[donny]

Ty vole. Ja mam rad open source, mam rad myslenku svobodneho sofwaru, zda se mi o svete, kde to vsechno funguje. Ale tyhle kydy?

[danaketh]

To jsou reakce lidí, kteří v životě nepotkali normálního uživatele. Nedokážou si představit, že pro běžného uživatele nemá zdroják žádnou cenu a zajímá ho jen jestli program funguje, jak snadno se ovládá a jestli dělá všechno co po něm uživatel chce.

[Jendа]

Pokud uživatele nezajímá důvěryhodnost, tak se ho přece prohlášení ani jedné strany netýká.

[Bedňa]

Za teba sa do slobodného kódu pozerá tisíce ľudí, nemusíš im ďakovať, stačí sa zdržať takýchto komentárov.

[ddv]

Jo, hlavně mlčet a nijak neprojevovat svůj názor. Béééé

[aubi]

Vubec ne, staci se nechovat jako idiot. A kdyz mas neco smysluplneho na srdci (klidne i udiv nad tim, kolik lidi ty zdrojaky opravdu prohlizi), pak pis komentare.

Jeden priklad za vsechny: Borland uvolnil svoji databazi jako open source. Za ctyri hodiny se zacaly objevovat prvni security fixy od komunity. Z cehoz damoztejme tezi koncovy zakaznik.

Comprende?

[frdrx]

Kydy? Tak je vyvrať.

[fasa]

Sak prave ze ked hacker nevidi zdrojak tak nevie kde su chyby a nevie sa naburat do systemu ci?

[Petr Šobáň]

A na tom jsi byl kde?

Samozřejmě zdroják nevidí, ale chyby se dají najít - akorát to trvá trochu déle.

A zase když bude zdroják vidět tak chybu najde nějaký poctivec co na ni ukáže a může být zase hned opravena a né až po tom co se provalí.

Prostě není to jednoznačné zda zdrojáky zveřejňovat.

[Rada]

Osobně mi přijde, že se přítomnost chyby nejsnáze odhal testováním na spustitelné binárce. Prostě krmím výslednou aplikaci daty a když zhavaruje, nebo udělá nějakou hloupost, je jasné, že tam chyba je. Je to méně náročné, než se vrtat ve zdrojovém kódu. Navíc chyba ve zdrojáku je obvykle špatně patrná - kdyby to tak nebylo, autor kódu by ji pravděpodobně opravil.

Druhá věc ja pak psaní exploitu na danou chybu - tam už by asi zdroják dost pomohl, ale i bez něj to lze udělat - buďto se to odzkouší "hrubou silou" - třeba odhad polohy návratové adresy funkce u buffer owerflow, a nebo lze případě binárku částečně disasemblovat - zkrátka - nalezení zranitelnosti skrytí zdrojáků moc nezabrání. Ale zabrání kontrole zdrojáků (víc očí víc vidí) a případné okamžité opravě chyby u uživatele, protože se prostě musí počkat, až výrobce SW dodá záplatovanou verzi binárky - což někdy docela trvá.

Obecně se má spíš za to, že dostupnost zdrojáku zlepšuje bezpečnost SW, ale je to samozřejmě věc názoru a konkrétní situace.

[pakanek]

Zdaleka ne. Chyby odhalené až u uživatele nejsou tím nejlepším pro reputaci programu. Znalost kódu dovoluje např. poloautomatizované testování (unit testy, property based testing...), které mohou ověřovat správnost kódu formálně. Dobrým příkladem je projekt OpenBSD.

[Rada]

Samozřejmě máte pravdu. Já popisoval situaci z pohledu uživatele, který dostane aplikaci a případně crackera, který se snaží hotovou binárku exploitnout. To, že chyby se snaží najít a odstranit už tvůrce je pochopitelné a tak nějak se to předpokládá A pochopitelně k tomu je nejlépe využít dostupný zdrojový kód.

[d.c.]

To, že chyby se snaží najít a odstranit už tvůrce je pochopitelné a tak nějak se to předpokládá

Obvykle mylně.

[j]

Vzhledem ke stavu v jakym vetsina "tvurcu" dodava svuj vytvor zacinam pochybovat o tvem dusevnim zdravi ...

Velmi casto se mi totiz stava, ze mi dodavatel doda appku, ktere nejen ze nedela co ma ... ona casto nedela ani to co nema ... klidne nejde vubec spustit.

Takze o nejakym testovani si delej iluze, ale realita je takova, ze nikdo netestuje nic ... a ceka se, s cim prijde uzivatel/zakaznik.

[R]

Takto to niekde (zial) "funguje", ale to neznamena, ze je to dobre a ze je to tak vsade.

[w4rr10r]

Security through obscurity.

Realita je ovšem jiná.

[pc2005]

Zdroják, hexakód - it looks same to me.

[R]

Preto su Windows najbezpecnejsie a neexistuje na ne ziadny exploit.

[Bystroushaak]

Je fakt, že software, ke kterému nejsou k dispoizici zdrojové kódy je pro mě nedůvěryhodný, když už ne z hlediska bugů, tak jeho neforkovatelnosti a nulových záruk, že bude existovat ještě zítra.

[Jendа]

Výkonný ředitel FSF John Sullivan říká: Proprietární software jako Windows je už z principu nedůvěryhodný, a to ne z důvodu zásad ochrany osobních údajů, ale prostě proto, že zdrojové kódy softwaru nejsou dostupné uživatelům, jejichž zájmy má software chránit. Řešením je přejít na svobodný operační systém jako je GNU/Linux.

Zajímalo by mě, na jakém počítači by mi pan Sullivan doporučil ten GNU/Linux používat.

[Bystroushaak]

Сетунь v2.0 v FPGA předělaný na lisp/smalltalk machine. Chtěl bych vidět, jak se na to někdo snaží napsat exploit.

[Jendа]

Céčko natvrdo počítá s dvojkovým počítačem .

Existují open IP cores, například Amber, Píčoblejz, OpenRISC a snad i 486. Ale čím to nasyntetizovat, když snad všechna FPGA jsou uzavřená?

[Bystroushaak]

Tak vždycky si můžeš nechat vyrobit vlastni ASIC. V IHP ti ho s radostí udělají, jen ta cena bude horší (okolo $10 000 za mm^2 při výrobě v řádu několika kusů).

[pc2005]

Hehe tam jsem byl na exkurzi, ale přímo do cleanroomu nás bohužel nepustili .

[Bystroushaak]

Hehe tam jsem byl na exkurzi, ale přímo do cleanroomu nás bohužel nepustili .

Jo, já taky :)

[Jendа]

dopant-level backdoors

(Taky bych chtěl umět navrhovat ASICy - momentálně jsem ve stavu, že se mi povedlo vyrobit jednoduchý program na FPGA.)

[ghibulo]

IMHO je tu mnoho zájmů mocných lidí, kterým se hodí, aby jejich záměry byly skryty - viz. třeba odposlech Merkelové, nebo aktivity a útěk Snowdena. Když se o mé peníze na účtu stará banka, která pro zpracování privátních dat svých klientů používá software, jehož zdrojové kody znají jen v Redmondu, napadá mě, jestli kromě těch několika známých "velikonočních vajíček", tam nemají nějaká další a utajenější... OK, možná jsem jen zbytečně paranoidní, ale jsem rád, že tu je alternativa aspoň pro můj noťas

[ovoce]

Jednak banky budou mít spíš třeba Nonstop nebo něco takového. Ale hlavně zdrojáky WIndows také nejsou úplně tajné. Lze k nim získat přístup. Jen ho nedávají k dispozici každému jenom za hezký oči stylem "pivo dodávané v otevřených sudech, aby se do nich každý mohly vych..." :D

[xkucf03]

Zdrojáky „do kterých se můžeš podívat“ jsou ti na nic, když pak dostaneš binárku, u které nejsi schopný ověřit, zda byla zkompilovaná z těch zdrojáků, které jsi viděl.

Nemluvě o tom, že svobodný software není jen o dívání se do zdrojáků, ale i dalších právech.

[Grunt]

Někde jsem slyšel, že elitářství bude ten činitel který zabije kapitalismus. Doufám, že to nebude trvat už moc dlouho.

Jen ho nedávají k dispozici každému jenom za hezký oči

Do čeho se nemůže podívat každý nezávisle na barvě pleti, sociálním statusu, náboženského vyznání, politickém názoru, atd. je mi úplně, ale úplně k ničemu.

[pc2005]

aby se do nich každý mohly vych...

Tak to věřím, v případě zdrojáků třeba 95 bych se asi neudržel .

[Bedňa]

Ty si piča Už nepíš, asi som si pri páde zo stoličky načal záda

[Mickey]

Ty vole tohle ovoce fakt musí být klon Laela Ophira z Rootu nebo jiného MS pomatence. Proč sem vůbec lezeš když je ti evidentně opensource proti srsti? Nebo si jen přiblblý troll?

Už aby z tebe někdo udělal marmeládu

[pavlix]

Je to exot. A na Abclinuxu je velká koncentrace exotů, takže se tu cítí jako doma, i když má třeba mírně odlišné zájmy či názory.

[aubi]

Nemotej sem paranoiu, staci se drzet toho, co se provalilo. Treba ze k certifikatum vygenerovanym ve widlich existuje master key. Proc by se NSA namahala s lamanim, kdyz ma vlastni klice, ze jo.

AFAIK v CR generuji certifikacni agentury klice ve widlich. A TED bych zacal s tou paranoiou

[Jendа]

AFAIK v CR generuji certifikacni agentury klice ve widlich.

Už je opravdu čas na sovereign keys.

[Jendа]

_NSAKEY? :)

[koudy]

Bance, ktera by mela hlavni servery na Redmond (tm) produktech bych nesveril ani "zuby me babicky"! (vzpomenme si jak to dopadlo s Londynskou burzou...)

Vetsinou to jsou AIX, nebo jeste obsatarozni VMS, ale od toho se upousti (protoze kkti prodaly know-how alph intelu a tato platforma uz neni podporovana...)

Nicmene to jsou "servery", ktere musi bezet jako cluster, nesmi mit temer zadne vypadky a v idealnim pripade je mozne udelat cluster tak, aby byly jednotlive nody oddeleny geograficky.

[Grunt]

The Official Microsoft Blog

The following post is from Brad Smith, General Counsel & Executive Vice President, Legal & Corporate Affairs, Microsoft.

---

Many of our customers have serious concerns about government surveillance of the Internet.

- nedovedu pochopit proč.

[asdf]

Ono... Co si budem povídat..
Praxe ukazuje, že schovat do otevřenýho kódu není až tak těžký...

[asdf]

schovat backdoor.

[Mike]

Je to řádově těžší než u uzavřeného kódu a většinou se na to brzy přijde.

[j]

Myslis ... brzo tak za 10 let?

[Mike]

He? V kterém high-profile opensource projektu byl nějaký _backdoor_ 10 let? FUD?

V uzavřených proprietárních produktech musí člověk počítat s tím, že tam backdoory mohou být vždy a také jsou...

[Jendа]

CVE-2011-2690

[jehovista]

Jak jsi prisel na to, ze je to backdoor?

[Jendа]

Jak se pozná backdoor?

[pavlix]

Zkusil ty dveře otevřít? :)