Collin Mulliner o svém softwaru používaném Hacking Teamem

Collin Mulliner, bezpečnostní výzkumník z NEU SecLab, se na svém blogu vrací ke kauze hacknutého Hacking Teamu (zprávička). Ve 400 GB zveřejněných dat byly nalezeny také zdrojové kódy z jeho toolkitu ADBI (Android Dynamic Binary Instrumentation Toolkit) s jeho jménem a licencí GPL nebo LGPL. Collin Mulliner zdůrazňuje, že by pro Hacking Team nikdy nic nevyvíjel a zamýšlí se nad novou licencí, která by použití softwaru pro určité účely zakazovala.

23.7.2015 12:34 | Ladislav Hagara | Zajímavý článek

Komentáře

[vlanav]

Pak to ovšem už nesplní kritéria pro Open Source - No Discrimination Against Fields of Endeavor

[Dizz]

souhlasim, neresilo se to uz s ohledem na pouziti (L)GPL softwaru ve vojenskych raketach?

[Fluttershy, yay!]

A to vadí konkrétně čemu?

Problém je jiný, a sice střet zájmů, pokud vlastně nástroj zneužívá ta samá entita, která jinak garantuje dodržování licencí.

[xkucf03]

A to vadí konkrétně čemu?

Problém je v tom, že neexistuje jednoznačná definice „dobra“. Takže jediným důsledkem by bylo, že budeš mít různé softwary, které nepůjdou použít společně nebo spojit, protože mají různé definice/výklady „dobra“.

Toto je nesmysl a už dávno k tomu došli lidé z FSF i OSI a další.

Problém je jiný, a sice střet zájmů, pokud vlastně nástroj zneužívá ta samá entita, která jinak garantuje dodržování licencí.

To také. Ale obecně platí, že když je někdo zločinec a páchá nějaké velké zlo, tak nebude řešit nějaké licence k softwaru – prostě ho použije. A i kdyby se dostal před soud, porušení autorského práva bude asi to nejmenší, co ho bude trápit.

[Fluttershy, yay!]

Problém je v tom, že neexistuje jednoznačná definice „dobra“.

Odbíháš od problému. Ano, třeba licence JSONu se dá interpretovat lecjak. Ale také jde licenci napsat tak, aby se vyhrazovala např. vůči porušování LZPS určitou entitou (stát nebo syndikát).

Toto je nesmysl a už dávno k tomu došli lidé z FSF i OSI a další.

Tyhle organizace by si v prvé řadě rády udržely jakés-takés vztahy s korporátníky. (Ostatně, OSI proto vůbec vznikla.)

A i kdyby se dostal před soud, porušení autorského práva bude asi to nejmenší, co ho bude trápit.

Na co že to dojel Al Capone?

[xkucf03]

Ale také jde licenci napsat tak, aby se vyhrazovala např. vůči porušování LZPS určitou entitou (stát nebo syndikát).

LZPS je hodně gumová. A co když někde bude vládnout zločinný režim a lidé ho budou chtít svrhnout mj. i pomocí toho, že zasáhnou do soukromí daných vládců případně poruší nějaká další jejich práva?

[Fluttershy, yay!]

A co když někde bude vládnout zločinný režim a lidé ho budou chtít svrhnout mj. i pomocí toho, že zasáhnou do soukromí daných vládců případně poruší nějaká další jejich práva?

Myslíš, že – aby to bylo analogické – stát vydá software využitelný ke crackingu, ale v licenci zakáže jeho používání k těmto účelům za určitých podmínek? To není potřeba, ekvivalentu těch licencí se říká zákony.

LZPS je hodně gumová.

Hlavně je široká, což je trnem v oku prakticky každého pravičáka. @_@

Ale přesto je v současné realitě spousta projevů státu, které jsou stále právně napadnutelné. Např. data retention (versus Ústavní soud).

[Hans1024]

LZPS v kostce:

1. Vsichni maji zarucene pravo X.

2. Pravo X je mozno omezit zakonem.

[Spike]

Nepředpokládám, že by si v Hacking Teamu s takovou licencí někdo lámal hlavu.

[lertimir]

Na druhou stranu by se dalo říci, že teď již podmínky GPL splnili, byť nedobrovolně.

[Václav "Darm" Novák]

Neřekl bych že máme nějaký důkaz o tom, že je předtím neplnili. Nebo snad víš jestli některý z jejich klientů žádal o zdrojáky a jestli je dostal?

[unicode]

Nějak přemýšlím nad tím, kdo byl vůbec klient

[Václav "Darm" Novák]

Seznam klientů jim unikl taky. Různé státní bezpečnostní složky, mimo jiné PČR.

[unicode]

Já jsem to myslel z pohledu oběti. Zajímalo by mě, pokud může třetí strana (tedy Hacking Team, policie, etc) u mě spustit kód pod nějakou licencí jako GPL, BSD, atd, aniž by mi tu licenci dali přečíst a já to odsouhlasil.

[Václav "Darm" Novák]

To je celkem zajímavý případ. „Nainstalovali jste mi rootkit, to je šíření GPL programu. Prosím zašlete zdrojáky“ :)

[Petr Tomášek]

No, sranda by byla, kdyby někdo zažaloval PČR za porušování GPL. Co by na to řek magor Dastych?

[pupala]

Ale skutočnou srandou by bolo zažalovanie HAcking Teamu za zneužitie bezpečnostnej diery. Vo viacerých štátoch je zneužitie bezpečnostných dier trestným činom a to bez ohľadu na to, či sa ju snaží majiteľ aplikácie resp. vyvíjajúca spoločnosť zaplátať alebo nie. Toto bol príklad kocúrkova a'la "zlodej kričí "chyťte zlodeja"", aneb "kozel zahradníkem"

[Petr Tomášek]

No, ale to bys taky mohl zažalovat PČR za to samé. Navíc, Hacking Team se nikam nenabourával, ten jenom dodával penisy... chci říci nástroje...

Náš administrátor shledal tento komentář závadným.

vulgární

Zobrazit komentář

[JZD]

Opravdu to nejde napsat slušnější formou? Píčovat umí kde kdo.

[lertimir]

Klienti VUPENu, Hacking Team, mají jako klienty státní orgány a to čemu říkají Law-Enformcment Agencies. Stačí si projít programy kterékoliv ISS conference třeba té pře 6 týdny v Praze

[lertimir]

Tedy spíše, co dělají ne, kdo jsou klienti. Ale je vidět že některé sekce tam jsou jen pro klienty se státních orgánů.

[Hans1024]

Can't stop the signal, Mulliner.

[biolog]

Někde jsem četl, že Richard Stallman obhajuje právo používat (hlavně svobodný) software k jakémukoliv účelu i v případě NSA v jejich sledovací kampani. Tenhle Collin Mulliner a Hacking Team jsou ve srovnání s NSA nic, takže vím, co by mu RMS řekl.

[Michal Kubeček]

Ano, obhajuje. Viz zde

The freedom to run the program as you wish, for any purpose (freedom 0).

Neboli považuje svobodu program používat k jakémukoli účelu za tak základní, že ji označuje jako "svobodu 0".

A jakkoli zdaleka nesouhlasím se všemi jeho tezemi, s touto rozhodně ano. Od výjimek typu "program se nesmí používat k účelu, který se mi nelíbí" je už jen krok k výjimkám typu "program smíte volně šířit, ale ne lidem, které nemám rád", přičemž je úplně jedno, jestli jsou tím míněny bezpečnostní agentury, nedemokratické režimy, islámští fundamentalisté, muslimové obecně, židé, homosexuálové nebo třeba voliči nějaké politické strany.

[Petr Tomášek]

To je špatný příklad. Ono totiž špehování od NSA je z velké části případů morálně velmi dobře ospravedlnitelné...

[Lol Phirae]

Tak určitě...

[Milan Uhrák]

no, mně ty diskuze o použití OSS připadají bezobsažné. Nejde přece o to, že někdo poruší licenci, ale o to, co svým jednáním způsobí. Je to stejné, jako prodávat kuchyňské nože ( šroubováky, kladiva, provazy ) s licencí, že s nimi nesmíte ubližovat jiným lidem, a při soudu obžalovaný z 15 vražd dostane k tíži porušení licence.

Stejně tak ale firma využívající poptávku vlád nebo korporací po špehovacím software není vinna, problém vězí ve společnosti, v zákonech které vlády prosadí, v jednání jednotlivých aktérů.

Bezpečnost a soukromí lidí ( celé společnosti ) neovlivní licence, zákony nebo smlouvy, ty jsou jen odrazem stavu společnosti. Musí-li mít vyhláška EU o prodeji zelí 20000 slov, není problém v zelí ale v lidech.