Projekt Turris získal ocenění za ochranu soukromí

Občanské sdružení Iuridicum Remedium, které od roku 2005 uděluje Ceny Velkého bratra, vyhlásilo 16. ledna výsledky za rok 2013. Jedinou pozitivní cenu (kategorie Ocenění za ochranu soukromí) získal projekt sdružení CZ.NIC – Turris. Zdůvodnění poroty je k dispozici zde.

17.1.2014 17:30 | Vilem Sladek | Komunita

Komentáře

[Bill Gates]

:D :D :D uz je 1.dubna ? .. sakra to to leti ..

[Miriam]

Zbytečný cena pro zbytečný projekt?

[Bill Gates]

Nerekl bych ze je to zbytecne. Je to dost signal co znamena a kam smeruje "Cena Velkeho bratra" a jak spolu dve obc.sdruzeni vzajemne spolupracuji. Pusobi to na me dojmem ze to je uz dost umele a hodne protezovane. Az skoro na silu. Ale kazdemu co jeho jest :) PR managerum zvlast. Je to jako propagace valky za ucelem miru, kdy samotni valecni akteri budou paradoxne oceneni za mir. Toto naprosto jasne sdeleni kdo nepochopi, tak tomu nepomuze uz ani svecena voda. A ze jich je. Drtiva vetsina :( Bohuzel.

[Jan Starosta]

A jeste jsou s nima taky svobodni zednari a vesmirni lide. Proc si aspon neprectete jmena porotcu? Iure.org to jen porada, ale o cenach rozhoduje porota.

[2012]

aneb zijeme na planete, kde mohl nobelovku za mir dostat Obama...

[boris11]

vacsi trapas bol ked nobelovu cenu za mier dali teroristovi arafatovi

[pacholik]

To je pořád slabota proti tomu kdo to dostal předloni.

[loki]

Smirovaci hladova zed dostala metal. Lol

[MartinK2]

Chápu projekt Turris dobře, že:

• automaticky čmuchá tzv. podezřelý provoz
• automaticky posílá jeho otisk (ať je to co je to) kamsi na centrálu
• centrála automaticky updatuje routery

What could possibly go wrong ? :D

Určitě nemůže dojít k tomu, že by slavná centrála zneužila získaná data. Nebo že ji někdo nabourá a převezme kontrolu nad všemi na ni napojenými router.

Absolutně bez šance. :P

Neměli spíš dostat tu normální Cenu velkého bratra místo té "pozitivní" ? :)

[Miriam]

ano, chyba chápání zde není, je to přesně tak.

[Jan Starosta]

Uz sam fakt, ze Dvojite Wecko pritakal znamena, ze to tak neni. Nic o automatickych updatech nikde nepadlo.

[Miriam]

ano, véčko souhlasí, tak je to určitě opačně.

[Jan Starosta]

Ne tak docela. Vecko si muze placat co chce a je to uplne jedno.

[Miriam]

Náš administrátor shledal tento komentář závadným.

Vulgarity

Zobrazit komentář

[kavol]

jistě, ve skutečnosti budou aktualizace nosit poštovní holubi a uživatel si je bude sám muset chytit a nový kód přepsat z papírku co přinesou ručně, žádná automatika

... nebo to snad není to, co se míní slovy "standardní mechanismus bezpečnostních aktualizací zařízení"?

[Jan Starosta]

Mel jsem pocit, ze se mluvi o bezpecnostnich nastavenich, o tom adaptivnim firewallu. Jinak system aktualizaci ma dnes temer kazdy OS, Windows, Linux, Android, .... Ale je jasne, ze pokud ho bude mit Turris, tak je to spatne.

[kavol]

Mel jsem pocit, ze se mluvi o bezpecnostnich nastavenich, o tom adaptivnim firewallu.

no ... citoval jsem ze sekce "Distribuovaný adaptivní firewall", takže nějak nechápu, co touto poznámkou chtěl básník říci

Jinak system aktualizaci ma dnes temer kazdy OS, Windows, Linux, Android, .... Ale je jasne, ze pokud ho bude mit Turris, tak je to spatne.

no tak třeba nůž se dá taky použít nejen ke krájení chleba, ale i k vraždě ...

nicméně já jsem zde nehodnodnotil, co je dobré či zlé, já jsem jen prokázal lživost tvrzení "Nic o automatickych updatech nikde nepadlo.", a teď mi laskavě vlez na hrb

[Jan Starosta]

No je to v sekci o adaptivnim firewallu, ale mluvi se zde o bezpecnostnich aktualizacich, tedy o normalnich updatech balicku. To dela kazda distribuce, nechapu, co je na tom divneho. Rozhodne nejde o automatizovany proces, ale o rucni proces. Tedy pokud mluvime o tvorbe balicku. Jak si uzivatel updatuje zarizeni je jeho volba.

Pokud jde o nastaveni adaptivniho firewallu, tak pokud je mi znamo, neni povinny a jeho nastavovani bude opet delano operatorem rucne, tedy ne automaticky,

A nechapu, proc bych nekomu mel lezt na hrb.

[jekub]

Tipnu si, že cena pro NIC za nic byla udělena jen kvůli tomu, aby se o turris vůbec někdo dozvěděl. A zdůvodnění "poroty" je vskutku skvostné.

[Miriam]

Obvykle se Velkému bratrovi uděluje negativní cena, ale zde nás Velký bratr chrání a miluje, proto mu udělujeme zásluhy

[M]

pokud je to tak otevřený projekt, jak se píše ve zdůvodnění poroty, tak by mělo být možný zjistit co přesně a za jakých podmínek se posílá na nějakou "centrálu"

nemám osobně čas to zkoumat, ale tyhle informace by mě zajímaly víc než neustálý flame jak je Turris zlý a špatný projekt

[Nikola Ciprich]

Přesně tak... řekl bych jen "haters gonna hate"

Osobně bych takový router nepoužil, ale pro spoustu BFU, kteří používají nejlépe nějaké windows XP nebo něco podobně bezpečného a pak zaplavují internet hromadami spamu, virů apod. je to IMHO zajímavá volba a klidně bych jim ho doporučil.

Ještě že na kikoty jako je "dvojité wéčko" a "bill gates" je tady možnost blokování..

[egg]

+1

[chrono]

Zábavné, odporúčať niečo, čo by si nepoužil.

[Jendа]

Co je na tom zábavného?

Doporučuji ti na tvé Pentium III 32bitovou distribuci. Já bych ji na svém Core i3 ale nepoužil, protože by fungovala pomalu a špatně využila 8 GB RAM.

[kavol]

Doporučuji ti na tvé Pentium III 32bitovou distribuci. Já bych ji na svém Core i3 ale nepoužiju, protože by fungovala pomalu a špatně využila 8 GB RAM.

vs

Doporučuji ti na tvé Pentium III 32bitovou distribuci. Já bych ji ale nepoužil, kdybych měl Pentium III, protože ...

myslíš, že mezi běžným pracím práškem, ehm, tedy domácí sítí, a domácí sítí, co má kolega, je tak zásadní rozdíl, jako jsi použil v příkladu?

- pokud ne, souhlasím s tím, že doporučovat něco, co pro mě není dost dobré, je, ehm, podle mého spíše smutné než vtipné, takže vlastně nesouhlasím

- pokud ano, resp. nepoužil by to třeba proto, že ani žádnou domácí síť nemá, a zároveň to není myšleno tak, že by se tak choval, kdyby ji měl, pak jednak logicky je zcela k ničemu to takto říkat (bez toho, aby se čtenář dozvěděl to zdůvodnění, v čem je rozdíl, proč nepoužít), a jednak empiricky, v češtině se to takto nepoužívá, nýbrž chápe se taková formulace jako ta varianta "kdybych měl běžnou domácí síť"

[Jendа]

Myslím, že Nikola Ciprich nemá v síti nezabezpečená Windows XP, a navíc si umí nastavit OpenWRT na nějakém jiném hardware, a proto by sám Turris nepoužil. Ještě lépe rozdíl vynikne, když si místo „nepoužil“ zkusíš dosadit „nevyužil“.

[kavol]

pro spoustu BFU, kteří používají nejlépe nějaké windows XP

+

Nikola Ciprich nemá v síti nezabezpečená Windows XP

chápu jako "zásadní rozdíl", a tedy výše čti:

myslíš, že mezi běžným pracím práškem, ehm, tedy domácí sítí, a domácí sítí, co má kolega, je tak zásadní rozdíl, jako jsi použil v příkladu?

- pokud ano ...

čemu na tom nerozumíš?

[Jendа]

Myslím, že čtenář by měl z kontextu pochopit, že ten rozdíl spočívá v tom, že nemá Windows XP.

[kavol]

nerozumím, jak to odpovídá na moji otázku, resp. co by to mělo na výše uvedeném měnit ...

[Jendа]

Není splněna podmínka

pak jednak logicky je zcela k ničemu to takto říkat (bez toho, aby se čtenář dozvěděl to zdůvodnění, v čem je rozdíl, proč nepoužít)

protože se čtenář dozvěděl, že rozdíl je v nepřítomnosti Windows XP (a nejspíš také BFU správce).

[kavol]

Není splněna podmínka ... protože se čtenář dozvěděl, že rozdíl je v nepřítomnosti Windows XP

aha, takhle to vidíš ... ale i kdybychom připustili, že to implicitní vyjádření je dost zřejmé, aby to každému došlo, stále nám schází dost podstatná část informace - lze z toho dovodit, že je to vhodné pro síť s XP, ovšem schází nám vysvětlení, proč by to pro sítě bez XP vhodné nebylo (když se podívám do logů, jak se mi furt někdo dobouchává na sshačko, a po apachi požaduje nesmyslné adresy různých php exploitů, tak by mi vůbec nevadilo, kdyby se to stoplo už někde dřív než na serveru ...)

(a nejspíš také BFU správce).

to už si ovšem chudák čtenář musí domýšlet až přespříliš

[Miriam]

njn, CZ NIC se z lidí snaží dělat pitomce, aby dál mohl dělat podobné píčoviny a potají sloužit NSA

[kavol]

Přesně tak... řekl bych jen "haters gonna hate"

hm, hlavněže ty jsi přímo studnicí poznání, co se týče odpovědi na to, co kolega říká, že by ho zajímalo, a vůbec celkově odpovídáš věcně, a v žádném případě nám tu nepředvádíš "haters gonna hate" vůči lidem, co si dovolí mít jiný názor

[Bill Gates]

jeste ze jini kikoti si neuvedomuji krom nebezpeci, ktere turris i diky sve centralizovane povaze prinasi, ze to hlavni co nejvic stve billa gatese neni ani tak smirovaci router, podobnych zarizeni je od komercnich firem dost, ale to, ze to je financovano z prebytku prijmu CZ.NIC. Kdyby to nebylo povinne financovano v kazde zakoupene domene, nemam nejmensi problem. Je to nebezpecne zneuzitelne smirovani a navic placene z neceho co ma slouzit obcanum (parazituje to na narodni domene, neni to prijem ze soukrome TLD) a ne nejakym komercnim zajmum a vyplate mezd na nesouvisejici soukrome projekty. A tos tak. Ale to uz je jedno. Nekteri kkti to proste nepochopi nikdy a radeji budou blokovat :) kdo chce kam ... .

[xkucf03]

Nemám problém s tím, že se za registraci domén vybírají jakési regulační poplatky, ani jejich výše mi nevadí. Přebytky z toho přirozeně vyplývají, protože provoz nestojí tolik. Je jen otázka, kam je směřovat. Podle mého existuje smysluplnější využití pro ty peníze. Psal jsem to už kdysi na Rootu:

• podpora IPv6 v GUI (NetworkManager – na tom dělá RedHat, můžete jim pomoci, nevím, jak je na tom Wicd a další podobné nástroje, jistě je co zlepšovat)
• doplnit podporu IPv6 do nějaké aplikace – IM, VoIP, cokoli dalšího
• nemusí to být jen IPv6 věci – můžete vylepšovat nástroje typu curl, wget, lynx, links, socat, netcat atd.
• nemusí to být jen nízkoúrovňové věci – může to být vylepšení webového prohlížeče, e-mailového klienta – jejich bugzilly jsou plné úkolů, které čekají na vyřešení
• GUI pro GPG nebo S/MIME šifrování, správu klíčů atd. (Kleopatra, Seahorse)
• svobodný firmware do modemů a routerů
• vylepšování Wiresharku, psaní dissectorů pro další protokoly
• pokud máte opravdu přebytek peněz, můžete dělat svobodný CASE nástroj (skutečně CASE, ne jen další malovátko grafů)
• další software typu desktopových prostředí, kancelářských balíků, grafických editorů
• nástroje pro správu webserveru, moduly do apache, nginxu
• přispějte do projektu FreedomBox nebo nabídněte podobné vlastní řešení

atd. atd. tohle bylo jen tak namátkou, zásobárna takových úkolů je prakticky nevyčerpatelná – stačí si něco vybrat a začít na tom dělat. Klidně poskytnu další návrhy nebo i něco ze svého TODO seznamu (tyto položky jsem schválně vynechal, aby někomu nepřišlo, že chci urvat peníze pro sebe).

Zapojte do projektů i studenty VŠ a SŠ – bude to pro ně fajn mezistupeň mezi akademickým cvičením a tvrdou komerční praxí.

I náhodný výběr z těchto (a podobných) úkolů považuji za dobré řešení. Kromě toho můžete udělat burzu nápadů, kam může každý přihlásit svůj záměr/projekt a majitelé domén pak budou hlasovat, kdo dostane jaký příspěvek – část peněz se předem vyčlení na provoz NICu + rezervu a zbytek se může takto rozdělit.

Otázka je, jestli by měl být počet hlasů podle domén, nebo na osobu – asi bych se přimlouval za nějaký koeficient: např. pět hlasů za osobu + jeden hlas za každou doménu a maximálně dvacet hlasů. Tím by se předešlo příliš velkému vlivu spekulantů a těch, kdo registrují domény za ostatní – ale i kdyby ne a bylo to 1 doména → 1 hlas, oni přispěli nejvíc, tak mají nejvíc hlasů.

Obecně bych to směřoval do replikovatelných trvalých hodnot (tzn. psaní softwaru, který může kdokoli použít nebo dál rozvíjet) než poskytování služeb (vyžadují neustálé peníze na provoz a jsou monopolní, vytvářejí závislost na poskytovateli).

[Jan Starosta]

• svobodný firmware do modemů a routerů

Neni tohle jeden z cilu Turrisu?

[xkucf03]

Nějaký překryv tady v tom je (ten můj seznam návrhů je z roku 2012), ale otázka je, jak významný. Kolik řádků kódu takto vzniklo? Kolik z nich bude k užitku lidem s libovolným routerem podporovaným OpenWRT? Jaký je celkový rozpočet Turrisu?

[Jan Starosta]

Ono je to hlavne jedno. Tohle je, pri vsi ucte, seznam Frantiska Kucery a i kdyz mne se treba taky celkem libi, tak clenove sdruzeni CZ.NIC maji jiny seznam. Stejne tak rozhodovani o projektech CZ.NICu je zachyceno ve stanovach a necekam, ze by to chtel nekdo menit.

A tak na okraj, kdyby o projektech rozhodovali drzitele sdruzeni urcite by ten vysledny seznam obsahoval uplne jine polozky nez tyto, rozhodne by nikdo neresil nejaky network manager.

[Miriam]

fuj, takový hnosnomanažerský PR kecy.

[Rezza]

Ja si myslim, ze Turris splnuje presne tu obecne prospesnou cinnost NICu. Jinak nedelaji jen svobodny FW do routeru a modemu, ale i cely HW pod CERN Open Hardware License.

[ynezz]

Otevreny projekt vyvijeny za zavrenymi dvermi :) Nebo mi muzes ukazat URL, kde se da podivat na zdrojaky toho firmware/OpenWRT?

[Honza Jaroš]

Zdrojáky OpenWRT najdete na stránkách OpenWRT. Zdrojáky rozšíření k Turrisu by podle stránek Turrisu mely být k dispozici nejpozději ve chvíli jejich nasazení na koncová zařízení (což podle harmonogramu uvedeného tamtéž má být v únoru).

[pavlix]

Zdrojáky rozšíření k Turrisu by podle stránek Turrisu mely být k dispozici nejpozději ve chvíli jejich nasazení na koncová zařízení (což podle harmonogramu uvedeného tamtéž má být v únoru).

Otázka, je, zda má pak smysl tomu říkat otevřený projekt, když k tomu nejsou dokonce ani veřejné zdrojáky. A osobně zdrojáky považuju za nutnou, nikoliv postačující, podmínku, abych o projektu říkal, že je otevřený.

[Honza Jaroš]

Odpovídal jsem na otázku "kde seženu zdrojáky". Diskusi o filozofii otevřených projektů raději přenechám jiným

Můj názor na udělenou cenu je ten, že jde o ocenění zajíce v pytli, právě proto, že zdrojové kódy v tuto chvíli nejsou k dispozici (nebo jsem je alespoň nenašel). K samotnému projektu mám zatím vztah - řekněme - neutrální...

[pavlix]

Filosofii?

[Honza Jaroš]

...stejně jako tuto diskusi...

[mca]

Nezda se Ti to ponekud hloupe? Od samotneho pocatku NIC.cz avizovalo naprosto otevrene, coz ostatni vyrobci pod tlakem CIPAV delaji, respektive musi. Zrejme tusis, kteru idiot to podepsal (G.W.B).

Sir Humphrey Appleby:
"Vzdy bychom meli tisku sami a otevrene rikat vse, co si mohou sami zjistit kdekoliv jinde"

Otevrene tvrdi, ze nebudou parovat logy s accounts, na LAN nehrabnou a zajimaje jen WAN, na kterem budou zkoumat. Protoze se jedna o OpenSource, tak mas k dispozici vse a jiste je vhodne zminit, ze prispeli do OpenWRT. Cele to ma byt predevsim pro BFU - te socialne rakovine vetese, ktera svini net a ochotne hostuje vsechny mozne botnety, exploity atd. Sice na sebe vykecala vse uz davno, ale porad plati, ze cesta do pekla je vzdy dlazdena nejlepsimi umysly. Nektere aktivity NIC se mi libi, jine nelibi. Otazkou je, kolik z nich si to koupi, kdyz jim prece staci ten za $15. Na blogu NIC a Root se toho da najit dost. Urcite to bude velmi lakavy cil. Mit bych to doma nechtel a geograficky to ani neni mozne. Dnes smiruje vsechno a vsude, vize virtualne transparetniho obcana 21. stoleti je davno v realizaci. Zastavam nazor, ze je zbytecne se snazit chranit nekoho, koho chranit nelze a jen tim utrpi svoboda a soukromi ostatnich. Nebudu srovnavat nebo prirovnavat aktivity NIC k tem upocenym prasatum sikanujicich a porusujici vce, co lze, na vsech letistich, ale bojim se dne, kdy prijde nejaky stupidni politik a takovy urad = velkou trafiku vam tam poridi.

[Jendа]

Pokud vím, tak to umí spustit libovolný kód z centrály individualizovaný pro danou instanci zařízení (umíte to říct česky?). Tedy defaultně to může posílat jenom něco, ale třeba po požádání policií to může začít dělat i jiné věci.

[mich]

Pokud vím, tak to umí spustit libovolný kód z centrály individualizovaný pro danou instanci zařízení

Tohle slyším/čtu prvně. Nebyl by nějaký odkaz s detaily?

[ynezz]

Dokud nebudou ty zdrojaky, tak je to vse pouze FUD :)

Nicmene, pokud na tom routeru pobezi NUCI, tak to bude celkem pikantni. Nevim jestli bych se jako BFU citil dobre, kdybych vedel, ze si muzou kdykoliv precist, pripadne zmenit nastaveni firewallu, WiFi, VPN apod. a ja to nebudu schopny nejak ovlivnit. Tady bude mozna prostor pro bigbrother-lite firmware a projekt Sleduji Sledujiciho (otevrene monitorovani chovani toho systemu)...

[Jan Starosta]

Vzhledem k tomu, ze garantuji na tom zarizeni roota s tim, ze jedine, co musi bezet je ten sberac dat, tak toho se vazne nebojim.

[j]

Vzhledem k tomu, ze to ma byt router pro BFU ... tak jsou podobne sliby jaksi ... lol.

[Miriam]

já myslím, že je to spíš smutné, jak jsou někteří lidé odtržení od reality...

[Jendа]

projekt Sleduji Sledujiciho (otevrene monitorovani chovani toho systemu)

+1. Nasaďme honeypot .

[Rezza]

No tak to umi skoro kazdy levny modem/router od prirody. Neni to tak davno, co me kamoska, tenkrat pracujici v O2 psala, ze mam pekne debilni heslo na wifi a mam si ho zmenit. Jen testovala nejakou zranitelnost a po ruce nemela modem na testovani. Nezbylo, nez to zkusit u me :D. Verim, ze veskery HW tehle tridy ma tolik zranitelnosti, ze...

[Jendа]

Pro aktualizaci koncových zařízení plánujeme využít standardní mechanismus bezpečnostních aktualizací zařízení, který budeme využívat i pro další součásti systému.

(viz výše)

Dobrá námitka byla, že ostatní distribuce, Windows i embedded zařízení (mobily) to mají taky.

[kavol]

Dobrá námitka byla, že ostatní distribuce, Windows i embedded zařízení (mobily) to mají taky.

a moje protinámitka, že stejnou věc lze užít různě, ti dost dobrá není?

[Jendа]

Ne; nechápu totiž, v čem by mělo být zneužití autoupdate i Turrisu jednodušší/horší, než zneužití update u jiných zařízení. Nebo jak jsi to myslel?

[kavol]

tož první otázkou jest, zdali push nebo pull

- v tomto případě to chápu jako push, zatímco u jiných zařízení je to typicky(*) pull

(*) alespoň to platí v defaultu pro všechna tři distra, co aktuálně používám (Fedora, Gentoo, CyanogenMod+F-Droid), i pro routřík (dd-wrt) ... nebavíme se zde o enterprise a strojích manageovaných přes RHN a podobné nesmysly, ne?

takže už tady máme rozdíl v tom, oč má policie (...) jednodušší dostat do cíle škodlivý kód - nemusí čekat, až se uživatel rozhodne aktualizovat, prostě to tam server nacpe rovnou

druhou otázkou je právě ta "individualizace" - opět, distra to typicky nedělají ... pakliže nelze na serveru (a jeho mirrorech!) zajistit, aby se modifikovaný kód dostal právě jen k určenému uživateli, musí se to udělat tak, aby se dostal ke všem, což se moc dobře neutají (netrpím utkvělou představou, že si tisíce vývojářům před spaním čtou zdrojáky všech programů, jen protože je to opensource, aby je zkontrolovali, že v nich nejsou backdoory, a že ten kód opravdu odpovídá dodávaným binárkám, no ale přece ...)

takže už jenom způsobem realizace to dává mnohem lepší možnosti zneužití, než co bych já řekl, že "má téměř každý" ... každopádně i takováto řešení existují, není na tom nic tak extra zvláštního - no a pak jde právě jen o to, jakým způsobem to bude užíváno

a já pouze říkám, že to, že ostatní mají k disposici stejný nástroj, ještě neimplikuje, že jej každý musí využívat "správně" ("neškodlivě"), resp. že jej někdo nemůže využívat "nesprávně" ("škodlivě") (přičemž nehodnotím, proč by zrovna zde diskutovaný "někdo" tak činit měl nebo neměl, pouze říkám, že takový argument je na nic, neb tisíce hospodyněk krájejících chleba nevylučují jednu krájející manžela)

[Jendа]

takže už tady máme rozdíl v tom, oč má policie (...) jednodušší dostat do cíle škodlivý kód - nemusí čekat, až se uživatel rozhodne aktualizovat, prostě to tam server nacpe rovnou

Rozumný uživatel stahuje bezpečnostní záplaty alespoň jednou týdně, nebo má dokonce nastavený autoupdate.

druhou otázkou je právě ta "individualizace" - opět, distra to typicky nedělají ... pakliže nelze na serveru (a jeho mirrorech!) zajistit, aby se modifikovaný kód dostal právě jen k určenému uživateli

České mirrory se typicky používají 1-2, navíc předpokládám, že by policie nešla za správcem mirroru, ale spíš za ISP cílového uživatele a přesměrovala si DNS/IP mirroru na svůj server.

přičemž nehodnotím, proč by zrovna zde diskutovaný "někdo" tak činit měl nebo neměl, pouze říkám, že takový argument je na nic, neb tisíce hospodyněk krájejících chleba nevylučují jednu krájející manžela

Proč podobné názory neprezentuješ pod každou zprávičkou o vydání aktualizované verze, resp. aktualizačního systému nějaké distribuce?

[kavol]

Rozumný uživatel stahuje bezpečnostní záplaty alespoň jednou týdně, nebo má dokonce nastavený autoupdate.

to je možné, ale na principu věci to nic nemění

druhou otázkou je právě ta "individualizace" - opět, distra to typicky nedělají ... pakliže nelze na serveru (a jeho mirrorech!) zajistit, aby se modifikovaný kód dostal právě jen k určenému uživateli

České mirrory se typicky používají 1-2, navíc předpokládám, že by policie nešla za správcem mirroru, ale spíš za ISP cílového uživatele a přesměrovala si DNS/IP mirroru na svůj server.

... a ještě ukradla distribuční podepisovací klíče

přičemž nehodnotím, proč by zrovna zde diskutovaný "někdo" tak činit měl nebo neměl, pouze říkám, že takový argument je na nic, neb tisíce hospodyněk krájejících chleba nevylučují jednu krájející manžela

Proč podobné názory neprezentuješ pod každou zprávičkou o vydání aktualizované verze, resp. aktualizačního systému nějaké distribuce?

protože pod nimi nikdo neprezentuje pseudoargumenty typu "je to absolutně bezpečné, protože to dělají všichni", a tedy nemám vůči čemu se ohrazovat?

[egg]

pseudoargumenty typu "je to absolutně bezpečné, protože to dělají všichni"

Nic takového jsem tu nečetl.

[kavol]

viz #37 a kontext

[Jendа]

... a ještě ukradla distribuční podepisovací klíče

To platí pro CZ.NIC stejně jako třeba pro ten RedHat, ne?

[kavol]

pokud zvolí metodu "jít za ISP" tak ano - bavili jsme se ale o tom, že v tomto případě nemusí chodit za ISP nýbrž půjdou za správcem serveru, který nechá pushnout modifikovaný balík přímo na cílový stroj ... což třeba u Fedory nejde (ne v defaultní instalaci)

[Jendа]

Ale já furt nechápu, jak se liší „pushněte na IP 127.335.21.47 tento kód“ a „až se IP 127.335.21.47 připojí, dejte jí tento balíček“.

[xkucf03]

Třeba v tom, že balíčky se obvykle šíří přes nezávislá zrcadla, rsyncované HTTP servery, které by do toho musely být taky zapletené. A taky podepisování balíčků bude často probíhat mimo ČR. V tom je mj. výhoda decentralizace/distribuovanosti – je snazší levárnu odhalit, hůř se to utajuje.

[Jendа]

Třeba v tom, že balíčky se obvykle šíří přes nezávislá zrcadla, rsyncované HTTP servery, které by do toho musely být taky zapletené.

Jak už jsem psal, v ČR jsou většinou 1-2 používané mirrory. Navíc zkušenosti z jiných zemí ukazují, že tito lidé většinou nechodí za správcem mirroru, ale spíš si udělají MITM někde v klidu bokem.

A taky podepisování balíčků bude často probíhat mimo ČR.

Fedore/RedHat, SUSE i Debian podepisují v ČR.

[Jendа]

Fedore/RedHat, SUSE i Debian podepisují v ČR.

Respektive - kdyby do českého RH/SUSE HQ nebo třeba Michalu Čihařovi přišel dopis, dostali by podepsaný balíček? Pokud ne, proč by totéž mělo uspět u CZ.NIC, nebo dokonce proč by to mělo uspět u „push“ aktualizací a ne u „pull“?

[petr_p]

Fedore/RedHat, SUSE i Debian podepisují v ČR.

Nechci vám kazit ideu, ale pokud je mi známo, tak ke klíčům od Fedory nemá přístup nikdo z ČR. Od RHELu možná několik lidí ovládá tlačítko, ale mašina je za mořem ve svobodné zemi. Nabádat spoluobčana k trestnému činu v zahraničí zavání minimálně diplomatickou roztržkou.

[Lol Phirae]

za mořem ve svobodné zemi.

Pobavils...

[xkucf03]

USA jsou sice policejní stát, ale zase si nemyslím, že by chtěli svými kapacitami podporovat třeba boj proti květináčům v ČR nebo třeba nějakou vnitropolitickou špionáž v ČR nebo boj proti radikálům, kteří chtějí vylepovat posměšné plakáty o Zemanovi… tyhle věci je IMHO nezajímají a pokud by se tu angažovali, tak to bude s největší pravděpodobností průmyslová špionáž ve prospěch amerických firem, nebo snaha o získání státních zakázek v ČR, nebo odposlechy místních politiků a diplomatů, případně plošné „preventivní“ odposlechy všech/náhodných lidí… ale v takovém případě si zase nemyslím, že by se chtěli o získané informace dělit s místní policií nebo se od ní dokonce nechat úkolovat.

[Stanislav Brabec]

Podepisovací klíče SUSE taktéž nejsou v ČR. Má k nim přístup jen minimum lidí. Ti ostatní k nim mají přístup pouze nepřímý, přes kompilační servery, které vedou záznam o každém požadavku, a to včetně archivace zdrojových kódů. Ostatně, každý uživatel openSUSE Build Service dostává podepsaný balík. Jen klíče se liší podle projektu, do kterého kód dostanete.

[xkucf03]

Navíc zkušenosti z jiných zemí ukazují, že tito lidé většinou nechodí za správcem mirroru, ale spíš si udělají MITM někde v klidu bokem.

Ono by nebylo úplně od věci používat pro stahování balíčků HTTPS¹ – sice by to znamenalo vyšší zátěž CPU², ale pro podstrčení balíčku by útočníkovi nestačilo mít jen přístup ke klíčům dané distribuce + podvrhnout DNS odpověď nebo přesměrovat provoz na úrovni IP protokolu, ale musel by ještě získat klíče distribučního serveru (zrcadla) nebo přístup na něj.

_{[1] resp. obecně šifrovaný protokol, třeba SSH – jméno a heslo by byly veřejně známé, bylo by povolené jen stahování souborů, žádný shell nebo přesměrování portů; a otisk klíče serveru by se šířil buď nezávislým kanálem, nebo by se alespoň kontrolovalo, zda je pořád stejný
[2] dokážete někdo odhadnout, kolik by to stálo?}

[pavlix]

Podle mě je HTTPS v tomto případě zcela nadbytečné a popsaný problém by lépe řešil druhý podpis provedený na hlavním mirroru, ze kterého ostatní tak jako tak kopírují a tudíž případná podvržená data naservírují stejně dobře po HTTPS. Je potřeba zajistit autenticitu balíčků, nikoliv bezpečnost přenosové cesty.

[xkucf03]

V tomto vlákně se diskutuje případ, kdy útočník chce podvrhnout balíček konkrétnímu klientovi (IP adrese). Kdyby ho podvrhl už na hlavním zrcadle, tak se stejný balíček dostane ke všem ostatním uživatelům – útok sice může být úspěšný, ale je velká šance, že bude (alespoň zpětně) odhalen a bude z toho aféra a bude se to vyšetřovat a přetřásat v médiích.

Vtip byl právě v tom, že útočník pošle balíček jen jedné konkrétní oběti a nikdo jiný se o tom nedozví.

Muselo by se to tedy udělat tak, že by druhý podpis přidával až ten koncový mirror, ze kterého stahuješ – a ty bys jako klient ověřoval, jestli je tento klíč pořád stejný (a ideálně by sis ho poprvé ověřil nějakou nezávislou cestou).

Jenže smysl šifrovaného kanálu není jen v zajištění integrity, ale i v důvěrnosti – proč by měl kdokoli po cestě vědět, jakou používám distribuci, jaké balíčky mám nainstalované, v jakých verzích, kdy jsem naposledy aktualizoval nebo kolik¹ mám v síti počítačů? Nechci dělat Security through obscurity, jasně, že by ty systémy měly být navržené tak, aby byly odolné, i když útočník tyhle informace mít bude, ale proč mu to usnadňovat? Čím méně informací bude mít, tím méně budou jeho útoky cílené, bude muset střílet naslepo, zkoušet více exploitů než je nutné – a tím se zvyšuje pravděpodobnost, že jeho útok bude včas odhalen.

_{[1] pokud nemám vlastní mezipaměť na balíčky na nějaké své proxy, ale každý počítač si sám stahuje, co potřebuje}

[pavlix]

Muselo by se to tedy udělat tak, že by druhý podpis přidával až ten koncový mirror, ze kterého stahuješ

Máš šanci zdůvodnit, proč by se to tak muselo udělat.

Jenže smysl šifrovaného kanálu není jen v zajištění integrity, ale i v důvěrnosti – proč by měl kdokoli po cestě vědět, jakou používám distribuci,

Na to by teoreticky HTTPS smysl měl, pokud tě vůbec něco takového trápí.

jaké balíčky mám nainstalované, v jakých verzích, kdy jsem naposledy aktualizoval nebo kolik1 mám v síti počítačů? Nechci dělat Security through obscurity

To, co popisuješ je jeden z nejtypičtějších případů security through obscurity. Nedělat security through obscurity by čistě technicky znamenalo nedělat ani toto. Na druhou stranu jak sám říkáš, proč té možnosti nevyužít, když je to prakticky zadarmo, proti tomu nic nemám.

[xkucf03]

Máš šanci zdůvodnit, proč by se to tak muselo udělat.

Protože jinak by to nemělo smysl jako opatření proti tomu útoku, o kterém se tu bavíme.

Jestliže může útočník kompromitovat centrální server, kde se vytvářejí a podepisují balíčky, může stejně snadno kompromitovat i centrální mirror. Proto dává smysl, aby to druhé podepisování probíhalo až na koncovém mirroru, který není centrální – je jeden z mnoha. Tzn. pro útok na jednu osobu musíš kompromitovat jeden a pro útok na jinou osobu třeba zase jiný – tím roste šance na odhalení útoku. Další důležitá věc je, že tento mirror bude pravděpodobně provozovaný někým jiným než ty centrální servery – tudíž útočník musí přesvědčit ke spolupráci (nebo napadnout) dva subjekty místo jednoho, i při útoku na jeden cíl.

Dobré by bylo kontrolovat tu integritu jak end-to-end (tzn. uživatel si zkontroluje podpis od centrálního serveru, který balíček vytvořil), tak při každém kroku (každý článek řetězu kontroluje podpis svého nejbližšího mirroru, jestli se od minule nezměnil).

Pak by tam taky mohl být automatický obranný mechanismus – když nebude podpis tvého mirroru sedět, stáhne se balíček i z jiného (otisky jejich klíčů by se pravidelně stahovaly, takže víš, zda jim můžeš věřit) a porovná se jejich obsah – pokud je stejný, tak třeba jen správce tvého mirroru přeinstaloval server a zapomněl o tom ostatním říct, ale pokud se liší, jedná se pravděpodobně o útok, vyvolá se poplach a máš v rukou hned diff toho, co ti chtěl útočník podstrčit.

Přínos vidím v tomhle:

• útočník napadne jen centrum → nemůže vést cílený útok na jednoho klienta, stejný balíček dostanou všichni → snáz dojde k odhalení
• útočník napadne centrum a mirror oběti → cílený útok možný je, ale je potřeba přesvědčit ke spolupráci (nebo napadnout) víc nezávislých subjektů
• při nasazení obraného mechanismu z předchozího odstavce ani tohle nestačí – útočník by musel napadnout všechny mirrory zároveň (odkud se stáhne balíček pro kontrolu, se vybere náhodně nebo se jich stáhne víc, to už může být na uživateli resp. na tom, kdo bude daný bezpečnostní incident analyzovat)

Jinak ale souhlasím, že za tímto účelem je lepší použít GPG podpisy (nebo něco na tom principu), protože je jednak stačí spočítat jednou a pak se už jen kopírují a jednak je to lépe zdokumentované (soubory zůstanou ležet na disku, zatímco síťovou komunikaci se preventivně ukládá málokdo).

Šifrovaný přenos (TLS/SSH) by mohl být jako volitelný doplněk pro ty, kdo nechtějí troubit do světa, které balíčky stahují a co používají.

To, co popisuješ je jeden z nejtypičtějších případů security through obscurity.

Za security through obscurity považuji přístup, který na tu obskurnost spoléhá, což není tento případ – systém by byl navržen jako bezpečný sám o sobě, udělá se maximum pro bezpečnost + se přidá něco jako druhý vodní příkop kolem hradu, který nás nic/moc nestojí, ale útočníkovi ztíží práci v případě chyby v primárním zabezpečení¹ nebo zvýší šance na odhalení útoku.

_{[1] což není omluva pro ty chyby nebo motivace k tomu je dělat, ale chyba se může vyskytnout kdekoli, třeba i ne tak úplně naší vinou}

[pavlix]

Pak je ale zřejmě nejlepší podepisovat celý stav mirroru hierarchicky, podobně jako to dělá git, a nechat každý zajímavý subjekt data podepsat. Na koncovém stroji pak není problém vyladit bezpečnostní politiku, které všechny podpisy vyžaduješ (například lokální mirror plus hlavní mirror). Pak můžeš klidně heš toho kterého stavu distribuce používat jako jednoznačný kryptograficky ověřený identifikátor stavu mirrorovaných dat, což je pro odhalování útoků mnohem zajímavější.

[Stanislav Brabec]

Až na to, že mnohem jednodušší vektor útoku je přesně obrácený: Vybranému subjektu nedoručit balík. Třeba bezpečnostní aktualizaci.

Proti tomuto útoku žádné podpisy balíčků, serverů a mirrorů neochrání. Jedině podepsaná časová razítka.

Nevím, které distribuce jsou proti tomuto útoku zranitelné.

[David Jaša]

Až na to, že mnohem jednodušší vektor útoku je přesně obrácený: Vybranému subjektu nedoručit balík. Třeba bezpečnostní aktualizaci.

Proti tomuto útoku žádné podpisy balíčků, serverů a mirrorů neochrání. Jedině podepsaná časová razítka.

Přijde na to. Jedna z mála výhod yumího formátu repozitářů je to, že pozná chybějící balíček a metadata jsou podepsaná stejně jako samotné balíčky - tudíž náš MITM může tak leda zadržet všechny aktualizace, a to je při frekvenci fedořích aktualizací hned podezřelé

[Stanislav Brabec]

Tento útok opravdu nespočívá ve vynechání balíčku, ale v kompletním pozastavení aktualizací. Oběť dostane korektní obraz aktualizačního repozitáře, akorát ten obraz je již neaktuální.

Útočník tak přesně ví, které zranitelnosti nemá oběť opraveny. Zneužitelný časový úsek lze prodloužit z několika desítek minut či hodin třeba na dny, mezitím napsat exploit a zranitelnost využít. Pak lze aktualizace zase povolit, takže oběť může nabýt dojmu, že je již vše v pořádku.

[xkucf03]

Tady by pomohlo úplně obyčejné TLS/SSH – GPG podpisy se dají posílat staré, ale komunikaci v šifrovaném protokolu nezopakuješ resp. přijde se na to.

[Stanislav Brabec]

Jenže mirrory aktualizačních repozitářů jsou rozmístěny různě po světě, a ne vždy mají server ideálně zabezpečený.

SSL vyloučí pouze MITM útok na komunikaci, ale i to za ceno vyšší zátěže serveru, a nemožnosti používat http proxy cache.

Podepsaná časová razítka tento problém nemají. Ovšem vyžaduje to pravidelně zveřejňovat nový důvěryhodně podepsaný index, i kdyby žádné nové aktualizace nebyly.

[pavlix]

Jak jsem psal (a jak potvrzuje David), je dobré nějakým způsobem podepisovat update jako celek. Problém nedoručení updatů pak lze řešit jedině příslibem updatu na každý den (či jiný časový úsek), i kdyby měl být update prázdný. Pak lze teprve uvažovat o využívání časových údajů.

[xkucf03]

Když už ale tahle situace nastane (bezpečnostní chyba + neaktualizovaný balík u oběti), tak ji útočník může zneužít hned – oddálení aktualizace toho zas tak moc nezíská. Jasně, mohl by si trochu připravit půdu, promyslet útok… ale nepovažuji to za natolik významné – když už může ovlivňovat činnost balíčkovacího systému, tak mi nebezpečnější přijde podstrčení vlastního balíčku (kterým se dá napadnou i jinak zcela bezpečný a aktualizovaný systém).

[David Jaša]

(bezpečnostní chyba + neaktualizovaný balík u oběti), tak ji útočník může zneužít hned

Za předpokladu známé chyby a využitelného existujícího (nebo napsatelného) 0day exploitu. Což je trochu neobvyklá situace. Buď bývá chyba sama o sobě nezneužitelná, nebo se ohlašuje až s aktualizací.

mi nebezpečnější přijde podstrčení vlastního balíčku (kterým se dá napadnou i jinak zcela bezpečný a aktualizovaný systém).

Tady je fajn ten atomický formát metadat ala yum, kde je těžké takový balíček podstrčit někomu cíleně.

[kavol]

Za předpokladu známé chyby a využitelného existujícího (nebo napsatelného) 0day exploitu. Což je trochu neobvyklá situace. Buď bývá chyba sama o sobě nezneužitelná, nebo se ohlašuje až s aktualizací.

ehm,

a) chyba ohlášená != známá tomu, kdo by ji chtěl zneužít

b) nebyla snad řeč o tom, že sice aktualizace může být vydána, ale systém ještě není updatovaný? (tedy jde jen o délku časového okna)

[David Jaša]

Pro různé CDN by bylo super otevřené http s bezpečnou kontrolou integrity (ověřováním podpisu hashe dat) - to by zajistilo integritu dat mezi mirrorem a klientem a zároveň umožnilo používat různé cache po cestě.

[xkucf03]

Stále si ale myslím, že pokud tam budou dvě úrovně podpisu, tak by měly být dále od sebe (ne oba podpisy na centrálních serverech). Tzn.

centrální tvorba a podepisování balíků → centrální/hlavní mirror → další mirror a druhý podpis → proxy → uživatel

A to HTTPS se tak úplně nevylučuje – nemůže to být sice klasická HTTPS proxy (ta by musela jen předávat šifrované pakety a neviděla by dovnitř → nemohla kešovat), ale mohl by to být HTTPS server na nějaké vlastní doméně, který přijímá požadavky, obhospodařuje mezipaměť a co v ní nemá, na to se zeptá mirroru, opět po HTTPS. (v podstatě jako MITM útok, ale v tomto případě je to chtěné chování)

[David Jaša]

Stále si ale myslím, že pokud tam budou dvě úrovně podpisu

Dokud nejsou v různých nespolupracujících jurisdikcích, je to stále efektivně jedna bezcenná úroveň podpisu, protože kryptoanalýza úředním dopisem je holt silnější.

[xkucf03]

I když bude jedna v USA a druhá v ČR, tak je to lepší než nic. Kromě toho můžou být zrcadla i v dalších zemích – jsou sice daleko, ale mohly by se z nich stahovat třeba jen kontrolní součty/podpisy pro ověření.

A vůbec by to mohlo být víc jako Torrent než jako kaskáda HTTP serverů/proxy/mirrorů

[pavlix]

Tam jsem právě výše uváděl tu myšlenku, že bys mohl vyžadovat podpisy různých subjektů. Mohl bys pak stahovat podpisy třeba z ruských a čínských mirrorů, zatímco samotná data bys stahoval jen z místního blízkého mirroru.

[Jendа]

[2] dokážete někdo odhadnout, kolik by to stálo?

Na HTTPS je nejdražší handshake a protože balíčky se většinou stahují ve větší dávce, tak by to mělo být v pohodě.

[trekker.dk]

[2] dokážete někdo odhadnout, kolik by to stálo?

IIRC když Google začal vynucovat SSL na gmailu, tak říkali, že to na využití CPU nemělo moc velký vliv (něco jako +10%)

[kavol]

Ale já furt nechápu, jak se liší „pushněte na IP 127.335.21.47 tento kód“ a „až se IP 127.335.21.47 připojí, dejte jí tento balíček“.

krom toho, že 127.335.21.47 se nepřipojí tak v prvém případě jdeš za jedním subjektem, v druhém případě buď musíš jít za dvěma, anebo tomu druhému ukrást klíče, viz výše; navíc ten druhý obvykle nespadá do české jurisdikce, jak se tu řeší okolo

[Jan Starosta]

Jak to funguje bylo predstaveno na IT13.2. Asi nejvice informaci o sbirani dat je v prednasce Michala Vanera.

[NN]

Oceneni projekt, ktery jeste nebezi?

[ynezz]

Ta modra krabicka je udajne sexy. To na cenu nestaci? </sarkasmus>

[rbc]

To je normalni. Obama taky dostal Nobelovku predem. Mozna si ted trochu rvou vlasy, jakej humanista s trochu zakrvacenejma rukama se z nej vyklubal. Trochu jako Valka je mir, svoboda je otroctvi a humanni poprava dronama bez soudu je spravedlnost.

[jj]

Klidně se o těch Obamových "zakrvacenych rukou" rozepiš. Zatím to nepůsobí moc přesvědčivě.

[Marek Tichý]

a jeho reklama na jeho portaly... pcheeee