Про опенсорс.

[reytsman]

Полное спокойствие может дать человеку только страховой полис
Классик

Я смотрю работники индустрии индустрии считают, что "опенсорс" это ты обязательно сам если не написал, то уже точно скомпилил и точно лично читал все строчки сорса от начала до конца.

Я же считаю, что "опенсорс" это, то к чему открыты исходники. Как определить, что эти исходники можно использовать? Ну скажем если этот проект портирован под netbsd OpenBSD (или ещё какой нибудь известный проект по безопасности _с_открытым_ кодом), то я рискну предположить, что этот код вычитывали профессионалы на наличие очевидных бэкдоров.

Более того, я не вижу очевидных причин почему исходники нужно компилить только самому и никак иначе. Если мы можем проверить md5 на экзекьюшник из нескольких источником, что с вероятностью 99.9% можно предположить, что экзекьюшник собран из кода без модификаций.

При таком подходе ваш Jorge Salcedo Cabrera превращается из красноглазого линуксоида с красными глазами и свитере с оленем в айтишника очень средней руки.

Безусловно и в таком софте будут дыры. Безусловно у "кого надо" поиск этих дыр проходит быстрее, чем у индустрии, но если вами интересуются менты или гуверовская гебня, то этим воробьям такие пушки не доверят.

А теперь внимание... если для безопасности используется только один софт без традиционных дополнительных методов безопасности, то всё равно проблемы это вопрос времени. Всё традиционное "после прочтения сжечь" и "всё важное только при личной встрече".

P.S. И пока мы на вопросе безопасности, я это таки добавлю. Оказывается Ассанж знаменит не только публикациями, но и файловой системой rubberhose предназначенной для борьбы с терморектальным криптоанализом.

Comments

[vit_r]

Анализ на наличие закладок -- это профессиональная и очень дорогая работа. В этом смысле, те же проекты open source должны приглашать за деньги специалистов, которые проверят код строчку за строчкой и протестируют специальными тулами. И это только снизит вероятность взлома.

До следующего апдейта.

Потому, в серьёзных конторах на open source фиксируют версию и запрещают применять другую, включая те, где "только исправлены некоторые ошибки".

[reytsman]

На это и расчёт. Серьёзные конторы могут за тебя вычитать опенсорс для их собственных нужд, а вот если тебе пытаются впарить "только для тебя, суперновое и суперсекретное" то это скорее всего лажа.

[vit_r]

Проверка софта -- это настолько дико дорогое занятие, что придётся сидеть на версии окружения десятилетней давности.

Все плюшки -- только в нагрузку к дыре в безопасности.

В принципе, надёжный вариант -- это полное отделение внутренней сети и выход в Интернет через виртуальный терминал с передачей любого файла только через шлюз, на котором висит и лог, и свежий блок проверок от спецслужб.

[reytsman]

Ну иранцам и это не помогло.

Я бы сказал так... любой проект по "безопасности" с открытым исходником используемый спецслужбами нескольких стран из разного блока даст достаточную безопасность для проектов до 50 миллионов в год.

[vit_r]

Сейчас информации столько, что школьники ломают Пентагон просто ради развлечения. Профессионалам может быть интересен и доступ к 50 тысячам, если у них всё равно есть ключи для взлома к системе.

[reytsman]

Я имел в виду, что спецслужбы не будут работать по ребятам с оборотом меньше 50М в год, при условии, что те не ищут плутоний, а обыкновенным сыскарям не дадут доступ для тех специфических вещей который нужны чтобы читать сети повышенно защиты.

[vit_r]

Обычно "специфические вещи" -- это доступ через wetware. Китайцы ломали немецкие фирмы в хайтехе через социальные сети их начальников. Сначала остолопу сажают на ноут трояна, потом пользуются его неограниченным доступом.

Потом, хороший взлом могут купить просто, чтобы набрать стадо взломанных компьютеров. Их продают пакетами по сто и по тысяче, при цене около бакса за один взломанный комп.

То есть, могут случайно взломать и не заметить, что там была повышенная защита.

[reytsman]

В данном случае я имел в виду, что Вася Петров хочет общаться в Петей Ивановым насчёт разных интересных вещей не привлекая внимания местного отдела полиции. Если Вася Петров уже привлёк внимание полиции и если он ходит в социальные сети со своего "девайса для безопасных коммуникаций", то тут уже ничем не поможешь.

[brmail]

и выход в Интернет через виртуальный терминал

Если там таки есть провод для выхода в интернет, то напомню всем, про первоначальные варианты скайпа (до его покупки MS), которые плевать хотели на всякие файрволы и прочие сетевые экраны устанавливая двустороннюю связь извне этой ограниченной изнутри системы.

[xwind]

* OpenBSD

[reytsman]

Спасибо. Склероз однако.

[brmail]

вот тебе сценарий: Фирма производит какой то опенсорс софт. Ей ставят задачу внедрить туда бекдор (ну скажем возможность включить логинг всего что происходит и периодически опправлять этот файл куда то вовне.) Включать логинг разных уровней - это совершенно законная возможность программы. Отправлять файлы в интернет программа умеет. И с точки зрения кода метод, который этим будет заниматься выглядит просто как вызов первого, на включение , ожидание какого то промежутка времени , и отправка файла. Этот метод не имплементирован. Никакой аудит кода не найдет его, проводился он или нет. В какой то нехороший день софт проверяет себя на наличии обновлений. Находит такое. Возможно даже спрашивает юзера не хочет ли он поставить лейтест и грейтест обновление, ставит и его. В нем такой метод есть, так же в нем есть прошитый флаг отменяющий любой последующий апдейт. На гите выкладывается код в котором такового метода нет. И да, естественно при компиляции и проверке чексумма нового экзешнеика не сойдется. Но кто это проверит. Что мы имеем - программу с опенсорс кодом. Установленную у юзера. С внедренным бекдором (простеньким, но работающим), с возможностью выловить этот бекдор только по поведению программы, не по анализу кода, который ничего не даст. Для этого необходимо только наличие само-апдейта софта и желание фирмы производителя. волшебное слово опенсорс не поможет в данном случае.

[reytsman]

//Фирма производит какой то опенсорс софт
Вот сразу нет. Вот на слове "фирма" это обсуждение теряет смысл.

//Включать логинг разных уровней - это совершенно законная возможность программы.
Логгинг на введённую информацию? Тоже сразу нет.

//И да, естественно при компиляции и проверке чексумма нового экзешнеика не сойдется. Но кто это проверит.
Если мы не компилим сами, то полная проверка всех md5 обязательна, без этого обсуждение не имеет смысла.

[brmail]

ты начинаешь генерировать фиговые увертки. На каждое твое возражение можно найти и обратные доводы.
Я считаю что открытый код реально не дает никаких преимуществ безопасности в краткосрочной перспективе. На промежутках в годы - ну может быть, но не факт. Особенно в ситуации когда дыра внедряется злоумеренно и маскируется

[reytsman]

Открытый код это не более чем получение дополнительного сертификата... Если есть сертификат от российских, китайский и американских ребят которые говорят "мы рекомендуем данный продукт для полиции и наших спецслужб", то это более хорошая гарантия что там нет закладок чем "мамой клянусь да, Вован он ваще гений в натуре, сам всё написал. Не фуфло, реально хорошая защита".

[rampitec]

Осталось найти опенсорсный проект для защищённой коммуникации с проведенным аудитом.

[reytsman]

Двух минутное копание показывает, что signal отвечает почти всем условиям данной задачи, но думаю в портах OpenBSD можно нарыть и другие варианты.

[rampitec]

Я нашел аудит протокола, что конечно очень хорошо. Не особенно вижу аудит самого кода.

[reytsman]

Тут нужно копать рекомендации, наверняка "те кому нужно" делали аудит с целью поиска дыр и по результатам поисков наверняка давали рекомендации за и против использования. Если есть рекомендации от трёх и более стран из разных блоков, то скорее всего аудиты дали положительный результат.

[brmail]

с проведенным недавно аудитом.

[reytsman]

Если залезать в такие глубины, то главной задачей становиться не порезаться об куча закладок в железе которых полно на любой платформе.

[borisk]

Я бы хотел напомнить, что современные железки очень умны и их firmware иногда даже самообновляется через Internet.

Разумеется, незаметно для вышележащей операционной системы.

Самая безопасная ОС не играет против анализатора протоколов в сетевой карте.

Хотите быть параноиком — становитесь технонекрофилом.

[reytsman]

Да, я тоже как раз только что писал, что если вами заинтересовались люди у которых есть доступ к закладкам в вашем железе, то на всё остальное вообще пофиг.