FBI údajně nastrčila backdoor do OpenBSD

Na mailing listu OpenBSD se řeší to, že FBI údajně protlačila backdoor do OpenBSD Crypto Frameworku. Mluvit začal Gregory Perry, kterému vypršela mlčenlivost, kterou podepsal s FBI. Uvádí, že toto není jediný případ, o kterém ví, FBI se podle toho snaží dostat zadní vrátka do celé řady bezpečnostních mechanismů. Nyní probíhá hon na ty, kteří přispívali na OpenBSD a zároveň byli na výplatní pásce FBI.

16.12.2010 11:49 | Luboš Doležel (Doli) | Bezpečnostní upozornění

Komentáře

[belisarivs]

Kurvy. Mor na ne.

[sidik]

Proč? FBI přece za nic (v tomhle případě) nemůže... Backdoor tam může nastrčit kdokoliv. Vina leží na tom, kdo kód pustil dovnitř, resp. začlenil jako oficiální část. Doteď jsem měl za to, že než se něco začlení, tak se kód kontroluje.

A jestli to je commitnuté jen do nějaké vývojové větve, která se teprve bude kontrolovat, tak o nic nejde. Kromě toho, že mohlo jít o vlastní iniciativu jednotlivců (snaha o povýšení) to jen ukazuje nutnost kontrolovat co se pouští z repozitáře do releasu :) O drzosti FBI snad nikdo nepochybuje :)

[Zdenek]

Ehm. Jde o problem z roku 2000-2001. A zaplaceni meli byt vyvojari kteri to tam zaclenuji

Dale finta je v tom, ze lidi v FBI nejsou blby tudiz nebyl by to jednuchy backdoor, ale staci jen nenapadne oslabeni kryptovaciho algoritmu a lidi co tomu rozumi a jsou programatori a koukaji na kod OpenBSD zas tolik neni.

[vulgární Nick]

A zaplaceni meli byt vyvojari kteri to tam zaclenuji

Takže to něco nedobrého vypovídá o OpenBSD jako takovém... (Samozřejmě jen pokud se to skutečně stalo, zatím je to jen spekulace.)

[Wiro]

A zaplaceni meli byt vyvojari kteri to tam zaclenuji

Takže to něco nedobrého vypovídá o OpenBSD jako takovém... (Samozřejmě jen pokud se to skutečně stalo, zatím je to jen spekulace.)

ziaden iny system na tom nieje o nic lepsie, u openbsd je vyhoda snad len to ze sa o tom aj hovori.

[2X4B-523P]

měl jsem stažená videa z 11. žáří 2001, třeba to kde vrtulník střílí na pentagon raketu, ale pak se mi soubory poškodily a na netu už nebyly, respektive všechna videa, ale bylo to na Linuxu a Windows, takže těžko říci, kde backdoory všude jsou...

[pic]

dá se to léčit?

[2X4B-523P]

možná to bylo něco z 3D Studia, ale řekl bych že spíše ne, jinak ta poškozená videa nevím, mohla to být náhodná souvislost... léčit to je těžké, nepodařilo se to odchytit na začátku a teď už se to špatně hledá...

[frEon]

imho jsou kurvy ti, co maji zajem na tom tam ten backdoor mit. Ze nekdo nezvladl kontrolu kodu z nej jeste nedela kurvu.

[Bilbo]

Tak pokud se nekomu z FBI podarilo dostat se mezi lidi co kontroluji kod, tak je pak logicke, ze tam "vlastni" backdoor pusti... ono pokud tam ten backdoor je, tak asi nebude zjevny a nejspis bude nenapadny .... a asi az hodne dukladne zkoumani bude mit sanci ho odhalit.

[vulgární Nick]

Kurva je ten, kdo se nechá uplatit, ať už se jedná o cokoli. Že má někdo zájem na tom, aby tam byla díra - a co jako?

[AsciiWolf]

Kurva je ten, kdo se nechá uplatit, ať už se jedná o cokoli.

+1

[gtz]

+1

[frEon]

no, pokud se necha uplatit, pak ma zajem na tom, aby se tam ten patch dostal, protoze za to dostane zaplaceno. Jinak s uplatni = kurva souhlasim.

[Jirka]

Only two remote holes in the default install (except UK), in a heck of a long time!

[washeck]

Jj, to bylo první, co mě napadlo u téhle zprávičky :)

[belisarivs]

Only two remote holes we know about ...

[AsciiWolf]

[imploder]

Jestli se tam nějaká chyba najde, tak budou tvrdit, že ji neudělali úmyslně. A není na tom nic nereálného, bezpečnostní díry běžně vznikají bez toho, aby autor věděl, že tam nějakou udělal.

[Avatar]

Only two remote assholes contributing FBI and CIA code in 10 years...

[kokkotz]

[Sten]

A co Debian?

[Avatar]

a co Ubuntu?

[Wokno]

A co Windows 7

[imploder]

A co na to občan?

[Jan]

A co na to Jan Tleskač?

[Radek Hu.án]

Co na to ja?

[Bedňa]

The internet: Where the men are men, the women are men, and the children are FBI agents.

[Solitary]

A co Windows 7

Microsoft se samozrejme nenechal zahanbit a tuto featuru implementoval uz davno :) pravdepodobne si ji nejspis i nechal patentovat.

[Anonym]

LOL

[flexo]

No možná ji ani neimplementoval sám, možná jen vzal kód síťového stacku z bsd a přizpůsobil ho do windows. a možná to tak udělali i další výrobci. Ti kluci z FBI jsou ale vyčuránci vychytralí, možná se jim podařil husarský kousek.

[Anonym]

Isli k hlavnemu zdroju bezpecnosti v UNIX svete ...

[flexo]

A co skype, a co google, a co msn, a co LINUX???

[kokkotz]

a co chleba a rohliky???

[xkucf03]

A co na to FSB, Arabáci nebo Číňani? Myslím, že by se tajné služby měli kontrolovat navzájem mezi sebou. Otázka ale je, jestli když nekalé praktiky FBI objeví, jestli je zveřejní nebo si udělají patche, které budou používat jen oni…

[xm]

Tady jsou další informace od Gregory Perryho (no, jen jeden mail, kde se trochu víc rozepsal o zákulisí celé věci):

http://blogs.csoonline.com/1296/an_fbi_backdoor_in_openbsd

Vypadá to opravdu celkem věrohodně, i když samozřejmě pořád se může ukázat, že šlo jen o FUD...

[xm]

Tak další střípek informací - E. J. Hilbert, bývalý agent FBI, na svém Twitter účtu napsal, že byl jedním z agentů FBI, kteří na projektu pracovali. Experiment prý skutečně proběhl, ale byl neúspěšný.

[xm]

A ještě jeden tweet od E. J. Hilberta. Otázka je, jestli se tomu dá věřit

[kralyk z abclinuxu]

Ať už to je pravda, nebo ne, proč by chtěli backdoor zrovna v OpenBSD? Pokud vím, zastoupení i jen na serverech je v řádu procent, na desktopu pak sotva měřitelné.

[xm]

Doporučuju přečíst ten Perryho další mail, co odkazuji výše. Hlavně tu poslední část (o backdooru FBI ve VPN pro státní zástupce), to by mohl být jeden z důvodů. OpenBSD navíc používají i vládní instituce některých jiných zemí a kód z OpenBSD je přejímán i do dalších operačních systémů.

We were tasked with proposing various methods used to reverse engineer smart card technologies, including Piranha techniques for stripping organic materials from smart cards and other embedded systems used for key material storage, so that the gates could be analyzed with Scanning Electron and Scanning Tunneling Microscopy. We also developed proposals for distributed brute force key cracking systems used for DES/3DES cryptanalysis, in addition to other methods for side channel leaking and covert backdoors in firmware-based systems. Some of these projects were spun off into other sub projects, JTAG analysis components etc. I left NETSEC in 2000 to start another venture, I had some fairly significant concerns with many aspects of these projects, and I was the lead architect for the site-to-site VPN project developed for Executive Office for United States Attorneys, which was a statically keyed VPN system used at 235+ US Attorney locations and which later proved to have been backdoored by the FBI so that they could recover (potentially) grand jury information from various US Attorney sites across the United States and abroad. The person I reported to at EOSUA was Zal Azmi, who was later appointed to Chief Information Officer of the FBI by George W. Bush, and who was chosen to lead portions of the EOUSA VPN project based upon his previous experience with the Marines (prior to that, Zal was a mujadeen for Usama bin Laden in their fight against the Soviets, he speaks fluent Farsi and worked on various incursions with the CIA as a linguist both pre and post 911, prior to his tenure at the FBI as CIO and head of the FBI’s Sentinel case management system with Lockheed). After I left NETSEC, I ended up becoming the recipient of a FISA-sanctioned investigation, presumably so that I would not talk about those various projects; my NDA recently expired so I am free to talk about whatever I wish.

[nelson]

Protože je považován za jeden z nejbezpečnějších OS a je tedy používán na opravdu citlivá data?

[Atom321]

Napadají mě dvě děsivé možnosti:

1) Ostatní OS některé věci z OpenBSD přebírají - zejména OpenSSL.

2) OpenBSD přišlo na řadu po rozšířenějších systémech.

[frEon]

a hlavne openssh

[merlyn]

openssl nema s openbsd nic spolecnyho. mas na mysli openssh nebo se pletes

[Jirkus]

Pře časem jsem četl článek o Truecryptu tolik opěvovaném programu. Tam je backdoor, nebo něco podobnýho už dávno. Prý při podezření z terorizmu je možné v každém státě aby pověřená autorita rozšifrovala disk během chvilky. Sice nevím jak je to možné, když existujou zdrojáky, ale věřím tomu že to jde nějakou speciální utilitou kterou musel výrobce TC dát k dispozici. Kde to žijeme?

[Michal Fecko]

Aj ja som minule cital ze backdoory su vo vsetkom softe... este aj do backdoorov sa uz davaju backdoory...

[belisarivs]

Yo dawg. I herd yo from FBI.

So I put backdoor into yo backdoor, so you can spy while you spy.

[Jakub]

[Michal Fecko]

Trošku som to upravil

[xm]

Ano, takových různých nesmyslných konspiračních FUD článků si můžu vycucat z prstu kolik chci, na libovolný software který vás napadne :-P

Jinak ale osobně preferuji stejně dm-crypt, nicméně né kvůli takovýmhle nesmyslům, nýbrž kvůli licenci a tomu že je dm-crypt v Linuxu nativní.

[Michal Fecko]

Ano, takových různých nesmyslných konspiračních FUD článků si můžu vycucat z prstu kolik chci, na libovolný software který vás napadne :-P

ok, no daj nejaky o softe Subseven

[kapo]

Zrovna Truecrypt je popisovan zde: http://www.root.cz/clanky/truecrypt-profesionalni-ochrana-dat-zdarma/ ze je v urcite konfiguraci bezpecny = delali audit kodu pro pripad ktery pouzivaji. Bud je to taky FUD, nebo si fakt dali tu praci.

[mapim]

je to obyčejný FUD. A pokud ne, tak v tom jede sám pán Theo. A taky Torvalds. A beztak i Gates, ten ale jedině se svým dlouholetým kámošem Jobsem :D jo a celé to vymyslel Stallman a navrhnul to CIA && FBI

[petr_p]

Vy se smějete, ale není to tak dávno, co šly zvěsti, že vyšetřovací služby mají „dohodu“ s výrobci antivirů, že v případě potřeby konkrétnímu zákazníkovi v rámci aktualizace podstrčí odposlech.

[gtz]

Kdo by se k něčemu takovému snížil? AVG/AVAST/NOD/NORTON? Lze to někde najít/dohledat?

Co na tyto aktivity řekne FW? na něm by snad mělo být poznat, že se něco děje.

[Solitary]

No firewall by asi ani nepip, vzhledem k tomu, ze bys ho mel pravdepodobne povoleny, aby mohl provadet aktualizace...

[Anonymous]

Poslední dobou jsem toho slyšel z podobného soudku už dost. Namátkou RSA cracknuta FBI může číst SSL v real-time V Truecryptu je pravdpodobně backdoor.

[Matlák]

Fakt by mě zajímalo kde jsi slyšel o backdooru v TC? To mě zajímá - když totiž zadám na drzo "truecrypt backdoor" do google, najde mi to samé nesmysly. Že bych se pustil do prohrabování se kódem sám?

a propos, kde ten backdoor má být umístěn? V systému generování klíčů (tj. je tam nějaký tajný mechanismus, který zkrátí klíč na "zlomitelnou" délku)? Nebo kde jinde? Nevšiml by si toho někdo ve zdrojácích? (podotýkám, že používám TC už hodně dlouho, pořád tu stejnou verzi, ale ačkoli ji mám zkompilovanou zdrojáky jsem podrobně nestudoval)...

[Matlák]

fakt je že to s tou RSA je moc zajímavé, i když je to pravděpodobně značně platformově závislé a v reálném případě je to poněkud složité na provedení, v reálném případě je o hodně jednodušší prostě modifikovat stroj oběti rovnou tak aby klíč vyplivl na požádání (jinak pěkné dobrodružství, dokážu si představit filmového "hackera" jak zapojuje na krátký čas kondenzátorové baterie do sítě, aby poškodil zdroj v cílovém PC a mohl jej v rámci falešné "záruční opravy" vyměnit za svůj který se chová speciálním způsobem )

[satanas]

Jste vsichni houby paranoici. Staci prece dohody s Intelem, AMD a vyrobci cipsetu pro sitove karty.

[Michal Fecko]

?

[msaft]

WakeOnLan -> HackOnLine :)

[Janek]

Ja pouzivam na sifrovani vlastni software. Vyhodu to ma v tom, ze ho nikdo nemuze spoustet, pokud si ho ode mne nelicencuje.

[xkucf03]

Viz Kerckhoffsův princip.

[Janek]

Sifrovaci klic musite na prikaz soudu vydat, licencovat software ne.

[xkucf03]

1. U nás, na rozdíl třeba od Velké Bratritánie, máme právo nevypovídat, takže heslo říct nemusíš – a klíč: „nevím, kde je“.
2. Software licencovat nemusíš, ale oni si ho jednak najdou sami – když ti prohrabou všechny disky a budou hledat ten klíč, najdou i ten soft – a pokud ho schováváš, to rovnou můžeš schovávat ten klíč. A i když ho nenajdou, tak si ho můžou doprogramovat.

Spoléhat se na utajení algoritmu opravdu není dobrý nápad.

[Janek]

Ten program nemusite schovavat, oni ho nesmeji bez vaseho svoleni pouzit. Chrani vas autorsky zakon. U soudu dukazy ziskane nelegalni cestou nejsou brany v uvahu.

[pavlix]

Ten program nemusite schovavat, oni ho nesmeji bez vaseho svoleni pouzit. Chrani vas autorsky zakon.

Nemůžu si pomoct, ale myšlenka na to, jak žaluješ vyšetřovatele za analýzu tvého software, i kdyby jeho spuštění, ve mě vyvolává docela veselou náladu :).

Chrani vas autorsky zakon.

Chci vidět, jak se s ním budeš ohánět.

U soudu dukazy ziskane nelegalni cestou nejsou brany v uvahu.

Jen aby ti ty tvoje znalosti práva stačily.

[Janek]

Nebudete ho zalovat, budete chtit prohlasit dukaz za nepripustny ve vasem sporu.

[Michal Vyskočil]

Bezpečnost

[xkucf03]

A co když je ta (údajně nelegálně získaná) data přivedou na stopu dalších důkazů, které už u soudu použít půjde? Tohle se běžně používá u odposlechů – policie získá pomocí nelegálních odposlechů (a dalších praktik) zajímavé informace a pak už si jen opatří použitelné důkazy pro soud (což už není tak těžké, když – např. díky těm odposlechům – vědí, kde hledat).

[Sten]

Pokud dostanou soudní svolení se ti hrabat v notebooku, budou mít dovoleno použít i software, který se tam nachází. Navíc použitím vlastního algoritmu riskuješ, že tam budeš mít kryptografickou botu, takže to rozlousknou i bez klíče.

A hlavně tvoje data stejně nikoho nezajímají ;)

[janek]

To jako ze stat rozhodne, ze pro stat je legalni pouzivat nelicencovany software?

[pavlix]

Samozřejmě, v rámci vyšetřování stát nemá důvod rozhodnout jinak.

[Jendа]

To fakt jde? Je to někde definováno (spolu s tím, jak závažné přestupky a trestné činy takto lze povolit)? Jediné, co jsem našel, je § 363 Tr.Z. Beztrestnost agenta, což s tímhle podle mě nesouvisí.

[pavlix]

Tak vzhledem k tomu, že má policie právo danou věc držet a zkoumat, tak jim těžko můžeš oponovat, že ji nesmí v rámci vyšetřování spustit :).

[Sten]

Ano, pokud soud udělí povolení k prohlídce, jedním ze zákonů, který je při prohlídce (a následně i pro nálezy) „neaktivní“, je i Autorský zákon. Samozřejmě to platí jenom pro účely onoho vyšetřování.

[Heron]

Navíc použitím vlastního algoritmu riskuješ, že tam budeš mít kryptografickou botu, takže to rozlousknou i bez klíče.

Myslím, že každý nematematik by se asi pokusil o Vernamovu šifru (pravda, byl by trochu problém vygenerovat dobrá náhodná čísla) a bylo by hotovo.

[Jendа]

Ale pak bude mít problém s ukrytím klíče. Klíč o délce ~100 bitů se dá zapamatovat, klíč o délce dat už ne (to by si taky mohl pamatovat rovnou ta data…).

[Martin Mareš]

Obvinění jak vystřižená z šestákového románu Nějaký důkaz by nebyl?

[vulgární Nick]

A na co? Assange je dobrej, FBI špatná, planeta se otepluje, co potřebujete dál vědět?