OpenBSD "backdoor"

Area di discussione libera.

Moderatore: Staff

Regole del forum
1) Rispettare le idee altrui.
2) Evitare le offese dirette.
3) Leggere attentamente le risposte ricevute
4) Scrivere i messaggi con il colore di default, evitare altri colori.
5) Scrivere in Italiano o in Inglese, se possibile grammaticalmente corretto, evitate stili di scrittura poco chiari, quindi nessuna abbreviazione tipo telegramma o scrittura stile SMS o CHAT.
6) Appena registrati è consigliato presentarsi nel forum dedicato.

La non osservanza delle regole porta a provvedimenti di vari tipo da parte dello staff, in particolare la non osservanza della regola 5 porta alla cancellazione del post e alla segnalazione dell'utente. In caso di recidività l'utente rischia il ban temporaneo.
notsafe
Linux 2.x
Linux 2.x
Messaggi: 451
Iscritto il: mar mar 21, 2006 11:00

OpenBSD "backdoor"

Messaggioda notsafe » gio dic 16, 2010 10:15

la notizia sta rimbalzando da una ML all'altra.
Riporto il "riassunto" di OS Blog:

"In queste ore sta facendo molto discutere il contenuto di una mail personale pubblicata da Theo de Raadt, leader del progetto OpenBSD.

Nella lettera inviatagli da Gregory Perry si racconta come, all’inizio del millennio, l’FBI avesse pagato alcuni sviluppatori sotto suo contratto per inserire nel codice relativo ad IPSEC delle backdoor. Theo ha deciso di pubblicare immediatamente la lettera e dare il via ad un’analisi approfondita di tutto il codice per verificare la veridicità di quanto affermato.

Perry non si incontra con Theo da molti anni e l’unico motivo che l’ha spinto a vuotare il sacco sulla vicenda solo ora è la fine dell’accordo di riservatezza che aveva firmato e che gli impediva di divulgare questo genere di informazioni. Lo scopo dell’FBI era quello di poter monitorare le connessioni VPN.

Il codice IPSEC in questione è vecchio ed in molti, in questi anni, ci hanno messo mano quindi le probabilità che un’ipotetica backdoor sia ancora presente sembra piuttosto basso, ma non si può certamente escludere quest’eventualità. Lo stack IPSEC, essendo il primo disponibile in formato libero, fu utilizzato in molti altri ambiti, quindi, potenzialmente, le backdoor potrebbero essere ancora presenti in altri sistemi."

http://www.ossblog.it/post/7195/openbsd ... e-di-ipsec

C'è chi dice che è solo FUD, chi invece sa di essere spiato ormai da anni.

Il tutto è ancora in divenire,non si sa in realtà molto altro.A chi interessa seguire il thread "di ufficio":
http://marc.info/?t=129236639300001&r=1&w=2

Chi vuole vedere invece possibili flame,può iscriversi a una qualsiasi ML di sicurezza.

Avatar utente
masalapianta
Iper Master
Iper Master
Messaggi: 2775
Iscritto il: lun lug 25, 2005 0:00
Nome Cognome: famoso porco
Kernel: uname -r
Desktop: awesome
Distribuzione: Debian
Località: Roma
Contatta:

Re: OpenBSD "backdoor"

Messaggioda masalapianta » gio dic 16, 2010 10:49

da notare de Raadt che se ne lava le mani come se non fosse un suo problema

Meskalamdug
Iper Master
Iper Master
Messaggi: 3887
Iscritto il: ven mag 14, 2004 0:00

Re: OpenBSD "backdoor"

Messaggioda Meskalamdug » gio dic 16, 2010 12:25

Figura di cacca per OpenBSD e triste constatazione che l'anonimato e la sicurezza sono andati
a farsi friggere.
Secondo me anche i vari https,certificati,ssl lasciano il tempo che trovano..ci sono ragioni "superiori" che sovrastano la logica e giusta richiesta di privacy e sicurezza.

Avatar utente
phobos3576
Staff
Staff
Messaggi: 2980
Iscritto il: dom apr 17, 2005 0:00
Slackware: 13.1
Kernel: 2.6.37-smp
Desktop: KDE 4.5.3

Re: OpenBSD "backdoor"

Messaggioda phobos3576 » gio dic 16, 2010 17:04

Meskalamdug ha scritto:Figura di cacca per OpenBSD e triste constatazione che l'anonimato e la sicurezza sono andati
a farsi friggere.
Secondo me anche i vari https,certificati,ssl lasciano il tempo che trovano..ci sono ragioni "superiori" che sovrastano la logica e giusta richiesta di privacy e sicurezza.

Se la notizia venisse confermata, molti utenti Linux esulterebbero sadicamente visto che i "cugini" di OpenBSD non perdono occasione per irridere il Pinguino. Lo stesso Theo de Raadt, come molti ricorderanno, si era messo in evidenza per quella sua famosa frase: "Il kernel Linux è un cumulo di spazzatura".

In ogni caso, c'è poco da stare tranquilli visto che, qualche anno fa, nientemeno che la terribile NSA aveva annunciato un suo "interessamento" a Linux finalizzato a rendere "più sicuro" il kernel; possiamo facilmente immaginare cosa intenda la NSA per "kernel più sicuro".
Certo, Linus Torvalds e i suoi collaboratori controllano ogni linea di codice, ma chi ci dice che quelli della NSA non siano riusciti ad intrufolarsi in qualche modo nei server di kernel.org inserendo magari del codice mutante che si materializza solo in fase di esecuzione?

Anche in relazione a Windows poi si parla da tempo di backdoors inserite con il consenso di Microsoft.

notsafe
Linux 2.x
Linux 2.x
Messaggi: 451
Iscritto il: mar mar 21, 2006 11:00

Re: OpenBSD "backdoor"

Messaggioda notsafe » gio dic 16, 2010 17:54

phobos3576 ha scritto:In ogni caso, c'è poco da stare tranquilli visto che, qualche anno fa, nientemeno che la terribile NSA aveva annunciato un suo "interessamento" a Linux finalizzato a rendere "più sicuro" il kernel; possiamo facilmente immaginare cosa intenda la NSA per "kernel più sicuro".
Certo, Linus Torvalds e i suoi collaboratori controllano ogni linea di codice, ma chi ci dice che quelli della NSA non siano riusciti ad intrufolarsi in qualche modo nei server di kernel.org inserendo magari del codice mutante che si materializza solo in fase di esecuzione?


veramente la "terribile NSA" ha già dato un importante contributo (forse uno dei più importanti sotto l'aspetto "security"): SELinux
http://www.nsa.gov/research/selinux/index.shtml

ormai attivo di default su molte distro.

Avatar utente
shark1500
Linux 3.x
Linux 3.x
Messaggi: 785
Iscritto il: gio apr 03, 2008 14:33
Slackware: current
Kernel: 2.6.27.7-smp
Desktop: kde
Località: Modna

Re: OpenBSD "backdoor"

Messaggioda shark1500 » gio dic 16, 2010 18:06

phobos3576 ha scritto:Certo, Linus Torvalds e i suoi collaboratori controllano ogni linea di codice, ma chi ci dice che quelli della NSA non siano riusciti ad intrufolarsi in qualche modo nei server di kernel.org inserendo magari del codice mutante che si materializza solo in fase di esecuzione?


Hai guardato un po` troppi film di fantascienza :-)

Avatar utente
phobos3576
Staff
Staff
Messaggi: 2980
Iscritto il: dom apr 17, 2005 0:00
Slackware: 13.1
Kernel: 2.6.37-smp
Desktop: KDE 4.5.3

Re: OpenBSD "backdoor"

Messaggioda phobos3576 » gio dic 16, 2010 18:11

shark1500 ha scritto:
phobos3576 ha scritto:Hai guardato un po` troppi film di fantascienza :-)

Il problema è che molti pensano che sia fantascienza ...

Avatar utente
shark1500
Linux 3.x
Linux 3.x
Messaggi: 785
Iscritto il: gio apr 03, 2008 14:33
Slackware: current
Kernel: 2.6.27.7-smp
Desktop: kde
Località: Modna

Re: OpenBSD "backdoor"

Messaggioda shark1500 » gio dic 16, 2010 19:21

phobos3576 ha scritto:Il problema è che molti pensano che sia fantascienza ...


No, come sviluppatore del kernel posso dirti che e` fantascienza :-)

hashbang
Packager
Packager
Messaggi: 1968
Iscritto il: ven giu 04, 2010 10:27
Nome Cognome: Luca De Pandis
Distribuzione: macOS
Località: Lecce / Bergamo / Milano
Contatta:

Re: OpenBSD "backdoor"

Messaggioda hashbang » gio dic 16, 2010 19:44

phobos3576 ha scritto:ma chi ci dice che quelli della NSA non siano riusciti ad intrufolarsi in qualche modo nei server di kernel.org inserendo magari del codice mutante che si materializza solo in fase di esecuzione?

Beh mettiamo il caso che possa essere vero :)
I tester del kernel Linux non se accorgerebbero, visto l'immane lavoro quotidiano che viene effettuato sul codice del kernel? ;) Secondo me si...

phobos3576 ha scritto:Se la notizia venisse confermata, molti utenti Linux esulterebbero sadicamente visto che i "cugini" di OpenBSD non perdono occasione per irridere il Pinguino. Lo stesso Theo de Raadt, come molti ricorderanno, si era messo in evidenza per quella sua famosa frase: "Il kernel Linux è un cumulo di spazzatura".
Sarà anche un cumulo di spazzatura, ma è anche un cumulo di investimenti da parte di aziende del calibro di HP e IBM. Theo de Raadt può solo sognare di fare competizione al kernel Linux in tutti quei campi in cui il pinguino sta piano piano guadagnando terreno nei confronti dei grandi marchi. Ha costruito un sistema operativo sicuro ai limiti della paranoia.....scommetto pure che ha trasformato casa sua in un bunker, tipo quello che hitler che aveva costruito sotto il reichstag....a prova di guerra nucleare :lol: )

notsafe
Linux 2.x
Linux 2.x
Messaggi: 451
Iscritto il: mar mar 21, 2006 11:00

Re: OpenBSD "backdoor"

Messaggioda notsafe » gio dic 16, 2010 20:24

atomix600 ha scritto:Sarà anche un cumulo di spazzatura, ma è anche un cumulo di investimenti da parte di aziende del calibro di HP e IBM. Theo de Raadt può solo sognare di fare competizione al kernel Linux in tutti quei campi in cui il pinguino sta piano piano guadagnando terreno nei confronti dei grandi marchi. Ha costruito un sistema operativo sicuro ai limiti della paranoia


due precisazioni:
- Il fine di OpenBSD è quello di essere l'OS più sicuro al mondo,non quello di competere in ambiti enterprise con altri vendor.
- Theo de Raadt è anche "quello che ha costruito" l'implementazione SSH più diffusa al mondo (OpenSSH):a volte essere paranoici aiuta pure la comunità.

Avatar utente
simplex
Linux 2.x
Linux 2.x
Messaggi: 327
Iscritto il: mer lug 27, 2005 0:00
Slackware: current
Desktop: xfce
Contatta:

Re: OpenBSD "backdoor"

Messaggioda simplex » ven dic 17, 2010 16:38

lo stack ipsec di openbsd e' stato importato anche su linux, tanto per dirne una.
Sul fatto che sia vero o no, staremo a vedere... mi pare strano che una cosa cosi' sia sfuggita quando hanno committato il codice, e che nessuno ne se sia accorto per 10 anni.
Anche se bisogna dire che stiamo parlando di ipsec, non dei sorgenti di "ls".
Sarebbe comunque una figuraccia da parte di Theo & c.

notsafe
Linux 2.x
Linux 2.x
Messaggi: 451
Iscritto il: mar mar 21, 2006 11:00

Re: OpenBSD "backdoor"

Messaggioda notsafe » ven dic 17, 2010 17:16

Al di là del fatto che rimane ancora il tutto nel limbo del "non si sà se è solo FUD o che altro", in ML qualcuno ha esposto quello che dovrebbe invece far riflettere:

"- why would the FBI only target OpenBSD ? if there's a backhole in OpenBSD,
which hosts some of the most paranoid Opensource developers alive, what do
you think is the likelyhood similar backholes exist in, say, Windows, or
MacOs, or Linux (check where their darn IPsec code comes from, damn it!)"

Avatar utente
shark1500
Linux 3.x
Linux 3.x
Messaggi: 785
Iscritto il: gio apr 03, 2008 14:33
Slackware: current
Kernel: 2.6.27.7-smp
Desktop: kde
Località: Modna

Re: OpenBSD "backdoor"

Messaggioda shark1500 » ven dic 17, 2010 17:37

Non vorrei dire una cagata, ma IPSec non e` stato importato cosi` com'e` su OpenBSD sotto Linux, ma e` stato riscritto seguendo (ovviamente) le stesse specifiche, e magari guardando anche il codice (quindi una revisione in piu` di tutto il codice riga per riga).

David Miller (il maintainer del networking del Linux kernel) non si sta facendo grossi problemi e sta lavorando ad altro, quindi sotto Linux sarei abbastanza tranquillo.

http://marc.info/?l=openbsd-tech&m=129244045916861&w=2

Qua inoltre c'e` la risposta di Jason Wright (uno degli accusati): "It is a baseless accusation", e spiega abbastanza dettagliatamente (a differenza della mail di accusa) vari motivi per cui sarebbe un fake, ed inoltre dice: "However, I welcome an audit of everything I committed to OpenBSD's tree".

Io non ci credo, e vorrei tanto vederla questa/e backdoor.