He estat llegint aquest paper referent a la nova tecnologia Native Client en que Google està treballant. La referència original de Slashdot (en anglès, clar…) ja avisa que és una versió molt prèvia.

La veritat és que quan ho vaig veure vaig pensar “mira, un nou fiasco tipus ActiveX”, però llegint el paper el projecte és molt més ambiciós i sembla molt millor implementat: ActiveX permetia executar codi natiu directament contra el sistema operatiu. Les mesures de protecció consistien en signar el codi i demanar autorització a l’usuari: error! L’usuari sempre acava clickant “Acceptar”.

Per altra banda, Native Client el que fa és donar accés limitat al sistema al codi no confiable, posant-lo en una doble sandbox (“caixa de sorra”, o sigui, compartiment per aïllar-lo”) i tractant-lo com un element no fiable, sense donar la oportunitat a l’usuari d’elevar els privilegis. També realitza analisi del codi abans d’executar-lo per assegurar que compleix una sèrie de requisits, com per exemple que no conté instruccions no autoritzades que podrien comprometre el sistema.

La veritat és que la idea trobo que és bona. Ara faltarà saber si la implementació també és igual de bona!

L’altre dia vaig rebre un avís d’Una-al-dia, butlletí al qual hi estic subscrit. Aquest es titulava Ejecución remota de código en impresoras multifunción Xerox, i ens explica una vulnerabilitat a aquest dispositiu degut a una vulnerabilitat a Samba, la implementació Open Source del protocol de compartició de fitxers i impressores de Windows.

El cas és que, pensant-ho, el fet de que els dispositius embedded facin servir Linux, o altres paquets Open Source, te una part bona i una dolenta. La part bona és el fet que fa servir codi lliure, tenint un producte de qualitat a un preu més ajustat, i a més per els que ens ve de gust normalment ens permet hackejar el dispositiu. La part dolenta és que quan es detecta un problema amb aquest software Open Source, aquest també afecta (normalment) a la plataforma embedded, i pot permetre desenvolupar exploits contra aquesta, obligant als usuaris i administradors a tenir en compte un dispositiu més a l’hora de pensar amb els pedaços (patch) de seguretat. Si, és clar, amb els firmwares de codi tancat també passa, però amb l’avantatge que cal un atac específic contra aquest firmware, no val traslladar un atac d’una plataforma més utilitzada al dispositiu sense més. És com la biodiversitat, quan més gran més resistent és un ecosistema a les plagues i enfermetats.

Fa uns dies vaig comprar (em van regalar, en realitat!) un recopilatori de Deep Purple, “The Platinum Collection”. El vaig veure força be de preu al FNAC i el vaig comprar. El cas és que després d’obrir-lo me’n vaig adonar del maleït requadre de “Copy Controlled“.

Temps enrere vaig intentar ripejar un CD que també va resultar estar protegit, i no vaig poder amb programes de Windows, tipus CDex, EAC, i similars. Val a dir que quan vaig introduir el CD vaig mantenir la tecla de shift pulsada perque no s’executés la protecció anticòpia. El cas és que no em dona la real gana que, per que a uns senyors no vulguin que els hi copïin CDs a mi em vagin instal·lant coses a la màquina….

Be, doncs avui, des de Linux (una Debian) m’he dedicat a ripejar els CDs:

cdda2wav -D=1000,2,0 -B -L 0

• -D és per especificar la unitat (“wodim –devices” per la llista de dispositius)
• -B és per dir-li que faci un “bulk ripping”, o sigui, tot
• -L 0 (número zero) és per dir que, de regal, agafi la informació del CDDB ;)

També ho podia fer amb el cdda2mp3 o cdda2ogg, però no tenia ni el lame ni les vorbis-tools a la màquina i no les podia/volia instal·lar. Ah! Tot això ho he fet com a root, però suposo que configurant correctament els permisos dels dispositius es podrà fer com un usuari normal, com sempre.