Forum Debian Users Gang

Ja raczej podejrzewam, że ten numer z OpenSSL to nie NSA, tylko jakiś inny Mukhbarat, stawiam na Ruskich albo prędzej  Chińczyków.

Powody następujące:
Nie kto inny, ale Chińczycy już kilka razy wbijali się do serwerów BGP, żeby ruch m.in. FB i Twittera szedł przez Chińskie routery.
SSL utrudniał im skuteczność takich akcji, więc jakoś ten problem musieli rozwiązać.
Rosjanie natomiast mając takich przyjaciół, jak np Snowden, też od dawna próbują wrzucić rządowi amerykańskiemu "jeża w spodnie".

Oba kraje są bardzo aktywne na tym polu, mają też siły, środki
i przede wszystkim pieniądze na takie akcje.

NSA jest o tyle nieprawdopodobne, że jak się ma "przyjaciół" w Google, FB,  M$, Intelu, AMD, Nvidii, i setce innych koncernów IT, to po prostu nie trzeba się certolić w podkradanie certów SSL.

Zwłaszcza, że NSA ma wystarczające centrum obliczeniowe, żeby klucz RSA czy DSA 1024-4096 bit (podstawa komunikacji SSL/TLS) złamać w ciągu kilku sekund.

Takiej dziury potrzebowała instytucja o znacznie mniejszych możliwościach operacyjnych, niż amerykanie, ci mają np prism,
i inne zabawki.

Ostatnio edytowany przez Jacekalex (2014-04-15 22:44:55)

Prawdopodobieństwo złamania RSA 4096 bitów jest w moim przekonaniu niemożliwe

Łamanie na tradycyjnym komputerze klucza 20 bitowego trwa 3 sekundy + złamanie klucza jest nieopłacalne. O wiele prościej wrzucić backdoora

Fervi

W zasadzie tak, ale podobno już jeden programista się przyznał do dodania napisania kawałka kodu biblioteki OpenSSL, zawierającego tą podatność.

[quote="Niebezpiecznik"]Do wprowadzenia fragmentu kodu odpowiadającego za atak Heartbleed do projektu OpenSSL przyznał się niemiecki programista, Robin Seggelmann. Czy został “kupiony” przez NSA? Przecież dodany przez niego kod został przejrzany i zaakceptowany przez innego programistę projektu OpenSSL-a. Obaj zostali “kupieni”? Ja raczej skłaniam się w kierunku tezy, iż był to błąd nieumyślny — jeśli więc NSA miało się o nim dowiedzieć, to albo dzięki przedstawionemu w poprzednim rozdziale własnemu zespołowi, który śledzi kod projektów Open Source w poszukiwaniu błędów, albo poprzez skupowanie 0day’ów z rynku, o czym poniżej. Zanim jednak do tego przejdziemy, waszej uwadze polecam świetny raport na temat sabotażu i złośliwych insiderów-programistów w firmie.[/quote]
Sznurek:
http://niebezpiecznik.pl/post/nsa-korzystalo-z-luki-heartbleed-od-lat-czy-aby-na-pewno-i-czy-to-w-istocie-jest-teraz-nasz-najwiekszy-problem/

Oczywiście to mógł być zwykły błąd, ale mógł też być dodany celowo.
W życiu zawsze są co najmniej dwie możliwości.
Przy okazji, biblioteki szyfrujące klasy OpenSSL piszą  nie studenci, tylko chyba absolutna pierwsza liga programistów?
I są starannie sprawdzane i kody, i faktyczne działanie takiego programu czy biblioteki?

Sprawdź, kto i kiedy tutaj zaczął pisać "że to na pewno NSA", na co odpowiedziałem, że na pewno nie wiadomo kto, bo nawet jeśli przekupiono lub zaszantażowano jakiegoś programistę z projektu, to on wcale nie musi wiedzieć, dla kogo pracuje/pracował.
W niektórych zawodach nie zostawia się wszędzie wizytówek. ;)

Rzecz jasna, ten punkt widzenia dotyczy celowego umieszczenia backdoora, a nie przypadkowego błędu.
Ale jak powiadam, póki nie jest dokładnie wyjaśniona sprawa, wszystkie możliwe hipotezy są równoprawne.

Sprawa też nieco przypomina sławną historię implementacji Ipsec w OpenBSD, dlatego hipoteza umyślnego działania nie jest wykluczona.

W każdym razie biblioteki o takim ciężarze gatunkowym, jak OpenSSL są niczym "żona cezara" - poza wszelkim podejrzeniem. ;)

@Huk
I nie przesadzaj, że "każdy błąd w 5 minut" bo to akurat nie jest możliwe, i nie będzie możliwe.
Błąd jest znaleziony, kiedy ktoś go dostrzeże, a to czasami trwa nawet 5 milionów minut albo i więcej.
Fajnie natomiast jest, kiedy po znalezieniu błędu jest szybka  reakcja, i pod tym względem do Autorów biblioteki OpenSSL zastrzeżeń nie mam.
To, że szybko się okazało, kto napisał ten felerny kawałek kodu, też dobrze świadczy o projekcie.
I podejrzewam, że gdyby nie chodziło o bibliotekę szyfrującą, jak OpenSSL, NSS czy GnuTLS, to nikt by nie podejrzewał NSA ani żadnego innego "Mukhbaratu".
Po prostu prywatność  i powiązane z nią poczucie bezpieczeństwa w internecie są dobrem tak deficytowym, że komentarze w takim przypadku są dość nieuchronne, i nie wszystkie zawsze każdemu muszą się podobać.

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2014-04-16 07:31:08)