NSA in Microsoft prestrezala komunikacijo pred šifriranjem

Eno je javni pregon oz. javno sojenje, drugo so dejavnosti obveščevalnih in drugih tajnih služb.

Dostopnost izvorne kode, če je ne pregleda kompetentna in zaupanja vredna osebe ter jo sam prevajaš, nima nobene dodane vrednosti z vidika varnosti.

Definitivno se strokovnaki strinjajo, da je t.i. "security through obscurity", torej varnost s skrivanjem slaba, majoča se varnost.

Torej je argument, da je zaprta koda bolj varna zelo majav.

trizob je 17. jul 2013 ob 15:15 izjavil:

Dostopnost izvorne kode, če je ne pregleda kompetentna in zaupanja vredna osebe ter jo sam prevajaš, nima nobene dodane vrednosti z vidika varnosti.

Natančno tako.

ABX je 17. jul 2013 ob 17:41 izjavil:

Če govorim o open soruce kot varna alternativa potem privzamem dejstvo da je kodo preverilo veliko profesionalcev.

Tudi Microsoftovo kodo je preverilo veliko profesionalcev. Ergo, alternativa je enako varna.

ABX je 17. jul 2013 ob 17:43 izjavil:

True Crypt je varen ker ko pogledaš kodo vidiš da notri ni nobenega sranja za odklepat datoteke razen ključev ki si ti generiral.

Še tistega trovrstičnega primera, ki sem ti ga dal ne razumeš, boš pa razumel, da je algoritem rahlo narobe spisan, da leaka bite, ja sigurno.

ABX je 17. jul 2013 ob 17:43 izjavil:

Pri zaprti kodi nimaš te garancije.

Enako garancijo imaš. Dve leti je debian trdil kako je varen z invalidnim random generatorjem in verjetno so tebi podobni enako zatrjevali kako je pa debian varen.

ABX je 17. jul 2013 ob 17:43 izjavil:

Tu pa nastane problem, vsi ti profesionalci so plačani od Microsofta in ne morejo izvaja prostega govora (kritizirat določene poteze).

Na linuxu so pa od NSA, ki je tako ali tako v interesu, da je vse backdoorano.

ABX je 17. jul 2013 ob 17:48 izjavil:

Se mi ne da več.

Ne moreš več, bulšitiraš od vsega začetka, delaš reklamo Giantovim biciklom, da so boljši od Cannondala zato ker lahko z njimi obiraš koruzo.

brodul je 17. jul 2013 ob 18:01 izjavil:

Jaz zelo dvomim, da ma openSSH ali pa PAM backdoor, sem pa preprican

Tole je iz debianovega openSSLja (openSSH ima dependancy nanj), obstajala je od 2006 do 2008 in je naredila private keye uganljive. Bug in hudo naključje? Ali backdoor? S syntax coloringom bo morda komu potegnilo... ;)

#ifndef PURIFY
   /*
    * Don't add uninitialised data.
     MD_Update(&m,buf,j); /* purify complains */
    */  
#endif

Poznam ta backdoor. Ne vem ce je naklucje, najbrs ni. Ne bos verjel, da so to popravili.
Samo to da imajo odprtokodni projekti buge/backdoore, samo spodbudi, da se placajo code audite, ki so ponavadi javno objavljeni. Majo odprtokodni projekti dosti lukenj, ki so prijavljene, pa jih noben ne popravi zaradi tega ali onega razloga (zakaj le obstajajo hardened razlicice in patchajo to ali ono). Jaz sem preprican, da se od takrat naprej openssl in openssh se hudicevo gleda, sploh na Debianu.

Seveda pri zaprti kodi vse dela in je varno, poklici katerokoli podjetje in vprasaj, njim to dela in si varen, sploh se ne sekiraj. Samo potem ko so resni problemi noben nic kriv. Ljudje se pogovarjajo o varnosti, kot o predmetu na faksu. Bolj je na tekocem z nogometom. Zadaj so za par let. Samo upas lahko, da uporabljajo framework ali pa neko knjiznico, ki je odprtokodna ali pa jo vsaj uporablja se kdo drug ter je napisal black box teste.

Drugace pa te debate v Sloveniji nimajo veze, ker je vazno da je ISO-2700X. Ce ima aplikacija hudo varnostno raljivost, ne povedat sefu. Izkusnje zgolj izmisljene. Ponavadi odprtokodne resitve recejo: za to ni garancije oz. uporabljas na lastno odgovornost. Potem mas pa "Tle vse varno; move along". Katero bo kaj zbral clovek (ki je avtoriziran za odlocitev), ki noce odgovornosti in mu je vseeno za stranke iz tehnicnega vidika varnosti?

Za vse je prostor and time will tell. Jaz lahko spim.

brodul je 17. jul 2013 ob 22:09 izjavil:

Poznam ta backdoor. Ne vem ce je naklucje, najbrs ni. Ne bos verjel, da so to popravili.
Samo to da imajo odprtokodni projekti buge/backdoore, samo spodbudi, da se placajo code audite, ki so ponavadi javno objavljeni. Majo odprtokodni projekti dosti lukenj, ki so prijavljene, pa jih noben ne popravi zaradi tega ali onega razloga (zakaj le obstajajo hardened razlicice in patchajo to ali ono). Jaz sem preprican, da se od takrat naprej openssl in openssh se hudicevo gleda, sploh na Debianu.

Seveda pri zaprti kodi vse dela in je varno, poklici katerokoli podjetje in vprasaj, njim to dela in si varen, sploh se ne sekiraj. Samo potem ko so resni problemi noben nic kriv. Ljudje se pogovarjajo o varnosti, kot o predmetu na faksu. Bolj je na tekocem z nogometom. Zadaj so za par let. Samo upas lahko, da uporabljajo framework ali pa neko knjiznico, ki je odprtokodna ali pa jo vsaj uporablja se kdo drug ter je napisal black box teste.

Drugace pa te debate v Sloveniji nimajo veze, ker je vazno da je ISO-2700X. Ce ima aplikacija hudo varnostno raljivost, ne povedat sefu. Izkusnje zgolj izmisljene. Ponavadi odprtokodne resitve recejo: za to ni garancije oz. uporabljas na lastno odgovornost. Potem mas pa "Tle vse varno; move along". Katero bo kaj zbral clovek (ki je avtoriziran za odlocitev), ki noce odgovornosti in mu je vseeno za stranke iz tehnicnega vidika varnosti?

Za vse je prostor and time will tell. Jaz lahko spim.

Nič novega nisi povedal, po drugi strani ti povem, da so celi windowsi vkljucno z notepadom disassemblani z vseh moznih koncev, od blackhatov pa do crackerjev ali pač samo ljudi, ki jim gre na k* da kaj ne dela. Ker je baza uporabnikov 40x večja so benefiti vsega najdenega veliko večji, da sploh ne omenjam, da najdeš, da imajo windowsi backdoor in to objaviš na "blogu". Ampak vse skupaj je čisto vseeno, varnosti se na način "tisti je rekel, da je varno" ne da igrati in ali je nekaj odprtokodno ali ni ni noben faktor pri vsem skupaj.

Poldi112 je 18. jul 2013 ob 09:41 izjavil:

Seveda je faktor - velik faktor. To da Debian zajebe je mačji kašelj v primerjavi z MS, ki namensko pomaga NSA. Ampak ti vse skupaj mečeš v isti koš. Toliko o tem, kdo je trol.

Tehnično je povsem ista reč, rezultat pa enak. Na ravni vrednostnih sodb pa je morda drugače, a koga to sploh zanima?!

Poldi112 je 18. jul 2013 ob 10:35 izjavil:

Kako je lahkko tehnično enako, če greš na roko NSA ali če ne greš?

Ker je dokazano večkrat imela tudi OK podatknjene funkcionalnosti. Rezultat pa je isti ali je to podtaknjeno ali dogovorjeno.

Ne vpletaj čustev, pri ugotavoljanju učinka vrednostne sodbe nimajo kaj iskati.

Tehnično != moralno. Najprej loči ti dve kategoriji.

Nato pa še razumi, katere vse so odprtokodne skupnosti, te namreč niso samo skupnosti okoli Linuxa. Prav tako je večina znanih/razširjenih šifrirnih in zgoščevalnih algoritmov javnih, kar lahko enačimo z odprto kodo. Problem pa je tu še bolj izrazit, saj je ljudi, ki imajo znanje, da jih revidirajo oz. preverjajo njihovo implementacijo, še veliko manj.

Govorimo o varnosti in tu se odprtokodno izpostavlja kot bolj varno, kar nikakor ni samoumevno, temveč zgolj pod določenimi pogoji. Če se še enkrat ponovim:

Dostopnost izvorne kode, če je ne pregleda kompetentna in zaupanja vredna osebe ter jo sam prevajaš, nima nobene dodane vrednosti z vidika varnosti.

Podobno mislijo uredniki Wikipedije: TrueCrypt @ Wikipedia

Je pa ta preglednost, ki jo nudi odprta koda, zgolj predpogoj za boljšo varnost in nikakršno zagotovilo. Prav zato so pavšalne vse izjave, da je nekaj bolj varno, ker je odprtokodno in skrajno naivne, da nekdo nečemu bolj zaupa, ker je odprtokodno!

Nekaj za pokušino, si pa lahko sam poiščeš, koliko je tega ...

http://marc.info/?l=openbsd-tech&m=1292...
http://www.wired.com/opinion/2013/01/wi...
http://arstechnica.com/business/2012/02...
https://www.schneier.com/essay-198.html
http://www.freebsd.org/news/2012-compro...
http://www.theregister.co.uk/2003/11/07...

Da hecnega hrošča Kena Thompsona, ki ga je podtaknil v C prevajalnik, niti ne omenjam, saj se je tam uspešno skrival zelo dolgo. Četudi ni bil škodljive narave, pove veliko o varnosti (tudi odprte kode).
http://scienceblogs.com/goodmath/2007/0...

Prodajalec gor ali dol. Odprta koda je odprta koda.

Na ravni vrednostne sodbe so korporacije hudič, odprtokodne skupnosti angel.

Tehnično pa so OK produkti prav tako dovzetni na namerno vnešene ranljivosti, kar ima povsem enak učinek (četudi je zato potrebnega nekoliko več angažmaja, sredstev, znanja ...).

V razmislek ... Misliš, da razvijalcev OK nihče ne more plačati, da kaj ušpičijo? Ali misliš, da hrošč ne more biti načrtovan in predvidljivega učinka (npr. eskalacije pravic ali še kaj hujšega)?

Ne moreš na podlagi argumenta, da noben sistem ni bulletproof narediti zaključka, da so vsi enaki.

S strogo tehničnega stališča lahko naredim tak zaključek, nikakor pa nisem uporabil argumenta, ki mi ga podtikaš. Saj moraš nevarnost prav tako dokazati tudi na zaprtokodnih rešitvah, sicer težko rečeš, da je nevarna. Mirno pa lahko rečeš, da ne veš, kako varna je in stvarem, ki jih ne poznaš, raje ne zaupaj. Da bi jim lahko zaupal, bi potreboval revizijo te kode oseb/-e ki jim/ji strokovna javnost/ti zaupa/-š. Koliko kode pa je dokumentirano revidirane z varnostnega vidika? Kdo od forumašev vse prevaja na sistemu in ne namešča paketov z izvršljivimi datotekami?

Ponovno, daj mi relevanten link, kjer je recimo Debian AKTIVNO pomagal voljhati.

Da bi bila organizacija vpletena v kar koli, nisem nikoli omenjal. To je na ravni vrednostnih sodb. Pri nekaterih očitno tudi čustev.

Trdim pa, da je stopnja varnosti neprimerno višja od USA firme, ki aktivno sodeluje z agencijami svoje države.

Trditev je napačna. Ali to lahko trdiš za posameznike, ki so vpeti v OK skupnosti, da ne sodelujejo z istimi agencijami?

Za nameček so tudi te skupnosti veliko krat pomanjkljivo organizirane glede nadzora nad varnostjo projektov. Žal.

Morda ti bo potegnilo, če si še enkrat prebereš ta odstavek: TrueCrypt @ Wikipedia

V pomoč pri tem naj ti bo naslednje...

TC je OK. Krasno.

Nihče pa ni preveril integritete izvršljivih datotek z rezultatom standariziranega prevajanja, kaj šele resno revidiral kodo in implementacijo algoritmov, da bi to vsaj strokovna javnost sprejela.

Avtor, ki je to za zdaj nerevidirano kodo napisal in za varnosti neučakane pripravil tudi izvršljive datoteke, je povsem neznan. Oprosti, mene to spominja na nezaščiten seks s popolno neznanko iz brazilske favele.

ABX je 17. jul 2013 ob 17:43 izjavil:

True Crypt je varen ker ko pogledaš kodo vidiš da notri ni nobenega sranja za odklepat datoteke razen ključev ki si ti generiral.

Kako pa veš, da ključev ni zgeneriral pristranski generator "naključnih" števil?

Je pa zanimivo kako so se zgražali nad Stassijem in Udbo, sedaj pa delajo isto sami.