"der vor zehn Jahren bei der Firma Netsec angestellt war und sich dort mit Reverse-Engineering und der Implementation von Backdoors und Key-Leaking-Mechanismen in Versachlüsselungshardware beschäftigte"
Auch in Hardware? Ist also davon auszugehen, dass jedes TPM, jeder Crypto-Chip, auch Backdoors enthält?
Daran sieht man wie hinterhältig die BSD Lizenz dann auch sein kann. So kann verseuchter Code in Closed Source Anwendungen eingefügt werden und die Menschheit mit Abhöraktivitäten von diesen Firmen belauscht werden.
Bei GPL Software wäre das zwar auch möglich aber der Code muss zur Verfügung gestellt werden und es würde dann auch irgendwann mal auffallen.
Sollte sich dieses Gerücht übrigens bei OpenBSD bewahrheiten, zeigt es auch wie mangelhaft das sogenannte Auditing bei OpenBSD ist und das man darauf nicht setzen sollte.
An eine Verbesserung, bzw. eine generelle Vorgehensweise zur Sichtung und Kontrolle von Code sollte man sich Gedanken machen, sowas ginge evtl. auch durch automatische Reviews, das wissen aber wahrscheinlich einige andere besser die sich mit diesem Thema beschäftigen. Ich habe davon nur ein paar Berichte gehört.
Es geht hier auch nicht alleine darum, das andere es besser oder schlechter machen wie OpenBSD. Es geht eher darum, das gerade OpenBSD immer fürchterlich rumtönt wie sicher und toll sie sind.
Es geht hier auch nicht alleine darum, das andere es besser oder schlechter machen wie OpenBSD. Es geht eher darum, das gerade OpenBSD immer fürchterlich rumtönt wie sicher und toll sie sind.
Das können sie sich auch erlauben, denn die Liste der sicherheitsrelevanten Bugs in OpenBSD ist sehr kurz. Zudem tut OpenBSD eine Menge dafür ein möglichst sicheres Betriebssystem anzubieten.
Das ganze ist vergleibar mit Ubuntu, die immer fürchterlich rumtönen wie benutzerfreundlich sie sind. Das können sie sich auch erlauben, denn Ubuntu hat tatsächlich einiges zur Benutzerfreundlichkeit von Linux beigetragen.
Ein Backdoor, was sich ausnutzen lässt, macht aus einem sicheren Betriebssystem bereits ein lausiges System = murks!!! Wie bei Condomen, ein Loch genügt und es taugt nicht mehr!
Andere OSes mögen ja mehr Fehler haben aber, aber viele lassen sich nur zum Abschießen eines Systems/Prozesses ausnutzen, wenn überhaupt - ein zielgerichtetes Backdoor im Netzwerkstapel hat eine ganz andere Qualität. Ich sag ja nicht, dass Andere besser sind - aber es zeigt, dass OpenBSD auch nicht unbedingt besser als die anderen offenen OSes ist.
Ein besseres Code Auditing würde nichts bringen, wenn diejenigen, die den Code durchsehen sollen, sich kaufen lassen.
Das Problem ist hier also ganz klar Faktor Mensch.
Man bräuchte also erstmal Leute die unbestechlich sind und man bräuchte nen Haufen Kapital um sie so gut zu bezahlen, daß sie auf keinen Fall andere Aufträge von Geheimdiensten usw. annehmen.
Bei GPL Software wäre das zwar auch möglich aber der Code muss zur Verfügung gestellt werden und es würde dann auch irgendwann mal auffallen.
Man sollte sich da nichts vormachen. Ob BSD- oder GPL-Lizenz macht in der Praxis keinen Unterschied. Diese Backdoors sind ja keine offensichtlichen Hintertüren, sondern einfach subtile Bugs im Code, die den Schlüssel kompromittieren können. Jemand der so einen Bug entdeckt käme wohl nicht auf die Idee dem Programmierer Absicht zu unterstellen.
Sollte sich dieses Gerücht übrigens bei OpenBSD bewahrheiten, zeigt es auch wie mangelhaft das sogenannte Auditing bei OpenBSD ist und das man darauf nicht setzen sollte.
Das Auditing bei OpenBSD, ganz besonders in Sachen Sicherheit, ist sicher wesentlich besser als bei Linux. Das Problem ist halt, dass nur wenige Leute den Code und die Algorithmen dahinter vollständig verstehen. Man muss sich durch unmengen an RFCs wälzen und dann eben noch entsprechendes KnowHow in der Implementierung von Crypto-Algorithmen mitbringen. Dieses Wissen haben eben nicht so viele Leute.
Aber selbst wenn der Code von entsprechenden Experten überprüft wird, heisst das noch lange nicht, dass ein subtiler Bug auch gefunden wird. Alleine an der Tatsache, dass z.B. simple Buffer Overflows teilweise jahrelang nicht gefunden werden, kann man schon ansatzweise erkennen wie schwierig es ist subtile Fehler in der Implementierung eines Crypto-Algos zu finden.
Wenn aber bei OpenBSD Audits auch von Leuten durchgeführt werden, die den Code nicht richtig verstehen, dann ist das Audit ganz sicher nicht irgendwie gut und schon gar nicht besser als irgendwas - Solche Audits sind unnütz - ohne Wert - das können auch Automaten (=Software).
Wer sich nicht auskennt sollte die Finger weg lassen und schon gar nicht versuchen Audits durchzuführen, das ist wie ein Chirurg der zwar ein scharfes Messer hat, sich aber nicht recht mit Anatomie auskennt - den braucht auch niemand. Es wird versucht eine Sicherheit vortäuschen die es gar nicht gibt - das ist dann bestenfalls Verarsche - aber kein Audit und schon gar kein Zugewinn an Sicherheit (im Vergleich zu anderen offenen OSes)!
Von pffffffffff am Mi, 15. Dezember 2010 um 19:03 #
Es gibt nur sehr wenige Leute, die sich mit dieser Materie wirklich ganz genau auskennen.
Mit Truecrypt oder SELinux ist es doch ähnlich: Der Sourcecode wird zwar mitgeliefert, aber versteht diesen deshalb auch jeder "Programmierkundige" vollständig? Kaum jemand blickt doch da durch.
Oder denke einmal daran, wie lange es gedauert hat, bis der Openssl-Bug in Debian entdeckt wurde: Soviele Augen, aber kaum jemand hat den Sourcecode inspiziert bzw. inspizieren können. Frei nach dem Motto, der "Krypto-Chef" wird es schon richten. Hat er aber nicht.
Das Schlimme dabei ist, dass das ausgerechnet den Sicherheitsfanatikern von OpenBSD passiert sein soll. Man muß sich in diesem Zusammenhang unbedingt die Fehlerkorrekturen der betroffenen Pakete über die letzten zehn Jahre hinweg anschauen. Ich bezweifle das. Es dürfte nur so sein, dass niemand im OpenBSD-Lager bei den entdeckten Fehlern davon ausging, dass hier Sabotage im Spiel ist.
Andere essentielle BSD-Pakete wie Openssh und Openssl sollten ebenfalls um- und eingehend auf solche Sabotageakte hin untersucht werden.
Ich bin ja ganz Deiner Meinung und dennoch liefern Auditoren denen es an Kenntnis fehlt niemals valuable Audits.
Ich halte es für gefährlich (wie es weiter oben getan wird) zu behaupten, die BSD-Security-Audits seien besser - wenn sich zeigt dass gerade diese Audits Backdoors übersehen - das Übersehen ist sicher kein gutes Argument für eine qualitative Bewertung eines Systems.
Ich sage aber auch nicht dass andere Systeme besser sind - aber auch nicht schlechter, wie sich jetzt gezeigt hat! Jeder sollte sich darüber im Klaren sein, dass jegliche Systeme kompromittiert sein können - egal ob open- oder closedsource ob Hardware oder Software. Wobei bei Software und opensource Fehler natürlich leichter aufzuspüren sind als bei Hardware und closedsource. Ob darauf Lizenzen wie GPL oder BSD oder CDDL usw. überhaupt einen wesentlichen Einfluss haben, bezweifle ich. Daher wird ja auch in besonders sensiblen Bereichen mehrstufig gearbeitet - z. B. BSD-OpenVPN-Tunnel im Linux-SSL-Tunnnel im OpenSolaris-IPSec-Tunnel, was solange eine Chance auf Verbesserung ist, solange es sich um möglichst vollständig unabhängige Implementierungen handelt - also auch nicht der gleiche IP-Stack (usw.) genutzt wird. Wenn der Sourcecode aus der gleichen Quelle stammt nutzt das mehrstufig arbeiten natürlich nichts - wer das erste Backdoor kennt, der kennt dann automatisch auch das zweite. Es ist zwar auch denkbar dass bei mehrstufigen Implementierungen jede Stufe kompromittiert ist, aber es ist zumindest weniger wahrscheinlich und sicher sind (wenn überhaupt) nur wenige Angreifer in der Lage mehrere Systeme zu überwinden.
Ich bin ja ganz Deiner Meinung und dennoch liefern Auditoren denen es an Kenntnis fehlt niemals valuable Audits.
Das ist doch einfach falsch. Audits werden in der Regel von mehreren Leuten durchgeführt und nicht jeder Auditor benötigt Wissen über die komplette Architektur. Jemand der eine Implementierung von Krypto Algorithmen prüft, muss nicht wissen wie das IPSec Protokoll arbeitet. Dank modularer Programmierung können heutzutage einzelne Module von entsprechenden Experten geprüft werden. Deine Aussage zeigt nur, dass du in diesem Bereich noch nicht gearbeitet hast. Das einzelne Auditoren nicht den kompletten Überblick über das Gesamtsystem haben ist eher die Regel als die Ausnahme. Das betrifft alle Betriebssysteme und alle Bereiche der Software Programmierung.
Ich halte es für gefährlich (wie es weiter oben getan wird) zu behaupten, die BSD-Security-Audits seien besser - wenn sich zeigt dass gerade diese Audits Backdoors übersehen - das Übersehen ist sicher kein gutes Argument für eine qualitative Bewertung eines Systems.
Ich glaube du hast eine sehr interessante Vorstellung von so einer Backdoor. Solche Backdoors sind doch nicht einfach Code, der alle Daten an einen FBI Server sendet. Das sind ganz subtile Fehler, die einfach ein leichtes knacken des Schlüssels erlauben. Der OpenSSL Bug von Debian ist hier ein sehr gutes Beispiel. AFAIK führte dieser Bug dazu, dass der Schlüsselraum soweit eingeschränkt wurde, dass man den geheimen Schlüssel mit einem normalen PC per Brute-Force berechnen konnte. Solche Fehler werden auch von Experten manchmal übersehen. Egal ob dieser Experte jetzt die komplette Architektur vollständig versteht oder ob er nur einen Teil analysiert.
Es bleibt dabei: Fehlerhafte Audits kann man nicht gut reden und Leute die zwar "Hallo Welt" gut verstehen, sollten nun mal nicht versuchen komplexe Programmteile von IPSec zu auditieren! Das ist dann kein valuabler Audit, das ist nur noch Stümperei und hier wohl auch die Ursache das Übels. Da nutzen auch keine Killerphrasen wie: du (hast) in diesem Bereich noch nicht gearbeitet - Die machen es auch nicht besser, es bleibt Stümperei egal ob ich es besser oder schlechter könnte (schlechter als Security mit Backdoor, geht das?). Einen guten Arzt zeichnet ja auch aus, dass er weiss wenn sein "Latein" zu ende ist (und jemanden fragt der Ahnung hat) - alles andere nennt man ganz zu recht Kurpfuscherei.
Ich habe eine recht alltägliche Vorstellung von Backdoors - FBI (oder sonst wer) und sesam öffne dich. Das Backdoor wird nicht besser "friendly Fire" weil es subtil verborgen oder offensichtlich ist. Auch ist der Grad der Verborgenheit kein Maß für Backdoors, höchstens ein Maß für eine Gemeinheit.
Und ja Audits die Fehlerhaft sind, weil Sie Dinge übersehen und von "nicht Experten" durchgeführt wurden (so steht es zumindest weiter oben), bieten lediglich eine trügerische Sicherheit und sind daher sogar besonders gefährlich! Sie lassen (mit unter) Leute glauben, es sei alles bestens und sicher und dass mehrstufiges Absichern wohl nicht notwendig oder sinnig seien - und ja, das ist dann sehr gefährlich!
Von asdlfjaslfj am So, 19. Dezember 2010 um 16:46 #
Du hast keinen blassen Schimmer von was du da redest. Dein Gefasel von Stümperei bestätigt nur, dass du nicht einmal ansatzweise eine Vorstellung von der Komplexität der Software und der zugrundeliegenden Mathematik der Algorithmen hast. Auch deine Vorstellung von "sesam öffne dich" kann man bestenfalls als naiv bezeichnen. Bei soviel Unwissenheit frage ich mich schon, warum du hier überhaupt deine Weisheit zum Besten gibst. Als Blinder sollte man einfach nicht über das Sehen diskutieren.
Ähnlich wie in der Wissenschaft, wo Papers per Peer-Review auf Plausibilität geprüft werden, gibt es keine Garantie, dass alle Fehler gefunden werden. Da können die Experten noch so gut sein. Die Themen sind einfach zu komplex. Ganz besonders, wenn der Autor versucht seine Fehler geschickt zu kaschieren.
Auch wenn Du es weiter schön reden willst, ein Backdoor ist und bleibt ein Backdoor nicht wenn es gut verborgen (oder offensichtlich) im Code ist, sondern immer dann wenn es irgend jemand unter Umgehung der konfigurierten Sicherheitsfunktionen Zugriff verschafft - egal wie Hauptsache: Sesam öffne dich! Auch könnten Backdoors vom Hersteller im Code (closed source) deutlich lesbar eingebaut sein (wie bei zahlreichen Netzwerkgeräten) oder aber auch in Hardware gegossen sein oder wie bei Ciscos seriellen Admin Ports "semidokumentiert" sein, usw. usf. - es ist ganz egal - es sind alles Backdoors. Alles Andere ist schlicht Unsinn und zeugt zumindest im Falle des Autors den vorherigen Absatzes von ausgeprägter Verblendung des Selbigen.
Weiter oben in den Kommentaren heisst es, dass bei BSD die Audits teilweise von nicht Experten durchgeführt werden und das ist genau das was ich zurecht Stümperei nenne. Schuster bleib bei deinen Leisten, kann ich nur sagen, wenn vorsätzlich Leute, denen bewusst ist, dass sie einen Code nicht verstehen - nicht wissen was ein komplexer Code macht, an Audits eines solchen Codes heran gehen. Sie machen dann das Gleiche wie Quacksalber und Scharlatane! Und das ist kein Mehrwert - das ist gefährlich!
Jeder der es mag, kann ja gerne zum schnell schneidenden Chirurgen mit scharfem Messer, aber ohne Anatomie Kenntnisse gehen und sich operieren lassen - aber diesen Chirurgen als vorteilhaft darstellen ist schlicht Unsinn. Ich nenne schneiden ohne Wissen eben Stümperei.
Weiter oben in den Kommentaren heisst es, dass bei BSD die Audits teilweise von nicht Experten durchgeführt werden und das ist genau das was ich zurecht Stümperei nenne.
Wo steht denn das? Du argumentierst hier auf einer Basis, die noch nicht einmal mit Fakten belegt ist. Weiter oben steht eigentlich nur, dass es wenige Leute gibt, die den Code vollständig verstehen. Entweder ich bin blind oder du fantasierst dir da was zusammen.
Darüberhinaus müsste man erstmal schauen wer das Audit durchgeführt hat. Zumindest das OpenBSD Core-Team besteht fast ausschliesslich aus anerkannten Experten.
Weiter oben schreibt jemand über das BSD-Auditing: "Das Problem ist halt, dass nur wenige Leute den Code und die Algorithmen dahinter vollständig verstehen. Man muss sich durch unmengen an RFCs wälzen und dann eben noch entsprechendes KnowHow in der Implementierung von Crypto-Algorithmen mitbringen. Dieses Wissen haben eben nicht so viele Leute."
Damit sagt der Autor doch aus, dass bei BSD die Audits teilweise von nicht Experten durchgeführt werden. (das ist genau das was ich zurecht Stümperei nenne) Oder was sonst könnte die Bedeutung hier im Blog sein - Bei allem was hier steht, geht es doch um die Probleme von BSD, nicht um den Weltschmerz im Allgemeinen.
Und auch Du gibst mir ja doch insgeheim recht, wenn Du schreibst: "das OpenBSD Core-Team besteht fast(!) ausschliesslich aus anerkannten Experten" - ja! Du hast es doch noch begriffen - es besteht eben aus anerkannten Experten (nicht viele davon dürften aber Krypto-Experten sein) und auch aus "fast Experten", die ich "nicht Experten" nenne und die ich für die Ursache von vermeidbaren Problemen halte.
Meiner Meinung nach steigerst du dich hier in etwas rein. Du redest von Stümperei während du dich auf unbewiesene/unbekannte Fakten stützt. Das überzeugt nicht wirklich. Auch interpretierst du etwas in den von dir zitierten Satz, was so nicht dasteht. Das es wenig Leute gibt, die den Code vollständig verstehen können heisst nicht, dass dieser auch von diesen überprüft wurde. Vielleicht sollte der Satz auch nur zeigen wie kompliziert so ein Audit ist.
Auch bei meinem Posting interpretierst du etwas rein, was nicht dahsteht. Ich gebe dir nämlich nicht Recht. Ich kenne einfach nicht alle OpenBSD Core Team Mitglieder, weswegen ich "fast ausschliesslich" geschrieben habe. Die restlichen Mitglieder sind vielleicht auch Experten, nur liest man deren Namen nicht so häufig auf Konferenzen - daher sind sie vielleicht Experten, aber nicht unbedingt "anerkannten Experten".
Unterm Strich ist das auch egal, denn es ist nur wichtig, wer den Code auditiert hat. Und das wissen wir nicht.
Futter für Trolle, dessen war sich sicher auch de Raadt bewußt. Das schlimmste was der FOSS-Welt passieren konnte, sind diese unzähligen Maulhelden, die immer alles wissen und doch nichts können.
wenn sich herausstellt, dass die Aussagen stimmen, dann dürften auch die Gerüchte um die Backdoors in MS stimmen. Wenn schon ein Opensource Projekt infiltriert wird, dann kann man sich sicher sein, das ein amerikanisches Unternehmen ganz bestimmt dies freiwillig einbaut. Verdachtsmomente gab es schon öfters, dies wäre der Beweis. Die Frage ist jedoch, warum das nie aufgefallen ist (bei OpenBSD). Kanns mir nicht vorstellen, aber mal abwarten...
Wenn schon ein Opensource Projekt infiltriert wird, dann kann man sich sicher sein, das ein amerikanisches Unternehmen ganz bestimmt dies freiwillig einbaut.
Du glaubst doch nicht wirklich, dass MS freiwillig Backdoors einbaut. Wenn diese internen Absprachen an die Öffentlichkeit kommen würden, dann wäre das eine Katastrophe für MS.
Wenn die amerikanische Regierung Backdoors in MS-Produkten haben möchten, dann lassen sie einfach einen ihrer Experten eine Bewerbung an MS schicken. Die NSA beschäftigt hunderte Experten, die sofort mit Kusshand eingestellt werden würden. Du siehst, es benötigt nicht immer gleich eine Verschwörung.
Es ist wohl schon diverse Male veröffentlicht worden, sollte also dementsprechend bekannt sein, das die Geheimdienste bei MS ein- und ausgehen und das schon zur Anfangszeit von Windows.
Man erinnere sich auch an das Gerücht mit dem NSA-Key unter Win 3.x
Es ist wohl schon diverse Male veröffentlicht worden, sollte also dementsprechend bekannt sein, das die Geheimdienste bei MS ein- und ausgehen und das schon zur Anfangszeit von Windows.
Eine Zusammenarbeit ist noch keine Konspiration. Es liegt auf der Hand, dass sich MS rat bei der NSA holt, da die NSA einfach die entsprechenden Fachleute beschäftigt (hierzulande würde man einfach zum BSI gehen). Natürlich gibt das der NSA dann auch die Möglichkeit Backdoors einzubauen. Das es aber entsprechende Absprachen gibt halte ich für sehr weit hergeholt.
Wenn solche Absprachen an die Öffentlichkeit kommen würden, dann hätte das weitreichende Auswirkungen. Ganze Regierungen würden/müssten unter dem Druck der Öffentlichkeit auf MS Produkte verzichten. Warum sollte MS also irgendwelche Absprachen in dieser Richtung treffen, wenn das gar nicht nötig ist? Das ergibt hinten und vorne keinen Sinn und gehört in das Reich der Verschwörungstheorien.
Sehe ich ähnlich. Die NSA-Key Geschichte hat damals einen ziemlich üblen Nachgeschmack hinterlassen. MS konnte Zweifel diesbezüglich nie ganz aus dem Weg räumen. Der Reputation dieser Firma hat das trotzdem nicht geschadet, denn die Meisten haben das Ganze schon wieder vergessen.
>Wenn diese internen Absprachen an die Öffentlichkeit kommen würden, dann wäre das eine Katastrophe für MS.
Von Politik, Geschichte etc. fehlt dir wohl jeder Schimmer einer Ahnung, sonst würdest du nicht einen derartigen Nonsense argumentativ anführen. Die Beispiele sind Legion, vielen Konzerne versuchten sich in der Geschichte an allerlei waghalsigen Stunts und sahen sich letztendlich einer Pleite gegenüber. Gemäß dieser Logik, dürfte es in vielen Staaten der USA keine Verbrechen geben, ob Angst vor lebenslanger Haft oder gar Todesstrafe. Gemäß dieser Logik ... ach was red ich überhaupt? Einem Haufen Nerds zwischen 0 und 1 die Welt zu erklären, ist ohnehin vergebene Müh. Was dort nicht rein paßt, wird allenfalls in Form von Verschwörungstheorien akzeptiert.
Von Politik, Geschichte etc. fehlt dir wohl jeder Schimmer einer Ahnung, sonst würdest du nicht einen derartigen Nonsense argumentativ anführen. Die Beispiele sind Legion, vielen Konzerne versuchten sich in der Geschichte an allerlei waghalsigen Stunts und sahen sich letztendlich einer Pleite gegenüber. Gemäß dieser Logik, dürfte es in vielen Staaten der USA keine Verbrechen geben, ob Angst vor lebenslanger Haft oder gar Todesstrafe. Gemäß dieser Logik ... ach was red ich überhaupt? Einem Haufen Nerds zwischen 0 und 1 die Welt zu erklären, ist ohnehin vergebene Müh. Was dort nicht rein paßt, wird allenfalls in Form von Verschwörungstheorien akzeptiert.
Aufgeblasenes Gewäsch ohne Substanz. Als Historiker solltest du schon vergleichbare Vorfälle mit Beispielen belegen können. Dein Vergleich mit der Todesstrafe ist allenfalls lächerlich.
eine Deal zwischen einem amerikanischen Konzern und der amerikanischen Regierung ist keine Verschwörung, sondern Realität. War es nicht Siemens, die sich über Witschaftsspionage amerikanischer Dienste zugunsten amerikanischer Unternehmen beschwert hat? Schau nur mal Wikileaks an. Paypal, Amazon und Co boykotieren ganz öffentlich zugunsten politischer Interessen. Da ist doch ein Backdoor zugunsten amerikanischer Sicherheitsbehörden im Kampf gegen antiamerikanischen Terrorismus der logische Schluss. Schäuble hätte den Bundestrojaner gerne standardmäßig überall drin. Dummerweise ist MS aber nicht deutsch und dummerweise wird bei uns sowas diskutiert. Beides ist in den USA nicht das Problem.
Von pffffffffffff am Mi, 15. Dezember 2010 um 18:24 #
OpenBSD ist kein US-Konzern und war und ist mit solchen Backdoors auch nicht einverstanden. In diesem Sinne ist es eine klassische Verschwörung durch personelle Infiltration im Sinne des Beisteuerns von wissentlich verseuchtem Sourcecode. Ich halte das für kriminell, immer vorausgesetzt, die Geschichte stimmt auch. Perry müsste OpenBSD seinen unterschriebenen NDA faxen, dann könnten De Raadt und Co. auf Grundlage des "Freedom of Information Act" Genaueres über diese Verschwörung erfahren.
Von kartoffel200 am Do, 16. Dezember 2010 um 00:39 #
Wenn eine Firma an so einem, sagen wir mal freien Projekt mitarbeitet hat sie ja Gründe. Diese vertritt sie wie ein Konzern der vllt in der Lage ist ein ganzes OS herzustellen. Wenn keiner diesen Fehler im Projekt bemerkt der außerhalb dieser Firma steht hat diese ihr Ziel erreicht auch in Open Sourcesachen.
Wenn das ganze wahr sein sollte ist ein böser mal wieder enttarnt worden = USA (Regierung) Tun die bestimmt aus Humanität, damit sie die Daten die irgend ein Schurkenstaat versendet auch mitlesen können, um ihn so mehr kontrollieren zu können, denn sonst bombt man ihn bis in die Steinzeit zurück.
In meine Augen reiner Kontrollwahn, sofern sich belege im Code dafür finden lassen.
Ich finde es unrealistisch davon auszugehen, dass sich die Regierungen/Geheimdienste nicht mit den OS-Herstellern zusammentun würden. Vor allem, wenn ein einziges System mehr als 90% Verbreitung besitzt.
Wozu braucht man da Beweise? Dadurch wäre man auch nicht schlauer. Und als Endanwender kann man für seine Sicherheit nicht viel tun.
Von Rufer in der Nacht am Mi, 15. Dezember 2010 um 14:14 #
als explizit auf Sicherheit ausgelegtes System wird dadurch wahrscheinlich nachhaltig beschädigt, selbst wenn sich die Vermutung nicht bestätigen sollte. Auf der anderen Seite hätte man davon ausgehen können, dass diverse Sicherheitsbehörden daran interessiert sind, Cryptosoft- und -hardware für sich so nutzbar zu machen, dass die diversen Algorithmen durch "Implementierungsanpassungen" umgangen werden können.
> als explizit auf Sicherheit ausgelegtes System wird dadurch wahrscheinlich nachhaltig beschädigt, selbst wenn sich die Vermutung nicht bestätigen sollte.
Deine Logik soll einer verstehen. Es ist also besser nichts zu sagen und im geheimen zu ergründen ob irgendwo evtl. eine Schwachstelle ist? Und hey, ohne Stasi kannst du auch als Projekt nicht herausfinden, ob jemand ein falsches Spiel spielt. Ergo ist das ein generelles Problem aller Projekte. Zum anderen ist KEINE Lücke bislang gefunden wurden, auch hat der Schreiber nicht behauptet das eine noch drin ist. Weder haben die mgl. Commiter etwas zugegeben, noch ist der Code 10 Jahre lang unbearbeitet geblieben.
Von b_e_i_n_h_a_r_t am Mi, 15. Dezember 2010 um 15:39 #
OK, das ganze wird garantiert überprüft. Es wird sich also herausstellen ob dem so ist. Das ganze bekommt aber andere Dimensionen wenn dem so ist. Wie ist es mit anderen Distributionen bzw. xBSDs oder OS ?
Von Rufer in der Nacht am Mi, 15. Dezember 2010 um 16:34 #
"Es ist also besser nichts zu sagen und im geheimen zu ergründen ob irgendwo evtl. eine Schwachstelle ist? " Das wollte ich damit nicht sagen, sondern, dass immer etwas hängen bleibt, wenn man mit derartigen Vorwürfen konfrontiert wird. Wenn dem nicht so ist, freut es mich natürlich.
"I did not really intend for Theo to cross post that message to the rest of the Internet, but I stand by my original email message to him in those regards.
The OCF was a target for side channel key leaking mechanisms, as well as pf (the stateful inspection packet filter), in addition to the gigabit Ethernet driver stack for the OpenBSD operating system; all of those projects NETSEC donated engineers and equipment for, including the first revision of the OCF hardware acceleration framework based on the HiFN line of crypto accelerators.
The project involved was the GSA Technical Support Center, a circa 1999 joint research and development project between the FBI and the NSA; the technologies we developed were Multi Level Security controls for case collaboration between the NSA and the FBI due to the Posse Commitatus Act, although in reality those controls were only there for show as the intended facility did in fact host both FBI and NSA in the same building.[...]"
Von pfffffffff am Mi, 15. Dezember 2010 um 20:39 #
Das hängt davon ab, ob sich FBI und CIA auch wirklich mögen.
Siehe http://www.privacylover.com/encryption/analysis-is-there-a-backdoor-in-truecrypt-is-truecrypt-a-cia-honeypot/ "Analysis: Is there a backdoor in Truecrypt? Is Truecrypt a CIA honeypot?"
Von Glaub ich ned am Mi, 15. Dezember 2010 um 21:35 #
Also da es vor geraumer zeit mal ne news gab das sich das FBI an Truecrypt die zähne ausgebissen hat bezweifel ich das ein backdoor in truecrypt existiert...
In dem Fall ging es um nen Anwalt oder so der seinen Laptop mit Truecrypt verschlüsselt hatte...
"I'll put my money where my mouth is, and post a triple bounty:
I pledge USD 100 to the first person to present convincing evidence showing:
that the OpenBSD Crypto Framework contains vulnerabilities which can be exploited by an eavesdropper to recover plaintext from an IPSec stream, that these vulnerabilities can be traced directly to code submitted by Jason Wright and / or other developers linked to Perry, and that the nature of these vulnerabilities is such that there is reason to suspect, independently of Perry's allegations, that they were inserted intentionally—for instance, if the surrounding code is unnecessarily awkward or obfuscated and the obvious and straightforward alternative would either not be vulnerable or be immediately recognizable as vulnerable. I pledge an additional USD 100 to the first person to present convincing evidence showing that the same vulnerability exists in FreeBSD.
Finally, I pledge USD 100 to the first person to present convincing evidence showing that a government agency successfully planted a backdoor in a security-critical portion of the Linux kernel."
Ich halte die Behauptung, es wäre im Sinne eines Geheimdienstes Code unbesehen in den Stack eingefügt worden, für unglaubwürdig. Nicht allein weil die regelmäßigen, intensiven audits, derer sich das OpenBSD-Team rühmt, gerade auch in diesem wichtigen Bereich des Systems solches früher hätten bekannt werden lassen. Hauptsächlich aber, weil die Behauptung, die Veröffentlichung dieser ehemals eingestuften Information, sei nun nicht mehr durch ein NDA gedeckt und dürfe deshalb nun veröffentlicht werden, einfach falsch ist. In Verbindung mit den Geheimdiensten FBI und CIA bedeutet eine Klassifizierung die Berechtigung des Zugriffs auf bestimmte Informationen. Diese Klassifizierung erlischt nach einem Zeitraum, nicht aber die Verpflichtung, das Stillschweigen über die Informationen, auf die man Zugriff besaß, niemals zu brechen. Solange Gregory Perry frei herumläuft, ist seine Behauptung sehr zweifelhaft. Denkbar ist vielmehr, daß die Geheimdienste FUD in bezug auf den Besitz und die Aufbewahrung vertraulicher Informationen durch nicht berechtigte Personen (wikileaks zB) unterbinden oder zumindest stören möchte, und deshalb den Eindruck erwecken, sie hätten irgendwie Zugriff auf Rechner, die solchen Zwecken dienen, auch wenn diese besonders geschützt sind.
Wenn sich bei der Inspektions des Codes aus dieser Zeit die Behauptung bewahrheiten, müssen eben Konsequenzen gezogen werden. BTW wenn jemand eine Behauptung für unglaubwürdig hält, heißt das nicht, daß er/sie sie für ausgeschlossen hält. Ansonsten sprich mal deinen Deutschlehrer an, er möge mehr auf dein schlechtes Textverständnis eingehen.
Von DuuuDooooooh am Do, 16. Dezember 2010 um 23:47 #
"Wenn sich bei der Inspektions des Codes aus dieser Zeit die Behauptung bewahrheiten"
*looooool* ich kringel mich grad... wer inspektiert ? Ja nach syntax. Aber cmon... es ist noch kein Crypto-Profi vom Himmel gelfalllen... Ich inspektiere auch gerne deinen Code. Ich hab nen Furz nen Ahnung was Crypto ist... aber ich weiss wie man sauber proggt...
Was das bringt der CODE war sauber, der SYNTAX auch und sowieso... sieht gut aus.
Hier geht es um Mathe die 99% der User und Auditoren den Horizont bedeutend übersteigt (*mich eingeschlossen*)... aber wtf... wir haben Jahrhunderte gebraucht Galilei und Pythagoras zu schnallen und mutmassen uns an so n Fetzen Code zu schnallen ?
"der vor zehn Jahren bei der Firma Netsec angestellt war und sich dort mit Reverse-Engineering und der Implementation von Backdoors und Key-Leaking-Mechanismen in Versachlüsselungshardware beschäftigte"
Auch in Hardware? Ist also davon auszugehen, dass jedes TPM, jeder Crypto-Chip, auch Backdoors enthält?
Im Zweifelsfall, JA.
SElinux ist von der NSA entwickelt, sicher sind da auch Backdoors drin.
Windows auch:
http://www.computerworld.com/s/article/9141105/NSA_helped_with_Windows_7_development
Daran sieht man wie hinterhältig die BSD Lizenz dann auch sein kann. So kann verseuchter Code in Closed Source Anwendungen eingefügt werden und die Menschheit mit Abhöraktivitäten von diesen Firmen belauscht werden.
Bei GPL Software wäre das zwar auch möglich aber der Code muss zur Verfügung gestellt werden und es würde dann auch irgendwann mal auffallen.
Sollte sich dieses Gerücht übrigens bei OpenBSD bewahrheiten, zeigt es auch wie mangelhaft das sogenannte Auditing bei OpenBSD ist und das man darauf nicht setzen sollte.
Wie kann man das verbessern? Haben andere Projekte besseres Reviewing/Auditing?
An eine Verbesserung, bzw. eine generelle Vorgehensweise zur Sichtung und Kontrolle von Code sollte man sich Gedanken machen, sowas ginge evtl. auch durch automatische Reviews, das wissen aber wahrscheinlich einige andere besser die sich mit diesem Thema beschäftigen. Ich habe davon nur ein paar Berichte gehört.
Es geht hier auch nicht alleine darum, das andere es besser oder schlechter machen wie OpenBSD. Es geht eher darum, das gerade OpenBSD immer fürchterlich rumtönt wie sicher und toll sie sind.
Das können sie sich auch erlauben, denn die Liste der sicherheitsrelevanten Bugs in OpenBSD ist sehr kurz. Zudem tut OpenBSD eine Menge dafür ein möglichst sicheres Betriebssystem anzubieten.
Das ganze ist vergleibar mit Ubuntu, die immer fürchterlich rumtönen wie benutzerfreundlich sie sind. Das können sie sich auch erlauben, denn Ubuntu hat tatsächlich einiges zur Benutzerfreundlichkeit von Linux beigetragen.
Ein Backdoor, was sich ausnutzen lässt, macht aus einem sicheren Betriebssystem bereits ein lausiges System = murks!!! Wie bei Condomen, ein Loch genügt und es taugt nicht mehr!
Andere OSes mögen ja mehr Fehler haben aber, aber viele lassen sich nur zum Abschießen eines Systems/Prozesses ausnutzen, wenn überhaupt - ein zielgerichtetes Backdoor im Netzwerkstapel hat eine ganz andere Qualität. Ich sag ja nicht, dass Andere besser sind - aber es zeigt, dass OpenBSD auch nicht unbedingt besser als die anderen offenen OSes ist.
Ein besseres Code Auditing würde nichts bringen, wenn diejenigen, die den Code durchsehen sollen, sich kaufen lassen.
Das Problem ist hier also ganz klar Faktor Mensch.
Man bräuchte also erstmal Leute die unbestechlich sind und man bräuchte nen Haufen Kapital um sie so gut zu bezahlen, daß sie auf keinen Fall andere Aufträge von Geheimdiensten usw. annehmen.
oder der Faktor USA *hust*
Man sollte sich da nichts vormachen. Ob BSD- oder GPL-Lizenz macht in der Praxis keinen Unterschied. Diese Backdoors sind ja keine offensichtlichen Hintertüren, sondern einfach subtile Bugs im Code, die den Schlüssel kompromittieren können. Jemand der so einen Bug entdeckt käme wohl nicht auf die Idee dem Programmierer Absicht zu unterstellen.
Das Auditing bei OpenBSD, ganz besonders in Sachen Sicherheit, ist sicher wesentlich besser als bei Linux. Das Problem ist halt, dass nur wenige Leute den Code und die Algorithmen dahinter vollständig verstehen. Man muss sich durch unmengen an RFCs wälzen und dann eben noch entsprechendes KnowHow in der Implementierung von Crypto-Algorithmen mitbringen. Dieses Wissen haben eben nicht so viele Leute.
Aber selbst wenn der Code von entsprechenden Experten überprüft wird, heisst das noch lange nicht, dass ein subtiler Bug auch gefunden wird. Alleine an der Tatsache, dass z.B. simple Buffer Overflows teilweise jahrelang nicht gefunden werden, kann man schon ansatzweise erkennen wie schwierig es ist subtile Fehler in der Implementierung eines Crypto-Algos zu finden.
Wenn aber bei OpenBSD Audits auch von Leuten durchgeführt werden, die den Code nicht richtig verstehen, dann ist das Audit ganz sicher nicht irgendwie gut und schon gar nicht besser als irgendwas - Solche Audits sind unnütz - ohne Wert - das können auch Automaten (=Software).
Wer sich nicht auskennt sollte die Finger weg lassen und schon gar nicht versuchen Audits durchzuführen, das ist wie ein Chirurg der zwar ein scharfes Messer hat, sich aber nicht recht mit Anatomie auskennt - den braucht auch niemand. Es wird versucht eine Sicherheit vortäuschen die es gar nicht gibt - das ist dann bestenfalls Verarsche - aber kein Audit und schon gar kein Zugewinn an Sicherheit (im Vergleich zu anderen offenen OSes)!
Es gibt nur sehr wenige Leute, die sich mit dieser Materie wirklich ganz genau auskennen.
Mit Truecrypt oder SELinux ist es doch ähnlich: Der Sourcecode wird zwar mitgeliefert, aber versteht diesen deshalb auch jeder "Programmierkundige" vollständig? Kaum jemand blickt doch da durch.
Oder denke einmal daran, wie lange es gedauert hat, bis der Openssl-Bug in Debian entdeckt wurde: Soviele Augen, aber kaum jemand hat den Sourcecode inspiziert bzw. inspizieren können. Frei nach dem Motto, der "Krypto-Chef" wird es schon richten. Hat er aber nicht.
Das Schlimme dabei ist, dass das ausgerechnet den Sicherheitsfanatikern von OpenBSD passiert sein soll. Man muß sich in diesem Zusammenhang unbedingt die Fehlerkorrekturen der betroffenen Pakete über die letzten zehn Jahre hinweg anschauen. Ich bezweifle das. Es dürfte nur so sein, dass niemand im OpenBSD-Lager bei den entdeckten Fehlern davon ausging, dass hier Sabotage im Spiel ist.
Andere essentielle BSD-Pakete wie Openssh und Openssl sollten ebenfalls um- und eingehend auf solche Sabotageakte hin untersucht werden.
Ich bin ja ganz Deiner Meinung und dennoch liefern Auditoren denen es an Kenntnis fehlt niemals valuable Audits.
Ich halte es für gefährlich (wie es weiter oben getan wird) zu behaupten, die BSD-Security-Audits seien besser - wenn sich zeigt dass gerade diese Audits Backdoors übersehen - das Übersehen ist sicher kein gutes Argument für eine qualitative Bewertung eines Systems.
Ich sage aber auch nicht dass andere Systeme besser sind - aber auch nicht schlechter, wie sich jetzt gezeigt hat! Jeder sollte sich darüber im Klaren sein, dass jegliche Systeme kompromittiert sein können - egal ob open- oder closedsource ob Hardware oder Software. Wobei bei Software und opensource Fehler natürlich leichter aufzuspüren sind als bei Hardware und closedsource. Ob darauf Lizenzen wie GPL oder BSD oder CDDL usw. überhaupt einen wesentlichen Einfluss haben, bezweifle ich. Daher wird ja auch in besonders sensiblen Bereichen mehrstufig gearbeitet - z. B. BSD-OpenVPN-Tunnel im Linux-SSL-Tunnnel im OpenSolaris-IPSec-Tunnel, was solange eine Chance auf Verbesserung ist, solange es sich um möglichst vollständig unabhängige Implementierungen handelt - also auch nicht der gleiche IP-Stack (usw.) genutzt wird. Wenn der Sourcecode aus der gleichen Quelle stammt nutzt das mehrstufig arbeiten natürlich nichts - wer das erste Backdoor kennt, der kennt dann automatisch auch das zweite. Es ist zwar auch denkbar dass bei mehrstufigen Implementierungen jede Stufe kompromittiert ist, aber es ist zumindest weniger wahrscheinlich und sicher sind (wenn überhaupt) nur wenige Angreifer in der Lage mehrere Systeme zu überwinden.
Das ist doch einfach falsch. Audits werden in der Regel von mehreren Leuten durchgeführt und nicht jeder Auditor benötigt Wissen über die komplette Architektur. Jemand der eine Implementierung von Krypto Algorithmen prüft, muss nicht wissen wie das IPSec Protokoll arbeitet. Dank modularer Programmierung können heutzutage einzelne Module von entsprechenden Experten geprüft werden. Deine Aussage zeigt nur, dass du in diesem Bereich noch nicht gearbeitet hast. Das einzelne Auditoren nicht den kompletten Überblick über das Gesamtsystem haben ist eher die Regel als die Ausnahme. Das betrifft alle Betriebssysteme und alle Bereiche der Software Programmierung.
Ich glaube du hast eine sehr interessante Vorstellung von so einer Backdoor. Solche Backdoors sind doch nicht einfach Code, der alle Daten an einen FBI Server sendet. Das sind ganz subtile Fehler, die einfach ein leichtes knacken des Schlüssels erlauben. Der OpenSSL Bug von Debian ist hier ein sehr gutes Beispiel. AFAIK führte dieser Bug dazu, dass der Schlüsselraum soweit eingeschränkt wurde, dass man den geheimen Schlüssel mit einem normalen PC per Brute-Force berechnen konnte. Solche Fehler werden auch von Experten manchmal übersehen. Egal ob dieser Experte jetzt die komplette Architektur vollständig versteht oder ob er nur einen Teil analysiert.
Es bleibt dabei: Fehlerhafte Audits kann man nicht gut reden und Leute die zwar "Hallo Welt" gut verstehen, sollten nun mal nicht versuchen komplexe Programmteile von IPSec zu auditieren! Das ist dann kein valuabler Audit, das ist nur noch Stümperei und hier wohl auch die Ursache das Übels. Da nutzen auch keine Killerphrasen wie: du (hast) in diesem Bereich noch nicht gearbeitet - Die machen es auch nicht besser, es bleibt Stümperei egal ob ich es besser oder schlechter könnte (schlechter als Security mit Backdoor, geht das?). Einen guten Arzt zeichnet ja auch aus, dass er weiss wenn sein "Latein" zu ende ist (und jemanden fragt der Ahnung hat) - alles andere nennt man ganz zu recht Kurpfuscherei.
Ich habe eine recht alltägliche Vorstellung von Backdoors - FBI (oder sonst wer) und sesam öffne dich. Das Backdoor wird nicht besser "friendly Fire" weil es subtil verborgen oder offensichtlich ist. Auch ist der Grad der Verborgenheit kein Maß für Backdoors, höchstens ein Maß für eine Gemeinheit.
Und ja Audits die Fehlerhaft sind, weil Sie Dinge übersehen und von "nicht Experten" durchgeführt wurden (so steht es zumindest weiter oben), bieten lediglich eine trügerische Sicherheit und sind daher sogar besonders gefährlich! Sie lassen (mit unter) Leute glauben, es sei alles bestens und sicher und dass mehrstufiges Absichern wohl nicht notwendig oder sinnig seien - und ja, das ist dann sehr gefährlich!
Du hast keinen blassen Schimmer von was du da redest. Dein Gefasel von Stümperei bestätigt nur, dass du nicht einmal ansatzweise eine Vorstellung von der Komplexität der Software und der zugrundeliegenden Mathematik der Algorithmen hast. Auch deine Vorstellung von "sesam öffne dich" kann man bestenfalls als naiv bezeichnen. Bei soviel Unwissenheit frage ich mich schon, warum du hier überhaupt deine Weisheit zum Besten gibst. Als Blinder sollte man einfach nicht über das Sehen diskutieren.
Ähnlich wie in der Wissenschaft, wo Papers per Peer-Review auf Plausibilität geprüft werden, gibt es keine Garantie, dass alle Fehler gefunden werden. Da können die Experten noch so gut sein. Die Themen sind einfach zu komplex. Ganz besonders, wenn der Autor versucht seine Fehler geschickt zu kaschieren.
Auch wenn Du es weiter schön reden willst, ein Backdoor ist und bleibt ein Backdoor nicht wenn es gut verborgen (oder offensichtlich) im Code ist, sondern immer dann wenn es irgend jemand unter Umgehung der konfigurierten Sicherheitsfunktionen Zugriff verschafft - egal wie Hauptsache: Sesam öffne dich! Auch könnten Backdoors vom Hersteller im Code (closed source) deutlich lesbar eingebaut sein (wie bei zahlreichen Netzwerkgeräten) oder aber auch in Hardware gegossen sein oder wie bei Ciscos seriellen Admin Ports "semidokumentiert" sein, usw. usf. - es ist ganz egal - es sind alles Backdoors. Alles Andere ist schlicht Unsinn und zeugt zumindest im Falle des Autors den vorherigen Absatzes von ausgeprägter Verblendung des Selbigen.
Weiter oben in den Kommentaren heisst es, dass bei BSD die Audits teilweise von nicht Experten durchgeführt werden und das ist genau das was ich zurecht Stümperei nenne. Schuster bleib bei deinen Leisten, kann ich nur sagen, wenn vorsätzlich Leute, denen bewusst ist, dass sie einen Code nicht verstehen - nicht wissen was ein komplexer Code macht, an Audits eines solchen Codes heran gehen. Sie machen dann das Gleiche wie Quacksalber und Scharlatane! Und das ist kein Mehrwert - das ist gefährlich!
Jeder der es mag, kann ja gerne zum schnell schneidenden Chirurgen mit scharfem Messer, aber ohne Anatomie Kenntnisse gehen und sich operieren lassen - aber diesen Chirurgen als vorteilhaft darstellen ist schlicht Unsinn. Ich nenne schneiden ohne Wissen eben Stümperei.
Wo steht denn das? Du argumentierst hier auf einer Basis, die noch nicht einmal mit Fakten belegt ist. Weiter oben steht eigentlich nur, dass es wenige Leute gibt, die den Code vollständig verstehen. Entweder ich bin blind oder du fantasierst dir da was zusammen.
Darüberhinaus müsste man erstmal schauen wer das Audit durchgeführt hat. Zumindest das OpenBSD Core-Team besteht fast ausschliesslich aus anerkannten Experten.
Weiter oben schreibt jemand über das BSD-Auditing: "Das Problem ist halt, dass nur wenige Leute den Code und die Algorithmen dahinter vollständig verstehen. Man muss sich durch unmengen an RFCs wälzen und dann eben noch entsprechendes KnowHow in der Implementierung von Crypto-Algorithmen mitbringen. Dieses Wissen haben eben nicht so viele Leute."
Damit sagt der Autor doch aus, dass bei BSD die Audits teilweise von nicht Experten durchgeführt werden. (das ist genau das was ich zurecht Stümperei nenne) Oder was sonst könnte die Bedeutung hier im Blog sein - Bei allem was hier steht, geht es doch um die Probleme von BSD, nicht um den Weltschmerz im Allgemeinen.
Und auch Du gibst mir ja doch insgeheim recht, wenn Du schreibst: "das OpenBSD Core-Team besteht fast(!) ausschliesslich aus anerkannten Experten" - ja! Du hast es doch noch begriffen - es besteht eben aus anerkannten Experten (nicht viele davon dürften aber Krypto-Experten sein) und auch aus "fast Experten", die ich "nicht Experten" nenne und die ich für die Ursache von vermeidbaren Problemen halte.
Meiner Meinung nach steigerst du dich hier in etwas rein. Du redest von Stümperei während du dich auf unbewiesene/unbekannte Fakten stützt. Das überzeugt nicht wirklich. Auch interpretierst du etwas in den von dir zitierten Satz, was so nicht dasteht. Das es wenig Leute gibt, die den Code vollständig verstehen können heisst nicht, dass dieser auch von diesen überprüft wurde. Vielleicht sollte der Satz auch nur zeigen wie kompliziert so ein Audit ist.
Auch bei meinem Posting interpretierst du etwas rein, was nicht dahsteht. Ich gebe dir nämlich nicht Recht. Ich kenne einfach nicht alle OpenBSD Core Team Mitglieder, weswegen ich "fast ausschliesslich" geschrieben habe. Die restlichen Mitglieder sind vielleicht auch Experten, nur liest man deren Namen nicht so häufig auf Konferenzen - daher sind sie vielleicht Experten, aber nicht unbedingt "anerkannten Experten".
Unterm Strich ist das auch egal, denn es ist nur wichtig, wer den Code auditiert hat. Und das wissen wir nicht.
Futter für Trolle, dessen war sich sicher auch de Raadt bewußt. Das schlimmste was der FOSS-Welt passieren konnte, sind diese unzähligen Maulhelden, die immer alles wissen und doch nichts können.
wenn sich herausstellt, dass die Aussagen stimmen, dann dürften auch die Gerüchte um die Backdoors in MS stimmen. Wenn schon ein Opensource Projekt infiltriert wird, dann kann man sich sicher sein, das ein amerikanisches Unternehmen ganz bestimmt dies freiwillig einbaut. Verdachtsmomente gab es schon öfters, dies wäre der Beweis.
Die Frage ist jedoch, warum das nie aufgefallen ist (bei OpenBSD). Kanns mir nicht vorstellen, aber mal abwarten...
Du glaubst doch nicht wirklich, dass MS freiwillig Backdoors einbaut. Wenn diese internen Absprachen an die Öffentlichkeit kommen würden, dann wäre das eine Katastrophe für MS.
Wenn die amerikanische Regierung Backdoors in MS-Produkten haben möchten, dann lassen sie einfach einen ihrer Experten eine Bewerbung an MS schicken. Die NSA beschäftigt hunderte Experten, die sofort mit Kusshand eingestellt werden würden. Du siehst, es benötigt nicht immer gleich eine Verschwörung.
Es ist wohl schon diverse Male veröffentlicht worden, sollte also dementsprechend bekannt sein, das die Geheimdienste bei MS ein- und ausgehen und das schon zur Anfangszeit von Windows.
Man erinnere sich auch an das Gerücht mit dem NSA-Key unter Win 3.x
Eine Zusammenarbeit ist noch keine Konspiration. Es liegt auf der Hand, dass sich MS rat bei der NSA holt, da die NSA einfach die entsprechenden Fachleute beschäftigt (hierzulande würde man einfach zum BSI gehen). Natürlich gibt das der NSA dann auch die Möglichkeit Backdoors einzubauen. Das es aber entsprechende Absprachen gibt halte ich für sehr weit hergeholt.
Wenn solche Absprachen an die Öffentlichkeit kommen würden, dann hätte das weitreichende Auswirkungen. Ganze Regierungen würden/müssten unter dem Druck der Öffentlichkeit auf MS Produkte verzichten. Warum sollte MS also irgendwelche Absprachen in dieser Richtung treffen, wenn das gar nicht nötig ist? Das ergibt hinten und vorne keinen Sinn und gehört in das Reich der Verschwörungstheorien.
Sehe ich ähnlich. Die NSA-Key Geschichte hat damals einen ziemlich üblen Nachgeschmack hinterlassen. MS konnte Zweifel diesbezüglich nie ganz aus dem Weg räumen. Der Reputation dieser Firma hat das trotzdem nicht geschadet, denn die Meisten haben das Ganze schon wieder vergessen.
>Wenn diese internen Absprachen an die Öffentlichkeit kommen würden, dann wäre das eine Katastrophe für MS.
Von Politik, Geschichte etc. fehlt dir wohl jeder Schimmer einer Ahnung, sonst würdest du nicht einen derartigen Nonsense argumentativ anführen. Die Beispiele sind Legion, vielen Konzerne versuchten sich in der Geschichte an allerlei waghalsigen Stunts und sahen sich letztendlich einer Pleite gegenüber. Gemäß dieser Logik, dürfte es in vielen Staaten der USA keine Verbrechen geben, ob Angst vor lebenslanger Haft oder gar Todesstrafe. Gemäß dieser Logik ... ach was red ich überhaupt? Einem Haufen Nerds zwischen 0 und 1 die Welt zu erklären, ist ohnehin vergebene Müh. Was dort nicht rein paßt, wird allenfalls in Form von Verschwörungstheorien akzeptiert.
Aufgeblasenes Gewäsch ohne Substanz. Als Historiker solltest du schon vergleichbare Vorfälle mit Beispielen belegen können. Dein Vergleich mit der Todesstrafe ist allenfalls lächerlich.
eine Deal zwischen einem amerikanischen Konzern und der amerikanischen Regierung ist keine Verschwörung, sondern Realität. War es nicht Siemens, die sich über Witschaftsspionage amerikanischer Dienste zugunsten amerikanischer Unternehmen beschwert hat? Schau nur mal Wikileaks an. Paypal, Amazon und Co boykotieren ganz öffentlich zugunsten politischer Interessen. Da ist doch ein Backdoor zugunsten amerikanischer Sicherheitsbehörden im Kampf gegen antiamerikanischen Terrorismus der logische Schluss. Schäuble hätte den Bundestrojaner gerne standardmäßig überall drin. Dummerweise ist MS aber nicht deutsch und dummerweise wird bei uns sowas diskutiert. Beides ist in den USA nicht das Problem.
OpenBSD ist kein US-Konzern und war und ist mit solchen Backdoors auch nicht einverstanden.
In diesem Sinne ist es eine klassische Verschwörung durch personelle Infiltration im Sinne des Beisteuerns von wissentlich verseuchtem Sourcecode.
Ich halte das für kriminell, immer vorausgesetzt, die Geschichte stimmt auch.
Perry müsste OpenBSD seinen unterschriebenen NDA faxen, dann könnten De Raadt und Co. auf Grundlage des "Freedom of Information Act" Genaueres über diese Verschwörung erfahren.
Wenn eine Firma an so einem, sagen wir mal freien Projekt mitarbeitet hat sie ja Gründe. Diese vertritt sie wie ein Konzern der vllt in der Lage ist ein ganzes OS herzustellen. Wenn keiner diesen Fehler im Projekt bemerkt der außerhalb dieser Firma steht hat diese ihr Ziel erreicht auch in Open Sourcesachen.
Wenn das ganze wahr sein sollte ist ein böser mal wieder enttarnt worden = USA (Regierung)
Tun die bestimmt aus Humanität, damit sie die Daten die irgend ein Schurkenstaat versendet auch mitlesen können, um ihn so mehr kontrollieren zu können, denn sonst bombt man ihn bis in die Steinzeit zurück.
In meine Augen reiner Kontrollwahn, sofern sich belege im Code dafür finden lassen.
Ich finde es unrealistisch davon auszugehen, dass sich die Regierungen/Geheimdienste nicht mit den OS-Herstellern zusammentun würden. Vor allem, wenn ein einziges System mehr als 90% Verbreitung besitzt.
Wozu braucht man da Beweise? Dadurch wäre man auch nicht schlauer. Und als Endanwender kann man für seine Sicherheit nicht viel tun.
Also daß sich Unternehmen wie VISA, Mastercard und Amazon von den USA kaufen lassen, wie der Wikileaksfall zeigt, ist eigentlich Beweis genug.
Jeder Mensch ist käuflich, entscheident ist nur die Summe oder der Erpesserpreis.
als explizit auf Sicherheit ausgelegtes System wird dadurch wahrscheinlich nachhaltig beschädigt, selbst wenn sich die Vermutung nicht bestätigen sollte. Auf der anderen Seite hätte man davon ausgehen können, dass diverse Sicherheitsbehörden daran interessiert sind, Cryptosoft- und -hardware für sich so nutzbar zu machen, dass die diversen Algorithmen durch "Implementierungsanpassungen" umgangen werden können.
> als explizit auf Sicherheit ausgelegtes System wird dadurch wahrscheinlich nachhaltig beschädigt, selbst wenn sich die Vermutung nicht bestätigen sollte.
Deine Logik soll einer verstehen. Es ist also besser nichts zu sagen und im geheimen zu ergründen ob irgendwo evtl. eine Schwachstelle ist?
Und hey, ohne Stasi kannst du auch als Projekt nicht herausfinden, ob jemand ein falsches Spiel spielt. Ergo ist das ein generelles Problem aller Projekte.
Zum anderen ist KEINE Lücke bislang gefunden wurden, auch hat der Schreiber nicht behauptet das eine noch drin ist. Weder haben die mgl. Commiter etwas zugegeben, noch ist der Code 10 Jahre lang unbearbeitet geblieben.
OK, das ganze wird garantiert überprüft. Es wird sich also herausstellen ob dem so ist.
Das ganze bekommt aber andere Dimensionen wenn dem so ist.
Wie ist es mit anderen Distributionen bzw. xBSDs oder OS ?
"Es ist also besser nichts zu sagen und im geheimen zu ergründen ob irgendwo evtl. eine Schwachstelle ist? "
Das wollte ich damit nicht sagen, sondern, dass immer etwas hängen bleibt, wenn man mit derartigen Vorwürfen konfrontiert wird. Wenn dem nicht so ist, freut es mich natürlich.
http://blogs.csoonline.com/1296/an_fbi_backdoor_in_openbsd
"I did not really intend for Theo to cross post that message to the rest of the Internet, but I stand by my original email message to him in those regards.
The OCF was a target for side channel key leaking mechanisms, as well as pf (the stateful inspection packet filter), in addition to the gigabit Ethernet driver stack for the OpenBSD operating system; all of those projects NETSEC donated engineers and equipment for, including the first revision of the OCF hardware acceleration framework based on the HiFN line of crypto accelerators.
The project involved was the GSA Technical Support Center, a circa 1999 joint research and development project between the FBI and the NSA; the technologies we developed were Multi Level Security controls for case collaboration between the NSA and the FBI due to the Posse Commitatus Act, although in reality those controls were only there for show as the intended facility did in fact host both FBI and NSA in the same building.[...]"
Hat das FBI auch eine Backdoor in Truecrypt?
Das hängt davon ab, ob sich FBI und CIA auch wirklich mögen.
Siehe
http://www.privacylover.com/encryption/analysis-is-there-a-backdoor-in-truecrypt-is-truecrypt-a-cia-honeypot/
"Analysis: Is there a backdoor in Truecrypt?
Is Truecrypt a CIA honeypot?"
Also da es vor geraumer zeit mal ne news gab das sich das FBI an Truecrypt die zähne ausgebissen hat bezweifel ich das ein backdoor in truecrypt existiert...
In dem Fall ging es um nen Anwalt oder so der seinen Laptop mit Truecrypt verschlüsselt hatte...
http://maycontaintracesofbolts.blogspot.com/2010/12/openbsd-ipsec-backdoor-allegations.html
"I'll put my money where my mouth is, and post a triple bounty:
I pledge USD 100 to the first person to present convincing evidence showing:
that the OpenBSD Crypto Framework contains vulnerabilities which can be exploited by an eavesdropper to recover plaintext from an IPSec stream,
that these vulnerabilities can be traced directly to code submitted by Jason Wright and / or other developers linked to Perry, and
that the nature of these vulnerabilities is such that there is reason to suspect, independently of Perry's allegations, that they were inserted intentionally—for instance, if the surrounding code is unnecessarily awkward or obfuscated and the obvious and straightforward alternative would either not be vulnerable or be immediately recognizable as vulnerable.
I pledge an additional USD 100 to the first person to present convincing evidence showing that the same vulnerability exists in FreeBSD.
Finally, I pledge USD 100 to the first person to present convincing evidence showing that a government agency successfully planted a backdoor in a security-critical portion of the Linux kernel."
Ich halte die Behauptung, es wäre im Sinne eines Geheimdienstes Code unbesehen in den Stack eingefügt worden, für unglaubwürdig. Nicht allein weil die regelmäßigen, intensiven audits, derer sich das OpenBSD-Team rühmt, gerade auch in diesem wichtigen Bereich des Systems solches früher hätten bekannt werden lassen.
Hauptsächlich aber, weil die Behauptung, die Veröffentlichung dieser ehemals eingestuften Information, sei nun nicht mehr durch ein NDA gedeckt und dürfe deshalb nun veröffentlicht werden, einfach falsch ist. In Verbindung mit den Geheimdiensten FBI und CIA bedeutet eine Klassifizierung die Berechtigung des Zugriffs auf bestimmte Informationen. Diese Klassifizierung erlischt nach einem Zeitraum, nicht aber die Verpflichtung, das Stillschweigen über die Informationen, auf die man Zugriff besaß, niemals zu brechen. Solange Gregory Perry frei herumläuft, ist seine Behauptung sehr zweifelhaft.
Denkbar ist vielmehr, daß die Geheimdienste FUD in bezug auf den Besitz und die Aufbewahrung vertraulicher Informationen durch nicht berechtigte Personen (wikileaks zB) unterbinden oder zumindest stören möchte, und deshalb den Eindruck erwecken, sie hätten irgendwie Zugriff auf Rechner, die solchen Zwecken dienen, auch wenn diese besonders geschützt sind.
Da bricht wohl bei jemandem sein Weltbild zusammen. Der Mythos von der Unfehlbarkeit von Großmaul Theo und seinem OpenBSD.
Wenn sich bei der Inspektions des Codes aus dieser Zeit die Behauptung bewahrheiten, müssen eben Konsequenzen gezogen werden.
BTW wenn jemand eine Behauptung für unglaubwürdig hält, heißt das nicht, daß er/sie sie für ausgeschlossen hält. Ansonsten sprich mal deinen Deutschlehrer an, er möge mehr auf dein schlechtes Textverständnis eingehen.
"Wenn sich bei der Inspektions des Codes aus dieser Zeit die Behauptung bewahrheiten"
*looooool*
ich kringel mich grad... wer inspektiert ? Ja nach syntax. Aber cmon... es ist noch kein Crypto-Profi vom Himmel gelfalllen... Ich inspektiere auch gerne deinen Code. Ich hab nen Furz nen Ahnung was Crypto ist... aber ich weiss wie man sauber proggt...
Was das bringt der CODE war sauber, der SYNTAX auch und sowieso... sieht gut aus.
Hier geht es um Mathe die 99% der User und Auditoren den Horizont bedeutend übersteigt (*mich eingeschlossen*)... aber wtf... wir haben Jahrhunderte gebraucht Galilei und Pythagoras zu schnallen und mutmassen uns an so n Fetzen Code zu schnallen ?
WAKE UP GUYS !