OpenBSD "backdoor"

[notsafe]

la notizia sta rimbalzando da una ML all'altra.
Riporto il "riassunto" di OS Blog:

"In queste ore sta facendo molto discutere il contenuto di una mail personale pubblicata da Theo de Raadt, leader del progetto OpenBSD.

Nella lettera inviatagli da Gregory Perry si racconta come, all’inizio del millennio, l’FBI avesse pagato alcuni sviluppatori sotto suo contratto per inserire nel codice relativo ad IPSEC delle backdoor. Theo ha deciso di pubblicare immediatamente la lettera e dare il via ad un’analisi approfondita di tutto il codice per verificare la veridicità di quanto affermato.

Perry non si incontra con Theo da molti anni e l’unico motivo che l’ha spinto a vuotare il sacco sulla vicenda solo ora è la fine dell’accordo di riservatezza che aveva firmato e che gli impediva di divulgare questo genere di informazioni. Lo scopo dell’FBI era quello di poter monitorare le connessioni VPN.

Il codice IPSEC in questione è vecchio ed in molti, in questi anni, ci hanno messo mano quindi le probabilità che un’ipotetica backdoor sia ancora presente sembra piuttosto basso, ma non si può certamente escludere quest’eventualità. Lo stack IPSEC, essendo il primo disponibile in formato libero, fu utilizzato in molti altri ambiti, quindi, potenzialmente, le backdoor potrebbero essere ancora presenti in altri sistemi."

http://www.ossblog.it/post/7195/openbsd ... e-di-ipsec

C'è chi dice che è solo FUD, chi invece sa di essere spiato ormai da anni.

Il tutto è ancora in divenire,non si sa in realtà molto altro.A chi interessa seguire il thread "di ufficio":
http://marc.info/?t=129236639300001&r=1&w=2

Chi vuole vedere invece possibili flame,può iscriversi a una qualsiasi ML di sicurezza.

[masalapianta]

da notare de Raadt che se ne lava le mani come se non fosse un suo problema

[Meskalamdug]

Figura di cacca per OpenBSD e triste constatazione che l'anonimato e la sicurezza sono andati
a farsi friggere.
Secondo me anche i vari https,certificati,ssl lasciano il tempo che trovano..ci sono ragioni "superiori" che sovrastano la logica e giusta richiesta di privacy e sicurezza.

[phobos3576]

Figura di cacca per OpenBSD e triste constatazione che l'anonimato e la sicurezza sono andati
a farsi friggere.
Secondo me anche i vari https,certificati,ssl lasciano il tempo che trovano..ci sono ragioni "superiori" che sovrastano la logica e giusta richiesta di privacy e sicurezza.

Se la notizia venisse confermata, molti utenti Linux esulterebbero sadicamente visto che i "cugini" di OpenBSD non perdono occasione per irridere il Pinguino. Lo stesso Theo de Raadt, come molti ricorderanno, si era messo in evidenza per quella sua famosa frase: "Il kernel Linux è un cumulo di spazzatura".

In ogni caso, c'è poco da stare tranquilli visto che, qualche anno fa, nientemeno che la terribile NSA aveva annunciato un suo "interessamento" a Linux finalizzato a rendere "più sicuro" il kernel; possiamo facilmente immaginare cosa intenda la NSA per "kernel più sicuro".
Certo, Linus Torvalds e i suoi collaboratori controllano ogni linea di codice, ma chi ci dice che quelli della NSA non siano riusciti ad intrufolarsi in qualche modo nei server di kernel.org inserendo magari del codice mutante che si materializza solo in fase di esecuzione?

Anche in relazione a Windows poi si parla da tempo di backdoors inserite con il consenso di Microsoft.

[notsafe]

In ogni caso, c'è poco da stare tranquilli visto che, qualche anno fa, nientemeno che la terribile NSA aveva annunciato un suo "interessamento" a Linux finalizzato a rendere "più sicuro" il kernel; possiamo facilmente immaginare cosa intenda la NSA per "kernel più sicuro".
Certo, Linus Torvalds e i suoi collaboratori controllano ogni linea di codice, ma chi ci dice che quelli della NSA non siano riusciti ad intrufolarsi in qualche modo nei server di kernel.org inserendo magari del codice mutante che si materializza solo in fase di esecuzione?

veramente la "terribile NSA" ha già dato un importante contributo (forse uno dei più importanti sotto l'aspetto "security"): SELinux
http://www.nsa.gov/research/selinux/index.shtml

ormai attivo di default su molte distro.

[shark1500]

Certo, Linus Torvalds e i suoi collaboratori controllano ogni linea di codice, ma chi ci dice che quelli della NSA non siano riusciti ad intrufolarsi in qualche modo nei server di kernel.org inserendo magari del codice mutante che si materializza solo in fase di esecuzione?

Hai guardato un po` troppi film di fantascienza

[phobos3576]

Hai guardato un po` troppi film di fantascienza

Il problema è che molti pensano che sia fantascienza ...

[shark1500]

Il problema è che molti pensano che sia fantascienza ...

No, come sviluppatore del kernel posso dirti che e` fantascienza

[hashbang]

ma chi ci dice che quelli della NSA non siano riusciti ad intrufolarsi in qualche modo nei server di kernel.org inserendo magari del codice mutante che si materializza solo in fase di esecuzione?

Beh mettiamo il caso che possa essere vero
I tester del kernel Linux non se accorgerebbero, visto l'immane lavoro quotidiano che viene effettuato sul codice del kernel? Secondo me si...

Se la notizia venisse confermata, molti utenti Linux esulterebbero sadicamente visto che i "cugini" di OpenBSD non perdono occasione per irridere il Pinguino. Lo stesso Theo de Raadt, come molti ricorderanno, si era messo in evidenza per quella sua famosa frase: "Il kernel Linux è un cumulo di spazzatura".

Sarà anche un cumulo di spazzatura, ma è anche un cumulo di investimenti da parte di aziende del calibro di HP e IBM. Theo de Raadt può solo sognare di fare competizione al kernel Linux in tutti quei campi in cui il pinguino sta piano piano guadagnando terreno nei confronti dei grandi marchi. Ha costruito un sistema operativo sicuro ai limiti della paranoia.....scommetto pure che ha trasformato casa sua in un bunker, tipo quello che hitler che aveva costruito sotto il reichstag....a prova di guerra nucleare )

[notsafe]

Sarà anche un cumulo di spazzatura, ma è anche un cumulo di investimenti da parte di aziende del calibro di HP e IBM. Theo de Raadt può solo sognare di fare competizione al kernel Linux in tutti quei campi in cui il pinguino sta piano piano guadagnando terreno nei confronti dei grandi marchi. Ha costruito un sistema operativo sicuro ai limiti della paranoia

due precisazioni:
- Il fine di OpenBSD è quello di essere l'OS più sicuro al mondo,non quello di competere in ambiti enterprise con altri vendor.
- Theo de Raadt è anche "quello che ha costruito" l'implementazione SSH più diffusa al mondo (OpenSSH):a volte essere paranoici aiuta pure la comunità.

[simplex]

lo stack ipsec di openbsd e' stato importato anche su linux, tanto per dirne una.
Sul fatto che sia vero o no, staremo a vedere... mi pare strano che una cosa cosi' sia sfuggita quando hanno committato il codice, e che nessuno ne se sia accorto per 10 anni.
Anche se bisogna dire che stiamo parlando di ipsec, non dei sorgenti di "ls".
Sarebbe comunque una figuraccia da parte di Theo & c.

[notsafe]

Al di là del fatto che rimane ancora il tutto nel limbo del "non si sà se è solo FUD o che altro", in ML qualcuno ha esposto quello che dovrebbe invece far riflettere:

"- why would the FBI only target OpenBSD ? if there's a backhole in OpenBSD,
which hosts some of the most paranoid Opensource developers alive, what do
you think is the likelyhood similar backholes exist in, say, Windows, or
MacOs, or Linux (check where their darn IPsec code comes from, damn it!)"

[shark1500]

Non vorrei dire una cagata, ma IPSec non e` stato importato cosi` com'e` su OpenBSD sotto Linux, ma e` stato riscritto seguendo (ovviamente) le stesse specifiche, e magari guardando anche il codice (quindi una revisione in piu` di tutto il codice riga per riga).

David Miller (il maintainer del networking del Linux kernel) non si sta facendo grossi problemi e sta lavorando ad altro, quindi sotto Linux sarei abbastanza tranquillo.

http://marc.info/?l=openbsd-tech&m=129244045916861&w=2

Qua inoltre c'e` la risposta di Jason Wright (uno degli accusati): "It is a baseless accusation", e spiega abbastanza dettagliatamente (a differenza della mail di accusa) vari motivi per cui sarebbe un fake, ed inoltre dice: "However, I welcome an audit of everything I committed to OpenBSD's tree".

Io non ci credo, e vorrei tanto vederla questa/e backdoor.