שעזב בטריקת דלת את PHP Security Response Team, צוות האחראי על מתן פתרונות לבעיות אבטחה ב-PHP, אותו הקים בזמנו.

מדי יום בחודש מרץ, סטפן מתכוון לדווח לעולם על פירצת אבטחה חדשה ב-PHP.
למעשה, חלק מהפרצות שהוא ידווח עליהם במהלך החודש כבר תוקנו בגירסא 5.2.1 של PHP. בכל מקרה, מה שבטוח הוא שיהיה מעניין

אני מסכים - זה בהחלט יגרום לחברים מZEND קצת להזיע.
טוב... אז בפעם הבא הם ידעו לתת קרדיט למי שצריך.

אני בטוח שגם כמה אנשים אחרים יזיעו קצת - אחרי הכל הרבה מאוד שרתים באינטרנט מריצים
את הPHP.

מצד שני אני מעדיף להריץ את PHP ולא שום מוצר אחר, כגון זה של מייקרוסופט (ASP).
לפחות הבאגים מתגלים ומתוקנים מהר. עם ASP אין שום דרך לתקן את הבאג ואלה שמגלים
באגים מעדיפים למכור את המידע.

גם מייקרוסופט לא ממש נותנת קרדיט לאנשים שמוצאים באגים במוצרים שלה.
כנראה שבמייקרוסופט חושבים שזה שהם לא תובעים את הבן אדם שמצא את הבאג (לדוגמא על
הינדוס לאחור) זה כבר מכסה על הכל.

למעשה הוא הקים את הפרויקט בדיוק מהסיבה שהחבר'ה לא תיקנו את בעיות האבטחה מהר מספיק...

לגבי מדיניות הקרדיט של מיקרוסופט, אתה ממש לא צודק. קרא כאן: http://www.microsoft.com/technet/se...tin/policy.mspx

לגבי שאר השטויות שכתבת על ASP, אני מעדיף שלא להגיב.

[התמונה הבאה מגיעה מקישור שלא מתחיל ב https ולכן לא הוטמעה בדף כדי לשמור על https תקין: http://feeds.feedburner.com/AvivRaffOnnet.gif?bb=OBZL]

לא זכור לי שבUPDATE יש קישור לאיזה שהו מקור שאפשר לראות בו שתיקון X מתקן באג שנמצא
ע"י משה כהן. אבל זה נחמד שלפחות הם מוזכרים כנראה באיזה שהוא מקום.

לגבי ה"שטויות" שכתבתי על הASP - איך בדיוק אתה יכול לתקן באג אם אין לך קוד מקור של ASP?
זאת אומרת בלי למסור מידע למייקרוסופט ולחכות ולקוות שהם יתקנו אותו בקרוב.

בכל "UPDATE" יש קישור לעלון אבטחה ושם זה בהחלט קיים. סתם דוגמא: http://www.microsoft.com/technet/se...-071.mspx#E2OAE

למה שאני ארצה לתקן באג ב-ASP? אם מצאתי באג, אני סמוך ובטוח שמי שכתב את הקוד (MS, ZEND או כל חברה אחרת) הוא זה שגם ידע הכי טוב לתקן אותו ושהתיקון יעבור QA ולא ידפוק אינטרגציה עם שאר המערכות או חס וחלילה תהיה רגרסיה.

[התמונה הבאה מגיעה מקישור שלא מתחיל ב https ולכן לא הוטמעה בדף כדי לשמור על https תקין: http://feeds.feedburner.com/AvivRaffOnnet.gif?bb=OBZL]

אני התכוונתי למידע שמופיע בחלון של WINDOWSUPDATE. מי בכלל מגיע לאתר הזה?
אתה לא באמת יכול להשוות את זה עם KERNEL או אותו PHP בו המידע נמצא בקליק אחד
מההורדה.

לגבי זה שאתה לא אמור לתקן באגים בתוכנה, זה אולי נכון אבל אני מעדיף שיהיה את האופציה
אם ארצה בכך. בטוח שאני לא ארצה לחכות שבועיים לתיקון פירצה ידוע בשרת שמשרת אלפי
או לפעמים גם מאות אלפי אנשים, פירצה שמאפשרת להשתלט על השרת או אפילו סתם לגרום
לו להפסיק לעבוד.

נכון שעם חלונות שמקסימום שאפשר לאבד זה אוסף הפורנו אפשר לחכות גם חודש וגם חודשיים
אבל עם מערכות רציניות זה ממש לא אופציה.

אז נכון שעדיף לקבל תיקון בדוק אבל באין ברירה גם תיקון פשוט שמתקן את הבעיה זה מספיק.