The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

ФБР заподозрили в помещении бэкдора в IPSEC-стек OpenBSD (дополнено)

15.12.2010 10:35

Тэо де Раадт (Theo de Raadt), лидер проекта OpenBSD, опубликовал в списке рассылки тревожное сообщение, в котором опубликовал письмо, свидетельствующее о том, что некоторые разработчики проекта, принимавшие участие в разработке IPSEC-стека OpenBSD на ранней стадии его развития, приняли от правительства США денежное вознаграждение за интеграцию в IPSEC-стек кода бэкдора.

Информация раскрыта Грегори Пири (Gregory Perry), бывшим техническим директором компании NETSEC, занимавшимся в 2000-2001 годах развитием поддержки шифрования в OpenBSD и работавшим совместно с ФБР над рядом проектов. Во время работы с ФБР Пири дал подписку о неразглашении информации в течение 10 лет, поэтому вынужден сообщить имеющие у него сведения только сейчас. По утверждению Пири, у него имеется информация, что ФБР профинансировало работу по интеграции в IPSEC-стек OpenBSD техники, приводящей в определенных обстоятельствах к утечке ключей шифрования и возможности мониторинга трафика внутри шифрованных VPN-соединений.

В письме также выдвигаются предположения о том, что агентство по оборонным разработкам DARPA прекратило финансирование OpenBSD после того, как по внутренним каналам была получена информация о внедрении бэкдора. Также подозрение вызывает активная позиция ФБР в плане продвижения использования OpenBSD для создания VPN и межсетевых экранов.

Пока не ясно, удалось ли на самом деле внедрить бэкдор и работоспособен ли он в настоящее время. Пири сообщил, какой именно разработчик OpenBSD занимался внедрением бэкдора и порекомендовал провести аудит коммитов данного человека. С момента первого выпуска IPSEC-стека от проекта OpenBSD прошло более 10 лет, с тех пор код был подвергнут многочисленным изменениям, поэтому степень опасности можно определить только после проведения полного аудита. Вызывает опасение также то, что некоторые большие части кода IPSEC от OpenBSD были заимствованы в других открытых проектах и проприетарных продуктах.

Дополнение 1: Джейсон Райт (Jason Wright), которому вменялось добавление бэкдора, принял участие в дискуссии, полностью отвергнув все высказанные в его адрес обвинения и выразив недоумение по поводу столь лживого заявления в его адрес. По словам Джейсона, он работал в основном над кодом поддержки crypto-фреймворка в драйверах устройств и не касался кода, связанного с обработкой ключей шифрования (процессы isakmpd и photurisd). Он внес несколько улучшений в код IPSEC (cryptodev и cryptosoft), но эти изменения были безобидны, в чем может убедиться любой желающий, просмотрев список его коммитов. Что касается обвинения Грегори Пири, то Джейсон Райт требует принести ему публичные извинения.

Дополнение 2: Журналистам удалось связаться с Грегори Пири, который подтвердил отправку сообщения Тэо де Раадту.

Дополнение 3: Один из разработчиков FreeBSD утверждает, что если информация о бэкдоре верна, то она затрагивает и ОС FreeBSD, поддержка IPSEC в которой была заимствована из OpenBSD. Большинство экспертов склоняются к мысли, что заявление является провокацией. Если все же информация подтвердится, то вероятно и в Linux следует искать бэкдор, так как код многих криптоподсистем данной ОС создан при непосредственном участии Агентства национальной безопасности США.

Дополнение 4: Фигурирующий в письме Скот Лоу (Scott Lowe) также отверг заявление об его сотрудничестве с ФБР, более того он отметил, что не написал ни одной строчки кода для OpenBSD, все его участие в проекте сводилось к продвижению решений на базе OpenBSD.

Дополнение 5: Лидер проекта OpenBSD Тэо де Раадт заявил, что компания NETSEC, вероятно, действительно имела контракт на внедрение бекдора, но код бэкдора, по его мнению, не попал в кодовую базу OpenBSD.

  1. Главная ссылка к новости (http://permalink.gmane.org/gma...)
  2. OpenNews: Пресечена попытка помещения "Back Door" в Linux ядро
  3. OpenNews: OpenBSD выразил компании Amazon протест из-за блокирования WikiLeaks
  4. OpenNews: Разработчики FreeBSD опровергли обвинение в поставке несвободного кода
  5. OpenNews: О возможности создания и внедрения аппаратного бэкдора
  6. OpenNews: Взлом сервера проекта ProFTPD привел ко внедрению бэкдора
Лицензия: CC-BY
Тип: Интересно / Проблемы безопасности
Ключевые слова: openbsd, ipsec, backdoor
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение (263) Ajax | 1 уровень | Линейный | Раскрыть всё | RSS
  • 1.1, chemtech (ok), 11:12, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +5 +/
    Вот вам и OpenBSD.
     
     
  • 2.40, Аноним (-), 12:46, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Вот вам и Open Source
     
     
  • 3.48, эцновоя (?), 13:01, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Вот вам и строгий синтаксис, и однозначная семантика, и самодокументированный код на Си в больших проектах - ну всё под контролем, буквально всё.
     
  • 3.98, Аномистикус (?), 14:50, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +32 +/
    А если б это было проприетарщина, то никто бы вообще ничего не узнал. Мы что, всерьез полагаете, что возможно добиться полной гарантии безопасности в какой-либо системе?
     
     
  • 4.159, dq0s4y71 (??), 18:40, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +4 +/
    > А если б это было проприетарщина, то никто бы вообще ничего не узнал.

    Ха! Так это стало известно не благодаря открытым исходникам, а благодаря признанию разработчика! А исходники как лежали в открытом доступе, так никто в них за 10 лет ничего и не нашел! Вот вам и опен сорс...

     
     
  • 5.163, Аноним123321 (ok), 18:59, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +5 +/
    > Вот вам и опен сорс...

    ну проприетарный код видимо надёжнее.. да?

    там ведь точно нет бэкдоров :D  :D  :D  :D

     
     
  • 6.282, dq0s4y71 (??), 20:20, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    От того, что проприетарный код бывает ненадежным, открытый код более надежным не становится. А вы всё никак этого не поймете...
     
     
  • 7.315, User294 (ok), 18:15, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Ну так расскажите нам, как вы будете аудит закрытого кода проводить Очень интер... текст свёрнут, показать
     
     
  • 8.317, dq0s4y71 (??), 20:11, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Опять закрытый код Да что вы к этому закрытому коду прицепились-то Плевать я... текст свёрнут, показать
     
     
  • 9.321, EVS21 (??), 07:39, 19/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Не стоит метать бисер нет смысла ... текст свёрнут, показать
     
     
  • 10.322, Michael Shigorin (ok), 15:06, 19/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Да какой тут бисер -- человек сам себе тезис согласен, бредовый выдумал, сам е... текст свёрнут, показать
     
  • 5.198, upyx (ok), 21:35, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +3 +/
    > А исходники как лежали в открытом доступе, так никто в них за 10 лет ничего и не нашел!

    Откуда такой вывод? Напротив, очень может быть, что нашли, признали багой, поправили и забыли.

     
     
  • 6.284, dq0s4y71 (??), 20:26, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Может быть. Но тогда мне хотелось бы увидеть ссылку на соответствующий коммит :)
     
  • 3.122, Аноним (-), 17:05, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Ага, в проприетарщине никогда бы ничего не обнаружили - даже прятать не надо было на самом деле.
     
  • 3.147, artemrts (ok), 18:02, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Да что опен соурс. А что ты предложишь взамен. Закрытую Венду??? Я только могу представить сколько там бэкдоров.
     
     
  • 4.279, WishMaster (?), 16:49, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Столько же, сколько локализаций и версий-)))
     
  • 3.199, User294 (ok), 21:54, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Вот вам и Open Source

    Ну эти то хоть смогут проаудитить свой код после такого привлечения к себе внимания. А вот аудитить блобятину на предмет таких закладок - в разы более трудоемко и мало кто будет ковырять реализацию IPSec например в той же винде. Потому что мазохизм это.

     
  • 2.328, Бублик (?), 23:29, 16/01/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Вот вам и PR-манеры Микрософта в полный рост. Именно эти гниды и стоят за этим вбросом. Нет там никаких бэкдоров. Вернее, все общедоступные средства шифрования уязвимы и всегда были открыты для заинтересованных гос. структур.
     

  • 1.4, EuPhobos (ok), 11:24, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Очень сильно будет подпорчена репутация всей системы OpenBSD, если информация подтвердится.
     
     
  • 2.96, тигар (ok), 14:40, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +2 +/
    а так же всех кто брал код у них, да?;-)
     
     
  • 3.109, EuPhobos (ok), 15:46, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Но брали то У НИХ =)
     
     
  • 4.162, Cybister (?), 18:54, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Bнтересно, в win IPSEC копипастом реализовывали, надо будет проследить за обновлениями-фиксами :))))
    И опенсорц тут ни при чём, в клоседсорсах можно сидеть всю жизнь на бакдорах и не знать пока массово лезть через них не начнут.
     
     
  • 5.249, EuPhobos (ok), 09:17, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    В винде фиксить ничего не будут, скорее юзать ;) Или давно уже знают и юзают)
     
  • 2.179, Кларауций (?), 19:41, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    А как вы думаете, если FBI озаботились OpenBSD, они остались совершенно равнодушны к более широко распространённым реализациям, в том числе и Линукс? Что более вероятно - странная забывчивость FBI или то, что NDA у некоторых других господ ещё просто не успели протухнуть?

    Это если предполагать, что обвинения правдивы.


     
  • 2.329, Бублик (?), 23:32, 16/01/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > Очень сильно будет подпорчена репутация всей системы OpenBSD, если информация подтвердится.

    Никак она подмочена не будет. Это медийный вброс Микрософта против Линукса. Микрософтовские тролли на форумах начала муссировать данную тематику без конкретики ещё с сентября месяца. Теперь всё это вылилось в более конкретные формы. Сначала они напирали на некую никем не виденную ошибку, теперь вот на то, что в СПО все продались, а только их за деньги не купишь.
    Противно всё это и омерзительно.

     

  • 1.5, Хакчик (?), 11:24, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Исходники надо через сито пропускать...вот так кому и верить теперь в чистоте кода...?
     
     
  • 2.66, Анонимус007 (?), 13:29, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Ага, через сито.

    Кто щас засядет аудировать код Линукса (3 ляма строчек)? Может ты?

    Кстати, интересно, а как Линус свой американский паспорт получил? Что думаете, посоны?

     
     
  • 3.110, EuPhobos (ok), 15:47, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > Ага, через сито.
    > Кто щас засядет аудировать код Линукса (3 ляма строчек)? Может ты?
    > Кстати, интересно, а как Линус свой американский паспорт получил? Что думаете, посоны?

    Кто знает, какие черти в блобах водятся)

     
  • 3.230, Слоупок (ok), 03:24, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    А вы всерьёз думаете, что Линусу дали бы гражданство только за бэкдоры? )))
     

  • 1.7, sys (??), 11:25, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    Если они внедряли код в такой малораспространенный дистр как Опёнок то в популярных типа FeeBSD и Linux он должен быть обязательно. И уверен что не только от ФБР, но и от спецслужб других государств.
     
     
  • 2.19, nmorozov (ok), 11:46, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Тут дело не в распостраннености опенка а в том, что Опенок был финансирован вояками из США в свое время.
     
     
  • 3.52, filosofem (ok), 13:09, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Да, но..
    Тут дело не только в финансировании, но еще в том, что код OpenBSD используется практически во всех дистрибутивах. Взять тот же OpenSSH.
     
  • 2.101, fidaj (ok), 15:07, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    неее, во FreeBSD его нет :D вон даже китайцы её выбрали как основу для государственной ОС...
    наверняка каждый из китайцев взяли и проверили по пять строк кода! :D
    http://docs.freebsd.org/cgi/mid.cgi?201012131957.33109.lobo
     
     
  • 3.238, kshetragia (ok), 05:50, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Респект китайцам.
     
  • 2.116, zazik (ok), 16:16, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +22 +/
    > Если они внедряли код в такой малораспространенный дистр как Опёнок то в
    > популярных типа FeeBSD и Linux он должен быть обязательно. И уверен
    > что не только от ФБР, но и от спецслужб других государств.

    Не конфликтует ли код от разных спецслужб между собой? Может поэтому на винде часты БСОДы?

     
  • 2.149, __Bulgarin (?), 18:07, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >Если они внедряли код в такой малораспространенный дистр как Опёнок то в популярных типа FeeBSD и Linux он должен быть обязательно. И уверен что не только от ФБР, но и от спецслужб других государств.

    И от марсианских велосипедистов. Точно.

     

  • 1.8, samm (ok), 11:28, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Ну пока непонятно - мутное письмо без каких либо фактов или даже намеков на affected code, и вполне возможно, что это вброс  для того, чтобы навредить OpenBSD и/или упомянутому разработчику (Jason Wright). Он, кстати, достаточно активен в сети, так что стоит дождаться его комментариев. А может и вброс.... Ждем результатов аудита.
     
     
  • 2.20, Аноним (-), 11:46, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Муть объясняется тем, что на информацию последних 10 лет все еще действует подпи... текст свёрнут, показать
     
     
  • 3.32, Hugo Reyes (?), 12:29, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Gregory Perry
    Chief Executive Officer
    GoVirtual Education

    "VMware Training Products & Services"

     
  • 3.125, анонимус (??), 17:16, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +9 +/
    > У моего деда срок неразглашения был 40 лет, только последнее время стал рассказывать интересные вещи.

    Бредятина полная, да хоть 80!
    Все подписки, данные правительству СССР утратили силу - СССР более не существует.

     
     
  • 4.130, Crazy Alex (??), 17:33, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Приличный человек свои обязательства старается выполнять в любой ситуации
     
     
  • 5.137, анонимус (??), 17:42, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Типа сторож охраняет ворота после того как весь склад вывезли?
     
     
  • 6.263, Аноним (-), 13:16, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Типа сторож охраняет ворота после того как весь склад вывезли?

    Типа того.

     
     
  • 7.280, Любящий мыслить (?), 17:41, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Смешно
     
     
  • 8.290, Аноним (-), 01:14, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Ну и что Смешным быть не страшно Смейтесь, ради бога, у нас свободная страна... текст свёрнут, показать
     
  • 4.215, PereresusNeVlezaetBuggy (ok), 00:35, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • –2 +/
    >> У моего деда срок неразглашения был 40 лет, только последнее время стал рассказывать интересные вещи.
    > Бредятина полная, да хоть 80!
    > Все подписки, данные правительству СССР утратили силу - СССР более не существует.

    Россия — правопреемница СССР. Учите современную историю заново, раз уже всё забыли.

     
     
  • 5.226, анонимус (??), 02:56, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > Россия — правопреемница СССР

    Ни в коем случае!
    Только частично, все республики являются правопреемниками.
    Кроме того в Беловежском соглашении ясно сказано: "Союз ССР как субъект международного права и геополитическая реальность прекращает свое существование", учите историю.

     
     
  • 6.228, PereresusNeVlezaetBuggy (ok), 03:20, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Ох ты хоспади Специально для тех, кто не читал внимательно конституцию собствен... текст свёрнут, показать
     
     
  • 7.233, анонимус (??), 04:15, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > то их (и правовых актов, и сделанных в соответствии с ними подписок) действие также никто не отменял.

    Не надо глупых спекуляций - военнослужащие присягали заново, Российской Федерации, т.к. старая присяга, не существующему более СССР, утратила силу.
    Как и все подписки.
    Т.к. возникло новое гражданство.

     
     
  • 8.234, PereresusNeVlezaetBuggy (ok), 04:58, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +5 +/
    На 95 ложь К присяге приводили заново в других странах В России были отдельны... текст свёрнут, показать
     
     
  • 9.235, анонимус (??), 05:27, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Ложь на 100 ВСЕ офицеры подписали соответствующее обязательство Но торжествен... текст свёрнут, показать
     
     
  • 10.237, PereresusNeVlezaetBuggy (ok), 05:32, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Если присяги не было, то её не было Точка Не говоря о том, что в армии служат ... текст свёрнут, показать
     
     
  • 11.240, ano (??), 06:43, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Мой дядя офицер давал именно Присягу России, в виде обязательства Так что по ... текст свёрнут, показать
     
     
  • 12.242, PereresusNeVlezaetBuggy (ok), 06:56, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    А если прочесть _внимательно_, что я писал двумя постами раньше Об офицерах как... текст свёрнут, показать
     
     
  • 13.243, ano (??), 07:03, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Да-да, редким Не ври уж - повторно присягали все офицеры А на сборах снова при... текст свёрнут, показать
     
     
  • 14.244, Аноним (-), 07:23, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Как сравнительно недавно ушедший в отставку офицер, служивший в российское и сов... текст свёрнут, показать
     
     
  • 15.247, ano (??), 07:55, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Те, кто отказался от повторной присяги в штабе бумажкой, не обязательно перед с... текст свёрнут, показать
     
     
  • 16.291, Асушник (?), 02:22, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Перерезус прав Присягу повторно приносили по другой причине - потому что поменя... текст свёрнут, показать
     
     
  • 17.295, анонимус (??), 04:49, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Детский сад, штаны на лямках, в Армии не служил Нет там никаких пунктов Только... текст свёрнут, показать
     
     
  • 18.324, Асушник (?), 00:52, 20/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Я не думал что среди айтишников так распространено явление - делать поспешные вы... текст свёрнут, показать
     
  • 14.245, PereresusNeVlezaetBuggy (ok), 07:25, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Вы читать умеете Разницу между словами 171 солдат 187 и 171 офицер 187 ... текст свёрнут, показать
     
     
  • 15.246, ano (??), 07:51, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Знаю А ещё я в Армии служил Так пускай попробует слетать на самолёте Или прод... текст свёрнут, показать
     
     
  • 16.264, PereresusNeVlezaetBuggy (ok), 13:26, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Раз за вас На поезд без паспорта тоже не пускают, не в курсе Однако ж принимаю... текст свёрнут, показать
     
     
  • 17.266, Аноним (-), 13:32, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Да он сам не понимает что пишет, выхватывает знакомые слова и повторяет Это т... текст свёрнут, показать
     
  • 17.276, анонимус (??), 15:49, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Хорэ троллить - закон не по теме, где там слово РСФСР ... текст свёрнут, показать
     
     
  • 18.314, PereresusNeVlezaetBuggy (ok), 13:06, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Вообще-то, я потому и задал вопрос, что не понял, что имел в виду оппонент Или ... текст свёрнут, показать
     
  • 17.277, анонимус (??), 16:06, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Что за глупость Законодатель совершенно определённо ввёл Российское гражданство... текст свёрнут, показать
     
     
  • 18.281, Аноним (-), 18:34, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Не путайте свою логику и закон То, что логично для вас, не обязательно законно ... текст свёрнут, показать
     
  • 16.265, Аноним (-), 13:27, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    В словосочетании 171 Она может быть 187 , 171 Она 187 8212 это кто По... текст свёрнут, показать
     
     
  • 17.274, анонимус (??), 15:45, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Ога, расскажи нам как у бывшей Чехословакии один правопреемник Кто - Чехия или ... текст свёрнут, показать
     
     
  • 18.289, Аноним (-), 01:07, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Это Ваши личные фантазии Ситуации в Чехословакии и СССР 8212 никак не связан... текст свёрнут, показать
     
     
  • 19.293, анонимус (??), 04:45, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Фантазии Ситуации в Чехословакии и СССР абсолютно идентичны ... текст свёрнут, показать
     
     
  • 20.316, Michael Shigorin (ok), 20:06, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Уважаемые офтопофлеймеры -- предлагаю не полагать собеседника полным идиотом и ф... текст свёрнут, показать
     
  • 14.287, Aesthetus Animus (ok), 23:09, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Ваше вранье переходит всякие границы с становится просто явной клеветой Мой оте... текст свёрнут, показать
     
     
  • 15.292, анонимус (??), 04:44, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Ога, рассказывай Подписал то что требовали ... текст свёрнут, показать
     
  • 10.270, Hyppopotamus (?), 14:03, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Закончил военную академию в 95-м Присягу РФ не давал и ничего не подписывал Во... текст свёрнут, показать
     
  • 8.294, Ян Злобин (ok), 04:49, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Глупости какие-то говорите Я служил под двумя флагами Союз развалился во врем... текст свёрнут, показать
     
     
  • 9.296, анонимус (??), 05:01, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • –2 +/
    В кадрах обязательсво подписывал Если да - чем это отличается от повторной прис... текст свёрнут, показать
     
     
  • 10.297, Ян Злобин (ok), 05:02, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • +2 +/
    В каких еще кадрах - Речь идет об отделе кадров Вы ничего не путаете - это... текст свёрнут, показать
     
     
  • 11.298, анонимус (??), 05:27, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • –2 +/
    И чего, что не гражданская А зовут по-граждански постоянно Так подписывал или ... текст свёрнут, показать
     
     
  • 12.299, Ян Злобин (ok), 05:28, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Нет И никто из моего окружения не подписывал ... текст свёрнут, показать
     
     
     
     
     
     
     
     
     
    Часть нити удалена модератором

  • 24.311, Ян Злобин (ok), 10:30, 17/12/2010 [ответить]  
  • +/
    Всего лишь СССР уменьшился до размеров РСФСР ... текст свёрнут, показать
     
  • 25.312, anoo (ok), 11:02, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    А как же строительство коммунизма ... текст свёрнут, показать
     
  • 26.313, Ян Злобин (ok), 12:43, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Спроси у коммунистов - ... текст свёрнут, показать
     
  • 7.255, Anixx (?), 10:36, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    1. УССР была государством
    2. Украина - правоприемница УССР.
     
  • 7.258, Alex (??), 11:54, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    УССР была государством, и имела представительства в ООН даже раньше Союза.
    Украина правоприемница УССР, и только по доброй воле она передала _СВОЁ_ ядерное вооружение России.

    То, что Россия взяла на себя обязательства по внешнему долгу и активам, то это по договорённости всех остальных вышедших республик.

     
     
  • 8.262, PereresusNeVlezaetBuggy (ok), 13:13, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    до вхождения в СССР Да И имела после, 8212 но, как ни смешно, государ... текст свёрнут, показать
     

     ....большая нить свёрнута, показать (50)

  • 1.9, Raptor (??), 11:31, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +5 +/
    Если новость не фейк, то правительство вместе со всем ФБР на кол посадить!
     
     
  • 2.13, samm (ok), 11:32, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Ну пока более похоже на фейк.  Jason Wright - сурьезный дядька, с кучей публикаций и проектов (http://thought.net/jason/). В любом случае - запасаемся попкорном.
     
     
  • 3.30, ixti (ok), 12:26, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +6 +/
    Был бы он не серьёзный шалопай-разбойник, тогда бы я был на 100% уверен что фейк. А вот то, что дядька солидный скорее настораживает и навождит на мысли, что может быть и не фейк... В любом случае ИМХО выводы надо будет делать после аудита кода, а не до того. Потому, что даже если Джейсон ссучился, я не думаю, что он вот так вот сейчас принесёт публичные извинения мол "да, был не прав, деньги нужны были, да и родственников из Мексики надо было леголизовывать, и в крамане ганджа нашли, в общем трудные времена были", что на мой взгляд по любому поставит жирное бельмо на нём... Даже если факт имел место - я уверен, что будет отрицать. Ждать надо аудита :)) "Весной посмотрим, кто где какал" (С) :))
     

  • 1.10, Антоха (?), 11:31, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Ну чо теперь делать?
    В цисках тоже поди напичкано? Про винду молчу.
     
     
  • 2.14, samm (ok), 11:33, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Ну чо теперь делать?
    > В цисках тоже поди напичкано? Про винду молчу.

    Срочно уничтожайте все ваши данные - фбр уже выехал! ))

     
     
  • 3.16, Антоха (?), 11:36, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Я не к тому. Я к тому-кому теперь верить?
     
     
  • 4.18, samm (ok), 11:44, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Себе, как и ранее. Именно по этой причине очень крупные компании заказывают аудит кода (в том числе имея доступ к коду windows) перелагая таким образом часть ответственности на аудиторов. Ну а к тому, что спецслужбы развитых государств способны получить доступ много к чему - следует относиться философски. Кстати, думаю что метод "терморектального анализа" в общих случаях много более дешев и применим )
     
     
  • 5.25, Lexa3110 (ok), 11:53, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +17 +/
    Много раз слышал про то, что "некоторые компании" якобы имели доступ к коду виндовс.
    Но объясните, плиз, хрен ли толку? Ну, посмотрели. И что? Что они смотрели? Вот если
    СОБРАТЬ из этих исходников венду, да при этом контрольная сумма бинарника совпадет с оригинальной, тогда, наверное, да - видели именно то, что маздай из себя представляет...да и то, сначала сырцы компилятора бы посмотреть, да из сырцов его собрать потом.
    А так - видели какие-то тексты...ну и что? А что, собственно, видели?
     
     
  • 6.57, anonymouse (?), 13:20, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > СОБРАТЬ из этих исходников венду, да при этом контрольная сумма бинарника совпадет с оригинальной

    Контрольная сумма не совпадет никак. Если кто не в курсе, visual C++ вставляет в PE файл информацию о конкретной установке винды. Байты с 0x80 по 0xD0.

    > да и то, сначала сырцы компилятора бы посмотреть, да из сырцов его собрать потом.

    а это уже параноя =)

     
     
  • 7.74, anonim (?), 13:43, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +10 +/
    а в этом деле без паранои никак :)
     
  • 6.127, Michael Shigorin (ok), 17:26, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Наши как раз и не собрали AFAIH -- когда обратились за недостающими частями, им сказали, что и не собирались их передавать.
     
  • 6.192, Gadjung (?), 21:04, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    И компилятор, которым собрать компилятор, и... OH SHI-
     
  • 5.46, кент (?), 12:59, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > Себе, как и ранее. Именно по этой причине очень крупные компании заказывают
    > аудит кода (в том числе имея доступ к коду windows) перелагая
    > таким образом часть ответственности на аудиторов. Ну а к тому, что
    > спецслужбы развитых государств способны получить доступ много к чему - следует
    > относиться философски. Кстати, думаю что метод "терморектального анализа" в общих случаях
    > много более дешев и применим )

    В моём случае ТРКА не применим. Все ключи на флешках, флешки у сотрудников ГБ. Я просто не смогу ничего рассказать, нечего рассказывать.

     
     
  • 6.85, аноним_ (?), 14:13, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +5 +/
    тогда "прощай прямая кишка", ибо не поверят
     
     
  • 7.133, zazik (ok), 17:38, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > тогда "прощай прямая кишка", ибо не поверят

    Ну или поверят, но для профилактики обработают, чтобы другим умникам неповадно было.

     
  • 4.150, __Bulgarin (?), 18:10, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > Я не к тому. Я к тому-кому теперь верить?

    Никому. Вас просвечивают с монитора.


     
  • 4.231, Слоупок (ok), 03:38, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Никому нельзя верить на 100% )))) Теперь изучать криптографию и C++ :)))
     
  • 3.53, filosofem (ok), 13:12, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    >Срочно уничтожайте все ваши данные - фбр уже выехал! ))

    А смысл?

     
     
  • 4.80, Котяра (??), 14:05, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +9 +/
    >>Срочно уничтожайте все ваши данные - фбр уже выехал! ))
    > А смысл?

    У ФБР резервная копия есть, можно сэкономить на дисковом пространстве.

     
  • 3.115, Аноним (-), 16:03, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +2 +/
    как пить дать!! чисто штатовская конторка циска....я всегда им недоверял...
     
  • 2.24, Аноним (-), 11:51, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +5 +/
    По отношению к этим вашим цискам - это, наверняка, самое безобидное из того что там напихано.
     
  • 2.39, Аноним (-), 12:44, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Про циски вы правы, иначе был бы запрет на экспорт железа.
     
  • 2.126, Michael Shigorin (ok), 17:25, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +3 +/
    В цисках точно -- см. "нечаянно" упавшую местами спецсвязь во время грузинских событий.
     
     
  • 3.154, __Bulgarin (?), 18:23, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > В цисках точно -- см. "нечаянно" упавшую местами спецсвязь во время грузинских
    > событий.

    "Я плакалъ". Паранойя неистребима :)

    Какая специальная связь? Во время каких грузинских событий? Да если что где и было на магистралях в кавказских - там просто были тупо обесточены узлы, или провода повыдергивал кто, или банальный DoS на хилых каналах. Вы что думаете, у госструктур РФ специалисты есть? Там большинство персонала, утрируя, еле писюк от нотника отличает, и Win от Lin.

     
     
  • 4.232, Mna (??), 04:05, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    постсоветский хакер дёшов и сердит. почти ассиметричен. нанять его, и всего делов.
    грош цена ССлужбе не умеющей применить ТРКА к такому физическому лицу
     
  • 4.318, Michael Shigorin (ok), 20:22, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > "Я плакалъ".

    (пожимая плечами) Ну спросите и Вы своих, что ли.

    > Какая специальная связь?

    Южный сегмент правительственной.

    > или провода повыдергивал кто

    Нет, "вдруг" легли кошки.

    > Вы что думаете, у госструктур РФ специалисты есть? Там большинство

    Насчёт большинства не знаю, а со специалистами сталкивался, и звали.

    Даже на лоре помимо "большинства" есть специалисты.

     
  • 4.331, Xaionaro (ok), 14:52, 23/11/2014 [^] [^^] [^^^] [ответить]  
  • +/
    >> В цисках точно -- см. "нечаянно" упавшую местами спецсвязь во время грузинских
    >> событий.
    > Там большинство персонала, утрируя, еле писюк от нотника отличает, и Win от Lin.

    Много где так, но не везде ;). Откуда у вас вообще такая информация? Общались с реальными работниками соответствующих направлений в госслужбах?

     

  • 1.11, Аноним (-), 11:32, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Если в чужой IPSEC смогли внедрить, то в SELinux собственной разработки и подавно внедрили :-( В успех аудита не верю, там скорее всего утечка ключей не в лоб реализована, а сделана очень тонко, так что не придерешься. Как-то видел код для создания подобной лазейки, достаточно было пары опечаток вида ">" вместо ">=" в условиях, на которые без полного разбора логики никто не обратит внимание.
     
     
  • 2.21, nmorozov (ok), 11:48, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > Если в чужой IPSEC смогли внедрить

    Почему чужой, как раз свой. Денежку опенок в то время как раз от них получал.

     
  • 2.31, shpsn (?), 12:27, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +2 +/
    В районе 2003-2005 года, если мне не изменяет память, проскакивала инфа о внедренной уязвимости в код ядра линукс, причем злоумышленнику потребовалось подменить один (!) символ. А ведь исходников -- миллионы строк и надо еще понимать как оно все работает, и если ФБР или еще кто подкупает разработчиков, то становится как-то грустно...
     
     
  • 3.47, Котяра (??), 12:59, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Где именно нужно было "подменить один (!) символ"?
     
     
  • 4.64, Аноним (-), 13:26, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > Где именно нужно было "подменить один (!) символ"?

    хе... в исходниках ядра

     
     
  • 5.75, Котяра (??), 13:59, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Тоесть для того, чтобы сделать чужую машину уязвимой, нужно сначала залогиницца на нее рутом, подправить сорсы ядра, скомпилить ново ядро, прописать его в граб и бутнуть машину. Линукс сакс.
     
     
  • 6.108, Аноним (-), 15:33, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +6 +/
    Ты дурной?
    Вот этот код:

    +       if ((options == (__WCLONE|__WALL)) && (current->uid = 0))
    +                       retval = -EINVAL;

    в выражении current->uid = 0 стоит = вместо ==, т.е. происходит не сравнение, а присваивание. Очень похоже на опечатку, но дает root доступ.

     
     
  • 7.111, non anon (?), 15:56, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Все правильно сказал товарищ выше. Этот патч надо накладывать вручную, потому что ни в один релиз он так и не попал, а из cvs его вычистили на следующий день.
     
     
  • 8.120, ФБР (?), 16:51, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +2 +/
    А ты знаешь сколько подобных патчей попало в релизы ... текст свёрнут, показать
     
     
  • 9.145, Areldar (?), 17:59, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Такие патчи дают варнинги при компиляции так, что думаю нисколько... текст свёрнут, показать
     
     
  • 10.161, QuAzI (ok), 18:50, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Надо же Я почти не вижу софта без варнингов, хотя собираю очень даже много И с... текст свёрнут, показать
     
  • 10.167, Аноним (-), 19:07, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Выражение if options __WCLONE 124 __WALL current- uid 0 с точ... текст свёрнут, показать
     
     
  • 11.207, злобный низкозадержечный анонимус (?), 23:25, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Статический анализ кода такое найдет и сделает warning Не думаю что его никто д... текст свёрнут, показать
     
  • 10.239, kshetragia (ok), 06:00, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Не знаю насчет ядра Линукса, но обычный GNU софт как правило отличается обилием ... текст свёрнут, показать
     
  • 8.128, Michael Shigorin (ok), 17:30, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Тогда некоторые пользовались этим CVS из тех, кто не признавал и не применял Bi... текст свёрнут, показать
     
  • 3.56, Neandertalets (ok), 13:20, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +7 +/
    http://anticopyright.ru/wiki/Wait4%28%29
     
     
  • 4.129, Michael Shigorin (ok), 17:32, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > http://anticopyright.ru/wiki/Wait4%28%29

    Ага, спасибо, оно.

     
  • 4.135, zazik (ok), 17:39, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > http://anticopyright.ru/wiki/Wait4%28%29

    Неплохо. Мне понравилось.

     
  • 4.185, filosofem (ok), 20:07, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Блин надеялся увидеть что-то в стиле JAPH.
    Вообще странно как глядя на эти две строчки можно "ничего не заподозрить".
    Да и несложным скриптом можно найти такие подозрительные вещи как присвоение внутри условия. Странно, что современные навороченные IDE с проверкой синтаксиса не умеют на это ворнингами ругаться.
     
     
  • 5.208, злобный низкозадержечный анонимус (?), 23:27, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > Блин надеялся увидеть что-то в стиле JAPH.
    > Вообще странно как глядя на эти две строчки можно "ничего не заподозрить".
    > Да и несложным скриптом можно найти такие подозрительные вещи как присвоение внутри
    > условия. Странно, что современные навороченные IDE с проверкой синтаксиса не умеют
    > на это ворнингами ругаться.

    Ты про vim? :)

     
  • 2.58, Neandertalets (ok), 13:21, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Чуть ниже - моя ссылка на описание этого бэкдура.
     

     ....большая нить свёрнута, показать (20)

  • 1.17, AcDc (?), 11:37, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Хм. Надо аудитить все BSD системы. :(
     
     
  • 2.23, StrangeAttractor (ok), 11:50, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Считалось что OpenBSD и так аудитят больше всех, а оказалось что пока свидетель внедрения бэкдора о нём не сказал, так никто и не заметил.
     
     
  • 3.27, samm (ok), 12:07, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Бекдора еще никто не видел.
     
     
  • 4.41, Аноним (-), 12:48, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Кстати, да. А код бэкдора-то где? Действительно, если пишешь, что был бэкдор, то покажи место в коде.
     
  • 3.112, non anon (?), 15:57, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –4 +/
    > Считалось что OpenBSD и так аудитят больше всех, а оказалось что пока
    > свидетель внедрения бэкдора о нём не сказал, так никто и не
    > заметил.

    Получается, аудит там производят только на словах. А аудиторами работают манагеры из рекламного отдела.

     
     
  • 4.155, __Bulgarin (?), 18:26, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >> Считалось что OpenBSD и так аудитят больше всех, а оказалось что пока
    >> свидетель внедрения бэкдора о нём не сказал, так никто и не
    >> заметил.
    > Получается, аудит там производят только на словах. А аудиторами работают манагеры из
    > рекламного отдела.

    Советую ознакомиться с моделью разработки BSD.
    Может тогда перестанете писать чушь.

     
  • 4.267, Аноним (-), 13:56, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    >> Считалось что OpenBSD и так аудитят больше всех, а оказалось что пока
    >> свидетель внедрения бэкдора о нём не сказал, так никто и не
    >> заметил.
    > Получается, аудит там производят только на словах. А аудиторами работают манагеры из
    > рекламного отдела.

    Вы этот вывод сделали на основании пока ничем не подтверждённого заявления в интернетах?

     
  • 2.43, Sergey (??), 12:55, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    А смысл, кто будет делать такой аудит? Аудит все системы очень сложная вещь, кому попало не доверят, т.е. для аудита будет выбрана какая-нибудь крупная контора и скорей всего юсовская. И не факт, что ФБР не сможет надавить на контору проводящую аудит.
     

  • 1.22, Vasily Pupkin (?), 11:50, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • –3 +/
    Гг. Удачи в аудите. А вообще не понимаю в чем паника? Какой там у OpenBSD уровень гарантий по CC? Дык о чем вообще тогда говорить.
     
  • 1.33, Луноход (?), 12:30, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • –17 +/
    Ну, и где те фанатики, которые всегда с пеной у рта орали, что опен сорс рулит и в нем всегда можно быть увереным, так как открыт исходный код? Вытерлись? Я всегда говорил, что типичный линуксоид, бзд-ник и прочий любитель опен сорса НИКОГДА не делал аудит всей системы, поэтому утверждать, что там все шоколадно-полное безумие.
     
     
  • 2.38, ixti (ok), 12:41, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +15 +/
    Дело в том, что open-source хорош тем, что если Вам важна безопасность Вы сами её и проверите - вне зависимости проводил ли Тео, Патрик, мильён-леммингов, кто-угодно аудит. И в случае обнаружения - либо пофиксите, либо сообщите авторам с просьбой решить проблему.

    В случае с проприетарным ПО - Вы жрёте то, что Вам подали. Без возможности провести анализ плюнул туда повар или нет. Вот и всё.

    А по теме - то, что кто-то грамотно что-то вбросил, не говорит, что факт подтвердится. А вот то как отреагировал Тео, говорит скорее в пользу OpenNet и open-source проектов в целом. В проприетарном продукте, я не думаю, что кто-то бы Вам сказал, что Вас уже 10 лет через бэкдор имели службы. А самое смешное (и наверное обидное), что не смотря на то, что Вы платите свои деньги, очень часто корпорации даже зная о критичной уязвимости тупо кладут болт на неё. Вот и вся философия...

     
     
  • 3.42, Аноним (-), 12:55, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Хорошие слова, но если сабж - не фейк, то практика докажет, что это только теория и слова. А на практике никакой разницы, в общем-то, нет.
     
  • 3.45, Square (ok), 12:57, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Это все фикция. теоретическая возможность не реализуемая на практике.. Вроде взлома алгоритма RSA. теоретически - любой подросток с калькулятором может взломать RSA. на практике - замучается...

    Тоже самое с открытыми исходниками - бакдур был внедрен, существовал 10 лет и НИКТО не озаботился его существованием там... Да и сейчас- после тщательного аудита не факт что найдут.

     
     
  • 4.49, ixti (ok), 13:01, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    По существу, кроме сомнительного вброса - "был внедрён", "существовал 10 лет" - ничего нет... Или тут как с религией? Бремя доказательства лежит на сомневающемся, а изначальная правда зависит от того кто первым вынрикнул...
     
     
  • 5.54, Square (ok), 13:13, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > По существу, кроме сомнительного вброса - "был внедрён", "существовал 10 лет" -
    > ничего нет... Или тут как с религией? Бремя доказательства лежит на
    > сомневающемся, а изначальная правда зависит от того кто первым вынрикнул...

    Большинству людей- открытость исходников нахрен не сдалась.
    Да и те которым сдалась - не в состоянии реализовать свои возможности.

    Вы че тролитте то? Вон исходники опенька - ждем от вас результата аудита с заверениями что там все чисто. Недели хватит?
    Месяц? Десять лет? Сколько вам надо времени чтобы доказать что там все чисто?

     
     
  • 6.59, ixti (ok), 13:21, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > Большинству людей- открытость исходников нахрен не сдалась.
    > Да и те которым сдалась - не в состоянии реализовать свои возможности.

    Это бесспорно.

    > Вы че тролитте то?

    И в мыслях не было. Просто вот так вот пафосно выразить то, что не всё однозначно :))

    > Вон исходники опенька - ждем от вас результата аудита с заверениями что там все чисто.

    А денег хватит оплатить работу? :))

    PS Тем не менее с общими тезисами, что народу пох.. я согласен. :)) Только вот весело от осознания этого не становится...


     
     
  • 7.61, Square (ok), 13:23, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –2 +/

    >> Вон исходники опенька - ждем от вас результата аудита с заверениями что там все чисто.
    > А денег хватит оплатить работу? :))

    С какой стати?

     
  • 6.285, Аноним (-), 22:08, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Наоборот, большинство людей выигрывает от открытых исходников Если бы не открыт... текст свёрнут, показать
     
  • 4.132, Michael Shigorin (ok), 17:36, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > Это все фикция. теоретическая возможность не реализуемая на практике..

    По-моему, не Вам говорить, не имеющему и теоретических.

     
  • 4.156, __Bulgarin (?), 18:30, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > Это все фикция. теоретическая возможность не реализуемая на практике.. Вроде взлома алгоритма
    > RSA. теоретически - любой подросток с калькулятором может взломать RSA. на
    > практике - замучается...
    > Тоже самое с открытыми исходниками - бакдур был внедрен, существовал 10 лет
    > и НИКТО не озаботился его существованием там... Да и сейчас- после
    > тщательного аудита не факт что найдут.

    Самое смешное, что уже согласились что бэкдор там есть. Точно, есть, в /usr/src/sys/...
    Скоро появяться свидетели что он там был... Шоу.



     
  • 3.51, Луноход (?), 13:07, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –4 +/
    У Вас хватит знаний, навыков и сил проверить весь код всей системы??? Не порите чушь, мил человек! То, что Вы посмотрите на код реализации какой-то функции, не даст Вам ответа, как эта фукнция ведет себя при работе ВСЕЙ системы. Вы просто физически не сможете это сделать. И Вы не будете знать, даст комбинация каких-то функций в системе бэкдор или нет, Вы также не будете знать, бэкдор это вообще или нет.


    Грустно, но на практике у опен сорса нет преимуществ перед закрытым софтом, как бы не пытались некоторые доказать обратное.

     
     
  • 4.88, Миха (??), 14:21, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +3 +/
    > У Вас хватит знаний, навыков и сил проверить весь код всей системы???

    Да, я супермозг, у меня хватило навыков и сил. Я проверил весь код всей freebsd. Нет ниодной закладки.
    Докажи обратное, луноход.

     
     
  • 5.99, Square (ok), 14:54, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    >> У Вас хватит знаний, навыков и сил проверить весь код всей системы???
    > Да, я супермозг, у меня хватило навыков и сил. Я проверил весь
    > код всей freebsd. Нет ниодной закладки.
    > Докажи обратное, луноход.

    Время докажет.

     
  • 5.142, Mihe (?), 17:50, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    >> У Вас хватит знаний, навыков и сил проверить весь код всей системы???
    > Да, я супермозг, у меня хватило навыков и сил. Я проверил весь
    > код всей freebsd. Нет ниодной закладки.
    > Докажи обратное, луноход

    плохо проводил. Посмотри внимательней на реализацию tcp/ip v6.

     
     
  • 6.182, __Bulgarin (?), 19:54, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    du -h usr src sys netinet6 c 4 0K usr src sys netinet6 dest6 c 22K usr s... текст свёрнут, показать
     
  • 5.152, Луноход (?), 18:16, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Новость подтверждает обратное.
     
     
  • 6.251, zazik (ok), 09:36, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > Новость подтверждает обратное.

    Новость ничего не подтверждает пока что.

     
  • 4.134, Michael Shigorin (ok), 17:38, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +4 +/
    > Грустно, но на практике у опен сорса нет преимуществ перед закрытым софтом,
    > как бы не пытались некоторые доказать обратное.

    Вы, никак, с какой-то другой планеты, где принято сравнивать отсутствие возможностей с их наличием и делать лицо кирпичом, будто так и надо.

    Нет чтоб к сессии готовиться, так лезут поумничать...

     
  • 4.146, Аноним (146), 17:59, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +2 +/
    У open-source изначально есть одно главное преимущество: если разработчик умер (ему надоело поддерживать программу/программа не работает для новых ОС), а у вас целое производство на этой программе работает - можно самому допилить эту программу - суть опен-соурса в том, что софт никогда не помрет если есть пользователи которым этот софт нужен
     
  • 4.158, __Bulgarin (?), 18:38, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Да, если нет мозга - преимуществ нет Однозначно Вы код usr src sys netinet с... текст свёрнут, показать
     
     
  • 5.165, guest (??), 19:01, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > Вы код /usr/src/sys/netinet/ смотрели? Там его с гулькин хрен. Пипл перелазил и
    > перелопатил его по диагонали сотни раз.

    а вы на netipsec смотрели? который во фре таки из опенька утянут.

     
     
  • 6.181, __Bulgarin (?), 19:46, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Да du -h grep -il openbsd usr src sys net c 56K usr src sys net brid... текст свёрнут, показать
     
     
  • 7.184, guest (??), 20:06, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Да.

    userland к своим выкладкам приплюсуйте)

    и что вы хотите показать считая строки кода?
    где-то в треде была ссылка на DAA (FIPS 113), ушло 25лет прежде чем обнаружили уязвимость алгоритма.
    А кода там с гулькин нос.

     
     
  • 8.189, __Bulgarin (?), 20:41, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Вам необходимо все diff s опубликовать, вместе с кодом Где-то там что-то там... текст свёрнут, показать
     
     
  • 9.194, guest (??), 21:25, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Голову дадите, что еще через дцать лет не найдут тоже самое в любом из перечисл... текст свёрнут, показать
     
     
  • 10.200, __Bulgarin (?), 21:55, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Есть криптоаналитики с разных стран, жрущие подобные алгоритмы на завтрак, на гр... текст свёрнут, показать
     
     
  • 11.204, guest (??), 22:16, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ну сходите, почитайте что пишет дьдька Шнайдер про AES Отвечу вопросом на вопро... текст свёрнут, показать
     
     
  • 12.210, __Bulgarin (?), 23:34, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Все в райне возможно в какой-то там степени И что Есть реализованные алгоритмы... текст свёрнут, показать
     
     
  • 13.211, guest (??), 23:50, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Идите еще читайте, потом еще, до тех пор пока не поймете, что стойкость крипто-а... текст свёрнут, показать
     
     
  • 14.213, __Bulgarin (?), 00:28, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    А чем как не алгоритмом декрипта без знания ключей во времени А я наивно думал,... текст свёрнут, показать
     
  • 2.50, Котяра (??), 13:03, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +5 +/
    > Ну, и где те фанатики, которые всегда с пеной у рта орали,
    > что опен сорс рулит и в нем всегда можно быть увереным,
    > так как открыт исходный код? Вытерлись? Я всегда говорил, что типичный
    > линуксоид, бзд-ник и прочий любитель опен сорса НИКОГДА не делал аудит
    > всей системы, поэтому утверждать, что там все шоколадно-полное безумие.

    Почему вдруг только фанатики и с пеной? Любому нормальному человеку ясно, что опенсорсу в плане отсутствия компроментирующего кода можно больше доверять чем проприаритарщине. Даже значительно больше. А кому не ясно, тот просто не совсем нормальный человек.

     
  • 2.63, alikd (?), 13:26, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Что с логикой дядя?
    Из этой новости следует, что всё закрытое кишьмя кишит бэкдорами и в плане конфедициональности информации конечного пользователя много хуже.
     
  • 2.169, Аноним123321 (ok), 19:14, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Luca, залогиньтесь никто никогда не орал что можно быть на 100 уверенным в Ope... текст свёрнут, показать
     
     
  • 3.180, Луноход (?), 19:46, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Кто такой Ваш Лука Новость подтверждает обратное Его даже не нашли, о его суще... текст свёрнут, показать
     
     
  • 4.186, __Bulgarin (?), 20:12, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Потенциальные бэкдоры в самом "непробиваемом" БСД тоже говорят не о рулеже
    > в безопасности, а больше о пиаре.

    Пожалуйста, укажите категории бэкдоров, и как они могут быть реализованы, так, что бы пятеро-четверо разработчиков модуля (подсистемы) из разных стран его не заметили в течении, скажем, полугода ковыряния над модулем, что в голове за годы работы над кодом уже почти наизусть.

    Интересна ваша квалификация как эксперта.


     
  • 4.206, анонимус (??), 22:53, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >Новость подтверждает обратное.

    Ложь. Новость лишь говорит, что в OpenBSD [возможно] 10 лет назад был внедрен бэкдор.
    О бэкдорах в проприетарных ОС так же пишут новости и в разы чаще. Как говорится, толсто.

     
  • 2.183, __Bulgarin (?), 20:05, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    У фанатиков и спрашивайте Есть нормальные ошибки, статистическое распределение ... текст свёрнут, показать
     
  • 2.268, Аноним (-), 13:57, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > Ну, и где те фанатики, которые всегда с пеной у рта орали,
    > что опен сорс рулит и в нем всегда можно быть увереным,
    > так как открыт исходный код? Вытерлись? Я всегда говорил, что типичный
    > линуксоид, бзд-ник и прочий любитель опен сорса НИКОГДА не делал аудит
    > всей системы, поэтому утверждать, что там все шоколадно-полное безумие.

    Вы этот вывод сделали на основании пока ничем не подтверждённого заявления в интернетах?

     

     ....большая нить свёрнута, показать (38)

  • 1.34, Аноним (-), 12:33, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +4 +/
    Вообще говоря, если всё правда, то отличную стратегию выбрала ФБР.
    Факт копипастинга кода, выходящего под BSD-like лицензиями, кем только не лень общеизвестен. Таким образом, можно распростанить эту дыру во множество других продуктов, открытых, проприетарных и прочих, не прилагая к этому никаких усилий.
    Полный анализ на наличие подозрительного кода врядли будут проводить, если вообще будут: репутация OpenBSD как самой безопасной системы этому способствует.
     
     
  • 2.36, ig0r (??), 12:37, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    ещё скажите что в винде и маках бекдоров нет.
     
     
  • 3.37, ig0r (??), 12:37, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > ещё скажите что в винде и маках бекдоров нет.

    пардон, это ответ на комментарий выше

     
  • 2.164, __Bulgarin (?), 18:59, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Софистика, переходящая в бред Из FreeBSD 8 1, там где скопипастено - помечают ч... текст свёрнут, показать
     
     
  • 3.217, Аноним (-), 01:00, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Что, каждый раз помечают? Ни разу нигде никогда не упустили откуда код?
    Только из OpenBSD берется код (а как же NetBSD и др. проекты)?
    А почему grep ограничился только net* подсистемой? Остальные части системы не участвуют в копипастинге?

    Да и вопрос, то, не про OpenBSD=>FreeBSD, а об AllBSDSoftware=>AllKindsOfSoftware,
    проверить последнее grep'ом тебе не удастся.

    Выше в комментах разобрали случай внедрения дыры "wait4" ("Достаточно одной таблэтки.")
    Достаточно одного символа в коде, а что уж говорить про 18К ...

     
     
  • 4.222, __Bulgarin (?), 02:16, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Угу Наверное, у ребят дурная привычка Речь шла об OpenBSD, или уже будем весь ... текст свёрнут, показать
     
     
  • 5.260, Аноним (-), 12:13, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Еще раз повторяю, речь не идет только об одном ipsec, а о всем BSD коде, части которого, либо весь BSD проект может появиться (и появляется) практически в любом другом проете (а че? - халява). Это должно быть очевидно из первого поста в ветке.

    > Найдите еще ;)
    > Вы не хотите найти и указать мест в коде ipsec, где будет достаточно нескольких строк и это никто не заметит?

    Это же ты взялся grep'ить что под руки попало, чего стрелки переводишь ?

     
     
  • 6.269, __Bulgarin (?), 14:01, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Пофлудим о сферических конях в вакууме и мировом заговоре То есть код ipsec ... текст свёрнут, показать
     

  • 1.55, ubique (?), 13:14, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Allegations of FBI involvement in OpenBSD IPSEC
    Scott Lowe <scott.lowe <at> scottlowe.org>
    2010-12-15 02:16:15 GMT

    I'm posting this message in the spirit of honesty and transparency.

    My name was recently involved in allegations of FBI involvement in the
    development of OpenBSD IPSEC. For the record: I am not, nor have I ever been,
    affiliated with or employed by the FBI or any other government agency. My
    advocacy of OpenBSD has been strictly due to my appreciation of the project.
    There is no secret agenda here.

    --
    Scott


    Таки фейк?

     
     
  • 2.60, Square (ok), 13:22, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +5 +/
    >[оверквотинг удален]
    > development of OpenBSD IPSEC. For the record: I am not, nor have
    > I ever been,
    > affiliated with or employed by the FBI or any other government agency.
    > My
    > advocacy of OpenBSD has been strictly due to my appreciation of the
    > project.
    > There is no secret agenda here.
    > --
    > Scott
    > Таки фейк?

    Просто у него срок неразглашения 20 лет...

     
  • 2.65, Аноним (-), 13:28, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Откуда письмо то?
     
     
  • 3.67, ubique (?), 13:31, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    http://permalink.gmane.org/gmane.os.openbsd.tech/22560
     
     
  • 4.73, Square (ok), 13:40, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > http://permalink.gmane.org/gmane.os.openbsd.tech/22560

    И кто-то за него месадж составил.
    Фраза
    I am not, nor have I ever been,
    affiliated with or employed by the FBI or any other government agency.

    уместна в юридическом документе. В нормальной жизни так imho не говорят. А тут его шо называется взяли за хозяйство - и эшь как заговорил....чтоб никакой панимашь двусмысленности небыло... чтоб никак иначе истрактовать нельзя было....

     
  • 2.69, guest (??), 13:35, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > Таки фейк?

    Этот просто отмазался, что рекламировал опенек из любви к нему а не по указке ФБР)

     
  • 2.70, samm (ok), 13:37, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Честно говоря - очень похоже на фейк.

    We have never allowed US citizens or foreign citizens working in the US
    to hack on crypto code (Niels Provos used to make trips to Canada to
    develop OpenSSH for this reason), so direct interference in the crypto
    code is unlikely. It would also be fairly obvious - the crypto code
    works as pretty basic block transform API, and there aren't many places
    where one could smuggle key bytes out. We always used arcrandom() for
    generating random numbers when we needed them, so deliberate biases of
    key material, etc would be quite visible.

    So a subverted developer would probably need to work on the network stack.
    I can think of a few obvious ways that they could leak plaintext or key
    material:

     

  • 1.62, hummermania (?), 13:26, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Ассандж №2?
     
  • 1.71, Гиперактивный Троль ака Аноним (?), 13:38, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • –6 +/
    А я таки знал, блин знал. Я им сразу не доверял, уж больно мутный дистр.
     
  • 1.78, iCat (ok), 14:02, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Вентилятор радостно взвизгнул и разбросал по всей комнате...

    "Это всё придумал Черчиль в восемнадцатом году!"

    (Пойду-ка на всякий случай прикуплю попкорна и устроюсь поудобнее. Ща начнётся :))

     
  • 1.81, soccer (?), 14:06, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • –5 +/
    Вот для этого и нужна национальная операционная система. И делать ее надо не на базе линукса а с нуля.
     
     
  • 2.83, Аноним (-), 14:10, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Со своими, национальными дырами и закладками.
     
     
  • 3.84, Анонимус007 (?), 14:12, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > Со своими, национальными дырами и закладками.

    Так ради этого все и затевается. Плюс попилизация всей страны.


     
  • 2.92, Аноним (-), 14:28, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    так наши еще больше бэкдоров наделают!!!
     
     
  • 3.100, sldja (?), 14:59, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    А уж дыр-то наделают, сами того не зная
     
  • 2.178, anoanymous (?), 19:40, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    наверно она никому не нужна, если где можно пользуют винду, а там где нельзя то нельзя любую.
     

  • 1.89, pavlinux (ok), 14:25, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Ой новость, ой удивили :)
     
  • 1.97, Аноним (-), 14:45, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Вот только процессор наш спаяем на КТ315 и разгоним его до 200Мгц
     
     
  • 2.104, dalco (ok), 15:15, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    А 200 МГц для КТ315 не многовато будет?
     
     
  • 3.105, Square (ok), 15:16, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > А 200 МГц для КТ315 не многовато будет?

    250 предел

     
  • 2.157, vle (ok), 18:31, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > Вот только процессор наш спаяем на КТ315 и разгоним его до 200Мгц

    http://www.mcst.ru/

     

  • 1.106, Аноним (-), 15:25, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • –6 +/
    Уже сколько раз писали про бегдоры на разных ОС и сидят эти бекдоры по нескольку лет. Так что не удивительно. Вопрос в другом.

    Эти уязвимости показывают, что насколько ущербна безопасность многолитного ядра и собственно языка С и С++. Надо писать микроядро на языке Паскаль и колбасить мозги.

     
     
  • 2.117, pavlinux (ok), 16:17, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +4 +/
    > Эти уязвимости показывают, что насколько ущербна безопасность многолитного ядра
    > и собственно языка С и С++.

    Из этого следует, что тот кто знает английский - шпиён (с) 1937-1953 гг.

    > Надо писать микроядро на языке Паскаль и колбасить мозги.

    Всех расстрелять и писать на Кумире.


     
  • 2.121, Аноним (-), 17:00, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Думаете, в Паскале не придется память вручную освобождать? Хотя строки там действительно малость получше. Но ненужной писанины просто адски много и в самых неожиданных местах
     
     
  • 3.256, q (??), 10:40, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Пример кода в студию!
     
  • 2.141, Michael Shigorin (ok), 17:48, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > многолитного [...] Паскаль [...] колбасить

    (уходит, давясь рыданиями)


     
     
  • 3.170, zazik (ok), 19:22, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –2 +/

    > (уходит, давясь рыданиями)

    Осторожнее, Михаил, это всего лишь школоло-тролль. А Вы нам ещё нужны.

     
  • 3.257, q (??), 10:43, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >> многолитного [...] Паскаль [...] колбасить
    > (уходит, давясь рыданиями)

    По определению понятно, что сделать бэкдор в монолите проще, чем в микроядре. Микроядерный код проще верифицировать.

     
     
  • 4.286, Аноним (-), 22:33, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > По определению понятно, что сделать бэкдор в монолите проще, чем в микроядре. Микроядерный код проще верифицировать.

    Недавно обсуждали на ЛОРе. Не легче. Алгоритмы передачи сообщений в микроядре значительно усложняют код, а не упрощают его.

     

  • 1.118, Аноним (-), 16:29, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    FreeBSD, с большой вероятность имеет тот же нюанс.Понятно никто не признается и все будут отрицать это.
     
  • 1.119, Дедушка Советской Армии (?), 16:37, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А почему слово "бэкдор" в заголовке в единственном числе?
    FBI implemented a number of backdoors and
    side channel key leaking mechanisms into the OCF, for the express
    purpose of monitoring the site to site VPN encryption system
    implemented by EOUSA, the parent organization to the FBI.
    ФБР внедрило несколько бэкдоров и побочных канальных механизмов утечки ключей в OCF, для явно выраженной цели мониторинга системы шифрования "site to site VPN", внедрённой EOUSA, родительской организацией ФБР.
    Также не только Jason Wright был задействован, а несколько человек, которые с ним работали.
    Новость, конечно, очень неприятная, особенно для репутации OpenBSD.
     
     
  • 2.123, ivi (??), 17:07, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Между прочим, в США распространение ПО приравнено к распространению вооружений. Думается, что бэкдор так или иначе есть везде. И это не новость.
     
     
  • 3.175, __Bulgarin (?), 19:31, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > Между прочим, в США распространение ПО приравнено к распространению вооружений. Думается,
    > что бэкдор так или иначе есть везде. И это не новость.

    У себя в голове не проверяли?


     

  • 1.124, as (??), 17:11, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    превый вопрос
    одобрена ли OpenBSD российскими спецслужбами ?
    если одобрена , кто одобрил того на кол ?

    второй вопрос

    вы всё ещё верите что в линукс или freebsd нет бекдора ? :)


     
     
  • 2.138, pupkin (?), 17:42, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    проскакивали как-то сообщения что МСФТ борется с палёными установками софта через сообщения от какого-то левого системного сервиса, который инвентори софта им втихаря шлёт...
     
  • 2.212, Аноним (-), 00:23, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    устал уже повторять, что OpenBSD как Неуловимый Джо
     
  • 2.214, __Bulgarin (?), 00:33, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > вы всё ещё верите что в линукс или freebsd нет бекдора ?  :)

    Есть. Даешь админу на лапу достаточно зеленых, визу и билет нахрен - и система твоя.

     
     
  • 3.319, Michael Shigorin (ok), 20:40, 17/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    >> вы всё ещё верите что в линукс или freebsd нет бекдора ?  :)
    > Есть. Даешь админу на лапу достаточно зеленых, визу и билет нахрен -
    > и система твоя.

    Это если он лох и верит в зелёные -- а от себя не убежишь.

     

  • 1.131, mirr0r (ok), 17:34, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Так и не понял, о чем спор то.
    Приходят ко мне два кренделя из малоизвестного отдела всем известной организации.
    Говорят "Вот этот пацан из вашей сетки в нете всякое непотребство творит".
    Показывают мне файлик расшифровки трафика этого пацана, приблизно 800-850 Мб.
    Там про него все, пароли, сервера где регился, что, когда, откуда качал.
    Потом подразобрались, не из нашей сетки. Мужики ушли, а я подумал
    "Если мне хоть кто-то скажет про возможности скрытия своих данных,
    пошлю на три буквы адназначна (в нет)."

    К слову. Во всех развитых странах все конторы получают алгоритмы
    шифрации-дешифрации всех ключевых систем.
    Если кто-то не понял, псмотрите хотя бы пакет dsniff (его возможности).
    А ведь это фришный, опять же, пакет.

    А про бэкдоры, так надо быть круглым и--том, чтобы думать, что их нет
    в современных осях (фришных, полуфришных, совсем-не-фришных).
    Вы что действительно думаете, что от серьезной конторы спрячетесь?

    На землю вернитесь, пора повзрослеть.

    Кстати, еще один товарисч из всем известной конторы мне говорил:
    "Если на тебя нет приказа, не парься, никто тебя не тронет.
    А если будет на тебя приказ, хоть будь весь золотой и с платиновой
    головкой - посадят, никто не поможет"

     
     
  • 2.171, __Bulgarin (?), 19:22, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Люблю сказочников таких, под кер вечером, слушать.

    > Кстати, еще один товарисч из всем известной конторы мне говорил:

    SSL/TLS - наше решение. В любом другом случае аутентификационные ключи идут в открытом виде так или иначе, если добраться до физики в разрыв.

    СОРМ ящики стоят далеко не на всех узлах. Затрахаются искать данные. Бардак - везде. И у операторов, и у безопасников.

    dsniff еще 10 лет назад пользовал ради интереса. После получения помойки из 3000 юзероключей, из которых 90% каждый повторяеться раз 100, стало скучно.
    Вы еще для себя wireshark откройте - тот даже голосовые потоки на лету декодирует, стандартные некриптованные.

     
  • 2.172, Аноним123321 (ok), 19:23, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    и что там были за адреса вконтактик, одноклассники, какието форумы на vbulletin... текст свёрнут, показать
     
  • 2.173, __Bulgarin (?), 19:27, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/

    >Потом подразобрались, не из нашей сетки.

    Сразу не обратил внимание на строку байку - тоды спецы, ни чего не скажешь, раз про Ай-Пи номера знают :)
    Вот этих специалистов нахрен никому неизвестных отделов и приходилось консультировать, дабы RJ45 от RJ12 научились отличать :)

     
     
  • 3.197, AFCrio (ok), 21:35, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Вы про RJ45 рассказываете как раз как специалист из нахрен никому неизвестных отделов. Сильно подозреваю что обычно вы так называете совсем другой интерфейс.
     
     
  • 4.201, __Bulgarin (?), 22:01, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > Вы про RJ45 рассказываете как раз как специалист из нахрен никому неизвестных
    > отделов. Сильно подозреваю что обычно вы так называете совсем другой интерфейс.

    Ага, точно. В отделах К и подобных аналитики-математики, нахрен абстрагированные от сетевых технологий. Угу.
    Сильно абстрагированные.


     
  • 4.202, __Bulgarin (?), 22:05, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > Вы про RJ45 рассказываете как раз как специалист из нахрен никому неизвестных
    > отделов. Сильно подозреваю что обычно вы так называете совсем другой интерфейс.

    Да, и не мучайте уж, напишите свои подозрения - тут телепатов нет. Очень хочется узнать вашу квалификацию как эксперта в интерфейсах :)


     
     
  • 5.221, AFCrio (ok), 02:14, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Я подозреваю, что вы так называете то, что согласно TIA/EIA-568 зовется 8P8C. И да, это важно. Как минимум в конструкторской документации. Поскольку если там написать RJ-45, то в итоге его могут попытаться использовать, что приведет к проблемам.
     
     
  • 6.223, __Bulgarin (?), 02:28, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Я подозреваю, что вы так называете то, что согласно TIA/EIA-568 зовется 8P8C.

    Да, ты знал! Мы спасены! Теперь все будем так говорить - "Дайте мне пожалуйста 8П8С сотенную пачку и 6П6С две."
    Даже наш кладовщик Василий Иванович скажет - "Тебе точно две пачки 6П6С и одной 8П8С хватит?", и при этом не пошлет тебя три раза найух, пытаясь выговорить это в понедельник утром и пятницу вечером.

    Пилять... И эти пытаются учить... :)

     
     
  • 7.225, AFCrio (ok), 02:41, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Я указал что вы неправы, указал что это может привести к проблеме, и в каком случае. И мне абсолютно все равно что скажет ваш кладовщик и сколько раз. Если вы привыкли вырывать слова из контекста и не представляете, что где-то требуются строгие соблюдения формальной терминологии, то Дальнейшее общение с вами считаю бессмысленным.
    И вас учить точно никто не пытается, для общения с Василием Ивановичем вашего запаса знаний хватит с избытком.

     
     
  • 8.227, __Bulgarin (?), 02:59, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Да ладно, не дуйся Ты написал все правильно, registered jack 45s это действител... текст свёрнут, показать
     

  • 1.140, vf (?), 17:46, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Тем, кто верит в легко обнаружимые 'особенности' кода, особенно в математике:
    сколько аудитов прошел вполне открытый стандарт DAA до доклада на рускрипте?
    http://www.ruscrypto.ru/sources/conference/rc2009/

    И даже после, многие ли заметили какие могут быть последствия,
    учитывая что TPM уже давно не новинка?

     
     
  • 2.143, guest (??), 17:52, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Беда в том, что процентов 90% не понимают разницы между аудитом с целью поиска банальностей
    типа переполнения буферов (чем в основном и занимается Тео со товарищи) и  доказательством логики.
     
     
  • 3.193, __Bulgarin (?), 21:05, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > Беда в том, что процентов 90% не понимают разницы между аудитом с
    > целью поиска банальностей
    > типа переполнения буферов (чем в основном и занимается Тео со товарищи) и
    >  доказательством логики.

    % от чего?

    99,999 процентов жителей планеты не умеют программировать на С.

     
     
  • 4.195, guest (??), 21:28, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > % от чего?

    От отписавшихся в треде.

     
  • 2.191, __Bulgarin (?), 21:04, 15/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    > Тем, кто верит в легко обнаружимые 'особенности' кода, особенно в математике:
    > сколько аудитов прошел вполне открытый стандарт DAA до доклада на рускрипте?
    > http://www.ruscrypto.ru/sources/conference/rc2009/

    FIPS PUB 113
    Computer Data Authentication 1985, specifies a Data Authentication Algorithm (DAA) based on DES, adopted by the Department of Treasury and the banking community to protect electronic fund transfers.
    http://www.itl.nist.gov/fipspubs/fip113.htm

    Неуловимый Джо.

    _Аутентификационный_ алгоритм, давно не используемый. В ipsec алгоритмах в BSD не используется.

    Для аутентификации пакетов используеться любой из md5/ripemd5, sha1, sha2, aes.
    Для шифрования - любой из des3, aes/rijndael, blowfish, cast.

     
     
  • 3.216, Andrew (??), 00:38, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Можете смеяться, но у меня мурашки по коже честно говоря пробежали Я и до этого... текст свёрнут, показать
     
     
  • 4.219, __Bulgarin (?), 02:03, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Можете смеяться, но у меня мурашки по коже честно говоря пробежали. Я
    > и до этого знал, что есть такие дырки... Работал у одного
    > крупного провайдера. В сети объявился кулхацкер, подломивший пару банков. Давно это

    жуть какая! подломил пару банков!

    > Сейчас занимаюсь аудитом корпоративных сетей. Все учетки и пароли у меня на
    > столе обычно бывают через сутки после запуска снифера. Дырки... Если винда
    > включена в локалку, то она прозрачна как ну не знаю как...
    > )))

    kerberos tickets тоже? :)

     
     
  • 5.254, zazik (ok), 09:58, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/

    > kerberos tickets тоже? :)

    Ещё бы! Он и SSL-потоки на лету декодирует!

     
  • 3.259, vf (?), 12:00, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    >> http://www.ruscrypto.ru/sources/conference/rc2009/
    > FIPS PUB 113
    > Computer Data Authentication 1985, specifies a Data Authentication Algorithm (DAA) ...

    Direct Anonymous Authentication, IACR 2004/205.
    Иногда полезно сначала таки посмотреть

     

  • 1.205, guest (??), 22:20, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    А вот и виновник нашего маленького торжества проснулся.

    Subject: Allegations regarding OpenBSD IPSEC

    Every urban lengend is made more real by the inclusion of real names,
    dates, and times. Gregory Perry's email falls into this category.  I
    cannot fathom his motivation for writing such falsehood (delusions
    of grandeur or a self-promotion attempt perhaps?)

    I will state clearly that I did not add backdoors to the OpenBSD
    operating system or the OpenBSD crypto framework (OCF). The code I
    touched during that work relates mostly to device drivers to support
    the framework. I don't believe I ever touched isakmpd or photurisd
    (userland key management programs), and I rarely touched the ipsec
    internals (cryptodev and cryptosoft, yes).  However, I welcome an
    audit of everything I committed to OpenBSD's tree.

    I demand an apology from Greg Perry (cc'd) for this accusation.  Do
    not use my name to add credibility to your cloak and dagger fairy
    tales.

    I will point out that Greg did not even work at NETSEC while the OCF
    development was going on.  Before January of 2000 Greg had left NETSEC.
    The timeline for my involvement with IPSec can be clearly demonstrated
    by looking at the revision history of:
           src/sys/dev/pci/hifn7751.c (Dec 15, 1999)
           src/sys/crypto/cryptosoft.c (March 2000)
    The real work on OCF did not begin in earnest until February 2000.

    Theo, a bit of warning would have been nice (an hour even... especially
    since you had the allegations on Dec 11, 2010 and did not post them
    until Dec 14, 2010).  The first notice I got was an email from a
    friend at 6pm (MST) on Dec 14, 2010 with a link to the already posted
    message.

    So, keep my name out of the rumor mill.  It is a baseless accusation
    the reason for which I cannot understand.

    --Jason L. Wright

     
  • 1.209, о (?), 23:29, 15/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Тео пиарится. Он это любит.
     
  • 1.218, Аноним (-), 01:04, 16/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А почему все так говорят, будто этот бэкдор - неопровержимый факт?
    Может проекту OpenBSD понадобились добровольцы для проведения аудита исходников и они придумали пиар-акцию?
     
     
     
     
    Часть нити удалена модератором

  • 4.248, AFCrio (ok), 08:19, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Разве я был неправ в своем утверждении Никогда не говорите никогда ведь дыр... текст свёрнут, показать
     
     
     
    Часть нити удалена модератором

  • 6.273, __Bulgarin (?), 15:26, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +/
    Это маленький кусочек реального diff реального файла из ipsec логики, изначально... текст свёрнут, показать
     
  • 6.275, __Bulgarin (?), 15:46, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > банальном наличии желания блобы не сильно далеко ушли от исходников. Наверное
    > про дизасм слышали? Так вот, необходимое желание (в той же криптографии)
    > для аудита исходников или дизасма примерно равно. Да, да, можете смеяться
    > хоть лежа. Посмотрите сходники любого криптопротокола - вы нихрена там не
    > поймете. И 98% программистов нихрена не поймут, кроме семантики.

    98% из кого?

    98% системных и сетевых программистов возможно не изучали алгоритмы IKE. Да и собственно, нафига? Кроме программирования ipsec еще есть масса задач. 2% тех кто изучали, и 0.5% что могут разобраться, поправить или написать при необходимости - вполне под данную логику достаточно.

     
  • 2.250, Vitaly_loki (ok), 09:34, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Какой постулат Вы что реально не видете разницы между наличием возможности и ее... текст свёрнут, показать
     

  • 1.229, linux_must_die (ok), 03:22, 16/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    oh shi.. неужели этот день все же настал? скрестил пальцы на удачу.

    p.s. здравый смысл подсказывает что бэкдоры в opensource есть, не говоря уже про винду,mac,intel,amd или ту же cisco и прочую хрень.

     
     
  • 2.253, AFCrio (ok), 09:42, 16/12/2010 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Здравый смысл подсказывает что бэкдоры при наличии исходников обнаружить проще, чем занимаясь дизассемблированием. Этим я никоим образом не говорю о том, что они все обнаружены или этим серьезно занимаются.
    P.S. И еще можно утверждать что количество не найденных ошибок и бекдоров может быть отлично от ноля и стремиться к бесконечности в силу определения. До тех пор, пока нет фактов или обоснованных предположений о том, что они используются можно не страдать параноей. (IMHO)
     

  • 1.288, Аноним (-), 23:11, 16/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    "Это "ж-ж-ж" - неспроста" (с) Винни пух
    вот только недавно Тхео про wikileaks писал и как нехорошо власти себя ведут :)
    и тут же сразу всплыли закладки, интересно, интересно
     
  • 1.323, test (??), 18:47, 19/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    если это им поможет террористов найти только в путь:)
     
  • 1.325, Аноним (-), 20:23, 22/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    http://www.obsd.ru/8/?q=node/1789
     
  • 1.326, nagual (ok), 16:40, 23/12/2010 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >если это им поможет террористов найти только в путь:)

    А если завтра терористами станут объявлять всех неуходных ?

     
  • 1.327, vf (?), 17:17, 10/01/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    http://code.bsd64.org/cvsweb/openbsd/src/sys/netinet/ip_esp.c.diff?r1=1.74;r2
    http://extendedsubset.com/
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Спонсоры:
    Слёрм
    Inferno Solutions
    Hosting by Ihor
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2019 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру